Política de Privacidade

Esta Política explica como a Olhary trata dados pessoais, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados, LGPD). Ela se aplica a quem usa a plataforma, às pessoas cujas informações públicas aparecem nela e às pessoas identificadas nos documentos que você envia.

1. Controlador e encarregado

Controlador: OLHARY LTDA, CNPJ nº 60.758.275/0001-10, com sede na Rua Ilicínia, 222, Horto Florestal, São Paulo/SP, CEP 02378-070.

Encarregado pelo Tratamento de Dados Pessoais (DPO): Tiago da Silva Mascarenhas, contato por info@olhary.ai.

Esse canal atende titulares de dados, sejam eles usuários da plataforma ou não.

2. A quem esta Política se aplica

Tratamos dados de três grupos de pessoas, com finalidades e bases legais diferentes:

(a) Usuários da plataforma: quem cria conta, contrata planos e realiza consultas.

(b) Pessoas identificadas em dados públicos: pessoas naturais que constam de bases públicas de contratações governamentais (sócios de empresas fornecedoras, responsáveis por contratos, sancionados) e cujas informações são organizadas e exibidas pela plataforma.

(c) Pessoas identificadas nos arquivos que você envia: sócios, representantes, responsáveis técnicos e outras pessoas cujos dados aparecem nos documentos usados pela sua empresa em licitações.

3. Dados que tratamos

3.1 Sobre usuários

Categoria	Exemplos	Finalidade
Cadastro	nome, e-mail, senha (armazenada como hash criptográfico irreversível)	criar e manter a conta, autenticar
Perfil e empresa	CNPJ da sua empresa, preferências, área de atuação	personalizar resultados e recomendações
Uso da plataforma	consultas realizadas, conversas com agentes, documentos gerados, histórico de créditos	prestar o serviço, manter histórico, apurar consumo
Documentos que você envia	certidões, contrato social, balanços, atestados, RG, CPF e CNH; tipo do documento, datas, CNPJ, nome, CPF, RG e órgão emissor lidos nesses arquivos	ler os arquivos e, na pasta de habilitação quando disponível para a conta, organizá-los, avisar antes do vencimento, comparar com o edital e preencher declarações
Pagamento	plano contratado, status da assinatura, identificadores da transação	faturamento e gestão da assinatura
Técnicos	endereço IP, navegador, dispositivo, registros de acesso	segurança, prevenção a fraude e abuso, cumprimento do Marco Civil
Medição de uso	páginas e telas que você abre, ações no produto (como buscar, abrir um documento ou ver os planos), o tipo de busca que você faz (sem o texto que digitou), erros e, no navegador, a gravação da sessão com os campos digitados ocultos	entender como o produto é usado, achar e corrigir erros, melhorar o serviço
Origem do cadastro	o site ou a campanha que trouxe você (por exemplo, "google.com", o nome de uma campanha ou o nome do anúncio ou do link em que você clicou), a plataforma (web, iOS ou Android) e o tipo da primeira página que você abriu, sem o endereço completo e sem números de identificação	saber de onde vêm os cadastros e quais canais funcionam
Comunicação	mensagens de suporte e as que você manda à equipe pelo aplicativo, WhatsApp ou e-mail, as sugestões de um modelo de IA sobre elas (urgência, tipo de resposta), respostas a pesquisas	atendimento e melhoria do serviço

Não armazenamos dados completos de cartão de crédito. O processamento é feito pelo operador de pagamento.

3.2 Sobre pessoas identificadas em dados públicos

A plataforma organiza informações já publicadas por órgãos oficiais, entre elas: nome, CPF (integral ou parcialmente mascarado, conforme a fonte), quadro societário, participação em licitações e contratos com o poder público, sanções administrativas registradas em cadastros oficiais e processos judiciais públicos.

Não usamos essas informações para classificação de crédito.

3.3 Sobre pessoas identificadas nos arquivos que você envia

Os arquivos podem conter nome, CPF, RG, órgão emissor, cargo e datas. Esses dados podem ser lidos e guardados para organizar a habilitação da empresa e preencher os documentos que você pede. Enviar um arquivo ao Olhary não o torna público, mesmo que ele também tenha sido apresentado em uma licitação.

Na pasta de habilitação, quando disponível para sua conta, os arquivos e os dados lidos neles são compartilhados com todas as pessoas que fazem parte da sua empresa no Olhary. Não os publicamos nas consultas públicas da plataforma. Documentos gerados fora dessa pasta ficam na conta de quem os criou, até que essa pessoa decida guardá-los na pasta da empresa. Ao baixar um documento em PDF, XLSX ou CSV, guardamos uma cópia privada do arquivo no armazenamento da plataforma. Ao baixar de novo, atualizamos a cópia correspondente. Encerrar a conta apaga esses arquivos. Quando alguém da sua empresa pede, copiamos para a pasta um arquivo que a própria empresa já enviou a um portal de compras (como BLL Compras ou Licitanet). A cópia segue as mesmas regras dos arquivos que você envia.

Não pedimos informações sobre saúde, religião, opinião política ou outros dados sensíveis. Um documento de identidade que você envia pode conter foto ou impressão digital. Essas imagens ficam no próprio arquivo. Não fazemos reconhecimento facial nem criamos cadastros de impressões digitais.

Sua empresa deve ter uma base legal para enviar documentos de outras pessoas e informar a elas como os arquivos serão usados. A Olhary processa esses arquivos para prestar o serviço solicitado, sem que o envio autorize outros usos dos dados.

4. Bases legais

Tratamento	Base legal (LGPD)
Criar conta, prestar o serviço, cobrar	execução de contrato (art. 7º, V)
Segurança, prevenção a fraude e abuso	legítimo interesse (art. 7º, IX)
Registros de acesso	cumprimento de obrigação legal (art. 7º, II (Marco Civil, art. 15))
Medição de uso, gravação de sessões e registro de erros (PostHog)	legítimo interesse (art. 7º, IX). Você pode se opor, como explica o item 8
Medição de campanhas no site e no aplicativo web (Google Tag Manager)	legítimo interesse (art. 7º, IX). Você pode se opor, como explica o item 8
Comunicações de marketing	legítimo interesse (art. 7º, IX (você pode sair a qualquer momento))
Organização de dados públicos sobre terceiros	dados tornados manifestamente públicos (art. 7º, §3º) e legítimo interesse (art. 7º, IX)
Leitura e organização dos arquivos enviados pelo usuário	execução de contrato (art. 7º, V)
Dados de outras pessoas nos documentos de habilitação, para uso em licitações	exercício regular de direitos em processo administrativo (art. 7º, VI; para dados sensíveis, art. 11, II, d), conforme a finalidade e a base legal da empresa que envia os documentos

No tratamento de dados públicos observamos os limites do art. 7º, §3º: preservação da finalidade, da boa-fé e do interesse público que justificou sua divulgação, no caso a transparência e o controle social sobre a aplicação de recursos públicos.

5. Compartilhamento com terceiros

Não vendemos dados pessoais. Compartilhamos apenas o necessário com operadores que viabilizam o serviço:

• Infraestrutura e banco de dados: hospedagem, autenticação e armazenamento das informações da plataforma;
• Processamento de pagamentos: dados de faturamento e status de assinatura;
• Provedores de modelos de inteligência artificial: o que você escreve no chat e na busca por texto é enviado a eles para gerar respostas e resultados. Alguns podem usar esse conteúdo para treinar os próprios modelos. O item 5.2 diz quais são, o que acontece com os arquivos e as fotos que você envia e como evitar o envio;
• Geração de PDF: quando você baixa um relatório ou um dossiê em PDF, o texto dele é enviado à Cloudflare, que monta o arquivo e o devolve. A Cloudflare trata esse conteúdo conforme os termos dela. Se ela não responder, você ainda pode salvar o PDF pela janela de impressão do navegador. Documentos de texto com modelo e planilhas não passam por ela;
• Envio de e-mails: o provedor de envio recebe o seu nome, o seu endereço de e-mail e o conteúdo da mensagem para entregar os e-mails descritos no item 11;
• Medição de uso e de campanhas: a PostHog e o Google, com o que o item 10 descreve;
• Fontes de enriquecimento cadastral: consultas pontuais a bases de terceiros para complementar informações societárias.

Também podemos compartilhar dados para cumprir obrigação legal, ordem judicial ou requisição de autoridade competente.

5.1 Aplicativos de IA conectados (MCP)

Você pode conectar um aplicativo de IA, como o Claude ou o ChatGPT, à sua conta pelo protocolo MCP. Nesse caso:

• A chave do aplicativo: criamos em seu nome uma chave de API com o nome do aplicativo. Ela só permite as oito consultas de dados públicos descritas em olhary.ai/docs/mcp e não dá acesso às suas conversas, documentos, créditos ou configurações. Guardamos apenas o hash da chave (uma impressão que não permite recuperá-la), nunca a chave em si. Ela vale até você revogá-la em Configurações > Chaves de API; depois disso, continua listada como "Revogada", com as datas de criação e de último uso;
• O pedido de conexão: enquanto a conexão é feita, guardamos o nome do aplicativo, o endereço de retorno e o identificador da sua conta. O código de autorização vale 5 minutos, e a autorização por código digitado no navegador, 10 minutos. Esses registros são excluídos por uma rotina diária a partir de um dia após o vencimento;
• Texto de busca: o texto enviado pela ferramenta de busca de licitações é transmitido ao Google (Gemini API), que o converte numa representação numérica usada na busca por significado. Guardamos essa representação em cache por até 7 dias, identificada por um hash do texto. Parte dessas chamadas pode rodar no plano gratuito do Google, em que o Google pode usar o texto para melhorar os produtos dele. Para não enviar texto, busque só com filtros. O item 5.2 explica;
• Registros: cada consulta gera um registro de acesso com a rota consultada (que pode conter o CNPJ ou o código IBGE pesquisado), o horário, a conta e a chave, mantido pelo prazo do item 7, e um evento de medição na PostHog, conforme o item 10.1.

O aplicativo de IA trata o que você escreve nele e o que recebe do Olhary de acordo com a política de privacidade dele, que não controlamos.

5.2 Para onde vai o que você escreve e envia à IA

Usamos serviços de IA de outras empresas. Veja o que cada um recebe e o que pode fazer com isso:

• Google (Gemini API), texto das buscas: recebe o texto da busca por significado (no site, no aplicativo, na API de integração e nas ferramentas MCP), o texto das buscas salvas e o que o agente do chat busca por você, e transforma esse texto em números que servem para achar resultados parecidos. Parte dessas chamadas pode rodar no plano gratuito do Google, e você não escolhe qual plano atende o seu pedido. Pelos termos do Google, no plano gratuito ele pode usar o conteúdo para melhorar os produtos dele, e pessoas do Google podem ler trechos. No plano pago, o Google diz que não usa o conteúdo para isso;
• Google (Gemini API), arquivos e fotos: lê as fotos que você escaneia para achar um CNPJ, as imagens e os PDFs digitalizados que você anexa no chat e os arquivos que você envia para a pasta de habilitação, para tirar deles o texto e as datas. Essa leitura usa só o plano pago, em que o Google diz não usar o conteúdo para treinar modelos. Se o plano pago não responder, a leitura falha: ela nunca passa para o plano gratuito;
• OpenCode Go (modelos de linguagem): recebe o que você escreve no chat, o texto e as imagens dos arquivos que você anexa no chat, o texto que você digita na busca do site e do aplicativo (para separar o assunto dos filtros), os títulos e os resumos das conversas e os pedidos de dossiê. O primeiro modelo da fila é o Muse Spark Contributor, da Meta. A OpenCode informa que ele custa menos em troca de a Meta poder usar o conteúdo para treinar modelos futuros dela. Se ele não responder, outros modelos respondem, e a OpenCode informa que não usa o conteúdo deles para treino. Você não escolhe qual modelo atende o seu pedido;
• OpenCode (Zen) e OpenRouter, modelos de IA gratuitos que classificam mensagens: leem as mensagens que você manda à equipe pelo aplicativo, pelo WhatsApp ou por e-mail, para sugerir à equipe quais olhar primeiro, que tipo de resposta cabe e se a mensagem pede uma mudança no produto. Cada mensagem vai com o assunto (em e-mail) e até quatro linhas anteriores da conversa, cortadas num tamanho fixo. Antes do envio, tiramos do e-mail o histórico citado e a assinatura, tiramos links e endereços de e-mail e trocamos telefones, CPF e CNPJ por um aviso. Não enviamos os dados do seu cadastro, mas o que você escreve vai como está, inclusive um nome. A sugestão não decide nada sobre você: uma pessoa da equipe lê e escolhe o que fazer. Guardamos a sugestão junto com a mensagem e a apagamos com ela. O que essas empresas fazem com o conteúdo segue os termos de cada uma;
• OpenRouter: se os modelos da OpenCode não puderem responder, o pedido segue para a OpenRouter, que o repassa a outras empresas que rodam modelos. O que elas fazem com o conteúdo segue os termos de cada uma.

Como evitar o envio. Hoje a sua conta não tem uma opção para desligar isso. Você pode:

• buscar só com filtros, sem digitar texto. Sem texto, a busca não envia nada ao Google nem à OpenCode;
• digitar o número do CNPJ em vez de escanear uma foto;
• não escrever dados pessoais ou sigilosos nas mensagens para a equipe, porque o texto delas é lido por um modelo de IA;
• não digitar nem anexar dados pessoais ou sigilosos no chat, nem digitá-los na busca por texto, porque o que vai no chat sempre é enviado. O conteúdo dos arquivos da pasta de habilitação não vai para o chat: o agente vê só o tipo, o título, as datas, a situação e o CNPJ da empresa em cada um.

Para tirar dúvidas, escreva para info@olhary.ai.

6. Transferência internacional

Parte dos operadores acima está localizada fora do Brasil. Nessas hipóteses, a transferência ocorre com fundamento no art. 33 da LGPD, mediante cláusulas contratuais e garantias de proteção compatíveis com o padrão brasileiro.

7. Retenção

Mantemos os dados pelo tempo necessário às finalidades descritas:

• Dados de conta e conteúdo produzido: enquanto a conta estiver ativa e por até 6 meses após o encerramento, para permitir reativação;
• Arquivos da pasta de habilitação e dados lidos neles: enquanto a empresa mantiver a pasta, até que alguém com acesso apague os arquivos ou o último integrante encerre a conta. Sair de uma empresa compartilhada não apaga os arquivos dela;
• Cópias de segurança dos arquivos apagados: podem permanecer por até 35 dias após a exclusão;
• Registros de acesso: 6 meses, conforme o art. 15 do Marco Civil da Internet;
• Dados fiscais e de faturamento: 5 anos, por obrigação legal;
• Dados públicos sobre terceiros: enquanto permanecerem públicos na fonte de origem e úteis à finalidade de transparência, sendo atualizados periodicamente a partir dela.

Encerrados os prazos, os dados são eliminados ou anonimizados.

8. Seus direitos

Nos termos do art. 18 da LGPD, você pode solicitar a qualquer momento:

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• portabilidade a outro fornecedor;
• informação sobre com quem compartilhamos seus dados;
• revogação do consentimento, quando essa for a base legal;
• oposição a tratamento fundado em legítimo interesse.

Como exercer: escreva para info@olhary.ai. Responderemos em até 15 dias. Podemos solicitar comprovação de identidade antes de atender, para proteger o titular.

Se você não é usuário da plataforma e encontrou informações suas nela, use o mesmo canal. Avaliaremos o pedido considerando que se trata de dado público oficial: quando a informação decorre de fonte pública e obrigatória, sua exclusão pode não ser possível sem correção na origem. Nesse caso, indicaremos o órgão responsável e registraremos sua contestação junto ao dado exibido.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

9. Segurança

Adotamos medidas técnicas e administrativas para proteger os dados, incluindo criptografia em trânsito e em repouso, controle de acesso por perfil, isolamento de dados entre contas, registro de auditoria e revisão periódica de permissões.

Nenhum sistema é absolutamente seguro. Em caso de incidente com risco relevante aos titulares, comunicaremos os afetados e a ANPD nos prazos legais.

10. Cookies, armazenamento no navegador e ferramentas de medição

Usamos cookies e o armazenamento do navegador para manter sua sessão autenticada, lembrar preferências (tema, idioma) e proteger contra abuso automatizado. Também carregamos ferramentas de terceiros que medem o uso do produto. Elas estão abaixo, com o que cada uma recebe.

Quando você digita seu e-mail para entrar, criar a conta ou recuperar a senha, ele fica guardado no seu navegador por até 30 minutos depois de digitado. Assim a tela seguinte já vem preenchida. Ao entrar na conta, apagamos esse e-mail do navegador.

10.1 PostHog: como o produto é usado

Usamos a PostHog, uma ferramenta de análise de produto, para entender como o Olhary é usado e achar erros. Ela recebe:

• as páginas e telas que você abre e o que faz nelas, como buscar, abrir um documento, falar com o agente ou ver os planos. Do que você digita nas buscas e no chat, enviamos só o tipo (por exemplo, "busca com filtros"), nunca o texto;
• o identificador da sua conta e, depois que você entra, o seu nome e o seu e-mail. Quem navega sem conta aparece só por um código aleatório;
• o uso da inteligência artificial, só em números: modelo usado, tempo da resposta e tamanho em tokens. O texto das perguntas e das respostas não vai para a PostHog;
• erros do navegador e registros técnicos dos nossos servidores (rota, resultado, tempo e identificador da conta; na API de integração, também a chave usada e o programa que fez o pedido). E-mail, telefone, CPF e número de cartão são retirados antes do envio;
• no navegador, a gravação da sessão: cliques, rolagem e o que aparece na tela, para entendermos onde alguém trava. Tudo o que você digita em campos, como e-mail, senha e código, fica oculto. O que a página mostra como texto, como uma resposta do agente ou o nome de uma empresa, pode aparecer na gravação. O texto que você escreve no formulário de feedback fica de fora.

Nos eventos, o endereço da página vai sem a parte depois do "?" e sem a página de onde você veio. Do lugar de onde você veio, guardamos só o nome do site (como "google.com") ou da campanha, nunca o endereço. Na gravação, o e-mail que aparece no endereço é ocultado.

Onde fica: a PostHog guarda os dados em servidores nos Estados Unidos.

Para quê: entender o uso, achar e corrigir erros e melhorar o produto. Não vendemos esses dados.

Base legal: legítimo interesse (art. 7º, IX). Precisamos saber se o produto funciona e onde ele falha.

Como se opor: escreva para info@olhary.ai, como no item 8. No navegador, a PostHog respeita o sinal "Não rastrear" (Do Not Track): com ele ligado, o navegador deixa de registrar eventos e gravações. Isso não vale para os registros que os nossos servidores enviam, acima. No aplicativo de celular não há gravação de sessão: ele envia as telas que você abre e as ações de uso.

O que fica no seu navegador: a PostHog cria um cookie e uma entrada no armazenamento local com nome que começa com ph_ e termina com _posthog. Eles guardam um código aleatório do navegador e, depois que você entra, o identificador da conta. O cookie vale por até 365 dias. Nós também guardamos olhary.analytics.sessionCount, que conta quantas vezes você abriu o aplicativo web neste navegador, e, na aba aberta, chaves que começam com olhary.analytics. para não contar a mesma ação duas vezes. Para registrar de onde veio a sua conta, guardamos também, no site e no aplicativo web, olhary:first-touch e olhary:lp-first-touch (o site ou a campanha da sua primeira visita) e, na aba aberta, olhary:session-acquisition.

10.2 Google Tag Manager: medição de campanhas

O Google Tag Manager carrega no site e no aplicativo web, para todo visitante. Ele é um gerenciador: coloca no navegador as ferramentas de medição de campanhas que configuramos no painel dele. Ao carregar, o Google recebe o seu endereço IP e dados do navegador.

Quando você envia seu contato pelo formulário de lista de espera do site, o nome, o telefone e o e-mail que você preencheu vão para o gerenciador, para que essas ferramentas registrem o contato. Quais ferramentas recebem esses dados depende da nossa configuração no painel do Google Tag Manager.

Base legal: legítimo interesse (art. 7º, IX). Para se opor, escreva para info@olhary.ai, como no item 8.

10.3 Outros serviços que carregam no navegador

• Cloudflare Turnstile: aparece no cadastro e na lista de espera, para separar pessoas de robôs. O script vem da Cloudflare, que recebe o seu endereço IP e dados do navegador para fazer a checagem;
• Google Fonts: no aplicativo web, as fontes Inter e Outfit são baixadas dos servidores do Google, que recebe o seu endereço IP.

11. E-mails que enviamos

Enviamos dois tipos de e-mail.

Sobre a sua conta. Boas-vindas, redefinição de senha, avisos de segurança, confirmações de pagamento e recibos. Fazem parte do serviço e não podem ser desativados enquanto a conta existir. Também enviamos os alertas que você mesmo configura (monitoramento de licitações, empresas e pessoas, prazos e saldo de créditos baixo), e esses você desliga quando quiser.

Novidades e dicas. São quatro tipos, com os mesmos nomes que aparecem nas suas preferências:

• Avisos: novidades do produto, atualizações e comunicados da equipe;
• Atualizações do Fundador: e-mails do fundador sobre o que melhorou e o que está sendo testado;
• Primeiros passos e conquistas: dicas nos primeiros dias e um aviso quando você desbloqueia algo novo;
• Novidades e ofertas: dicas, conteúdos e ofertas promocionais.

Você escolhe ao criar a conta: deixar a caixa "Quero receber novidades, dicas e ofertas por e-mail" desmarcada desliga os quatro. Depois, mude quando quiser em Configurações → Notificações por e-mail, no site ou no aplicativo, ou pelo link "Descadastrar deste tipo de e-mail" no rodapé de cada e-mail. Base legal: legítimo interesse (art. 7º, IX). Você pode sair quando quiser, por qualquer um desses caminhos.

Um aviso urgente sobre o serviço, como uma falha de segurança ou uma mudança que afete a sua conta, pode ser enviado mesmo a quem desligou os Avisos. Ofertas e conteúdo promocional nunca são enviados assim.

Não vendemos o seu endereço de e-mail.

12. Menores de idade

A plataforma não se destina a menores de 18 anos e não coletamos intencionalmente seus dados. Identificado o cadastro de menor, a conta será encerrada e os dados eliminados.

13. Alterações

Esta Política pode ser atualizada. Mudanças relevantes serão comunicadas por e-mail ou aviso na plataforma. A data da última atualização consta no topo desta página.