Acordo de Tratamento de Dados com Escolas — DPA em minuta

MINUTA NÃO VIGENTE — NÃO ACEITÁVEL E NÃO ASSINÁVEL. Este documento não é contrato, não autoriza o envio de dados reais e não pode ser aceito por checkbox, assinatura ou cadastro institucional.

Versão: DRAFT-NOT-FOR-SIGNATURE. Partes, anexos e vigência: não definidos. Revisão jurídica de ambas as partes: pendente.

Esta minuta organiza cláusulas para negociação entre uma instituição de ensino e a entidade responsável pelo ENtrack. Ela não substitui contrato principal, parecer jurídico, inventário de dados, avaliação de melhor interesse ou instruções documentadas.

1. Fundamento e limite da minuta

A estrutura proposta considera principalmente:

arts. 37 a 39 da LGPD, sobre registro das operações, relatório de impacto e tratamento pelo operador conforme instruções do controlador;
arts. 42 a 45 da LGPD, sobre responsabilidade e reparação de danos;
arts. 46 a 49 da LGPD, sobre medidas de segurança, incidentes e estrutura dos sistemas;
art. 14 da LGPD e proteção integral prevista no ECA para dados de crianças e adolescentes;
Resolução CD/ANPD nº 15/2024 para comunicação de incidentes.

O art. 52 da LGPD trata de sanções administrativas. Ele não é a base que define o conteúdo de um DPA e não será apresentado como equivalente ao art. 28 do GDPR.

O art. 28 do GDPR pode servir apenas como referência comparativa de estrutura quando pertinente. Ele não é incorporado automaticamente ao contrato brasileiro, e eventual aplicação dependerá do contexto territorial e de revisão jurídica.

2. Partes

Instituição de ensino

Razão social: [RAZAO_SOCIAL_DA_ESCOLA].

CNPJ ou registro: [CNPJ_DA_ESCOLA].

Endereço: [ENDERECO_DA_ESCOLA].

Representante autorizado: [NOME_DO_REPRESENTANTE_DA_ESCOLA].

Contato de privacidade: [EMAIL_DA_ESCOLA] e [TELEFONE_DA_ESCOLA].

Entidade responsável pelo ENtrack

Razão social: [RAZAO_SOCIAL_DO_OPERADOR].

CNPJ ou registro: [CNPJ_DO_OPERADOR].

Endereço: [ENDERECO_DO_OPERADOR].

Representante autorizado: [NOME_DO_RESPONSAVEL].

Contato de privacidade e incidentes: [EMAIL] e [TELEFONE].

Cada representante deverá comprovar poderes suficientes. O cadastro no portal, um e-mail institucional ou um checkbox não comprova, sozinho, autoridade para contratar ou instruir tratamento de dados.

3. Papéis funcionais no tratamento

Para operações pedagógicas em que a escola determinar finalidade e meios essenciais — como criar turma, atribuir trilha e acompanhar estudantes autorizados — a escola poderá atuar como controladora, e a entidade do ENtrack poderá atuar como operadora que executa instruções documentadas.

Essa classificação não se aplica automaticamente a toda operação. A entidade do ENtrack poderá atuar como controladora independente quando decidir finalidade própria e legítima, como segurança de sua infraestrutura ou cumprimento de obrigação própria. Se as partes decidirem conjuntamente elementos essenciais de uma finalidade, deverão avaliar controladoria conjunta e definir responsabilidades de modo transparente.

O Anexo A deverá classificar, para cada atividade: [OPERACAO], [FINALIDADE], [DADOS], [PAPEL_DA_ESCOLA], [PAPEL_DO_ENTRACK], [BASE_LEGAL] e [INSTRUCAO]. O nome comercial “plataforma”, “fornecedor” ou “escola” não substitui essa análise funcional.

4. Objeto, duração e finalidade

Objeto proposto: tratamento dos dados estritamente necessários para [SERVICO_ESCOLAR_AUTORIZADO], dentro do ambiente [AMBIENTE_APROVADO].

Data de início: [DATA].

Duração do tratamento: [DURACAO].

Finalidades permitidas: [FINALIDADES_PEDAGOGICAS_ESPECIFICAS].

Frequência e volume estimado: [FREQUENCIA_E_VOLUME].

O tratamento deverá terminar quando acabar a finalidade, a instrução válida ou o contrato, ressalvada conservação legalmente justificada. O beta atual não autoriza uso com dados reais nem carga de base escolar.

5. Titulares, dados e operações

Categorias propostas de titulares:

estudantes convidados e vinculados, com destaque para crianças e adolescentes;
responsáveis legais, somente quando o fluxo aprovado exigir;
professores e administradores autorizados;
contatos institucionais da escola.

Categorias propostas de dados:

identificadores mínimos de conta e nome exibido;
escola, turma, papel, convite e vínculo;
trilhas atribuídas, progresso, respostas, erros e resultados;
XP, conquistas e outros elementos pedagógicos de gamificação;
arquivos opcionais aprovados;
registros técnicos mínimos de segurança e suporte.

Operações possíveis: coleta, registro, organização, consulta autorizada, uso pedagógico, armazenamento, correção, exportação, bloqueio, devolução, anonimização e eliminação, sempre conforme instrução e capacidade aprovada.

Ficam fora do escopo, salvo novo anexo e aprovação específica: CPF, endereço residencial, dados financeiros, biometria, geolocalização precisa, data de nascimento exata, laudos, saúde, necessidades especiais, notas oficiais e documentos civis.

6. Instruções documentadas e registros

A operadora somente tratará dados do escopo escolar de acordo com instruções lícitas e documentadas da controladora, inclusive sobre transferências, acesso e encerramento. Instruções poderão constar de [CANAL_DE_INSTRUCOES], desde que tenham autor, data, versão, finalidade e trilha de aprovação.

A operadora deverá avisar [CANAL_DA_CONTROLADORA] se considerar que uma instrução viola a LGPD ou outra norma aplicável, suspender apenas a parte necessária quando juridicamente adequado e preservar o registro da decisão.

As partes manterão registros das operações sob sua responsabilidade. O formato, acesso, retenção e responsável pelos registros permanecem [PROCEDIMENTO_DE_REGISTROS].

Nenhuma instrução autoriza:

usar dados para publicidade, outreach ou analytics comportamental;
criar perfil comercial de estudante;
vender dados;
ampliar finalidade de forma silenciosa;
inserir dado fora do inventário;
expor um estudante a outra escola ou turma sem autorização.

7. Crianças e adolescentes

Antes do primeiro dado real, a controladora deverá documentar as faixas atendidas, a base legal por finalidade, a avaliação do melhor interesse, os avisos, a participação do responsável e o meio de atender direitos.

A escola não será presumida representante legal de cada estudante. Convite escolar, vínculo de matrícula, declaração do estudante ou checkbox não comprovam consentimento de pai, mãe ou responsável. Quando o consentimento for exigido, a parte responsável por obtê-lo e verificá-lo deverá constar do Anexo B.

O contrato final deverá definir:

quem informa estudante e família;
quem verifica identidade e autoridade do responsável;
quais evidências mínimas podem ser guardadas;
como retirada, oposição e encerramento afetam a atividade;
como evitar coleta excessiva e exposição de desempenho;
como incidentes envolvendo menores serão priorizados.

Aplicam-se também os Termos para Participação de Menores, que ainda são minuta.

8. Pessoas autorizadas e confidencialidade

Cada parte limitará acesso às pessoas que precisem dele para a finalidade aprovada, com papéis, revisão e desligamento definidos. Pessoas autorizadas deverão receber instruções de confidencialidade e proteção de dados compatíveis com suas funções.

Matriz de acesso, processo de aprovação, revisão periódica, treinamento e evidência de compromisso permanecem [ANEXO_DE_ACESSO_E_CONFIDENCIALIDADE].

Não será permitido compartilhar credenciais, usar conta genérica sem responsabilização ou incluir dados de estudante em chamados e mensagens além do necessário.

9. Medidas técnicas e administrativas

As partes deverão adotar medidas adequadas aos riscos e aos requisitos dos arts. 46 a 49 da LGPD. O Anexo C deverá listar apenas controles comprovados, com escopo, responsável, evidência, limitações e periodicidade de revisão.

Itens a verificar antes da assinatura:

autenticação, autorização e segregação entre escolas: [EVIDENCIA_DE_ACESSO];
proteção de dados em trânsito: [EVIDENCIA_DE_TRANSPORTE];
criptografia ou proteção equivalente em repouso: [EVIDENCIA_DE_ARMAZENAMENTO];
gestão de segredos e acessos administrativos: [EVIDENCIA_DE_SEGREDOS];
backup, restauração, RPO e RTO: [EVIDENCIA_DE_CONTINUIDADE];
logs minimizados e monitoramento: [EVIDENCIA_DE_LOGS];
correção de vulnerabilidades e dependências: [EVIDENCIA_DE_VULNERABILIDADES];
resposta a incidentes: [EVIDENCIA_DE_INCIDENTES].

Esta minuta não afirma que criptografia em trânsito ou em repouso, auditoria independente, certificação, disponibilidade, RPO ou RTO estejam contratualmente comprovados. Esses controles não podem ser prometidos até a validação das evidências e dos limites de responsabilidade de cada fornecedor.

10. Suboperadores e fornecedores

Categorias técnicas atualmente previstas:

Supabase: infraestrutura de autenticação, banco de dados e armazenamento;
Vercel: hospedagem, execução e entrega da aplicação.

As entidades jurídicas, serviços exatos, regiões, categorias de dados, retenção e mecanismos de transferência permanecem [INVENTARIO_DE_SUBOPERADORES]. Não serão incluídas URLs de projeto, chaves, credenciais ou identificadores sensíveis.

O contrato final deverá definir autorização prévia específica ou geral para subcontratação, prazo de aviso de mudança, informações mínimas, possibilidade de objeção fundamentada e consequência de uma objeção não resolvida.

A operadora deverá repassar ao suboperador obrigações de proteção compatíveis com o serviço delegado e continuará responsável nos limites previstos na lei e no contrato. O suboperador não receberá instruções mais amplas do que as recebidas da controladora.

11. Transferências internacionais

Nenhuma região ou transferência é presumida nesta minuta. Antes de tratar dados reais, as partes deverão registrar [PAIS_OU_REGIAO], [IMPORTADOR], [FINALIDADE], [DADOS] e [MECANISMO_LGPD_APLICAVEL].

Uma simples referência a infraestrutura global não satisfaz a transparência nem a regulamentação. Alterações relevantes deverão seguir o procedimento de suboperadores e ser comunicadas à controladora.

12. Incidentes de segurança

A operadora deverá comunicar a controladora sem demora indevida depois de confirmar ciência de incidente com dados do escopo contratado. Como proposta de nível de serviço entre as partes, o prazo máximo será de 72 horas corridas, contado da ciência confirmada pela operadora, para uma comunicação inicial pelo canal [CANAL_DE_INCIDENTES].

As 72 horas são apenas um SLA contratual interno proposto. Não são o prazo legal brasileiro de comunicação à ANPD ou aos titulares, não impedem aviso mais rápido e não autorizam a operadora a esperar quando a controladora precisar agir.

A comunicação inicial deverá trazer as informações disponíveis:

natureza, data conhecida e estado do incidente;
categorias de titulares e dados, com destaque para menores;
volume estimado, quando conhecido;
riscos avaliados;
medidas de contenção e preservação de evidências;
ponto de contato e previsão de complementação.

Informações incompletas poderão ser complementadas de forma justificada. As partes cooperarão na avaliação, mitigação, registro e atendimento aos titulares sem alterar quem tem autoridade legal para comunicar.

Quando o incidente puder acarretar risco ou dano relevante, cabe ao controlador comunicar a ANPD e os titulares afetados. A Resolução CD/ANPD nº 15/2024 estabelece, em regra, prazo externo de três dias úteis a partir da ciência pelo controlador, salvo prazo específico. O Anexo F deverá definir como a escola e o ENtrack evitam atrasos e mensagens contraditórias.

13. Direitos das pessoas titulares

A controladora decidirá e responderá às solicitações relativas às finalidades que controla. A operadora prestará assistência técnica razoável conforme [FLUXO_DE_DIREITOS], sem responder em nome da escola nem divulgar dados diretamente quando não tiver autorização.

O fluxo deverá abranger confirmação, acesso, correção, informação de compartilhamento, portabilidade quando aplicável, revogação, oposição, bloqueio, anonimização e eliminação nos casos legais.

Pedidos envolvendo menor exigem verificação proporcional da identidade e, quando cabível, da autoridade do responsável. A assistência não deverá expor dados de outro estudante, turma ou escola.

Prazos de encaminhamento, formato, segurança, custos extraordinários e responsáveis permanecem [SLA_DE_DIREITOS].

14. Retenção, devolução e eliminação

O Anexo E deverá definir prazo por categoria, tabela, arquivo, log e backup. Nenhum período é aprovado nesta minuta, e não haverá retenção indefinida por padrão.

No término do contrato ou mediante instrução válida, a operadora deverá executar uma das opções aprovadas:

devolver ou exportar dados em formato [FORMATO_DE_DEVOLUCAO];
bloquear enquanto houver obrigação de conservação;
eliminar dos sistemas ativos;
anonimizar de modo efetivo;
registrar exceção legal específica.

Prazo, confirmação, tratamento de backups e efeito sobre conta institucional permanecem [PROCEDIMENTO_DE_ENCERRAMENTO]. Conteúdo da escola, vínculos, protocolos e dados pessoais deverão ser tratados separadamente.

15. Evidências, auditoria e cooperação

A operadora fornecerá evidências razoáveis e proporcionais para demonstrar o cumprimento das obrigações contratadas, preservando segredos, segurança e dados de outros clientes.

Escopo, frequência, antecedência, confidencialidade, custos, qualificação do auditor, ambiente permitido e tratamento de achados permanecem [PROCEDIMENTO_DE_AUDITORIA]. Acesso direto à produção, credenciais, respostas de estudantes e teste invasivo não são autorizados por esta minuta.

Não se promete auditoria independente, certificação ou direito irrestrito de inspeção enquanto esses itens não forem negociados e comprovados.

16. Responsabilidade

As partes respondem pelos atos sob sua responsabilidade conforme a LGPD e a legislação aplicável. A distribuição contratual de tarefas não reduz direitos dos titulares nem afasta a responsabilidade prevista nos arts. 42 a 45.

Indenização, direito de regresso, limites permitidos, seguro, cooperação processual e exceções permanecem [CLAUSULAS_DE_RESPONSABILIDADE]. Nenhuma cláusula final poderá excluir responsabilidade de modo proibido por lei.

17. Conformidade e normas aplicáveis

Aplicam-se a LGPD, o ECA, normas da ANPD e demais leis brasileiras efetivamente incidentes. Se a escola for pública, obrigações próprias do Poder Público deverão ser avaliadas em anexo específico.

Esta minuta não incorpora “NISP” porque nenhuma norma, política ou sigla com esse nome foi identificada no escopo. Uma norma setorial só poderá ser incluída depois de registrar seu nome completo, autoridade emissora, versão, aplicabilidade e obrigações em [NORMA_SETORIAL_APLICAVEL].

Políticas internas ou padrões estrangeiros não substituem a legislação brasileira nem são declarados atendidos sem evidência.

18. Vigência, suspensão e rescisão

Vigência proposta: de [DATA_INICIAL] até [DATA_FINAL_OU_EVENTO].

Renovação: [REGRA_DE_RENOVACAO].

Suspensão por risco ou instrução irregular: [PROCEDIMENTO_DE_SUSPENSAO].

Rescisão, aviso prévio e cura de descumprimento: [PROCEDIMENTO_DE_RESCISAO].

Cláusulas de confidencialidade, direitos dos titulares, incidentes, responsabilidade e eliminação poderão sobreviver apenas pelo período e motivo aprovados.

19. Lei e foro

Lei aplicável: legislação da República Federativa do Brasil.

Estado e comarca: [ESTADO] e [COMARCA].

Negociação, mediação e foro deverão respeitar competências obrigatórias e direitos que não possam ser afastados. A escolha final depende de revisão jurídica de ambas as partes.

20. Assinaturas — placeholders sem validade

NÃO ASSINAR. Os campos abaixo existem apenas para mostrar o que a versão futura precisará identificar.

Pela instituição controladora:

Razão social: [RAZAO_SOCIAL_DA_ESCOLA].

Representante: [NOME_DO_REPRESENTANTE_DA_ESCOLA].

Cargo e poderes: [CARGO_E_EVIDENCIA_DE_PODERES].

Assinatura: [ASSINATURA_DA_CONTROLADORA].

Data: [DATA].

Pela entidade operadora:

Razão social: [RAZAO_SOCIAL_DO_OPERADOR].

Representante: [NOME_DO_RESPONSAVEL].

Cargo e poderes: [CARGO_E_EVIDENCIA_DE_PODERES].

Assinatura: [ASSINATURA_DA_OPERADORA].

Data: [DATA].

Contatos: [EMAIL] e [TELEFONE].

Anexos obrigatórios antes da assinatura

Anexo A — operações, papéis, finalidades, titulares, dados e bases legais.
Anexo B — instruções documentadas e participação de responsáveis.
Anexo C — medidas técnicas e administrativas comprovadas.
Anexo D — suboperadores e transferências internacionais.
Anexo E — retenção, devolução, anonimização e eliminação.
Anexo F — contatos, incidentes e cooperação.
Anexo G — direitos dos titulares e fluxo de solicitações.

Gate para versão contratual

verificar partes, representantes e poderes;
definir papéis funcionalmente por operação;
aprovar melhor interesse, bases legais e participação de responsáveis;
completar inventário de dados, suboperadores e transferências;
validar cada afirmação de segurança com evidência;
negociar SLA interno de 72 horas sem confundi-lo com os três dias úteis externos;
aprovar retenção, auditoria, responsabilidade e encerramento;
preencher [DATA], [NOME_DO_RESPONSAVEL], [EMAIL] e [TELEFONE];
concluir revisão jurídica e criar versão sem DRAFT-NOT-FOR-SIGNATURE.

Até lá, não assine, não aceite e não envie dados reais com base neste documento.