Política de Privacidade

1. Quem é o responsável e como falar com a gente

A plataforma é operada por RAFAEL RODRIGUES VIEIRA LTDA (Compassa), CNPJ 49.668.899/0001-04, com sede em Rua Major Martins Coelho, 290, Centro, Juquiá – SP, CEP 11800-000.

Para qualquer assunto de privacidade — dúvidas, pedidos de titulares ou contato com o encarregado de proteção de dados — escreva para contato@compassa.com.br. Respondemos em até 15 dias.

2. Quando somos controladores e quando somos operadores

Dependendo de quem você é, o nosso papel muda:

• Somos controladores dos dados de visitantes do site compassa.com.br, das pessoas que criam e administram a conta de uma escola (dono, secretaria, professores) e de quem compra ingressos de eventos pela plataforma.
• Somos operadores dos dados de alunos, responsáveis, interessados em aula experimental (leads) e demais informações que a escola cadastra ou recebe pela plataforma. Nesses casos, a escola é a controladora: ela decide o que coleta e por quê, e nós tratamos os dados só para prestar o serviço a ela.

Se você é aluno ou responsável e quer exercer um direito sobre os seus dados, o caminho mais rápido é falar diretamente com a escola. Se preferir, pode nos escrever: encaminhamos o pedido à escola e a ajudamos a atendê-lo.

3. Quais dados tratamos

Dados da escola e de sua equipe:

• nome, e-mail, telefone/WhatsApp e senha (armazenada apenas como hash) de quem cria a conta e de quem é convidado;
• nome, endereço, cidade, logotipo, WhatsApp e, quando informados, CNPJ, inscrição municipal e dados fiscais da escola;
• dados da conta de pagamentos aberta junto ao parceiro de meios de pagamento (identificação, faturamento estimado, dados bancários informados por você a ele);
• registro do aceite dos Termos de Uso: versão, data e hora, endereço IP e navegador.

Dados cadastrados pela escola sobre alunos e responsáveis:

• nome, data de nascimento, CPF, e-mail, telefone/WhatsApp e vínculo familiar;
• observações de saúde e alergias, e medidas corporais para figurino de espetáculos — dados sensíveis, tratados com acesso restrito à equipe da escola e nunca exibidos no portal da família;
• frequência nas aulas, observações pedagógicas, marcos de progressão, matrículas, contratos assinados e histórico financeiro (cobranças, pagamentos, acordos);
• registro de aceite eletrônico de contratos de matrícula: nome, data e hora e endereço IP.

Dados de interessados e de compradores de ingresso:

• aula experimental: nome do responsável, nome e idade do aluno, WhatsApp e modalidade de interesse;
• lista de espera e ingressos: nome, WhatsApp, e-mail e CPF (o CPF é exigido pelo parceiro de pagamentos para emitir a cobrança);
• visitantes de apps de benefício corporativo (como a TotalPass), quando a escola liga a integração: nome, e-mail, telefone e o código de usuário no app, recebidos do parceiro a cada check-in ou reserva, só para registrar a presença e confirmar a visita — o CPF que o parceiro envia é descartado na chegada e não é guardado.

Dados de navegação:

• endereço IP, tipo de navegador, páginas acessadas e data/hora, registrados em logs de servidor por segurança;
• no site institucional e nos sites das escolas hospedados por nós, dados de uso coletados pelo Google Tag Manager e pelo Google Analytics: páginas vistas, de onde veio a visita e cliques em links de saída (como o botão de WhatsApp da escola) — sem nome, telefone ou dados de matrícula;
• no cadastro de uma nova escola, o avanço entre as telas do cadastro (qual tela foi alcançada), enviado pelo nosso servidor ao Google Analytics junto do identificador que ele já atribuiu ao seu navegador — sem nome, e-mail, telefone ou dados da escola;
• também no cadastro, esse identificador do Google Analytics fica guardado junto da conta da escola, para sabermos por qual canal ela conheceu a Compassa (uma busca, o Instagram, o site de outra escola) — nada da escola é enviado ao Google por isso;
• quando a visita ao site institucional chega por um anúncio do Google ou por um link de campanha, o identificador de clique do anúncio (gclid, gbraid ou wbraid) e os parâmetros de campanha (utm_source, utm_medium, utm_campaign, utm_term e utm_content), além da página de entrada e da data e hora do clique.

4. Para que usamos e com qual base legal

• Prestar o serviço contratado pela escola — gestão de alunos, turmas, chamada, cobranças, mensagens, site, eventos e notas fiscais (execução de contrato, art. 7º, V).
• Cumprir obrigações legais e regulatórias, como guarda de registros fiscais e financeiros e verificação cadastral exigida pelo parceiro de pagamentos (art. 7º, II).
• Enviar lembretes de cobrança e recibos às famílias em nome da escola (execução de contrato entre a escola e a família e proteção do crédito, art. 7º, V e X).
• Manter a segurança da plataforma, prevenir fraudes e registrar aceites eletrônicos (legítimo interesse e exercício regular de direitos, art. 7º, VI e IX).
• Enviar comunicações sobre a conta, mudanças nos Termos e novidades do produto ao dono da conta (execução de contrato e legítimo interesse; novidades podem ser desativadas a qualquer momento).
• Tratar dados sensíveis de saúde e medidas corporais apenas quando a escola os cadastra para cuidar do aluno ou produzir figurinos, com o consentimento do responsável obtido pela escola (art. 11).
• Medir o uso do site institucional e dos sites das escolas para melhorá-los e entender de onde vêm as visitas (consentimento ou legítimo interesse, conforme a configuração do seu navegador).

Usamos o identificador de clique de anúncios do Google e parâmetros de campanha para medir quais anúncios geram cadastros. Esses dados ficam associados à conta da escola e são enviados ao Google só como identificador de clique, sem nome, e-mail ou dados de alunos (legítimo interesse, art. 7º, IX).

Não vendemos dados pessoais nem os usamos para publicidade de terceiros.

5. Crianças e adolescentes

Grande parte dos alunos das escolas é menor de idade. Os dados deles são cadastrados pela escola com a participação de um responsável legal, tratados no melhor interesse da criança e usados apenas para o serviço educacional (matrícula, chamada, comunicação com o responsável). Não criamos perfis comportamentais nem direcionamos publicidade a crianças. Dados de saúde e medidas corporais só ficam visíveis para a equipe da escola.

6. Com quem compartilhamos

Compartilhamos dados apenas com quem precisa deles para a plataforma funcionar (suboperadores), todos sob contrato e instruções de segurança:

• Google Cloud (hospedagem, banco de dados e armazenamento de arquivos, na região de São Paulo — Brasil);
• Cloudflare (rede de entrega, proteção contra ataques e verificação antirrobô nos formulários públicos);
• Asaas (conta de pagamentos da escola, emissão de cobranças Pix/boleto/cartão, verificação cadastral e, quando a escola ativa, avisos de cobrança por WhatsApp — para isso o telefone do responsável é informado ao Asaas);
• Resend (envio de e-mails transacionais);
• WhatsApp/Meta, por meio de um provedor de integração, para as mensagens que a escola dispara a partir do número dela;
• Asaas, também na emissão de NFS-e, quando a escola ativa a emissão automática de notas fiscais — o nome, o CPF, o e-mail e o endereço do responsável financeiro vão para a nota, como tomador do serviço;
• Google (Tag Manager e Google Analytics, para medição de audiência), no site institucional, nos sites das escolas e, sem dados pessoais, no avanço entre as telas do cadastro de escola;
• Google Ads, para medir os anúncios da própria Compassa: no site institucional, as tags do Google Ads; e, quando uma escola chegou por um anúncio, só o identificador de clique, o nome da etapa alcançada (cadastro concluído, escola ativada ou plano contratado), a data e hora e o valor do plano — sem nome, e-mail ou dados de alunos;
• apps de benefício corporativo (como a TotalPass), quando a escola liga a integração: confirmamos ao parceiro que a visita do usuário dele aconteceu e informamos as vagas das aulas publicadas — nenhum dado de aluno ou responsável da escola vai para o parceiro.

Também podemos compartilhar dados quando exigido por lei ou por autoridade competente, e com assessores profissionais sob sigilo. Cada escola vê apenas os seus próprios dados: o isolamento entre escolas é garantido no código e testado continuamente.

7. Cookies e armazenamento local

• Painel e app do professor: usamos um cookie de sessão (httpOnly) para manter você conectado e o armazenamento local do navegador para preferências de interface (ex.: barra lateral recolhida, notificações lidas). Nada disso rastreia você fora da plataforma.
• Sites das escolas: usamos as mesmas ferramentas de medição de audiência do site institucional (Google Analytics, por meio do Google Tag Manager) para contar visitas e saber de onde elas vêm. Não usamos cookies de publicidade. Os formulários públicos podem carregar a verificação antirrobô da Cloudflare (Turnstile).
• Links enviados às famílias (pagamento, contrato, portal, ingressos): não usamos cookies de medição, rastreamento nem publicidade.
• Site institucional (compassa.com.br): usamos Google Tag Manager e ferramentas de medição de audiência para contar visitas, e as tags do Google Ads (o vinculador de conversões, que grava cookies próprios do Google Ads como _gcl_aw, e a tag de remarketing) para medir e mostrar os anúncios da Compassa. O cadastro de escola lê o identificador do Google Analytics para saber quantas pessoas chegam a cada tela e o guarda junto da conta da escola, para saber por qual canal ela chegou.
• Também no site institucional, quando a visita chega por um anúncio ou por um link de campanha, gravamos o cookie cp_attr (válido por 90 dias, no domínio compassa.com.br) com o identificador de clique, os parâmetros de campanha, a página de entrada e a data e hora. O cadastro de escola o lê para guardar de qual anúncio ou campanha a escola veio. Ele não guarda nome, e-mail nem telefone. Você pode bloquear esses cookies nas configurações do navegador sem prejuízo ao uso do site.

8. Como protegemos os dados

• criptografia em trânsito (HTTPS/TLS) em todos os ambientes;
• isolamento de dados por escola em toda consulta ao banco, com testes automáticos que verificam que nenhuma escola acessa dados de outra;
• senhas armazenadas com hash forte (argon2id); chaves de integração de pagamento e WhatsApp cifradas em repouso;
• acesso das famílias por links assinados com prazo de validade, sem senha, e portal do responsável revogável a qualquer momento pela escola;
• controle de acesso por papel (dono, secretaria, professor) e registro de acessos de suporte feitos pela nossa equipe;
• backups automáticos da base de dados e infraestrutura hospedada no Brasil.

Nenhum sistema é 100% seguro. Se ocorrer um incidente que possa causar risco relevante a você, comunicaremos a escola afetada, os titulares quando cabível e a Autoridade Nacional de Proteção de Dados, conforme a lei.

9. Por quanto tempo guardamos

• Dados da escola e de sua equipe: enquanto a conta existir. Após o encerramento, a escola tem 30 dias para exportar os dados; depois eliminamos ou anonimizamos.
• Alunos e responsáveis: enquanto a escola mantiver o cadastro. A escola pode arquivar um aluno (dados preservados) ou pedir a exclusão definitiva: se não houver histórico financeiro ou contrato assinado, o cadastro é apagado por completo; se houver, o cadastro é anonimizado (nome e dados de contato removidos, observações de saúde e medidas apagadas) e apenas os registros de cobrança e contrato são mantidos pelo prazo legal.
• Cobranças, pagamentos, contratos assinados e notas fiscais: pelo prazo exigido pela legislação fiscal e civil (em geral, 5 anos após o fato), mesmo após o encerramento da conta. Registros de cobrança nunca são apagados — quando cancelados, ficam marcados como cancelados para auditoria.
• Leads (aula experimental): enquanto a escola os mantiver no funil; leads sem resposta são marcados como frios após 30 dias e podem ser excluídos pela escola a qualquer momento.
• Registros de aceite eletrônico e logs de segurança: pelo prazo necessário à comprovação do aceite e à segurança, em geral 5 anos.

10. Seus direitos

Como titular de dados, você pode, nos termos do art. 18 da LGPD:

• confirmar se tratamos seus dados e acessá-los;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• pedir a portabilidade dos dados a outro fornecedor;
• saber com quem compartilhamos seus dados;
• revogar um consentimento dado, quando essa for a base do tratamento;
• opor-se a tratamentos baseados em legítimo interesse.

Escolas e sua equipe exercem esses direitos pelo painel ou escrevendo para contato@compassa.com.br. Famílias devem procurar a escola, que dispõe das ferramentas para atender ao pedido; se preferir, escreva para nós e encaminharemos. Você também pode apresentar uma reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

11. Transferência internacional

Nossos servidores e o banco de dados ficam no Brasil. Alguns suboperadores (Cloudflare, Resend, Meta) podem processar dados em outros países ao entregar páginas, e-mails e mensagens. Nesses casos, a transferência ocorre com base em cláusulas contratuais e garantias de proteção adequadas, conforme o art. 33 da LGPD.

12. Alterações desta Política

Cada versão desta Política é identificada pela data no topo da página. Mudanças relevantes são comunicadas ao dono da conta por e-mail e, quando necessário, exibidas no painel. A versão aceita no cadastro da escola fica registrada e pode ser consultada em Configurações → Assinatura.