Acordo de Tratamento de Dados Pessoais
Este acordo regula o tratamento de dados pessoais de alunos que o professor ou a instituição de ensino (“Controlador”) realiza por meio do GradeSnap, oferecido por PHYRASCOPE SOFTWARES EDUCACIONAIS LTDA, CNPJ 66.896.803/0001-84, com endereço na Rua Bananeiras, 361, sala 107, Manaíra, João Pessoa/PB, CEP 58038-170 (Caixa Postal 1254) (“Operador”). Ele se aplica automaticamente ao uso do Serviço. Instituições que precisem de uma versão assinada podem solicitá-la em [email protected].
1. Objeto e papéis
O Controlador decide sobre o tratamento dos dados dos alunos. O Operador os trata exclusivamente para prestar o Serviço:
- guardar, sincronizar e exibir turmas, provas, leituras, imagens das folhas e relatórios;
- somente pelas instruções do Controlador, expressas pelo próprio uso do Serviço e por este acordo.
O Operador não usa esses dados para finalidade própria, publicidade ou perfilamento.
2. Dados e titulares
Titulares: alunos, inclusive crianças e adolescentes.
Dados:
- nome;
- matrícula ou código;
- turma;
- respostas marcadas;
- notas calculadas;
- imagens das folhas de resposta.
Não há tratamento de dados sensíveis, salvo se o Controlador os inserir indevidamente, o que deve evitar.
3. Obrigações do Controlador
Ter base legal para o tratamento, observar o melhor interesse de crianças e adolescentes, prestar as informações devidas aos titulares e responsáveis e atender os pedidos deles.
4. Obrigações do Operador
- Tratar os dados somente conforme as instruções do Controlador. Se considerar uma instrução ilícita, o Operador avisará o Controlador.
- Garantir a confidencialidade: só pessoas autorizadas e sujeitas a sigilo acessam os dados, e apenas quando necessário para manter o Serviço ou a pedido do Controlador.
- Manter as medidas de segurança do item 6.
- Apoiar o Controlador no atendimento aos titulares, em relatórios de impacto e na comunicação com a ANPD, na medida das informações de que dispuser.
5. Suboperadores
O Controlador autoriza os suboperadores abaixo. Eles têm obrigações de proteção equivalentes às deste acordo.
| Suboperador | Função | Local dos dados |
|---|---|---|
| Supabase Inc. | Banco de dados, autenticação e armazenamento de imagens | São Paulo, Brasil |
| Cloudflare Inc. | Hospedagem do site e proteção da rede (não armazena os dados dos alunos) | Rede global |
A inclusão ou troca de suboperador será avisada com 30 dias de antecedência. O Controlador que discordar poderá encerrar o uso e excluir os dados.
Por serem empresas sediadas nos EUA, pode haver transferência internacional, que ocorrerá com as garantias do art. 33 da LGPD.
6. Segurança
- Comunicação criptografada (HTTPS).
- Isolamento entre contas por regras no próprio banco de dados (cada organização só acessa os seus registros).
- Imagens em armazenamento privado.
- Senhas guardadas cifradas pelo provedor de autenticação.
- Exclusões propagadas a todos os aparelhos da conta.
- No aparelho, os dados ficam na área privada do aplicativo.
7. Incidentes
O Operador comunicará ao Controlador qualquer incidente de segurança que afete os dados dos alunos em até 48 horas depois de tomar conhecimento dele. A comunicação trará as informações disponíveis do art. 48, §1º, da LGPD:
- natureza dos dados e titulares afetados;
- riscos;
- medidas adotadas.
O Operador também apoiará o Controlador na comunicação à ANPD e aos titulares.
8. Fim do tratamento
Enquanto a conta existir, o Controlador pode exportar os dados (planilhas CSV) e excluí-los a qualquer momento. Ao excluir a conta, o Operador elimina os dados dos alunos do servidor. Cópias de segurança do provedor são eliminadas ao expirar, pelo prazo de retenção delas. Ficam ressalvadas as hipóteses de conservação do art. 16 da LGPD.
9. Comprovação
O Operador fornecerá ao Controlador, mediante pedido razoável, as informações necessárias para demonstrar o cumprimento deste acordo.
10. Responsabilidade e vigência
Cada parte responde nos termos dos arts. 42 a 45 da LGPD. Este acordo vale enquanto houver tratamento dos dados dos alunos pelo Serviço.