Política de Privacidade e Proteção de Dados (LGPD)

1. OBJETIVO, FINALIDADE E ALCANCE

1.1. A presente Política de Privacidade e Proteção de Dados Pessoais (“Política”) estabelece as diretrizes e regras corporativas para a coleta, registro, armazenamento, tratamento, compartilhamento, anonimização e eliminação de dados pessoais promovidos pela PROESC LTDA. e INOVADADOS LTDA. (“Empresas”), em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei Federal nº 13.709/2018 – LGPD), o Marco Civil da Internet (Lei Federal nº 12.965/2014) e as regulamentações expedidas pela Autoridade Nacional de Proteção de Dados (ANPD).

1.2. Ficam expressamente incorporados a este instrumento os Termos de Serviço, Contratos de Licenciamento de Software (SaaS) e o Manual de Uso Ético e Seguro de Inteligência Artificial, os quais integram o programa institucional de Governança, Compliance e Segurança da Informação das Empresas.

1.3. Alcance: Esta Política aplica-se indistintamente a todos os titulares de dados pessoais cujos dados sejam tratados pelas Empresas, em meio físico ou digital, incluindo:

1. a) Empregados, colaboradores, estagiários, aprendizes e candidatos a vagas de emprego;
2. b) Prestadores de serviços, consultores e sócios de empresas contratadas;
3. c) Clientes diretos, contratantes de soluções SaaS e usuários de website/plataformas;
4. d) Alunos, estudantes, pais, mães e responsáveis legais cadastrados nas plataformas pelas Instituições de Ensino clientes;
5. e) Parceiros comerciais, fornecedores, representantes legais e visitantes.
6. DEFINIÇÕES (GLOSSÁRIO MESTRE E AMPLIADO)

Para fins desta Política e do sistema de governança das Empresas, aplicam-se as definições do Art. 5º da LGPD e os conceitos técnicos abaixo:

13. a) LGPD: Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018).
14. b) ANPD: Autoridade Nacional de Proteção de Dados, órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da LGPD.
15. c) Dado Pessoal (Art. 5º, I): Informação relacionada a pessoa natural identificada ou identificável.
16. d) Dado Pessoal Sensível (Art. 5º, II): Dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
17. e) PII (Personally Identifiable Information): Sigla para Dados Pessoais Identificáveis (ex.: CPF, RG, Nome Completo, Endereço, Conta Bancária).
18. f) Titular (Art. 5º, V): Pessoa natural a quem se referem os dados pessoais objeto de tratamento.
19. g) Controlador (Art. 5º, VI): Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais (ex.: a Instituição de h) Ensino/Escola contratante do PROESC).
20. h) Operador (Art. 5º, VII): Pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do Controlador (ex.: a PROESC ao disponibilizar a plataforma SaaS para a escola).
21. i) Suboperador: Terceiro contratado pelo Operador para auxiliar na execução dos serviços de tratamento em nome do Controlador (ex.: provedores de nuvem, APIs de IA).
22. j) Encarregado / DPO (Art. 5º, VIII e Art. 41): Pessoa indicada pelo Controlador e Operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD.
23. k) Tratamento (Art. 5º, X): Toda operação realizada com dados pessoais, como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração.
24. l) Anonimização (Art. 5º, XI): Utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo.
25. m) Incidente de Segurança / Data Breach: Qualquer evento confirmado ou sob fundada suspeita que resulte em acesso não autorizado, destruição, perda, alteração, comunicação ou difusão indevida de dados pessoais.
26. n) SaaS (Software as a Service): Modelo de disponibilização de software via nuvem oferecido pelas Empresas.
27. o) LLM (Large Language Model) / Inteligência Artificial Generativa: Algoritmos avançados de aprendizado de máquina capazes de processar e gerar textos, códigos ou análises a partir de dados e prompts fornecidos.
28. p) Zero Data Retention (ZDR): Cláusula contratual técnica onde o provedor de tecnologia/IA compromete-se a não armazenar ou utilizar os dados/prompts do cliente para treinamento de modelos públicos.
29. q) Shadow IT: Uso de softwares, aplicativos ou contas pessoais (não homologados pela TI/Segurança) para tratar dados corporativos da empresa.
30. BASES LEGAIS DO TRATAMENTO

3.1. O tratamento de dados pessoais pelas Empresas ocorre exclusivamente com fundamento nas hipóteses autorizativas previstas nos Arts. 7º (dados não sensíveis) e 11 (dados sensíveis) da LGPD, sendo vedado qualquer tratamento sem finalidade legítima e específica.

3.2. As bases legais aplicadas às operações incluem:

1. a) Execução de Contrato ou Procedimentos Preliminares (Art. 7º, V e Art. 11, II, “d”): Para prestação dos serviços SaaS, suporte técnico, gestão de licenças e faturamento;
2. b) Cumprimento de Obrigação Legal ou Regulatória (Art. 7º, II e Art. 11, II, “a” da LGPD): Para atendimento a determinações legais de retenção de registros de acesso a aplicações de internet ( 15 da Lei Federal nº 12.965/2014 – Marco Civil da Internet), cumprimento de obrigações tributárias, fiscais, trabalhistas e regulatórias do Ministério da Educação (MEC); 
3. c) Exercício Regular de Direitos em Processos Judicial, Administrativo ou Arbitral (Art. 7º, VI e Art. 11, II, “d”);
4. d) Legítimo Interesse do Controlador ou do Operador (Art. 7º, IX): Precedido de Teste de Proporcionalidade e Balanceamento (LIA), para segurança de redes, prevenção de fraudes e melhoria contínua dos produtos;
5. e) Consentimento do Titular ou Responsável Legal (Art. 7º, I e Art. 14, §1º): Fornecido de forma livre, informada e inequívoca, especialmente para envio de comunicações de marketing ou tratamento direto de dados de menores de idade quando a PROESC atuar na condição de Controladora.

3.3. Quando o tratamento de dados pessoais for fundamentado na hipótese do Legítimo Interesse (Art. 7º, IX da LGPD), envolver dados pessoais sensíveis (Art. 11), dados de crianças e adolescentes (Art. 14) ou operações de elevado risco à privacidade e segurança da informação, as Empresas elaborarão e manterão formalmente atualizado o Relatório de Impacto à Proteção de Dados Pessoais (RIPD) e a Avaliação de Legítimo Interesse (LIA – Legitimate Interest Assessment), sob coordenação técnica, gestão e supervisão do Encarregado pelo Tratamento de Dados (DPO).

4. CATEGORIAS DE DADOS TRATADOS E SEGREGAÇÃO DE RESPONSABILIDADES 

4.1. O tratamento de dados pessoais restringe-se estritamente ao mínimo necessário para o cumprimento de suas finalidades legítimas e específicas, contemplando as seguintes categorias: 

1. a) Dados Cadastrais e de Identificação (PII): Nome completo, número do CPF, RG, data de nascimento, gênero, nacionalidade, endereço residencial completo, e-mail, telefone/WhatsApp, nome da mãe e do pai ou responsável legal; 
2. b) Dados Profissionais, Funcionais e Contratuais: Cargo, empresa, histórico de chamados de suporte, logs de acesso;Cargo, função, instituição ou empresa vinculada, histórico de chamados de suporte técnico, credenciais de acesso corporativo e logs de auditabilidade do sistema; 
3. c) Dados Financeiros, Bancário e Fiscais: Dados de conta corrente e agência, chave PIX, histórico de transações e pagamentos, comprovantes de quitação, faturamento, notas fiscais eletrônicas e dados para conciliação bancária; 
4. d) Dados Educacionais, Operacionais e Pedagógicos: Número de matrícula, turma, notas, avaliações, frequência escolar, histórico acadêmico, diário de classe, dados de rotas e utilização do módulo de transporte escolar e registros estruturados exigidos para o Censo Escolar; 
5. e) Dados Pessoais Sensíveis (Art. 11): Laudos médicos, diagnósticos, relatórios de saúde, prescrições e acompanhamentos do Atendimento Educacional Especializado (AEE), informações de acessibilidade pedagógica e dados biológicos ou biométricos (quando aplicáveis exclusivamente para controle de acesso físico ou autenticação). 

4.2. Tratamento de Dados de Crianças e Adolescentes (Art. 14 da LGPD):

1. a) O tratamento de dados pessoais de crianças (pessoas com até 12 anos incompletos) e adolescentes será realizado observando rigorosamente o seu melhor interesse (Art. 14, caput da LGPD), destinado exclusivamente a viabilizar a prestação dos serviços educacionais, a segurança dos estudantes, a gestão do transporte e o cumprimento das exigências do Ministério da Educação (MEC) e órgãos fiscalizadores. 
2. b) Nas plataformas SaaS em que a PROESC e a INOVADADOS atuam exclusivamente na condição de Operadoras, cabe integral e exclusivamente à Instituição de Ensino contratante (Controladora) a obrigação legal de obter o consentimento específico e em destaque fornecido por pelo menos um dos pais ou pelo responsável legal (Art. 14, §1º da LGPD), bem como prestar aos titulares todas as informações legais sobre os dados coletados e finalidades do tratamento.

4.3. Na condição de fornecedoras de soluções tecnológicas em modelo SaaS, as Empresas atuam estritamente como Operadoras de dados pessoais em relação às informações inseridas nas plataformas pelas escolas clientes. A responsabilidade pela licitude da coleta, pela definição da base legal adequada, pela veracidade dos dados e pela transparência perante os alunos, pais e responsáveis é exclusiva da Instituição de Ensino (Controladora). As Empresas limitam-se a disponibilizar a infraestrutura tecnológica, os sistemas e as medidas técnicas de segurança, não respondendo em qualquer hipótese pela origem, ilegalidade, excesso, erro ou ausência de consentimento dos dados inseridos pelos seus clientes. 

5. FINALIDADES DO TRATAMENTO

O tratamento de dados pessoais pelas Empresas atende a finalidades legítimas, explícitas, específicas e informadas ao titular (Art. 6º, I da LGPD), englobando:

5.1. Prestação dos Serviços e Operação SaaS: Habilitar o acesso às plataformas, operar as funcionalidades do sistema, gerenciar cadastros, diários de classe, notas, frequências e prestar suporte técnico e atendimento às escolas e usuários;

5.2. Gestão Educacional e Obrigações Regulatórias: Emitir documentos escolares oficiais, históricos acadêmicos, boletins, relatórios para secretarias de educação e dados estruturados para o Censo Escolar e Ministério da Educação (MEC);

5.3. Gestão Financeira e Cobrança: Processar mensalidades, efetuar cobranças, emitir boletos, notas fiscais, conciliações bancárias e gerenciar a adimplência contratual dos clientes;

5.4. Segurança da Informação e Prevenção a Fraudes: Garantir a autenticação segura de usuários, prevenir acessos não autorizados, mitigar ataques cibernéticos, realizar auditorias de acessos e monitorar a integridade e disponibilidade da infraestrutura;

5.5. Cumprimento de Deveres Legais e Judiciais: Atender a ordens judiciais, requisições de autoridades policiais, fiscais ou do Ministério Público, e cumprir prazos legais de retenção previstos na legislação (incluindo a guarda de logs pelo Marco Civil da Internet);

5.6. Aprimoramento do Produto e Testes Técnicos: Desenvolver novas funcionalidades, corrigir falhas de código e realizar testes funcionais e de desempenho — obrigatoriamente mediante o uso de ambientes segregados, dados anonimizados ou sintéticos;

5.7. Atendimento a Requisições de Titulares: Processar, analisar e responder solicitações, dúvidas ou requisições de direitos apresentadas pelos titulares ou pelas escolas parceiras por meio dos canais oficiais do DPO.

6. DIREITOS DOS TITULARES E PRAZOS DE ATENDIMENTO

6.1. As Empresas asseguram aos titulares o pleno exercício dos direitos garantidos pelo Art. 18 da LGPD:

1. a) Confirmação da existência de tratamento (Art. 18, I);

Acesso aos dados (Art. 18, II);

1. b) Correção de dados incompletos, inexatos ou desatualizados (Art. 18, III);
2. c) Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade (Art. 18, IV);
3. d) Portabilidade dos dados a outro fornecedor de serviço (Art. 18, V);
4. e) Eliminação dos dados pessoais tratados com o consentimento (Art. 18, VI);
5. f) Informação sobre o compartilhamento com entidades públicas e privadas (Art. 18, VII);
6. g) Informação sobre a possibilidade de não fornecer consentimento e consequências (Art. 18, VIII);
7. h) Revogação do consentimento (Art. 18, IX).

6.2. Prazos de Resposta (Art. 19 da LGPD):

1. a) A confirmação de existência ou o acesso simplificado aos dados será prestado imediatamente ou no prazo de até 24 (vinte e quatro) horas, em formato simplificado.
2. b) A declaração completa contendo a origem dos dados, critérios e finalidades será fornecida no prazo de até 15 (quinze) dias, contados da data do requerimento formal e validação de identidade do titular ( 19, II da LGPD).

6.3. Proteção ao Segredo de Negócio e Propriedade Intelectual (§1º e §2º do Art. 19): O exercício dos direitos de acesso e portabilidade não incluirá, sob nenhuma hipótese, a entrega de dados protegidos por segredo industrial, segredo comercial ou propriedade intelectual das Empresas, tais como códigos-fonte, algoritmos, arquitetura de banco de dados, regras de negócio proprietárias e chaves de API.

6.4. Atendimento aos Alunos/Pais das Escolas Clientes: Quando a requisição for feita por um aluno/pai de escola cliente em que a PROESC é Operadora, a solicitação será direcionada imediatamente à respectiva Instituição de Ensino (Controladora), que é a autoridade competente para decidir sobre a requisição.

7. COMPARTILHAMENTO, SUBOPERADORES E TRANSFERÊNCIA INTERNACIONAL

7.1. Para garantir a operação contínua, a segurança da informação, o desempenho computacional e a alta disponibilidade das plataformas SaaS, as Empresas compartilham dados pessoais estritamente necessários com fornecedores de tecnologia e suboperadores essenciais. Todo compartilhamento é regido pelo Princípio da Minimização (Art. 6º, III da LGPD), exigindo-se contratualmente dos suboperadores obrigações rigorosas de sigilo, confidencialidade, restrição de uso e padrões de segurança equivalentes aos estabelecidos nesta Política. 

7.2. Matriz de Suboperadores Homologados:

1. a) Hospedagem e Infraestrutura em Nuvem: Amazon Web Services (AWS), Google Cloud Platform (GCP) e Hostinger;
2. b) Serviços de Comunicação, Disparos e Notificações: Positus (API oficial de WhatsApp), Google Workspace e AWS (envio de e-mails transacionais e corporativos), Zenvia (disparo de SMS) e OneSignal (notificações push no aplicativo);
3. c) Gateways de Pagamento e Serviços Financeiros: Iugu, Sicoob, Banco Itaú, Banco Santander, Paytime, Isaac e Kedu;
4. d) Ferramentas de Suporte, Atendimento e Gestão (CRM): Provedores homologados de gestão de chamados e atendimento ao cliente.

7.3. Como os servidores de nuvem (AWS/GCP) e fornecedores de inteligência artificial podem estar localizados fora do Brasil (ex.: Estados Unidos), a transferência internacional ocorre exclusivamente com fundamento em mecanismos jurídicos válidos, exigindo-se dos fornecedores a assinatura de Cláusulas Contratuais Padrão (Standard Contractual Clauses – SCCs) ou conformidade com garantias equivalentes reconhecidas pela ANPD.

8. USO DE INTELIGÊNCIA ARTIFICIAL (IA) E PROCESSAMENTO AUTOMATIZADO

8.1. A Inteligência Artificial atua estritamente como ferramenta auxiliar de produtividade. Nenhuma decisão que produza efeitos jurídicos ou afete significativamente os interesses dos titulares será tomada de forma 100% automatizada por robôs sem a supervisão e validação final por um profissional humano (Art. 20 da LGPD).

8.2. As plataformas das Empresas utilizam integrações via API com modelos avançados de IA generativa, incluindo OpenAI (GPT, Codex), Google (Gemini) e Anthropic (Claude).

8.3. É proibido fazer o upload de relatórios brutos, PDFs com nomes de alunos, CPFs ou laudos médicos de saúde (dados sensíveis) em caixas de prompt de IAs genéricas.

8.4. Proibição de Contas Pessoais no Trabalho (Shadow IT de IA): É proibido a qualquer colaborador ou prestador de serviço utilizar contas pessoais gratuitas ou logins compartilhados não homologados para tratar dados da PROESC, código-fonte ou informações de clientes em ferramentas de IA.

9. RETENÇÃO, DESCARTE E ANONIMIZAÇÃO (MATRIZ MESTRE)

9.1. Os dados pessoais serão mantidos pelo período necessário ao cumprimento das finalidades para as quais foram coletados, observados os princípios da necessidade e da adequação, bem como as hipóteses de conservação previstas na legislação aplicável, nos termos dos arts. 15 e 16 da Lei nº 13.709/2018 (LGPD). 

9.2. Prazos Regulatórios de Guarda:

12. a) Logs de Acesso a Aplicações e Auditabilidade: Os registros de acesso a aplicações de internet e logs de movimentações do sistema serão mantidos sob sigilo, em ambiente controlado e seguro, pelo prazo teto de até 12 (doze) meses, em estrito atendimento ao piso mínimo legal de 6 (seis) meses estabelecido pelo art. 15 da Lei Federal nº 12.965/2014 (Marco Civil da Internet) e ao Princípio da Minimização de Dados (art. 6º, III da LGPD).
    Parágrafo Único: Decorrido o prazo teto de 12 (doze) meses, ressalvadas as hipóteses de ordem judicial específica ou requerimento formal de autoridade competente que determine a preservação preventiva de registros, os logs serão definitiva e irreversivelmente eliminados ou submetidos a processo de anonimização.
13. b) Dados Fiscais, Tributários e Contábeis: mantidos pelo prazo mínimo de 5 (cinco) anos, observado o prazo decadencial e prescricional aplicável à respectiva obrigação, documento ou operação, bem como eventuais prazos específicos previstos na legislação tributária, contábil ou regulatória. A conservação poderá ser estendida enquanto houver fiscalização, processo administrativo ou judicial, obrigação pendente ou outro fundamento legal que justifique a manutenção dos dados.
14. c) Dados Trabalhistas, Previdenciários e relativos ao FGTS: mantidos pelo prazo mínimo de 5 (cinco) anos, observado o prazo específico aplicável a cada documento, obrigação ou relação jurídica, bem como eventuais hipóteses legais que determinem sua conservação por período superior. A retenção poderá ser estendida enquanto houver processo judicial ou administrativo, fiscalização, obrigação pendente ou outro fundamento legal que justifique sua conservação.
15. d) Dados Contratuais e Histórico da Relação Comercial: mantidos durante a vigência da relação contratual enquanto necessários à execução do contrato e, após seu encerramento, pelo prazo de 10 (dez) anos, como regra de retenção para fins de exercício regular de direitos e preservação de elementos necessários à comprovação da relação jurídica, ressalvados prazos prescricionais específicos, processos judiciais ou administrativos, auditorias, investigações, obrigações legais ou regulatórias que justifiquem a conservação por período superior.
16. e) Dados integrantes de Acervo Acadêmico: quando aplicável às obrigações regulatórias das instituições de ensino, serão mantidos pelos prazos e condições estabelecidos pela regulamentação educacional aplicável, inclusive quando houver exigência de guarda permanente do acervo acadêmico.
17. f) Demais Dados Pessoais: serão eliminados ou anonimizados após o término da finalidade que justificou seu tratamento, salvo quando sua conservação for autorizada pelo art. 16 da LGPD ou por outra obrigação legal ou regulatória aplicável.
18. g) Exceção para preservação: os prazos previstos nesta cláusula poderão ser interrompidos ou prorrogados quando houver processo judicial ou administrativo, investigação, auditoria, fiscalização, requisição de autoridade competente, obrigação legal ou regulatória, ou qualquer outra circunstância que torne necessária a preservação dos dados para o exercício regular de direitos ou cumprimento de obrigação legal.

9.3. Encerrados os prazos de guarda legal, os dados serão eliminados de forma segura mediante descarte digital definitivo ou submetidos a processo de anonimização irreversível, permitindo seu uso apenas para fins estatísticos internos (§3º do Art. 16 da LGPD).

10. MEDIDAS DE SEGURANÇA DA INFORMAÇÃO, BOAS PRÁTICAS E BACKUPS

10.1. As Empresas adotam medidas técnicas, administrativas e organizacionais aptas a proteger os dados pessoais contra acessos não autorizados, destruição, perda, alteração ou vazamentos (Art. 46 da LGPD), alinhadas às diretrizes e boas práticas internacionais dos padrões ISO/IEC 27001 (Gestão da Segurança da Informação), ISO/IEC 27701 (Gestão da Privacidade da Informação) e SOC 2.

10.2. Arquitetura de Segurança:

1. a) Armazenamento em Nuvem: Dados hospedados na plataforma Amazon Web Services (AWS), com banco de dados PostgreSQL e segregação lógica de ambientes;
2. b) Criptografia: Criptografia em trânsito (protocolo TLS/SSL – Secure Socket Layer) e criptografia em repouso (at rest) com padrão AES-256 para dados críticos e bancários;
3. c) Controle de Acesso: Princípio do Menor Privilégio (Least Privilege), autenticação multifator (MFA), acessos individuais e intransferíveis com rastreabilidade por log.

10.3. Política de Cópias de Segurança: Para garantir a continuidade de negócios e a disponibilidade dos dados (Art. 6º, VIII da LGPD), as Empresas mantêm 4 (quatro) camadas de backup auditadas:

Point-In-Time Recovery (PITR): Recuperação de banco de dados granular por dia, hora e minuto;

Backup Full Automático do Banco de Dados: Executado diariamente com retenção programada;

Backup Full Automático do Sistema PROESC: Cópias diárias da aplicação e arquivos do sistema;

Backup Multicloud: Armazenamento redundante de cópias de segurança em nuvem distinta da nuvem principal.

10.4. Embora as Empresas adotem os mais elevados padrões e controles de segurança da informação alinhados às normas ISO/IEC 27001 e SOC 2, o titular e as Instituições de Ensino declaram ciência de que nenhum sistema computacional em nuvem é inexpugnável. As Empresas não serão responsabilizadas por incidentes decorrentes de culpa exclusiva de terceiros (ex.: ataques cibernéticos extraordinários de massa), força maior ou negligência do próprio usuário no guarda e sigilo de suas credenciais de acesso, nos termos do Art. 43, incisos III da LGPD. 

11. INCIDENTES DE SEGURANÇA E COMUNICAÇÃO DE DATA BREACH

11.1. As Empresas mantêm e executam um Plano de Resposta a Incidentes de Segurança da Informação, estruturado para identificar, conter, investigar, mitigar e documentar qualquer evento confirmado ou sob fundada suspeita que possa comprometer a confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais. 

11.2. Prazos Internos e Regulatórios:

Notificação Interna Imediata (Até 24 horas): Todo colaborador, estagiário, prestador de serviço ou parceiro comercial que identificar qualquer vulnerabilidade crítica, uso indevido, acesso não autorizado ou suspeita de vazamento de dados deverá comunicar o fato imediatamente, no prazo impreterível de até 24 (vinte e quatro) horas, ao Encarregado pelo Tratamento de Dados (DPO) através do e-mail oficial (dpo@proesc.com), sob pena de sanções administrativas, trabalhistas e contratuais cabíveis;

Avaliação Técnica de Risco Relevante: Recebida a notificação interna, o DPO, em conjunto com a equipe técnica de Tecnologia e a Assessoria Jurídica, realizará a avaliação técnica do incidente para determinar a natureza dos dados afetados, o volume de titulares impactados e a existência de risco ou dano relevante aos direitos e liberdades fundamentais dos titulares;

Comunicação à ANPD e aos Controladores (Prazo de 3 dias úteis): Confirmada a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o DPO efetuará a comunicação formal à Autoridade Nacional de Proteção de Dados (ANPD) e às Instituições de Ensino afetadas (Controladoras) no prazo máximo de 3 (três) dias úteis, contados da data da ciência consolidada do evento, em estrita observância ao Art. 5º do Regulamento aprovado pela Resolução CD/ANPD nº 15/2024.

11.3. A comunicação à ANPD e aos Controladores detalhará a descrição da natureza dos dados afetados, as informações sobre os titulares impactados, as medidas técnicas de segurança que estavam aplicadas, os riscos identificados, as ações de contenção e mitigação já executadas e o cronograma do plano de ação corretivo e preventivo. 

12. COOKIES, LOGS E TECNOLOGIAS DE RASTREAMENTO

12.1. As plataformas SaaS e o website institucional das Empresas utilizam cookies, web beacons e registros automatizados de logs de aplicação para garantir a autenticação de sessões, a segurança da navegação, a prevenção contra acessos maliciosos ou não autorizados, a usabilidade e a análise de desempenho do sistema. 

12.2. Categorias de Cookies Utilizados:

Cookies Estritamente Necessários: Essenciais para permitir o login seguro do usuário, garantir o tráfego encriptado de dados, equilibrar a carga nos servidores e viabilizar as funcionalidades básicas das plataformas SaaS. Por serem indispensáveis à prestação do serviço contratado, estes cookies não dependem de consentimento e não podem ser desativados no sistema;

Cookies de Desempenho e Analytics: Coletam dados estatísticos, agregados e genéricos de navegação (como tempo de permanência e páginas mais acessadas) para auxiliar a equipe de produto na identificação de falhas de código e melhoria contínua da interface;

Cookies Funcionais e de Marketing: Utilizados exclusivamente no site institucional para memorizar preferências de acesso e personalizar comunicações institucionais e comerciais sobre as soluções das Empresas.

12.3. O consentimento para a utilização de cookies não essenciais (analytics e marketing) poderá ser concedido, recusado ou alterado pelo titular a qualquer momento, de forma simples, direta e gratuita, por meio da ferramenta de gerenciamento (Banner de Cookies) disponibilizada na página inicial do site institucional.

13. RESPONSABILIDADES, DIREITO DE REGRESSO E SANÇÕES

13.1. É dever de todos os colaboradores, estagiários e prestadores de serviços das Empresas cumprir integralmente esta Política e o Manual de IA, sob pena de aplicação de sanções disciplinares (advertência, suspensão, rescisão por justa causa conforme Art. 482 da CLT) ou rescisão contratual imediata.

13.2. As Empresas reservam-se o direito de regresso integral contra qualquer colaborador, prestador de serviço, operador ou suboperador que, por ação ou omissão dolosa, negligência, imprudência ou descumprimento intencional das normas de segurança, der causa a incidentes de vazamento de dados, sanções administrativas impostas pela ANPD ou condenações judiciais de reparação de danos.

14. ENCARREGADO PELO TRATAMENTO DE DADOS (DPO)

14.1. Nos termos do Art. 41 da LGPD, as Empresas possuem Encarregado pelo Tratamento de Dados Pessoais nomeado com autonomia técnica para orientar a operação, aceitar reclamações de titulares e prestar esclarecimentos à ANPD.

E-mail de Contato do DPO: dpo@proesc.com

15. DISPOSIÇÕES FINAIS E VIGÊNCIA

15.1. Esta Política integra formalmente o sistema normativo e o programa de conformidade das Empresas, devendo ser interpretada e aplicada de forma conjunta, sistemática e harmoniosa com a Política Corporativa de Governança, Integridade, Compliance e Segurança da Informação, os contratos de trabalho, os Contratos de Licenciamento SaaS/DPA, o Código de Conduta, o Código Civil e o Código de Defesa do Consumidor (Lei nº 8.078/1990 – no que for aplicável).

15.2. Em caso de eventual conflito entre disposições desta Política e outros documentos internos, prevalecerá a norma que fixar o padrão mais rigoroso e seguro de proteção de dados.

15.3. Esta versão entra em vigor imediatamente após sua publicação oficial no site institucional das Empresas, revogando todas as disposições em contrário.

A DIRETORIA PROESC | INOVADADOS

Versão Vigente: 102026 (outubro de 2026) | Elaboração, Revisão e Gestão: Time Jurídico Proesc | Aprovação e Homologação: Diretoria Executiva PROESC | Vigência imediata a partir da data de sua publicação oficial.