Política de Privacidade e Proteção de Dados

A plataforma Pumin Education é de propriedade e operação da Lessonfy Tecnologia Ltda, CNPJ 41.696.514/0001-00, com endereço em Rua João Huss, 450 — Gleba Fazenda Palhano, Londrina/PR, CEP 86050-490.

Esta política descreve como tratamos dados pessoais de profissionais da educação, de alunos e de responsáveis, em conformidade com a Lei nº 13.709/2018 (LGPD), com o Estatuto da Criança e do Adolescente e com o Marco Civil da Internet.

Canal de privacidade e Encarregado pelo Tratamento de Dados Pessoais (DPO): dpo@lessonfy.com.

Dados de alunos: a escola ou a rede de ensino é a controladora — define finalidades, decide quais alunos são cadastrados e mantém a relação educacional. A Lessonfy atua como operadora, tratando esses dados exclusivamente para prestar o serviço, conforme instruções da instituição.

Dados de contas profissionais (professores, coordenadores, gestores) e dados de uso da plataforma: a Lessonfy atua como controladora, para autenticação, segurança, suporte, faturamento e melhoria do produto.

Não utilizamos dados de alunos para publicidade, perfilamento comercial, venda a terceiros ou treinamento de modelos de IA de terceiros.

Áudio de leitura oral é transcrito para contagem de itens corretos e descartado em seguida; não mantemos arquivo de voz do aluno após o processamento da sessão.

A leitura de expressão facial depende de autorização prévia e específica do responsável, registrada pela escola. Além dessa autorização, o próprio aluno recebe, antes da atividade, um aviso em linguagem adequada à sua idade e escolhe se aceita ou não usar a câmera (assentimento da criança); recusar não impede nem prejudica a atividade. O aluno também pode desligar a câmera a qualquer momento durante a atividade, e nesse caso os registros daquela sessão são descartados.

O processamento de expressão facial ocorre integralmente no dispositivo do aluno: imagens e vídeo não são gravados nem transmitidos, e nenhum modelo biométrico de identificação é gerado. Registramos apenas o estado emocional predominante em janelas de tempo, com finalidade pedagógica descritiva — nunca diagnóstica.

Fora do módulo de TEA, não solicitamos dados sensíveis. Se a instituição registrar informações de saúde ou de laudo em campos livres do PEI, o faz como controladora e sob sua base legal, e esses registros ficam restritos ao escopo da escola. Os registros do módulo de TEA recebem tratamento reforçado, descrito no item 5.

Dados de crianças e adolescentes são tratados sempre no contexto da relação escolar, no seu melhor interesse, limitados ao necessário para a finalidade pedagógica, sem exigir do aluno mais informação do que a estritamente indispensável e sem qualquer condicionamento de participação em jogo ou premiação à entrega de dados adicionais.

Registros do módulo de TEA podem revelar condição de saúde ou de desenvolvimento do aluno e, por isso, são tratados como dados pessoais sensíveis de criança ou adolescente, com proteção reforçada.

A instituição de ensino é a controladora desses registros: decide quais alunos são incluídos no módulo, qual profissional registra, o que é registrado e sob qual base legal — em regra, cumprimento de obrigação legal e regulatória de educação inclusiva (art. 11, II, 'a', da LGPD, com a Lei nº 13.146/2015) ou consentimento específico e destacado do responsável, no melhor interesse do aluno.

A Lessonfy atua como operadora: hospeda, protege e processa esses registros apenas para prestar o serviço, seguindo instruções da instituição. Não os usa para publicidade, perfilamento comercial, decisão sobre pessoas ou treinamento de modelos de terceiros.

O módulo não produz diagnóstico, laudo, triagem clínica nem classificação de nível de suporte. Projeções, tendências e detecções de variação atípica são cálculos estatísticos sobre os registros já existentes e servem de insumo para a leitura do profissional responsável.

O acesso é restrito ao grupo multiprofissional que a própria instituição autoriza para aquele aluno, com registro de acesso, e é vedado qualquer compartilhamento fora da finalidade pedagógica.

O responsável pode solicitar acesso, correção, explicação sobre um registro ou indicador e a exclusão do aluno do módulo, diretamente à escola ou pelo canal de privacidade indicado nesta política.

A plataforma usa modelos de linguagem para gerar rascunhos de PEI, textos de relatório, sugestões de material e respostas de tutoria pedagógica. O envio ao provedor de IA se limita ao conteúdo necessário para a tarefa, priorizando dados pedagógicos e evitando identificadores desnecessários.

Não há decisão automatizada que produza efeito jurídico ou pedagógico definitivo sobre o aluno: escores e sugestões são insumos, e a decisão é sempre do profissional responsável, que pode revisar, editar ou descartar o conteúdo gerado.

O titular ou seu responsável pode solicitar revisão humana e explicação sobre como um escore ou sugestão foi produzido.

Compartilhamos dados apenas com operadores necessários à prestação do serviço, sob contrato e instruções de tratamento:

• Provedor de infraestrutura em nuvem (hospedagem da aplicação, banco de dados e autenticação).
• Provedor de modelos de inteligência artificial, para geração dos textos descritos no item 6.
• Provedor de envio de e-mails transacionais (convites, recuperação de acesso).
• Provedor de infraestrutura de treinamento imersivo em vídeo 360°, usado exclusivamente na formação de profissionais adultos da equipe escolar (módulo Pumin Treinamentos). Nenhum dado de aluno é enviado a esse provedor e o módulo não é acessível a contas de aluno; o Pumin registra apenas quem iniciou o cenário, a data e o dispositivo escolhido.
• Autoridades públicas, quando houver requisição legal ou ordem judicial.

Parte dos provedores de infraestrutura e de IA processa dados fora do Brasil. Nesses casos, a transferência ocorre com cláusulas contratuais de proteção de dados e medidas técnicas equivalentes às exigidas pela LGPD, limitada às finalidades desta política.

A pedido da instituição, informamos a relação atualizada de suboperadores e as respectivas localidades de processamento.

Estatísticas agregadas e anonimizadas podem ser mantidas indefinidamente, pois não permitem identificar titulares.

• Áudio de leitura oral: descartado imediatamente após a transcrição da sessão.
• Dados pedagógicos e cadastrais de alunos: mantidos durante a vigência do contrato com a instituição, para permitir comparação de progresso ao longo dos anos escolares.
• Após o término do contrato: janela de 30 dias para exportação pela instituição e eliminação ou anonimização em até 60 dias, salvo obrigação legal de guarda.
• Registros do módulo de TEA: mantidos durante a vigência do contrato, para acompanhamento longitudinal, e eliminados junto dos demais dados de alunos; podem ser excluídos antes disso a pedido da instituição ou do responsável.
• Contas profissionais inativas: eliminadas ou anonimizadas em até 12 meses após a inatividade.
• Registros de acesso de aplicação: mantidos por 6 meses, nos termos do Marco Civil da Internet, para segurança e apuração de incidentes.

• Isolamento de dados por escola e por rede, com políticas de acesso aplicadas no próprio banco de dados (row level security).
• Controle de acesso por papel: professor, coordenador, gestor de rede e administrador, com escopo mínimo necessário.
• Criptografia em trânsito (TLS) e criptografia em repouso na infraestrutura do provedor de nuvem.
• Senhas armazenadas com função de derivação de chave; nunca em texto claro.
• Registro de acessos administrativos e revisão periódica de permissões.
• Armazenamento local no dispositivo apenas para operação offline, com sincronização e limpeza posterior.

Nos termos do art. 18 da LGPD, o titular — ou seu responsável legal, no caso de criança e adolescente — pode solicitar: confirmação da existência de tratamento, acesso aos dados, correção de dados incompletos ou desatualizados, anonimização, bloqueio ou eliminação de dados desnecessários, portabilidade, informação sobre compartilhamento, revisão de decisões automatizadas e, quando aplicável, revogação de consentimento.

Pedidos sobre dados de alunos devem ser encaminhados preferencialmente à escola, que é a controladora. Também atendemos solicitações recebidas em dpo@lessonfy.com, encaminhando-as à instituição responsável quando necessário. Respondemos em até 15 dias, prorrogáveis de forma justificada.

Podemos solicitar informações adicionais para confirmar a identidade do solicitante e o vínculo com o aluno, exclusivamente para evitar acesso indevido.

Utilizamos apenas armazenamento estritamente necessário: token de sessão para manter o usuário autenticado, preferências de interface e fila local de respostas para funcionamento offline.

Não utilizamos cookies de publicidade, remarketing ou rastreamento entre sites. Não há venda de dados nem compartilhamento com redes de anúncios.

Em caso de incidente que possa acarretar risco ou dano relevante aos titulares, comunicamos a instituição controladora sem demora injustificada, com as informações necessárias para que ela avalie a comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares, e prestamos apoio na apuração e mitigação.

Esta política pode ser atualizada por mudanças legais, técnicas ou funcionais. A versão vigente é sempre a publicada nesta página, com data de atualização e número de versão. Alterações relevantes são comunicadas às instituições contratantes. Versão 1.0, atualizada em 12 de agosto de 2026.

Lessonfy Tecnologia Ltda — CNPJ 41.696.514/0001-00

Rua João Huss, 450 — Gleba Fazenda Palhano, Londrina/PR, CEP 86050-490

Encarregado pelo Tratamento de Dados Pessoais (DPO): dpo@lessonfy.com · Contato geral: contato@pumin.com.br