Política de privacidade

Esta Política descreve como o ECebas coleta, trata, armazena e protege dados pessoais, em conformidade com a Lei Geral de Proteção de Dados Pessoais — LGPD (Lei 13.709/2018). Leia com atenção antes de utilizar a plataforma.

1. Quem somos: controladora e operador

Há dois sujeitos distintos no tratamento de dados dentro do ECebas:

Para dados de bolsistas, a mantenedora define a finalidade e os meios do tratamento; o ECebas apenas executa, nos limites do serviço contratado. Para dados cadastrais dos usuários (e-mail, senha, perfil), o ECebas é o controlador.

2. Dados que tratamos

2.1 Dados cadastrais dos usuários

• Endereço de e-mail (identificador de conta)
• Senha (armazenada como hash — nunca em texto plano)
• Preferências de plataforma e configurações de autenticação (2FA)
• Registros de acesso (IP, data/hora de login) para segurança

2.2 Dados institucionais da mantenedora

• Razão social, CNPJ e dados de contato da mantenedora
• Dados de unidades de ensino (nome, código INEP, regime)
• Dados financeiros e operacionais para cálculo CEBAS (pagantes, benefícios, bolsas concedidas)

2.3 Dados de bolsistas

• Nome completo
• CPF (armazenado criptografado em repouso; exibido mascarado na interface)
• Data de nascimento e grau de escolaridade
• Renda familiar per capita (para verificação de elegibilidade)
• Tipo de bolsa (integral ou parcial) e período de concessão
• Laudo de deficiência ou assistente social, quando aplicável

3. Dados de bolsistas, incluindo menores de idade (LGPD art. 14)

O rol de bolsistas submetido à plataforma pode conter dados de estudantes com menos de 18 anos. O tratamento desses dados pelo ECebas ocorre exclusivamente na condição de operador, obedecendo às seguintes diretrizes:

• Finalidade restrita: os dados de menores são utilizados apenas para calcular a elegibilidade e a contabilização de bolsas CEBAS, conforme exigido pela LC 187/2021. Nenhum perfil, segmentação ou análise adicional é realizado.
• Responsabilidade da controladora: a mantenedora é responsável por obter o consentimento específico dos responsáveis legais, quando exigido, e por informar os titulares sobre o tratamento de seus dados.
• Minimização de dados: solicitamos apenas os campos estritamente necessários para a comprovação CEBAS. Campos opcionais (como laudo de deficiência) só são processados quando a mantenedora os fornece voluntariamente.
• Criptografia e mascaramento: o CPF de todos os bolsistas — incluindo menores — é armazenado criptografado e exibido mascarado (ex.: ***.456.789-**) na interface. O acesso ao dado completo requer permissão elevada e gera registro de auditoria.
• Acesso restrito: dados de bolsistas são acessíveis apenas a usuários da própria mantenedora com as permissões adequadas, nunca a terceiros.

4. Base legal do tratamento

5. Finalidade do tratamento

• Prestação do serviço de gestão e comprovação de bolsas CEBAS.
• Cálculo automático das proporções exigidas pela LC 187/2021 e pelo Decreto 11.791/2023.
• Geração da planilha oficial MEC para envio ao e-cebas.
• Comunicação sobre o serviço (atualizações, vencimentos, alterações normativas).
• Segurança da plataforma e prevenção de acessos não autorizados.

Os dados não são utilizados para publicidade, venda a terceiros, treinamento de modelos de inteligência artificial ou qualquer finalidade além das listadas acima.

6. Prazo de retenção

Após o término do contrato, a mantenedora dispõe de 30 dias para exportar seus dados. Findo esse prazo, os dados são anonimizados ou excluídos de forma segura, salvo obrigação legal de retenção.

7. Compartilhamento de dados

O ECebas não vende nem compartilha dados com terceiros para fins comerciais. O compartilhamento ocorre apenas nas seguintes situações:

• Prestadores de serviços técnicos essenciais à operação (ex.: provedor de banco de dados em nuvem), vinculados por cláusulas de confidencialidade e proteção de dados.
• Autoridades públicas, quando exigido por lei, decisão judicial ou determinação do MEC ou de outro órgão competente.
• A própria mantenedora, mediante exportação de dados em formatos portáveis.

8. Medidas de segurança

• CPF e outros dados sensíveis de bolsistas criptografados em repouso no banco de dados.
• Exibição mascarada de dados pessoais na interface (CPF, dados de renda).
• Registros de auditoria para acessos a dados sensíveis.
• Autenticação multifator (2FA) disponível para todos os usuários.
• Comunicação via HTTPS com HSTS ativado; cookies seguros e HttpOnly.
• Atualizações de segurança aplicadas regularmente.

9. Direitos do titular de dados

Conforme os arts. 17–22 da LGPD, o titular tem os seguintes direitos:

Para dados de bolsistas: o titular (ou seu responsável legal, se menor de idade) deve encaminhar a solicitação à mantenedora, que é a controladora responsável pelo atendimento. O ECebas, como operador, auxiliará a mantenedora no cumprimento dos direitos dentro do prazo legal de 15 dias.

Para dados cadastrais de usuários: o próprio usuário pode exercer os direitos diretamente pelo painel do ECebas ou pelo e-mail do encarregado.

10. Cookies

O ECebas utiliza cookies estritamente necessários à operação (sessão autenticada, proteção CSRF), que não são opcionais e não exigem consentimento prévio. Mediante seu aceite no aviso de cookies, também utilizamos uma ferramenta de estatísticas de uso sem cookies (Umami), operada por fornecedor terceiro, que coleta apenas dados agregados e anônimos (páginas mais acessadas, origem do acesso) e não identifica você individualmente nem cria perfil de navegação. Nenhum cookie de publicidade ou de rastreamento é utilizado. Veja a lista completa e altere sua escolha a qualquer momento na política de cookies.

11. Transferências internacionais

Os dados são armazenados preferencialmente em servidores localizados no Brasil ou em países com nível adequado de proteção, conforme avaliação da ANPD. Quando utilizamos provedores de infraestrutura sediados no exterior, exigimos cláusulas contratuais que garantam proteção equivalente à LGPD.

12. Encarregado (DPO) e contato

Para exercer seus direitos, reportar incidentes ou tirar dúvidas sobre esta Política, entre em contato com nosso Encarregado de Proteção de Dados:

13. Alterações desta Política

Esta Política pode ser atualizada para refletir mudanças na legislação, nos serviços ou nas práticas de tratamento. Alterações relevantes serão comunicadas por e-mail com antecedência mínima de 15 dias. A data de vigência no topo da página sempre indica a versão em vigor.