1. Papéis
Operadora: LUMIED SISTEMAS LTDA
CNPJ: 68.453.167/0001-41 · Endereço: Rua dos Jacarandás, 640 — Cinquentenário — Caxias do Sul/RS — CEP 95012-280
DPO: dpo@lumied.com.br
- Controladora: a Escola, que define as finalidades e os meios do tratamento dos dados dos alunos, responsáveis e funcionários.
- Operadora: LUMIED SISTEMAS LTDA, que trata os dados em nome e conforme instrução da Escola.
- Titulares: alunos, responsáveis, funcionários e quaisquer pessoas naturais cujos dados sejam inseridos na plataforma.
2. Finalidades autorizadas
A Lumied trata dados pessoais exclusivamente para:
- Prestar os módulos contratados (acadêmico, financeiro, comunicação, compliance, acesso).
- Oferecer suporte técnico e operacional.
- Garantir segurança da informação e prevenir fraudes.
- Cumprir obrigações legais e regulatórias.
Qualquer uso secundário (incluindo treinamento de modelos de IA) é vedado sem autorização expressa da Controladora.
3. Categorias de dados tratados
| Categoria | Sensível? |
|---|---|
| Identificação de alunos, responsáveis e funcionários | Não |
| Dados acadêmicos (notas, frequência, comportamento) | Não (cuidado redobrado) |
| Dados financeiros (mensalidades, boletos) | Não |
| Biometria facial (Control iD) | Sim |
| Saúde declarada (alergias, restrições, receitas) | Sim |
| Comunicações (WhatsApp, e-mail) | Não |
4. Sub-operadores autorizados
A Escola autoriza a subcontratação dos seguintes operadores, todos com contratos de confidencialidade e proteção de dados equivalentes:
| Sub-operador | Finalidade | País |
|---|---|---|
| Supabase (AWS) | Banco de dados e storage | Brasil (São Paulo) |
| Vercel | Hospedagem front-end e CDN | Global (EUA/EU) |
| Cloudflare | DNS, proteção DDoS | Global |
| Meta / WhatsApp | Comunicação oficial | EUA |
| Resend | E-mails transacionais | EUA |
| Anthropic (Claude) | IA assistiva (Lumi) e conector de IA para a Escola | EUA |
| Banco Inter | Boletos e PIX | Brasil |
| Itaú | Boletos e PIX (quando contratado pela Escola) | Brasil |
Alterações na lista são comunicadas com 30 dias de antecedência. A Controladora pode objetar, resolvendo-se por acordo; persistindo divergência, a Controladora pode rescindir sem multa.
5. Transferência internacional
Sub-operadores sediados fora do Brasil atuam sob cláusulas-padrão de transferência e tratamento compatível com a LGPD, conforme Art. 33 da Lei e a Resolução CD/ANPD nº 19/2024.
Dados sensíveis são armazenados exclusivamente no Brasil. Dados biométricos não são transferidos internacionalmente em nenhuma hipótese. Dados de saúde declarada (alergias, restrições, medicações) podem ser processados pelo sub-operador de IA fora do Brasil apenas quando um usuário autorizado da Escola aciona recurso de IA que dependa deles (ex.: uma pergunta sobre restrições alimentares de uma turma), limitado ao estritamente necessário ao pedido e sob as seguintes salvaguardas: (i) cláusulas-padrão contratuais; (ii) vedação de retenção e de uso para treinamento de modelos pelo sub-operador; (iii) registro do acionamento na trilha de auditoria da Escola; (iv) possibilidade de a Controladora desativar o uso de dados de saúde pelos recursos de IA a qualquer tempo, sem custo.
6. Segurança da informação
- Criptografia em trânsito (TLS 1.2+) e em repouso (AES-256).
- Row Level Security, rate limiting e WAF.
- Controle de acesso por papel (RBAC), logs de auditoria de ações administrativas.
- Backups diários criptografados com retenção escalonada por plano.
- Testes de penetração anuais e hardening contínuo.
7. Incidentes de segurança
Em caso de incidente que possa acarretar risco ou dano relevante aos titulares, a Lumied comunicará a Escola em até 48 horas após tomar conhecimento, contendo: natureza do incidente, dados afetados, medidas técnicas e de segurança adotadas, riscos associados e medidas de mitigação (Art. 48 LGPD).
8. Atendimento a titulares
Pedidos dos titulares (Art. 18 LGPD) recebidos pela Lumied são encaminhados imediatamente à Escola. A plataforma já dispõe de ferramentas nativas para: export de dados, anonimização, exclusão, consentimento granular e histórico de consentimentos.
9. Retenção e devolução
- Durante o contrato: dados ativos conforme uso.
- Ao término: 90 dias para export completo em JSON/CSV; após, exclusão irreversível.
- Dados com retenção legal obrigatória (fiscais, contábeis) são mantidos pelo prazo legal, em ambiente segregado.
10. Auditoria
A Controladora pode, uma vez ao ano e mediante aviso de 30 dias, auditar remotamente o cumprimento deste DPA (revisão documental e relatórios SOC-like). Auditorias presenciais são avaliadas caso a caso e podem envolver custos a combinar.
11. Vigência e rescisão
Este DPA vigora enquanto houver tratamento de dados em nome da Escola. Rescindido o contrato, persistem obrigações de confidencialidade, segurança e retenção de logs conforme previsto.
12. Contato
- Encarregado Lumied (DPO): dpo@lumied.com.br
- Solicitações de DPA assinado: juridico@lumied.com.br
Histórico de versões
- 1.1 — 14 de setembro de 2026: seção 5 detalha o tratamento de dados de saúde pelos recursos de IA (com salvaguardas) e mantém a vedação absoluta para biometria; Itaú incluído entre os sub-operadores.
- 1.0 — 15 de abril de 2026: versão inicial.
Versão: 1.1 · Vigência: 14 de setembro de 2026