Política de Privacidade
Minuta. Os campos destacados em amarelo dependem da constituição da empresa. O texto deve ser revisado por profissional jurídico antes da publicação.
1. Quem somos
O SICEP é operado por [Razão social], CNPJ [00.000.000/0000-00], com sede em [endereço] (“SICEP”, “nós”). Encarregado pelo tratamento de dados pessoais (DPO): [nome], e-mail [encarregado@seudominio.com.br].
2. Papéis na LGPD
- No site e no cadastro de usuários, o SICEP é controlador: decide por que e como tratar os dados de contato e de acesso.
- Nos dados que cada organização cliente registra na plataforma (propostas, fornecedores, notas fiscais, pagamentos), a organização é a controladora e o SICEP atua como operador, tratando os dados apenas conforme o contrato e as instruções do cliente (art. 39 da LGPD).
3. Quais dados tratamos e por quê
| Dados | Finalidade | Base legal (LGPD) | Por quanto tempo |
|---|---|---|---|
| Nome, e-mail, telefone, organização e mensagem enviados pelo formulário de contato | Responder ao contato e apresentar os serviços | Consentimento (art. 7º, I) e procedimentos preliminares a contrato (art. 7º, V) | Até 24 meses, com exclusão automática |
| Nome, e-mail, perfil de acesso e senha (guardada só em forma de hash) dos usuários | Permitir o acesso seguro à plataforma | Execução de contrato (art. 7º, V) | Enquanto durar o acesso; depois, conforme o item 7 |
| Segundo fator de autenticação (segredo do app autenticador) | Verificação em duas etapas | Execução de contrato e legítimo interesse em segurança (art. 7º, V e IX) | Enquanto o usuário estiver ativo |
| Registros de acesso e de ações: data, hora, IP e a ação realizada | Segurança, prevenção a fraude e trilha de auditoria exigida na prestação de contas de recursos públicos | Cumprimento de obrigação legal (art. 7º, II; Marco Civil da Internet, art. 15) e legítimo interesse (art. 7º, IX) | Mínimo de 6 meses (acessos); a trilha de auditoria segue o prazo de guarda da prestação de contas definido em contrato |
| Dados inseridos pelo cliente sobre fornecedores e despesas | Controle e prestação de contas do cliente | Definida pelo cliente, como controlador | Conforme o contrato com o cliente |
Não coletamos dados sensíveis (art. 5º, II) nem dados de pacientes. Não vendemos dados, não fazemos publicidade direcionada e não usamos cookies de rastreamento.
4. Cookies
Usamos apenas um cookie essencial (sicep_sid) para manter a sessão de quem entra no sistema. Ele é protegido (HttpOnly, SameSite) e expira em até 8 horas. Como é indispensável ao funcionamento, não depende de consentimento. O site não usa cookies de análise nem de publicidade.
5. Com quem compartilhamos
- Provedor de nuvem (hospedagem e backup): [ex.: Amazon Web Services, região São Paulo], como suboperador, com contrato que exige segurança e confidencialidade.
- Fontes públicas consultadas pelo módulo Sentinela (Imprensa Nacional, Querido Diário, ALMG): recebem apenas os termos de busca, nunca dados pessoais de usuários.
- Autoridades, quando houver obrigação legal ou ordem judicial.
Se houver transferência internacional de dados, ela seguirá os mecanismos do art. 33 da LGPD.
6. Como protegemos
- Conexão criptografada (HTTPS) e senhas guardadas apenas como hash.
- Verificação em duas etapas, bloqueio após tentativas repetidas e sessões que expiram.
- Dados de cada organização isolados dos demais, com perfis de acesso (administrador, analista, somente leitura).
- Trilha de auditoria imutável e cópias de segurança diárias.
Em caso de incidente de segurança que possa causar risco relevante, comunicaremos a ANPD e os titulares afetados, conforme o art. 48 da LGPD.
7. Seus direitos (art. 18 da LGPD)
Você pode pedir confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários, portabilidade, informação sobre compartilhamentos e revogação do consentimento.
- Usuários da plataforma podem baixar os próprios dados a qualquer momento em Minha conta → Baixar meus dados.
- Demais pedidos: pelo formulário de contato, com o assunto “Direitos do titular (LGPD)”, ou pelo e-mail do encarregado. Respondemos em até 15 dias.
- Quando o pedido tratar de dados que uma organização cliente registrou (item 2), nós o encaminhamos ao cliente, que é o controlador.
Registros de auditoria ligados à prestação de contas de recursos públicos podem ser mantidos mesmo após pedido de exclusão, para cumprimento de obrigação legal (art. 16, I).
8. Alterações
Quando esta política mudar, a versão será atualizada e os usuários da plataforma confirmarão a leitura no próximo acesso.