Vigência: 28 de agosto de 2026 Versão: 1.1
Esta Política explica, de forma direta, quais dados pessoais os sistemas da Queiroz Marra (VenceEdital e BALIZA) coletam, por que coletam, com quem compartilham, por quanto tempo guardam e como você exerce seus direitos. As regras gerais valem para os dois; as particularidades do BALIZA, que roda no seu equipamento, estão na seção 15.
Ela segue a Lei nº 13.709/2018, a Lei Geral de Proteção de Dados Pessoais (LGPD).
1. Quem é o controlador dos dados
Queiroz Marra Soluções Integradas CNPJ 29.684.369/0001-42 Sede em Goiânia, Estado de Goiás Site: queirozmarrasistemas.com.br
A Queiroz Marra é a controladora dos dados pessoais tratados no VenceEdital, ou seja, é quem toma as decisões sobre esse tratamento.
2. Canal do Encarregado (DPO)
Para tratar de qualquer assunto relacionado a dados pessoais, incluindo o exercício dos direitos previstos na LGPD, fale com o Encarregado pelo Tratamento de Dados Pessoais da Queiroz Marra:
E-mail: contato@queirozmarrasistemas.com.br Assunto sugerido: LGPD, aos cuidados do Encarregado Endereço para correspondência: sede da Queiroz Marra, em Goiânia, Estado de Goiás.
A indicação de encarregado e a divulgação de seu canal de contato atendem ao art. 41 da LGPD.
3. A quem esta Política se aplica
Esta Política se aplica aos dados pessoais de:
- representantes, sócios, contadores, prepostos e funcionários da empresa contratante, cujos dados são inseridos no sistema;
- visitantes do site que preenchem formulários ou navegam pelas páginas públicas;
- terceiros cujos dados constam em bases públicas oficiais e aparecem nas consultas feitas pelo cliente, como os sócios de empresas concorrentes. Esse ponto tem uma seção própria, a de número 10.
Observação importante: dados de pessoa jurídica, como razão social e CNPJ, não são, em si, dados pessoais. Porém, quando se referem a empresário individual ou permitem identificar uma pessoa natural, recebem a mesma proteção prevista nesta Política.
4. Quais dados coletamos
4.1 Dados de cadastro da conta
Razão social, CNPJ, unidade da federação (UF), e-mail e senha.
Sobre a senha: ela é gerenciada pelo serviço de autenticação da plataforma (Supabase Auth). A senha não trafega nem é armazenada por nós em texto legível. A conferência da senha ocorre no servidor do provedor de autenticação. Nem a equipe da Queiroz Marra nem qualquer usuário do sistema tem acesso à senha de outra pessoa.
4.2 Dados do perfil da empresa
Preenchidos pelo próprio cliente:
- endereço da empresa;
- dados do representante legal: nome, CPF, RG, nacionalidade e estado civil;
- dados do contador: nome e número de registro no CRC;
- inscrição estadual e inscrição municipal;
- índices contábeis: liquidez, solvência, patrimônio líquido e capital social.
4.3 Documentos do cofre de habilitação
Arquivos que o próprio cliente envia (upload) referentes à empresa dele, tais como certidões negativas federal, estadual, municipal, de FGTS, trabalhista e de falência, contrato social, balanço patrimonial e atestados de capacidade técnica.
Esses documentos podem conter dados pessoais de sócios, representantes e responsáveis técnicos, como nome, CPF e assinatura.
4.4 Dados obtidos em fontes públicas oficiais
Quando o cliente utiliza as funções de consulta, o sistema busca informações em:
| Fonte | O que é consultado |
|---|---|
| PNCP, Portal Nacional de Contratações Públicas | editais e preços de contratações públicas |
| CEIS e CNEP, da Controladoria-Geral da União | registros de empresas sancionadas e punidas |
| BrasilAPI | dados cadastrais e quadro societário por CNPJ |
| Painel de Preços do Compras.gov.br | preços praticados em compras públicas |
Essas consultas podem retornar nomes de sócios, que são dados pessoais de terceiros. Veja a seção 10.
4.5 Dados de configuração do boletim
Palavras-chave escolhidas pelo cliente e o e-mail de destino, quando ele opta por receber o boletim de editais novos.
4.6 Dados de suporte
Quando o cliente usa o botão de reportar problema, o sistema registra a página em que ele estava e a conta que fez o relato, além do texto que ele escrever.
4.7 Dados de pagamento
Identificação do cliente, valor, meio de pagamento escolhido, status e datas da cobrança. A cobrança é processada pela Asaas. A Queiroz Marra não armazena os dados completos do cartão de crédito, que são coletados e tratados no ambiente do prestador de pagamento.
4.8 Dados técnicos de acesso
Registros de acesso e de uso, como data e hora, endereço IP, identificação do navegador e ações realizadas na conta, gerados automaticamente para segurança, auditoria e cumprimento de obrigação legal.
4.9 O que não coletamos
O VenceEdital não solicita dados pessoais sensíveis (como origem racial, convicção religiosa, opinião política, filiação sindical, dados de saúde, vida sexual, dado genético ou biométrico) e não se destina a menores de 18 anos. Se algum dado dessa natureza for inserido pelo cliente em um documento do cofre, ele terá sido enviado por iniciativa e responsabilidade exclusiva do cliente.
5. Para que usamos os dados e com qual base legal
A LGPD exige uma base legal para cada tratamento. As bases utilizadas aqui estão no art. 7º da LGPD.
| Tratamento | Finalidade | Base legal |
|---|---|---|
| Cadastro e criação da conta | identificar o cliente, criar e manter o acesso ao sistema | execução de contrato ou de procedimentos preliminares a pedido do titular, art. 7º, V |
| Autenticação e gestão de senha | garantir que só o titular da conta acesse os dados dela | execução de contrato, art. 7º, V, e segurança, art. 7º, IX, com o art. 46 |
| Perfil da empresa, representante legal, contador e índices contábeis | preencher e organizar as informações usadas nos documentos de habilitação e nas análises do sistema | execução de contrato, art. 7º, V |
| Cofre de habilitação (upload, guarda e organização dos documentos) | manter os documentos disponíveis ao cliente e permitir o controle de validade | execução de contrato, art. 7º, V |
| Consulta a fontes públicas oficiais sobre a própria empresa | apoiar a verificação da situação da empresa do cliente | execução de contrato, art. 7º, V |
| Consulta a CNPJs de terceiros e análise de concorrentes | permitir ao cliente analisar o cenário competitivo em contratações públicas, com dados de acesso público | legítimo interesse do controlador ou de terceiro, art. 7º, IX, com o art. 10, observado o art. 7º, § 3º. Detalhes na seção 10 |
| Boletim de editais por e-mail | enviar avisos de editais novos conforme as palavras-chave escolhidas | consentimento do titular, art. 7º, I, revogável a qualquer momento |
| Suporte e botão de reportar problema | receber, entender e resolver o problema relatado | execução de contrato, art. 7º, V |
| Cobrança, faturamento e controle de inadimplência | receber pelo serviço, emitir e conferir cobranças | execução de contrato, art. 7º, V |
| Emissão de documentos fiscais e guarda contábil | cumprir a legislação fiscal e contábil aplicável | cumprimento de obrigação legal ou regulatória, art. 7º, II |
| Registros de acesso à aplicação | cumprir o dever legal de guarda de registros de acesso e permitir apuração de uso indevido | cumprimento de obrigação legal, art. 7º, II, conforme o art. 15 da Lei nº 12.965/2014 (Marco Civil da Internet), e legítimo interesse em segurança, art. 7º, IX |
| Prevenção a fraude, abuso e ataque | proteger o sistema, os clientes e os dados | legítimo interesse, art. 7º, IX, com o art. 46 |
| Defesa em processo judicial, administrativo ou arbitral | exercer regularmente direitos em caso de litígio | exercício regular de direitos, art. 7º, VI |
| Métricas agregadas de uso do produto | melhorar funcionalidades sem identificar pessoas | dados anonimizados, aos quais a LGPD não se aplica, nos termos do art. 12 |
Sobre o legítimo interesse: quando usamos essa base, tratamos apenas os dados estritamente necessários à finalidade pretendida, conforme exige o art. 10, § 1º, da LGPD, e mantemos registro dessas operações, na forma do art. 37.
Sobre o consentimento: ele é usado apenas para o boletim por e-mail. A recusa ou a revogação não impedem o uso do sistema, apenas interrompem o envio do boletim.
6. Com quem compartilhamos os dados
Não vendemos dados pessoais e não os cedemos para uso comercial de terceiros.
O compartilhamento ocorre apenas com operadores, empresas que tratam dados em nome da Queiroz Marra e seguindo as instruções dela, conforme o art. 5º, VII, e o art. 39 da LGPD:
| Operador | Para que é usado | Dados envolvidos |
|---|---|---|
| Vercel | hospedagem do site e da aplicação, e execução das funções do sistema | dados que trafegam no uso da plataforma e registros técnicos de acesso |
| Supabase | banco de dados, autenticação de usuários e armazenamento dos arquivos do cofre de habilitação | dados de cadastro, perfil da empresa, credenciais de autenticação e documentos enviados |
| Asaas | processamento dos pagamentos por PIX, cartão e boleto | identificação do cliente, valores, status e dados necessários à cobrança |
| Resend | envio de e-mails transacionais e do boletim de editais, quando esse recurso estiver ativo | e-mail de destino e conteúdo da mensagem |
Além desses casos, os dados podem ser compartilhados:
- com autoridades públicas, quando houver requisição legal, ordem judicial ou dever legal de informar;
- com advogados e assessores, no estritamente necessário à defesa de direitos da Queiroz Marra;
- em caso de reorganização societária, fusão ou aquisição, hipótese em que o sucessor fica obrigado a manter as condições desta Política, com aviso prévio aos titulares.
As consultas a fontes públicas oficiais são o caminho inverso: nós recebemos dados dessas bases, não enviamos dados dos nossos clientes para elas, salvo o CNPJ necessário para realizar a própria consulta.
7. Transferência internacional de dados
Os operadores de infraestrutura utilizados (Vercel, Supabase, Asaas e Resend) são serviços prestados pela internet e podem armazenar ou processar dados em servidores localizados fora do Brasil, conforme a região de infraestrutura contratada e a arquitetura de cada fornecedor.
Quando isso ocorrer, a transferência se apoia nas hipóteses do art. 33 da LGPD, especialmente:
- art. 33, IX, por ser necessária para atender à hipótese do art. 7º, V, ou seja, a execução do contrato firmado com o cliente, sem a qual o serviço não pode ser prestado;
- art. 33, II, pela adoção de garantias contratuais oferecidas pelos fornecedores, incluindo cláusulas contratuais de proteção de dados constantes dos termos de tratamento de dados desses prestadores.
O cliente pode solicitar, pelo canal do Encarregado, informação atualizada sobre a localização da infraestrutura utilizada.
8. Por quanto tempo guardamos os dados
O critério é o do art. 16 da LGPD: os dados são eliminados após o término do tratamento, salvo quando a lei autorizar ou obrigar a conservação.
| Categoria | Prazo de guarda |
|---|---|
| Dados de cadastro e perfil da empresa, com a conta ativa | enquanto a assinatura estiver vigente |
| Documentos do cofre de habilitação, com a conta ativa | enquanto a assinatura estiver vigente |
| Conta bloqueada por inadimplência | os dados e documentos são mantidos íntegros, sem eliminação, enquanto durar o bloqueio, observado o prazo de rescisão previsto nos Termos de Uso |
| Documentos do cofre, após o cancelamento | mantidos por no mínimo 30 dias corridos contados do encerramento do acesso, para que você possa exportá-los. Após esse prazo, a eliminação definitiva ocorre mediante solicitação sua pelo canal do Encarregado, ou na rotina periódica de expurgo. Se quiser a exclusão imediata após o prazo, basta pedir |
| Dados de cadastro e histórico contratual, após o cancelamento | mantidos pelo prazo necessário ao cumprimento de obrigação legal fiscal e contábil e à defesa de direitos, e depois eliminados ou anonimizados |
| Registros de acesso à aplicação | no mínimo 6 meses, conforme o art. 15 da Lei nº 12.965/2014, podendo ser mantidos por prazo maior mediante requisição de autoridade competente |
| Dados de pagamento sob guarda do prestador Asaas | conforme a política de retenção do próprio prestador e a legislação aplicável |
| Dados do boletim por e-mail | até a revogação do consentimento ou o cancelamento da conta |
Recomendação prática: exporte os documentos do cofre antes de cancelar a assinatura. Depois do prazo de 30 dias, a eliminação é definitiva e não há como recuperar os arquivos.
9. Seus direitos como titular
O art. 18 da LGPD garante a você, a qualquer momento e mediante requisição, os seguintes direitos:
1. Confirmação da existência de tratamento (inciso I): saber se tratamos dados seus.
2. Acesso aos dados (inciso II): obter os dados pessoais que tratamos sobre você.
3. Correção (inciso III): corrigir dados incompletos, inexatos ou desatualizados.
4. Anonimização, bloqueio ou eliminação (inciso IV): de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
5. Portabilidade (inciso V): pedir a portabilidade a outro fornecedor de serviço ou produto, mediante requisição expressa, observados os segredos comercial e industrial e a regulamentação da autoridade nacional.
6. Eliminação dos dados tratados com consentimento (inciso VI): pedir a exclusão dos dados que tratamos com base no seu consentimento, salvo nas hipóteses de conservação do art. 16 da LGPD.
7. Informação sobre compartilhamento (inciso VII): saber com quais entidades públicas e privadas compartilhamos seus dados.
8. Informação sobre a possibilidade de não consentir (inciso VIII): saber que você pode não fornecer consentimento e quais são as consequências disso.
9. Revogação do consentimento (inciso IX): retirar, a qualquer momento, o consentimento dado, por exemplo para o boletim por e-mail.
Você também pode opor-se a tratamento feito com base em hipótese de dispensa de consentimento, em caso de descumprimento da LGPD (art. 18, § 2º), e peticionar perante a ANPD e perante os órgãos de defesa do consumidor (art. 18, §§ 1º e 8º).
9.1 Como exercer
Envie o pedido para contato@queirozmarrasistemas.com.br, com o assunto "LGPD, aos cuidados do Encarregado", descrevendo o que deseja.
Para proteger seus dados, podemos solicitar informações adicionais que confirmem sua identidade. Esse pedido tem finalidade exclusiva de segurança e evita que alguém obtenha dados se passando por você.
9.2 Prazos e custo
O atendimento é gratuito (art. 18, § 5º, da LGPD).
Nos pedidos de confirmação de tratamento ou de acesso, respondemos em formato simplificado, de imediato, ou por declaração clara e completa em até 15 dias contados do requerimento, conforme o art. 19 da LGPD. Para os demais pedidos, respondemos no menor prazo possível.
Se não for possível atender de imediato, informaremos que não somos agentes de tratamento daqueles dados, indicando quem é sempre que possível, ou as razões de fato ou de direito que impedem o atendimento, conforme o art. 18, § 4º, da LGPD.
10. Dados de terceiros consultados pelo cliente
Esta seção trata do ponto mais delicado do sistema e merece leitura atenta.
10.1 O que acontece
O VenceEdital permite que o cliente digite CNPJs de outras empresas e obtenha informações sobre elas em bases públicas oficiais. O resultado pode incluir nomes de sócios, que são dados pessoais de pessoas naturais que não são clientes do VenceEdital.
10.2 De onde vêm esses dados
Esses dados não são produzidos, comprados ou enriquecidos pela Queiroz Marra. Eles vêm de bases públicas oficiais, mantidas por órgãos públicos e disponibilizadas por determinação legal de transparência, notadamente:
- o quadro societário obtido por CNPJ, com origem nos dados cadastrais públicos de pessoa jurídica, acessados por meio da BrasilAPI;
- os cadastros de sanções CEIS e CNEP, mantidos pela Controladoria-Geral da União;
- as informações de contratações públicas do PNCP e do Painel de Preços do Compras.gov.br.
Nessas fontes, o CPF já vem mascarado na origem, e o sistema exibe exatamente o que a fonte entrega, sem tentar completar, deduzir ou reconstruir o número.
10.3 Qual a base legal
O tratamento se apoia no legítimo interesse do controlador ou de terceiro (art. 7º, IX, da LGPD), na forma do art. 10, considerando que:
- a finalidade é legítima, específica e delimitada: analisar o cenário competitivo e a regularidade de participantes em contratações públicas, atividade regida por princípios de publicidade e de transparência;
- tratamos somente os dados estritamente necessários a essa finalidade, conforme o art. 10, § 1º;
- trata-se de dados de acesso público, cuja disponibilização foi determinada em nome do interesse público. O art. 7º, § 3º, da LGPD exige que esse tratamento considere a finalidade, a boa-fé e o interesse público que justificaram a disponibilização, e é exatamente esse o critério que aplicamos;
- não realizamos, com esses dados, marketing, formação de mala direta, venda de listas, perfilamento comportamental, decisão automatizada sobre pessoas ou qualquer uso alheio à finalidade acima.
10.4 Qual é a responsabilidade do cliente
A consulta parte de uma decisão do cliente, que digita o CNPJ e define quando e por que pesquisar. Por isso, o cliente responde pela finalidade e pelo uso que faz do resultado, e se compromete a:
- consultar apenas com propósito ligado à participação em contratações públicas;
- não divulgar, publicar, comercializar, cruzar com outras bases nem repassar os dados obtidos para finalidade diversa;
- não usar os dados para constranger, expor, discriminar ou prejudicar qualquer pessoa;
- responder por eventuais consequências do uso indevido, inclusive perante o titular dos dados e perante as autoridades.
O uso comprovadamente indevido autoriza a suspensão imediata do acesso e a rescisão do contrato, conforme os Termos de Uso.
10.5 Se você é um titular de dados que apareceu em uma consulta
Se você é sócio ou representante de empresa e teve seus dados exibidos em uma consulta do VenceEdital, você tem os mesmos direitos da seção 9 e pode acionar o canal do Encarregado.
Neste ponto, precisamos ser transparentes: os dados exibidos são reproduzidos da fonte pública oficial. Podemos atender pedidos relativos ao que consta em nosso ambiente, mas não temos poder para alterar ou remover a informação na base de origem, o que depende do órgão responsável por ela.
11. Segurança da informação
Adotamos medidas técnicas e administrativas de proteção, na forma do art. 46 da LGPD. As medidas efetivamente implementadas no VenceEdital são:
- senha conferida no servidor, pelo serviço de autenticação da plataforma. A senha não trafega nem fica armazenada por nós em texto legível, e não pode ser vista pela equipe da Queiroz Marra;
- isolamento por empresa com Row Level Security (RLS) no banco de dados, regra que impede, na própria camada do banco, que uma conta leia dados de outra;
- bucket privado para os arquivos do cofre de habilitação, ou seja, os documentos não ficam acessíveis por endereço público na internet;
- URL assinada de curta duração para abrir ou baixar um documento, o que faz o endereço de acesso expirar em pouco tempo e deixar de funcionar;
- tráfego criptografado entre o navegador e a plataforma;
- registro das operações de acesso, para auditoria e apuração de uso indevido;
- acesso restrito dos prestadores ao estritamente necessário para a execução dos serviços contratados.
Não afirmamos possuir certificação, selo ou auditoria externa de segurança, e não prometemos inviolabilidade absoluta, porque nenhum sistema conectado à internet pode oferecer essa garantia. O que assumimos é o dever de manter, revisar e melhorar continuamente essas medidas.
A sua parte também conta: guarde a senha em sigilo, não a compartilhe e avise imediatamente pelo canal oficial se suspeitar de acesso indevido.
12. Cookies e tecnologias semelhantes
O VenceEdital utiliza cookies e armazenamento local do navegador estritamente necessários ao funcionamento do serviço, a saber:
- cookies de autenticação e sessão, que mantêm o usuário conectado com segurança e evitam que ele precise digitar a senha a cada tela;
- cookies de segurança, que ajudam a detectar acesso indevido e a proteger o formulário de login;
- preferências de uso, que guardam escolhas simples de exibição feitas pelo usuário.
Esses cookies são indispensáveis para a prestação do serviço. Se forem bloqueados no navegador, o acesso ao sistema pode deixar de funcionar.
O navegador permite bloquear ou apagar cookies a qualquer momento, nas configurações de privacidade do próprio programa.
Caso venhamos a utilizar cookies de medição de audiência ou de publicidade, esta Política será atualizada e o consentimento será solicitado previamente, quando exigido.
13. Incidentes de segurança
Se ocorrer incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Queiroz Marra comunicará a ANPD e os titulares afetados, em prazo razoável, conforme o art. 48 da LGPD.
A comunicação informará, no mínimo, a natureza dos dados afetados, as informações sobre os titulares envolvidos, as medidas técnicas e de segurança utilizadas, os riscos relacionados ao incidente, os motivos de eventual demora e as medidas adotadas ou a adotar para reverter ou mitigar os efeitos.
Internamente, mantemos procedimento de contenção, apuração da causa, correção e registro do ocorrido.
14. Alterações desta Política
Esta Política pode ser atualizada para refletir mudanças no serviço, na tecnologia empregada ou na legislação.
Alterações relevantes serão comunicadas por e-mail e avisadas no sistema, com antecedência mínima de 30 dias da entrada em vigor, salvo quando a mudança decorrer de determinação legal de aplicação imediata.
A versão vigente e sua data constam sempre no topo deste documento. Recomendamos a leitura periódica.
15. BALIZA, software que roda no seu equipamento
O BALIZA é licenciado e executado no equipamento do próprio Contratante, e não como acesso remoto. Os dados das obras que o Contratante insere no BALIZA ficam armazenados no equipamento dele, sob a sua guarda, e não trafegam nem são armazenados pela Queiroz Marra. Em relação a esses dados de obra, a Queiroz Marra não atua como controladora nem como operadora, pois não os acessa nem os trata. O Contratante é o controlador desses dados perante a LGPD, e a ele cabem as decisões, a base legal e as respostas a titulares.
Quanto ao BALIZA, a Queiroz Marra trata apenas os dados necessários à contratação, ao pagamento, à ativação da licença e ao suporte, na condição de controladora desse tratamento específico, com as mesmas regras de retenção, direitos e segurança desta Política. A realização de cópias de segurança dos dados de obra é responsabilidade do Contratante.
16. Dúvidas
Queiroz Marra Soluções Integradas CNPJ 29.684.369/0001-42 Goiânia, Estado de Goiás Encarregado pelo Tratamento de Dados Pessoais: contato@queirozmarrasistemas.com.br
Se você entender que seus direitos não foram atendidos, pode apresentar reclamação à ANPD, a autoridade nacional de proteção de dados de que trata a LGPD, e aos órgãos de defesa do consumidor.
Documento em vigor desde 28 de agosto de 2026.