RASCUNHO PARA REVISÃO JURÍDICA. Documento interno de governança (não é texto exibido ao titular). Deve ser validado pelo Encarregado (DPO) e por advogado de LGPD. Vale nos dois modelos fiscais.
Governança LGPD: Matriz de Bases Legais e ROPA
Este documento reúne, em um só lugar, o Registro das Operações de Tratamento (ROPA) e a matriz de bases legais por finalidade da KOGNO, instrumentos exigidos para demonstrar conformidade (princípio da responsabilização e prestação de contas, art. 6º, X, da LGPD). Complementa a Política de Privacidade (texto público) com a visão operacional interna.
1. Agentes de tratamento
- Controladora: KOGNO ([RAZÃO SOCIAL], CNPJ 29.319.041/0001-27).
- Encarregado (DPO): [NOME], [E-MAIL DPO].
- Operadores: ASAAS (pagamento/split), Google LLC (videoconferência/correlatos), provedor de hospedagem/VPS [IDENTIFICAR], ferramenta de captura de leads [IDENTIFICAR].
- Professor: operador sob instrução quanto aos dados fornecidos pela Plataforma; controlador autônomo quanto aos dados que coletar por iniciativa própria (a confirmar com o DPO, ver Política de Privacidade item 1.1).
2. ROPA - Registro das Operações de Tratamento
| # | Operação / Finalidade | Titulares | Categorias de dados | Base legal | Operadores envolvidos | Retenção | Transf. internacional |
|---|---|---|---|---|---|---|---|
| 1 | Cadastro e autenticação do responsável | Responsável | Identificação, contato, login | Execução de contrato (art. 7º, V) | Hospedagem | Conta ativa + [PRAZO] | Se hospedagem fora do BR |
| 2 | Intermediação e agendamento da aula | Responsável, aluno, professor | Cadastro, agenda, matéria | Execução de contrato (art. 7º, V); art. 14 (menor) | Hospedagem | Vínculo + [PRAZO] | Não, em regra |
| 3 | Pagamento e split | Responsável, professor | Cobrança, dados bancários/fiscais | Execução de contrato; obrigação legal (art. 7º, II) | ASAAS | Prazo fiscal/contábil [CONFIRMAR] | Conforme ASAAS |
| 4 | Realização da aula por videoconferência | Aluno (menor), professor | Imagem/voz em tempo real (sem gravação, padrão) | Execução de contrato; art. 14 (menor) | Google LLC | Não retém (sem gravação) | Sim (Google) |
| 5 | Dados do aluno menor | Aluno menor | Nome, série, objetivos, desempenho | Consentimento parental (art. 14, §1º) | Hospedagem | Vínculo + [PRAZO] | Não, em regra |
| 6 | Dados sensíveis do aluno (dificuldade/saúde) | Aluno menor | Necessidades específicas, saúde | Consentimento específico (art. 11, I) + art. 14 | Hospedagem (acesso restrito) | Vínculo; eliminação a pedido | Não |
| 7 | Idoneidade e antecedentes do professor | Professor | Certidões, antecedentes | Legítimo interesse qualificado pela proteção do menor (art. 7º, IX) [VALIDAR DPO] | Hospedagem (acesso restrito) | Credenciado + [PRAZO] | Não |
| 8 | Registros de acesso (logs) | Todos | IP, data/hora, user agent | Obrigação legal (art. 7º, II - Marco Civil) | Hospedagem | Mínimo 6 meses | Se hospedagem fora do BR |
| 9 | Suporte e atendimento | Responsável, professor | Histórico de mensagens | Execução de contrato; legítimo interesse (art. 7º, IX) | Hospedagem, Chatwoot [se usado] | [PRAZO] | Conforme ferramenta |
| 10 | Marketing a adultos | Responsável, lead | Contato, preferências | Consentimento (art. 7º, I) | Ferramenta de e-mail/leads | Até revogação | Conforme ferramenta |
| 11 | Captação de leads | Lead adulto | Contato, origem | Consentimento / legítimo interesse [VALIDAR] | Ferramenta de leads | [PRAZO] / até opt-out | Conforme ferramenta |
Vedação: dados de menores nunca alimentam marketing/perfilamento (Lei 15.211/2025; Política de Privacidade item 4.2.5).
3. Matriz de bases legais por finalidade (resumo)
| Base legal LGPD | Quando se aplica na KOGNO |
|---|---|
| Execução de contrato (art. 7º, V) | Cadastro, intermediação, agendamento, pagamento, suporte |
| Obrigação legal (art. 7º, II) | Logs (Marco Civil), guarda fiscal/contábil de pagamentos |
| Consentimento (art. 7º, I) | Marketing a adultos, cookies não essenciais |
| Legítimo interesse (art. 7º, IX) | Prevenção a fraude, segurança, melhoria, idoneidade do professor (com teste de proporcionalidade documentado) |
| Exercício regular de direitos (art. 7º, VI) | Defesa em processos |
| Consentimento parental específico (art. 14, §1º) | Todo dado de aluno menor |
| Consentimento específico para sensível (art. 11, I) | Dificuldade de aprendizagem/saúde do aluno |
4. Camadas de consentimento (granularidade)
Conforme Política de Privacidade item 4.4: (1) Termos de Uso; (2) dados do responsável; (3) dados do aluno menor; (4) dados sensíveis do aluno; (5) imagem/voz/gravação (padrão = não gravar). Cada camada registra versão do texto, data, hora, identificação e escopo, com revogação independente.
5. Registro de prova do consentimento (log real)
Para cada aceite/consentimento, registrar: identificação do titular/responsável; identificação do menor (quando aplicável); data e hora (UTC e local); IP real; user agent; versão e hash do texto aceito; canal; escopo/finalidades. (Em produção, substituir o ip: 'simulador' por IP real - pendência técnica da Frente B.)
6. Direitos do titular e prazos
Canal do Encarregado [E-MAIL DPO] para confirmação, acesso, correção, anonimização/eliminação, portabilidade, revogação e oposição (art. 18). Resposta nos prazos da LGPD/ANPD. Para menor, verificação da condição de responsável legal.
7. Plano de resposta a incidente
- Detecção e contenção; 2. Avaliação de risco aos titulares; 3. Registro interno; 4. Comunicação à ANPD e aos titulares afetados em prazo razoável (art. 48), com natureza dos dados, medidas e mitigação; 5. Lições aprendidas. Incidente envolvendo menor recebe prioridade.
8. Pendências de conformidade (passivo a sanar)
- Base legada de leads (~21 bases) e dados sensíveis de RH: definir base legal, deduplicar, opt-out, descartar excedente (Política de Privacidade item 8).
- Assinatura dos DPA com todos os operadores (ver documento DPA).
- Implementação técnica do consentimento parental versionado e do log de IP real.
- Nomeação formal do Encarregado e canal de privacidade.
9. Histórico de versões
| Versão | Data | Alterações |
|---|---|---|
| 0.1 | 30/06/2026 | Criação a partir do parecer Advogado 360: ROPA, matriz de bases legais, camadas de consentimento, log de prova, direitos, plano de incidente e passivo a sanar. |