Este documento é um rascunho técnico e não está publicado nem aprovado. A aplicação bloqueia a release de produção enquanto faltarem a identidade da entidade, a decisão sobre EPD/DPO e a aprovação explícita desta versão. Não deve ser usado para recolher dados reais ou celebrar contratos.
A identidade e os contactos do operador só serão apresentados depois de configurados e aprovados; até lá esta página não constitui uma política publicada.
1. Quem decide o tratamento
A instituição cliente decide por que motivo e como são usados os dados das crianças, familiares, pessoas autorizadas e comunicações escolares. Nesses tratamentos, a instituição é o responsável pelo tratamento e o operador da KidsNoted atua como subcontratante segundo o DPA e as instruções documentadas do cliente.
O operador da KidsNoted atua como responsável pelos tratamentos próprios necessários a gerir a relação comercial, contas administrativas, faturação, segurança, prevenção de abuso, suporte e cumprimento de obrigações legais. Estas finalidades não transformam os dados escolares do cliente em dados para uso próprio.
2. Dados tratados
- Cliente e conta: instituição, email, ano letivo, nome, username, email, hash e salt da palavra-passe, função, permissões, salas atribuídas, estado da conta e datas técnicas.
- Criança e família: nome, data de nascimento, NIF, sala, familiares, irmãos, contactos, morada, código postal, localidade, responsável financeiro e nomes de pesquisa de pagadores.
- Categoria especial: alergias, medicação, alimentação e observações de saúde introduzidas pela instituição ou pelo encarregado.
- Imagem e recolha: fotografia da criança e pessoas autorizadas a recolher, incluindo nome, parentesco e documento quando o cliente o regista.
- Financeiro: mensalidade, método habitual, extras, dívidas, banco, data, valor, descrição/pagador, linha original, associação e confiança da sugestão.
- Uploads: PDF recebido transitoriamente para extração, rótulo genérico, banco, datas, método/versão/aviso de processamento, contagens, movimentos derivados e estado. A rota atual não conserva os bytes nem o nome original do PDF depois do pedido, mas conserva metadados e resultados minimizados.
- Portal: relações entre encarregados e crianças, parentesco, convites e respetiva validade/uso, recados, destinatários e estado de leitura.
- Serviço e segurança: cookies técnicos de sessão e convite pendente, identificadores internos, pedidos e erros mínimos, além de suporte/incidentes. A auditoria aplicacional guarda apenas referências HMAC pseudónimas de IP e user-agent com chave separada, nunca esses valores em bruto; a infraestrutura deve ter inventário e retenção próprios.
- Subscrição: identificador Stripe, plano, estado, período experimental, renovação e informação de faturação recolhida pela Stripe.
- Conformidade: documento e versão aceites/consultados, origem e data, referências HMAC pseudónimas de rede/dispositivo, pedidos de direitos, prazo, estado, exceções e evidência minimizada.
3. Finalidades e bases
- Disponibilizar contas, autenticação, serviço e suporte: contrato ou diligências pré-contratuais aplicáveis ao utilizador/cliente.
- Faturação, fiscalidade e resposta a autoridades: cumprimento das obrigações legais aplicáveis.
- Segurança, prevenção de fraude e defesa de direitos: interesse legítimo sujeito a avaliação, minimização e direito de oposição quando aplicável.
- Dados escolares, comunicações, fotos e finanças: instruções e base definida pela instituição responsável; a KidsNoted não escolhe essa base pelo cliente.
- Analytics não essencial: não existe atualmente no produto; uma introdução futura exige nova versão desta política, avaliação e consentimento prévio válido quando aplicável.
O cliente deve informar os titulares e documentar a sua base. A celebração do contrato com a KidsNoted não é, por si, base para todos os tratamentos que a instituição realiza sobre crianças.
4. Saúde e outros dados especialmente protegidos
O cliente é responsável por demonstrar uma base do artigo 6.º e uma condição aplicável do artigo 9.º do RGPD antes de inserir saúde, medicação, alergias ou alimentação. Um checkbox genérico da app não cria essa condição. O acesso deve ser limitado às funções necessárias e estes dados não são enviados para analytics, Stripe ou para o extrator de PDFs.
5. Fornecedores e transferências
- Vercel: alojamento e execução da aplicação; regiões, logs, contrato e transferências têm de constar do registo aprovado do ambiente.
- Base de dados: fornecedor e região ainda não publicados.
- Stripe: cliente, checkout, subscrição, faturação e pagamento quando a cobrança está configurada.
- Anthropic: pode receber apenas linhas candidatas minimizadas e redigidas localmente, nunca os bytes do PDF, quando chave, ativação e aprovação documentada estão simultaneamente ativas e o utilizador escolhe essa opção no upload.
- Analytics: não existe atualmente fornecedor, SDK, captura ou sink de analytics de terceiros no produto.
Nenhuma referência a DPA, SCC ou adequação vale como prova automática. Antes de ativar cada fornecedor, são registados entidade contratual, países, subprocessadores, retenção e, para fora do EEE, a decisão de adequação ou o mecanismo do artigo 46.º, a TIA e medidas suplementares. A lista vigente e alterações são comunicadas pelo contacto de privacidade e anexadas ao DPA.
6. Extração por IA
A extração externa é opcional e está desligada por omissão. Quando autorizada para um ambiente, o utilizador escolhe expressamente o método e é informado antes do upload de que apenas linhas candidatas minimizadas podem seguir para a Anthropic; o PDF completo não sai do servidor. A alternativa local não envia dados a esse fornecedor, mas pode ter menor precisão. Toda a sugestão exige confirmação humana; a KidsNoted não toma decisões automáticas com efeitos jurídicos sobre a criança ou o pagador.
Segundo a documentação pública da Anthropic, por omissão os inputs e outputs enviados à API são eliminados num prazo da ordem de 30 dias, com exceções documentadas (por exemplo, obrigações legais ou análise de violações das políticas de utilização). Retenção zero ("Zero Data Retention") só se aplica a contas com acordo ou configuração elegível. A condição concreta da conta usada pela KidsNoted permanece por confirmar e tem de ser validada antes de a extração por IA ser ativada com dados reais. O processamento externo tem custo por utilização; o leitor local não tem custo adicional.
7. Retenção, arquivo e eliminação
A aplicação mantém atualmente dossiers, fotografias, recados e registos financeiros enquanto o serviço está ativo; arquivo e soft-delete não equivalem a eliminação. O PDF original é processado em memória na rota atual, mas os movimentos e metadados derivados ficam na base. Os prazos concretos por categoria, logs, backups e fornecedor constam do plano de retenção aprovado antes da produção.
No fim do contrato, o cliente escolhe devolução ou eliminação segundo o DPA, ressalvadas obrigações legais documentadas. A execução abrange base primária, fornecedores e expiração de backups, com evidência. Enquanto estes prazos e procedimentos não tiverem owner e aprovação, a publicação e o tratamento real permanecem bloqueados.
8. Direitos
Para dados escolares, o pedido deve ser dirigido em primeiro lugar à instituição responsável; a KidsNoted ajuda-a a localizar, exportar, corrigir, limitar ou eliminar dados segundo instrução válida. Para conta, billing, segurança e suporte tratados pelo operador, o pedido pode ser enviado para o contacto de privacidade que será publicado. Pode ainda ser apresentada reclamação à CNPD.
A identidade e, no caso de crianças, a legitimidade do representante são verificadas de forma proporcional. A app não pede novamente dados que já permitam verificar o pedido e não envia exports por canais inseguros.
9. Segurança e incidentes
As palavras-passe são guardadas como hash scrypt com salt individual, não como texto reversível. As sessões são assinadas e o cookie é HttpOnly, SameSite e Secure em produção. Existem controlos de função/capability e contexto de instituição, mas estes não substituem testes de isolamento, cifragem, gestão de acessos, monitorização e resposta a incidentes.
Se ocorrer uma violação, a KidsNoted preserva factos mínimos, contém o incidente e determina se atua como subcontratante ou responsável. Como subcontratante informa o cliente sem demora injustificada; nos tratamentos próprios gere a avaliação e as notificações aplicáveis.
10. Cookies e analytics
A aplicação usa atualmente dois cookies estritamente técnicos: concilia_session, que mantém a sessão por um máximo configurado de 30 dias, e concilia_invite_pending, que troca o token de convite por uma sessão HttpOnly de até 20 minutos antes de remover o segredo do URL. Não existe analytics de terceiros. Qualquer analytics não essencial futura exige nova avaliação, atualização desta política e opt-in prévio quando aplicável; rotas de convite, login, documentos legais, saúde, fotos, mensagens e financeiro continuam excluídas.
11. Alterações e contacto
Alterações materiais criam uma nova versão e data efetiva; as versões anteriores permanecem ligadas no arquivo. Clientes são avisados pelo canal contratual antes da entrada em vigor quando necessário. O contacto de privacidade é publicado apenas após validação da entidade.