Política de privacidade

1. A quem esta política se aplica

O SurfApp é uma plataforma de gestão para escolas de surf e instrutores. A escola não paga mensalidade: o SurfApp retém um percentual de cada venda feita pela plataforma. Ela é usada por quatro públicos: a escola, que abre a conta; a equipe da escola, incluindo os instrutores; o aluno, que não se cadastra sozinho e tem acesso ao portal e ao aplicativo; e o cliente, que é quem paga — o próprio aluno adulto ou o responsável financeiro a quem o aluno está vinculado.

2. Quem é controlador e quem é operador

Essa divisão muda quem responde por cada decisão, e por isso vem antes de tudo:

• Dados dos alunos, dos clientes e da operação da escola — a escola é a controladora. É ela quem decide quem cadastrar, quais informações registrar, por quanto tempo mantê-las e quem da equipe pode vê-las. O SurfApp é operador: trata esses dados para prestar o serviço contratado, seguindo as instruções da escola, e não os utiliza para finalidade própria.
• Dados de cadastro da escola e da conta de recebimento — aqui o SurfApp é o controlador: são os dados necessários para criar a conta, abrir e manter o recebimento das vendas, calcular e registrar a taxa da plataforma e falar com o responsável.
• Dados de quem paga uma venda — quem vende é a escola, e por isso ela também é a controladora aqui. O SurfApp é operador: envia ao processador de pagamento apenas o necessário para emitir a cobrança daquela venda (item 8). O processador tem responsabilidades próprias sobre esses dados, porque a legislação financeira exige que ele identifique quem paga.

Cada escola só enxerga os próprios dados. O isolamento é aplicado no banco de dados, e não apenas na tela.

3. Dados que tratamos

3.1 Dados da escola e do responsável

Coletados no cadastro público, diretamente de quem preenche o formulário:

• tipo de cadastro (empresa ou profissional autônomo), razão social ou nome, nome fantasia e documento (CPF ou CNPJ);
• e-mail e telefone de contato da escola, cidade e estado;
• nome do responsável, e-mail de acesso e senha (guardada apenas como resumo criptográfico, nunca em texto legível);
• registro do aceite dos termos: versão aceita, data, hora e endereço IP de origem;

Para abrir a conta de recebimento, a escola informa ainda os dados que o processador de pagamento exige para identificar quem vai receber o dinheiro: razão social ou nome, documento, e-mail, telefone, endereço completo, faturamento estimado e, no caso de profissional autônomo, a data de nascimento.

3.2 Dados de alunos

O aluno não se cadastra sozinho. São dois os caminhos pelos quais esses dados entram: a escola, que insere e mantém a ficha inteira, e o cliente que paga, que cadastra pelo portal quem vai fazer aula por conta dele.

Pela escola. A plataforma comporta, conforme o que cada escola decide preencher:

• identificação e contato: nome, apelido, data de nascimento, documento, e-mail e telefone;
• responsável legal e contato de emergência, com nome, documento e telefone;
• dados da prática: nível de experiência, objetivos, preferências, histórico de aulas, presença, avaliações por habilidade, metas e observações do instrutor;
• dados comerciais: pacotes, saldo de créditos, matrículas, vendas e parcelas registradas pela escola e compras feitas pela plataforma;
• acesso ao portal: e-mail de login, senha (também apenas como resumo criptográfico), data e IP do último acesso.

Pelo cliente que paga. No portal ele cadastra um dependente informando apenas seis campos: nome, apelido, data de nascimento, telefone e o contato de emergência (nome e telefone). Nada além disso é pedido nem aceito nesse formulário — os outros campos da ficha continuam sendo preenchidos pela escola.

A data de nascimento é obrigatória nesse caminho, e por um motivo concreto: é ela que diz se o aluno é menor de idade, e isso decide quem pode assinar os termos da escola. O campo em branco não seria neutro — valeria como maioridade.

O que fica de fora, e por quê:

• e-mail — é a credencial de acesso do aluno ao portal. Quem libera esse acesso é a escola, pelo convite que ela envia;
• documento — é o que sai no recibo e no aceite dos termos. A escola o registra conferindo com a pessoa;
• responsável legal — pagar por alguém não é ser responsável legal por alguém. Quem estabelece essa representação é a escola, ao emitir o termo;
• nível de experiência — é resultado de avaliação do instrutor, não autodeclaração;
• observações médicas e restrições — dado de saúde do aluno. O cliente não lê e não escreve nesses campos;
• autorização de uso de imagem — é manifestação de quem aparece na foto. Caixa marcada por quem paga não é consentimento de quem é fotografado (item 5).

O cadastro criado assim nasce como interessado, e não como aluno ativo. A criação entra na auditoria (item 7) com o cliente como autor: é o registro de quem declarou que essa pessoa existe e qual é a data de nascimento dela.

A controladora continua sendo a escola, mesmo quando quem digitou foi o cliente. O cadastro entra na base da escola, e é ela quem decide o que completar, quem da equipe pode ver, por quanto tempo manter e para que usar (item 2). O cliente é a origem da informação e responde pelo que declarou; ele não vira controlador por ter preenchido o formulário.

3.3 Dados de quem paga

Quando uma compra é feita pela plataforma, a cobrança precisa ser emitida em nome de uma pessoa. Para isso usamos o cadastro que a escola já tem do cliente:

• nome, documento (CPF ou CNPJ), e-mail e telefone ou WhatsApp;
• dados da compra: produto, quantidade, valor, desconto, taxa da plataforma, forma de pagamento, situação, datas e o valor estornado, quando houver;
• o vínculo com o aluno de destino da compra.

E-mail e documento são obrigatórios para comprar pela plataforma — sem eles a cobrança não pode ser emitida, e o sistema recusa a venda antes de tentar. Dados de cartão não passam pelo SurfApp: o pagamento acontece na página do processador de pagamento, e nós não recebemos, não vemos e não guardamos número de cartão.

3.4 Fotos e vídeos das aulas

A escola envia as mídias de cada aula e identifica quem aparece em cada arquivo. Guardamos o arquivo, suas versões derivadas (miniatura e pré-visualização), os dados técnicos do arquivo e o vínculo com a aula e com os alunos identificados.

3.5 Dados de uso e de segurança

• registros de acesso à aplicação: endereço IP, identificação do navegador, data e hora;
• registro de acesso a mídia (item 6);
• auditoria de ações (item 7);
• registros de envio de notificações por e-mail.

4. Para que usamos, e com qual base legal

• Executar o contrato (art. 7º, V da LGPD) — criar e manter a conta da escola, operar agenda, pacotes, avaliações e mídias, e entregar o portal ao aluno.
• Executar a cobrança de uma venda (art. 7º, V) — abrir e manter a conta de recebimento da escola, emitir a cobrança em nome dela, confirmar o pagamento, liberar os créditos comprados, separar a taxa da plataforma e processar estorno. É esta a base legal do envio de dados ao processador de pagamento (item 8): sem ele, a compra que a pessoa pediu não acontece.
• Cumprir obrigação legal (art. 7º, II) — guarda de registros de acesso e obrigações fiscais e contábeis.
• Legítimo interesse (art. 7º, IX) — segurança da plataforma, prevenção de fraude e a auditoria que permite reconstituir quem fez o quê.
• Consentimento (arts. 7º, I e 11, I) — uso de imagem do aluno e dados de saúde eventualmente registrados pela escola.

A escolha da base legal para os dados dos alunos cabe à escola, na condição de controladora. O SurfApp segue as instruções dela e disponibiliza os controles técnicos descritos abaixo.

Não usamos os dados de alunos e de clientes para publicidade, não os vendemos e não os cedemos para terceiros com finalidade comercial. Os dados enviados ao processador de pagamento servem para executar aquela cobrança, e nada além disso.

5. Consentimento de uso de imagem

O consentimento não é um botão só. No cadastro do aluno ele é registrado em quatro permissões separadas, cada uma com resposta própria:

• Registro — a pessoa pode ser fotografada ou filmada e identificada nas mídias da aula. Sem esta permissão, a pessoa não é marcada — e sem marcação a foto não chega a ela.
• Ver a própria imagem — a mídia em que a pessoa aparece é entregue a ela no portal.
• Galeria coletiva — a pessoa pode aparecer em mídias compartilhadas com a turma.
• Uso promocional — divulgação da escola. Nunca é presumido nem herdado das outras permissões: precisa ser dado de forma expressa e separada.

Junto com a resposta ficam gravadas a versão do termo e a data — consentimento sem saber a que texto se refere não prova nada.

A retirada do consentimento é possível a qualquer momento, sem justificativa. O pedido é feito à escola, que é a controladora, e passa a valer imediatamente no sistema: a mídia deixa de ser entregue mesmo por um link que já tenha sido gerado — a assinatura do link continua válida, mas a resposta passa a ser "não encontrado". O mesmo vale para a imagem usada como evidência dentro de uma avaliação.

6. Registro de acesso a mídia

Toda visualização em tamanho cheio, download ou uso de uma mídia como evidência de avaliação é registrado com: qual mídia, qual ação, quem acessou, endereço IP, identificação do navegador e data e hora. Miniaturas não são registradas.

Esse registro existe para responder a uma pergunta concreta que a LGPD autoriza o titular a fazer: quem viu ou baixou a imagem desta pessoa, e quando. Ele é somente de acréscimo — não é editado nem apagado no uso normal do sistema.

7. Auditoria de ações

Alterações sensíveis no sistema geram um registro de auditoria com o autor da ação, a data e a hora, o endereço IP, o navegador, o registro afetado e o que mudou. Servem de exemplo o cancelamento de uma venda, a confirmação de um estorno, a mudança de situação de uma reserva ou a alteração de um cadastro. Senhas, chaves de acesso ao processador de pagamento e demais segredos ficam de fora desse registro.

8. Com quem os dados são compartilhados

• Provedor de infraestrutura e de envio de e-mail — hospedagem, banco de dados, armazenamento de arquivos e disparo das notificações da plataforma, sempre como operadores contratados.
• Processador de pagamento — é ele quem executa a cobrança das vendas. O detalhe do que é enviado está logo abaixo.
• Provedor de tábua de maré — quando a escola contrata esse recurso, a consulta envia apenas coordenadas geográficas e data e hora da aula. Nenhum dado pessoal é enviado.
• Autoridades — mediante requisição legal, na medida exigida.

8.1 O que vai para o processador de pagamento

A cobrança de uma venda é executada por um processador de pagamento contratado pelo SurfApp. Para emitir a cobrança, precisamos enviar a ele:

• de quem paga — nome, documento (CPF ou CNPJ), e-mail e telefone ou WhatsApp;
• da escola — os dados da conta de recebimento (item 3.1), enviados uma vez, na abertura da conta;
• da venda — valor, descrição do produto, vencimento e a referência interna que identifica a compra.

Base legal: execução do contrato (art. 7º, V da LGPD). Não é consentimento e não pode ser recusado sem recusar a própria compra — é o envio que faz a cobrança existir. Quem não quiser que seus dados sigam esse caminho pode comprar direto com a escola, fora da plataforma.

O processador trata esses dados também para cumprir as obrigações que a legislação financeira impõe a ele, como identificar quem paga e prevenir fraude. Ele não recebe dado de aula, avaliação, observação do instrutor, restrição médica, foto nem vídeo.

Dados de cartão não passam pelo SurfApp. O pagamento acontece na página do processador; nós recebemos de volta apenas a situação da cobrança, o valor e as taxas.

A plataforma não carrega recursos de terceiros nas suas páginas: a política de segurança de conteúdo bloqueia scripts, fontes e imagens de outros domínios. Não há rastreador de publicidade nem ferramenta externa de análise de audiência.

9. Segurança

• separação dos dados por escola aplicada no banco de dados, e não apenas na interface;
• senhas guardadas apenas como resumo criptográfico, jamais em texto legível;
• fotos e vídeos das aulas em armazenamento privado, fora da área pública do servidor;
• entrega de foto e vídeo somente por link assinado e temporário, preso a um arquivo e a uma versão específicos — miniatura, pré-visualização ou original: trocar qualquer um dos dois no endereço invalida o link, que também vence sozinho, em 15 minutos por padrão;
• a assinatura não substitui a autenticação nem a autorização: o link só responde a quem está autenticado, e o direito de ver aquele arquivo é conferido de novo a cada entrega — é isso que faz um link vazado parar de funcionar quando o consentimento muda (item 5);
• controle de acesso por papéis e permissões definidos pela escola;
• registro de acesso e auditoria, para que qualquer acesso indevido possa ser reconstituído;
• chaves de acesso da conta de recebimento guardadas criptografadas, nunca exibidas em tela nem gravadas em registro de erro;
• página pública de retorno do pagamento endereçada por identificador aleatório, e não por número sequencial — ninguém consegue percorrer as vendas trocando um número na barra do navegador;
• tráfego cifrado entre o navegador e a aplicação.

Nenhuma medida elimina o risco por completo. Em caso de incidente de segurança relevante, a escola é comunicada para que possa cumprir as suas obrigações de controladora, incluindo a comunicação à Autoridade Nacional de Proteção de Dados e aos titulares, quando for o caso.

10. Por quanto tempo os dados ficam guardados

• Dados da escola e da operação — enquanto a conta estiver ativa e pelo prazo necessário ao cumprimento de obrigações legais depois do encerramento.
• Dados dos alunos e dos clientes — pelo tempo que a escola determinar, na condição de controladora, respeitados os prazos legais.
• Vendas e pagamentos — o registro de uma venda não é apagado: pedido, pagamento, estorno e contestação continuam guardados, porque são a prova do que foi cobrado e do que foi devolvido. Eles são mantidos pelo prazo exigido pela legislação fiscal e financeira aplicável.
• Conta de recebimento — os dados de recebimento da escola são mantidos enquanto a conta existir no processador de pagamento e pelo prazo legal seguinte.
• Mídias excluídas — a exclusão na tela é imediata, mas o arquivo permanece no armazenamento por um período de carência antes de ser apagado em definitivo. A carência existe para que um engano possa ser desfeito; o prazo padrão é de 30 dias.
• Arquivos temporários — pacotes de download e envios incompletos são apagados em cerca de 24 horas.
• Registros de acesso e de auditoria — mantidos pelo prazo necessário à segurança e ao cumprimento da legislação aplicável.

11. Direitos do titular

A LGPD garante a qualquer pessoa cujos dados sejam tratados — aluno, responsável legal, cliente que paga, instrutor ou responsável pela escola — os seguintes direitos:

• confirmação de que existe tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados fora da lei;
• portabilidade dos dados a outro fornecedor, nos termos da regulamentação;
• eliminação dos dados tratados com base em consentimento, salvo as hipóteses de guarda previstas em lei;
• informação sobre com quem os dados foram compartilhados;
• informação sobre a possibilidade de não consentir e sobre as consequências dessa recusa;
• revogação do consentimento, a qualquer momento;
• revisão de decisões automatizadas — o SurfApp não toma decisões automatizadas que afetem os interesses do titular. A análise de risco e a prevenção de fraude sobre uma cobrança são feitas pelo processador de pagamento, e o pedido de revisão dessa decisão é dirigido a ele.

O direito de correção alcança também os dados usados na cobrança: e-mail, documento e telefone errados impedem a compra. A correção é pedida à escola, que mantém esse cadastro.

12. Como exercer esses direitos

Aluno, responsável legal, cliente que paga ou instrutor: o pedido deve ser feito à escola, que é a controladora desses dados e tem acesso direto aos cadastros, aos consentimentos, às compras e às mídias. O SurfApp apoia a escola tecnicamente sempre que ela precisar atender a um pedido.

Escola: o pedido deve ser encaminhado ao SurfApp pelo canal de atendimento informado no e-mail de confirmação do cadastro.

13. Crianças e adolescentes

Escolas de surf atendem menores de idade com frequência. Os dados de crianças e adolescentes são tratados no melhor interesse deles, e cabe à escola obter o consentimento específico e destacado do pai, da mãe ou do responsável legal — especialmente para o uso de imagem. A ficha do aluno tem campos próprios para registrar o responsável legal.

14. Cookies

A plataforma usa apenas cookies estritamente necessários: o que mantém a sessão de quem entrou e o que protege os formulários contra envio forjado a partir de outro site. Não há cookie de publicidade, de perfilamento ou de terceiros.

15. Onde os dados ficam armazenados

Os dados são armazenados na infraestrutura contratada pelo SurfApp. Havendo transferência internacional de dados, ela será informada nesta política, com a respectiva garantia adequada, na versão revisada deste documento.

16. Alterações desta política

Esta política pode ser atualizada. Toda alteração gera uma nova versão, exibida no topo desta página, e a versão aceita por cada escola fica registrada. Mudanças relevantes são comunicadas por e-mail.

17. Encarregado e contato

O encarregado pelo tratamento de dados pessoais será formalmente indicado na versão revisada deste documento. Até lá, pedidos e dúvidas sobre privacidade devem ser encaminhados pelo canal de atendimento informado no e-mail de confirmação do cadastro.