Política de Privacidade
Última atualização: 6 de maio de 2025
1. Responsável pelo tratamento
O responsável pelo tratamento dos seus dados pessoais é o TeacherHub (contacto: contact@certoeclaro.pt). Esta política aplica-se à plataforma disponível em teacherhub.certoeclaro.pt e respetivas aplicações. Não dispomos de Encarregado de Proteção de Dados (DPO) designado — caso tenha questões de privacidade, contacte-nos diretamente pelo endereço acima.
2. Dados que recolhemos
- Dados de conta: nome, endereço de e-mail, palavra-passe (armazenada exclusivamente com hash BCrypt, nunca em texto simples), fornecedor de autenticação (credenciais, Google ou Microsoft), papel (professor/admin), data de criação.
- Dados de planeamento letivo: turmas, aulas (data, hora, duração, descrição, atividades, materiais, avaliações), unidades curriculares, reflexões pós-aula (classificação, notas livres) e modelos (templates) de planos de aula.
- Dados de alunos: nomes, registos de participação e comportamento, notas de observação por sessão. Ver secção 3 para condições específicas.
- Ficheiros carregados (Hub): nome, tipo, tamanho e conteúdo dos ficheiros que carrega para o Hub de Ficheiros (PDF, PowerPoint, ZIP). Os ficheiros são armazenados de forma segura num serviço de nuvem de terceiros — ver secção 6.
- Dados de avaliação: registos de avaliação de turma (comportamento, compreensão, participação) e de alunos individuais por aula.
- Registos de auditoria: ações realizadas na plataforma (criação, edição e eliminação de registos, autenticações), endereço IP, data e hora, e identificador do utilizador que realizou a ação. Estes registos destinam-se à segurança e integridade do serviço e são acessíveis a administradores da plataforma.
- Tokens de sessão: tokens de atualização (refresh tokens) armazenados de forma segura no servidor para manutenção de sessão autenticada.
- Dados técnicos: endereço IP, tipo de browser, sistema operativo e registos de acesso.
- Cookies: cookies essenciais para autenticação e preferências de interface (modo escuro/claro).
3. Dados de alunos
Os dados de alunos introduzidos na plataforma (nomes, registos de participação, comportamento e notas) são tratados de acordo com o seguinte modelo:
- O professor ou a instituição de ensino assume a qualidade de responsável pelo tratamento desses dados, sendo responsável pela sua base legal e pela informação prestada aos alunos e encarregados de educação.
- O TeacherHub atua como subprocessador, tratando os dados exclusivamente de acordo com as instruções documentadas do responsável pelo tratamento e apenas para a prestação do serviço.
- Os dados de alunos não são utilizados para fins de análise, publicidade ou qualquer propósito que não seja a prestação direta do serviço ao professor.
- Os dados de participação e comportamento dos alunos, tal como implementados (classificações numéricas, notas de texto), constituem dados pessoais comuns ao abrigo do Artigo 6.º do RGPD — não são dados de categoria especial nos termos do Artigo 9.º.
- Os dados de alunos são eliminados no prazo de 30 dias após o encerramento ou eliminação da conta do professor.
Instituições de ensino que pretendam celebrar um Acordo de Tratamento de Dados (nos termos do Artigo 28.º do RGPD) podem contactar-nos em contact@certoeclaro.pt.
4. Finalidade do tratamento
- Prestação, manutenção e melhoria do serviço TeacherHub.
- Autenticação e segurança da conta (incluindo gestão de sessões e tokens).
- Armazenamento e disponibilização de ficheiros pedagógicos no Hub de Ficheiros, incluindo geração de URLs de transferência temporários (pré-assinados, validade de 5 minutos).
- Comunicações de serviço (notificações de segurança, recuperação de palavra-passe, atualizações de termos).
- Deteção e prevenção de utilização abusiva através de registos de auditoria.
- Cumprimento de obrigações legais.
5. Base legal (RGPD)
- Artigo 6.º, n.º 1, al. b) — Execução de contrato: tratamento dos dados de conta e de planeamento letivo necessário para prestar o serviço solicitado.
- Artigo 6.º, n.º 1, al. f) — Interesse legítimo: segurança da plataforma, prevenção de fraude e integridade dos registos de auditoria.
- Artigo 6.º, n.º 1, al. c) — Obrigação legal: conservação de registos exigida por lei.
- Dados de alunos: o fundamento legal aplicável é determinado pelo professor/instituição enquanto responsável pelo tratamento (tipicamente Artigo 6.º, n.º 1, al. b) ou al. e) conforme o contexto público ou privado da instituição).
6. Subprocessadores e transferências internacionais
Não vendemos os seus dados. Recorremos a subprocessadores técnicos para prestação do serviço, incluindo armazenamento de ficheiros em nuvem, envio de e-mail transacional e alojamento da aplicação. Alguns destes subprocessadores estão localizados fora do Espaço Económico Europeu; nesse caso, as transferências são efetuadas com recurso a Cláusulas Contratuais Tipo (CCT) nos termos do Artigo 46.º, n.º 2, al. c) do RGPD (Decisão da Comissão 2021/914) ou outras garantias adequadas.
A lista completa e atualizada de subprocessadores, incluindo país de localização, finalidade e mecanismo de transferência, está disponível em: teacherhub.certoeclaro.pt/subprocessors. Notificaremos os utilizadores registados com pelo menos 14 dias de antecedência antes de adicionarmos qualquer subprocessador que implique transferência de dados para fora do EEE.
7. Retenção de dados
- Dados de conta e planeamento letivo: enquanto a conta estiver ativa + 90 dias após eliminação da conta.
- Dados de alunos: eliminados no prazo de 30 dias após eliminação da conta do professor.
- Ficheiros do Hub: quando eliminados pelo utilizador, são movidos para a reciclagem e eliminados permanentemente ao fim de 30 dias. Após eliminação ou encerramento de conta, os ficheiros são eliminados permanentemente no prazo de 30 dias. Não mantemos cópias de segurança dos ficheiros — recomendamos que guarde sempre cópias locais dos seus materiais.
- Sessões arquivadas (Plano Completo): mantidas por 3 anos após a data de arquivo. No final desse prazo, as sessões arquivadas e os dados associados são eliminados permanentemente. Este prazo é configurável pelo administrador da plataforma.
- Registos de auditoria: 12 meses.
- Logs de acesso técnicos: 12 meses.
8. Os seus direitos
Ao abrigo do RGPD, tem direito a:
- Acesso — obter uma cópia dos seus dados.
- Retificação — corrigir dados incorretos.
- Apagamento — solicitar a eliminação da sua conta e de todos os dados associados.
- Portabilidade — exportar os seus dados em formato estruturado. Os ficheiros do Hub podem ser descarregados em bloco (ZIP) diretamente na plataforma.
- Oposição — opor-se ao tratamento baseado em interesse legítimo.
- Limitação — solicitar a suspensão temporária do tratamento.
Para exercer qualquer direito, contacte contact@certoeclaro.pt. Responderemos no prazo de 30 dias. Tem também o direito de apresentar reclamação à autoridade de controlo competente:
Comissão Nacional de Proteção de Dados (CNPD)
Av. D. Carlos I, 134, 1.º — 1200-651 Lisboa
www.cnpd.pt
10. Segurança
Adotamos as seguintes medidas técnicas e organizacionais para proteger os seus dados:
- Comunicações cifradas via HTTPS/TLS em todos os pontos de acesso.
- Hashing de palavras-passe com BCrypt (custo mínimo de 12 rondas).
- Controlo de acesso por função (RBAC) — cada utilizador só acede aos seus próprios dados.
- Tokens de acesso de curta duração com renovação controlada por refresh tokens armazenados no servidor.
- URLs de transferência de ficheiros pré-assinados com validade de 5 minutos — cada download gera um URL único e temporário.
- Chaves de armazenamento de ficheiros opacas (GUID aleatório) — não existe correlação direta entre o nome do ficheiro e a sua localização de armazenamento.
- Registos de auditoria de todas as ações relevantes para deteção de acessos não autorizados.
11. Notificação de violações de dados
Em caso de violação de dados pessoais (acesso não autorizado, destruição, perda ou divulgação acidental), o TeacherHub:
- Notificará a CNPD no prazo de 72 horas após tomar conhecimento da violação, nos termos do Artigo 33.º do RGPD, através do portal de notificação da CNPD.
- Caso a violação seja suscetível de resultar em elevado risco para os direitos e liberdades dos titulares, notificará também os utilizadores afetados sem demora injustificada, nos termos do Artigo 34.º do RGPD.
- Documentará internamente todas as violações, mesmo as que não impliquem notificação obrigatória.
12. Alterações a esta política
Podemos atualizar esta política para refletir alterações legais, regulatórias ou de serviço. Em caso de alterações materiais — nomeadamente a adição de novos subprocessadores, novas categorias de dados ou alteração das finalidades de tratamento — notificaremos os utilizadores registados por e-mail com pelo menos 15 dias de antecedência. A data de "última atualização" no topo desta página reflete sempre a versão em vigor.
13. Contacto
Para questões de privacidade ou para exercer os seus direitos: contact@certoeclaro.pt