Política de Privacidade

Versão 11 · em vigor desde 31/07/2026

Esta política explica o que a Sofi faz com dados pessoais: quais coleta, por quê, com quem compartilha, por quanto tempo guarda e o que você pode exigir.

Neste texto, "nós" e "a Sofi" são a mesma pessoa jurídica. Quando o texto disser "a escola", é da instituição de ensino que ele fala — e a diferença entre as duas é o assunto da primeira seção.

1. Dois papéis, e por que isso muda a quem você pede

A lei separa quem decide o tratamento de quem executa (LGPD art. 5º, VI e VII). A Sofi está nos dois lugares, em assuntos diferentes — e misturá-los seria a forma mais fácil de escrever uma política falsa.

A divisão é contratual, não retórica: ela está no Acordo de Tratamento de Dados que a Sofi assina com cada escola.

Parte 1 — o que tratamos por conta da escola

Aqui a Sofi é operadora. Nós não decidimos o que é fotografado, quem vê nem por quanto tempo. A escola decide, e nós executamos com as travas descritas abaixo.

1.1 Que dados são esses

Do aluno: nome civil, apelido, data de nascimento, turma, matrícula e situação, CPF, data de desligamento, fotografias, vídeos com áudio quando a escola mantém esse recurso ligado, as caixas de rosto (as coordenadas de onde há um rosto na imagem), o vínculo entre uma caixa e um aluno, e as marcações em publicações.

Do responsável: nome, e-mail, telefone, CPF, o vínculo com a criança, as decisões de autorização com data, IP e navegador ou aparelho usado, o registro de cada entrada no aplicativo — data, hora, IP e navegador ou aparelho usado — e do bloqueio por excesso de código errado, o código do aparelho para notificação, as preferências de aviso, o registro de cada foto aberta, os pedidos de cópia e os pedidos de exclusão.

Do colaborador da escola: nome, e-mail, CPF, papel, senha guardada em forma cifrada, o segredo do segundo fator quando ele existe, a autorização de imagem dele, a trilha do que ele fez no sistema, o registro de cada entrada no aplicativo — data, hora, IP e navegador ou aparelho usado — e as tentativas de login, inclusive o bloqueio por excesso de código errado.

De terceiros que aparecem na imagem (um visitante, um familiar numa festa): apenas o rosto na foto, sem cadastro nenhum. Esses rostos são marcados como pessoa de fora e saem cobertos para sempre.

Os CPFs ficam cifrados no banco e aparecem sempre mascarados na tela.

O que não existe, por decisão: dado de saúde (alergia, dose, laudo), localização e dado financeiro da família.

Biometria existe numa condição, e ela é dita: na escola que contrata o reconhecimento facial, a medida matemática do rosto de quem autorizou — a criança, pela autorização própria da família; o colaborador, pela autorização de IA dele — fica guardada, cifrada, para o sistema sugerir ou marcar quem está nas fotos (o item 1.3 explica o mecanismo). Onde a escola não contrata esse recurso, nenhuma medida de rosto é calculada ou guardada.

1.2 De onde esses dados vêm

Do cadastro que a escola faz (na tela ou por planilha) e das fotos que a equipe dela tira, pelo aplicativo ou pelo computador. Você não preenche cadastro: quem cadastra é a escola.

Quando a professora fotografa pelo aplicativo, o arquivo não passa pela galeria do celular dela. Ele fica numa área reservada do aplicativo até o envio terminar e é apagado em seguida. Se o envio não completar — sem sinal, por exemplo —, o arquivo é apagado do aparelho em até 7 dias.

1.3 O que o sistema faz sozinho com a imagem

Toda foto é reprocessada no nosso servidor antes de chegar a qualquer tela:

• Os metadados são removidos. EXIF e GPS do celular da professora não chegam às famílias. O arquivo original não é entregue a nenhum usuário do aplicativo nem do painel. (Uma autoridade que requisite uma fotografia determinada pode recebê-lo — está no item 1.9.)
• A imagem exibida é uma cópia reduzida (até 2048 pixels) com um carimbo discreto da escola.
• Para conseguir cobrir quem não tem autorização, o sistema analisa a imagem automaticamente e marca onde há rostos. Achar onde há um rosto não é biometria. A ligação entre um rosto e uma pessoa é feita por alguém da escola, e fica registrada.
• Na escola que contrata o reconhecimento facial, o sistema também reconhece. Numa foto de turma com o recurso ligado, ele calcula a medida de cada rosto e a compara com as medidas guardadas das pessoas que autorizaram; a de quem não autorizou existe durante a comparação, na memória do servidor, e é descartada. No começo, em toda turma, o sistema sugere o nome e uma pessoa da escola confirma ou corrige; a marcação automática só é liberada, turma a turma, depois de confirmações seguidas sem erro apontado — e toda marcação da máquina pode ser desfeita por uma pessoa: a primeira correção devolve a turma à sugestão. Nenhuma sugestão, nem a marca de que foi a máquina, aparece para as famílias — o que chega a elas é a marcação em si, como qualquer outra. Onde a escola não contrata o recurso, nenhuma medida de rosto é calculada ou guardada.
• Um segundo programa conta quantas pessoas há na cena, sem extrair característica nenhuma de ninguém. Ele serve para avisar a escola quando há mais gente na foto do que rostos encontrados.
• O rosto de quem não tem autorização é coberto de forma irreversível na versão que as famílias veem. A foto circula; o rosto, não. Quando o sistema não consegue garantir esse cobrimento, a foto não é exibida a nenhuma família — nem à própria.
• Quando você abre uma foto, o aplicativo desenha por cima dela o seu nome e o seu CPF mascarado. É o que torna uma cópia redistribuída rastreável até a origem.

Fora do reconhecimento facial contratado, nenhuma dessas etapas diz quem é a pessoa — isso é um humano da escola, e autorizar é você. Duas delas decidem sozinhas, e sempre para proteger: o sistema cobre o rosto de quem não tem autorização e retém a foto inteira quando não consegue garantir esse cobrimento. Onde a marcação automática foi liberada, o reconhecimento também decide — e é a única dessas decisões que pode errar contra alguém: um rosto marcado no lugar de outro segue as autorizações da criança marcada até uma pessoa corrigir. É por isso que ela começa desligada, só é liberada depois de confirmações sem erro e volta à sugestão na primeira correção.

1.4 Quem vê

Veem as fotos a equipe da escola e os responsáveis das crianças marcadas — e só quando aquela criança tem as duas autorizações de imagem ativas; faltando uma delas, a foto não aparece nem para a própria família.

Há uma exceção, e ela é de desenho: a foto em que ninguém foi marcado — o mural, as mãos na tinta, o pátio — vai para as famílias das turmas do álbum, e só depois que uma pessoa da escola resolveu todos os rostos que o sistema encontrou nela. Fora isso, no dia a dia ninguém mais vê: não há mural aberto, link público nem perfil visível na internet. Fora do dia a dia há um caso: quando uma autoridade requisita fotografias, nós as entregamos a ela — está no item 1.9.

A equipe da escola vê as fotos sem cobrimento: ela estava presente na atividade e responde por ela. O cobrimento existe para o que a escola mostra a outras famílias.

Cada vez que uma foto é aberta, o sistema registra quem abriu, quando, de onde e qual versão foi entregue (a da família ou a da equipe). Esse registro é da escola, e existe para ela prestar contas.

O link de cada imagem vale 5 minutos e depois morre. O link de vídeo vale 10 minutos.

No Android, a captura de tela sai preta. Na versão para iPhone, quando ela for publicada, o sistema operacional não permite bloquear a captura: o aplicativo detecta a tentativa e a registra na auditoria da escola.

1.5 O que sai do nosso alcance

A escola decide se as famílias podem baixar uma cópia de uma foto. O recurso nasce desligado. Quando ligado, cada pedido depende do aval dos responsáveis de todas as crianças marcadas, e a cópia é gerada na hora, nunca servida de um arquivo guardado.

Duas coisas precisam ser ditas sem rodeio:

• A cópia sai do arquivo original, em até 4096 pixels. Quando todas as crianças marcadas são filhos de quem pediu, ela sai sem carimbo nenhum. Quando há colegas na foto, ela sai com um rodapé que identifica quem a recebeu.
• Se você baixar uma cópia, o arquivo fica no seu aparelho. A partir daí ele é seu — e nenhum sistema apaga uma foto que já saiu daqui.

Outro caminho é da escola: a exportação para divulgação. Quando uma família autoriza, em termo próprio, o uso da imagem do filho fora do aplicativo, a direção pode exportar a foto sem marca d'água — para a rede social, o site ou o material impresso da escola. Nessa exportação, o rosto de quem não tem essa autorização sai coberto: a criança sem o termo, o rosto que ninguém identificou, a pessoa de fora e a própria equipe da escola. Cada exportação fica registrada — quem exportou, quando e qual foto —, e a família vê em "Sobre esta foto" quando uma foto do filho dela saiu por esse caminho, e como o rosto dele saiu.

A escola também prepara um pacote com o acervo de fotografias, para levar ao encerrar o contrato ou ao migrar de sistema. E você prepara, pelo aplicativo, um pacote com as fotografias em que o seu filho está marcado — e nele todo rosto que não seja do seu filho sai coberto, inclusive o de quem tem autorização. É essa cobertura que permite entregar o pacote sem consultar cada uma das outras famílias, e ela vale também quando o seu filho aparece numa foto do pacote de outra família. Os pacotes ficam guardados por poucos dias e depois são apagados; o que você baixar fica com você.

⚠️ Há um caminho que não é seu nem da escola: a requisição de autoridade. Quando um juízo, o Ministério Público ou a polícia requisita fotografias à Sofi, nós entregamos — e ali as imagens saem nítidas, sem nenhum rosto coberto, na mesma versão que a equipe da escola vê. Não depende de a escola ter ligado a cópia, não depende da sua autorização, e retirar a autorização não impede. Está descrito no item 1.9.

⚠️ A saída de imagem para a família — a cópia avulsa e o pacote — é decisão da escola e nasce desligada. Onde ela mantiver o recurso desligado, quem atende o seu pedido é a própria escola, que é a controladora dos dados do seu filho.

Duas ressalvas, ditas sem rodeio: a escola pode escolher que a equipe fotografe com a câmera do próprio celular, em vez da câmera do aplicativo — e nessa opção a foto passa pela galeria do aparelho dela; e a equipe vê as fotos sem cobrimento na tela do painel, de onde qualquer pessoa pode salvar uma imagem. O que o Sofi controla é o que ele entrega, e a quem — não o que um adulto autorizado faz com o que recebeu.

1.6 Vídeo e voz

O vídeo é um recurso que nasce desligado, escola a escola. Enquanto a escola não o liga, não há vídeo nem áudio nenhum no sistema dela.

Quando ela liga, o áudio entra junto — e voz é dado pessoal, protegida com a imagem (CC art. 20). Por isso o vídeo exige uma autorização própria, além das que valem para foto. A escola pode manter o vídeo com o som desligado: nesse caso a trilha de áudio é removida no servidor, e não é guardada.

O vídeo não tem versão borrada. Onde a foto degrada para "rosto coberto", o vídeo degrada para "não circula": basta faltar uma autorização para que ele não seja exibido a ninguém.

1.7 Por quanto tempo

São relógios independentes, e alguns deles eliminam em vez de anonimizar:

O prazo do acervo aparece na própria foto, no painel da escola e no aplicativo — sempre como teto, porque a foto pode ser eliminada antes (por pedido, por exemplo).

⚠️ E o teto pode ser ultrapassado enquanto houver pedido esperando resposta: nada do que aquele pedido alcança é eliminado. O pedido pode ter vindo da escola, de você — ou de uma autoridade que requisitou fotografias (item 1.9). É o que impede a Sofi de apagar um acervo que alguém acabou de pedir. Esse freio não vence sozinho: o que o encerra é a resposta.

⚠️ A eliminação do acervo da escola que encerrou o contrato apaga as fotos, não os cadastros. Os cadastros permanecem até que a escola — que é quem responde pelos dados — peça a eliminação (ou até que os relógios de desligamento acima vençam por conta própria, que continuam correndo), e aí o Sofi a executa em até 30 dias, por anonimização: os registros que a lei manda guardar (as autorizações que você deu, as trilhas de quem viu o quê) sobrevivem sem nome, e todo o resto morre. A saída já existe: a escola leva o acervo pelo painel e a família leva as fotos do filho pelo aplicativo.

O prazo de desligamento vale também para o adulto responsável: quem fica sem nenhum aluno vinculado ao próprio cadastro é anonimizado pela mesma janela — nome, e-mail, telefone e CPF não ficam guardados sem finalidade. E você pode pedir a eliminação dos seus dados à escola a qualquer momento (art. 18).

Os registros de conformidade têm prazo próprio, porque servem para provar o que aconteceu depois de o dado deixar de existir: o registro de quem abriu cada foto e a trilha de ações do painel seguem a mesma régua — o maior prazo de guarda configurado pela escola, com uma margem, e nunca menos de 24 meses. Com os prazos padrão isso dá 30 meses. A margem existe para que a prova de quem viu a foto sobreviva à eliminação da própria foto. A prova da sua autorização é preservada mesmo depois da anonimização do aluno — é obrigação legal de guarda (LGPD art. 16, I). Ela guarda o texto aceito, a data, o IP e o caminho; não guarda foto.

A medida do rosto (item 1.3), onde a escola contrata o reconhecimento facial, dura enquanto a autorização que a sustenta estiver de pé: ela é eliminada no mesmo ato em que a autorização é retirada, vence sem renovação, o aluno é anonimizado ou o colaborador é desligado. Eliminar uma foto não elimina a medida — ela pertence à pessoa e à autorização, não à foto.

1.8 Quando você retira uma autorização

A retirada vale no mesmo instante, sem justificar e sem custo (LGPD art. 8º, §5º). As fotos param de ser exibidas na consulta seguinte — não há "despublicar" a fazer, nem fila.

O que já foi baixado por alguém antes disso não volta.

Retirar a autorização de reconhecimento facial elimina a medida do rosto no mesmo ato; o sistema deixa de sugerir e de marcar o nome, e a escola volta a marcar à mão. As marcações já feitas nas fotos não caem — para desfazer uma, o pedido é à escola.

Qualquer responsável legal pode retirar, e a retirada prevalece sobre a autorização de outro. Ninguém precisa da concordância do outro para proteger a criança.

1.9 Com quem esses dados são compartilhados

No dia a dia, com ninguém fora dos prestadores de infraestrutura da lista abaixo — e nenhum deles usa esses dados para finalidade própria. Fora do dia a dia há um caso, e ele está descrito logo depois da tabela.

Esta lista é a mesma do Anexo II do contrato que assinamos com a escola.

Quando uma autoridade requisita

⚠️ Um juízo, o Ministério Público, a autoridade policial ou outra autoridade pode requisitar à Sofi as fotografias de uma criança. Quando isso acontece, nós respondemos — e não é a escola nem você quem decide. É o único caso em que a imagem de uma criança sai daqui sem a decisão de vocês.

Isso não se apoia na sua autorização de imagem. Por isso retirar a autorização não impede a entrega: o que nos obriga aqui é a lei (LGPD art. 7º, II e VI).

O que nós fazemos, e você tem o direito de saber:

• As fotografias saem na mesma versão que a equipe da escola vê — nítidas, com a marca d'água da escola. Nenhum rosto é coberto, e isso alcança as outras crianças que aparecem na mesma foto.
• O que limita o que sai é o recorte do que foi pedido: quais fotografias, de qual criança, em qual período. Não vão o arquivo original, os vídeos, os cadastros nem as autorizações.
• Quem prepara e entrega é quem responde pelo contrato da Sofi, e cada passo fica registrado.
• Nem toda requisição vem de um juízo. Quando ela vem do Ministério Público, da polícia ou de outra autoridade, o nosso caminho normal é encaminhá-la à escola, que é quem decide sobre esses dados. Se ainda assim atendermos, o motivo fica registrado por escrito e a escola é avisada de que não havia ordem judicial — é ela quem pode se manifestar no processo.
• A escola é avisada — por e-mail, no momento em que preparamos, e na trilha de auditoria dela. Quando a própria autoridade determina segredo, esse aviso é adiado: assim que o segredo cair, a escola é comunicada, com a data em que a requisição chegou.

Uma autoridade que requisita não é um prestador de serviço nosso: ela não trata os dados por nossa conta, e por isso não está na tabela acima.

O programa que encontra os rostos roda na nossa própria infraestrutura, no Brasil. A imagem não é enviada a serviço de terceiro para isso.

Não há venda de dados, não há publicidade e não há perfilamento. Nada no sistema decide matrícula, avaliação ou qualquer situação da criança. Fora do reconhecimento facial contratado, não há decisão automatizada que afete o que a família pode ver: o que é automático é protetivo — na dúvida, o sistema cobre o rosto e prende a foto até que uma pessoa da escola resolva. Onde a escola contrata o reconhecimento facial e a turma passou à marcação automática, a máquina marca quem está na foto, e a foto passa a seguir as autorizações da criança marcada até uma pessoa corrigir (item 1.3) — toda marcação dela pode ser desfeita por alguém da escola, e a primeira correção devolve a turma à sugestão. Você pode pedir a revisão de qualquer decisão automática à escola (LGPD art. 20).

1.10 Como você exerce seus direitos aqui

Você tem, a qualquer momento e sem custo (LGPD art. 18): confirmar que existe tratamento; ver os dados; corrigir o que estiver errado; pedir cópia; pedir a eliminação dos dados tratados com base no seu consentimento; saber com quem os dados são compartilhados; e retirar o consentimento.

Peça à escola. Ela é a controladora e responde em até 15 dias. O painel dela tem os botões para exportar, corrigir, anonimizar e eliminar sem depender de chamado nosso.

Se você preferir falar conosco, escreva para privacidade@sofiedu.com.br. Nós encaminhamos o seu pedido à escola em até 5 dias úteis e damos a ela o apoio técnico para responder no prazo. Não atendemos sozinhos o pedido de um titular sobre dado que é da escola — fazer isso seria decidir no lugar de quem a lei põe para decidir. A exceção é a requisição de uma autoridade (item 1.9): ali quem responde somos nós, porque é a nós que ela é dirigida.

Parte 2 — o que tratamos por conta própria

Aqui a Sofi é controladora: a decisão é nossa e você trata direto conosco.

2.1 Quem escreve pelo formulário de contato

O que coletamos: seu nome, seu e-mail, a mensagem e, se você quiser preencher, o nome da escola e o telefone.

Para quê: responder você. A mensagem tem dois destinos: vira um e-mail para a nossa equipe comercial e fica registrada no nosso sistema, para a conversa não se perder — com a escola, o contato, o que foi conversado e o desfecho. Não entra em lista de divulgação.

Por quanto tempo: nos dois lugares, por até 12 meses sem movimentação — nem contato seu, nem tratativa nossa. Passado esse prazo o registro é apagado; se virar contrato, ele fica como o registro de por onde você chegou até nós.

Base legal: os procedimentos preliminares de contrato, a seu pedido (LGPD art. 7º, V). Não é consentimento: preencher um formulário para ser respondido não é autorizar um tratamento, e chamar isso de consentimento criaria uma escolha que você nunca teve.

2.1.1 A escola que nós procuramos, ou que alguém nos indicou

Esta seção existe porque as outras descrevem pessoas que fizeram alguma coisa — escreveram, receberam proposta, entraram num painel. Aqui não houve gesto nenhum da sua parte, e por isso a lei manda que esta página seja a sua informação (LGPD art. 9º).

O que acontece: quando procuramos uma escola, ou quando alguém a indica, registramos no mesmo sistema o nome da escola, a cidade, o contato que nos deram, uma estimativa de tamanho, quem indicou e as notas da conversa.

Base legal: legítimo interesse (LGPD art. 7º, IX) — oferecer um serviço a quem pode contratá-lo, em contato profissional e identificado. Não é consentimento, e não vendemos nem compramos lista de ninguém.

Por quanto tempo: o mesmo prazo do item acima — 12 meses sem movimentação, e o registro é apagado.

Como parar: escreva para privacidade@sofiedu.com.br e paramos. Quando você pede para não ser mais contatado, guardamos só o registro do pedido — o e-mail, o nome da escola e a marca de que você se opôs — porque apagar tudo apagaria junto a própria oposição que prometemos honrar, e nada impediria que a procurássemos de novo.

2.2 A escola que recebe e aceita uma proposta

O que coletamos: nome, razão social e CNPJ da escola, nome do contato, e-mail e telefone. Com o aceite, criamos a escola no sistema, a conta de acesso dessa pessoa e a assinatura com as condições negociadas.

Para quê: executar o contrato e cobrar por ele.

Base legal: execução de contrato (LGPD art. 7º, V) e, para a emissão de nota e a guarda fiscal, obrigação legal (art. 7º, II).

Com quem compartilhamos: com o Asaas, que emite e recebe a cobrança, no Brasil. Vão para lá os dados da escola e do contato responsável pelo pagamento. Nenhum dado de aluno ou de responsável vai para a cobrança.

2.3 Quem entra nos nossos painéis, e os registros de segurança

Os dados do colaborador dentro do painel da escola são da escola (Parte 1) — inclusive as tentativas de login contra uma conta que existe, que entram na trilha que a própria escola lê. O que descrevemos aqui é diferente: são os registros que existem para proteger o serviço, e a decisão sobre eles é nossa.

O que guardamos: as tentativas feitas com um e-mail que não existe no sistema, com o endereço tentado, o IP e o navegador; os bloqueios por excesso de tentativa; e os alertas que enviamos para o nosso endereço de segurança quando um desses sinais passa do limite. Nenhum desses registros descreve o trabalho de ninguém e nenhum é usado para avaliar pessoa alguma.

Por quanto tempo: a tentativa com e-mail desconhecido é apagada em 30 dias — é dado de terceiro e não temos motivo para guardar mais.

Base legal: legítimo interesse na segurança da informação e na prevenção à fraude (LGPD art. 7º, IX). O interesse é concreto: sem esse registro, não há como perceber que alguém está tentando entrar na conta de uma escola.

Como protegemos o acesso: o login das famílias é por código de 6 dígitos enviado ao e-mail, válido por 10 minutos, com no máximo 5 tentativas e bloqueio progressivo de 5 até 60 minutos. A sessão do aplicativo expira em 90 dias. O login dos painéis exige senha e código no e-mail em toda entrada; a senha tem no mínimo 12 caracteres e é conferida contra bases públicas de vazamento; o painel interno da Sofi aceita ainda um segundo fator por aplicativo autenticador.

2.4 Quem escreve para nós

O que você manda para contato@, privacidade@ ou qualquer endereço @sofiedu.com.br chega à nossa caixa por um serviço de encaminhamento (ImprovMX) e é lido no Gmail. Guardamos a mensagem enquanto ela for necessária para atender você e para provar que atendemos.

Base legal: procedimentos preliminares e execução de contrato (art. 7º, V) e, para atender pedido de titular, cumprimento de obrigação legal (art. 7º, II), nos prazos dos arts. 18 e 19.

2.5 Quem visita o site

O site sofiedu.com.br não usa cookie, não usa ferramenta de medição de audiência e não carrega nada de servidor de terceiro. Não sabemos quem visitou, quantas vezes, nem de onde. Você pode conferir: o código da página está inteiro à vista, e não há uma requisição externa nele.

2.6 Cookies, e onde eles existem

Só existem dois, e só nas páginas do sistema (login dos painéis, formulário de contato e página de proposta):

• um cookie de sessão, que lembra que você está logado enquanto usa a página;
• um cookie de proteção contra falsificação de requisição, que impede que outro site envie um formulário no seu nome.

Os dois são estritamente necessários para o serviço funcionar, expiram junto com a sessão (120 minutos de inatividade) e não servem para medir, perfilar nem anunciar nada. Não há cookie de terceiro, de propaganda ou de análise em nenhuma superfície da Sofi.

O aplicativo não usa cookie. Ele guarda no aparelho o seu código de acesso, num armazenamento cifrado do sistema operacional, e algumas preferências suas: tema, escola em que você entrou por último, se ativou o bloqueio por biometria e se já aceitou os Termos de Uso. As imagens são exibidas a partir da memória, sem cópia em disco — exceto, claro, a cópia que você mesmo baixar.

2.7 Seus direitos aqui

Sobre os dados desta Parte 2, os direitos do art. 18 se exercem conosco: escreva para privacidade@sofiedu.com.br e respondemos em até 15 dias.

Onde o tratamento se apoia em legítimo interesse, você pode se opor e pedir a revisão da decisão. São dois os tratamentos nessa base, e eles estão nomeados: os registros de segurança (§2.3) e a procura de escolas e a indicação (§2.1.1). Nos demais casos desta Parte 2 a base não é consentimento — é o seu próprio pedido, a execução do contrato ou uma obrigação legal —, e por isso não há consentimento a retirar: pedir para encerrar a conversa comercial encerra a conversa, e nós apagamos o que não precisamos guardar. A única coisa que sobrevive ao pedido de não ser mais contatado é o registro do próprio pedido (§2.1.1), pelo motivo dito lá.

O que vale para as duas partes

Inteligência artificial

As imagens e os dados das crianças não são usados para treinar modelos de inteligência artificial, nem nossos, nem de terceiros. Não vendemos, não cedemos e não emprestamos esse material para treinamento de ninguém.

Em toda escola existe um programa que localiza onde há rostos numa imagem, para que o rosto de quem não tem autorização possa ser coberto. Ele roda na nossa própria infraestrutura, não guarda medida nenhuma do rosto e não diz quem é a pessoa.

O reconhecimento facial é outra coisa, e trata dado biométrico sensível. Ele existe na escola que o contrata, e só nela; sem a contratação, nenhuma medida de rosto é calculada ou guardada. Onde existe, funciona assim: o programa de reconhecimento roda na nossa própria infraestrutura — a foto não é enviada a nenhuma outra empresa —, com um modelo pronto que não é treinado nem ajustado com as imagens da escola; a medida do rosto só fica guardada com autorização específica (a da família, para a criança; a de IA da equipe, para o colaborador), cifrada, no máximo cinco por pessoa, tiradas das fotos em que uma pessoa da escola marcou quem é; a medida de quem não autorizou é comparada em memória e descartada; toda turma começa sugerindo, a marcação automática só é liberada depois de confirmações seguidas sem erro, e a primeira correção a devolve à sugestão. Recusar não tira nada de ninguém, e retirar a autorização elimina a medida no mesmo ato. Nada disso entra em silêncio: a escola recebe os dois termos ao ligar e os publica antes de registrar qualquer autorização, e esta política diz o mecanismo.

Quando um dado sai do Brasil

Fotos, vídeos, banco de dados e o envio de e-mails do sistema ficam no Brasil, na região de São Paulo da Amazon Web Services.

Estes serviços acessórios ficam fora, e é isto que passa por cada um:

Cada uma dessas transferências tem hipótese e instrumento próprios (LGPD art. 33):

⚠️ O instrumento exato de cada fornecedor está em conferência com a nossa advogada, e esta tabela ganha o nome dele quando a conferência terminar. Nenhum desses serviços recebe dado de aluno.

Segurança

Nenhum sistema é impossível de invadir, e quem promete isso está vendendo. O que podemos descrever é o mecanismo:

• os arquivos ficam em armazenamento privado, sem qualquer endereço público, cifrados em repouso e em trânsito;
• cada exibição usa um link temporário (5 minutos para imagem, 10 para vídeo) emitido por um único ponto do sistema, que registra quem viu, o quê e quando;
• o arquivo original nunca é entregue em tela;
• marca d'água com o nome e o CPF mascarado de quem está vendo;
• isolamento entre escolas, verificado por testes automáticos a cada alteração do sistema;
• cópias de segurança do banco, diárias, com recuperação a qualquer ponto dos últimos 7 dias, e um procedimento de restauração escrito e ensaiado, refeito contra o ambiente de produção antes do primeiro cliente e repetido periodicamente depois;
• as dependências do sistema são auditadas automaticamente a cada versão.

Sobre o acesso da nossa própria equipe: não existe caminho no sistema para alguém da Sofi abrir o painel de uma escola. O que a nossa equipe acessa é a operação — cadastro da escola, faturamento e a trilha de auditoria. Há uma exceção, e ela é nomeada: para responder à requisição de uma autoridade, quem responde pelo contrato da Sofi prepara e baixa um pacote com as fotografias pedidas (item 1.9). Cada preparo e cada download ficam registrados, com a requisição que os motivou. Nessa trilha, quem tem acesso de leitura vê o titular por código ("Aluno(a) #12"). Ler o nome exige abrir um acesso declarado: quem precisa dele escreve por que precisa, escolhe a escola de que se trata, e o acesso vale por algumas horas — a direção daquela escola recebe um e-mail no mesmo instante, com o motivo, e vê o registro no painel dela. Sem esse acesso declarado, ninguém da Sofi lê o nome de uma criança na trilha, nem quem administra tudo. Antes desta versão, esse registro não existia e nós dizíamos isso aqui.

Uma segunda ressalva, que preferimos escrever: quem administra a infraestrutura — os servidores, o armazenamento e o banco de dados — tem, pela natureza da função, acesso técnico a eles. Esse acesso é restrito ao mínimo de pessoas e está sujeito a dever de confidencialidade. Ele não passa pelo produto — não é exercido por tela nem por botão —, e por isso o produto não consegue registrá-lo sozinho. O que fazemos é o contrário: quem vai tocar o armazenamento declara antes, com motivo e prazo, e todo dia conferimos as leituras do armazenamento contra essas declarações. Leitura sem declaração é tratada como incidente, e incidente a escola é avisada.

E há um terceiro caminho, novo, pelo qual fotografias podem chegar às mãos de alguém da Sofi: quando uma escola encerra o contrato, o painel dela fecha, e ela então pede por escrito o acervo de fotografias. Quem prepara e entrega esse arquivo é a Sofi, porque já não há painel para a escola fazê-lo sozinha. É um pedido da própria escola, fica registrado, e o arquivo tem prazo curto de vida.

O que a tecnologia não resolve, e que preferimos dizer: a foto que uma família baixou está no aparelho dela; a captura de tela no iPhone pode ser detectada, não impedida; e nenhuma marca d'água impede alguém de fotografar a própria tela com outro celular. As proteções tornam a redistribuição rastreável e desconfortável — não impossível.

Se acontecer um incidente

Se houver incidente de segurança envolvendo dados tratados para uma escola, avisamos a escola em até 24 horas da confirmação, com o que aconteceu, quais dados e titulares foram afetados, o que já foi contido e o que recomendamos.

A comunicação à ANPD e às famílias é da escola, porque é dela a posição de controladora — e nós entregamos a ela as informações técnicas e as minutas para fazê-la no prazo de referência de 3 dias úteis (Resolução CD/ANPD 15/2024).

Nos incidentes que envolverem dados da Parte 2, quem comunica somos nós.

Crianças

As crianças são titulares dos dados tratados aqui, e não usuárias do produto: o aplicativo é usado por adultos — responsáveis e equipe da escola —, com login no e-mail do adulto.

O tratamento de dado de criança segue o art. 14 da LGPD, com o melhor interesse dela acima de tudo. Onde a base é a sua autorização, ela é específica por finalidade, dada por um responsável legal e revogável a qualquer momento. Onde a base é outra — a requisição de uma autoridade, no item 1.9 —, não há autorização a dar nem a retirar, e dizemos isso em vez de deixar você supor que retirar resolve. Autorização genérica embutida no contrato de matrícula não é o que o Sofi faz, e não é o que a lei aceita.

Como esta política muda

Toda versão tem número e data. Quando mudarmos finalidade, destinatário, prazo de guarda ou categoria de dado, avisamos antes de a mudança valer, por dois caminhos: por e-mail, no endereço que a escola cadastrou, e no aplicativo, com uma tarja que diz o que mudou e leva ao texto novo. A direção da escola é avisada junto, porque é ela quem responde pelos dados.

Esse aviso é de leitura: ele não pede nada, não tem prazo e nada muda no seu acesso por causa dele.

Quando a mudança afetar o que você autorizou, é outra coisa, e você vai perceber a diferença: aí o aplicativo pede um aceite novo, com prazo, e a autorização anterior continua valendo até lá.

Correção de redação — ajustar uma frase, reorganizar uma seção, explicar melhor o que já valia — entra com a versão nova publicada, sem aviso individual.

Versões anteriores ficam disponíveis: você tem direito de saber sob qual texto os seus dados foram tratados.

Quem é quem, e como falar conosco

Sofi (empresa em constituição), CNPJ em constituição, é a Sofi — operadora dos dados tratados na Parte 1 e controladora dos da Parte 2.

Encarregado pela proteção de dados (DPO): Lucas Souza — privacidade@sofiedu.com.br (LGPD art. 41, §1º). O ato formal de designação é assinado pela pessoa jurídica e depende da constituição da empresa; o canal acima já funciona e é o que vale para você.

Outros canais: contato@sofiedu.com.br (comercial e suporte).

Sobre os dados do seu filho, comece pela escola. É ela quem decide, é ela quem responde, e é ela que tem os botões. Se a escola não responder, escreva para nós: nós não decidimos no lugar dela, mas insistimos com ela — e você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD) a qualquer momento.

Versão 11 · publicada em 31/07/2026 · Sofi