Privacidade · Licitti IA
Política de Privacidade
Versão de 13 de outubro de 2026
1. Quem trata os seus dados
A plataforma Licitti IA é operada pela CodeWork Consultoria em Tecnologia Ltda, CNPJ 46.531.292/0001-90, com sede na Rua Tocantins, 455, Brasileia, Betim/MG, CEP 32600-426. Nesta Política, “Licitti IA” designa a plataforma e essa empresa.
2. Dois papéis diferentes, e por que isso importa
A Licitti IA ocupa dois papéis distintos na plataforma, e cada um segue regras próprias:
- Operadora dos dados que o órgão insere nos processos de contratação: documentos, anexos, informações de fornecedores, valores e tudo mais que integra a instrução do processo. O órgão contratante é o controlador desses dados. Ele define a finalidade e os meios do tratamento, e a Licitti IA trata esses dados apenas para prestar o serviço e conforme as instruções do órgão.
- Controladora dos dados de conta e de uso dos usuários: cadastro, autenticação, registros de acesso, aceite destes documentos e medição de uso da plataforma. Aqui é a Licitti IA quem define a finalidade, porque esses dados existem para a plataforma funcionar, ser segura e evoluir.
3. Quais dados são tratados
| Categoria | O que inclui |
|---|---|
| Dados de cadastro | Na ativação do convite: nome completo, CPF, telefone celular (obrigatório, porque é o canal de atendimento do órgão) e, para quem declara ser advogado, número e UF da inscrição na OAB. O e-mail vem do convite enviado pelo órgão, não é digitado por você. Na tela de perfil é possível acrescentar cargo, telefone fixo, setores e corrigir os dados acima. A senha é guardada apenas como resumo criptográfico (BCrypt), nunca em texto aberto. |
| Dados de acesso | Data e hora do último acesso, sessões ativas e registros técnicos de requisições à plataforma, usados para segurança e para investigar problemas. |
| Aceite destes documentos | A versão dos Termos de Uso e da Política de Privacidade que você aceitou, a data e hora do aceite em UTC, o endereço IP de onde ele partiu e o navegador usado. É a prova de que o aceite existiu, e fica guardada uma linha por versão aceita. |
| Preferências | Modalidade de contratação padrão e as anotações livres que você escreve para orientar o copiloto. |
| Uso da plataforma | Páginas visitadas, cliques, ações realizadas, conversas com o copiloto, consumo de inteligência artificial por processo e gravação da sessão de navegação, conforme a cláusula 5. |
| Conteúdo do processo | Textos, documentos e arquivos que você escreve ou envia na plataforma, incluindo anexos em PDF, imagens e planilhas. Pode conter dados pessoais de terceiros quando o órgão os insere na instrução do processo. |
| Dados de assinatura | Quando uma peça é enviada para assinatura, os dados do signatário e as evidências do ato de assinar, detalhados na cláusula 7. |
| Dados de fornecedores | Quando o órgão usa o formulário público de cadastro de fornecedor, são coletados dados da empresa (razão social, CNPJ, inscrições, porte, licenças sanitárias, capacidade de fornecimento, preços e prazos), dados por produto (registro na ANVISA, ficha técnica, laudo, validade, preço) e os documentos de habilitação enviados, que incluem documento de identidade e CPF do representante legal, procuração, certidões e balanço patrimonial. |
| Contato comercial | Se você pede uma demonstração, se candidata a parceiro ou se inscreve pela campanha com a AMM, são coletados nome, e-mail, telefone de WhatsApp, órgão ou empresa, cargo, cidade, estado e, no pedido de demonstração, a estimativa de volume de licitações. |
4. Para que usamos e com qual base legal
| Finalidade | Base legal |
|---|---|
| Prestar o serviço contratado pelo órgão | Execução de contrato e, no caso do órgão público, execução de políticas públicas e cumprimento de obrigação legal (art. 7º, incisos II, III e V, da LGPD) |
| Criar e manter sua conta, autenticar e recuperar acesso | Execução de contrato (art. 7º, V) |
| Registrar o aceite dos Termos de Uso e desta Política | Cumprimento de obrigação legal e legítimo interesse na prova do aceite (art. 7º, II e IX) |
| Garantir a segurança da plataforma e investigar incidentes | Legítimo interesse e cumprimento de obrigação legal (art. 7º, IX e II) |
| Produzir as evidências da assinatura eletrônica | Execução de contrato e cumprimento de obrigação legal do órgão (art. 7º, V e II) |
| Medir o uso, corrigir defeitos e melhorar o produto | Legítimo interesse (art. 7º, IX) |
| Comunicar avisos operacionais sobre a conta e o serviço | Execução de contrato (art. 7º, V) |
| Responder ao pedido de demonstração, de parceria ou de inscrição feito nos nossos formulários | Procedimentos preliminares relacionados a contrato, a pedido do titular (art. 7º, V) |
Não vendemos dados pessoais, não os cedemos a terceiros para finalidade própria deles e não usamos o conteúdo dos processos do órgão para publicidade.
5. Armazenamento no navegador e medição de uso
A plataforma não usa cookies de publicidade nem de rastreamento entre sites. Para manter você conectado, a sessão fica no armazenamento local do seu navegador, e não em cookie: ali ficam o token de acesso, o token de renovação e a data de expiração. Ao sair da conta, esses três itens e o vínculo com a última conversa do copiloto são apagados. Uma preferência de visualização da tela inicial (quadro ou lista) continua guardada no navegador depois do logout, porque não é dado de sessão. A ferramenta de análise descrita abaixo cria, por conta própria, identificadores e um cookie de primeira parte para reconhecer a mesma sessão de navegação.
Para entender como a plataforma é usada, empregamos a ferramenta de análise PostHog. Ela registra páginas visitadas, cliques, eventos de uso e o identificador da sua conta, associado ao seu nome, e-mail, papel e cargo. Também agrupa o uso pelo órgão a que você pertence, com nome, CNPJ, tipo, município e UF do órgão. A medição está ativa inclusive nas telas públicas de login e de ativação de convite, antes de qualquer identificação.
Permanecem na gravação os textos que a própria plataforma escreve na tela, como as respostas do copiloto e o conteúdo dos documentos já gerados, porque é o que permite entender o que a pessoa estava vendo quando algo deu errado. Por isso, evite digitar na plataforma dados pessoais que não sejam necessários à instrução do processo de contratação.
6. Inteligência artificial: o que sai da plataforma
Quando você conversa com o copiloto ou pede a geração de um documento, são enviados aos provedores de modelos de linguagem: o texto que você escreveu, os arquivos que você anexou à conversa, os campos que você editou na etapa, as suas anotações de preferência, identificadores internos do processo, do órgão e do usuário, e trechos do acervo de contratações públicas usados como referência.
O copiloto também pode pesquisar na internet para conferir uma informação. Nesse caso, a consulta é formulada pelo próprio modelo a partir da conversa e executada pela ferramenta de busca do provedor do modelo, que recebe o termo pesquisado. Esses termos descrevem o objeto da contratação, não dados pessoais dos usuários.
O histórico da conversa fica guardado na plataforma para que você possa retomar o trabalho de onde parou, e conversas antigas podem ser resumidas automaticamente para caber no contexto do modelo.
Para melhorar o produto, a Licitti IA mantém uma rotina automática que, de madrugada, revisa as conversas do copiloto do dia anterior e identifica pontos em que o usuário não conseguiu concluir o que queria. Essa rotina lê o conteúdo das conversas e gera apontamentos que são conferidos pela equipe da Licitti IA. Nenhuma decisão sobre você, sobre o seu acesso ou sobre o processo de contratação é tomada de forma automatizada com base nessa revisão: o resultado serve para corrigir o produto.
7. Assinatura eletrônica e verificação pública
Para enviar uma peça a assinatura por link, o órgão informa, de cada signatário, o nome, o e-mail, o telefone celular e, quando houver, o CPF. Esses dados são indicados por quem cria o envio, que pode ser pessoa de fora do quadro do órgão.
O código de confirmação de uso único é enviado por e-mail e, quando há celular, também por WhatsApp. O código em si nunca é guardado, apenas o resumo criptográfico dele. O endereço de e-mail e o número para onde o código foi enviado ficam congelados no registro, porque mudança posterior de contato não pode reescrever a prova.
No ato de assinar, a plataforma registra as evidências que sustentam a assinatura:
- data e hora do primeiro e do último acesso ao link, e da declaração de leitura do documento;
- data e hora da assinatura;
- endereço IP de onde a assinatura partiu;
- identificação do navegador e do dispositivo usados;
- por qual canal o código de confirmação foi conferido.
O documento assinado ganha um código de conferência impresso na própria folha, que abre uma página pública de verificação, sem login. Quem tiver esse código vê o título do documento, quem assinou, quando assinou e pode baixar o PDF assinado. Essa divulgação é intencional e é o que dá fé pública ao documento, então o órgão deve tratar o código como parte do documento.
A plataforma não oferece assinatura com certificado digital ICP-Brasil: nenhum certificado é lido e nenhum dado de certificado é tratado.
8. Com quem compartilhamos (subprocessadores)
Para operar a plataforma, a Licitti IA usa fornecedores que tratam dados em seu nome. Eles só podem tratar os dados para prestar o serviço contratado.
| Fornecedor | Para quê |
|---|---|
| Amazon Web Services | Hospedagem da aplicação e do banco de dados, armazenamento dos arquivos enviados, envio dos e-mails da plataforma (Amazon SES) e guarda dos registros técnicos. |
| Amazon Bedrock | Execução dos modelos de busca semântica no acervo de contratações, dentro da infraestrutura da Amazon Web Services. |
| Anthropic | Modelo de linguagem que responde às conversas do copiloto, monta as minutas e executa as buscas na internet pedidas durante a conversa. |
| Google Cloud | Modelo de linguagem de apoio, usado em parte das gerações e derivações de texto. |
| Vercel | Hospedagem e entrega da interface web que você acessa no navegador. |
| PostHog | Medição de uso e gravação de sessão, conforme a cláusula 5. |
| Provedor da conexão de WhatsApp | Envio e recebimento das mensagens de WhatsApp da plataforma, inclusive o código de confirmação da assinatura e o atendimento ao órgão. Trata o número, o nome de exibição, a foto de perfil e o conteúdo das mensagens. |
| Servidor próprio em provedor de hospedagem | Fora da infraestrutura da Amazon, mantemos um servidor dedicado que executa a coleta diária do acervo de contratações públicas, a conexão de WhatsApp e a importação do desfecho das licitações. |
| Fornecedor de enriquecimento de dados de contato | No relacionamento comercial, dados de contato de leads podem ser complementados por consulta a fornecedor especializado. Não alcança usuários do app nem conteúdo de processos. |
| Portal de licitações integrado | Quando o órgão usa a integração com a Licitar Digital, a plataforma importa do portal o desfecho da licitação, as atas, os pedidos e recursos com anexos e a equipe designada do processo, o que inclui nomes de servidores. A integração é hoje de leitura: nenhum dado é publicado no portal pela plataforma. |
Dados também podem ser compartilhados com autoridades públicas, quando houver obrigação legal, requisição regular ou necessidade de defesa em processo administrativo, judicial ou arbitral.
A plataforma consulta dados públicos do Portal Nacional de Contratações Públicas. Essa consulta é de leitura: nenhum dado pessoal dos usuários é enviado ao portal.
9. Transferência internacional de dados
A infraestrutura da plataforma fica na região Norte da Virgínia, nos Estados Unidos, e os provedores de modelos de linguagem e a ferramenta de medição de uso também operam fora do Brasil. Isso significa que os dados tratados na plataforma, inclusive o conteúdo dos processos, as conversas com o copiloto, as gravações de sessão e os dados de uso, são armazenados e processados fora do país.
Essas transferências seguem o artigo 33 da LGPD e se apoiam nas cláusulas contratuais firmadas com cada fornecedor, que exigem padrões de proteção compatíveis com os da lei brasileira.
10. Segurança
Entre as medidas técnicas adotadas na plataforma estão:
- tráfego cifrado entre o seu navegador e a plataforma;
- senhas guardadas apenas como resumo criptográfico, com algoritmo próprio para esse fim (BCrypt);
- sessão de curta duração, renovada por um token que é trocado a cada uso e revogado quando a senha muda;
- criptografia em repouso no banco de dados e no armazenamento de arquivos;
- armazenamento de arquivos fechado ao acesso público, com os anexos servidos apenas pela própria plataforma, a usuários autenticados;
- separação dos dados por órgão, de modo que o acesso de um órgão não alcança o conteúdo de outro;
- códigos de confirmação e tokens de link guardados apenas como resumo criptográfico, com tentativas limitadas e expiração curta;
- registro de acessos e de atividades relevantes para auditoria.
Nenhum sistema é totalmente imune a incidentes. Se ocorrer um incidente de segurança com risco relevante aos titulares, a Licitti IA comunicará o órgão controlador e a Autoridade Nacional de Proteção de Dados, na forma do artigo 48 da LGPD.
11. Por quanto tempo guardamos
O conteúdo dos processos de contratação é guardado enquanto durar o contrato com o órgão, porque integra a instrução de processos administrativos que o próprio órgão precisa conservar pelos prazos da legislação de licitações e de arquivo público. A definição desses prazos cabe ao órgão, que é o controlador.
- Dados de cadastro e de conta: enquanto a conta existir e pelo tempo necessário ao cumprimento de obrigações legais depois disso.
- Registro do aceite destes documentos: enquanto a conta existir, e depois pelo tempo em que a prova do aceite ainda puder ser exigida.
- Registros técnicos da aplicação: 30 dias.
- Cópias de segurança do banco de dados: 7 dias.
- Arquivos enviados aos processos: enquanto durar o contrato com o órgão, ou até a extração combinada no encerramento. O armazenamento mantém versões anteriores de um arquivo que seja substituído.
- Evidências da assinatura eletrônica: junto com o documento assinado, porque são parte da prova dele.
- Tokens de convite e de recuperação de senha: expiram sozinhos, em 72 horas e em 1 hora, respectivamente.
- Link de assinatura: 30 dias por padrão, no máximo 180, definidos no envio. Código de confirmação da assinatura: 5 minutos.
Quando o acesso de um usuário é encerrado pelo administrador do órgão, a conta é desativada e as sessões são revogadas. O histórico de atos praticados por essa pessoa permanece vinculado ao processo de contratação, porque é necessário à rastreabilidade do processo administrativo. A exclusão definitiva de dados pessoais pode ser solicitada pelos canais da cláusula 13 e será atendida no que não conflitar com obrigação legal de conservação.
12. Seus direitos
O artigo 18 da LGPD garante a você, a qualquer momento e sem custo, o direito de pedir:
- confirmação de que existe tratamento dos seus dados;
- acesso aos dados;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados fora da lei;
- portabilidade dos dados a outro fornecedor, nos termos da regulamentação da autoridade;
- eliminação dos dados tratados com base no seu consentimento;
- informação sobre com quem os dados foram compartilhados;
- informação sobre a possibilidade de não consentir e sobre as consequências disso;
- revogação do consentimento, quando o tratamento se basear nele.
Boa parte dos dados de cadastro pode ser corrigida por você mesmo, na tela de perfil. Para os demais pedidos, use os canais da cláusula 13. Pedidos sobre o conteúdo dos processos de contratação devem ser dirigidos ao órgão, que é o controlador desses dados, e a Licitti IA o apoiará no atendimento.
13. Encarregado e contato
O encarregado pelo tratamento de dados pessoais da Licitti IA (CodeWork Consultoria em Tecnologia Ltda, CNPJ 46.531.292/0001-90), na forma do artigo 41 da LGPD, é Luiz Fernando Ferreira Moreira. Escreva para contato@licitti.ia.br ou por carta para o endereço da sede indicado na cláusula 1.
Responderemos no menor prazo possível. Para atender ao pedido com segurança, podemos precisar confirmar a sua identidade.
14. Atualizações desta Política
Esta Política pode ser atualizada quando a plataforma, a legislação ou a lista de fornecedores mudar. A versão vigente é sempre a publicada nesta página, com a data indicada no cabeçalho. Quando a versão muda, a plataforma pede o seu aceite no acesso seguinte, e mudanças relevantes também são comunicadas ao órgão contratante pelos canais cadastrados.