Privacidade e proteção de dados

Rascunho para revisão jurídica. Este texto descreve como a plataforma trata dados hoje. Ele não substitui o aviso de privacidade que cada rede de ensino publica como controladora, nem o contrato entre a rede e a NexaEdu.

Versão de outubro de 2026.

Quem faz o quê

A rede de ensino que contrata a NexaEdu é a controladora dos dados dos estudantes: é ela quem decide por que e para que eles são tratados. A NexaEdu é operadora: trata os dados em nome da rede e segundo as instruções dela.

O aviso de privacidade oficial, com a base legal, o canal de pedidos e o encarregado pelo tratamento de dados, é publicado pela rede. A NexaEdu pode oferecer um modelo; quem publica é a rede.

Por que os dados são tratados

A rede trata os dados dos estudantes da educação especial para cumprir obrigação legal e executar a política pública de educação especial inclusiva. Por isso o tratamento não depende de consentimento (Lei nº 13.709/2018, art. 11, II, "a" e "b", e art. 23), e acontece sempre no melhor interesse da criança ou do adolescente (art. 14).

Compartilhar documentos com pessoa ou serviço de fora da rede, como terapeuta ou acompanhante contratado pela família, exige consentimento específico e em destaque de um dos pais ou do responsável legal, ou do próprio estudante quando maior de idade, salvo quando a lei dispensa.

Quais dados

Dados de cadastro da pessoa, da escola, da turma e da matrícula, mantidos num único lugar da plataforma.
Respostas da coleta de habilidades, escutas do estudante e da família, registros do atendimento especializado e os documentos gerados (PEI, PAEE, Estudo de Caso).
Dados de quem usa a plataforma: nome, e-mail, perfil e registros de auditoria das ações.

Laudo, CID e diagnóstico não são copiados para o Estudo de Caso, e a plataforma não gera laudo.

Quem vê o quê

O acesso segue o perfil e o escopo de cada pessoa: rede, escola e família. A família vê só a própria criança. Esse confinamento vale para listar, para ler e para escrever.

Inteligência artificial

Antes de qualquer texto ir a um modelo de IA, a plataforma retira o nome do estudante e filtra identificadores como CPF, CNPJ, cartão do SUS, e-mail e telefone. Mesmo assim, o conteúdo enviado continua sendo dado pessoal, e por isso:

toda proposta da IA é revisada por uma pessoa antes de valer;
o contrato com o provedor de IA (suboperador), incluindo proibição de treino com os dados, prazo de retenção e transferência internacional, é pendente de definição jurídica.

Direitos da família e do estudante

A família ou o responsável legal, ou o próprio estudante quando maior de idade, pode pedir à escola, a qualquer tempo e sem custo, acesso a todos os dados e documentos do estudante e a correção do que estiver incompleto ou inexato (arts. 18 e 19). A resposta vem em até 15 dias, no meio que a pessoa escolher.

Como pedir

O pedido vai ao encarregado de dados da rede de ensino, indicado no aviso de privacidade da rede. Para falar com a NexaEdu como operadora: contato do encarregado a confirmar.

Retenção e eliminação

Prazos de guarda por tipo de documento e a rotina de eliminação são definidos com cada rede e entram no contrato. A confirmar.

Privacy and data protection

Draft for legal review. This text describes how the platform handles data today. It does not replace the privacy notice that each school network publishes as data controller, nor the contract between the network and NexaEdu.

October 2026 version.

Who does what

The school network that contracts NexaEdu is the controller of student data: it decides why and for what the data is processed. NexaEdu is the processor: it handles the data on the network's behalf and under its instructions.

The official privacy notice, with the legal basis, the request channel and the data protection officer, is published by the network. NexaEdu can provide a template; the network publishes it.

Why the data is processed

The network processes special education students' data to meet a legal obligation and to carry out the public policy of inclusive special education. That is why processing does not depend on consent under Brazil's data protection law (Law 13,709/2018, art. 11, II, "a" and "b", and art. 23), and it always follows the best interest of the child or adolescent (art. 14).

Sharing documents with anyone outside the network, such as a therapist or an aide hired by the family, requires specific, highlighted consent from a parent or legal guardian, or from the student when of legal age, except where the law waives it.

What data

Records of the person, school, class and enrollment, kept in a single place on the platform.
Skills survey answers, student and family interviews, special education session records and the documents produced (PEI, PAEE, case study).
Data about platform users: name, e-mail, role and audit logs of their actions.

Medical reports, ICD codes and diagnoses are not copied into the case study, and the platform does not write medical reports.

Who sees what

Access follows each person's role and scope: network, school and family. A family sees only its own child. This confinement applies to listing, reading and writing.

Artificial intelligence

Before any text goes to an AI model, the platform removes the student's name and filters identifiers such as CPF, CNPJ, SUS health card, e-mail and phone. The content sent is still personal data, so:

every AI proposal is reviewed by a person before it counts;
the contract with the AI provider (sub-processor), including a ban on training with the data, retention period and international transfer, is pending legal definition.

Rights of the family and the student

The family or legal guardian, or the student when of legal age, may ask the school at any time and free of charge for access to all of the student's data and documents, and for correction of anything incomplete or inaccurate (arts. 18 and 19). The answer comes within 15 days, in the format the person chooses.

How to ask

Requests go to the school network's data protection officer, named in the network's privacy notice. To reach NexaEdu as processor: officer contact to be confirmed.

Retention and deletion

Retention periods by document type and the deletion routine are set with each network and go into the contract. To be confirmed.