1. Controlador

Geracom LTDA (CNPJ 64.874.583/0001-62).

2. Encarregado de Dados (DPO)

Contato: equipe.progressoedu@gmail.com.

3. Dados tratados

• Aluno: nome, data de nascimento, CPF, RG, endereço, foto, dados acadêmicos, dados de saúde/deficiência, código de segurança (PIN).
• Responsável: nome, CPF, telefone, email, endereço, parentesco.
• Acesso: IP, user-agent, data/hora, tipo de dispositivo, cookie de sessão (portalToken).
• Financeiro: cobranças e pagamentos.

4. Finalidade e base legal

• Execução do contrato de prestação de serviços educacionais (LGPD Art. 7, V).
• Obrigação legal/regulatória (MEC, LDB, Receita — Art. 7, II).
• Legítimo interesse para segurança do portal e prevenção à fraude (Art. 7, IX).
• Consentimento do responsável para dados de menor (Art. 14) e dados sensíveis (Art. 11).

5. Dados de menores (Art. 14)

Os dados do aluno menor de 18 anos são tratados com consentimento específico do responsável legal, coletado no primeiro acesso e renovado a cada alteração relevante desta Política.

6. Dados sensíveis (Art. 11)

Informações de saúde e deficiência são acessadas apenas por funcionários autorizados, com registro individual de cada consulta (tabela sensitive_data_access_log). Utilizadas para proteção da vida e incolumidade física do aluno e cumprimento de obrigações legais.

7. Compartilhamento e transferência internacional

Operadores utilizados: Supabase (banco e autenticação, EUA), Google Cloud Storage (anexos, EUA), Vercel (hospedagem, EUA), WhatsApp/Meta (notificações, EUA/UE) e processador de pagamentos. As transferências internacionais ocorrem sob cláusulas contratuais padrão e garantias adequadas.

8. Retenção

• Dados de matrícula: enquanto ativo e até 5 anos após a saída.
• Histórico escolar: arquivo permanente (obrigação MEC).
• Logs de acesso ao portal: 12 meses.
• Solicitações e fluxos: 2 anos após encerramento.
• Fotos: enquanto ativo; removidas no encerramento.

9. Direitos do titular (Art. 18)

Você pode solicitar acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamento e revogação de consentimento pelo email do DPO acima ou pela área Meus Dados no portal.

10. Segurança

Autenticação por token assinado com HMAC, cookie httpOnly, HTTPS, controle de acesso por papel, rate limiting, whitelist de colunas sensíveis, log de acesso e rotina de retenção automatizada.

11. Cookies

portalToken (autenticação, httpOnly, longa duração, revogável pela escola) e cookies da Supabase Auth para funcionários.

12. Comunicação de incidentes

Em caso de incidente com risco relevante, os titulares e a ANPD serão comunicados no prazo legal, com descrição do ocorrido e medidas adotadas.

13. Alterações

Alterações serão publicadas aqui e comunicadas via portal, exigindo novo aceite quando materiais.