Acordo de Tratamento de Dados

Para que serve este documento

O Regulamento Geral sobre a Proteção de Dados exige que, quando alguém trata dados pessoais por conta de outra pessoa, exista um acordo escrito a fixar o que pode e não pode fazer com eles. É isso que este documento é.

Faz parte integrante dos Termos de Utilização e aplica-se a partir do momento em que introduz no Lapispro dados relativos a um aluno.

Não precisa de assinar nem devolver nada: aceitá-lo faz parte de aceitar os Termos.

Quem é quem

Quem introduz dados de alunos no Lapispro deve fazê-lo enquanto responsável pelo tratamento ou devidamente autorizado pelo responsável pelo tratamento competente.

Isto abrange duas situações, e este acordo aplica-se às duas. O professor que exerce a atividade a título próprio e determina ele mesmo as finalidades do tratamento é o responsável. O professor que atua sob a autoridade de uma escola ou agrupamento trata os dados no âmbito dessa autoridade, e o responsável é a instituição.

A HORIZONLEVEL, LDA é a subcontratante em qualquer das situações: quando trata esses dados apenas para prestar o serviço, atua por conta do responsável pelo tratamento e não para finalidades próprias. Não determina as finalidades pedagógicas nem define a base jurídica aplicável.

A utilização do Lapispro por escolas e agrupamentos, com vários professores sob uma administração comum, ainda não está disponível para adesão, e será enquadrada em documento próprio quando estiver. Até lá, este acordo é o enquadramento do acesso feito através de uma conta individual.

Objeto, duração e natureza do tratamento

Objeto: a prestação do Lapispro enquanto plataforma de gestão de turmas, avaliação e acompanhamento pedagógico.

Natureza e finalidade: recolher, guardar, organizar, calcular, consultar e devolver os dados registados através da conta, exclusivamente para prestar o serviço contratado.

Quando as funcionalidades assistidas por inteligência artificial estiverem ativas e forem utilizadas, isso inclui ainda transmitir a um subcontratante de IA um subconjunto pseudonimizado e minimizado desses dados, apenas o necessário ao pedido feito e apenas no momento em que o professor o faz. O que pode e não pode integrar esse subconjunto está descrito na secção «Inteligência artificial» da Política de Privacidade, que faz parte deste enquadramento. Nesta data não está configurado qualquer fornecedor de IA e nenhum dado é transmitido por essa via.

Duração: enquanto a conta existir, e depois durante o período de recuperação previsto nos Termos.

Titulares dos dados: os alunos cujos dados sejam registados através da conta.

Categorias de dados: identificação do aluno (nome e, quando indicado, número de processo), eventualmente data de nascimento e fotografia, e dados pedagógicos — turmas e inscrições, classificações e resultados, instrumentos de avaliação, registos de acompanhamento, autoavaliações, estratégias e medidas, aulas e sumários, o resultado da ocorrência de cada aula, a indicação e descrição curta opcional de atividade letiva da turma fora da aula, assiduidade por aula (presente/falta), e relatórios.

Associada aos registos de aula pode existir ainda a categoria operacional de ausência do professor (formação, serviço oficial, outro), quando registada. É escolhida entre opções fechadas, sem texto livre sobre o motivo, e não constitui categoria especial de dados.

As suas instruções

Os dados dos alunos são tratados apenas de acordo com as instruções recebidas através da conta, dadas em nome do responsável pelo tratamento. Essas instruções são, na prática, aquilo que é feito na aplicação e o que estes documentos preveem.

Não usamos os dados dos alunos para finalidades próprias, não os cruzamos com dados de outra organização, não os usamos para publicidade nem para criar perfis comerciais, e não os usamos para desenvolver ou treinar modelos de inteligência artificial.

Se alguma vez formos obrigados por lei a tratar esses dados de outra forma, informamo-lo antes de o fazer, salvo se a própria lei o proibir.

Confidencialidade

O acesso aos dados está limitado a quem precisa dele para operar e manter o serviço, e essas pessoas estão vinculadas a um dever de confidencialidade.

A aplicação permite que pessoal técnico especificamente autorizado aceda a uma conta para prestar assistência, diagnosticar uma anomalia, fazer manutenção, proteger a segurança do serviço, investigar um incidente ou verificar o correto funcionamento. Esse acesso não depende de ter existido um pedido seu: pode ser iniciado pela nossa própria verificação técnica quando isso se justifique. Fica limitado ao necessário para essas finalidades e é feito apenas por quem foi especificamente autorizado para o efeito.

Esse acesso fica sempre registado no registo de atividade, identificado como acesso técnico e não como uma ação sua — e não altera a repartição de responsabilidades descrita neste acordo: continuamos subcontratantes quanto aos dados dos alunos, mesmo quando o acesso técnico implica vê-los para reproduzir ou verificar um problema.

Segurança

Aplicamos as medidas descritas na secção «Segurança» da Política de Privacidade: ligação cifrada, cifragem da identidade do aluno na base de dados, pseudonimização no resto da aplicação, isolamento entre organizações imposto no servidor, autorizações verificadas no servidor, palavras-passe guardadas apenas como representação irreversível, autenticação em dois passos e chaves de acesso disponíveis, cópias de segurança regulares e registo de atividade.

Estas medidas podem evoluir. Qualquer alteração manterá um nível de proteção equivalente ou superior.

Outros subcontratantes

Recorremos a outros prestadores para alojamento, entrega de rede e envio de email. Estão identificados na secção «Subcontratantes» da Política de Privacidade, que é a lista em vigor. Um fornecedor de inteligência artificial seria um subcontratante da mesma natureza, sujeito às mesmas regras; nesta data não existe nenhum configurado, e a sua identificação nessa lista precederá qualquer tratamento real por essa via.

Ao aceitar este acordo autoriza-nos, de forma geral, a recorrer a esses prestadores e a substituí-los. Quando um for acrescentado ou substituído, a lista é atualizada nessa página e pode opor-se, cessando a utilização do serviço se a alteração não lhe convier.

Cada prestador fica vinculado a obrigações de proteção de dados não menos exigentes do que as deste acordo, e continuamos responsáveis perante si pelo que fizerem.

Apoio ao responsável pelo tratamento

Se um aluno, ou quem o representa, exercer um direito perante o responsável pelo tratamento — acesso, retificação, apagamento, limitação, oposição ou portabilidade — prestamos a assistência razoável para lhe dar resposta. Boa parte pode ser feita diretamente na aplicação: consultar, corrigir e exportar.

Se recebermos um pedido desses dirigido a nós, encaminhamo-lo para o titular da conta e não respondemos em lugar do responsável pelo tratamento.

Prestamos também a assistência razoável no que respeite à segurança do tratamento, à notificação de violações de dados e a eventuais avaliações de impacto, na medida da informação de que dispomos.

Violações de dados pessoais

Se tomarmos conhecimento de uma violação de dados pessoais que afete dados de alunos registados através da sua conta, informamo-lo sem demora injustificada, com a informação de que dispusermos: o que aconteceu, que dados foram afetados, que consequências prováveis identificámos e que medidas tomámos.

A notificação à autoridade de controlo e, quando for o caso, aos titulares, compete ao responsável pelo tratamento. Damos a informação necessária para o poder fazer.

Devolução e eliminação

Pode exportar os dados a partir da aplicação a qualquer momento, em qualquer plano.

Quando encerra a conta, decorrido o período de recuperação de 60 dias previsto nos Termos, os dados identificativos dos alunos da sua organização pessoal são eliminados por uma rotina automática.

Um dado eliminado da aplicação pode subsistir numa cópia de segurança até essa cópia ser substituída pela rotação descrita na Política de Privacidade. Durante esse intervalo continua sujeito às mesmas medidas de segurança.

Informação e verificação

Disponibilizamos a informação necessária para demonstrar o cumprimento das obrigações deste acordo, mediante pedido razoável dirigido a [email protected].

Não estão previstas auditorias presenciais à infraestrutura por titulares de contas individuais: a infraestrutura é partilhada por todas as contas, e um acesso desses exporia os dados das outras.

Transferências

Aplica-se o descrito na secção «Transferências internacionais» da Política de Privacidade, incluindo o que aí se diz sobre o que ainda não podemos afirmar.

Alterações a este acordo

Este acordo pode ser atualizado. A data de entrada em vigor da versão atual está indicada no início desta página.

Quando a alteração for material, procuraremos avisar através da aplicação ou por email antes de produzir efeitos.

Quem é o responsável

Entidade

HORIZONLEVEL, LDA

NIF

513354166

Morada

Rua do Verde Pinho, n.º 133, 2415-609 Leiria, Portugal

Contacto para privacidade

[email protected]