1. Quem somos e como falar com o Encarregado (DPO)
A Learnix é a controladora dos dados pessoais tratados nesta plataforma. O(a) Encarregado(a) pelo Tratamento de Dados Pessoais (DPO) atende solicitações e dúvidas pelo canal [email protected].
Quando uma empresa contrata a Learnix para seus colaboradores (B2B), a empresa e a Learnix tratam dados em suas respectivas funções, nos limites do contrato e desta política.
2. Dados que tratamos
Coletamos somente o necessário (princípio da minimização):
- Identificação e contato: nome, e-mail, telefone, cidade.
- Vínculo: empresa, departamento, plano contratado, professor(es) e turma(s).
- Pedagógicos: idioma, objetivos, presença, avaliações por competência (escala CEFR), relatórios, progresso, práticas com IA (resumo de erros observados e tempo), conquistas e pontuação (XP).
- Financeiros: cobranças, vencimentos, status de pagamento e notas fiscais (sem dados de cartão: pagamentos, quando habilitados, ficam com o provedor).
- Documentos: contratos, aceites (versão, data, hash), certificados.
- Técnicos e de segurança: registros de acesso (data/hora, ação, IP em forma de hash), logs de erro e e-mails enviados.
3. Para que usamos e com qual base legal (LGPD, art. 7º)
Cada finalidade tem uma base legal definida:
- Prestar as aulas, agendar, avaliar e gerar relatórios — execução de contrato (art. 7º, V).
- Cobrança, emissão fiscal e guarda de documentos — cumprimento de obrigação legal/regulatória (art. 7º, II) e execução de contrato.
- Compartilhar dados de participação com o RH da sua empresa — seu consentimento específico (art. 7º, I), que você pode revogar a qualquer momento no seu perfil.
- Comunicações promocionais — consentimento (art. 7º, I), separado das mensagens operacionais.
- Prática com IA para fins pedagógicos — execução de contrato; recursos adicionais de voz podem exigir consentimento específico.
- Segurança, prevenção a fraudes e auditoria — legítimo interesse (art. 7º, IX), com avaliação de impacto sobre os titulares.
4. Com quem compartilhamos
Não vendemos dados pessoais. Compartilhamos apenas quando necessário:
- RH da empresa contratante: somente presença, horas, nível CEFR validado e progresso de objetivos, e apenas se você autorizar. O RH nunca vê anotações privadas do professor, conversas/áudios/transcrições de IA, respostas privadas de pesquisa de satisfação nem dados de outras empresas.
- Professores: apenas dos alunos a eles vinculados pelo Admin.
- Operadores (prestadores): Supabase (hospedagem, banco de dados, autenticação e armazenamento) e Resend (envio de e-mails transacionais). Atuam sob contrato e instruções da Learnix.
- Autoridades, quando houver obrigação legal ou ordem judicial.
5. Transferência internacional
Parte da infraestrutura dos operadores está fora do Brasil (por exemplo, região de data center nos Estados Unidos). A transferência ocorre com as garantias do art. 33 da LGPD (cláusulas contratuais padrão e medidas de segurança). Detalhes e a lista atualizada de operadores estão disponíveis mediante solicitação ao Encarregado.
6. Por quanto tempo guardamos
Mantemos os dados pelo tempo necessário à finalidade e aos prazos legais, e depois eliminamos ou anonimizamos:
- Cadastro e dados pedagógicos: durante o vínculo e até 5 anos depois, para defesa em processos e obrigações contratuais (prazos definidos na política de retenção).
- Documentos fiscais e financeiros: 5 anos (obrigação legal).
- Aceites e histórico de consentimentos: enquanto houver possibilidade de questionamento (prova de conformidade), sem identificação direta após a eliminação do titular.
- Notificações lidas: 12 meses. Registro de acessos: 6 meses. Logs de e-mail: 6 meses. Auditoria administrativa: 5 anos.
7. Seus direitos (art. 18)
Você pode solicitar, a qualquer momento: confirmação da existência de tratamento; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; portabilidade; informação sobre compartilhamentos; revogação do consentimento; e revisão de decisões automatizadas.
Como exercer: pelo seu perfil na plataforma (“Meu perfil e privacidade”) — onde você também baixa seus dados em formato aberto (JSON) — ou pelo e-mail do Encarregado. Respondemos em até 15 dias. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).
8. Como protegemos
Medidas técnicas e organizacionais, entre elas:
- Controle de acesso por perfil no servidor (aluno, professor, RH, Admin) e separação por empresa; cada pessoa só recebe os dados que pode ver.
- Criptografia em trânsito (HTTPS/TLS) e criptografia de campos pessoais e sensíveis em repouso (AES-256-GCM), com chaves fora do código e suporte a rotação.
- Senhas armazenadas apenas como hash seguro (Supabase Auth); convites e links de redefinição guardados como hash, de uso único e com validade curta.
- Limite de tentativas, bloqueio de cadastro público, registro de acessos e de ações administrativas, e documentos em armazenamento privado com links temporários.
- Plano de resposta a incidentes com avaliação de risco e comunicação à ANPD e aos titulares quando houver risco ou dano relevante.
9. Cookies e armazenamento local
Usamos apenas armazenamento estritamente necessário para manter você conectado e lembrar preferências de interface. Não usamos cookies de publicidade nem rastreadores de terceiros. Por isso, não exibimos faixa de consentimento de cookies; se isso mudar, pediremos seu consentimento.
10. Crianças e adolescentes
A plataforma é destinada a pessoas com 18 anos ou mais. Para menores de 18, o tratamento exige consentimento específico de ao menos um responsável legal (art. 14) e atendimento diferenciado, a ser tratado contratualmente.
11. Alterações desta política
Esta é a versão v1.0. Mudanças relevantes serão comunicadas na plataforma e, quando exigido, solicitaremos novo aceite. O histórico de versões aceitas fica registrado.