Contrato de tratamento de dados (DPA)

1. Partes e aceite

Este contrato faz parte dos Termos de uso e vale entre o professor que contrata a ClassMe (pessoa física ou jurídica), que é o controlador dos dados pessoais dos seus alunos, responsáveis e professores parceiros, e a ClassMe, serviço prestado a partir da Espanha pelo titular identificado no Aviso legal, que é a operadora (RGPD: encarregado do tratamento; UK GDPR: processor). Contato: contato@classme.win.

O professor aceita este contrato no cadastro da escola, junto com os termos; guardamos a versão e a data do aceite. Se houver conflito com os termos sobre dados pessoais, vale este contrato. Ele cumpre o art. 28 do RGPD (Regulamento (UE) 2016/679) e do UK GDPR e os arts. 37 a 40 da LGPD, com a LOPDGDD (Lei Orgânica espanhola 3/2018).

2. Objeto, duração e finalidade

A ClassMe trata os dados da escola só para fornecer o software e a infraestrutura dela (site, agenda, créditos e pagamentos informados, sala com lousa, mensagens, tarefas, relatórios, área do responsável), enquanto durar a assinatura e, depois, pelo prazo da seção 11. O tratamento é automatizado: hospedagem, armazenamento, cifra, cópia de segurança, envio de e-mails e avisos, transmissão em tempo real e eliminação.

A ClassMe não usa os dados da escola para fins próprios, publicidade, criação de perfis, venda ou treino de inteligência artificial. Os dados do professor como cliente e os da conexão Google dele são tratados pela ClassMe como controladora, conforme a política de privacidade, e ficam fora deste contrato.

3. Titulares e dados

• Titulares: alunos, inclusive crianças e adolescentes; responsáveis legais dos menores; professores parceiros e administradores convidados; interessados em aula experimental ou lista de espera; o próprio professor como administrador.
• Dados: nome, e-mail, telefone (opcional), idioma e fuso; do menor, só mês e ano de nascimento; dados de conta e segurança (senha só como hash, verificação em duas etapas, sessões, código derivado do IP); dados de ensino (nível, objetivos, aulas, resumos, tarefas, relatórios, anotações do professor); mensagens, anexos e lousa; áudios e vídeos (de menores, só com autorização); pagamentos informados; prova pseudonimizada das autorizações; inscrição opcional de notificações.
• Não pedimos dados sensíveis. Voz e imagem não são usadas para biometria nem passam por inteligência artificial.

4. Instruções do professor

A ClassMe só trata os dados conforme as instruções documentadas do professor: este contrato e os termos, as configurações feitas no painel da escola e os pedidos escritos a contato@classme.win. Os prazos de retenção, as regras de acesso e o fluxo de autorização de menores descritos na política de privacidade de cada escola são adotados pelo professor como instruções; se ele quiser outro padrão, pede por escrito. Se uma instrução violar a lei, avisamos na hora. Se a lei nos obrigar a outro tratamento, avisamos antes, salvo proibição legal.

5. Confidencialidade

Só acessa os dados quem precisa para prestar o serviço (hoje, só o titular da ClassMe), sob dever de sigilo que continua depois do contrato. O acesso técnico é excepcional (suporte pedido pelo professor, incidente, abuso ou obrigação legal), limitado e registrado.

6. Segurança

Aplicamos as medidas da seção 15, adequadas ao risco e ao fato de a escola poder ter alunos menores (RGPD art. 32; LGPD art. 46). Podemos atualizá-las sem reduzir a proteção. O professor cuida do que está com ele: senha, verificação em duas etapas, aparelhos e quem convida para a escola.

7. Suboperadores

O professor autoriza de forma geral os suboperadores da seção 16. Antes de incluir ou trocar um, avisamos por e-mail com pelo menos 30 dias de antecedência e atualizamos esta página. O professor pode se opor por motivo ligado à proteção de dados; sem solução, pode encerrar sem multa antes da mudança, com reembolso proporcional do período pago e não usado. Cada suboperador assume por contrato obrigações equivalentes às deste contrato, e a ClassMe responde por elas.

8. Transferências internacionais

A ClassMe está na Espanha. O banco de dados fica no Reino Unido (decisão de adequação da União Europeia); arquivos e cópias de segurança, na Europa Ocidental; o tráfego pode passar pela rede global da Cloudflare, inclusive os Estados Unidos (EU-US Data Privacy Framework e UK-US Data Bridge para empresas certificadas, ou cláusulas-padrão da Comissão Europeia e o adendo britânico). Para dados vindos do Brasil, valem as cláusulas-padrão contratuais da ANPD (LGPD art. 33, II; Resolução CD/ANPD 19/2024), incorporadas a este contrato. Como medida suplementar, os campos pessoais são cifrados na aplicação, com chaves que os fornecedores não têm.

9. Direitos dos titulares e assistência

A plataforma já permite exportar, corrigir e excluir dados, retirar consentimentos e usar o portal do responsável. Pedidos de titulares que chegarem à ClassMe são encaminhados ao professor sem demora. Ajudamos o professor a responder o que as ferramentas não resolvem, nos prazos da lei, e também com segurança, avaliação de impacto (DPIA/RIPD) e consulta prévia à autoridade (RGPD arts. 32 a 36; LGPD art. 38).

10. Violação de dados

Avisamos o professor sem demora indevida e em no máximo 48 horas depois de saber de uma violação que afete os dados da escola, com a natureza do incidente, os titulares e registros afetados, as consequências prováveis, as medidas tomadas e um contato. Cabe ao professor, como controlador, decidir a notificação à autoridade (AEPD ou a autoridade do seu país da UE, ICO ou ANPD) e aos titulares; ajudamos com as informações e o texto. Registramos todas as violações.

11. Fim do contrato

Antes de desligar a escola, entregamos ao professor uma cópia dos dados (alunos, aulas, créditos e pagamentos) em formato estruturado. Os dados ficam disponíveis por 30 dias depois do fim do serviço e então são eliminados, salvo o que a lei obrigar a guardar. As cópias de segurança cifradas expiram sozinhas em até 35 dias, e um dado eliminado nunca é restaurado. A pedido, confirmamos a eliminação por escrito.

12. Informações e auditorias

Fornecemos ao professor as informações para demonstrar o cumprimento deste contrato, inclusive as certificações disponíveis dos suboperadores. O professor, ou um auditor sob sigilo, pode auditar com aviso de 30 dias, uma vez por ano (ou depois de uma violação, ou por ordem de autoridade), primeiro por documentos, sem expor dados de outras escolas.

13. Menores de idade

O professor colhe e mantém as autorizações do responsável que a lei exige (RGPD art. 8; LOPDGDD art. 7, 14 anos na Espanha; LGPD art. 14), usando os fluxos da plataforma. A ClassMe mantém esses fluxos funcionando e não usa dados de menores para nada além do serviço.

14. Responsabilidade, mudanças e lei aplicável

Cada parte responde pelos danos que causar por descumprir este contrato ou a lei (RGPD art. 82; LGPD arts. 42 a 45); os limites dos termos não reduzem a responsabilidade perante titulares e autoridades. Mudanças são avisadas por e-mail com 30 dias de antecedência, com direito de encerrar sem multa. Este contrato segue a lei espanhola, sem prejuízo das normas obrigatórias de proteção de dados de cada país (LGPD no Brasil, UK GDPR no Reino Unido).

15. Medidas de segurança

• HTTPS/TLS em todas as conexões, HSTS e conexão cifrada com o banco de dados.
• Campos pessoais cifrados na aplicação com AES-256-GCM (formato enc:v2, ligado ao campo e à linha), chaves rotacionáveis; arquivos também cifrados antes de guardar.
• Backup diário cifrado com chave separada, em armazenamento privado, apagado em até 35 dias.
• Cada escola num schema próprio do banco de dados, isolado das outras.
• Senhas com bcrypt e checagem de senhas vazadas sem enviar a senha; verificação em duas etapas (TOTP) com códigos de recuperação; confirmação extra para ações sensíveis.
• Limite de tentativas com bloqueio progressivo no login e nos códigos.
• Só cookies essenciais, com prefixo __Host-, HttpOnly e SameSite.
• Acesso por perfil; ações administrativas e eventos de segurança numa trilha de auditoria encadeada, guardada por 12 meses.
• Minimização por padrão, apagamento automático dos dados vencidos, CSP e proteção contra enquadramento.

16. Suboperadores

• Cloudflare (Cloudflare, Inc., Estados Unidos): hospedagem e execução (Workers e Hyperdrive), sala de aula ao vivo (Durable Objects), arquivos e backups (R2, Europa Ocidental), vídeos (Stream) e envio de e-mails. Rede global, inclusive Estados Unidos. DPA com cláusulas-padrão e adendo britânico; certificada no EU-US Data Privacy Framework.
• Neon (Estados Unidos): banco de dados PostgreSQL, região Londres, Reino Unido; campos pessoais já cifrados na aplicação. Decisão de adequação para o Reino Unido e cláusulas-padrão do DPA da Neon.

Não são suboperadores da ClassMe: o Google (Agenda e Meet), quando o professor liga a conta Google dele, que trata o evento da aula como responsável próprio, pela conta do professor; e os serviços de notificação dos navegadores, escolhidos pelo navegador de quem liga as notificações, que só recebem mensagens cifradas de ponta a ponta.