Aviso de Privacidade — e-PApeloMundo

MINUTA — depende de parecer da PGM. Texto escrito pela equipe técnica a partir das minutas dos termos e das regras já decididas para o aplicativo. Não tem valor jurídico até ser aprovado pela Procuradoria-Geral do Município. Os trechos [A DEFINIR] e [A CONFIRMAR PELA PGM] ainda serão preenchidos pela Prefeitura.

Versão: v1.1 (18/10/2026; a v1 é de 17/10/2026). Até o parecer da PGM, esta minuta pode ser editada. Depois de aprovada, a versão não é mais editada: qualquer mudança vira um novo arquivo (aviso-privacidade-v2.md).

O que mudou da v1 para a v1.1 (para o aviso dizer exatamente o que o aplicativo faz): gravações de voz das missões e o que acontece com elas (itens 3 e 5); justificativas de falta (itens 3 e 5); quem vê os pedidos de ajuda e a localização aproximada, inclusive a Secretaria em todos os pedidos (item 5); aviso à coordenação quando o diário tem sinal de que o aluno pode precisar de ajuda (item 5); registro do aparelho para notificações (itens 3 e 6); prazos curtos para a localização, as notificações e o registro do aparelho (item 6); fotos, vídeos e gravações de voz guardados no aparelho até o envio (item 7). Ajuste de 19/10/2026, ainda na v1.1 (parecer SEG GL-07, D212): o item 7 diz quando o rascunho e a fila do aparelho são apagados de fato (ao abrir o aplicativo depois de 7 dias, ou ao sair).

1. Quem cuida dos seus dados

Controlador: Prefeitura Municipal de Paulo Afonso (BA), por meio da Secretaria Municipal de Educação, com apoio técnico da Secretaria Municipal de Tecnologia e Inovação.

O e-PApeloMundo é o aplicativo do programa de intercâmbio Paulo Afonso Pelo Mundo: uma rede social fechada, só para os alunos do programa, os responsáveis cadastrados e a equipe da Prefeitura, sempre por convite.

2. Para que usamos os dados

• •o aluno escrever o diário de cada dia e cumprir as missões da agenda, inclusive as missões de inglês;
• •a família acompanhar o dia a dia do próprio filho ou da própria filha;
• •a Secretaria e a coordenação cuidarem da segurança dos alunos, inclusive pelo botão "Preciso de ajuda";
• •registrar presença, faltas justificadas, conquistas e pontos ("milhas") do programa.

Os dados não são vendidos, não são usados para propaganda e não servem para nenhuma outra finalidade.

3. Quais dados tratamos

O humor do diário diz respeito ao bem-estar do aluno: além do próprio aluno, só a família e a Secretaria o veem. Ele é opcional e nunca vale pontos.

4. Bases legais

[A CONFIRMAR PELA PGM] A base legal de cada tratamento depende do parecer da Procuradoria-Geral do Município. Hipóteses levadas à PGM:

• •segurança, agenda, presença e pedidos de ajuda: execução de política pública (LGPD, art. 7º, III, e art. 23) e proteção da vida (art. 7º, VII);
• •conteúdo do aluno (diário, comentários, fotos, vídeos e voz): consentimento específico de um dos responsáveis, no melhor interesse do aluno (art. 14);
• •sinais de que o aluno pode precisar de ajuda, percebidos no texto do diário (item 5): proteção da vida e da incolumidade física (art. 11, II, "e"), por se tratar de dado que pode revelar a saúde do aluno;
• •justificativa de falta por motivo de saúde, que também pode revelar dado de saúde: [A CONFIRMAR PELA PGM].

Até o parecer, o aplicativo segue a regra mais restritiva: o conteúdo do aluno só aparece com o consentimento do responsável, e fotos, vídeos e gravações de voz só com a autorização de imagem.

A segurança física do aluno nunca depende de consentimento: botão de ajuda, contatos de emergência, agenda e presença funcionam sempre.

5. Quem vê e com quem compartilhamos

• •Família: só o conteúdo do próprio filho ou da própria filha. Fotos, vídeos e gravações de voz aparecem para a família depois da revisão pela Secretaria (eles podem mostrar outras pessoas).
• •Outros alunos: só o que o aluno publicar para a turma, depois da revisão.
• •Secretaria de Educação: tudo o que for necessário para acompanhar e proteger os alunos, inclusive o diário marcado como "Só família", o motivo das faltas justificadas e todos os pedidos de ajuda, com a localização aproximada quando o aluno a enviou, seja qual for o destino escolhido. Todo acesso fica registrado.
• •Coordenação local (Inglaterra): o que a turma vê, a presença, o motivo das faltas justificadas e os pedidos de ajuda enviados à coordenação ou marcados como emergência, com a localização aproximada quando o aluno a enviou.
• •Equipe técnica da Prefeitura: configurações e registros do sistema, para manutenção. Não vê o conteúdo dos alunos.

Pedidos de ajuda. O aluno escolhe para quem pedir: família, Secretaria, coordenação, emergência (as três ao mesmo tempo) ou embaixada (o aplicativo registra o pedido e mostra o telefone; ninguém é avisado automaticamente). A família é avisada por uma mensagem genérica, sem a localização. A localização, quando enviada, é arredondada (cerca de 1 km) e só a equipe a vê; ao abrir a posição num mapa, a pessoa da equipe usa o site OpenStreetMap, que recebe só essa posição aproximada. O pedido de ajuda nunca passa pela revisão de conteúdo e funciona mesmo sem o consentimento do responsável.

Revisão do conteúdo. Antes de aparecer, o texto (inclusive a resposta em inglês e o texto que acompanha uma gravação) passa por uma checagem automática feita dentro do próprio sistema, que procura palavras ofensivas e dados pessoais (endereço, telefone, documentos). Fotos, vídeos e gravações de voz são sempre vistos ou ouvidos por uma pessoa da Secretaria antes de aparecer; antes de guardar, o sistema apaga dos arquivos as informações escondidas, como o local onde foram feitos e o modelo do aparelho. Quando o texto tem sinais de que o aluno pode precisar de ajuda, ele não é publicado nem recusado pela máquina: uma pessoa da Secretaria lê primeiro, em qualquer visibilidade, inclusive no "Só família". Nesse caso, a Secretaria e a coordenação local recebem um aviso para cuidar do aluno pessoalmente: a coordenação fica sabendo o nome do aluno e que há um alerta, mas não lê o texto. O aplicativo não usa inteligência artificial de outras empresas para analisar texto, voz ou vídeo dos alunos, e as gravações de voz nunca são enviadas a outras empresas para análise.

Empresas que trabalham para a Prefeitura (operadores, com contrato e regras de segurança):

• •hospedagem dos servidores e dos arquivos: [A DEFINIR: empresa e país];
• •envio de e-mails (convites, códigos de acesso e avisos): [A DEFINIR: empresa e país];
• •envio de SMS de emergência: [A DEFINIR: empresa e país] (enquanto não houver serviço contratado, os avisos de ajuda saem por notificação no celular e por e-mail);
• •notificações no celular: passam pelos serviços de notificação do fabricante do navegador ou do aparelho (Google, Apple, Microsoft ou Mozilla). A mensagem enviada é genérica, sem nome, conteúdo, humor ou local; o detalhe só aparece depois de entrar no aplicativo;
• •moderação automática por outra empresa: não é usada hoje. Se vier a ser, este aviso será atualizado antes [A DEFINIR].

Dados fora do Brasil. [A CONFIRMAR PELA PGM] Há quatro situações em análise: (a) servidores ou serviço de e-mail fora do Brasil, se a empresa contratada estiver em outro país; (b) acesso da coordenação, que está no Reino Unido durante a viagem, a dados guardados no Brasil; (c) notificações que passam por serviços de outros países; (d) o mapa aberto pela equipe (OpenStreetMap, com sede no Reino Unido), que recebe só a posição aproximada. A Prefeitura vai informar aqui a regra adotada para cada caso (LGPD, art. 33).

Não compartilhamos com mais ninguém, exceto quando a lei obrigar ou para proteger a vida e a segurança do aluno (por exemplo, avisar a embaixada ou o serviço de emergência num pedido de ajuda).

6. Por quanto tempo guardamos

• •Até 12 meses depois do fim do programa, ou seja, até 28 de novembro de 2027. Depois disso, os dados são apagados.
• •A localização aproximada de um pedido de ajuda é apagada 30 dias depois do pedido. O registro de que houve o pedido (dia, hora e destino) continua.
• •O registro de cada notificação enviada é apagado em 30 dias.
• •O registro do aparelho para notificações é apagado quando a pessoa usa "Sair da conta", quando o serviço de notificação avisa que ele não vale mais ou depois de 60 dias sem uso.
• •Ficam só números gerais da turma, sem identificar ninguém, e os registros de segurança do sistema, com códigos internos e sem nomes, por mais 6 meses [A CONFIRMAR PELA PGM].
• •As cópias de segurança (backup) são apagadas em até 35 dias.

7. Dados guardados no seu aparelho

Para funcionar sem internet e não perder o que o aluno está escrevendo ou gravando, o aplicativo guarda no aparelho:

• •dados gerais da turma: os telefones úteis e a agenda, por até 7 dias;
• •o rascunho do diário que o aluno está escrevendo (o texto, o humor e a escolha de quem vai ver), até o diário ser enviado. O rascunho guardado no aparelho é apagado quando o diário é enviado, quando o aluno usa "Sair da conta" e, se nunca for enviado, na primeira vez que o aplicativo for aberto depois de 7 dias do último salvamento. Antes de sair, o aplicativo tenta enviar o rascunho e avisa se algo ainda não foi salvo;
• •fotos, vídeos e gravações de voz ainda não enviados: quando falta internet, o arquivo fica numa fila no aparelho e é enviado sozinho quando a conexão volta (com o aplicativo aberto). Cada arquivo sai do aparelho assim que o servidor confirma o recebimento. A fila guarda no máximo 6 arquivos por dia. O arquivo que não for enviado em 7 dias é apagado na primeira vez que o aplicativo for aberto depois desse prazo, mesmo sem ter sido enviado. O aplicativo não guarda cópia das fotos, vídeos e gravações já enviados.

Tudo o que fica no aparelho é apagado quando você usa "Sair da conta" (se houver arquivos ainda não enviados, o aplicativo avisa antes). Em aparelho compartilhado, saia sempre ao terminar. Com o aplicativo fechado, nada é enviado nem apagado sozinho: por isso, abra o aplicativo ou use "Sair da conta" para limpar o aparelho. O aplicativo também usa um cookie de sessão, necessário para manter você conectado, que vale por no máximo 12 horas.

8. Seus direitos

Você pode, a qualquer momento e sem custo:

• •saber quais dados o sistema tem e receber uma cópia;
• •corrigir dados errados;
• •retirar o consentimento ou só a autorização de fotos;
• •pedir que os dados sejam apagados;
• •pedir que uma pessoa revise uma decisão tomada pela checagem automática, por exemplo um texto que não pôde ser enviado.

A resposta sai em até 15 dias. Durante a viagem (07 a 28/11/2026), mesmo com pedido de exclusão, a conta do aluno continua ativa só para o botão de ajuda, a agenda e os contatos de emergência, até o retorno; o conteúdo é apagado na hora.

9. Como falar com a Prefeitura

• •Encarregado de dados (LGPD) da Prefeitura: [A DEFINIR: nome, e-mail e telefone]
• •Secretaria Municipal de Educação: [A DEFINIR: contato]