LGPD na prática

A LGPD (Lei 13.709/2018) separa quem toma as decisões sobre o tratamento de quem executa o tratamento por conta de outro. Essa divisão define quem responde por quê.

Como operadora, a AdaptaEDU trata os dados apenas conforme as instruções da instituição controladora e o contrato firmado, nos termos dos arts. 39 e seguintes da LGPD. Não usamos o conteúdo escolar para finalidades próprias.

3.1 Quando o dado deixa de ser pessoal

Se o material enviado não permite identificar o estudante — nem diretamente, nem por cruzamento razoável de informações — não há tratamento de dado pessoal, e o regime da LGPD não se aplica àquele conteúdo. É por isso que a minimização é a medida mais eficaz que sua escola pode adotar.

3.2 Bases legais aplicáveis quando há identificação

Quando a identificação for inevitável, cabe à escola definir e documentar a base legal. As hipóteses do art. 11 mais comumente invocadas em contexto educacional são:

• Consentimento específico e destacado do titular ou de seu responsável legal, para finalidades determinadas (art. 11, I).
• Cumprimento de obrigação legal ou regulatória pelo controlador (art. 11, II, "a").
• Garantia da prevenção à fraude e à segurança do titular (art. 11, II, "g").

A escolha da base legal é decisão da instituição controladora, preferencialmente com apoio do seu encarregado e da assessoria jurídica.

O art. 14 da LGPD estabelece que o tratamento de dados de crianças e adolescentes deve ser feito sempre em seu melhor interesse.

• Crianças (até 12 anos incompletos): o tratamento depende de consentimento específico e em destaque dado por ao menos um dos pais ou pelo responsável legal, ressalvadas as hipóteses legais de dispensa previstas no § 3º do art. 14.
• Adolescentes (12 a 18 anos): aplica-se o princípio do melhor interesse, com base legal definida conforme o caso pela instituição.
• Transparência reforçada: as informações sobre o tratamento devem ser fornecidas de forma simples, clara e acessível, adequada ao entendimento de pais e responsáveis.
• Vedação de condicionamento: não se pode condicionar a participação do aluno em atividade a fornecimento de dados além do necessário.

A plataforma AdaptaEDU não é destinada ao uso direto por estudantes: as contas são criadas para professores, coordenadores e administradores escolares.

O princípio da necessidade (art. 6º, III) exige limitar o tratamento ao mínimo necessário. Antes de enviar um material para adaptação, remova:

• Nome completo, apelido ou iniciais que identifiquem o aluno.
• Número de matrícula, RA, CPF ou qualquer código identificador individual.
• Fotografias, imagens do aluno ou de sua produção assinada.
• Endereço, telefone, e-mail ou dados de contato da família.
• Laudos, relatórios médicos, pareceres de avaliação e diagnósticos anexados ao material.
• Anotações que associem um aluno específico a uma condição de saúde.

Itens que a instituição controladora deve providenciar:

• Designar um encarregado (DPO) e divulgar seu contato aos titulares.
• Mapear o tratamento de dados de estudantes e registrar as operações realizadas (art. 37).
• Definir e documentar a base legal para o tratamento de dados sensíveis de alunos.
• Obter o consentimento dos pais ou responsáveis quando essa for a base legal aplicável, de forma específica e destacada.
• Informar pais e responsáveis sobre o uso de ferramentas de adaptação de material, em linguagem acessível.
• Orientar os professores sobre a política de minimização antes de liberar o acesso à plataforma.
• Revisar periodicamente quais professores mantêm acesso e remover contas de quem deixou a instituição.
• Manter procedimento para receber e responder pedidos de titulares dentro do prazo legal.
• Formalizar com a AdaptaEDU o acordo de tratamento de dados como operadora.

Como operadora, adotamos as seguintes medidas (arts. 46 a 49 da LGPD):

• Criptografia em trânsito (HTTPS/TLS) em todo o site e na plataforma.
• Criptografia dos dados armazenados e senhas protegidas por algoritmo de hash.
• Isolamento lógico dos dados por instituição, de modo que uma escola não acesse o conteúdo de outra.
• Controle de acesso baseado em perfil, com o mínimo de privilégio necessário.
• Registro de acessos e de operações relevantes, para rastreabilidade.
• Obrigações contratuais de confidencialidade e segurança impostas aos nossos subcontratados.
• Revisão periódica de permissões internas e de fornecedores.
• Processo definido de comunicação de incidentes à instituição controladora.

O art. 18 da LGPD assegura aos titulares — aqui, principalmente estudantes representados por seus responsáveis — o direito de confirmar o tratamento, acessar, corrigir, anonimizar, bloquear, eliminar e portar dados, além de obter informação sobre compartilhamentos e revogar consentimento.

Se recebermos diretamente um pedido relativo a dados sob controle de uma escola, encaminharemos a solicitação à instituição sem demora injustificada e informaremos o titular do encaminhamento.

Na hipótese de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o art. 48 da LGPD determina a comunicação à ANPD e aos titulares afetados em prazo razoável.

• Comunicaremos a instituição controladora em até 48 horas a partir da ciência do incidente.
• A comunicação incluirá a natureza dos dados afetados, os titulares envolvidos, as medidas técnicas adotadas e os riscos identificados.
• Apoiaremos a escola na avaliação do risco e na eventual comunicação à ANPD e aos titulares.
• Como controladores dos nossos próprios dados, faremos a comunicação diretamente quando cabível.

Utilizamos fornecedores de infraestrutura, banco de dados e processamento por inteligência artificial para operar a plataforma. Todos estão sujeitos a obrigações contratuais de confidencialidade e segurança.

A maior parte processa nos Estados Unidos; os países de cada um constam da tabela acima. A transferência se apoia no art. 33 da LGPD — execução de contrato e prestação do serviço solicitado — com as salvaguardas contratuais de proteção de dados oferecidas por cada fornecedor.

Informaremos a instituição controladora antes de substituir ou incluir subcontratado que trate conteúdo escolar, permitindo manifestação prévia.

Para processos de contratação, due diligence e licitação, podemos fornecer mediante solicitação:

• Acordo de tratamento de dados pessoais (AdaptaEDU como operadora).
• Relação atualizada de subcontratados e respectivos países de processamento.
• Descrição das medidas técnicas e organizacionais de segurança.
• Informações para apoiar o Relatório de Impacto à Proteção de Dados (RIPD) elaborado pela instituição.
• Cláusulas de confidencialidade e de responsabilidade em caso de incidente.

Solicite em suporte@adaptaedu.com.

Encarregado pelo tratamento de dados pessoais da AdaptaEDU, nos termos do art. 41 da LGPD: Fernando Outa — suporte@adaptaedu.com.

Controlador: OUTA ADMINISTRAÇÃO E NEGÓCIOS LTDA, CNPJ 54.346.700/0001-61, Rua Deputado Lacerda Franco, 144, apto 74, Pinheiros, São Paulo/SP, CEP 05418-000.

Consulte também a Política de Privacidade e os Termos de Uso. Reclamações também podem ser dirigidas à Autoridade Nacional de Proteção de Dados (ANPD).