Política de privacidade

O ComprasNexus é uma plataforma de contratações públicas usada por órgãos públicos para conduzir dispensas eletrônicas, credenciamentos e compras expressas, e por fornecedores para participar delas. A plataforma é fornecida por Nexus, aqui chamada de provedora.

A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709, de 2018) distingue quem decide sobre o tratamento (o controlador) de quem trata em nome dele (o operador). A provedora ocupa os dois papéis, em atividades diferentes:

Quando o pedido do titular for sobre dados de um processo, quem decide é o órgão; a provedora encaminha o pedido a ele e o apoia na resposta.

• Servidores do órgão: nome, CPF, cargo, matrícula, e-mail, perfil de acesso, e data, hora e endereço IP dos atos praticados e assinados.
• Fornecedores e seus representantes: razão social ou nome, CNPJ ou CPF, endereço, e-mail, telefone, dados de quem representa a empresa, declarações e enquadramento como microempresa ou empresa de pequeno porte.
• Documentos de habilitação e de credenciamento: certidões, atos constitutivos e declarações, que podem conter dados pessoais de sócios e responsáveis técnicos.
• Dados das contratações: propostas, lances, mensagens da sessão, atas, contratos, ordens e avaliações de entrega.
• Cobrança: as taxas devidas, a forma de pagamento escolhida e a confirmação do pagamento. Dados de cartão são digitados no ambiente do intermediador de pagamento e não ficam na plataforma.
• Registros de acesso: endereço IP, data e hora de acesso e o navegador usado.

A plataforma usa apenas o cookie necessário para manter a sessão de quem entrou com login e senha. Não usamos cookies de publicidade nem de rastreamento.

Não usamos dados pessoais para publicidade, não os vendemos e não os cedemos a terceiros para fins próprios deles.

• Órgãos públicos em cujos processos o fornecedor participa — são eles que conduzem e decidem os processos.
• Portal Nacional de Contratações Públicas (PNCP) e portais de transparência, quando o órgão publica a contratação, como a lei exige.
• Intermediador de pagamento, para emitir e confirmar a cobrança das taxas.
• Provedores de nuvem que hospedam a plataforma, o banco de dados e os arquivos, sob contrato e com dever de sigilo.
• Provedores de inteligência artificial, apenas quando um servidor do órgão pede sugestão de texto na elaboração de documentos da fase interna; recebem o texto do documento em elaboração, e não o cadastro de fornecedores.
• Autoridades, quando houver requisição legal ou ordem judicial.

Alguns desses provedores podem manter servidores fora do Brasil. Nesse caso, a transferência internacional segue as hipóteses do art. 33 da LGPD. A lista atualizada dos provedores que tratam dados em nosso nome pode ser pedida ao encarregado.

• Documentos dos processos de contratação: no mínimo 10 anos, conforme as tabelas de temporalidade de documentos públicos. Não são eliminados sem ordem do órgão responsável, mesmo que o fornecedor encerre o cadastro.
• Cadastro do fornecedor: enquanto estiver ativo e, depois de encerrado, pelo tempo necessário aos processos de que participou e ao exercício de direitos.
• Cobrança: pelo prazo da legislação fiscal e tributária.
• Registros de acesso: no mínimo 6 meses, como exige o Marco Civil da Internet.

Terminado o prazo, os dados são eliminados ou anonimizados, salvo nas hipóteses em que a lei autoriza a conservação.

• Conexão criptografada (HTTPS) em todas as páginas.
• Senhas guardadas apenas como resumo criptográfico, nunca em texto legível; sessão que expira em 8 horas.
• Acesso por perfil: cada servidor vê só o que o seu papel permite, e cada órgão só os próprios processos.
• Trilha de auditoria dos atos relevantes, com autor, data e hora.
• Documentos assinados com código de verificação, que permite a qualquer pessoa conferir que não foram alterados.

Pela LGPD (art. 18), o titular pode pedir, a qualquer momento e sem custo:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade, nos termos da regulamentação da ANPD;
• informação sobre com quem compartilhamos seus dados;
• oposição a tratamento feito em desconformidade com a lei.

Dados que a lei manda guardar ou publicar — como os de uma proposta ou de um contrato — não podem ser eliminados a pedido, mas podem ser corrigidos quando estiverem errados. O titular também pode peticionar à Autoridade Nacional de Proteção de Dados.

Se ocorrer incidente de segurança que possa trazer risco ou dano relevante aos titulares, a provedora o comunica à Autoridade Nacional de Proteção de Dados e aos titulares afetados, no prazo e na forma definidos pela ANPD, e avisa imediatamente o órgão controlador quando o incidente envolver dados dos processos dele. A comunicação descreve os dados afetados, os riscos e as medidas adotadas para reverter ou mitigar o dano.

O que a provedora mantém como rotina, e não só como promessa:

Mudanças são publicadas nesta página, com a data da atualização. As que alterarem os termos de uso do fornecedor exigem novo aceite antes de continuar o uso. Os preços estão em /precos.