1. Controlador

Geracom LTDA (CNPJ 64.874.583/0001-62).

2. Encarregado de Dados (DPO)

Contato: equipe.progressoedu@gmail.com.

3. Dados tratados

• Aluno: nome, data de nascimento, CPF, RG, endereço, foto, dados acadêmicos, dados de saúde/deficiência, código de segurança (PIN).
• Responsável: nome, CPF, telefone, email, endereço, parentesco.
• Acesso: IP, user-agent, data/hora, tipo de dispositivo, cookie de sessão (portalToken).
• Financeiro: cobranças e pagamentos.

4. Finalidade e base legal

• Execução do contrato de prestação de serviços educacionais (LGPD Art. 7, V).
• Obrigação legal/regulatória (MEC, LDB, Receita — Art. 7, II).
• Legítimo interesse para segurança do portal e prevenção à fraude (Art. 7, IX).
• Consentimento do responsável para dados de menor (Art. 14) e dados sensíveis (Art. 11).

5. Dados de menores (Art. 14)

O responsável legal registra, no primeiro acesso ao portal, a ciência desta Política e o aceite dos Termos de Uso.

Nem todo tratamento de dados do aluno depende de consentimento, e é importante ser claro sobre isso. O que é necessário para executar o contrato de prestação de serviços educacionais, para cumprir obrigação legal (Censo Escolar, histórico, obrigações fiscais) ou para proteger a vida e a incolumidade física do aluno apoia-se nessas bases, não em consentimento — inclusive porque o consentimento é revogável, e não seria possível manter a matrícula devolvendo os dados que a sustentam. O consentimento fica reservado ao que vai além disso, como o uso da imagem do aluno em divulgação, que é pedido em separado e pode ser revogado a qualquer tempo. Em nenhuma hipótese dados de menores são repassados a terceiros sem consentimento (Art. 14, §3º).

6. Dados sensíveis (Art. 11)

Informações de saúde e deficiência são acessadas apenas por funcionários autorizados, com registro individual de cada consulta (tabela sensitive_data_access_log). Utilizadas para proteção da vida e incolumidade física do aluno e cumprimento de obrigações legais.

6-A. Acervo de documentos do aluno

A escola guarda cópias digitalizadas de documentos do aluno e dos responsáveis — certidão de nascimento, RG/CPF, comprovante de residência, foto, histórico escolar, cartão de vacina, laudos e documentos judiciais, conforme o caso. Os arquivos podem ser enviados pela escola ou pelo próprio responsável, no ato da matrícula ou depois.

Base legal. Este tratamento não se apoia em consentimento: certidão, identidade e comprovante de residência são necessários à execução do contrato de prestação de serviços educacionais (Art. 7, V); histórico escolar e dados do Censo cumprem obrigação legal (Art. 7, II); documentos judiciais sustentam o exercício regular de direitos (Art. 7, VI). Cartão de vacina e laudos médicos são dados sensíveis tratados para tutela da saúde e cumprimento de obrigação legal (Art. 11, II, "a" e "f").

Onde ficam. Em armazenamento privado, em servidores no Brasil (região São Paulo), separado por escola. Nenhum arquivo é público: a leitura exige sessão válida e passa por verificação individual de quem pode ver aquele documento específico. Cada abertura de um arquivo é registrada com autor, data e finalidade.

Quem vê. A equipe autorizada da escola — documentos com dado de saúde só por quem tem permissão para dados sensíveis. O responsável vê a lista do que a escola já recebeu e o que falta, e pode reabrir o próprio envio por 24 horas para conferir se mandou o arquivo certo. Fora disso, obter uma cópia é um pedido à secretaria, registrado e decidido por ela — o direito de acesso do Art. 18, II continua integralmente garantido, apenas não na forma de um acervo que abre com um toque num aparelho que pode ser perdido ou compartilhado.

Por quanto tempo. Documentos de matrícula: enquanto o aluno estiver ativo e por até 5 anos após a saída. Laudos e cartão de vacina: apenas enquanto o aluno estiver ativo. Documentos de uma matrícula recusada: 60 dias. Documento removido pela escola: 30 dias. Ao fim do prazo, o arquivo é apagado do armazenamento, não apenas ocultado.

7. Compartilhamento e transferência internacional

Operadores utilizados: Supabase (banco e autenticação, EUA), Google Cloud Storage (anexos, EUA; o acervo de documentos do aluno fica na região de São Paulo, no Brasil), Vercel (hospedagem, EUA), WhatsApp/Meta (notificações, EUA/UE) e processador de pagamentos. As transferências internacionais ocorrem sob cláusulas contratuais padrão e garantias adequadas.

8. Retenção

• Dados de matrícula: enquanto ativo e até 5 anos após a saída.
• Histórico escolar: arquivo permanente (obrigação MEC).
• Logs de acesso ao portal: 12 meses.
• Solicitações e fluxos: 2 anos após encerramento.
• Fotos: enquanto ativo; removidas no encerramento.
• Documentos do acervo: enquanto ativo e até 5 anos após a saída (laudos e cartão de vacina, só enquanto ativo).

9. Direitos do titular (Art. 18)

Você pode solicitar acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamento e revogação de consentimento pelo email do DPO acima ou pela área Meus Dados no portal.

10. Segurança

Autenticação por token assinado com HMAC, cookie httpOnly, HTTPS, controle de acesso por papel, rate limiting, whitelist de colunas sensíveis, log de acesso e rotina de retenção automatizada.

11. Cookies

portalToken (autenticação, httpOnly, longa duração, revogável pela escola) e cookies da Supabase Auth para funcionários.

12. Comunicação de incidentes

Em caso de incidente com risco relevante, os titulares e a ANPD serão comunicados no prazo legal, com descrição do ocorrido e medidas adotadas.

13. Alterações

Alterações serão publicadas aqui e comunicadas via portal, exigindo novo aceite quando materiais.