A plataforma Maskot Edu, operada por Maskot EDU CRM Educacional, inscrita no CNPJ/ME sob o nº 55.188.948/0001-04, com sede na Rua Propriá, 413, Centro, Aracaju-SE ("Maskot"), valoriza a privacidade e a segurança dos dados pessoais de seus clientes e usuários.
Esta Política de Privacidade ("Política") foi elaborada em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados – LGPD) e o Marco Civil da Internet (Lei nº 12.965/2014). Ela descreve como coletamos, usamos, armazenamos, compartilhamos e eliminamos dados pessoais tratados em nosso ecossistema (aplicações web, aplicativos, painéis, páginas públicas de agendamento, formulários de captação, APIs e webhooks). O uso de cookies é detalhado em documento próprio: a Política de Cookies.
1. Papéis: Controladora e Operadora
No modelo B2B de software SaaS, é essencial distinguir a posição jurídica da Maskot em relação aos dados tratados:
1.1. Maskot como Controladora. A Maskot é Controladora dos dados dos representantes legais, gestores e funcionários da Escola necessários ao fornecimento do software — dados de faturamento, credenciais de administradores, métricas de uso para fins de cobrança e histórico de suporte.
1.2. Maskot como Operadora. Em relação à maior parte dos dados que trafegam na Plataforma — leads, alunos, pais, responsáveis e demais contatos prospectados, importados ou cadastrados pela Escola —, a Escola é a Controladora e a Maskot atua como Operadora, tratando-os conforme as instruções da Escola.
1.3. Responsabilidade da Escola. Cabe exclusivamente à Escola garantir a base legal idônea da coleta (ex.: consentimento, execução de contrato) e assegurar os direitos desses titulares. A Maskot não audita a forma como a Escola capta seus leads.
2. Dados pessoais tratados
Conforme as funcionalidades ativadas, a Plataforma pode tratar:
A. Dados de gestores da Escola: nome, e-mail, telefone, cargo, foto (avatar) e dados de faturamento; identificadores de segurança como tokens de sessão, registros de 2FA, senhas armazenadas de forma criptografada e logs de acesso (IP, data/hora, user-agent).
B. Dados do CRM (inseridos pela Escola): dados de qualificação de leads e alunos (nome, escolaridade, turmas de interesse, escola anterior), dados de responsáveis (documentos, telefones, e-mails, endereço), além de metadados de relacionamento (anotações, estágio no funil, origem/UTMs e registros de consentimento comercial).
C. Dados de comunicações e telemetria: conteúdo de e-mails enviados, fluxos e respostas de WhatsApp (via integrações oficiais), e metadados de engajamento (horário de disparo, entrega, abertura, cliques e descadastramento).
D. Arquivos e documentos: documentos anexados aos cadastros (contratos, PDFs, comprovantes) ou enviados por formulários.
3. Finalidades e bases legais
O tratamento observa os princípios da finalidade e da minimização. As bases legais (art. 7º e art. 11 da LGPD) incluem:
- Execução de contrato: entregar as funcionalidades contratadas, viabilizar o acesso, faturar a assinatura e prestar suporte.
- Cumprimento de obrigação legal/regulatória: guarda de registros de conexão por 6 (seis) meses (art. 15 do Marco Civil) e guarda de documentos fiscais pelos prazos da legislação tributária (em regra, 5 anos).
- Legítimo interesse: melhoria do produto, monitoramento de falhas, geração de relatórios estatísticos (preferencialmente anonimizados) e prevenção de fraude e spam, sempre mediante teste de proporcionalidade.
4. Dados de crianças e adolescentes
Dada a natureza educacional do serviço, a Escola poderá tratar na Plataforma dados pessoais de crianças (menores de 12 anos) e de adolescentes (de 12 a 18 anos), inclusive, eventualmente, dados pessoais sensíveis (por exemplo, informações de saúde, necessidades educacionais específicas, restrições alimentares ou alergias).
4.1. Melhor interesse e base legal. Todo tratamento de dados de crianças e adolescentes deve observar o seu melhor interesse, nos termos do art. 14 da LGPD. Cabe exclusivamente à Escola, na condição de Controladora, definir a base legal adequada a cada tratamento. Tratando-se de dados de crianças, quando a base legal aplicável for o consentimento, a Escola deve obter o consentimento específico e em destaque de ao menos um dos pais ou do responsável legal no momento da coleta; quando o tratamento se fundamentar em outra hipótese legal (por exemplo, execução de contrato educacional ou cumprimento de obrigação legal), a Escola deverá assegurar a presença dos respectivos requisitos, sempre resguardado o melhor interesse do menor.
4.2. Dados sensíveis. Quando a Escola inserir dados pessoais sensíveis na Plataforma, o tratamento submete-se às hipóteses do art. 11 da LGPD, cabendo à Escola garantir a base legal correspondente.
4.3. Papel da Maskot. A Maskot atua como mero repositório e processador operacional desses dados, em nome e segundo as instruções da Escola, pressupondo — por força dos Termos de Uso e desta Política — que a Escola obteve a legitimação parental e/ou a base legal exigidas. A Maskot não verifica a obtenção do consentimento parental nem audita a forma de coleta realizada pela Escola.
5. Compartilhamento, suboperadores e transferência internacional
Para entregar um serviço em nuvem com alta disponibilidade, a Maskot se apoia em parceiros tecnológicos que atuam como Suboperadores, sob obrigações de segurança e confidencialidade:
- Pagamentos: processadores de pagamento (ex.: Stripe).
- Mensageria: provedores oficiais de e-mail e mensagens (ex.: Meta Platforms/WhatsApp, Resend).
- Infraestrutura e armazenamento: provedores de nuvem (ex.: Render, Cloudflare R2/S3 ou equivalentes).
- Monitoramento e análise: ferramentas de analytics e de rastreamento de erros (ex.: Mixpanel e Sentry).
- Inteligência Artificial: quando habilitada, APIs de IA generativa (ex.: Google Gemini) processam trechos de texto de forma transitória e assistiva.
Transferência internacional. Parte da infraestrutura pode estar localizada em datacenters fora do Brasil (notadamente nos Estados Unidos). A Maskot seleciona fornecedores com certificações reconhecidas (ex.: SOC 2, ISO 27001) e adota salvaguardas compatíveis com as exigências da LGPD para transferência internacional, incluindo cláusulas contratuais padrão quando aplicável.
A Maskot não comercializa dados pessoais.
6. Cookies
A Plataforma utiliza cookies e tecnologias semelhantes. As categorias, finalidades, terceiros envolvidos e formas de gerenciamento estão descritas na Política de Cookies, parte integrante desta Política.
7. Retenção e eliminação
Os dados são mantidos apenas pelo tempo necessário às finalidades ou ao cumprimento de obrigações legais.
- Janela de exportação: ao encerrar o contrato, a Escola dispõe de 60 (sessenta) dias corridos para exportar seus dados pelas ferramentas da Plataforma.
- Eliminação: decorrido esse prazo, os dados ativos da conta são eliminados de forma irreversível das instâncias de produção, ressalvada a retenção, em backups encriptados, das informações estritamente necessárias ao cumprimento de obrigações legais, regulatórias ou ao exercício regular de direitos, pelos prazos legais aplicáveis.
8. Segurança da informação
A Maskot adota medidas técnicas e organizacionais para proteger os dados, incluindo criptografia em trânsito (TLS) e em repouso, controle de acesso por perfis, registro de auditoria e monitoramento de falhas. Nenhum sistema é absolutamente imune; a Escola também é responsável pela segurança de suas credenciais e de seus dispositivos.
9. Incidentes de segurança
9.1. Comunicação à Escola. Ao identificar ou confirmar incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Maskot comunicará a Escola afetada sem demora injustificada e, em todo caso, em até 48 (quarenta e oito) horas da ciência do incidente, de modo a permitir que a Escola, na condição de Controladora, cumpra tempestivamente seus deveres perante a ANPD e os titulares — observado que a comunicação do controlador à ANPD e aos titulares deve, em regra, ocorrer no prazo de 3 (três) dias úteis da ciência, nos termos da Resolução CD/ANPD nº 15/2024.
9.2. Conteúdo. A comunicação incluirá as informações de que a Maskot dispuser e que sejam necessárias à avaliação e à comunicação do incidente pela Escola, tais como, na medida do possível: a natureza do incidente, as categorias e o volume aproximado de dados e de titulares afetados, as medidas técnicas adotadas antes e depois do evento, os riscos envolvidos e as providências de mitigação.
9.3. Cooperação. A Maskot cooperará com a Escola nas medidas de contenção, mitigação e remediação, prestando apoio razoável às investigações e à elaboração das comunicações exigidas.
9.4. Registro. A Maskot manterá registro dos incidentes de segurança de que tomar ciência, em apoio às obrigações de registro que recaem sobre a Escola.
10. Direitos dos titulares
Nos termos do art. 18 da LGPD, o titular pode solicitar: (i) confirmação da existência de tratamento; (ii) acesso aos dados; (iii) correção de dados incompletos, inexatos ou desatualizados; (iv) anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; (v) portabilidade; (vi) informação sobre o compartilhamento de seus dados; (vii) informação sobre a possibilidade de não consentir e suas consequências; (viii) revogação do consentimento; e (ix) revisão de decisões tomadas exclusivamente com base em tratamento automatizado (art. 20).
Fluxo da solicitação (B2B). Quando o titular for lead, aluno ou responsável de uma Escola, a solicitação deve ser dirigida primariamente à Escola que administra aquele cadastro (Controladora). A Maskot disponibiliza as ferramentas necessárias (bloqueio na interface do CRM, links de descadastramento em e-mails e fluxos anti-spam) para que a Escola atenda a esses direitos. Solicitações recebidas diretamente pela Maskot serão encaminhadas administrativamente à Escola responsável, com ciência ao titular.
11. Alterações desta Política
Esta Política pode ser atualizada para refletir mudanças regulatórias ou no serviço. Alterações relevantes nas finalidades de tratamento serão comunicadas aos gestores na Plataforma com antecedência razoável. A versão vigente e a data de atualização estão sempre disponíveis em domínio público.
12. Contato e Encarregado (DPO)
Para exercer direitos, esclarecer dúvidas ou reportar incidentes relativos a dados pessoais, contate o Encarregado pela Proteção de Dados da Maskot pelo e-mail juridico@maskotedu.com.br.