A plataforma Maskot Edu, operada por Maskot EDU CRM Educacional, inscrita no CNPJ/ME sob o nº 55.188.948/0001-04, com sede na Rua Propriá, 413, Centro, Aracaju-SE ("Maskot"), valoriza a privacidade e a segurança dos dados pessoais de seus clientes e usuários.
Esta Política de Privacidade ("Política") foi elaborada em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados – LGPD) e o Marco Civil da Internet (Lei nº 12.965/2014). Ela descreve como coletamos, usamos, armazenamos, compartilhamos e eliminamos dados pessoais tratados em nosso ecossistema (aplicações web, aplicativos, painéis, páginas públicas de agendamento, formulários de captação, landing pages, APIs e webhooks). O uso de cookies é detalhado em documento próprio: a Política de Cookies.
1. Papéis: Controladora e Operadora
No modelo B2B de software SaaS, é essencial distinguir a posição jurídica da Maskot em relação aos dados tratados:
1.1. Maskot como Controladora. A Maskot é Controladora dos dados dos representantes legais, gestores e funcionários da Escola necessários ao fornecimento do software — dados de faturamento e emissão de nota fiscal, credenciais de acesso, registros de segurança, métricas de uso para fins de cobrança e melhoria do produto e histórico de suporte.
1.2. Maskot como Operadora. Em relação à maior parte dos dados que trafegam na Plataforma — leads, alunos, pais, responsáveis, visitantes das páginas da Escola e demais contatos prospectados, importados ou cadastrados pela Escola —, a Escola é a Controladora e a Maskot atua como Operadora, tratando-os conforme as instruções da Escola.
1.3. Responsabilidade da Escola. Cabe exclusivamente à Escola garantir a base legal idônea da coleta (ex.: consentimento, execução de contrato) e assegurar os direitos desses titulares. A Maskot não audita a forma como a Escola capta seus leads.
2. Dados pessoais tratados
Conforme as funcionalidades ativadas, a Plataforma pode tratar:
A. Dados de gestores e usuários da Escola: nome, e-mail, telefone, cargo, foto (avatar) e dados de faturamento; identificadores de segurança como sessões, registros de autenticação em dois fatores (2FA), senhas armazenadas apenas em forma de hash e logs de acesso (IP, data/hora, user-agent).
B. Dados do CRM e da gestão escolar (inseridos pela Escola): dados de qualificação de leads e alunos (nome, escolaridade, turmas de interesse, escola anterior); dados escolares (matrículas, turmas, notas, frequência, ocorrências e documentos); dados de responsáveis (documentos, CPF, telefones, e-mails, endereço); dados financeiros (contratos, mensalidades e pagamentos); e metadados de relacionamento (anotações, estágio no funil, origem/UTMs, registros de consentimento e de descadastramento).
C. Dados de comunicações: conteúdo e metadados de e-mails, mensagens de WhatsApp, Instagram e Messenger (via integrações oficiais da Meta), SMS e ligações, além de métricas de engajamento (horário de envio, entrega, abertura, cliques e descadastramento).
D. Arquivos e documentos: documentos anexados aos cadastros (contratos, PDFs, comprovantes, mídias das conversas) ou enviados por formulários.
E. Dados gerados pela Plataforma: resumos, classificações e pontuações de leads gerados por Inteligência Artificial a pedido da Escola, e registros de auditoria (quem alterou o quê e quando).
F. Dados de visitantes das páginas públicas da Escola: dados preenchidos em formulários e agendamentos, origem da visita (UTMs) e, somente após o aceite do visitante, os dados coletados pelas ferramentas de rastreamento que a própria Escola configurar (ver Política de Cookies).
3. Finalidades e bases legais
O tratamento observa os princípios da finalidade e da minimização. As bases legais (art. 7º e art. 11 da LGPD) incluem:
- Execução de contrato: entregar as funcionalidades contratadas, viabilizar o acesso, faturar a assinatura, emitir nota fiscal e prestar suporte.
- Cumprimento de obrigação legal/regulatória: guarda de registros de acesso a aplicações por 6 (seis) meses (art. 15 do Marco Civil), guarda de documentos fiscais pelos prazos da legislação tributária (em regra, 5 anos) e registro de incidentes de segurança (Resolução CD/ANPD nº 15/2024).
- Legítimo interesse: melhoria do produto, monitoramento de falhas, prevenção de fraude, abuso e spam, segurança da Plataforma e geração de estatísticas de uso sem dados de identificação direta, sempre mediante teste de proporcionalidade.
- Consentimento: ferramentas de análise e gravação de sessão no navegador, conforme a Política de Cookies.
4. Dados de crianças e adolescentes
Dada a natureza educacional do serviço, a Escola poderá tratar na Plataforma dados pessoais de crianças (menores de 12 anos) e de adolescentes (de 12 a 18 anos), inclusive, eventualmente, dados pessoais sensíveis (por exemplo, informações de saúde, necessidades educacionais específicas, restrições alimentares ou alergias).
4.1. Melhor interesse e base legal. Todo tratamento de dados de crianças e adolescentes deve observar o seu melhor interesse, nos termos do art. 14 da LGPD. Cabe exclusivamente à Escola, na condição de Controladora, definir a base legal adequada a cada tratamento. Tratando-se de dados de crianças, quando a base legal aplicável for o consentimento, a Escola deve obter o consentimento específico e em destaque de ao menos um dos pais ou do responsável legal no momento da coleta; quando o tratamento se fundamentar em outra hipótese legal (por exemplo, execução de contrato educacional ou cumprimento de obrigação legal), a Escola deverá assegurar a presença dos respectivos requisitos, sempre resguardado o melhor interesse do menor.
4.2. Dados sensíveis. Quando a Escola inserir dados pessoais sensíveis na Plataforma, o tratamento submete-se às hipóteses do art. 11 da LGPD, cabendo à Escola garantir a base legal correspondente. Informações de saúde dos alunos, CPF dos responsáveis e descrições de ocorrências são armazenados criptografados (ver Seção 8).
4.3. Papel da Maskot. A Maskot atua como mero repositório e processador operacional desses dados, em nome e segundo as instruções da Escola, pressupondo — por força dos Termos de Uso e desta Política — que a Escola obteve a legitimação parental e/ou a base legal exigidas. A Maskot não verifica a obtenção do consentimento parental nem audita a forma de coleta realizada pela Escola.
5. Compartilhamento, suboperadores e transferência internacional
Para entregar o serviço, a Maskot se apoia nos parceiros tecnológicos abaixo, que atuam como Suboperadores, sob contratos com obrigações de segurança e confidencialidade:
Suboperador
Finalidade
Local do tratamento
Render
Hospedagem da aplicação, banco de dados e filas
Estados Unidos (Oregon)
Cloudflare
Armazenamento de arquivos (R2), DNS, rede de distribuição e proteção contra ataques
Estados Unidos (armazenamento de arquivos); rede global
Editor de documentos
Brasil (São Paulo)
Google (Gemini)
Funcionalidades de Inteligência Artificial
Estados Unidos / global
Google (Workspace e Firebase)
E-mail e arquivos da equipe Maskot, entrega de notificações no celular
Estados Unidos / global
Meta Platforms
WhatsApp, Instagram, Messenger e captação de leads de anúncios
Estados Unidos / global
Stripe
Processamento de pagamentos
Estados Unidos
Resend
Envio de e-mails
Estados Unidos
Sinch
Envio de SMS e ligações
Estados Unidos
Sentry
Monitoramento de erros
Estados Unidos
Mixpanel
Métricas de uso da Plataforma
Estados Unidos
Expo
Entrega de notificações do aplicativo
Estados Unidos
Focus NFe
Emissão de notas fiscais da Maskot
Brasil
Integrações ativadas pela Escola. Quando a Escola conecta serviços próprios (por exemplo, Google Agenda, Google Ads, contas da Meta ou chave própria de envio de e-mail), os dados compartilhados com esses serviços seguem o contrato da Escola com o respectivo fornecedor.
Transferência internacional. Parte dos Suboperadores trata dados fora do Brasil, principalmente nos Estados Unidos. A transferência se apoia nas hipóteses do art. 33 da LGPD, em especial em cláusulas contratuais, observada a Resolução CD/ANPD nº 19/2024. A Maskot dá preferência a fornecedores com certificações reconhecidas (ex.: SOC 2, ISO 27001).
Inteligência Artificial. O conteúdo enviado aos fornecedores de IA é processado de forma transitória, apenas para atender à requisição da Escola, e não é usado para treinar modelos, nem pela Maskot, nem pelos fornecedores.
Alterações. A inclusão ou substituição de Suboperador que trate dados da Escola será refletida nesta lista e comunicada com antecedência razoável, conforme os Termos de Uso.
A Maskot não comercializa dados pessoais.
6. Cookies
A Plataforma utiliza cookies e tecnologias semelhantes. As categorias, finalidades, terceiros envolvidos e formas de gerenciamento estão descritas na Política de Cookies, parte integrante desta Política.
7. Retenção e eliminação
Os dados são mantidos apenas pelo tempo necessário às finalidades ou ao cumprimento de obrigações legais. Os prazos abaixo são aplicados automaticamente pela Plataforma:
Dado
Prazo
Dados da Escola após o fim do contrato
60 dias corridos para exportação; depois, eliminação. Os administradores recebem aviso por e-mail 30 e 7 dias antes
Lead excluído pela Escola (lixeira)
eliminado após 90 dias na lixeira, com 7 dias adicionais para cancelamento
Pedido de eliminação de titular feito pela Escola
executado após 7 dias (prazo para cancelamento), com comprovante
Usuário removido da Escola
pode ser restaurado por 90 dias; depois, os dados de contato e acesso são anonimizados (o nome é mantido no histórico da Escola)
Registros de acesso (IP, data/hora, user-agent)
6 meses
Trilha de auditoria
1 ano; registros relativos a documentos fiscais e financeiros, 5 anos
Sessões vencidas e links de redefinição de senha
eliminados diariamente
Arquivos de exportação e importação
7 dias
Registros de aceite dos Termos e destas Políticas
5 anos após o fim do contrato (prova do contrato)
Registro de incidentes de segurança
5 anos
Conversas com o suporte da Maskot
12 meses após o encerramento do chamado; depois ficam só dados estatísticos, sem o conteúdo
Respostas às pesquisas de satisfação da Plataforma
desvinculadas de quem respondeu 12 meses após o envio
Cópias de segurança (backups) do banco de dados, criptografadas
7 dias na recuperação automática do provedor e 90 dias nas cópias diárias
Eliminação. Decorridos os prazos, os dados são eliminados de forma irreversível das instâncias de produção, ressalvados documentos fiscais e financeiros e as informações estritamente necessárias ao cumprimento de obrigações legais, regulatórias ou ao exercício regular de direitos, pelos prazos legais aplicáveis. Nas cópias de segurança, os dados eliminados deixam de existir quando a cópia expira.
8. Segurança da informação
A Maskot adota medidas técnicas e organizacionais para proteger os dados, entre elas:
- criptografia em trânsito (TLS) e em repouso; campos mais sensíveis (informações de saúde de alunos, CPF de responsáveis, descrições de ocorrências e credenciais de integrações) são ainda criptografados individualmente no banco de dados;
- isolamento dos dados de cada Escola no banco de dados, de modo que uma Escola não acesse dados de outra;
- controle de acesso por perfis e permissões, autenticação em dois fatores (2FA) e encerramento remoto de sessões;
- arquivos privados acessíveis somente por links temporários e assinados;
- registro de auditoria das alterações e monitoramento de eventos de segurança.
Acesso da equipe Maskot. A equipe da Maskot só acessa a conta de uma Escola para prestar suporte ou resolver problemas técnicos. Cada acesso exige o registro do motivo, gera aviso imediato aos administradores da Escola na Plataforma e fica identificado na trilha de auditoria da Escola com o nome da pessoa da Maskot que o realizou.
Nenhum sistema é absolutamente imune; a Escola também é responsável pela segurança de suas credenciais e de seus dispositivos.
9. Incidentes de segurança
9.1. Comunicação à Escola. Ao identificar ou confirmar incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Maskot comunicará a Escola afetada sem demora injustificada e, em todo caso, em até 48 (quarenta e oito) horas da ciência do incidente, por e-mail e por aviso na Plataforma aos administradores, de modo a permitir que a Escola, na condição de Controladora, cumpra tempestivamente seus deveres perante a ANPD e os titulares — observado que a comunicação do controlador à ANPD e aos titulares deve, em regra, ocorrer no prazo de 3 (três) dias úteis da ciência, nos termos da Resolução CD/ANPD nº 15/2024.
9.2. Conteúdo. A comunicação incluirá as informações de que a Maskot dispuser e que sejam necessárias à avaliação e à comunicação do incidente pela Escola, tais como, na medida do possível: a natureza do incidente, as categorias e o volume aproximado de dados e de titulares afetados, as medidas técnicas adotadas antes e depois do evento, os riscos envolvidos e as providências de mitigação.
9.3. Cooperação. A Maskot cooperará com a Escola nas medidas de contenção, mitigação e remediação, prestando apoio razoável às investigações e à elaboração das comunicações exigidas.
9.4. Registro. A Maskot mantém registro dos incidentes de segurança de que tomar ciência por, no mínimo, 5 (cinco) anos, em apoio às obrigações de registro que recaem sobre a Escola. Os incidentes comunicados a cada Escola ficam disponíveis para consulta pelos seus administradores na própria Plataforma.
10. Direitos dos titulares
Nos termos do art. 18 da LGPD, o titular pode solicitar: (i) confirmação da existência de tratamento; (ii) acesso aos dados; (iii) correção de dados incompletos, inexatos ou desatualizados; (iv) anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; (v) portabilidade; (vi) informação sobre o compartilhamento de seus dados; (vii) informação sobre a possibilidade de não consentir e suas consequências; (viii) revogação do consentimento; e (ix) revisão de decisões tomadas exclusivamente com base em tratamento automatizado (art. 20).
Fluxo da solicitação (B2B). Quando o titular for lead, aluno ou responsável de uma Escola, a solicitação deve ser dirigida primariamente à Escola que administra aquele cadastro (Controladora). Para que a Escola atenda a esses direitos, a Plataforma oferece:
- Acesso e portabilidade: exportação dos dados do titular em arquivo legível (PDF) e estruturado (planilha), com os anexos;
- Eliminação: exclusão dos dados do titular, com anonimização do que precisar ser mantido por obrigação legal (por exemplo, registros financeiros) e comprovante da execução;
- Revogação do consentimento: links de descadastramento nas mensagens e bloqueio de envios na ficha do contato;
- Correção: edição do cadastro pela Escola.
Solicitações recebidas diretamente pela Maskot serão encaminhadas à Escola responsável, com ciência ao titular.
11. Alterações desta Política
Esta Política pode ser atualizada para refletir mudanças regulatórias ou no serviço. Alterações relevantes nas finalidades de tratamento serão comunicadas aos gestores na Plataforma com antecedência razoável. A versão vigente e a data de atualização estão sempre disponíveis em domínio público.
12. Contato e Encarregado (DPO)
O Encarregado pela Proteção de Dados Pessoais da Maskot é Fernando dos Santos Moreira. Para exercer direitos, esclarecer dúvidas ou reportar incidentes relativos a dados pessoais, contate-o pelo e-mail fernandomoreira@maskotedu.com.br.