1. Partes, serviço e documentos
O rascunho abrange o uso escolar do 321school, com a mantenedora como responsável pelo tratamento e a Fjord Service como operadora.
- • Fjord Service Jan Hogne Christiansen (ENK), registro 968 400 789. Endereço: Røysegata 19, 6003 Ålesund, Noruega. Contato de privacidade e contrato: post@321skole.no. A entidade municipal contratante e seus contatos responsáveis são preenchidos no acordo específico.
- • Nome registrado, número de registro e contatos da mantenedora são preenchidos no acordo. Período, contrato principal, contatos e assinaturas são definidos antes da assinatura.
- • Anexo A descreve tratamento; B, segurança/operação; C, suboperadores/transferências; D, retenção/devolução/exclusão. As seções abaixo são material de trabalho, não anexos contratuais completos.
2. Instruções e limitação de finalidade
No uso escolar municipal, o acordo previsto atribui ao município/mantenedora as finalidades e bases legais; Fjord Service trata dados escolares conforme instruções documentadas. Finalidades próprias, como faturamento e gestão de clientes, devem ser descritas separadamente.
- • O operador trata dados escolares apenas conforme instruções documentadas, inclusive transferências fora do EEE. Obrigações legais e instruções potencialmente ilícitas são tratadas e comunicadas conforme a lei.
- • Dados escolares não devem ser vendidos nem usados para publicidade de terceiros ou perfis publicitários. Análise, operação e eventual melhoria exigem finalidade e fundamento explícitos; não há autorização geral para reutilizar trabalhos de alunos.
3. Acesso, confidencialidade e segurança
O acesso limita-se a pessoas autorizadas com necessidade funcional e dever de confidencialidade. Medidas técnicas e organizacionais são especificadas no anexo B e atualizadas.
- • Política de papéis acordada: administradores escolares gerenciam apenas professores da própria escola dentro da licença e recebem estatísticas agregadas. O papel sozinho não deve permitir acesso a respostas individuais, feedback de IA ou salas. Quem também ensina usa permissões docentes separadas.
- • O limite escolar para novos convites de coprofessores e observadores em salas escolares foi implantado e verificado em 6 de novembro de 2026. Os professores convidados devem ter vínculo ativo com a mesma escola. O papel de administrador escolar, por si só, não concede acesso às respostas individuais nem permite convidar em nome do responsável pela sala.
- • O acesso temporário de professores substitutos foi implantado e verificado em 7 de novembro de 2026. O administrador escolar pode conceder a um professor com vínculo ativo com a mesma escola acesso a uma sala específica, inclusive durante a ausência do professor. O substituto pode ler tarefas e respostas e dar feedback escrito por uma visualização própria e delimitada. O acesso pode ser revogado e expira automaticamente. Concessões, prazos de expiração e revogações são registrados. Isso não concede administração comum da sala nem acesso geral às demais salas da escola.
4. Assistência ao município e titulares
O operador auxilia em direitos, segurança, avaliação de risco/DPIA e obrigações de privacidade, considerando o tratamento e as informações disponíveis.
- • Acesso, correção, exclusão, restrição e fornecimento seguem instruções municipais verificadas. Identidade e autoridade são conferidas antes da entrega.
- • Contato: post@321skole.no. Prazos de resposta e eventuais custos de assistência são definidos no acordo.
5. Violações de dados pessoais
O operador notifica o município sem demora indevida após tomar conhecimento e auxilia com informações disponíveis sobre incidente, dados afetados, consequências e medidas.
- • Destinatários, substitutos, canal alternativo de notificação, escalonamento e procedimentos de resposta são definidos e verificados no anexo B.
6. Suboperadores e transferências internacionais
Armazenamento europeu não comprova tratamento integral no EEE. Autenticação, servidores, suporte, logs, IA e e-mail exigem avaliação separada. Entidade contratante, países, fundamento de transferência e medidas complementares devem ser confirmados por fornecedor.
- • Suboperadores exigem autorização escrita específica ou geral. Na autorização geral, inclusões/substituições previstas são notificadas para permitir oposição. Procedimento, prazo e consequências são acordados antes da assinatura.
- • Obrigações pertinentes são transmitidas aos suboperadores. Referências gerais a SCCs ou armazenamento na UE não comprovam a conclusão do arranjo contratual e de transferências.
7. Evidências, auditoria e alterações
O operador fornece evidências e contribui com auditorias/inspeções do município ou auditor autorizado. Escopo, procedimentos e proteção dos dados de outros clientes são acordados.
- • Alterações relevantes em funções, finalidades, categorias ou segurança são avaliadas conforme instruções e anexos antes do uso escolar. Versões e aprovações devem ser rastreáveis.
8. Encerramento, devolução e exclusão
Ao encerrar, dados são devolvidos ou excluídos por escolha do responsável; cópias são excluídas salvo retenção legal obrigatória. Conveniência técnica ou 'logs necessários' não são fundamento geral para reter.
- • Remoção da sala, desativação, arquivamento e exclusão são ações distintas. O acesso pode cessar e o conteúdo permanecer. A exclusão deve tratar anexos, referências, cópias de fornecedores e links antigos; arquivamento sozinho não comprova exclusão.
- • A minuta propõe prazos a acordar com a mantenedora: trabalhos e áudio/arquivos durante o ensino ativo, com exclusão em até 90 dias após o término acordado; logs operacionais/erros por 30 dias e de segurança por 90 dias. Instruções da escola, exclusão antecipada e devolução constam do anexo D. Evidências de incidentes podem ser preservadas separadamente com fundamento e data de revisão. A aplicação em operação ainda não foi verificada integralmente; rotinas, exportação, cópias e prazos de fornecedores serão concluídos separadamente.
Anexo A – descrição do tratamento
A finalidade escolar é ensino docente: compartilhar conteúdo, realizar atividades, receber trabalhos, dar feedback e administrar o uso. Live integra o escopo proposto. IA, análise, publicação, testes e estudo individual exigem avaliação própria; restrições propostas não são automaticamente aplicadas.
- • Titulares: alunos, incluindo participantes por código, professores e administradores; contatos/responsáveis conforme função e finalidade acordadas. Operações: registro, autenticação, organização, armazenamento, visualização, feedback, eventual IA, suporte e exclusão instruída.
- • Dados: contas/papéis/salas, textos/respostas, resultados, feedback docente/de IA, áudio/segmentos de podcast, imagens, metadados e logs. Funções, escopo, duração, bases municipais e eventuais categorias especiais devem ser delimitados antes da assinatura.
- • Quando o professor solicita feedback de IA, respostas, atividades, texto de leitura, resultados e contexto necessário podem ser enviados à OpenAI. Não conversar diretamente com IA não significa que o trabalho do aluno fique fora desse tratamento. Texto livre pode conter dados pessoais.
- • O portal Feide mostra três grupos/scopes: nomes (userinfo-name), identificadores na organização (userid-feide) e e-mail (email). As finalidades declaradas são reconhecimento, vínculo correto, login seguro, administração e comunicação necessária. O fornecimento depende do diretório e da configuração. O fluxo pode armazenar nome e e-mail do Firebase. Fontes conectadas e uso real dos campos serão verificados separadamente.
Anexo B – segurança e operação
Controles de acesso, fluxo privado de arquivos e aprovação de vínculos entraram em operação em 28 de outubro de 2026. Regras Firestore/Storage e fluxos foram verificados com contas sintéticas, sala dedicada e rejeição de acesso indevido. Tokens antigos de download direto foram revogados em todo o conjunto mapeado de 128 arquivos de áudio, conferido em 29 de outubro. Arquivos, entregas e vínculos foram preservados. O limite escolar para novos convites foi implantado em 6 de novembro e o acesso temporário de substitutos em 7 de novembro de 2026, ambos com verificações funcionais documentadas. A evidência cobre os fluxos e arquivos examinados.
- • O fluxo de aprovação de novos vínculos de conta no Spaces está implantado. O código pessoal, sozinho, não dá a uma nova conta/dispositivo acesso aos trabalhos existentes. Um professor com acesso administrativo adequado aprova o vínculo com o código temporário de confirmação do participante. O acesso pode ser revogado sem excluir trabalhos. O fluxo foi verificado com contas e sala sintéticas. Código/QR dispensa e-mail privado, mas não torna os dados anonimizados.
- • O limite escolar para novos convites de coprofessores e observadores em salas escolares foi implantado e verificado em 6 de novembro de 2026. Os professores convidados devem ter vínculo ativo com a mesma escola. O papel de administrador escolar, por si só, não concede acesso às respostas individuais nem permite convidar em nome do responsável pela sala.
- • O acesso temporário de professores substitutos foi implantado e verificado em 7 de novembro de 2026. O administrador escolar pode conceder a um professor com vínculo ativo com a mesma escola acesso a uma sala específica, inclusive durante a ausência do professor. O substituto pode ler tarefas e respostas e dar feedback escrito por uma visualização própria e delimitada. O acesso pode ser revogado e expira automaticamente. Concessões, prazos de expiração e revogações são registrados. Isso não concede administração comum da sala nem acesso geral às demais salas da escola.
- • Verificações com contas e salas sintéticas confirmaram a rejeição de acesso entre escolas, a continuidade do acesso normal de alunos e coprofessores e o bloqueio do acesso do substituto após revogação ou expiração. Os trabalhos existentes foram preservados. As evidências abrangem os fluxos testados.
- • Planner está pausado no serviço publicado. Navegação, páginas diretas, APIs do Planner, entradas de IA/calendário e acesso cliente comum aos planos originais estão bloqueados. Cópias independentes de tarefas antes compartilhadas no Spaces seguem o acesso normal do Spaces. A pausa não exclui nem migra conteúdo existente.
- • Vercel Functions em produção executam em Frankfurt (fra1), verificado na implantação de 28 de outubro de 2026. A mudança não altera automaticamente os locais de Firebase Authentication, OpenAI, Resend ou outros serviços, nem limita todos os logs, CDN, builds e suporte ao EEE.
- • Backups diários estão estabelecidos para Firestore, contas Firebase Authentication e arquivos finalizados, com armazenamento na Bélgica. Cópias de Auth e arquivos são verificadas separadamente. Falhas ou ausência de verificação de saúde geram alertas ao responsável operacional e a uma pessoa de reserva. O primeiro ciclo automático agendado de Auth/arquivos foi concluído e verificado separadamente em 4 de novembro de 2026. Uploads incompletos não entram na cópia de arquivos.
- • Testes delimitados de recuperação de Firestore, arquivos e contas Auth foram realizados com dados sintéticos em ambientes isolados na nuvem. A rotina documenta verificações dos dados e do acesso antes da reabertura. A recuperação integrada de um arquivo Spaces com suas referências documentais permanece uma etapa separada a verificar. A importação não necessariamente restaura sessões de acesso anteriores.
- • Controles de acesso, fluxo privado, vínculos de participantes e backups implantados são descritos aqui. O anexo também deve detalhar acesso operacional/suporte, criptografia, mudanças, logs, notificação de incidentes e revisões periódicas, com responsabilidades e evidências.
- • Responsabilidades, estado em produção e rotinas operacionais da Fjord Service devem ser confirmados e documentados no anexo.
Anexo C – fornecedores, locais e transferências
321school utiliza Google Cloud Firestore e Firebase Storage no projeto skole-c09b8. O banco Firestore (default) e o bucket Storage skole-c09b8.firebasestorage.app estão em europe-west1 (Bélgica). O bucket utiliza armazenamento regional. A Fjord Service verificou as localizações no Firebase Console e Google Cloud Console em 18 de outubro de 2026.
- • Armazenamento europeu não comprova tratamento integral no EEE. Autenticação, servidores, suporte, logs, IA e e-mail exigem avaliação separada. Entidade contratante, países, fundamento de transferência e medidas complementares devem ser confirmados por fornecedor.
- • 321school usa OpenAI Platform/API. O responsável informa DPA assinado em 23 de outubro de 2026. Imagens da conta mostram três opções de compartilhamento desativadas, API call logging Enabled per call e Project Residency Global. A OpenAI informa que dados da API não são usados para treinamento sem adesão. Global não limita à UE nem identifica um único país. Respostas, Files, cache e logs de segurança têm regras distintas, sem garantia geral de retenção zero. store:false nas chamadas de texto selecionadas foi implantado em 28 de outubro de 2026. Isso não altera as demais regras de retenção.
- • Preencher por fornecedor: entidade, papel, finalidade, dados, países de tratamento/armazenamento, suporte, contrato/data, fundamento de transferência e medidas. A lista é material de trabalho, não autorização municipal por si.
Anexo D – retenção e encerramento
A minuta propõe prazos a acordar com a mantenedora: trabalhos e áudio/arquivos durante o ensino ativo, com exclusão em até 90 dias após o término acordado; logs operacionais/erros por 30 dias e de segurança por 90 dias. Instruções da escola, exclusão antecipada e devolução constam do anexo D. Evidências de incidentes podem ser preservadas separadamente com fundamento e data de revisão. A aplicação em operação ainda não foi verificada integralmente; rotinas, exportação, cópias e prazos de fornecedores serão concluídos separadamente.
- • Backups diários estão estabelecidos para Firestore, contas Firebase Authentication e arquivos finalizados, com armazenamento na Bélgica. Cópias de Auth e arquivos são verificadas separadamente. Falhas ou ausência de verificação de saúde geram alertas ao responsável operacional e a uma pessoa de reserva. O primeiro ciclo automático agendado de Auth/arquivos foi concluído e verificado separadamente em 4 de novembro de 2026. Uploads incompletos não entram na cópia de arquivos.
- • Backups do Firestore têm retenção de 14 dias. A área de backups de Auth/arquivos tem regra que torna as cópias elegíveis para exclusão após 14 dias e soft delete por sete dias após a exclusão efetiva. O horário efetivo da exclusão depende da execução da regra de ciclo de vida. A retenção de backups é distinta dos prazos de trabalhos e logs no anexo D.
- • Testes delimitados de recuperação de Firestore, arquivos e contas Auth foram realizados com dados sintéticos em ambientes isolados na nuvem. A rotina documenta verificações dos dados e do acesso antes da reabertura. A recuperação integrada de um arquivo Spaces com suas referências documentais permanece uma etapa separada a verificar. A importação não necessariamente restaura sessões de acesso anteriores.
- • Preencher por categoria: prazo/critério, início, responsáveis, formato de exportação, encerramento de acesso/exclusão, backups/cópias de fornecedores, retenção obrigatória e confirmação ao município.
