Acordo de Tratamento de Dados (DPA)

1. Papéis das partes

A Escola é a controladora dos dados pessoais dos seus alunos, responsáveis, professores e equipe: ela decide para que e como esses dados são usados. A Surf Academy ([RAZÃO SOCIAL], CNPJ [CNPJ], [ENDEREÇO]) é a operadora: trata esses dados em nome da Escola, só para prestar o serviço e conforme as instruções dela.

Para os dados da conta de cada pessoa (acesso, segurança, preferências) e para a segurança e a melhoria do serviço, a Surf Academy atua como controladora, conforme a Política de Privacidade (/privacidade).

2. Objeto e duração

O acordo vale enquanto a Escola usar o serviço e até a devolução ou a exclusão dos dados, conforme o item 13. As instruções da Escola são o uso normal do serviço e este acordo. Instruções adicionais devem ser dadas por escrito.

3. Titulares e categorias de dados

• Titulares: alunos (inclusive crianças e adolescentes), pais e responsáveis, professores, equipe e demais pessoas que a Escola cadastre.
• Cadastro: nome, e-mail, telefone, foto, idioma, data de nascimento, nível, objetivo e pico preferido.
• Menores: nome do responsável e data do consentimento dele, registrados pela Escola.
• Aulas: agendamentos, presença, plano da aula, condições do mar, avaliações, notas do professor, feedback e evolução por habilidade.
• Mídia: fotos e vídeos das aulas, que mostram a imagem dos alunos, e documentos de formação enviados por professores.
• Dados sensíveis: atestado médico e informações de saúde, quando a Escola ou o aluno os enviar.
• Mensagens do chat, com anexos.
• Financeiro: compras, pacotes, valores, forma de pagamento (Pix, cartão ou boleto), parcelas e referência da transação. A Surf Academy não guarda dados completos de cartão.
• Técnicos: endereço IP, navegador e dispositivo, registros de auditoria e token de notificação push.

3.1 Dados de crianças e adolescentes

O tratamento de dados de menores de 18 anos é feito no melhor interesse do menor (LGPD, art. 14). A Escola, como controladora, coleta e guarda o consentimento específico de um dos pais ou do responsável legal antes de cadastrar o menor, e o registra no cadastro do aluno. A Surf Academy não verifica esse consentimento por conta própria e não usa dados de menores para publicidade ou perfilamento comercial.

4. Finalidades e bases legais

• Finalidade: prestar o serviço contratado pela Escola (agenda, aulas, evolução, mídia, chat, notificações, pagamentos, relatórios e recursos de IA opcionais). Os dados não são vendidos nem usados para outra finalidade.
• Bases legais, definidas pela Escola como controladora: execução de contrato com o aluno (art. 7º, V), consentimento para o uso de imagem e para dados de menores (art. 7º, I, e art. 14), tutela da saúde e proteção da vida na prática esportiva ou consentimento específico para dados de saúde (art. 11), e cumprimento de obrigação legal (art. 7º, II).
• Por padrão, os dados de uma escola ficam isolados dos de outras escolas, e nenhuma pessoa de outra escola os acessa.

5. Obrigações da Surf Academy como operadora

• Tratar os dados só conforme as instruções da Escola e para as finalidades acima, avisando a Escola se achar que uma instrução viola a lei.
• Garantir que quem acessa os dados na Surf Academy esteja sujeito a dever de confidencialidade.
• Aplicar as medidas de segurança do item 10.
• Manter registro das operações de tratamento e dos acessos, e disponibilizar à Escola as informações necessárias para demonstrar o cumprimento deste acordo.
• Apoiar a Escola nos pedidos dos titulares e nas comunicações à ANPD (itens 11 e 12).
• Contratar suboperadores só conforme o item 8.

6. Obrigações da Escola como controladora

• Ter base legal para cada tratamento que decidir, informar os titulares e responder a eles.
• Coletar o consentimento do responsável pelos menores e a autorização de uso de imagem, quando necessários.
• Cadastrar apenas os dados de que precisa e manter a conta e os acessos da equipe seguros.
• Avisar a Surf Academy sobre qualquer instrução que afete o tratamento, e sobre pedidos de titulares que precisem da ajuda dela.

7. Papéis de acesso na Escola

O serviço limita o que cada pessoa vê pelo papel dela na Escola (equipe, professor, aluno). A Escola decide quem recebe cada papel e é responsável por revogar acessos de quem sair.

8. Suboperadores

A Escola autoriza de forma geral a contratação dos suboperadores abaixo, que a Surf Academy escolhe e fiscaliza, com obrigações de proteção de dados equivalentes às deste acordo. A Surf Academy responde perante a Escola pelos seus suboperadores.

• Cloudflare, Inc.: hospedagem do app e da API, armazenamento de fotos, vídeos e documentos, rede de entrega, registros técnicos e envio de e-mail.
• Neon, Inc.: banco de dados PostgreSQL.
• Expo (Expo Application Services) e, por meio dele, Apple Push Notification service e Google Firebase Cloud Messaging: entrega de notificações push e atualizações do app.
• Anthropic, PBC: modelo de IA usado nos recursos de inteligência artificial, apenas quando a pessoa usa esses recursos. [CONFIRMAR: sem treinamento de modelos com dados da Escola]
• Resend, Inc.: provedor de envio de e-mails transacionais, como contingência. [CONFIRMAR provedor final]
• Mudanças: a Surf Academy avisa a Escola por e-mail ou no painel com [PRAZO] de antecedência sobre a inclusão ou troca de suboperador. A Escola pode se opor por motivo razoável e, se não houver solução, encerrar o contrato sem multa.

9. Transferência internacional

Os suboperadores acima podem tratar dados fora do Brasil, em especial nos Estados Unidos e na União Europeia. A Surf Academy só faz essas transferências com as garantias do art. 33 da LGPD, como cláusulas contratuais padrão, e mantém essas cláusulas à disposição da Escola. [CONFIRMAR mecanismo, de acordo com a regulamentação da ANPD]

10. Segurança

• Conexão criptografada (HTTPS) e dados criptografados em repouso pelos provedores de infraestrutura.
• Isolamento dos dados por escola no banco de dados, com regras no próprio banco que impedem uma escola de ler ou alterar dados de outra, além dos controles da aplicação.
• Senhas guardadas só como hash, passkeys e verificação em duas etapas opcionais, links de mídia temporários e registros de auditoria.
• Acesso interno restrito ao necessário, com revisão de acessos e registro.
• Cópias de segurança e plano de recuperação. [CONFIRMAR prazos de backup]

11. Incidentes de segurança

Se a Surf Academy tomar conhecimento de um incidente de segurança que afete dados da Escola, avisa a Escola sem demora injustificada, em até [48 horas], com a descrição possível do que ocorreu, dos dados e titulares afetados, das medidas tomadas e dos riscos, e coopera com a Escola. A Escola, como controladora, decide e faz a comunicação à ANPD e aos titulares (LGPD, art. 48), com o apoio da Surf Academy.

12. Direitos dos titulares

Os titulares podem pedir à Escola confirmação do tratamento, acesso, correção, anonimização, bloqueio ou eliminação, portabilidade, informação sobre compartilhamento e revogação do consentimento (LGPD, art. 18). A Surf Academy encaminha à Escola, em até [5] dias úteis, os pedidos que receber sobre dados da Escola e oferece no app e no painel ferramentas para atender a esses pedidos, como baixar uma cópia dos dados e excluir a conta.

13. Guarda, devolução e exclusão

• Os dados ficam guardados enquanto o contrato durar.
• Encerrado o contrato, a Escola tem [30] dias para exportar seus dados. Depois disso a Surf Academy exclui ou anonimiza os dados da Escola em até [90] dias, incluindo cópias de segurança, que expiram no ciclo normal delas.
• Podem ser mantidos só os dados que a lei exigir, como registros de acesso por no mínimo 6 meses (Marco Civil da Internet, art. 15) e registros fiscais pelo prazo legal.
• Quando um aluno pede a exclusão, a Escola e a Surf Academy excluem ou anonimizam os dados dele, salvo guarda exigida por lei.

14. Auditoria

A Escola pode pedir, uma vez por ano ou após um incidente, as informações necessárias para verificar o cumprimento deste acordo. A Surf Academy responde por escrito e, se preciso, permite uma auditoria razoável, com aviso prévio, limitada ao serviço e sem expor dados de outras escolas. [CONFIRMAR custos e formato]

15. Responsabilidade

A responsabilidade de cada parte por danos decorrentes do tratamento de dados segue a LGPD (arts. 42 a 45) e os limites dos Termos de Uso para escolas, na medida permitida pela lei.

16. Lei aplicável e foro

Este acordo segue as leis do Brasil e o foro dos Termos de Uso para escolas: [CIDADE/UF].

17. Contato

Encarregado de dados (DPO) da Surf Academy: [NOME DO ENCARREGADO], [E-MAIL DO DPO]. Controlador dos dados da escola: o contato da Escola cadastrado na conta.