Política de Privacidade

Como o Gaba trata os dados que você e seus alunos produzem

Este documento explica, em linguagem direta, o que o Gaba coleta, para que usa, onde guarda, com quem compartilha e quais são os seus direitos sob a Lei Geral de Proteção de Dados (Lei 13.709/2018 — LGPD). Se você usa o Gaba numa escola pública, este texto complementa — não substitui — a política de privacidade da sua rede de ensino.

Resumo em 60 segundos. O Gaba é uma ferramenta que o professor usa: quem decide o que entra no sistema é o professor, e quem responde por esses dados perante a escola e a secretaria é a escola. O Gaba não vende, não aluga e não troca dados de alunos. As notas e os nomes dos estudantes ficam num banco de dados no exterior (Supabase) e o aplicativo é servido pela Cloudflare — ambos também no exterior. Nada de dado de aluno é usado em publicidade, analytics, treinos de IA ou compartilhado com terceiros. Se quiser parar, o professor apaga a conta e tudo some.

1. Quem é quem na proteção dos dados

A LGPD usa três papéis que vale deixar claro antes de qualquer outra coisa:

Controlador: quem decide as finalidades e as formas de tratamento. No uso típico do Gaba, o controlador é a escola (ou a rede de ensino pública, no caso da SEDU-ES), porque é ela quem define para que servem as provas, quem acessa os resultados e quanto tempo os registros ficam guardados.
Operador: quem executa o tratamento em nome do controlador. O professor que cria a conta e digita nomes e notas age como operador — é ele quem escolhe os dados que entram e quem pode baixá-los ou apagá-los.
Fornecedor de serviço tecnológico: o Gaba (a aplicação em si) é o software contratado, não o dono dos dados. Guardamos as informações por conta e ordem do professor, sem uso próprio.

Se você é responsável por um aluno e quer saber o que a escola faz com os dados dele, o canal correto é a direção da escola ou a secretaria da rede, não o Gaba. Nosso papel aqui é descrever o que a plataforma faz.

2. Que dados coletamos, e por quê

Nada entra no banco automaticamente. Tudo o que está listado aqui é digitado, importado (por planilha ou arquivo) ou gerado pelo próprio professor dentro do app.

Categoria	Exemplos concretos	Finalidade	Base legal (LGPD art. 7º / 11)
Identificação do professor	e-mail, nome, senha (hash), UID da conta	Autenticar e isolar os dados por professor (RLS)	Consentimento (art. 7º, I) e execução de contrato (art. 7º, V)
Escolas, turmas	nome da escola, código INEP, série, turno, identificador da turma	Organizar a oferta e vincular alunos à turma certa	Cumprimento de obrigação legal do controlador (art. 7º, II) e política pública educacional (art. 7º, III)
Alunos (menores de idade)	nome completo, nome social quando informado, número de chamada, matrícula, CPF se a rede exigir	Corrigir as provas OMR nominalmente e gerar devolutiva individual	Proteção da criança (art. 7º, III) e tutela do interesse do titular; consentimento do responsável quando houver finalidade adicional
Provas, gabaritos, respostas	título, disciplina, ano, descritores, alternativas marcadas, gabarito oficial, versão da folha	Correção, recálculo de nota, análise por descritor	Execução de contrato com a escola e interesse legítimo do professor (art. 7º, IX) — sem marketing envolvido
Notas e correções	nota bruta, percentual de acertos, por descritor, por parte	Feedback pedagógico ao aluno e relatório à escola	Mesma base do item anterior
Faltas e saídas (opcional)	presença/ausência por dia, motivo da saída	Integrar com a chamada oficial quando o professor importa planilha	Obrigação legal do controlador
Ajuda e sugestões (opcional)	texto livre digitado em "Falar com o professor"/"Reportar erro", sem nome do aluno	Melhorar o app	Consentimento explícito ao clicar em enviar

O que NÃO coletamos

Imagens digitalizadas da folha de resposta. A decisão foi tomada por causa da LGPD: um retrato de bolha preenchida por menor de idade é dado pessoal sensível e a análise estruturada já basta.
Áudio, vídeo, biometria, geolocalização precisa do aparelho.
Nada de terceiros. Não há pixel de Facebook, SDK de Google Analytics, botão de curtir do Twitter, ou qualquer script que rastree a sessão entre sites.
Publicidade. Não há banner, não há venda de perfil.

3. Onde os dados ficam hospedados

Banco de dados (Supabase): intbnvkilmwxyglxppyg.supabase.co — os registros de professores, turmas, alunos, provas e notas vivem numa região do Supabase configurada nos Estados Unidos.
Front-end e arquivos (Cloudflare Pages): gaba-5mu.pages.dev — serve os arquivos HTML/CSS/JS do app, também nos EUA.
Aparelho do professor: além do banco, o app guarda uma cópia local em IndexedDB e localStorage no celular/notebook do usuário, para funcionar offline. Nada disso sai do aparelho sem o professor estar logado e online.
Backups: o professor mantém backups manuais em disco externo ou nuvem pessoal dele. Esses arquivos não passam por nós.

Transferência internacional de dados

Os dados de alunos (menores) transitam para servidores localizados nos Estados Unidos. A LGPD (art. 33) admite essa transferência quando o país garante nível de proteção adequado ou quando há cláusulas-padrão contratuais / cláusulas de proteção de dados. Adotamos as seguintes salvaguardas:

Transporte criptografado TLS 1.2+ em toda requisição (Supabase e Cloudflare forçam HTTPS).
Isolamento por professor via Row-Level Security no Postgres: a política dono = auth.uid() impede que a conta do Professor A leia dados do Professor B, mesmo compartilhando o mesmo banco.
Sempre que possível, usamos apenas os campos necessários; não exportamos cópias em claro por e-mail ou mensageiro.

Se você atua numa rede que exige armazenamento em território nacional, converse com a secretaria antes de usar o Gaba — nenhuma lei geral da LGPD proíbe a transferência, mas algumas políticas internas exigem soberania de dados.

4. Por quanto tempo guardamos

Enquanto a conta existir, os registros do professor ficam no banco.
Lixeira: quando o professor apaga uma turma, aluno ou prova, o registro ganha uma marcação apagado_em e sai da listagem. Ele fica recuperável por tempo indeterminado até o professor restaurar ou limpar em definitivo.
Encerramento de conta: apagar a conta remove os registros dela. Backups que o professor fez em disco dele não são afetados; é responsabilidade do professor descartá-los.
Registros de acesso (logs): o Supabase mantém logs de autenticação por alguns dias para diagnóstico interno de incidentes; o Cloudflare Pages mantém contagem de acessos agregada, sem dados pessoais.

5. Segurança

Senhas nunca ficam em texto puro; são hasheadas pela infraestrutura do Supabase (bcrypt).
Toda chamada ao banco exige token de sessão (JWT) emitido após login válido. Sem token, o Postgres recorre às políticas RLS e nega a leitura.
Chave service_role (que bypassa RLS) fica apenas na máquina do professor, no arquivo supabase/.env, protegida no .gitignore. Ela não é exposta no app.
Cache offline (IndexedDB) é isolado por origem e some se o professor limpar os dados do navegador.

6. Seus direitos como titular (LGPD art. 18)

Todo titular — o próprio professor, ou o responsável legal pelo aluno — tem direito a:

Confirmação e acesso a seus dados; no Gaba, isso é o que a tela "Aluno" e "Prova" já mostram.
Correção de dados incompletos, inexatos ou desatualizados; o app permite editar nome, matrícula e respostas.
Anonimização, bloqueio ou eliminação de dados desnecessários; via lixeira ou exclusão direta.
Portabilidade: exportar tudo para planilha CSV/JSON. O botão "Baixar planilha" faz isso.
Eliminação dos dados tratados com consentimento, quando o consentimento for a base legal.
Informações sobre compartilhamento — este documento cumpre esse item.
Revogação de consentimento a qualquer momento, por canal fácil e gratuito.

Para exercer esses direitos, fale primeiro com o professor que administra a conta (é ele quem tem a chave de acesso). Se não conseguir, use o contato no item 9.

7. Cookies e armazenamento local

O Gaba usa dois tipos de armazenamento, ambos controlados por você:

localStorage: guarda a seleção de escola, a última aba aberta, a credencial personalizada (se você digitou) e o flag "tour já visto". Nenhum dado sai do aparelho.
IndexedDB: guarda as provas offline, a lista de alunos e as correções que você ainda não sincronizou. Serve para o app continuar funcionando em avião, zona rural sem sinal, etc. Ao limpar os dados de navegação, essa cópia local desaparece.

Não usamos cookies de rastreamento entre sites. Não integramos com plataformas de publicidade.

8. Menores de idade

Dados de crianças e adolescentes recebem atenção especial da LGPD (art. 14) e do ECA. No Gaba isso significa:

Os alunos cadastrados são tipicamente menores de idade. Guardamos apenas o mínimo necessário para corrigir prova: nome, matrícula, turma e respostas.
A base legal no uso escolar é política pública de educação (art. 7º, III) combinada com a autoridade pedagógica da escola — não é necessário consentimento individual do responsável para essa finalidade específica. Se alguma nova função do app quiser coletar dado adicional (por exemplo, imagem, biometria, localização), ela virá com aviso destacado e pedirá consentimento explícito.
Nunca expomos dados de aluno em URL pública, e-mail automático, ou para outro professor que não compartilhe a turma.

9. Contato

Se você chegou aqui como responsável de aluno e precisa falar com a gente sobre um dado específico, use o canal da escola — é ela a controladora. Se você é professor/usuário e quer tratar de privacidade, correção, eliminação ou portabilidade em nome de uma conta do Gaba, escreva para:

E-mail do encarregado (DPO): carvalho.95.t@gmail.com.
Reclamações à ANPD: você sempre pode acionar a Autoridade Nacional de Proteção de Dados em https://www.gov.br/anpd.

10. Alterações desta política

Se mudarmos algo substancial nesta política, publicamos uma versão nova aqui com data atualizada e — quando a mudança afeta dado de aluno — mostramos um aviso destacado dentro do app antes do próximo login. Se você não concordar com a nova versão, pode apagar a conta a qualquer momento, sem multa.

Versão vigente: 1.0, publicada em 25 de outubro de 2026.

Termos de Uso · Política de Privacidade · Voltar ao app