Política de Privacidade

1. Quem somos

O PensAÍ Lab é uma plataforma educacional de uso de Inteligência Artificial desenvolvida pelo Mundo Maker Educação. Atendemos escolas e instituições de ensino que desejam integrar ferramentas de IA ao aprendizado de seus estudantes.

Nosso papel nos dados: atuamos como operadora de dados pessoais. As escolas contratantes são as controladoras e respondem pela coleta e pelo uso dos dados dos seus estudantes perante a LGPD. Processamos esses dados exclusivamente conforme as instruções da escola e para as finalidades descritas nesta política.

Em duas situações atuamos como controladoras diretas: em relação a leads (pessoas que demonstram interesse na plataforma fora de uma escola contratante, em eventos ou pelo nosso site) e em relação a visitantes que conversam com o assistente do nosso site público.

2. Quais dados coletamos e por quê

Sobre dados sensíveis: não coletamos deliberadamente dados sensíveis (como dados de saúde, biometria, convicção religiosa ou opinião política) e não pedimos esse tipo de informação em nenhum cadastro. Campos de texto livre, como conversas com a IA e o diário do Projeto Autoral, podem eventualmente conter relatos pessoais escritos pelo próprio estudante. Para proteger o estudante, aplicamos uma classificação automática de risco nas conversas com IA, com finalidade exclusivamente protetiva (LGPD, Art. 11, II): quando um sinal de risco é detectado, a plataforma acolhe o estudante e avisa educadores da escola, sem enviar o conteúdo da conversa a terceiros. Imagens enviadas passam por moderação automática de segurança.

3. Base legal de cada tratamento

Todo tratamento de dados pessoais no PensAÍ Lab tem uma base legal prevista na LGPD:

• Cadastro e autenticação: Art. 7, V, execução de contrato (o uso da plataforma pressupõe o cadastro).
• Interações pedagógicas e avaliação: Art. 7, V, execução de contrato entre PensAÍ Lab e a escola contratante.
• Analytics agregado de uso: Art. 7, IX, legítimo interesse pedagógico (com dados agregados e pseudonimizados).
• Leads de eventos e do site: Art. 7, IX, legítimo interesse comercial, no acompanhamento da demonstração ou do contato que a própria pessoa solicitou.
• Classificação protetiva de conversas com IA: Art. 11, II, proteção da vida e da incolumidade física do titular, com finalidade exclusivamente protetiva.
• Dados de menores de 18 anos: Art. 14 LGPD e ECA Digital (Lei nº 15.211/2025). Proteção especial, detalhada na seção 8. A escola declara contratualmente ter obtido as autorizações necessárias dos responsáveis legais. Para menores de 12 anos, exigimos autorização digital do responsável antes de liberar o acesso, confirmada por link único enviado ao e-mail cadastrado pela escola.

4. Com quem compartilhamos seus dados

Utilizamos os seguintes suboperadores para prestar o serviço. Nenhum dado de estudante é vendido, usado para marketing ou perfilamento comercial.

Antes de qualquer envio a um provedor de inteligência artificial, um filtro automático remove do texto os dados pessoais estruturados que encontrar: CPF, CNPJ, RG, e-mail e telefone. O filtro não alcança nomes próprios escritos livremente no meio do texto.

O conjunto de provedores de IA efetivamente habilitados para cada escola é definido pela própria escola e aplicado tecnicamente pela plataforma, que bloqueia chamadas a provedores não autorizados.

Lista mantida em pensailab.com.br/suboperadores.

5. Por quanto tempo guardamos seus dados

6. Seus direitos (Art. 18 LGPD)

Você tem os seguintes direitos sobre seus dados pessoais:

1. Acesso: saber quais dados temos sobre você.
2. Correção: corrigir dados incompletos, inexatos ou desatualizados.
3. Anonimização ou bloqueio: de dados desnecessários ou excessivos.
4. Portabilidade: receber seus dados em formato estruturado para uso em outro serviço.
5. Eliminação: solicitar a exclusão de dados tratados com base em consentimento.
6. Informação sobre compartilhamento: saber com quais terceiros compartilhamos seus dados.
7. Revogação do consentimento: a qualquer momento, sem penalidade, para dados tratados com essa base.
8. Oposição: contestar o tratamento em caso de descumprimento da LGPD.
9. Revisão de decisão automatizada (Art. 20): solicitar a revisão, por pessoa, de decisões tomadas unicamente com base em tratamento automatizado. Na plataforma, isso se aplica à avaliação automática de prompts com atribuição de score (que o professor da turma pode revisar), à triagem pedagógica automática das entradas do diário do Projeto Autoral e à qualificação automática de leads comerciais.

Autoatendimento na plataforma: na página de perfil, você pode baixar uma cópia dos seus dados (incluindo data de nascimento e, quando houver, o vínculo do responsável legal), consultar o registro de acessos da sua conta e solicitar a exclusão da sua conta.

Como exercer seus direitos e a quem pedir: se você é estudante, responsável, professor ou gestor de uma escola contratante, a controladora dos seus dados é a própria escola: o pedido é encaminhado ao gestor da sua escola, e a própria página de perfil já direciona a solicitação para a pessoa certa. O Encarregado (DPO) do PensAÍ Lab atua como canal subsidiário nesses casos, e é o canal direto para leads, visitantes do site e dúvidas sobre esta política. Para contato direto, envie email para dpo@pensailab.com.br com o assunto "Direito LGPD: [nome do direito]". Prazo de resposta: até 15 dias (LGPD, Art. 19, II).

Se você entender que sua solicitação não foi atendida, tem também o direito de peticionar à Autoridade Nacional de Proteção de Dados, a ANPD (LGPD, Art. 18, § 1).

Para menores de 18 anos, o pedido pode ser feito pelo responsável legal. Para menores de 12 anos, exigimos a identificação do responsável antes de processar qualquer solicitação.

7. Segurança

• Criptografia em trânsito (TLS 1.2+) em todas as conexões com a plataforma.
• Criptografia em repouso para campos sensíveis: chaves de integração, segredos do segundo fator de verificação e dados de contato de leads.
• Senhas guardadas apenas na forma de hash (nunca em texto legível) e sessões com prazo de expiração.
• Verificação em duas etapas (MFA) obrigatória para administradores da plataforma e gestores institucionais.
• Filtro automático de dados pessoais antes do envio de qualquer texto aos provedores de IA: CPF, CNPJ, RG, e-mail e telefone são removidos. O filtro não cobre nomes próprios escritos livremente no texto.
• Separação entre a operação da plataforma e os dados das escolas: a equipe do PensAÍ Lab não acessa dados pedagógicos identificados de estudantes de escolas reais. O suporte é feito sobre ambientes de demonstração com dados fictícios.
• Controle de acesso por escola: dados de uma escola não são acessíveis por outra.
• Registros de auditoria para acessos e ações administrativas.
• Plano de resposta a incidentes com notificação à escola em até 48 horas após confirmação.

8. Proteção de crianças e adolescentes

Estudantes menores de 18 anos têm proteção especial na plataforma:

• Aferição de idade pelo cadastro escolar: a idade do estudante vem do cadastro feito pela escola, não de autodeclaração do próprio estudante.
• Vínculo do responsável legal: para estudantes menores de 16 anos, o cadastro exige nome e e-mail do responsável legal.
• Autorização digital do responsável (menores de 12 anos): antes do primeiro acesso, enviamos ao e-mail do responsável cadastrado pela escola um link único de autorização, válido por 14 dias e com possibilidade de reenvio. O acesso do estudante fica bloqueado até o aceite, e registramos a data e a hora da autorização. É isso que chamamos de autorização parental verificada: a confirmação por link único enviado ao e-mail cadastrado pela escola.
• Proteção nas conversas com IA: quando a classificação automática identifica uma conversa de risco, a interação é bloqueada e o estudante recebe uma mensagem de acolhimento, com a indicação do CVV (ligue 188, gratuito, 24 horas). O professor da turma e a coordenação da escola são avisados de que houve uma ocorrência, sem receber o conteúdo da conversa. A equipe operadora da plataforma nunca recebe esse aviso nominal.
• Canal de ajuda e denúncia: a plataforma oferece o canal "Pedir ajuda ou denunciar", com duas rotas: para a própria escola ou para a equipe da plataforma. O professor também pode denunciar uma entrada do diário do Projeto Autoral para moderação.

9. Comunicações que enviamos

• Transacionais (para o próprio usuário): código de acesso e recuperação de senha.
• Ao responsável legal (estudantes menores de 16 anos): e-mail de boas-vindas, resumo mensal de atividade nomeando os módulos trabalhados, e aviso quando a senha do estudante é trocada.
• Ao responsável legal (menores de 12 anos): pedido de autorização descrito na seção 8.
• A educadores: alerta de conversa de risco ao professor da turma e à coordenação, sem o conteúdo da conversa.
• À família: relatório de acompanhamento, distribuído por meio da escola.
• Marketing (apenas leads e visitantes): no fluxo de demonstração, o consentimento para receber comunicações comerciais é pedido de forma separada e é opcional; recusar ou revogar não afeta o acesso ao período de teste. Todos os e-mails não transacionais trazem link de descadastro e cabeçalhos padrão de descadastro.

Não enviamos marketing a estudantes.

10. Cookies e identificadores

• Cookie de sessão: usado para manter você conectado com segurança; contém apenas um token de sessão protegido.
• Identificador de visita do site: usado no site público para manter o contexto da sua visita (por exemplo, a conversa com o assistente).

Não usamos cookies de publicidade nem rastreadores de terceiros.

11. Notificação de incidentes

Se ocorrer um incidente de segurança que possa causar risco ou dano aos titulares:

• PensAÍ Lab notificará a escola contratante em até 48 horas após a confirmação do incidente.
• A escola (controladora) é responsável por notificar a ANPD e os titulares afetados no prazo legal de 72 horas.
• Titulares afetados serão informados por email quando identificáveis e quando o risco for significativo.

12. Contato do encarregado (DPO)

Para exercer seus direitos, tirar dúvidas sobre esta política ou relatar qualquer preocupação sobre privacidade:

13. Atualizações desta política

• A versão atual é a 1.1, publicada em 28 de julho de 2026 e atualizada em 26 de setembro de 2026: o prazo de retenção dos leads sem conversão passou de 180 dias para 24 meses, e a seção 2 passou a descrever os dados da demonstração.
• Quando publicamos uma nova versão desta política, você é avisado e o seu próximo acesso à plataforma apresenta a nova versão para aceite explícito. O uso da plataforma só continua depois desse aceite. Não há aceite tácito.
• Usuários também são notificados por email em caso de alterações relevantes.

Esta política está em constante revisão e será sempre atualizada para estar de acordo com as leis vigentes e refletir a melhor conduta perante nossos clientes.