O Nexo Lab é uma plataforma online de ensino de programação e inteligência artificial para jovens de 11 a 17 anos, operada por TD4ALL LTDA, CNPJ 43.259.756/0001-62, com sede em Fortaleza, Ceará, Brasil (“Nexo Lab”, “nós”).

Esta política explica como tratamos dados pessoais de responsáveis (quem cria a conta), alunos (crianças e adolescentes que usam a Forja), professores e coordenadores de escolas parceiras e visitantes do site. Ela segue a Lei Geral de Proteção de Dados (Lei 13.709/2018, “LGPD”), o Estatuto da Criança e do Adolescente e o ECA Digital (Lei 15.211/2025).

Nas contas de família, o Nexo Lab é o controlador dos dados. Nas contas de escola, a escola é a controladora dos dados dos alunos e o Nexo Lab atua como operador, seguindo as instruções da escola e o contrato firmado com ela.

Do responsável: nome, e-mail, senha (guardada apenas como hash), preferências de aviso por e-mail, registros de acesso (data, hora e endereço IP) e, se entrar com o Google, o identificador da conta Google, o e-mail verificado e a foto de perfil.

Do aluno: nome, apelido, PIN de quatro dígitos (guardado apenas como hash), faixa etária e trilha escolhida pelo responsável, código escrito na Forja, resultado dos testes automáticos, progresso nas missões e desafios, conversas com o tutor de IA, projetos publicados na galeria, curtidas, conquistas e arquivos que o próprio programa do aluno salva no navegador dele. O aluno não informa e-mail, telefone, endereço, foto ou rede social.

De professores e coordenação: nome, e-mail, senha (hash), escola e turmas vinculadas.

De escolas: nome, cidade, logo e cores da marca, turmas e seus códigos de convite.

De visitantes do site: e-mail e nome informados na lista de espera, além de registros técnicos de acesso. O site não usa cookies de publicidade nem rastreadores de terceiros.

Dados que não coletamos: geolocalização precisa, biometria, dados de pagamento (quando houver cobrança, ela será feita por um processador de pagamentos, que guarda os dados do cartão; nós recebemos apenas a confirmação).

• Fazer o produto funcionar: entrar na conta, rodar as missões, guardar o progresso, publicar projetos.
• Tutor de IA: o código, o erro e a mensagem do aluno são enviados ao provedor de IA para gerar a dica. A conversa fica gravada para o responsável e o professor lerem.
• Relatório ao responsável e ao professor: autonomia, dificuldades, tempo na Forja, conquistas.
• Segurança e moderação: limite de tentativas, bloqueio de abuso, filtro de conteúdo nos projetos publicados, registro de auditoria.
• Qualidade do tutor: um avaliador automático dá notas às respostas do tutor (se vazou a solução, se fez pensar, se falou demais) para melhorarmos o produto. Usamos esses dados agregados e sem identificar o aluno.
• Comunicação: relatório semanal e alertas de inatividade por e-mail, se o responsável mantiver essas opções ligadas.

Não usamos dados de alunos para publicidade, não vendemos dados e não criamos perfis para fins comerciais. Não treinamos modelos de IA com as conversas dos alunos.

Tratamos dados de crianças e adolescentes no melhor interesse deles, com consentimento específico e destacado do responsável (LGPD, art. 14), coletado no cadastro e registrado com data, hora e versão dos termos aceitos. O responsável pode revogar o consentimento a qualquer momento excluindo o perfil do aluno ou a conta inteira.

Para o responsável, a base é a execução do contrato (prestar o serviço contratado) e o cumprimento de obrigação legal (guardar registros de acesso). Para segurança e prevenção a fraude usamos o legítimo interesse, sempre com o mínimo de dados. Para a lista de espera e e-mails opcionais, a base é o consentimento, que pode ser retirado pelo próprio e-mail ou nas configurações da conta.

Nas escolas, a base legal é definida pela escola, que é a controladora, normalmente a execução de política pública ou o contrato educacional com as famílias.

Compartilhamos dados apenas com operadores que nos ajudam a prestar o serviço, sob contrato e com o mínimo necessário:

• Provedores de IA (OpenAI e Anthropic): recebem o código, o erro e a mensagem do aluno para gerar a dica do tutor e a nota do avaliador. Pedimos que não armazenem as conversas nem as usem para treinar modelos. Não enviamos nome, e-mail ou outros dados de identificação do aluno; o tutor conhece apenas o apelido e a faixa etária.
• Hospedagem e banco de dados (Railway): guardam a aplicação e os dados, com acesso restrito e criptografia em trânsito.
• Envio de e-mail (Resend): entrega o relatório semanal e os alertas ao responsável.
• Google: apenas se o responsável escolher entrar com a conta Google. Recebemos nome, e-mail verificado e foto; não acessamos contatos, agenda ou arquivos.
• Serviços públicos de dados usados pelos programas dos alunos nas missões de internet (BrasilAPI, Open-Meteo, PokéAPI, REST Countries, Frankfurter): o programa do aluno consulta essas fontes por um intermediário nosso que só permite esses endereços. Enviamos só a consulta, nunca dados do aluno.
• Escola parceira: professores e coordenação da escola veem o progresso, o código e as conversas dos alunos das suas turmas.
• Autoridades: quando houver obrigação legal ou ordem judicial.

Alguns desses operadores ficam fora do Brasil. Nesses casos, a transferência internacional é feita com cláusulas contratuais de proteção e apenas para o que a finalidade exige.

• Dados da conta, progresso, projetos e conversas: enquanto a conta existir. Ao excluir a conta ou o perfil do aluno, apagamos imediatamente. Cópias de segurança do banco são sobrescritas em até 30 dias.
• Registros de acesso e auditoria (IP, data, hora, ação): 6 meses, como exige o Marco Civil da Internet (art. 15), depois apagados.
• Lista de espera: até você pedir a remoção ou criar a conta, no máximo 12 meses.
• Métricas agregadas (sem identificação): podem ser mantidas para melhoria do produto.
• Conta inativa por 24 meses: avisamos o responsável por e-mail e, sem resposta em 30 dias, excluímos.

O responsável, em nome próprio e do aluno, pode a qualquer momento:

• Acessar e exportar todos os dados: painel do responsável, Conta, “Baixar meus dados” (arquivo JSON).
• Corrigir nome, e-mail, apelido, trilha e preferências nas configurações.
• Excluir um perfil de aluno ou a conta inteira: painel, Conta, “Excluir conta”. Veja a página de Exclusão de dados.
• Revogar o consentimento para e-mails nas configurações, ou para todo o tratamento excluindo a conta.
• Pedir informação sobre o tratamento, portabilidade ou revisão de decisões automatizadas. O tutor de IA não toma decisões sobre o aluno; ele dá dicas e o relatório é descritivo.

Pedidos que não dê para resolver pelo painel: escreva para contato@nexoproapp.com. Respondemos em até 15 dias. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

• A conta é sempre do adulto. O aluno entra com apelido e PIN, sem e-mail, telefone ou rede social.
• Não há chat entre alunos nem comentários abertos. Projetos publicados passam por filtro de conteúdo e podem ser denunciados e removidos.
• Toda conversa com o tutor fica visível ao responsável e, na escola, ao professor.
• Não há publicidade, não há compra dentro da plataforma pelo aluno, não há notificações para o aluno fora da Forja.
• O tutor de IA é configurado para não pedir nem guardar dados pessoais e para não tratar de assuntos fora do estudo.
• O código do aluno roda no navegador dele; nossos servidores não executam programas enviados por alunos.

Senhas e PINs são guardados apenas como hash. O tráfego é criptografado (HTTPS). Há limite de tentativas de acesso, bloqueio temporário após erros repetidos, política de segurança de conteúdo no navegador, registro de auditoria das ações administrativas e acesso aos dados restrito à equipe que precisa dele. Em caso de incidente de segurança com risco aos titulares, avisaremos os responsáveis afetados e a ANPD nos prazos da lei.

Usamos apenas cookies estritamente necessários: o cookie de sessão (para manter você conectado) e, durante o login com o Google, um cookie temporário de dez minutos que protege o fluxo contra fraude. O navegador do aluno também guarda localmente os arquivos que o programa dele salva e preferências de tela. Não usamos cookies de publicidade, análise de terceiros ou rastreamento entre sites.

Quando mudarmos algo relevante, avisaremos o responsável por e-mail e no painel com pelo menos 15 dias de antecedência, e pediremos novo aceite quando a mudança afetar o tratamento de dados do aluno. A versão vigente e a data ficam no topo desta página.

Encarregado de proteção de dados (DPO): Ramses Felipe de Oliveira. E-mail: contato@nexoproapp.com. Telefone e WhatsApp: (85) 99125-3865. Endereço: Fortaleza, Ceará, Brasil.