Acordo de Tratamento de Dados Pessoais (DPA)

Acordo de Tratamento de Dados Pessoais

Partes. __________, inscrita no CNPJ __________ ("Escola" ou "Controladora") e Sofi — Sofi (empresa em constituição), inscrita no CNPJ em constituição ("Sofi" ou "Operadora"), vinculado ao Contrato de Prestação de Serviços nº __________ ("Contrato Principal").

⚠️ Razão social e CNPJ da Sofi estão bloqueados na constituição da empresa (estágio E4). Nenhuma via deste DPA é assinada com os colchetes abertos.

1. Definições e papéis

1.1. Termos da LGPD (Lei 13.709/2018) têm o significado legal. "Dados" são os dados pessoais tratados pela Sofi em nome da Escola no âmbito do serviço, descritos no Anexo I.

1.2. A Escola é a controladora: decide as finalidades e meios (quais alunos, quais fotos, para quais famílias, por quanto tempo). A Sofi é a operadora: trata os Dados exclusivamente em nome da Escola, conforme este DPA e as instruções documentadas dadas pelo uso das funcionalidades do serviço.

2. Objeto e instruções

2.1. A Sofi trata os Dados unicamente para prestar o serviço contratado, que abrange:

(a) fotografias dos alunos, registradas pela equipe da Escola, e o compartilhamento delas com os respectivos responsáveis legais;

(b) vídeos curtos das atividades, com áudio — e portanto com a voz das crianças e de quem estiver por perto — quando a Escola mantiver o áudio habilitado. O vídeo nasce desabilitado e depende de habilitação em quatro níveis sucessivos (contrato, escola, profissional e turma). Quando a Escola desliga o áudio, a trilha de som é removida no servidor, durante o processamento: a voz não é guardada em lugar nenhum e não há como reativá-la depois;

(c) o registro das autorizações que a Escola pede às famílias e a guarda da prova de cada decisão — quem decidiu, o quê, quando, sob qual versão de texto. Isso abrange tanto o consentimento de imagem quanto documentos que não são consentimento (autorização de passeio, retirada por terceiro, transporte, ciência de regimento e afins), na forma do §3.1;

(d) as funções de conformidade que sustentam (a) a (c): gestão e revogação de consentimento, trilha de acessos, trilha de ações e execução automática dos prazos de retenção.

2.1.1. A única hipótese em que a Sofi trata os Dados fora das alíneas (a) a (d) é a requisição de autoridade dirigida a ela (§2.5). Ela está fora desta enumeração, e não dentro, porque não é serviço que a Escola contratou: é dever legal que recai sobre a Sofi. Fora dela, a palavra "unicamente" do §2.1 vale sem ressalva.

2.2. Constituem instruções documentadas da Escola: (i) este DPA; (ii) as configurações feitas pela Escola no painel (prazos de retenção, textos e publicação dos termos, marcações, habilitação de vídeo e de áudio, habilitação de download); (iii) instruções escritas adicionais compatíveis com o serviço.

2.2.1. A exceção é nomeada, e é uma só. No §2.5 a Sofi age sem instrução da Escola, porque a lei a obriga: é a requisição de autoridade dirigida a ela. Ali a Sofi não pede autorização à Escola e não a representa — comunica, nos termos daquele parágrafo, e responde pelo que entregou.

2.3. Vedação de uso próprio e de treinamento de modelos. A Sofi não utiliza os Dados para fins próprios — inclusive publicidade, perfilamento, enriquecimento de bases e treinamento, ajuste fino ou avaliação de modelos de inteligência artificial, próprios ou de terceiros. A vedação alcança qualquer uso dos Dados como material de aprendizado, em qualquer escala, e não é afastada por anonimização prévia.

2.3.1. O que a vedação do §2.3 não proíbe, e a distinção importa. Uma coisa é treinar um modelo com os dados dos clientes; outra é executar um modelo já pronto sobre os Dados, em nome da Escola, para entregar o serviço. A segunda é permitida e é o que o produto faz: a detecção automática indica onde há um rosto na imagem, para que o cobrimento do §3.3 possa ser aplicado, e conta quantas pessoas apareceram na cena. Essa execução (i) é instrução documentada da Escola; (ii) roda na infraestrutura da própria Sofi, sem sair para terceiro; (iii) não produz dado biométrico — a detecção não calcula nem guarda medida do rosto; onde a Escola contrata o reconhecimento facial (cláusula 2.7 do Contrato Principal), a execução do modelo de reconhecimento produz medida biométrica, nas condições do §3.7 e do Anexo III, e nem ali o modelo aprende com os Dados; (iv) não decide nada sozinha na detecção: quem é a pessoa, uma pessoa da Escola diz, e a foto fica retida até que ela diga — e, no reconhecimento, a máquina só marca sozinha depois da partida do §3.7.4, com toda marcação dela sujeita a correção humana.

2.3.2. Vedação de uso cruzado entre escolas. Nenhum dado, imagem, marcação ou decisão de uma Escola produz resultado, sugestão, estatística, ordenação ou modelo para outra Escola. O isolamento entre escolas é lógico e verificado por testes automatizados a cada alteração do sistema.

2.3.3. Relação dos tratamentos automatizados. A Sofi mantém no Anexo I a relação dos tratamentos automatizados em uso, com o que cada um faz, se produz dado sensível e se decide algo sem intervenção humana. Tratamento automatizado novo entra no Anexo I antes de ser ligado, pelo procedimento do §5.1.

2.3.4. Ligar um serviço de terceiro que execute modelo de linguagem sobre os Dados torna esse terceiro suboperador novo, com as consequências do §5.1. Hoje não existe nenhum.

2.3.5. Como esta vedação pode ser alterada — e só assim. A vedação do §2.3 só muda por aditivo escrito a este DPA, precedido de aviso à Escola com 30 dias de antecedência; discordando, a Escola rescinde o Contrato Principal sem ônus. Nenhuma atualização de sistema, de política, de anexo ou de cláusula do Contrato Principal altera sozinha o §2.3. Esta cláusula existe porque este DPA prevalece sobre o Contrato Principal em proteção de dados: sem ela, a via de alteração prevista lá seria inócua contra o anexo que prevalece.

2.4. A Sofi informa a Escola se considerar que uma instrução viola a legislação.

2.5. Requisição de autoridade dirigida à Sofi. A Sofi pode receber, em nome próprio, requisição de juízo, do Ministério Público, de autoridade policial ou de outra autoridade competente, exigindo fotografias de alunos. Ela não é instrução da Escola e não cabe em nenhuma das alíneas do §2.1: a Sofi a atende por dever legal (LGPD art. 7º, II e VI), e este parágrafo é a única hipótese em que ela trata os Dados fora daquelas alíneas. É também a única hipótese em que a Sofi se afasta da regra do art. 39 da LGPD — tratar apenas conforme as instruções da Escola —, e ela o faz porque a lei a obriga, não porque a Escola a instruiu. ⚠️ A qualificação exata da base (inciso II, inciso VI, ou os dois conforme a origem da requisição) está submetida à revisão jurídica, e a Sofi a ajustará neste parágrafo quando ela vier.

2.5.1. A Escola é comunicada, salvo quando a lei proibir. A requisição recebida e a saída das imagens ficam registradas na trilha de auditoria que a Escola lê no painel, com a origem, o número do ofício, a data em que a requisição chegou, o recorte entregue e o nome de quem agiu. O registro da requisição entra na trilha no ato em que ela é registrada, antes de qualquer imagem sair — de modo que a Escola possa se manifestar perante a autoridade, quando o prazo permitir. É a regra da cláusula 13.2 do Contrato Principal, aplicada aqui.

2.5.2. O segredo suspende a comunicação; não a cancela. Havendo determinação de segredo, a Sofi transcreve a determinação no próprio registro, e a trilha da Escola se cala enquanto o segredo durar. O registro do ato existe desde o primeiro dia, fora da trilha da Escola, e é auditável. Levantado o segredo, a Sofi publica na trilha da Escola o que ficou represado, com a data em que a requisição chegou e a data em que as imagens saíram. Sem determinação transcrita não há supressão: o padrão é comunicar.

2.5.3. O que sai. Saem fotografias, na mesma versão que a equipe da Escola vê no painel — nítidas, com a marca d'água institucional já impressa —, copiadas como estão. Nenhum rosto é coberto neste pacote. A razão é de categoria: o cobrimento do §3.3 existe porque o consentimento de imagem governa o que a Escola mostra a outras famílias, e uma requisição de autoridade não se apoia nesse consentimento. Cobrir rosto numa peça destinada a apurar um fato mutilaria a prova. Não saem o arquivo original, os vídeos (§3.4.4), os cadastros nem as trilhas de auditoria — cada um desses é fornecido por caminho próprio, mediante pedido que o identifique. Um manifesto dentro do pacote declara cada ausência e o motivo.

2.5.4. O escopo é o limite desta saída. Como a imagem sai sem cobrimento, o que a limita é quais fotografias entram: as de uma criança determinada, um período determinado, ou o acervo da Escola quando a requisição o exigir. A Sofi registra o recorte pedido, entrega apenas o que ele alcança e não o amplia por conveniência de operação. O recorte por criança é feito pela marcação que a Escola fez na fotografia; onde ninguém foi marcado, o sistema não sabe quem aparece, e a fotografia não entra em recorte de criança nenhuma — o manifesto diz isso a quem requisitou.

2.5.5. Quem prepara e quem entrega. O pacote é preparado e baixado por pessoa da Sofi com acesso irrestrito, autenticada em duas etapas, e entregue pelo canal por onde a requisição chegou. Não há link de download enviado a terceiro. Cada preparação e cada entrega deixam registro com o nome de quem agiu, o volume entregue e a soma de verificação de cada arquivo.

2.5.6. Prazos e vestígios. Requisição recebida e ainda não respondida suspende a eliminação do que ela alcança (§8.1.1.1), para que a Sofi não responda "as fotografias já não existem" por obra da própria varredura de prazo. Os arquivos do pacote são temporários, no regime do §8.2(a.1), e são eliminados junto com as fotografias que copiam. O registro da requisição e o da saída não são eliminados: é deles que se responde, anos depois, por que a imagem daquela criança saiu daqui.

2.5.7. Quando a requisição é dirigida à Escola. Requisição que chegue à Escola é respondida por ela, controladora, com o apoio técnico da Sofi. A Sofi não decide, no lugar da Escola, o que ela deve entregar.

2.5.8. Responsabilidade. A Sofi responde pela legalidade do próprio atendimento: a conferência da requisição, o recorte entregue e o registro do ato. Aplicam-se as alíneas (d) e (e) da cláusula 15.4 do Contrato Principal, na forma do §10.2.

3. Autorizações das famílias e crianças

3.1. O serviço registra decisões das famílias em duas camadas, com naturezas jurídicas distintas. A distinção não é redacional: ela está no código, em tabelas separadas, e cada camada tem prova própria.

(i) Consentimento de imagem — art. 14 da LGPD. São finalidades fechadas em código, específicas e destacadas, dadas por ao menos um responsável legal e colhidas no melhor interesse da criança: registro pedagógico e fotos de grupo (as duas que governam o que a família vê), mais três finalidades aditivas: uso fora do aplicativo, cujo mecanismo — a saída controlada para divulgação — existe e está descrito no §3.5; vídeo e voz, que só opera onde o Contrato Principal habilita vídeo; e reconhecimento facial, que só opera onde o Contrato Principal habilita o recurso (cláusula 2.7) e está descrito no §3.7 — é a única das cinco que trata dado biométrico sensível (LGPD art. 5º, II; art. 11, I). Finalidade aditiva que ainda não opere só é ligada com emenda a este DPA, sempre antes. Cada uma é pedida em texto próprio, e cada uma é revogável a qualquer momento, sem justificativa e sem custo (art. 8º, §5º).

(ii) Documentos de autorização da Escola. Passeio, retirada por terceiro, transporte, medicamento, ciência de regimento e afins. Para a Escola, a base legal desses documentos em regra não é o consentimento do art. 14: na autorização civil é o exercício do poder familiar (CC art. 1.634, I e II); no documento que apenas comunica é ciência ou adesão, e a única resposta possível é "li" — ele não concede nada. O sistema carimba a natureza de cada documento em campo próprio, congelada na versão publicada, e a natureza tem consequência em código (o que se revoga, o que não se revoga, o que a recusa pode custar).

3.1.1. Nenhum documento da camada (ii) governa a visibilidade da imagem de aluno. Essa decisão pertence exclusivamente às finalidades de imagem da camada (i). Documento que precisasse mudar a imagem exibida não é documento: é finalidade, e entra em código com o mecanismo que a executa.

3.1.2. A qualificação da base legal é da Escola, controladora. A Sofi fornece o mecanismo, a natureza carimbada, o texto congelado e a prova; ela não define nem valida a base legal da Escola, não emite parecer sobre o texto dela e nenhuma superfície do produto exibe "revisado pela Sofi".

3.1.3. O produto nunca aplica a consequência de uma recusa. Falta de assinatura ou recusa não bloqueia o acesso ao aplicativo, ao feed, à fotografia nem a qualquer recurso. Quando a recusa tem consequência legítima fora do sistema — a criança que não vai ao passeio —, é a Escola que a escreve no próprio documento, e o texto é obrigado a dizê-la.

3.2. A Escola é a controladora dos consentimentos: é dela a decisão sobre o texto do termo e o ato de publicá-lo. A plataforma fornece termos versionados, o registro com trilha (data, IP, canal, versão) e a revogação com efeito imediato na visibilidade das fotos.

3.2.1. O ato de consentir pode ser exercido de dois modos, ambos registrados pela plataforma como operadora: (i) pela Escola, ao lançar no painel um termo assinado em papel; (ii) pelo próprio responsável legal, diretamente no aplicativo, lendo o texto integral do termo publicado antes de autorizar (art. 8º) e podendo revogar a qualquer momento, com a mesma prova (origem, IP, agente e versão do termo). A escolha entre os dois é operacional da Escola; a responsabilidade de controladora sobre a coleta permanece dela.

3.3. A regra da imagem, como ela funciona de fato. Quando o sistema localiza o rosto de uma criança sem as duas autorizações de imagem e alguém da Escola o vincula a ela, esse rosto sai coberto de forma irreversível na cópia entregue às famílias, e a fotografia circula sem ele. A regra roda a cada consulta, num único ponto do código, e não depende de nenhuma decisão editorial nem de "despublicar": uma autorização retirada vale na consulta seguinte.

3.3.0. O cobrimento depende de duas etapas, e a Escola precisa conhecê-las. A primeira é a detecção automática, que não encontra todos os rostos; a segunda é a identificação feita por pessoa da Escola. Onde qualquer uma das duas falhar, não há caixa a cobrir — rosto que o detector não achou não é coberto, e rosto classificado por engano como "não é um rosto" é revelado. Por isso a conferência da fotografia antes de publicar é obrigação da Escola (cláusula 5 do Contrato Principal), e por isso o sistema retém a fotografia inteira nos casos da alínea (b): onde não consegue garantir o cobrimento, ele não exibe.

(a) Na fotografia, o rosto da criança sem as autorizações sai coberto de forma irreversível na cópia entregue às famílias. O cobrimento é queimado no arquivo que é entregue, não é filtro de exibição que se desliga depois. A fotografia pode circular; o rosto dela, não.

(b) A fotografia não é exibida a nenhuma família — nem à própria — sempre que o cobrimento não puder ser garantido. São três casos: há na foto um rosto que ninguém da Escola identificou ainda; há criança marcada sem as autorizações e o sistema não localizou o rosto dela para cobrir; ou uma autorização acabou de ser retirada e a versão coberta ainda está sendo refeita. Retida assim, a fotografia continua sendo dado da Escola: ela aparece no painel da própria Escola, com distintivo, e pode ser alcançada por requisição de autoridade (§2.5) — inclusive com o rosto que ninguém identificou aparecendo descoberto, porque naquele pacote não há cobrimento.

(c) A fotografia em que nenhuma criança foi identificada — o mural, as mãos na tinta, o pátio — só circula, e só para as famílias das turmas do álbum, depois que todos os rostos detectados foram resolvidos por uma pessoa da Escola.

(d) No vídeo não existe cobrimento: não há versão coberta quadro a quadro. Basta uma criança marcada sem as autorizações para o vídeo não ser exibido a ninguém.

(e) O rosto de pessoa sem cadastro — visitante, familiar numa festa — sai sempre coberto. Ninguém autoriza por ela.

3.3.1. A Escola declara ciência de que, na hipótese (a), a fotografia continua circulando para as famílias das demais crianças marcadas, com o rosto coberto. A afirmação de que "sem consentimento a foto não aparece" é falsa, e o texto do termo publicado pela Escola deve descrever o mecanismo real — o modelo de texto fornecido pela Sofi já o faz.

3.4. Cópia baixada pela família (download de fotografia)

3.4.1. O serviço permite que uma família baixe uma cópia de fotografia que já vê. O recurso nasce desligado e só existe onde a Escola o habilita.

3.4.2. São três camadas de autorização, todas necessárias: (i) a Escola habilita o recurso; (ii) a publicação específica não veta o download; (iii) unanimidade — todo pai, mãe e responsável legal com poder de consentimento de todas as crianças marcadas na fotografia aprova o pedido, inclusive o outro responsável do próprio filho de quem pediu. Basta um único responsável não aprovar para que a cópia não seja gerada. Adulto autorizado apenas a buscar a criança não pede nem vota. Há cota mensal por responsável e prazo de validade do pedido.

3.4.3. O que sai. A cópia é gerada a cada download, nunca servida de cache — para que uma autorização retirada depois do primeiro download valha no segundo. Ela é gerada a partir do arquivo original, reduzida a no máximo 4.096 pixels no maior lado e re-codificada, o que elimina EXIF e GPS. Os rostos sem autorização saem cobertos também na cópia. Quando na fotografia aparecem apenas filhos de quem baixa, a cópia sai sem carimbo algum; havendo outra criança marcada, sai com um rodapé discreto identificando a origem (nome e CPF mascarado de quem recebeu, Sofi e Escola).

3.4.4. Vídeo não pode ser baixado, em nenhuma hipótese.

3.4.5. A cópia baixada sai do alcance das duas partes. O arquivo passa a residir no aparelho da família. Nenhuma revogação, eliminação por prazo ou término de contrato o alcança. A Sofi apaga as cópias que ficaram guardadas dentro do serviço quando a autorização é retirada, quando o responsável é eliminado ou quando a mídia é eliminada; o arquivo já transferido, não. A Escola declara ciência deste limite e o comunica às famílias no termo publicado.

3.5. Saída controlada para divulgação (exportação de imagem limpa)

3.5.1. O serviço permite que a gestão da Escola exporte uma fotografia sem marca d'água para uso fora do aplicativo — rede social, site, material impresso, imprensa. É a finalidade aditiva de uso fora do aplicativo, coberta por termo próprio que a família concede e revoga como qualquer outro. É o segundo caminho por onde uma imagem sai do alcance da plataforma — o primeiro é a cópia baixada do §3.4. Não é o único caminho por onde sai imagem sem carimbo: a cópia do §3.4.3 também sai sem carimbo algum quando na fotografia aparecem apenas filhos de quem baixa. O que distingue esta operação é o destino declarado — público — e o fato de a imagem sair sem marca d'água, por desenho.

3.5.2. A régua cobre, nunca recusa. Na imagem exportada, só sai com o rosto descoberto a criança cuja família tem a autorização de uso fora do aplicativo ativa naquele instante. Todos os demais rostos saem cobertos de forma irreversível: a criança sem a autorização, o rosto que ninguém da Escola identificou, a pessoa de fora — e o colaborador da Escola, mesmo com autorização de imagem interna ativa, porque o termo dele vale só para as fotos dentro do serviço.

3.5.3. O que sai. A imagem é gerada a cada exportação, a partir do arquivo original, reduzida a no máximo 4.096 pixels e re-codificada, o que elimina EXIF e GPS. Nenhuma cópia exportada é armazenada pelo serviço: os bytes vão na resposta da exportação e morrem com ela. Original já eliminado por prazo não tem exportação — o serviço recusa nomeando o motivo, em vez de servir a versão marcada.

3.5.4. O rastro substitui o carimbo. Cada exportação fica registrada: quem exportou, quando, qual fotografia e o estado da autorização de cada criança marcada no instante da exportação — por identificadores e estados, nunca por nome congelado, para que a anonimização posterior de um aluno não seja desfeita pelo próprio registro. A família vê a exportação em "Sobre esta foto", no aplicativo, com o estado dos próprios filhos ("com a sua autorização" ou "o rosto saiu coberto") — sem expor a decisão das outras famílias.

3.5.5. O que a Escola faz com a imagem exportada é tratamento dela, fora da plataforma, sob a autorização que ela coletou. Retirada a autorização, o sistema volta a cobrir o rosto daquela criança em toda exportação futura; retirar do ar o que já foi publicado fora é obrigação da Escola, nos termos do documento que ela publicou às famílias.

3.6. Pacote de fotografias de uma criança (entrega à família)

3.6.1. O serviço permite que um responsável com poder de consentimento (pai, mãe ou responsável legal) prepare, pelo aplicativo, um pacote com as fotografias em que o próprio filho está marcado. Ele atende a portabilidade do que é da criança sem obrigar a família a pedir fotografia por fotografia. Adulto autorizado apenas a buscar a criança não prepara o pacote, pela mesma régua do §3.4.2.

3.6.2. O recurso está atrás da mesma habilitação do §3.4.1, que nasce desligada e é decisão da Escola. Não existe chave separada: é a mesma saída de imagem para a família, em outra forma. Onde a Escola a mantém desligada, a família continua sendo atendida por ela, controladora dos dados.

3.6.3. 🚨 A régua de rosto é a mais fechada do serviço, e substitui a unanimidade do §3.4.2. Na imagem entregue, só sai com o rosto descoberto o próprio filho de quem pediu, e ainda assim apenas enquanto as autorizações dele estiverem ativas. Toda outra pessoa sai coberta — inclusive a criança cuja família autorizou o uso da imagem, inclusive o colaborador com autorização de imagem ativa —, o rosto que ninguém identificou e a pessoa de fora. É por isso que este pacote não depende da aprovação das demais famílias: não se pede autorização para mostrar o que não se vai mostrar. A Escola declara ciência de que este pacote é, na dimensão do rosto, mais fechado que a exibição no próprio aplicativo, onde a criança autorizada aparece de rosto descoberto — e, na dimensão da permanência, o oposto: o que a tela mostra por instantes, o pacote entrega num arquivo que fica (§3.6.8). As duas metades valem juntas, e é a primeira que torna a segunda admissível.

3.6.3.1. O limite do cobrimento, dito com precisão. O sistema cobre os rostos que detecta. Um rosto que a detecção não encontrar — de perfil, ao fundo, parcialmente oculto — não é coberto, e o RIPD registra esse risco (risco 3b). É o mesmo limite que já vale na exibição e na cópia avulsa, e aqui ele não é compensado por recusa: a fotografia entra no pacote de qualquer modo, porque recusá-la esvaziaria a entrega sem tornar ninguém mais protegido. O que o produto faz é contar: quando o sistema estima haver mais pessoas na cena do que rostos detectados, o arquivo de leitura do pacote declara em quantas fotografias isso aconteceu. A Escola declara ciência de que a promessa do §3.6.3 é sobre os rostos detectados, e não uma garantia absoluta.

3.6.4. O que sai. Cada fotografia é gerada no momento da montagem, a partir do arquivo original, reduzida a no máximo 4.096 pixels e re-codificada, o que elimina EXIF e GPS. O carimbo segue a regra do §3.4.3: havendo criança de outra família marcada, rodapé discreto identificando quem recebeu; aparecendo apenas filhos de quem pediu, sem carimbo. Acompanha o pacote um índice em formato legível por máquina e um arquivo de leitura que declara cada ausência e o motivo.

3.6.5. O que não sai. Vídeo (§3.4.4); as fotografias em que nenhuma criança foi identificada — as que circulam para a turma justamente porque não se sabe quem está nelas, e incluí-las seria afirmar um fato que o serviço não tem; as de publicação que não permite cópia; e cadastros, que saem pela exportação por aluno do §6.1.

3.6.6. Cota e registro. Um pacote por criança a cada trinta dias. Cada preparação e cada download deixam registro na trilha de auditoria da Escola, com o nome do responsável que pediu — a Escola vê que o acervo de uma criança dela saiu do produto, e para as mãos de quem.

3.6.7. O pacote é arquivo temporário, no regime do §8.2(a.1): guardado por prazo curto (padrão de sete dias), eliminado depois, e eliminado antes disso sempre que as fotografias que ele copia forem eliminadas. Permanece o registro de que foi gerado.

3.6.8. A cópia entregue sai do alcance das duas partes, como no §3.4.5. A Escola declara ciência de que este limite alcança também a imagem coberta das demais crianças: é a cobertura, e não a promessa de recolhimento, o que protege terceiros num arquivo que passa a residir no aparelho de uma família.

3.7. Reconhecimento facial (onde a Escola o contrata)

3.7.1. Só existe onde contratado. O reconhecimento facial é ligado pela Sofi no cadastro da Escola a pedido escrito dela (cláusula 2.7 do Contrato Principal), e o sistema registra quando e por quem foi ligado. Sem a contratação, nenhuma medida biométrica de rosto é calculada ou guardada: vale o §2.3.1 como está. Com ela, a direção da Escola liga e desliga o recurso turma a turma, e o que segue vale para as turmas ligadas.

3.7.2. O que se calcula, e quando. Ao entrar numa publicação, cada fotografia de turma ligada passa uma vez pelo modelo de reconhecimento, que calcula em memória a medida do rosto de cada pessoa que aparece nela e a compara com as referências da Escola. A medida de quem não autorizou existe durante a comparação e é descartada — não é guardada em lugar nenhum, nem entra no cadastro de ninguém. Vídeo não passa pelo reconhecimento.

3.7.3. O que se guarda, de quem, e como. Fica guardada como referência a medida do rosto de quem autorizou: do aluno, pela finalidade de reconhecimento facial do §3.1(i), consentida pela família em texto próprio; do colaborador, pela autorização de IA dele, distinta da autorização de imagem e registrada em texto próprio, aceita e retirada pela própria pessoa no aplicativo da equipe ou registrada pela direção. A referência é derivada das marcações feitas por pessoas (a fotografia em que alguém da Escola apontou quem é o rosto), nunca de foto de cadastro; são no máximo cinco por pessoa, as mais recentes; ficam cifradas com chave própria, separada da chave do restante do sistema, fora da tabela das caixas de rosto; e a comparação é restrita à Escola — nenhuma referência é comparada com fotografia de outra Escola.

3.7.4. Dois modos, e a partida. Toda turma nasce no modo de sugestão: a máquina propõe o nome ("parece ser") e uma pessoa da Escola confirma ou corrige — nada é marcado sem gente. A marcação automática só é liberada, turma a turma, pela Sofi, depois de a turma acumular confirmações seguidas sem erro apontado, em quantidade que a Sofi define e a Escola pode consultar; nela a máquina marca o nome sozinha e a marcação fica registrada como feita pela máquina. Toda marcação da máquina pode ser desfeita por uma pessoa da Escola, e qualquer correção de uma marcação da máquina conta como erro: a primeira devolve a turma ao modo de sugestão, com aviso à Sofi. A direção da Escola devolve uma turma ao modo de sugestão quando quiser. É a revisão humana que responde ao art. 20 da LGPD.

3.7.5. O risco desta operação, dito. Um erro da máquina — marcar uma criança no lugar de outra — faz a fotografia seguir as autorizações da criança marcada até que uma pessoa corrija; um rosto que deveria sair coberto pode aparecer nesse intervalo. É por isso que a marcação automática começa desligada, só é liberada depois de confirmações sem erro, e volta à sugestão na primeira correção. Rosto que a máquina não reconhece com margem suficiente fica pendente, coberto, e prende a fotografia como hoje (§3.3.0).

3.7.6. Como se elimina. A referência é eliminada na mesma transação em que a autorização que a sustenta acaba: retirada da autorização (pela família ou pelo colaborador, no aplicativo, ou pela direção no painel), vencimento do termo sem renovação, anonimização do aluno (inclusive na eliminação a pedido do §8.2(c)) e desligamento do colaborador. Eliminar uma fotografia não elimina referência: ela pertence à pessoa e à autorização, não à fotografia. O registro da autorização e da retirada (§8.3) sobrevive à eliminação. Cada eliminação deixa linha na trilha da Escola, com a contagem — nunca a medida.

3.7.7. O que a Sofi não faz com a medida. O modelo de reconhecimento é um modelo pronto, executado na infraestrutura da própria Sofi (§5.1.2), não treinado nem ajustado com os Dados de escola alguma (§2.3); a medida não é mostrada a ninguém, não sai para terceiro e não serve a nada além da comparação. A telemetria que a Sofi guarda por rosto (pontuação, desfecho, se a sugestão foi aceita ou recusada, se houve erro apontado) nunca guarda o nome errado, e a página de calibração que a Sofi lê mostra contagens e pontuações, nunca nomes. A licença do modelo em uso é fato declarado no Anexo III.

3.7.8. A Escola publica os dois textos antes de qualquer autorização. Ao ligar o recurso, a Escola recebe o rascunho do termo de reconhecimento facial das famílias e do termo de IA da equipe; nenhuma autorização é registrada — pelo painel ou pelo aplicativo — antes de a Escola publicar o texto correspondente.

4. Segurança

4.1. A Sofi implementa as medidas técnicas e organizacionais do Anexo III (sumário técnico de segurança), que incluem, no mínimo: criptografia em trânsito e em repouso, armazenamento privado com endereços de acesso temporários, remoção de metadados (EXIF/GPS), marca d'água identificadora, registro de cada acesso a mídia, isolamento lógico por escola verificado por teste automatizado, mínimo privilégio, segundo fator obrigatório no acesso aos painéis, backups da base de dados com restauração ensaiada e verificação contínua de vulnerabilidades das dependências.

4.1.1. Acesso do pessoal da Sofi, dito com precisão. Não existe caminho na aplicação que leve o pessoal da Sofi ao painel da Escola, e não há tela em que ele navegue pelas fotografias ou pelos vídeos dos alunos: a política de acesso nega, e a negativa é coberta por testes automatizados. A afirmação não é absoluta, e os limites são estes:

(a) na trilha de auditoria, o titular aparece por código ("Aluno(a) #12", "Responsável #7"). Ler o nome exige um acesso declarado, e não basta o nível do perfil: a pessoa da operação registra antes por que precisa e sobre qual Escola, o acesso vale por prazo curto e, findo ele, o código volta. Nenhum perfil dispensa a declaração — nem o de administração irrestrita. A pseudonimização é feita na exibição, e o nome existe porque é ele que torna a trilha útil para a própria Escola. O profissional que praticou o ato aparece sempre nomeado: é ele quem responde por ele;

(b) quem administra a infraestrutura tem, por natureza da função, acesso técnico ao armazenamento e à base de dados. Esse acesso é restrito às pessoas necessárias e sujeito ao dever de confidencialidade do §4.2. Ele não é exercido por tela nem por botão do produto, e por isso o produto não consegue registrá-lo sozinho — o que a Sofi faz é o contrário, em três camadas: (b.1) o armazenamento de fotografias recusa leitura a qualquer identidade que não seja a da própria aplicação, e obter acesso a ele exige um gesto específico que dispara alerta automático; (b.2) quem vai tocá-lo declara antes, com motivo escrito e prazo; e (b.3) a Sofi confere diariamente as leituras que o próprio armazenamento registra contra essas declarações, e trata leitura sem declaração como incidente de segurança, com o dever de comunicação do §7. ⚠️ A Escola declara ciência de que a base de dados não admite o mesmo cadeado — quem opera o servidor alcança a base — e de que ali o controle é a declaração do (b.2) mais o dever do §4.2;

(c) atender a requisição de autoridade dirigida à Sofi (§2.5) exige preparar e baixar um pacote com as fotografias que a requisição alcança, e esse pacote sai nítido, sem cobrimento de rosto. É a operação da aplicação em que imagem de aluno chega às mãos de alguém da Sofi sem que a Escola tenha decidido — a outra, do §4.1.2, nasce de pedido escrito dela. Ela não é silenciosa e não nasce de um clique: só existe a partir de requisição registrada, com origem, número do ofício, data de chegada e a transcrição do que foi pedido; só é executada por quem tem acesso irrestrito; deixa registro na trilha da Escola, salvo segredo determinado e transcrito; e produz arquivo com prazo de vida curto. O §2.5 descreve o que sai, o que não sai, quem prepara e o que a Escola vê.

4.1.2. Nenhuma pessoa da Sofi recebe cópia de fotografia ou de vídeo de aluno por canal de suporte. Pedido de suporte que exija olhar uma mídia é atendido com a Escola operando o próprio painel — e é isto que esta cláusula promete: o suporte não é caminho de imagem. Fora do suporte, a Escola declara ciência de que as operações do serviço que fazem uma cópia de fotografia chegar às mãos de alguém da Sofi são apenas as enumeradas abaixo, cada uma descrita em cláusula própria deste Acordo:

(i) a requisição de autoridade do §2.5 — que não depende de decisão da Escola, e por isso é a mais gravosa; e

(ii) o pacote do acervo preparado pela Sofi do §8.2(a.2), quando o Contrato Principal já terminou, o painel da Escola fechou e ela pediu a exportação por escrito: alguém precisa preparar e entregar o arquivo, e não há mais painel para que ela o faça sozinha.

Nenhuma delas nasce de um pedido de ajuda: cada uma nasce de um documento registrado, com recorte declarado, trilha e prazo de vida no arquivo. Operação que não esteja nesta lista não existe — e, se um dia existir, esta cláusula sobe de versão antes de ela ser ligada.

4.2. O pessoal da Sofi com acesso a sistemas está sujeito a dever de confidencialidade que sobrevive ao término do vínculo.

5. Suboperadores

5.1. A Escola autoriza, de forma geral, os suboperadores do Anexo II. A Sofi notifica a Escola com 30 dias de antecedência sobre inclusões ou substituições; a Escola pode objetar por razão legítima de proteção de dados, hipótese em que as partes buscam alternativa ou a rescisão sem ônus.

5.1.1. O Anexo II é operacional e atualizável. A inclusão ou substituição de suboperador se perfaz pela notificação deste §5.1 e não exige aditivo nem nova assinatura deste DPA ou do Contrato Principal — do contrário, o primeiro fornecedor novo obrigaria a recontratar com todas as escolas ao mesmo tempo. A versão vigente do Anexo II fica disponível à Escola a qualquer tempo, com a data de cada alteração.

5.1.2. Não é suboperador o componente que roda na infraestrutura da própria Sofi, ainda que use software de terceiros. É o caso do serviço de detecção de rostos e, onde a Escola contrata o reconhecimento facial (§3.7), do modelo de reconhecimento: os dois são executados dentro do mesmo ambiente contratado, e nenhum dado sai deles para fora. O licenciante do modelo não recebe Dado nenhum — a Sofi licencia o software, não contrata um serviço.

5.2. A Sofi impõe contratualmente a cada suboperador obrigações equivalentes às deste DPA e permanece integralmente responsável perante a Escola.

5.3. Transferência internacional: os dados primários residem no Brasil (região AWS São Paulo). Serviços acessórios listados no Anexo II processam dados fora do Brasil sem conteúdo de dados de alunos, nas seguintes hipóteses e somente nelas: notificações push sem nome, sem imagem e sem texto que identifique criança; telemetria de erros configurada para não enviar dados pessoais; encaminhamento e caixa dos endereços de e-mail corporativos da Sofi, que transportam mensagens de adultos — contatos da Escola, o canal do encarregado e alertas de segurança; e verificação de senha vazada, que envia apenas o prefixo do hash da senha, sem que nenhum dado pessoal saia. Tudo amparado nos mecanismos do art. 33 da LGPD e da Res. CD/ANPD 19/2024. O instrumento aplicável a cada fornecedor é indicado no Anexo II.

6. Direitos dos titulares

6.1. A Sofi disponibiliza à Escola, diretamente no painel: exportação dos dados de um aluno em formato estruturado (acesso/portabilidade), eliminação/anonimização com trilha, gestão e revogação de consentimentos, e relatório de quem acessou as fotos de um aluno.

6.2. Solicitações de titulares recebidas diretamente pela Sofi serão redirecionadas à Escola em até 5 dias úteis, com o apoio técnico necessário ao atendimento no prazo legal.

6.2.1. Autoridade não é titular, e o caminho é outro. Requisição de juízo, do Ministério Público, de autoridade policial ou de outra autoridade dirigida à Sofi não é redirecionada à Escola para que ela responda: a Sofi a atende, porque foi a ela que a lei se dirigiu, e segue o §2.5. Requisição dirigida à Escola é respondida pela Escola, com o apoio técnico da Sofi.

6.3. Encarregados. Cada parte designa o seu encarregado, informa o contato à outra e o mantém atualizado (LGPD art. 41). O contato do encarregado da Escola é exibido nos textos que as famílias leem; o da Sofi é privacidade@sofiedu.com.br. Esta cláusula existe porque a cláusula 4.3.1 do Contrato Principal obriga a Escola a designar e a informar, e o instrumento que materializa a obrigação é este.

7. Incidentes de segurança

7.1. A Sofi comunicará a Escola sobre incidente de segurança envolvendo os Dados em até 24 horas da confirmação, com: natureza do incidente, dados e titulares afetados, medidas de contenção adotadas e recomendações.

7.2. A Sofi fornecerá as informações técnicas e minutas necessárias para a Escola avaliar e, se cabível, realizar a comunicação à ANPD no prazo de 3 dias úteis (Res. CD/ANPD 15/2024) e aos titulares, conforme o plano de resposta a incidentes da Sofi.

8. Retenção, devolução e eliminação

8.1. Durante a vigência aplicam-se três prazos independentes, que correm ao mesmo tempo e têm efeitos diferentes. Dois deles eliminam; um anonimiza.

8.1.1. O relógio do acervo alcança toda a mídia, inclusive a que nunca foi publicada em álbum. O prazo em vigor é exibido na própria fotografia, no painel da Escola e no aplicativo da família, sempre como teto — a mídia pode ser eliminada antes, por outro caminho.

8.1.1.1. O teto tem exceção declarada, e ela é suspensiva. Havendo pedido de exportação recebido e ainda não respondido, ou requisição de autoridade recebida e ainda não respondida (§2.5), a Sofi não elimina o que aquele pedido ou aquela requisição alcança, e a data-teto pode passar sem eliminação — é o que a alínea (a.2) do §8.2 promete, e o freio não vence sozinho: o que o encerra é a resposta, atendendo ou recusando por escrito. A suspensão tem o raio do pedido: um pedido do acervo da Escola alcança o acervo dela; um pedido de fotografias de uma criança alcança as fotografias daquela criança; e uma requisição de autoridade alcança o que o recorte dela disser — as fotografias de uma criança, num período, ou o acervo da Escola. Nada além.

8.1.1.2. O relógio do desligamento alcança também o responsável. O adulto que fica sem nenhum aluno vinculado ao próprio cadastro (desvinculado, ou com todos os alunos já anonimizados) entra na mesma janela do desligamento e é anonimizado ao fim dela — cadastro de adulto também não fica guardado sem finalidade. O responsável excluído do cadastro pela Escola conta o prazo da exclusão.

8.1.2. Encurtar o prazo do acervo não elimina nada no ato. O prazo menor entra em vigor depois de 30 dias de carência, o volume de mídia afetado é exibido à Escola antes de salvar, e o aviso à direção sai no momento da alteração. Aumentar o prazo vale imediatamente e cancela um encurtamento em curso.

8.1.3. A eliminação apaga o arquivo e nenhuma tela o traz de volta. A mídia eliminada não volta por caminho nenhum do produto — da Escola ou da Sofi: não há lixeira, não há botão de restaurar, e a restauração de backup da base de dados não recompõe arquivo eliminado do armazenamento (o backup é do banco, não das imagens). O armazenamento pode manter uma cópia técnica de versão anterior do objeto, como proteção contra apagamento acidental ou ataque: ela não é acessível por nenhuma tela, não é entregue a ninguém e não é consultável pela Escola nem pela Sofi. O Anexo III descreve essa cópia e o que ainda falta para que ela expire por regra automática. Permanece apenas um registro minimizado — sem chaves de arquivo e sem o nome original —, para que a trilha de acessos continue apontando para o que existiu e a prova de quem viu não seja apagada junto com o que foi visto.

8.1.4. A trilha de acessos é podada por janela que acompanha o maior prazo configurado, com margem, justamente para sobreviver à mídia. Os registros de consentimento e de autorização não são podados por essa janela (§8.3).

8.1.5. A referência facial (§3.7) não tem relógio próprio: ela dura enquanto a autorização que a sustenta estiver ativa, e é eliminada na mesma transação em que a autorização acaba (§3.7.6). Os relógios acima não a alcançam nem a preservam — a eliminação de uma fotografia não a elimina, e a anonimização do aluno a elimina junto.

8.2. No término do Contrato Principal, e a Escola declara ciência de que estes três itens têm regimes diferentes:

(a) Exportação. Enquanto a conta estiver ativa, o painel entrega sem chamado e sem custo duas coisas: a exportação por aluno (§6.1) e o pacote do acervo de fotografias, em formato estruturado e legível por máquina — os arquivos de imagem, na mesma versão que a equipe da Escola vê na tela, mais um índice em CSV com data, autor, álbum, turmas e crianças marcadas. Não acompanham o pacote os vídeos (§3.4.4), os arquivos originais nem os cadastros; um manifesto dentro do pacote declara cada ausência e o motivo.

(a.1) Os pacotes são arquivos temporários, e isso é declarado. Tanto o pacote do acervo desta alínea quanto o pacote de fotografias de uma criança do §3.6 são gerados sob demanda, guardados no armazenamento da Sofi por prazo curto (padrão de sete dias) e depois eliminados; permanece apenas o registro de que foram gerados — quando, a pedido de quem, quantas fotografias e a soma de verificação de cada arquivo. Um pacote é eliminado junto com as fotografias que copia sempre que estas forem eliminadas, pela mesma regra que alcança as cópias guardadas dentro do serviço (§3.4.5 e cláusula 12.3 do Contrato Principal).

(a.2) Cancelado o Contrato Principal, o painel fecha e a exportação passa a ser mediante solicitação, atendida com trabalho da Sofi em escopo e prazo acordados por escrito, dentro do prazo de encerramento do §8.1 (padrão 120 dias), enquanto o acervo ainda existir — também sem custo. Como é feito: o pedido escrito é registrado no ato do recebimento; a preparação é executada por quem tem acesso irrestrito, com motivo escrito, e produz o mesmo pacote da alínea (a), no mesmo regime temporário da (a.1); a Escola recebe e-mail quando ele fica pronto, e é por ele que se combina a entrega. Cada preparação e cada retirada de arquivo deixam registro na trilha da Escola. ⚠️ É a hipótese (ii) do §4.1.2 — a Escola declara ciência de que, aqui, uma cópia das fotografias passa pelas mãos de alguém da Sofi, e de que isso é consequência de o painel dela já não existir. Vencido esse prazo, o acervo já foi eliminado e não há de onde tirar cópia; por isso a Sofi avisa a Escola por e-mail antes do vencimento, recomenda no aviso que ela peça a exportação, e não elimina o acervo antes de responder a pedido de exportação já recebido.

(b) Eliminação do acervo — automática, salvo pedido pendente. Vencido o prazo de encerramento (§8.1, padrão 120 dias), a Sofi elimina o acervo de mídia da Escola por processo automático, com o mesmo efeito irreversível do §8.1.3 — exceto se houver pedido de exportação, ou requisição de autoridade, já recebido e ainda não respondido, caso em que a eliminação fica suspensa até a resposta (§8.1.1.1, §2.5.6 e alínea (a.2)). A Escola declara ciência de que uma requisição de autoridade em aberto pode manter o acervo vivo além dos 120 dias: quem encerra esse freio é a resposta à autoridade, não o calendário.

(c) Eliminação dos cadastros — mediante solicitação. Os cadastros de alunos, responsáveis e colaboradores não são eliminados por aquele processo automático: eles permanecem até que a Escola solicite a eliminação ou a anonimização, atendida pela Sofi em 30 dias — ou até que os relógios de retenção do §8.1 vençam por conta própria (a anonimização do aluno desligado, §8.1, e a do responsável sem nenhum aluno, §8.1.1.2, continuam correndo depois do término). A Sofi declara isso de forma expressa para que a Escola não presuma, do encerramento, um automatismo que o produto não tem.

(c.1) Como o pedido é tratado. A Sofi registra o pedido no ato do recebimento, com a data em que ele chegou — é dela que corre o prazo — e o mantém visível à própria operação até a execução, com alerta enquanto espera. A eliminação é executada por anonimização em posição (item (d)): nome, e-mail, telefone, CPF e credenciais de acesso deixam de existir; nenhum registro é apagado em cascata. Concluída, a Sofi confirma por escrito ao contato institucional da Escola, informando as quantidades. Se houver pedido de exportação ainda não respondido (alínea (a.2)), a eliminação espera a resposta dele: a ordem é levar primeiro, eliminar depois. Requisição de autoridade em aberto (§2.5) tem o mesmo efeito, com alcance maior: como a eliminação em massa destrói o cadastro de qualquer aluno, basta uma requisição pendente sobre uma única criança para que ela espere — a Sofi não elimina o que foi requisitado a ela e ainda não foi respondido.

(d) Ressalva. Preservam-se os registros cuja manutenção seja exigida por lei ou necessária à demonstração de conformidade — registros de consentimento e de autorização e trilhas de auditoria de privacidade —, mantidos sem conteúdo identificável de fotografia ou de vídeo.

8.3. Prova das autorizações. Os registros que provam quem autorizou, o quê, quando e sob qual versão de texto são preservados inclusive após a anonimização do aluno (LGPD art. 16, I), com poda própria, separada da poda das trilhas de operação: prova não se poda junto com log de funcionamento. Vale para a autorização de reconhecimento facial da família e para a autorização de IA do colaborador (§3.7.3): o registro de que a referência facial existiu com autorização, e até quando, sobrevive à eliminação da referência.

8.3.1. ⚠️ O prazo de guarda desses registros ainda não está fixado, e é ponto expresso de revisão jurídica. A prescrição não corre contra menor de 16 anos (CC art. 198, I), o que pode empurrar o horizonte muito além do prazo das mídias — uma fotografia de criança de três anos pode ser discutida quase duas décadas depois. Até que o prazo seja definido e escrito aqui, os registros são preservados.

9. Auditoria e demonstração de conformidade

9.1. A Sofi disponibiliza anualmente (ou mediante solicitação razoável) documentação que demonstre o cumprimento deste DPA: sumário técnico, checklist de segurança e relatório de impacto (RIPD).

9.2. Auditorias diretas pela Escola: mediante aviso de 30 dias, no máximo 1 vez ao ano, em horário comercial, sem acesso a dados de outras escolas, e às custas da Escola.

9.2.1. Fora da conta do 9.2, e sem o aviso de 30 dias: auditoria motivada por incidente de segurança que tenha atingido os Dados da Escola, ou determinação de autoridade competente. O teto anual existe para dar previsibilidade à operação, não para blindar a Sofi justamente quando há motivo — e a Escola responde perante a ANPD pelo que a Sofi fizer.

10. Responsabilidade

10.1. Cada parte responde nos termos dos arts. 42 a 45 da LGPD. A Sofi responde pelos danos que causar quando descumprir a LGPD ou as instruções lícitas da Escola; a Escola responde pelas decisões de tratamento que lhe cabem (o que coletar, de quem, com qual base legal e por quanto tempo).

10.2. Relação com o limite do Contrato Principal. A limitação de responsabilidade do Contrato Principal aplica-se também a este DPA, com as exceções da cláusula 15.4 daquele instrumento — entre elas a reparação devida a titulares e o ressarcimento à Escola por indenização ou sanção que ela tenha pago em razão de descumprimento da Sofi. São as alíneas (d) e (e) da 15.4. Esta remissão existe para que a prevalência deste DPA em proteção de dados não deixe a matéria sem regra.

11. Vigência

Este DPA vigora enquanto a Sofi tratar Dados em nome da Escola e sobrevive ao Contrato Principal no que for necessário à devolução/eliminação.

Versão 11 · publicada em 31/07/2026

Anexo I — Descrição do tratamento

I.1 Titulares e categorias de dados

Não são tratados, e é decisão consciente: dado de saúde, geolocalização e dado financeiro da família. Dado biométrico é tratado numa condição, e ela está dita: só onde a Escola contrata o reconhecimento facial (§3.7), e só a referência de quem autorizou fica guardada; sem a contratação, nenhuma medida do rosto é calculada ou guardada.

I.2 Operações

Coleta pelo aplicativo da equipe e pelo painel; armazenamento temporário no aparelho do profissional enquanto o envio não se completa, por até 7 dias, com apagamento do arquivo local após a confirmação; armazenamento em nuvem privada; processamento de imagem e de vídeo (remoção de todos os metadados, redimensionamento, marca d'água da Escola, cobrimento de rostos, remoção da trilha de áudio quando a Escola a desliga, descarte do arquivo original do vídeo); compartilhamento com os responsáveis; entrega de cópia à família (§3.4); exportação controlada de imagem para divulgação, com registro próprio (§3.5); geração do pacote de exportação do acervo a pedido da Escola, guardado por prazo curto e depois eliminado (§8.2(a)); geração do pacote de fotografias de uma criança a pedido de responsável com poder de consentimento, com cobrimento do rosto de todo terceiro, igualmente guardado por prazo curto e depois eliminado (§3.6); geração e entrega do pacote de fotografias que responde a requisição de autoridade dirigida à Sofi, na versão que a equipe da Escola vê, sem cobrimento de rosto, limitado pelo recorte da requisição, guardado por prazo curto e depois eliminado (§2.5); geração do mesmo pacote do acervo pela Sofi, a pedido escrito da Escola cujo painel já fechou (§8.2(a.2)); registro de cada acesso a mídia, de cada ação nos painéis e de cada entrada no aplicativo — do responsável e do colaborador —, com IP e agente de navegação; registro das declarações de acesso privilegiado da própria Sofi e conferência diária das leituras do armazenamento contra elas (§4.1.1(b)); registro das autorizações e da prova de cada decisão; anonimização e eliminação automáticas pelos prazos do §8.1; onde a Escola contrata o reconhecimento facial (§3.7): cálculo em memória da medida do rosto de cada pessoa das fotografias de turma ligada, comparação com as referências cifradas da Escola, sugestão — ou, na turma com marcação automática liberada, marcação — de quem está na fotografia, guarda da referência de quem autorizou a partir das marcações feitas por pessoas, e eliminação da referência com a autorização.

I.3 Tratamentos automatizados em uso (§2.3.3)

Reconhecimento facial opera só onde contratado. Sem a contratação da cláusula 2.7 do Contrato Principal, o produto não calcula nem guarda medida de rosto. Com ela, valem o §3.7 deste documento, o termo de reconhecimento facial das famílias e o termo de IA da equipe publicados pela Escola, o relatório de impacto revisado e o Anexo III na versão S41.

I.4 Duração

Vigência do Contrato Principal, mais os prazos do §8.1, mais a preservação dos registros de prova do §8.3.

Anexo II — Suboperadores autorizados

Atualizável na forma do §5.1.1. Versão vigente: 2026-07-30.

* roteados pela plataforma do sistema operacional do aparelho do responsável.

Não é suboperador (§5.1.2): o serviço de detecção de rostos e contagem de pessoas roda na infraestrutura da própria Sofi, na mesma região da AWS, e nenhum dado sai dele.

Fora deste Anexo, e por isso declarado aqui: os registros de tentativa de acesso com e-mail que não existe no sistema e os alertas agregados de segurança deles derivados não são tratados em nome da Escola — a Sofi os trata como controladora, por legítimo interesse na segurança do serviço, e eles não descrevem o trabalho de ninguém. Estão descritos na Política de Privacidade da Sofi.

Não existe suboperador de modelo de linguagem. Ligar um torna-o suboperador novo, com aviso prévio do §5.1 e emenda deste Anexo e do relatório de impacto antes da ativação (§2.3.4).

Também fora deste Anexo, e por isso declarado aqui: a autoridade que recebe dados por requisição (§2.5) não é suboperadora. Ela não trata os Dados em nome da Sofi, não recebe deles finalidade determinada por nós e não se sujeita às obrigações do §5.2 — logo não entra nesta lista, não passa pelo aviso de 30 dias e não pode ser objetada pela Escola. Ela é destinatária por força de lei, e o que a limita é o recorte da requisição, não um contrato nosso. Toda entrega dessa natureza fica registrada, e a Escola a vê na trilha, salvo segredo determinado e transcrito (§2.5.2).

Anexo III — Medidas técnicas e organizacionais

O sumário técnico de segurança (docs/lgpd/sumario-seguranca.md) integra este DPA como Anexo III.

O Anexo III em vigor é a versão S41 (2026-09-27), que registra o reconhecimento facial como recurso contratável: o §6 deixou de afirmar que a plataforma não identifica pessoas pelo rosto e passou a descrever o mecanismo que vale onde a Escola o contrata (o que se calcula em memória, o que se guarda de quem autorizou, os dois modos e a partida, o que se elimina e quando), e o §7 declara o modelo de reconhecimento em uso e a licença dele, mantendo que nada é treinado com dado de escola. A versão S44 (2026-08-23) havia registrado o acesso privilegiado declarado — a leitura da trilha com o nome do titular deixa de ser propriedade do perfil e passa a exigir declaração com motivo e prazo; o armazenamento de fotografias passa a recusar leitura a identidade que não seja a da aplicação; e as leituras do armazenamento são conferidas diariamente contra as declarações —, além da página "Acessos da Sofi" no painel da Escola e do pacote do acervo preparado pela Sofi para a Escola cujo painel já fechou (§8.2(a.2)) — a outra hipótese, ao lado da requisição de autoridade, em que imagem chega às mãos de alguém da Sofi. As duas estão enumeradas no §4.1.2 deste documento, e a enumeração é fechada. A versão S43e (2026-08-22) havia registrado o pacote que responde a uma requisição de autoridade (§4e) — o quinto arquivo de imagem que sai, aquele em que nenhum rosto é coberto e a única saída de imagem que não depende de decisão da Escola —, a terceira exceção ao acesso mínimo do §4.1.1 deste documento, e a suspensão temporária da trilha da Escola quando há determinação de segredo, na forma do §13.2 do Contrato Principal. A versão S43d (2026-08-21) havia registrado a eliminação de cadastros em massa (§9) e o relógio do responsável sem nenhum aluno (§10), alinhados ao §8.2(c.1) e ao §8.1.1.2 deste documento. A versão S43c (2026-08-21) havia registrado o pacote de fotografias de uma criança, entregue à família (§3.6), como o quarto arquivo de imagem que sai — e o mais protegido dos quatro, porque nele todo rosto que não seja do filho de quem pediu sai coberto, inclusive o de quem tem autorização. A versão S43b (2026-08-21) havia registrado o pacote do acervo (§8.2(a)) como o terceiro arquivo, e a S50 (2026-08-16) havia registrado a saída controlada para divulgação (§3.5) ao lado da cópia baixada, quando o §4 deixou de chamar a cópia de "o único arquivo que sai". A versão S42 (2026-07-31) já havia corrigido as afirmações que a auditoria apontou: a regra de visibilidade, o download, a detecção de rosto, o uso de inteligência artificial, o acesso da equipe da Sofi, o alcance do que o professor vê, os prazos e o significado de "eliminar".

⚠️ Confira a versão do anexo antes de assinar. Nenhuma via deste DPA é assinada com anexo de versão anterior — a versão S14 (2026-07-04) contém afirmações provadas falsas, entre elas a "regra de ouro" corrigida no §3.3 e a promessa absoluta de que nada fica salvo no aparelho, que a cópia baixada do §3.4 desmente.