1. Controladora
[SAPPI — RAZÃO SOCIAL], CNPJ [CNPJ], é a controladora dos dados pessoais tratados na plataforma sappi.app. Contato do Encarregado (DPO) na seção 12.
2. Dados que coletamos
- Cadastro: nome, e-mail, telefone, CPF e data de nascimento.
- Matrícula e pagamento: turma contratada, histórico de pagamentos e status de cobrança. O processamento do pagamento é feito pelo Mercado Pago — não armazenamos dados de cartão.
- Aulas: agendamentos, reagendamentos (com motivo), presença e links de acesso. Gravações e transcrições só existem mediante consentimento específico (seção 7).
- Registros de uso: logs de acesso (data, hora, IP, navegador) e registros de aceite de documentos, mantidos para segurança e cumprimento do Marco Civil da Internet.
- Cookies: usamos apenas cookies essenciais de sessão (autenticação). Não usamos cookies de publicidade nem rastreadores de terceiros.
3. Finalidades e bases legais
- Prestar o serviço — matrícula, agendamento, links, lembretes, créditos e reposições → execução de contrato (art. 7º, V);
- Processar pagamentos e cobranças → execução de contrato e obrigação legal (fiscal);
- Registros de acesso e aceites → obrigação legal (Marco Civil) e exercício regular de direitos;
- Segurança, auditoria e prevenção a fraudes → legítimo interesse (art. 7º, IX), com medidas de minimização;
- Gravação e transcrição de aulas (quando ativada) → consentimento específico (art. 7º, I), revogável;
- Comunicações operacionais (confirmações, lembretes, avisos) → execução de contrato. Não enviamos marketing de terceiros.
Não vendemos seus dados. Não os usamos para publicidade de terceiros.
4. Com quem compartilhamos
- Professor da sua turma: recebe seu nome e e-mail para conduzir as aulas, sob obrigação contratual de confidencialidade. Professores não acessam dados de alunos de outros professores.
- Operadores: Supabase (banco de dados), Vercel (hospedagem), Mercado Pago (pagamentos), Resend (e-mails transacionais), Google (agenda e videoconferência). Tratam dados em nosso nome e sob nossas instruções.
- Autoridades: quando exigido por lei, ordem judicial ou requisição de autoridade competente.
- Em eventual reorganização societária, os dados podem ser transferidos ao sucessor, mantidas as garantias desta Política.
5. Transferência internacional
Alguns operadores processam dados fora do Brasil (EUA e outros países). Essas transferências apoiam-se no art. 33 da LGPD, mediante cláusulas contratuais e garantias de proteção adequadas oferecidas pelos fornecedores.
6. Segurança
- Criptografia em trânsito (TLS) e em repouso; credenciais sensíveis com camada adicional de criptografia de aplicação (AES-256-GCM);
- Controle de acesso por perfil com isolamento por linha no banco de dados (RLS) — cada usuário só enxerga os próprios dados;
- Autenticação em duas etapas para acessos administrativos;
- Trilha de auditoria imutável das operações sensíveis.
7. Gravações de aula e decisões automatizadas
- Aulas só são gravadas com consentimento prévio e específico de aluno e professor, registrado com data e versão. A revogação vale para gravações futuras.
- Transcrições podem ser analisadas por inteligência artificial para gerar relatórios pedagógicos e indicadores de qualidade.
- Nenhuma decisão com efeito relevante (penalidade a professor, restrição a aluno) é tomada apenas por sistema automatizado: sinalizações de IA passam por revisão humana, e você pode solicitar revisão de qualquer decisão (LGPD, art. 20).
8. Retenção e eliminação
- Dados de conta e matrícula: enquanto a conta existir;
- Registros financeiros: pelo prazo das obrigações fiscais (em regra, 5 anos);
- Logs de acesso: mínimo de 6 meses (Marco Civil), e pelo período necessário à segurança;
- Gravações de aula: excluídas após a geração da transcrição/relatório, em prazo não superior a 90 dias;
- Após os prazos, os dados são eliminados ou anonimizados de forma segura.
9. Idade mínima
A plataforma é destinada a maiores de 18 anos — o cadastro bloqueia datas de nascimento de menores. Não coletamos intencionalmente dados de crianças ou adolescentes; se identificarmos, a conta é encerrada e os dados eliminados.
10. Seus direitos (LGPD, art. 18)
Você pode solicitar a qualquer momento:
- Confirmação da existência de tratamento e acesso aos dados;
- Correção de dados incompletos, inexatos ou desatualizados;
- Anonimização, bloqueio ou eliminação de dados desnecessários;
- Portabilidade a outro fornecedor;
- Eliminação dos dados tratados com consentimento;
- Informação sobre compartilhamentos e sobre a possibilidade de não consentir;
- Revogação do consentimento e revisão de decisões automatizadas.
Como exercer: escreva para o e-mail da seção 12, do endereço cadastrado na conta. Respondemos em até 15 dias. Podemos solicitar confirmação de identidade para sua proteção.
11. Incidentes de segurança
Mantemos processo de resposta a incidentes. Ocorrências com risco ou dano relevante aos titulares são comunicadas à ANPD e aos afetados, na forma do art. 48 da LGPD.
13. Alterações desta Política
Alterações são versionadas e datadas; mudanças relevantes são comunicadas por e-mail ou aviso na plataforma. A versão vigente fica sempre disponível em sappi.app/privacidade.