Política de privacidade e proteção de dados

1. Controlador e contato

Controlador: Vortex. Encarregado (DPO) e canal para exercício de direitos: contato@vortexcsc.com.br · (11) 5196-9925. Respondemos em até 15 dias.

2. Quais dados coletamos e por quê

• Navegação e busca (sem cadastro): registros de acesso do servidor (IP, data, página, navegador) por segurança e obrigação legal (Marco Civil, art. 15), e os termos buscados de forma agregada, sem IP nem sessão, para relatórios. Base legal: obrigação legal e legítimo interesse.
• Favoritos, carrinho e "avise-me": um identificador de sessão e, no avise-me, o e-mail informado, para entregar o que você pediu. Base legal: execução do serviço solicitado e consentimento (cancelável pelo link do e-mail).
• Conta (órgão, lojista, consultor, Equipe Vortex): nome, e-mail, senha (só o hash), CPF, telefone, cargo, preferências de notificação, segredo do 2FA (cifrado), datas de acesso. Base legal: execução de contrato e consentimento registrado no cadastro.
• Pedido de adesão e intenção de adesão: dados do solicitante do órgão (nome, e-mail, CPF, telefone, cargo), justificativa e itens, necessários ao fluxo do art. 86 da Lei nº 14.133/2021 e às comunicações entre as partes. Base legal: execução de contrato, cumprimento de obrigação legal e exercício regular de direitos.
• Perguntas públicas nos produtos: nome e e-mail de quem pergunta (e-mail nunca é publicado). Base legal: consentimento.
• Documentos e termos: arquivos enviados pelas partes e termos de aceite gerados pelo portal com hash SHA-256. Base legal: execução de contrato e obrigação legal.
• Trilha de auditoria: ação, data, IP e agente de usuário de operações relevantes (login, aceites, mudanças de status). Base legal: obrigação legal, segurança e prevenção à fraude.

Dados de empresas e órgãos (CNPJ, razão social, atas, itens e preços) não são dados pessoais; dados de atas publicadas no PNCP são públicos por lei (art. 174).

3. Com quem compartilhamos

• As partes do pedido: o lojista detentor, o consultor de adesões (quando houver) e o órgão veem os dados necessários ao pedido e trocam mensagens dentro do portal.
• Integrações do ERP autorizadas pela própria empresa (token e webhook), que recebem os pedidos e reservas da empresa.
• Operadores: hospedagem, e-mail transacional, backup e, quando contratado, gateway de cobrança (só para lojistas e consultores). Todos sob contrato e no Brasil ou com garantias adequadas de transferência.
• Autoridades, quando exigido por lei ou ordem judicial.

Não vendemos dados pessoais nem os usamos para publicidade de terceiros.

4. Cookies

Usamos apenas cookies estritamente necessários: sessão (login, carrinho, favoritos) e proteção contra falsificação de requisição (XSRF). Não há cookies de rastreamento, analytics de terceiros ou publicidade, por isso não exibimos banner de cookies.

5. Por quanto tempo guardamos

• Conta: enquanto ativa e, após exclusão, os dados pessoais são anonimizados imediatamente.
• Pedidos de adesão, termos de aceite, aceites de declarações e trilha de auditoria: 5 anos após o encerramento, pelo prazo de prescrição e fiscalização, sem os dados pessoais de contas excluídas.
• Registros de acesso do servidor: 6 meses (Marco Civil, art. 15).
• Carrinho, favoritos e sessões anônimas: 90 dias sem uso.
• "Avise-me" e perguntas: até o cancelamento pelo link do e-mail ou pedido ao canal de contato.

6. Seus direitos (art. 18)

Confirmação e acesso, correção, anonimização ou eliminação, portabilidade, informação sobre compartilhamento, revogação do consentimento e oposição. Com conta, você exerce a maioria direto no painel, em Meus dados: baixar os dados em JSON, corrigir cadastro, renovar consentimento e excluir a conta. Sem conta, ou para o que a tela não resolver, escreva para contato@vortexcsc.com.br. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

7. Como protegemos

HTTPS obrigatório, senhas com hash forte e política de força, bloqueio progressivo de tentativas, verificação em duas etapas (obrigatória para a Equipe Vortex), documentos privados servidos só às partes por URL assinada temporária, tokens de integração guardados como hash, cabeçalhos de segurança (CSP, nosniff, frame-options), limites de taxa, backups cifrados e trilha de auditoria imutável. Incidentes de segurança com risco relevante são comunicados aos titulares e à ANPD conforme a lei; para reportar uma falha, veja /.well-known/security.txt.

8. Mudanças nesta política

Cada versão tem um identificador (a atual é 2026-09). Quando a política muda de forma relevante, quem tem conta vê um aviso no painel e renova o consentimento; a data e a versão aceitas ficam registradas.