Política de Privacidade

1. Quem somos e a quem esta política se aplica

Esta política descreve como são tratados os dados pessoais coletados pelo canal de escuta e gestão de casos de proteção escolar operado pela plataforma FalaEscola, mantida por STeSocial Serviços Técnicos, inscrita no CNPJ sob o nº 45.311.067/0001-85.

A instituição de ensino contratante atua como controladora dos dados pessoais tratados em seu canal, definindo finalidades e diretrizes. A STeSocial atua como operadora, tratando os dados exclusivamente conforme instrução documentada da controladora, nos termos dos arts. 5º, VI e VII, e 39 da Lei nº 13.709/2018.

2. Para que os dados são tratados

Os dados são tratados para receber, qualificar, encaminhar e acompanhar relatos de violência, intimidação sistemática, assédio e demais situações que afetem a integridade de estudantes, profissionais e demais integrantes da comunidade escolar; para comunicar o caso aos órgãos competentes quando cabível; para permitir que o relator acompanhe o andamento por meio de protocolo; e para produzir indicadores agregados e anonimizados de gestão.

A apuração dos fatos é atividade da instituição contratante. Os dados não são utilizados para publicidade, não são vendidos, não são usados para treinamento de modelos e não são compartilhados com terceiros fora das hipóteses do item 6.

3. Fundamento legal

O tratamento se fundamenta:

• no cumprimento de obrigação legal e regulatória pela controladora (art. 7º, II, e art. 11, II, "a", da LGPD), especialmente as decorrentes da Lei nº 14.811/2024, da Lei nº 13.185/2015, do art. 12 da Lei nº 9.394/1996, da Lei nº 13.431/2017, da Lei nº 14.344/2022 e dos arts. 13, 56, 70-B e 245 da Lei nº 8.069/1990;
• na execução de políticas públicas, quando a controladora for ente público (art. 7º, III, e art. 11, II, "b");
• na proteção da vida e da incolumidade física do titular ou de terceiro (art. 7º, VII, e art. 11, II, "e");
• no exercício regular de direitos em processo administrativo, judicial ou arbitral (art. 7º, VI, e art. 11, II, "d");
• no melhor interesse da criança e do adolescente, nos termos do art. 14 da LGPD.

4. Quais dados são coletados no canal de relatos

Em qualquer modo de envio: conteúdo do relato, categoria, urgência percebida, unidade escolar indicada, data e hora do registro, arquivos eventualmente anexados e número de protocolo gerado.

Somente quando o relator escolhe se identificar: nome, vínculo com a instituição e meio de contato informado.

No modo sem identificação: não são coletados nome, contato, endereço IP ou demais identificadores de rede do relator. Nesse modo, o único elo com o relato é o número de protocolo, guardado exclusivamente pelo próprio relator.

O conteúdo livre do relato pode conter dados pessoais sensíveis e dados de terceiros, que recebem o mesmo regime de proteção descrito nesta política.

Recomendação ao relator: informe o necessário para que a situação possa ser compreendida e encaminhada, e evite incluir dados de terceiros que não sejam indispensáveis.

5. Como os dados são protegidos

• Os dados de identidade são armazenados em estrutura separada do conteúdo do relato, com controle de acesso próprio.
• O acesso a dados de identidade depende de permissão específica e individual, concedida pela controladora.
• Todo acesso a dados de identidade é registrado em log de auditoria, com identificação do autor, data e hora.
• Os dados trafegam e são armazenados de forma criptografada, inclusive os arquivos anexados.
• Quando o relato aponta pessoa que integra a cadeia de destinatários, inclusive a direção da unidade, o sistema bloqueia o acesso dessa pessoa ao caso: ele não aparece em sua fila, não pode ser aberto por ela, e toda tentativa de acesso fica registrada. O encaminhamento a instância superior ou externa é decidido e registrado pela equipe responsável.

6. Com quem os dados podem ser compartilhados

1. Com a controladora, por meio dos perfis por ela autorizados.
2. Com os órgãos da rede de proteção — Conselho Tutelar, assistência social, saúde, segurança pública, Ministério Público — quando o encaminhamento for devido, nos termos do art. 13 do ECA e da Lei nº 13.431/2017.
3. Com a autoridade policial, nas hipóteses que configurem crime ou ato infracional.
4. Com autoridades públicas, mediante requisição legal ou ordem judicial.
5. Com suboperadores contratados para viabilizar o serviço: Vercel (hospedagem da aplicação), Supabase (banco de dados e armazenamento dos arquivos anexados), Resend (envio das notificações por e-mail), Sentry (monitoração de erros da aplicação) e OpenAI (sugestão de categoria e prioridade na triagem assistida). Todos estão vinculados por contrato às mesmas obrigações desta política.

Não há compartilhamento com nenhum outro terceiro.

7. Onde os dados ficam e transferência internacional

Aplicação hospedada na Vercel; banco de dados e arquivos anexados no Supabase. Havendo tratamento por suboperador situado fora do território nacional, a transferência observa o art. 33 da LGPD, mediante cláusulas contratuais específicas de garantia de conformidade.

8. Por quanto tempo os dados são mantidos

Encerrado o prazo, os dados são eliminados ou anonimizados. Encerrado o contrato com a controladora, os dados são devolvidos a ela em formato estruturado e eliminados dos sistemas da STeSocial em até 30 dias, salvo obrigação legal de guarda.

9. Direitos do titular

Nos termos do art. 18 da LGPD, o titular pode solicitar confirmação de tratamento, acesso, correção, anonimização, portabilidade, informação sobre compartilhamentos e revisão de decisões automatizadas.

Os pedidos devem ser dirigidos ao encarregado da instituição contratante, que é a controladora. A STeSocial auxilia a controladora no atendimento.

Limite técnico do modo sem identificação: quando o relato é enviado sem identificação, não existe vínculo entre o relato e uma pessoa determinada. Nesse caso, não há como confirmar a titularidade e, portanto, não é possível atender pedidos de acesso, correção ou exclusão daquele relato. Essa é consequência direta da proteção do anonimato.

10. Crianças e adolescentes

O tratamento de dados de crianças e adolescentes observa o melhor interesse do titular, nos termos do art. 14 da LGPD, e ocorre no contexto do dever legal de proteção atribuído aos estabelecimentos de ensino.

Não é exigido consentimento dos pais ou responsáveis para o envio de um relato, porque a coleta se destina à proteção do próprio titular e ao cumprimento de obrigação legal da instituição. Não são solicitados à criança ou ao adolescente dados além dos necessários ao registro, e o canal não condiciona o registro à identificação nem ao detalhamento da narrativa.

11. Segurança da informação e incidentes

A STeSocial adota medidas técnicas e administrativas de proteção contra acesso não autorizado, perda, alteração ou divulgação indevida. Verificado incidente de segurança que possa acarretar risco ou dano relevante, a operadora comunica a controladora imediatamente, com as informações do art. 48 da LGPD, para que esta cumpra o dever de comunicação à Autoridade Nacional de Proteção de Dados e aos titulares.

12. Encarregado

Encarregado da controladora: definido por cada instituição contratante e informado no rodapé de seu canal — configurável no painel administrativo da rede.

Encarregado da operadora: contato@falaescola.com.br.

13. Alterações

Alterações desta política são publicadas nesta página com nova versão e data de vigência, e comunicadas às instituições contratantes com antecedência mínima de 30 dias quando alterarem substancialmente o tratamento.