Política de Suboperadores

Esta Política de Suboperadores explica quais terceiros podem apoiar a Alusa no fornecimento da plataforma, quais atividades eles realizam, quais categorias de dados podem ser envolvidas, quais medidas de governança são adotadas e como mudanças relevantes na lista de suboperadores são comunicadas.

A Alusa utiliza suboperadores para viabilizar atividades essenciais ou auxiliares ao ERP Educacional, incluindo hospedagem, infraestrutura, observabilidade, comunicações transacionais, segurança, suporte técnico e processamento financeiro integrado.

Esta Política complementa a Política de Privacidade e o DPA / Contrato de Tratamento de Dados. Em caso de conflito entre documentos, prevalecerá o instrumento mais específico aplicável ao tratamento discutido, observada a legislação brasileira, especialmente a Lei Geral de Proteção de Dados Pessoais — LGPD.

Esta Política se aplica ao tratamento de dados pessoais realizado por suboperadores contratados ou utilizados pela Alusa para apoiar: o site público da Alusa; o cadastro de escolas e usuários; o app autenticado da Alusa; o portal do responsável e/ou aluno; funcionalidades acadêmicas; funcionalidades administrativas; funcionalidades financeiras; notificações transacionais; observabilidade técnica; segurança da informação; suporte e diagnóstico operacional; rotinas de auditoria, logs, consentimento, privacidade e cumprimento contratual.

Esta Política não substitui os contratos específicos firmados entre a Escola e a Alusa, nem substitui os contratos, políticas e termos próprios dos suboperadores quando aplicáveis ao relacionamento jurídico direto entre o titular, a Escola, a Alusa ou o próprio suboperador.

Alusa significa a plataforma de ERP Educacional multi-tenant utilizada para centralizar rotinas administrativas, acadêmicas, operacionais e financeiras de escolas, cursos e instituições de ensino.

Escola significa a instituição de ensino, curso, empresa, pessoa jurídica ou contratante que cria ou utiliza uma Conta na Alusa.

Conta significa o tenant principal da Escola na Alusa, usado para segregação lógica, operacional e de permissões.

Usuário significa qualquer pessoa autorizada a acessar a Alusa, incluindo administradores, colaboradores, professores, equipe financeira, recepção, responsáveis, alunos e usuários de suporte autorizados.

Titular significa a pessoa natural a quem os dados pessoais se referem, incluindo alunos, responsáveis, colaboradores, usuários, visitantes do site, contatos de suporte e pagadores.

Suboperador significa terceiro contratado ou utilizado pela Alusa para tratar dados pessoais em nome da Alusa, quando a Alusa atua como operadora da Escola, ou para apoiar atividades próprias da Alusa, quando a Alusa atua como controladora.

Dados pessoais significa qualquer informação relacionada a pessoa natural identificada ou identificável.

Dados pessoais sensíveis significa dados definidos como sensíveis pela LGPD, incluindo, quando aplicável, dados sobre saúde, biometria, origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado genético ou outros dados legalmente classificados como sensíveis.

Dados financeiros significa dados cadastrais, transacionais, de cobrança, pagamento, assinatura, parcelamento, estorno, inadimplência, saldo, extrato, transferência, conciliação e outros dados necessários às rotinas financeiras da Escola na Alusa.

Em dados acadêmicos, administrativos e financeiros cadastrados pela Escola para operar sua instituição, a Escola normalmente atua como controladora, definindo as finalidades e meios essenciais do tratamento. Nesses casos, a Alusa atua como operadora, tratando os dados conforme as funcionalidades contratadas, instruções documentadas, configurações da Escola, contratos aplicáveis e requisitos legais.

A Alusa também poderá atuar como controladora em tratamentos relacionados a: criação e gestão da conta da própria Alusa; faturamento da assinatura SaaS da Alusa; segurança da plataforma; prevenção a abuso, fraude e uso indevido; suporte técnico; melhoria da plataforma; registros de aceite legal; gestão de cookies e preferências no site público; atendimento a solicitações de privacidade; cumprimento de obrigações legais, regulatórias e contratuais próprias.

Quando a Alusa contrata ou utiliza suboperadores para apoiar o tratamento realizado em nome da Escola, a Alusa adota medidas contratuais, técnicas e organizacionais compatíveis com o tipo de serviço, a natureza dos dados tratados e os riscos envolvidos.

A Alusa utiliza suboperadores para funções específicas e necessárias à operação da plataforma. Esses terceiros podem tratar dados pessoais apenas na medida necessária para prestar o serviço contratado ou viabilizar a funcionalidade correspondente.

Os suboperadores podem atuar em atividades como: hospedagem da aplicação; infraestrutura de deploy; entrega de conteúdo e recursos técnicos; armazenamento e processamento técnico; observabilidade, logs e monitoramento de erros; envio de e-mails transacionais; processamento financeiro; criação e gestão de subcontas financeiras; cobrança por Pix, boleto e cartão; conciliação de pagamentos; segurança, auditoria e investigação de incidentes; suporte técnico e diagnóstico operacional.

A Alusa busca limitar o compartilhamento de dados ao mínimo necessário para a finalidade contratada, considerando o princípio da necessidade previsto na LGPD.

A lista abaixo apresenta os suboperadores atualmente previstos para a operação da Alusa.

A Alusa poderá atualizar esta lista para refletir inclusão, substituição, suspensão ou remoção de suboperadores, conforme evolução da plataforma, requisitos técnicos, segurança, disponibilidade, conformidade, contratos comerciais ou necessidades operacionais.

O Asaas é utilizado como infraestrutura financeira integrada à Alusa. Na operação da plataforma, o Asaas pode apoiar fluxos como: criação e gestão de subcontas financeiras; validação cadastral e KYC/onboarding financeiro; cadastro de customers; criação e gestão de cobranças; cobranças por Pix, boleto e cartão; assinaturas recorrentes; parcelamentos; notificações financeiras; webhooks de eventos financeiros; conciliação e reconciliação; consulta de status financeiro; extrato, saldo e transferência, quando aplicável; estornos, chargebacks, bloqueios, análise de risco, compliance e rotinas correlatas.

As informações compartilhadas com o Asaas poderão incluir dados da Escola, dados de responsáveis financeiros, dados de pagadores, dados de contato, documentos, endereço, identificadores externos, dados de cobrança, dados transacionais e metadados necessários para a operação financeira.

A Alusa não substitui o Asaas como provedor regulado ou infraestrutura financeira. Determinadas operações podem depender de análise, disponibilidade, regras, limites, políticas, validações, prazos e decisões do Asaas ou de instituições financeiras, arranjos de pagamento, bancos, autoridades competentes e parceiros envolvidos.

A Escola é responsável por configurar corretamente valores, vencimentos, descontos, multas, juros, planos, contratos, cobranças, responsáveis financeiros e regras comerciais. A Alusa operacionaliza a tecnologia e integra os fluxos financeiros dentro do contexto educacional, mas não assume responsabilidade por dados incorretos inseridos pela Escola ou por instruções operacionais configuradas de forma inadequada.

A Vercel poderá ser utilizada para hospedagem, deploy, distribuição de conteúdo, execução de partes da aplicação, infraestrutura técnica e disponibilidade do site público e/ou da aplicação Alusa.

No contexto da Vercel, poderão ser processados dados técnicos necessários ao funcionamento da aplicação, como: endereços IP; user-agent; metadados de requisição; logs técnicos; rotas acessadas; dados transitórios necessários à execução da aplicação; informações relacionadas a performance, disponibilidade e segurança.

A Alusa adota configurações e práticas de segurança proporcionais ao risco para reduzir exposição indevida de dados em logs, requisições e ambientes de execução. A infraestrutura de hospedagem poderá evoluir conforme necessidades técnicas, comerciais, regulatórias ou operacionais.

O Sentry poderá ser utilizado para observabilidade, monitoramento de erros, performance, diagnóstico técnico e melhoria de estabilidade da plataforma.

A Alusa busca limitar os dados enviados para ferramentas de observabilidade e adota mecanismos de minimização e sanitização quando aplicável. Eventos técnicos podem conter informações como: rota ou endpoint relacionado ao erro; tipo de navegador ou ambiente técnico; stack trace; metadados de execução; informações técnicas de performance; identificadores técnicos ou pseudonimizados; dados necessários para investigar falhas.

A Alusa adota práticas para reduzir o envio de dados pessoais desnecessários para ferramentas de observabilidade. Ainda assim, determinados eventos técnicos podem conter dados incidentais, especialmente quando resultam de erros em fluxos autenticados ou operações sensíveis. Nesses casos, a Alusa busca aplicar redaction, minimização e controles de acesso.

A Alusa poderá utilizar Resend ou outro provedor de e-mail transacional para envio de comunicações necessárias à operação da plataforma, incluindo: confirmação de e-mail; redefinição de senha; convites de usuários; alertas de segurança; notificações operacionais; comunicações sobre conta; avisos relacionados a privacidade ou documentos legais; e-mails transacionais ligados a funcionalidades da plataforma; comunicações de suporte ou atendimento, quando aplicável.

Os dados tratados por esse provedor podem incluir nome, e-mail, assunto, conteúdo da mensagem, identificadores de envio, status de entrega, logs técnicos, horários de envio, rejeições, aberturas ou cliques, quando esses recursos forem habilitados e compatíveis com a finalidade.

Comunicações estritamente necessárias à execução do serviço, autenticação, segurança, cobrança, suporte e cumprimento legal podem ser enviadas independentemente de consentimento para marketing. Comunicações promocionais, quando existirem, observarão a base legal aplicável e mecanismos de descadastro quando exigidos.

A depender da funcionalidade utilizada, a Alusa poderá compartilhar ou permitir o tratamento das seguintes categorias de dados cadastrais por suboperadores: nome; e-mail; telefone; CPF/CNPJ; endereço; data de nascimento; identificação da Escola; dados de usuários vinculados à Conta; dados de responsáveis financeiros.

A depender da funcionalidade utilizada, suboperadores poderão tratar dados acadêmicos e operacionais como: identificação do aluno; vínculo aluno/responsável; matrícula; rematrícula; turma; contrato; status acadêmico; agenda, frequência, reposições e eventos, quando necessário à funcionalidade.

Suboperadores de infraestrutura podem processar esses dados de forma transitória ou técnica quando a aplicação os utiliza, mesmo que não tenham finalidade própria sobre o conteúdo.

A depender da funcionalidade utilizada, suboperadores poderão tratar dados financeiros como: identificadores de customer; cobranças; assinaturas; parcelamentos; Pix, boleto e cartão; status de pagamento; inadimplência; estorno; chargeback; transferência; saldo; extrato; reconciliação; eventos de webhook; logs financeiros e metadados de integração.

Suboperadores poderão tratar dados técnicos como: endereço IP; user-agent; identificadores de sessão; logs de acesso; logs de erro; metadados de requisição; eventos de segurança; cookies essenciais; registros de autenticação; metadados de dispositivo e navegador.

Suboperadores poderão tratar dados de privacidade, consentimento e auditoria como: registros de aceite; versão de documentos legais; preferências de cookies; solicitações de titulares; logs de acesso sensível; registros de consentimento; hashes de IP e user-agent, quando aplicável; metadados mínimos necessários para auditoria.

A Alusa é utilizada no contexto educacional e pode tratar dados de crianças e adolescentes cadastrados pela Escola ou por usuários autorizados. Esses dados podem incluir informações acadêmicas, cadastrais, de matrícula, turma, frequência, contratos, responsáveis vinculados e dados necessários à operação escolar.

A Escola é responsável por garantir que possui base legal adequada para cadastrar e tratar dados de alunos, incluindo crianças e adolescentes, e por fornecer informações e avisos aos responsáveis quando necessário.

A Alusa utiliza suboperadores para apoiar a operação da plataforma, mas busca limitar o tratamento de dados de crianças e adolescentes ao necessário para a prestação dos serviços contratados, observando a LGPD, o Estatuto da Criança e do Adolescente e demais normas aplicáveis.

A Alusa poderá tratar dados sensíveis quando a Escola cadastrar informações dessa natureza no contexto educacional, como restrições médicas, alergias, observações relevantes à segurança do aluno, consentimento de imagem ou outros dados fornecidos pela Escola.

A Alusa busca restringir o uso de suboperadores para dados sensíveis ao necessário para execução técnica da plataforma, segurança, armazenamento, suporte ou cumprimento de obrigações aplicáveis. A Escola é responsável por avaliar a necessidade, adequação e base legal para registrar dados sensíveis na plataforma.

A Alusa recomenda que a Escola evite inserir dados sensíveis em campos livres, comentários, observações, anexos ou mensagens quando essa informação não for necessária à finalidade educacional.

A Alusa adota medidas proporcionais para avaliar e governar suboperadores, considerando a natureza do serviço, o tipo de dado tratado, o risco envolvido e a criticidade operacional.

Essas medidas podem incluir: avaliação da finalidade do suboperador; análise da necessidade do tratamento; limitação de acesso a dados; escolha de fornecedores compatíveis com segurança e privacidade; contratos, termos ou instrumentos equivalentes com obrigações de confidencialidade e proteção de dados; segregação por Conta quando aplicável; minimização de dados enviados a ferramentas externas; sanitização ou redaction de logs; monitoramento de eventos técnicos; revisão periódica da lista de suboperadores; substituição de fornecedores quando necessário; investigação de incidentes envolvendo terceiros; medidas de continuidade e contingência.

A Alusa não promete segurança absoluta, mas adota esforços razoáveis e medidas técnicas e organizacionais compatíveis com o risco para proteger dados pessoais, acadêmicos, financeiros e operacionais.

Alguns suboperadores podem armazenar, processar ou acessar dados a partir de outros países, conforme sua infraestrutura, contratos, subprocessadores e configurações técnicas.

Quando houver transferência internacional de dados pessoais, a Alusa buscará observar mecanismos compatíveis com a LGPD, incluindo contratos, cláusulas de proteção de dados, avaliação de fornecedores e medidas de segurança proporcionais.

A localização efetiva de processamento pode variar conforme o serviço, região contratada, disponibilidade técnica, arquitetura do fornecedor e requisitos operacionais.

Os suboperadores listados nesta Política podem utilizar seus próprios subprocessadores para prestar serviços, como data centers, redes de entrega, provedores de cloud, e-mail, observabilidade, segurança, suporte e infraestrutura.

A Alusa não controla diretamente todos os subprocessadores utilizados por cada suboperador, mas busca contratar fornecedores que disponibilizem termos, políticas, medidas de segurança e informações compatíveis com a natureza do serviço.

A Escola poderá consultar as políticas dos suboperadores para entender subprocessadores, regiões, medidas de segurança e condições específicas aplicáveis a cada fornecedor.

A Alusa poderá incluir, substituir, remover ou suspender suboperadores para preservar ou melhorar segurança, disponibilidade, qualidade, escalabilidade, suporte, conformidade, custos, funcionalidades ou continuidade operacional.

Mudanças relevantes serão refletidas nesta página. Quando exigido por contrato, DPA ou legislação aplicável, a Alusa poderá comunicar a Escola por meios razoáveis, como: atualização da página de Suboperadores; aviso no painel administrativo; e-mail para administradores da Conta; comunicação em contrato, proposta, DPA ou canal oficial; aviso em central legal ou changelog.

A Alusa poderá realizar substituições urgentes sem aviso prévio quando necessário para mitigar riscos de segurança, falhas relevantes, indisponibilidade, encerramento de fornecedor, incidentes, exigências legais, problemas de compliance ou necessidade operacional imediata.

Quando previsto no DPA, contrato ou legislação aplicável, a Escola poderá apresentar objeção fundamentada à inclusão de novo suboperador que afete de forma relevante o tratamento de dados pessoais sob sua responsabilidade.

A objeção deverá ser enviada pelo canal oficial indicado pela Alusa e deverá conter: identificação da Escola; identificação da Conta, quando aplicável; suboperador objeto da objeção; fundamento concreto da objeção; risco identificado; dados ou tratamentos impactados; eventual obrigação legal, regulatória, contratual ou setorial que justifique a objeção.

A Alusa avaliará a objeção de boa-fé e poderá, conforme o caso: prestar esclarecimentos; propor medida mitigatória; confirmar que o suboperador não trata dados da Conta; oferecer alternativa técnica ou contratual quando viável; manter o suboperador quando necessário à prestação do serviço; permitir encerramento conforme contrato aplicável, se não houver alternativa razoável.

A objeção não suspende automaticamente o uso do suboperador, salvo se o contrato, DPA, decisão judicial, autoridade competente ou acordo específico assim determinar.

A Escola é responsável por: avaliar se o uso da Alusa e de seus suboperadores é compatível com suas obrigações legais, contratuais e regulatórias; informar titulares quando necessário; obter consentimentos quando aplicável; manter dados corretos, atualizados e necessários; evitar cadastro de dados excessivos ou incompatíveis com a finalidade educacional; configurar usuários, permissões e acessos de forma adequada; revisar contratos, políticas e documentos legais aplicáveis; responder a solicitações de titulares quando atuar como controladora; comunicar à Alusa riscos, restrições ou exigências específicas que afetem o tratamento de dados.

A Escola reconhece que determinados suboperadores são necessários para o funcionamento da plataforma. A recusa ou impossibilidade de uso de suboperadores essenciais poderá limitar ou inviabilizar funcionalidades da Alusa.

A Alusa adota medidas razoáveis para: selecionar suboperadores compatíveis com a prestação da plataforma; limitar dados compartilhados à finalidade necessária; manter lista pública de suboperadores relevantes; refletir mudanças relevantes nesta página; proteger dados por meio de controles técnicos e organizacionais; restringir o acesso interno aos dados conforme necessidade operacional; cooperar com a Escola em solicitações de titulares, auditorias e incidentes, nos limites do contrato e da legislação; remover ou substituir suboperadores quando necessário e viável; manter canais para dúvidas de privacidade e segurança.

A Alusa não se responsabiliza por atos ou omissões da Escola, por configurações incorretas realizadas por usuários autorizados, por dados inseridos de forma inadequada, por instruções contrárias à lei ou por tratamentos realizados fora da plataforma.

Alguns suboperadores são essenciais para a operação da Alusa. Podem ser considerados essenciais os fornecedores necessários para: hospedar a aplicação; executar a infraestrutura principal; autenticar usuários; processar rotinas financeiras integradas; enviar e-mails de segurança e autenticação; registrar eventos técnicos mínimos; manter disponibilidade, suporte e segurança.

Podem ser condicionais os fornecedores necessários apenas quando a Escola utiliza determinada funcionalidade, como: integração financeira; notificações específicas; observabilidade avançada; portal do responsável/aluno; módulos de eventos; rotinas de exportação ou suporte; recursos de analytics consentidos no site público.

A Alusa poderá indicar, em contratos, documentação, telas ou comunicações, quando determinado suboperador estiver vinculado a funcionalidade específica.

No site público, a Alusa poderá utilizar cookies essenciais e, mediante consentimento quando aplicável, cookies ou tecnologias de análise e preferências. A Política de Cookies detalha as categorias, finalidades e formas de controle.

Ferramentas de observabilidade, como Sentry, podem apoiar diagnóstico de falhas e estabilidade da plataforma. A Alusa busca restringir replay, logs e eventos técnicos a contextos compatíveis com segurança e privacidade, evitando captura desnecessária de dados sensíveis.

O app autenticado utiliza recursos essenciais para sessão, autenticação, segurança, controle de acesso e operação da plataforma.

A Alusa utiliza integrações e webhooks para refletir eventos externos, especialmente no contexto financeiro via Asaas.

Eventos financeiros podem envolver suboperadores quando necessários para: receber eventos oficiais; validar cobranças; atualizar status de pagamento; conciliar pagamentos; registrar auditoria; tratar estornos, chargebacks ou falhas; reconciliar divergências; processar filas, retentativas e logs operacionais.

A Alusa trata webhooks financeiros como fonte principal de mudança de estado financeiro quando aplicável. Telas e relatórios da Alusa tendem a ler estados locais derivados desses eventos, sem substituir documentos ou registros oficiais do provedor financeiro.

Caso a Alusa tome conhecimento de incidente de segurança ou privacidade envolvendo suboperador e com potencial impacto sobre dados pessoais tratados pela plataforma, a Alusa avaliará o evento conforme risco, natureza dos dados, volume, titulares afetados, possibilidade de dano, obrigações legais e compromissos contratuais.

A Alusa poderá adotar medidas como: investigação técnica; contenção; solicitação de informações ao suboperador; mitigação; comunicação à Escola; cooperação para cumprimento da LGPD; registro interno do incidente; revisão de controles; substituição ou suspensão do suboperador, quando necessário e viável.

A comunicação de incidentes observará a legislação aplicável, contratos, DPA e orientações de autoridade competente.

Suboperadores poderão reter dados pelo tempo necessário para prestar o serviço contratado, cumprir obrigações legais, manter registros de segurança, atender requisitos regulatórios, executar auditoria, prevenir fraude, resolver disputas, prestar suporte ou cumprir contrato.

A Alusa busca limitar a retenção conforme necessidade operacional, contratos e legislação aplicável. A exclusão, anonimização ou devolução de dados poderá depender de viabilidade técnica, obrigações legais, backups, logs, registros financeiros e prazos próprios de cada suboperador.

Em situações de suporte, segurança, auditoria ou diagnóstico, dados tratados por suboperadores podem ser utilizados para identificar erros, confirmar eventos, investigar falhas, rastrear incidentes, verificar entregas de e-mail, validar webhooks ou corrigir inconsistências operacionais.

A Alusa busca restringir esse acesso a pessoas autorizadas, com finalidade legítima, minimização de dados, registros quando aplicável e controles proporcionais ao risco.

Dúvidas sobre esta Política de Suboperadores, privacidade, segurança ou tratamento de dados podem ser enviadas aos canais oficiais da Alusa.

Canal de privacidade: privacidade@alusa.app

Canal de segurança: seguranca@alusa.app

A Alusa poderá exigir informações adicionais para confirmar identidade, vínculo com a Escola, legitimidade da solicitação e escopo do pedido.

A Alusa poderá atualizar esta Política para refletir: novos suboperadores; remoção de fornecedores; alteração de finalidade; mudança de infraestrutura; evolução da plataforma; alterações contratuais; requisitos legais ou regulatórios; melhorias de segurança; mudanças em provedores financeiros, e-mail, hospedagem ou observabilidade.

A data de atualização e a versão do documento indicarão a versão vigente. O uso continuado da plataforma após atualização observará os Termos de Uso, a Política de Privacidade, o DPA e demais documentos aplicáveis.