# Política de Privacidade da Plataforma CPSI

> Política de Privacidade da Plataforma CPSI, versão 2.1, nos termos da LGPD.
>
> Página: https://www.plataformacpsi.com.br/politica-de-privacidade

> Versão 2.1 · vigente a partir de 06/10/2026 · substitui a versão 2.0, de 05/10/2026, e o Aviso de Privacidade de fevereiro de 2026

A Plataforma CPSI é operada pelo Instituto Minerva, associação privada sem fins lucrativos e Instituição Científica, Tecnológica e de Inovação (ICT) privada (Lei nº 10.973/2004, art. 2º, V), inscrita no CNPJ sob o nº 47.738.908/0001-60, com sede em São Paulo/SP (doravante "Plataforma CPSI"). Esta Política explica, nos termos da Lei nº 13.709/2018 (LGPD), quais dados pessoais a Plataforma CPSI trata, para quê, com qual base legal, com quem compartilha, onde guarda e por quanto tempo, e como o titular exerce seus direitos. Ela informa e não pede consentimento, salvo onde indicado.

**Medidas em implantação.** Os trechos assinalados com (*) dependem de medida que está em implantação. A situação de cada medida consta do Quadro de implantação publicado no Site e atualizado a cada entrega. Enquanto não implantada, a medida não está disponível, e a Plataforma CPSI não a declara como existente.

## 1. Quem trata os seus dados

1.1. **A Plataforma CPSI é controladora** dos dados de cadastro, de acesso, de suporte, de aceite dos Termos e de comunicação, que trata para operar a plataforma.

1.2. **A Instituição é controladora** dos dados pessoais contidos nos processos de contratação que conduz na plataforma (propostas, declarações, avaliações, atas, contratos, medições e trilhas do processo). Nesses dados, a Plataforma CPSI é **operadora** (LGPD, art. 5º, VII): trata em nome da Instituição e segundo as instruções dela, previstas no acordo de cooperação.

1.3. **Encarregado de dados:** Encarregado pelo Tratamento de Dados Pessoais do Instituto Minerva, designado pelo Diretor-Presidente, pelo e-mail dpo@plataformacpsi.com.br. A identificação de quem ocupa o cargo é exibida nesta página (LGPD, art. 41, §1º, e Resolução CD/ANPD nº 18/2024).

## 2. Definições

| Termo | Sentido |
|---|---|
| Dado pessoal | Informação relacionada a pessoa natural identificada ou identificável |
| Titular | Pessoa natural a quem se referem os dados pessoais |
| Controlador | Quem toma as decisões sobre o tratamento |
| Operador | Quem realiza o tratamento em nome do controlador |
| Tratamento | Toda operação com dados pessoais: coleta, uso, acesso, armazenamento, transferência, eliminação e as demais |
| Instituição | Órgão ou entidade pública que conduz processos na plataforma |

## 3. Dados que tratamos

| Categoria | Dados | De quem |
|---|---|---|
| Cadastro | Nome, CPF, e-mail, telefone, cargo, função, secretaria e departamento; órgão, CNPJ, esfera, cidade, UF e endereço | Gestores públicos e solicitantes de pré-cadastro |
| Cadastro | Nome, CPF, e-mail, telefone; razão social e CNPJ da pessoa jurídica representada | Proponentes |
| Cadastro | Nome, CPF, e-mail, telefone, instituição, área de conhecimento, titulação e endereço do currículo ou Lattes | Avaliadores |
| Autenticação | E-mail, identificador e senha protegida por resumo, guardados pelo provedor de autenticação | Todos |
| Acesso | Registros de acesso à aplicação (data, hora e endereço IP) e cookies de sessão | Todos |
| Assinatura | Nome, CPF protegido por resumo, nível da assinatura, certificado (na qualificada), data e hora, endereço IP e navegador, no pacote de evidências; o IP e o navegador ficam só no pacote de acesso restrito (*) | Quem assina |
| Processo | Propostas, documentos, declarações, autodeclaração e Termo de Integridade, pareceres, notas, atas, mensagens, protocolos, medições e o retrato do cadastro no momento de cada ato | Participantes do processo |
| Aceite | Data e hora do aceite; versão, resumo do texto e endereço IP (*) | Todos |
| Suporte | Mensagens trocadas com o suporte | Quem pede suporte |
| Assistente de redação | Instruções e trechos de minuta enviados ao assistente de redação, quando habilitado; os dados pessoais presentes no texto são anonimizados antes de chegarem ao assistente | Gestores públicos |

A plataforma não coleta dado pessoal sensível nem dado de criança ou adolescente. Quando a verificação de identidade por biometria for implantada, esta Política será atualizada antes do início desse tratamento. Não exija nem envie esses dados nas propostas, salvo exigência do edital.

## 4. Para quê, com qual base e por quanto tempo

| Finalidade | Base legal (LGPD) | Prazo de guarda |
|---|---|---|
| Criar e manter o cadastro e autenticar o acesso | Execução de contrato (art. 7º, V) | Enquanto a conta existir e 5 anos após o encerramento; depois, eliminação ou anonimização |
| Registrar aceites e versões dos Termos e desta Política | Exercício regular de direitos (art. 7º, VI) | 10 anos após o encerramento da conta |
| Registrar acessos à aplicação | Cumprimento de obrigação legal (art. 7º, II; Lei 12.965/2014, art. 15) | 1 ano |
| Conduzir processos de contratação da Instituição | Obrigação legal e execução de políticas públicas, a cargo da Instituição (art. 7º, II e III; art. 23) | Pela tabela de temporalidade da Instituição: em regra, 10 anos após o encerramento, e guarda permanente para editais, atas, decisões, contratos e dossiês |
| Assinaturas e evidências | Obrigação legal e exercício regular de direitos (art. 7º, II e VI) | O mesmo prazo do documento assinado |
| Atender o suporte | Execução de contrato (art. 7º, V) | 5 anos após o atendimento |
| Cobrar a Taxa de Manutenção | Execução de contrato (art. 7º, V) | Prazo prescricional e fiscal aplicável |
| Enviar comunicações operacionais (convites, prazos, avisos) | Execução de contrato (art. 7º, V) | Enquanto a conta existir |
| Enviar materiais institucionais e de divulgação | Consentimento (art. 7º, I), revogável a qualquer tempo | Até a revogação |
| Estatísticas sobre o uso do CPSI | Legítimo interesse (art. 7º, IX), só com dados agregados e anonimizados | Sem dado pessoal |
| Apoio à redação de problemas e editais | Execução de políticas públicas, a cargo da Instituição, que é a controladora (art. 7º, III; art. 23) | 12 meses para as conversas; o texto adotado segue o prazo do edital |

## 5. Com quem compartilhamos

1. **Entre participantes do processo:** gestores, avaliadores e auditores da Instituição veem os dados do processo na medida das suas funções. No fluxo do processo, o conteúdo sigiloso das propostas só é visto pelos membros da comissão especial de avaliação e julgamento, pelos agentes de contratação e pelos demais gestores públicos designados para o processo.
2. **Com a Instituição,** controladora dos dados do processo.
3. **Com o público,** só o que a Instituição tornar público, inclusive no Portal Nacional de Contratações Públicas, quando a integração estiver habilitada.
4. **Com prestadores de infraestrutura,** listados na seção 6.
5. **Com autoridades,** por obrigação legal ou ordem judicial.

A Plataforma CPSI não vende dados pessoais, não os cede para publicidade e não usa conteúdo de propostas para treinar modelos de linguagem.

## 6. Onde os dados ficam e transferência internacional

| Prestador | Para quê | País |
|---|---|---|
| Hostinger | Servidor da aplicação, banco de dados e cópia de trabalho dos documentos | Brasil |
| Google Cloud | Cópia de preservação, backups e serviço de chaves | Brasil (São Paulo) e Chile (Santiago) |
| Google Firebase | Autenticação | Estados Unidos |
| Cloudflare | Cópia de contingência e backup, só com conteúdo cifrado (*) | Fora do Brasil |
| Amazon Web Services | Envio de e-mails; serviço de chaves (*) | Estados Unidos, para os e-mails, com migração para o Brasil em andamento (*); Brasil, para as chaves |
| Oracle Cloud | Serviço de chaves (*) | Brasil |
| Emissores de carimbo do tempo | Recebem só resumos, sem dado pessoal | Exterior |
| Anthropic (Claude) ou xAI (Grok), conforme configuração, quando habilitado | Motor do assistente de redação, sem uso dos dados para treino e com retenção curta para prevenção de abuso | Estados Unidos |

6.1. Documentos e backups só saem do Brasil depois de cifrados pela plataforma, com chaves no Brasil (*). Hoje, a réplica do backup do banco de dados em Santiago (Chile) é cifrada em repouso pelo provedor.

6.2. As transferências internacionais se fundamentam nas cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024), incorporadas ao contrato de cada prestador. O titular pode pedir cópia dessas cláusulas pelo e-mail do encarregado, e a cópia é entregue em até 15 dias.

6.3. Para os dados do processo, a transferência é autorizada pela Instituição no acordo de cooperação.

## 7. Segurança

1. Resumo criptográfico SHA-256 de todo arquivo na gravação; trilha de atos e acessos sem alteração nem exclusão; trilha encadeada (*).
2. Cifra por arquivo para documentos restritos e sigilosos, cifra em campo para os textos sigilosos do banco, e chaves em serviço de chaves com registro de uso (*).
3. Quatro cópias de cada documento oficial, duas delas com trava irreversível contra exclusão (*). Hoje, o banco de dados tem cópia em São Paulo e réplica em Santiago, com restauração provada.
4. Controle de acesso por papel e por instituição, conferido no servidor; autenticação em dois fatores nos painéis de infraestrutura (*); tráfego cifrado.
5. Comunicação de incidente à Instituição e aos titulares afetados, nos prazos da Resolução CD/ANPD nº 15/2024.

## 8. Seus direitos

8.1. O titular pode pedir: confirmação do tratamento; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; portabilidade; informação sobre compartilhamentos; revogação do consentimento, onde ele for a base; e revisão de decisão automatizada (LGPD, art. 18).

8.2. **Auxílio automatizado.** A plataforma não toma decisões unicamente automatizadas sobre o titular. As sugestões do assistente de redação são auxílio automatizado à tomada de decisão e só produzem efeito depois do aceite expresso de uma pessoa.

8.3. **Limites.** Documento oficial de processo é guardado por obrigação legal e não é apagado a pedido (LGPD, art. 16, I). A exclusão da conta elimina ou anonimiza o cadastro, mas não apaga os documentos oficiais que o titular produziu nem a trilha. Enquanto a exclusão de conta pela plataforma não estiver disponível (*), o pedido é atendido pelo Encarregado pelo Tratamento de Dados Pessoais.

8.4. **Como pedir.** Pelo e-mail dpo@plataformacpsi.com.br. Pedido sobre dados do processo é encaminhado à Instituição, que é a controladora, com o apoio da Plataforma CPSI. O titular também pode peticionar à ANPD.

## 9. Cookies

O portal usa apenas cookies próprios, necessários ao funcionamento, sem analytics e sem publicidade:

| Cookie | Para quê | Duração |
|---|---|---|
| cpsi_sessao | Manter a sessão | 14 dias |
| cpsi_instituicao | Lembrar a instituição ativa | Sessão do navegador |
| cpsi_idioma | Lembrar o idioma | 1 ano |
| cpsi_tema | Lembrar o tema claro ou escuro | 1 ano |
| cpsi_acesso_emergencial | Controlar o modo de acesso emergencial | 30 minutos |

O site não usa cookies de analytics nem de marketing. Vídeos incorporados usam o modo sem cookies do provedor. O usuário pode apagar cookies nas configurações do navegador.

## 10. Versões e alterações

10.1. Esta Política tem número de versão e data. As versões anteriores ficam publicadas no Site.

10.2. A cada nova versão, a plataforma pede, no próximo acesso, a ciência da versão nova (*).

## 11. Contato

Encarregado pelo Tratamento de Dados Pessoais do Instituto Minerva · dpo@plataformacpsi.com.br