1. Papéis
Operadora: Lumied Tecnologia Ltda.
CNPJ: [CNPJ a preencher] · Endereço: [a preencher]
DPO: dpo@lumied.com.br
- Controladora: a Escola, que define as finalidades e os meios do tratamento dos dados dos alunos, responsáveis e funcionários.
- Operadora: Lumied Tecnologia Ltda., que trata os dados em nome e conforme instrução da Escola.
- Titulares: alunos, responsáveis, funcionários e quaisquer pessoas naturais cujos dados sejam inseridos na plataforma.
2. Finalidades autorizadas
A Lumied trata dados pessoais exclusivamente para:
- Prestar os módulos contratados (acadêmico, financeiro, comunicação, compliance, acesso).
- Oferecer suporte técnico e operacional.
- Garantir segurança da informação e prevenir fraudes.
- Cumprir obrigações legais e regulatórias.
Qualquer uso secundário (incluindo treinamento de modelos de IA) é vedado sem autorização expressa da Controladora.
3. Categorias de dados tratados
| Categoria | Sensível? |
|---|---|
| Identificação de alunos, responsáveis e funcionários | Não |
| Dados acadêmicos (notas, frequência, comportamento) | Não (cuidado redobrado) |
| Dados financeiros (mensalidades, boletos) | Não |
| Biometria facial (Control iD) | Sim |
| Saúde declarada (alergias, restrições, receitas) | Sim |
| Comunicações (WhatsApp, e-mail) | Não |
4. Sub-operadores autorizados
A Escola autoriza a subcontratação dos seguintes operadores, todos com contratos de confidencialidade e proteção de dados equivalentes:
| Sub-operador | Finalidade | País |
|---|---|---|
| Supabase (AWS) | Banco de dados e storage | Brasil (São Paulo) |
| Vercel | Hospedagem front-end e CDN | Global (EUA/EU) |
| Cloudflare | DNS, proteção DDoS | Global |
| Meta / WhatsApp | Comunicação oficial | EUA |
| Resend | E-mails transacionais | EUA |
| Anthropic (Claude) | IA assistiva (Lumi) | EUA |
| Banco Inter | Boletos e PIX | Brasil |
Alterações na lista são comunicadas com 30 dias de antecedência. A Controladora pode objetar, resolvendo-se por acordo; persistindo divergência, a Controladora pode rescindir sem multa.
5. Transferência internacional
Sub-operadores sediados fora do Brasil atuam sob cláusulas-padrão de transferência e tratamento compatível com a LGPD, conforme Art. 33 da Lei. Dados sensíveis (biometria, saúde) não são transferidos internacionalmente.
6. Segurança da informação
- Criptografia em trânsito (TLS 1.2+) e em repouso (AES-256).
- Row Level Security, rate limiting e WAF.
- Controle de acesso por papel (RBAC), logs de auditoria de ações administrativas.
- Backups diários criptografados com retenção escalonada por plano.
- Testes de penetração anuais e hardening contínuo.
7. Incidentes de segurança
Em caso de incidente que possa acarretar risco ou dano relevante aos titulares, a Lumied comunicará a Escola em até 48 horas após tomar conhecimento, contendo: natureza do incidente, dados afetados, medidas técnicas e de segurança adotadas, riscos associados e medidas de mitigação (Art. 48 LGPD).
8. Atendimento a titulares
Pedidos dos titulares (Art. 18 LGPD) recebidos pela Lumied são encaminhados imediatamente à Escola. A plataforma já dispõe de ferramentas nativas para: export de dados, anonimização, exclusão, consentimento granular e histórico de consentimentos.
9. Retenção e devolução
- Durante o contrato: dados ativos conforme uso.
- Ao término: 90 dias para export completo em JSON/CSV; após, exclusão irreversível.
- Dados com retenção legal obrigatória (fiscais, contábeis) são mantidos pelo prazo legal, em ambiente segregado.
10. Auditoria
A Controladora pode, uma vez ao ano e mediante aviso de 30 dias, auditar remotamente o cumprimento deste DPA (revisão documental e relatórios SOC-like). Auditorias presenciais são avaliadas caso a caso e podem envolver custos a combinar.
11. Vigência e rescisão
Este DPA vigora enquanto houver tratamento de dados em nome da Escola. Rescindido o contrato, persistem obrigações de confidencialidade, segurança e retenção de logs conforme previsto.
12. Contato
- Encarregado Lumied (DPO): dpo@lumied.com.br
- Solicitações de DPA assinado: juridico@lumied.com.br
Versão: 1.0 · Vigência: 15 de abril de 2026