1. Objeto
Este Anexo integra os Termos de Uso e disciplina o tratamento de dados pessoais que a Veexi realiza por conta e ordem do Contratante.
Para os dados de alunos, responsáveis, instrutores e demais pessoas que o Contratante insere na Plataforma:
- o Contratante é o Controlador — decide por que e como esses dados são tratados;
- a Veexi é a Operadora — trata os dados apenas conforme as instruções do Contratante e o necessário para prestar o serviço.
2. O que tratamos, de quem e para quê
Titulares: alunos e clientes finais do Contratante, seus responsáveis legais, instrutores, funcionários e contatos comerciais.
Categorias de dados: identificação (nome, CPF, RG, data de nascimento), contato (e-mail, telefone, endereço), dados acadêmicos (matrículas, turmas, frequência, notas, certificados), dados financeiros (cobranças, pagamentos, notas fiscais) e documentos que o Contratante optar por anexar.
Finalidade: exclusivamente executar as funcionalidades contratadas — gestão acadêmica, financeira, de cobrança, de comunicação e os relatórios que o Contratante utilizar.
A Veexi não utiliza esses dados para finalidade própria, não os comercializa, não os cede e não os usa para treinar modelos de inteligência artificial.
3. Instruções do Contratante
As instruções do Contratante se manifestam pelo uso da Plataforma e por suas configurações. Instrução adicional ou diversa deve ser enviada por escrito e será avaliada quanto à viabilidade técnica e à legalidade.
A Veexi informará o Contratante caso entenda que uma instrução recebida viola a legislação de proteção de dados.
4. Responsabilidades do Contratante
O Contratante declara e garante que:
- possui base legal adequada para tratar os dados que insere na Plataforma;
- presta aos titulares as informações exigidas pela LGPD, inclusive sobre o uso de operador;
- obtém consentimento quando essa for a base legal aplicável, em especial para menores;
- mantém os dados exatos e atualizados;
- atende aos pedidos dos titulares, cabendo à Veexi apenas apoiá-lo tecnicamente.
5. Segurança
A Veexi mantém, no mínimo:
- isolamento lógico entre contratantes, de modo que dados de uma escola não sejam acessíveis a outra;
- controle de acesso por perfil, com registro das operações relevantes;
- criptografia dos dados em trânsito e das credenciais sensíveis armazenadas;
- rotinas periódicas de cópia de segurança;
- acesso da equipe da Veexi limitado ao estritamente necessário para suporte e manutenção.
6. Subprocessadores
O Contratante autoriza a Veexi a contratar terceiros para viabilizar a prestação, mantendo-se responsável por eles.
Subprocessadores atuais: Hostinger (servidores) e banco de dados PostgreSQL sob gestão própria (infraestrutura e banco de dados, Brasil (São Paulo/SP)), ASAAS Gestão Financeira S.A. (meios de pagamento), Resend (envio de e-mail) e Anthropic (EUA), OpenAI (EUA), Google (EUA), DeepSeek (China), Moonshot AI (China) e Maritaca AI (Brasil), como provedores de modelos de linguagem, em modalidade contratual que veda o uso do conteúdo para treinamento; Helicone (EUA), como serviço de observabilidade, apenas quando habilitado pelo contratante; Upstash (EUA), como cache temporário de respostas (recursos de inteligência artificial, quando habilitados).
Novas contratações relevantes serão comunicadas com antecedência de 30 (trinta) dias, podendo o Contratante rescindir sem ônus caso não concorde.
6.1. Localização dos dados
A infraestrutura que hospeda a Plataforma está localizada em Brasil (São Paulo/SP). Todos os dados tratados na Plataforma, incluindo os dados dos alunos do Contratante, permanecem armazenados em território nacional.
Não há transferência internacional para armazenamento. A única hipótese de tratamento fora do país é o processamento por provedores de inteligência artificial, descrito na seção seguinte, sempre com os dados pessoais identificadores pseudonimizados.
Inteligência artificial. Alguns recursos da Plataforma (atendimento automatizado, assistente do painel, leitura automática de documentos e relatórios) utilizam modelos de inteligência artificial operados por terceiros: Anthropic (EUA), OpenAI (EUA), Google (EUA), DeepSeek (China), Moonshot AI (China) e Maritaca AI (Brasil), como provedores de modelos de linguagem, em modalidade contratual que veda o uso do conteúdo para treinamento; Helicone (EUA), como serviço de observabilidade, apenas quando habilitado pelo contratante; Upstash (EUA), como cache temporário de respostas. Parte desses provedores processa os dados fora do Brasil (Estados Unidos e China).
Antes de qualquer envio, a Plataforma pseudonimiza os dados pessoais identificadores — CPF, CNPJ, RG, telefone e e-mail são substituídos por códigos temporários, de modo que o provedor não recebe esses dados; a correspondência é refeita apenas dentro da Plataforma. Nomes podem ser enviados quando necessários ao atendimento. As respostas dos provedores não são usadas para treinar modelos.
Documentos de identidade (RG, CPF, CNH, carteira de vigilante e foto) não são enviados a provedores de IA — nem com consentimento. A imagem de um documento não pode ser pseudonimizada, e por isso a conferência desses documentos é feita por uma pessoa. Os demais documentos podem ser lidos automaticamente mediante consentimento específico do titular, revogável a qualquer momento no portal do aluno.
O Contratante pode, nas configurações, restringir as regiões dos provedores utilizados (por exemplo, somente Brasil) nos recursos de atendimento, assistente e relatórios, ou desativar recursos de IA. A transferência, quando ocorre, tem fundamento no art. 33, inciso II, alínea "a" da LGPD (cláusulas contratuais com o provedor) e no art. 7º, inciso IX (legítimo interesse), observados os direitos dos titulares.
O Contratante, na condição de Controlador, declara-se ciente e deve refletir esta informação em sua própria política de privacidade (art. 9º, inciso V da LGPD). Registros de conversa e de execução de ferramentas de IA são expurgados no prazo configurado pelo Contratante (padrão: 180 dias).
7. Recursos de inteligência artificial
Quando o Contratante habilita recursos de IA, conteúdos podem ser enviados a provedores de modelos para gerar a resposta solicitada. A Veexi contrata esses provedores em modalidade que veda o uso do conteúdo para treinamento. O Contratante pode manter tais recursos desligados.
8. Incidentes de segurança
Tomando conhecimento de incidente que possa acarretar risco ou dano relevante aos titulares, a Veexi comunicará o Contratante em até 2 (dois) dias úteis, com as informações disponíveis sobre natureza, dados afetados, medidas adotadas e riscos envolvidos, prestando o apoio necessário às comunicações que caibam ao Contratante.
9. Apoio ao exercício de direitos
Recebendo pedido de titular relativo a dados do Contratante, a Veexi o encaminhará ao Contratante e prestará apoio técnico para atendimento no prazo legal, inclusive para exportação, correção e eliminação.
10. Devolução e eliminação
Encerrado o contrato, o Contratante poderá exportar seus dados pelos recursos da Plataforma durante 30 (trinta) dias.
Findo esse prazo, a Veexi eliminará os dados, salvo aqueles cuja guarda seja exigida por lei, que serão mantidos apenas pelo prazo obrigatório e com acesso restrito.
11. Auditoria
Mediante aviso prévio razoável e no máximo uma vez por ano, o Contratante poderá solicitar informações que comprovem o cumprimento deste Anexo, preservados o sigilo e a segurança dos demais contratantes.