Política de Privacidade

O tratamento de dados pessoais do Assinala é realizado pela Savelta, na condição de controladora.

O Encarregado de Dados (DPO) responde pelo canal lucas.muller@savelta.com.

Dados de conta. Endereço de email e, quando informado, nome. O email identifica a conta e é o destino das comunicações contratadas.

Perfil de interesse. Nome do perfil, CNAEs, palavras-chave, UFs, municípios e o catálogo de produtos que você informar. Usamos esses dados para comparar seu perfil com editais públicos e calcular a nota de aderência.

Uso da ferramenta gratuita. Quando você resume um edital sem conta, registramos um identificador em um cookie próprio (first-party, httpOnly) para aplicar os limites de uso gratuito. Não é usado para publicidade.

Dados de cobrança. Planos pagos são processados pela Stripe. Conforme a forma de pagamento e as obrigações fiscais, a Stripe pode solicitar nome, email, CPF ou CNPJ e dados do meio de pagamento. O Assinala recebe identificadores, valor, status e datas necessários para gerenciar a assinatura; não armazena número completo de cartão nem chave Pix.

Registros de uso. Páginas vistas, eventos de produto, identificadores técnicos do navegador/dispositivo, endereço IP nos registros dos provedores, erros e dados de desempenho para operar, proteger e melhorar o serviço — ver "Cookies e analytics".

O que não pedimos. Não pedimos que você envie documentos de habilitação nem dados pessoais sensíveis ao Assinala. CPF ou CNPJ podem ser solicitados pela Stripe no checkout, como descrito acima. Os editais e seus dados de origem vêm do PNCP.

Execução de contrato (art. 7º, V). Manutenção da conta, entrega dos resumos contratados, cobrança e suporte.

Consentimento (art. 7º, I). Comunicações promocionais opcionais e recursos não essenciais que peçam consentimento. Você pode revogá-lo pelo link do email ou pelo canal do Encarregado.

Legítimo interesse (art. 7º, IX). Métricas de uso e analytics para melhorar o produto, prevenção a abuso dos limites da ferramenta gratuita e segurança da plataforma, com minimização e controles de privacidade. Não usamos esses dados para anúncios comportamentais.

Obrigação legal ou regulatória (art. 7º, II). Emissão de nota fiscal e registros contábeis/fiscais exigidos por lei.

Usamos a menor quantidade possível de cookies:

Essenciais (primeira parte). Cookie httpOnly próprio para manter sua sessão e aplicar os limites da ferramenta gratuita. Sem eles, o serviço não funciona.

Analytics. Quando configurado, o PostHog recebe páginas vistas e eventos de produto. O Google Analytics e o Vercel Analytics são integrações opcionais e só carregam quando habilitadas. Esses serviços podem usar armazenamento local, cookies ou identificadores técnicos conforme sua configuração. Bloquear scripts de terceiros não remove as funções essenciais.

Erros e reprodução de sessão. Quando o Sentry está configurado, recebe erros, logs e dados de desempenho. A reprodução de sessão é amostrada, mascara todo o texto e bloqueia mídias; serve apenas para diagnosticar falhas.

A medição de publicidade no cadastro e no início do pagamento é opcional. Quando disponível, pedimos sua permissão antes de ativar cookies do Google e da Meta. Esses serviços podem receber identificadores de cliques, o endereço da página e dados técnicos do navegador para medir resultados dos anúncios. Não enviamos os dados preenchidos nos formulários. Você pode recusar ou retirar a permissão em “Preferências de publicidade”, sem perder acesso ao Assinala. Não vendemos seus dados.

Compartilhamos apenas o necessário, com provedores que atuam como operadores de dados (LGPD, art. 39) sob contrato:

Email transacional (Resend) — entrega dos resumos e emails da conta, usando o endereço de email do destinatário.

Pagamentos (Stripe) — checkout, processamento e assinatura; conforme a compra, pode receber nome, email, CPF/CNPJ e dados do meio de pagamento, enquanto o Assinala recebe identificadores, valor, status e datas da cobrança.

Modelos de IA (Anthropic, OpenAI, Vercel AI Gateway) — o provedor efetivamente configurado recebe o texto público do edital e os campos necessários do perfil, inclusive nome do perfil, CNAEs, palavras-chave, região e catálogo quando usado; a Vercel também processa a requisição somente quando o modelo passa pelo AI Gateway.

Analytics (PostHog, Google Analytics, Vercel Analytics) — quando habilitados, recebem páginas vistas, eventos de produto e identificadores técnicos descritos na seção 4.

Observabilidade (Sentry) — quando configurado, recebe erros, logs, desempenho e reprodução de sessão mascarada para diagnóstico.

Infraestrutura (Vercel, Neon, Trigger.dev) — hospedagem e armazenamento gerenciado dos dados da conta; o Trigger.dev executa a pontuação noturna e o envio dos digests.

Segurança (Arcjet) — quando configurado, recebe endereço IP e metadados da requisição para detectar abuso e proteger o serviço.

Esses provedores podem estar localizados no exterior; quando isso ocorre, seguimos o art. 33 da LGPD (transferência internacional com garantias contratuais adequadas). Nenhuma outra divulgação é feita salvo obrigação legal.

Você pode solicitar, a qualquer tempo: confirmação de tratamento; acesso aos seus dados; correção de dados incompletos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários; portabilidade; informação sobre compartilhamentos; revogação do consentimento; e revisão de decisões tomadas exclusivamente de forma automatizada.

Como exercer: escreva para lucas.muller@savelta.com a partir do email da sua conta. Respondemos em até 15 dias. A exclusão da conta apaga seus dados pessoais; os registros que a lei obriga a manter (fiscais, por exemplo) são retidos pelo prazo legal e os dados públicos de editais não são dados pessoais.

Mantemos os dados da sua conta enquanto ela existir. Ao pedir exclusão, removemos os dados pessoais em até 30 dias, exceto os que a lei exige manter. Métricas agregadas e anonimizadas podem ser mantidas indefinidamente, pois não identificam você.

Aplicamos medidas técnicas e organizativas adequadas: tráfego criptografado (TLS), segredos gerenciados fora do código, acesso restrito por escopo a dados de produção e isolamento por tenant. Nenhum sistema é infalível; se um incidente relevante ocorrer, comunicaremos os afetados e a ANPD conforme a LGPD.

Podemos atualizar esta política para refletir evoluções do serviço ou orientações da ANPD. A versão vigente fica sempre nesta página, com a data de atualização no topo; mudanças relevantes serão comunicadas por email ou dentro do serviço.