Política de privacidade.

Quem é o controlador e como falar com a gente

A Strela Soluções Estratégicas Ltda, identificada no fim desta página, é a controladora dos dados pessoais de quem cria conta, opera o painel ou visita o site. Pedidos sobre dados pessoais podem ser feitos pela aba Privacidade de Meu perfil, dentro do painel, ou pelo canal de privacidade indicado nos dados da empresa.

Os dados pessoais de terceiros que a empresa cliente cadastra no sistema (representante legal, sócios, credenciais de portal, documentos) são tratados pelo Strela em nome da empresa, como operador. Nesse caso a controladora é a empresa cliente: se você é representante ou sócio de uma empresa que usa o Strela, fale primeiro com ela, e nós ajudamos a atender o pedido.

Quais dados tratamos

Só o necessário para o serviço funcionar.

• Cadastro: nome, e-mail, telefone e senha (guardada só como hash) de quem opera o painel. Quem entra com o Google informa nome e e-mail confirmados pelo Google e digita o telefone; a senha do Google nunca chega ao Strela.
• Empresa: CNPJ, razão social, endereço, telefone, e-mail comercial e, quando informados, nome, RG e CPF do representante legal.
• Quadro societário: nome, CPF e qualificação dos sócios, obtidos em consulta ao cadastro público do CNPJ (dados publicados pela Receita Federal) e usados no preenchimento de propostas.
• Operação: login e senha dos portais de compras informados pela empresa, guardados em cofre de segredos e usados só para operar em nome dela. No ComprasNet o login é o CPF do usuário gov.br.
• Documentos: certidões, contratos, propostas e o certificado digital A1 que a empresa envia. O arquivo e a senha do certificado ficam em cofre de segredos; nome e CPF ou CNPJ do titular ficam como metadados.
• Uso: registros de acesso (data e IP), sessões ativas, ações no painel e a trilha de decisões do robô, necessários para auditoria e suporte.
• Portais: o chat do pregoeiro e o ranking de participantes de cada certame, como publicados no portal, com o CNPJ dos concorrentes mascarado.
• Técnicos: endereço IP, navegador e erros de aplicação. A telemetria de erro remove senha, token, e-mail, IP, CPF e CNPJ antes de gravar.
• Pré-cadastro do lançamento: nome, e-mail, telefone e o perfil informado (empresa que licita ou consultoria). Junto, de onde você chegou ao site (os parâmetros do anúncio ou do link) e como navegou a página antes de enviar: tempo, rolagem, seções vistas, quanto do vídeo assistiu e o tipo de aparelho.
• Navegação no site e na entrada do produto: um identificador aleatório da visita, criado pelo seu navegador e apagado quando a aba fecha, e o que acontece nela no site público, no cadastro, no login, na ativação da conta e no painel durante os 7 primeiros dias da conta. Páginas, seções e etapas vistas, tempo em cada uma, rolagem, botões e links tocados, uso dos formulários (quais campos foram preenchidos ou deram erro, nunca o que foi digitado), o resultado de cada envio (por exemplo, conta criada ou CNPJ já cadastrado), vídeo, velocidade de carregamento, a origem da visita (os parâmetros do anúncio ou do link) e o tipo de aparelho e de navegador. Não guardamos o endereço IP nem o texto que você digita. Se você enviar o pré-cadastro, a navegação daquela visita fica ligada ao cadastro; se você criar uma conta ou entrar nela, a navegação da visita, desde a chegada ao site, fica ligada à conta.
• Cadastro começado com o Google e não concluído: o nome e o e-mail que o Google confirmou ficam ligados àquela visita, para sabermos em que passo o cadastro parou.
• Só com o seu consentimento: identificadores do Microsoft Clarity (gravação da navegação e mapa de calor) no site público, no cadastro, no login e na ativação da conta, nunca dentro do painel; identificadores do Pixel do Meta, só no site público; e um identificador que reconhece quando você volta ao site.

Para quê e com que base legal

Cada finalidade tem uma base legal da LGPD (art. 7º).

• Prestar o serviço (conta, operação nos portais, propostas, documentos, disputa): execução de contrato (art. 7º, V).
• Falar com quem criou a conta sobre ela (ativação, suporte e avisos da conta), inclusive por telefone e WhatsApp: execução de contrato (art. 7º, V).
• Cobrar e emitir nota fiscal: execução de contrato e obrigação legal (art. 7º, II e V).
• Manter o sistema seguro, auditar acessos e prevenir fraude: legítimo interesse (art. 7º, IX) e a guarda de registros de acesso exigida pelo Marco Civil da Internet (art. 15).
• Entender como o site e a entrada no produto são usados, para melhorar a página, os anúncios, o cadastro, a ativação da conta e os primeiros dias de uso, com a medição própria de navegação descrita acima: legítimo interesse (art. 7º, IX). A medição não usa cookie, não guarda IP nem o que se digita e fica só com o Strela; antes do cadastro ela não identifica o visitante, e depois do cadastro ou do login fica ligada à conta. Você pode se opor pelo canal de privacidade, e se o seu navegador envia o sinal Global Privacy Control, ela não roda.
• Guardar o nome e o e-mail de quem começou o cadastro pelo Google e não concluiu, ligados à visita, para entender onde o cadastro trava: legítimo interesse (art. 7º, IX). Esses dados ficam só com o Strela.
• Entrar e criar conta com o Google, quando você escolhe esse caminho: execução de contrato e procedimentos preliminares a ele, a pedido do titular (art. 7º, V).
• Gravar a navegação e montar mapas de calor com o Microsoft Clarity (site público, cadastro, login e ativação da conta), e reconhecer quando o mesmo visitante volta ao site: consentimento (art. 7º, I), revogável a qualquer momento.
• Falar com quem fez o pré-cadastro sobre o lançamento, inclusive por WhatsApp, e liberar o teste: procedimentos preliminares ao contrato, a pedido do titular (art. 7º, V).
• Saber de onde veio e como navegou quem fez o pré-cadastro, para entender quais anúncios e páginas funcionam: legítimo interesse (art. 7º, IX). Esses dados ficam só com o Strela.
• Medir os anúncios do Strela no Facebook e no Instagram com o Pixel e a API de Conversões do Meta: consentimento (art. 7º, I), revogável a qualquer momento. Com esse consentimento, o e-mail, o telefone e o nome do pré-cadastro seguem ao Meta criptografados (hash SHA-256), só para o Meta reconhecer de qual anúncio veio o cadastro.
• Atender pedidos de titulares, cumprir ordem de autoridade e defender direitos em processo: obrigação legal e exercício regular de direitos (art. 7º, II e VI).
• Dados de sócios vindos do cadastro público do CNPJ e dados do certame publicados pelos portais: execução de contrato e legítimo interesse (art. 7º, V e IX), respeitadas a finalidade e a boa-fé da publicação original (art. 7º, § 3º).
• Não vendemos dados e não usamos os dados da empresa para fins alheios ao serviço. Nada do que é cadastrado no painel vai ao Meta.

Cookies

O site usa cookies necessários e, só com o seu consentimento, o Microsoft Clarity (estatísticas, no site público, no cadastro, no login e na ativação da conta) e o Pixel do Meta (medição de anúncios, só no site público), cada um com a sua escolha. Nada disso é carregado antes da sua decisão, nenhuma opção vem marcada e a decisão pode ser mudada pelo link Preferências de cookies no rodapé. A medição própria de navegação do Strela não usa cookie. A lista completa, com nome, finalidade e duração de cada cookie, está na Política de cookies.

Com quem compartilhamos e transferência internacional

O banco de dados e os servidores da aplicação ficam no Brasil. Compartilhamos dados só com quem precisa deles para o serviço funcionar, na medida necessária a cada função, sob contrato e sob os termos de proteção de dados de cada fornecedor, com as salvaguardas que a LGPD exige para transferência internacional (art. 33). Os principais são:

• Infraestrutura de nuvem (Google Cloud, Google LLC, Estados Unidos): armazenamento dos documentos, cofre de segredos para credenciais e certificados, e leitura automatizada de editais.
• Gravação da navegação e mapa de calor (Microsoft Clarity, Microsoft Corporation, Estados Unidos): no site público, no cadastro, no login e na ativação da conta, nunca dentro do painel, e só com o consentimento de estatísticas. O que se digita nos formulários fica mascarado e não é gravado.
• Login com o Google (Google LLC, Estados Unidos): nas páginas com o botão Continuar com Google (site público, cadastro e login), o navegador carrega o script de login do Google; quando você usa o botão, o Google nos confirma o seu nome e e-mail, e o Strela não recebe a sua senha do Google.
• Medição de anúncios (Meta Platforms, Inc., Estados Unidos): só com o consentimento de marketing. Recebe o Pixel do site público e, do pré-cadastro, e-mail, telefone e nome criptografados (hash), o endereço IP e o navegador, sob os Termos das Ferramentas de Negócios da Meta.
• Telemetria de erro (Sentry, Functional Software, Inc., Estados Unidos): com os dados pessoais removidos antes do envio.
• Cadastro público do CNPJ (fonte no Brasil): recebe o CNPJ informado e devolve os dados que a Receita Federal publica.
• Portais de compras públicas: recebem credenciais, propostas, lances e documentos apenas quando a empresa executa uma operação neles, e tratam esses dados como controladores próprios, sob as regras de cada portal.
• Autoridades públicas: quando a lei exigir ou por ordem judicial ou administrativa, no limite do pedido.
• Sucessor do negócio: em reorganização societária, fusão ou venda, os dados podem passar a quem assumir o serviço, nas condições desta política e com aviso aos titulares.

Por quanto tempo guardamos

Cada dado tem um prazo, e o prazo termina com a finalidade.

• Dados da conta, empresas, documentos, credenciais e certificados: enquanto a conta existir. Depois de um pedido de exclusão há 30 dias de carência para cancelar; passado o prazo, tudo é apagado, inclusive os segredos no cofre e os arquivos, menos o que os itens abaixo guardam por mais tempo.
• CNPJ das empresas que já usaram o teste grátis: guardamos só um código criptográfico gerado a partir do número (hash SHA-256), para o teste valer uma vez por empresa. Esse código fica enquanto o Strela oferecer teste grátis, mesmo depois da exclusão da conta, com base no legítimo interesse de prevenir fraude (art. 7º, IX).
• Sessões: até 30 dias depois de vencerem.
• Registros de acesso e auditoria: 12 meses.
• Convites não aceitos: 90 dias depois de vencerem.
• Decisões do robô e mensagens da disputa: 30 dias.
• Chat do pregoeiro e ranking dos certames monitorados: enquanto a conta existir, por serem o histórico dos certames.
• Faturas e notas fiscais: 5 anos, por obrigação fiscal, mesmo depois da exclusão da conta.
• Registro do seu aceite de termos e política: enquanto for necessário para comprovar o consentimento, sem o endereço IP depois da exclusão da conta.
• Pré-cadastro: enquanto durar o pré-lançamento e a conversa sobre o teste. A pedido, pelo canal de privacidade, apagamos antes.
• Navegação no site e na entrada do produto (medição própria), e o nome e o e-mail de cadastro começado com o Google e não concluído: 180 dias. No Microsoft Clarity, as gravações ficam 30 dias (as marcadas e uma amostra, até 9 meses) e os mapas de calor, até 9 meses, pelas regras da Microsoft.
• Cookies: os prazos estão na Política de cookies.

Seus direitos (art. 18 da LGPD)

Você pode, a qualquer momento e sem custo:

• Confirmar que tratamos seus dados e receber uma cópia deles: pelo canal de privacidade. Enviamos um arquivo em formato aberto (JSON) com tudo o que guardamos sobre você e, se você é dono da conta, sobre a conta.
• Corrigir dados incompletos ou desatualizados: nome e senha em Meu perfil; dados da empresa em Minhas Empresas; e-mail de acesso pelo canal de privacidade.
• Pedir anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos: pelo canal de privacidade.
• Levar seus dados para outro fornecedor (portabilidade): o mesmo arquivo em formato aberto, pedido pelo canal de privacidade.
• Eliminar os dados tratados com consentimento e revogar o consentimento: cookies pelo link Preferências de cookies no rodapé; a conta inteira pelo botão Excluir conta, na aba Privacidade de Meu perfil.
• Saber com quem compartilhamos: as categorias estão nesta política, e a lista dos fornecedores em uso é enviada a pedido.
• Saber que pode não consentir e o que acontece: os cookies analíticos e de marketing são opcionais e o site, inclusive o pré-cadastro, funciona igual sem eles. O aceite dos termos e desta política é condição para usar o serviço.
• Opor-se a tratamento feito com base em legítimo interesse: pelo canal de privacidade.
• Reclamar à Autoridade Nacional de Proteção de Dados (ANPD) se entender que seus direitos não foram atendidos.

Prazo de resposta e confirmação de identidade

O que é autoatendimento (revogação de cookies, sessões, exclusão de conta) acontece na hora. Os demais pedidos, inclusive a cópia dos seus dados, são respondidos em até 15 dias (art. 19). Antes de responder podemos pedir uma confirmação de identidade, para não entregar dados a quem não é o titular.

Pedido sobre dados que uma empresa cliente cadastrou a seu respeito é encaminhado a ela, que decide como controladora, e nós executamos o que ela instruir.

Segurança e incidentes

Senhas guardadas com hash, credenciais e certificados em cofre de segredos com acesso restrito, comunicação cifrada, sessões com prazo e revogação, e registro das ações relevantes. Nenhum sistema é inviolável, e por isso os controles são revisados e a resposta a incidentes é planejada.

Um incidente de segurança que possa causar risco ou dano relevante aos titulares é comunicado à ANPD e às pessoas afetadas na forma e no prazo da Resolução CD/ANPD 15/2024, com a descrição do ocorrido, os dados envolvidos e as medidas tomadas.

Menores de idade

O Strela é um serviço entre empresas e não é destinado a menores de 18 anos. Não criamos conta para menores e, se soubermos de dados de um menor cadastrados por engano, apagamos.

Mudanças

A data da versão em vigor aparece no alto desta página. Mudança relevante exige novo aceite, pedido no painel antes de continuar, e a versão aceita fica registrada.