Esta Política descreve como a Oxton Education realiza o tratamento de dados pessoais no site, no ambiente de aprendizagem, nos painéis de alunos e professores e nos canais institucionais relacionados.

A Política aplica-se a:

• visitantes do site;
• alunos e compradores;
• professores e candidatos a professores;
• representantes de instituições e parceiros;
• pessoas que entram em contato com a Oxton;
• titulares cujos dados sejam tratados pela plataforma.

Ao utilizar a plataforma, o usuário reconhece que teve acesso a esta Política. O tratamento não dependerá sempre de consentimento, pois poderá ser fundamentado em outras bases legais aplicáveis.

• Dado pessoal: informação relacionada a uma pessoa natural identificada ou identificável.
• Dado pessoal sensível: categoria de dado que recebe proteção específica, como informações de saúde, biometria e convicções religiosas, quando vinculadas a uma pessoa.
• Tratamento: qualquer operação realizada com dados pessoais, como coleta, acesso, armazenamento, análise, compartilhamento ou eliminação.
• Titular: pessoa natural a quem os dados pessoais se referem.
• Controlador: responsável pelas decisões referentes às finalidades e aos meios essenciais do tratamento.
• Operador: pessoa ou empresa que trata dados pessoais em nome do controlador.
• Encarregado: canal de comunicação relacionado à proteção de dados pessoais, quando sua indicação for aplicável.

A Oxton poderá receber dados diretamente quando o usuário:

• criar ou atualizar uma conta;
• realizar uma compra ou matrícula;
• concluir aulas e avaliações;
• emitir ou solicitar correção de certificado;
• candidatar-se como professor;
• enviar curso para curadoria;
• solicitar suporte;
• participar de pesquisas ou comunicações;
• exercer direitos relacionados a dados pessoais;
• enviar comentários, documentos ou materiais.

O usuário deve fornecer informações verdadeiras e manter seus dados atualizados. Dados de terceiros somente devem ser enviados quando houver autorização ou outra justificativa legítima.

Durante o acesso, sistemas da Oxton e de prestadores técnicos poderão registrar automaticamente:

• endereço IP;
• data e horário de acesso;
• páginas, cursos e recursos acessados;
• tipo e versão do navegador;
• sistema operacional e dispositivo;
• identificadores de sessão;
• origem aproximada do acesso;
• erros, falhas e desempenho;
• eventos de login e autenticação;
• progresso e interação com aulas;
• preferências de cookies, quando disponíveis.

Esses registros podem ser utilizados para funcionamento, segurança, diagnóstico, prevenção a fraude, geração de estatísticas e melhoria da experiência.

Para administrar a experiência acadêmica, a Oxton poderá tratar:

• dados cadastrais e de contato;
• histórico de matrículas;
• progresso em módulos e aulas;
• respostas e resultados de avaliações;
• atividades, trabalhos e anexos enviados;
• certificados e códigos de validação;
• mensagens enviadas a professores;
• avaliações e comentários sobre os cursos;
• registros de suporte e problemas técnicos.

Professores poderão ter acesso limitado aos dados necessários para acompanhamento do curso, interação acadêmica, avaliação e suporte ao estudante.

Para avaliar, credenciar e administrar professores, a Oxton poderá tratar:

• identificação e contato;
• currículo acadêmico e profissional;
• diplomas, certificados e comprovantes;
• ORCID, Currículo Lattes e registros profissionais;
• fotografia, biografia, voz e imagem;
• cursos, aulas e materiais enviados;
• dados bancários e fiscais;
• vendas, comissões, repasses e estornos;
• avaliações, reclamações e ocorrências;
• registros de curadoria e aprovação.

Parte das informações profissionais poderá ser exibida publicamente no perfil do professor e nas páginas dos cursos, conforme a finalidade de identificar autoria e qualificação.

Pagamentos poderão ser processados por gateways, bancos, adquirentes e outros prestadores financeiros. Esses fornecedores poderão receber os dados necessários para autorizar, liquidar, contestar ou estornar a transação.

A Oxton poderá manter:

• identificação do pedido;
• valor e moeda;
• forma de pagamento;
• status da transação;
• parcelas e datas;
• identificador do processador;
• reembolsos e chargebacks;
• documentos fiscais;
• indícios técnicos de fraude.

A Oxton não deverá armazenar integralmente dados de cartão quando o processamento for realizado diretamente por fornecedor especializado. Confirme essa configuração com o gateway efetivamente utilizado.

Os dados pessoais poderão ser tratados para:

• criar, autenticar e administrar contas;
• processar compras, matrículas e repasses;
• liberar e controlar o acesso aos cursos;
• registrar progresso, avaliações e conclusão;
• emitir e validar certificados;
• analisar candidatos a professores;
• realizar curadoria e controle de qualidade;
• responder solicitações e prestar suporte;
• prevenir fraude e uso indevido;
• proteger a plataforma e seus usuários;
• cumprir obrigações legais, fiscais e regulatórias;
• exercer ou defender direitos;
• produzir estatísticas e melhorar os serviços;
• enviar comunicações institucionais;
• realizar marketing permitido e respeitar preferências;
• desenvolver novas funcionalidades educacionais.

Conforme a atividade e o contexto, a Oxton poderá fundamentar o tratamento em:

• execução de contrato ou procedimentos preliminares, para cadastro, compra, matrícula, acesso e certificação;
• cumprimento de obrigação legal ou regulatória, para registros fiscais, financeiros e determinações oficiais;
• legítimo interesse, quando aplicável e após avaliação dos direitos e expectativas dos titulares;
• consentimento, quando a atividade exigir uma manifestação específica do titular;
• exercício regular de direitos, inclusive em processos judiciais, administrativos ou arbitrais;
• proteção do crédito e prevenção a fraude, dentro dos limites legais;
• outras bases previstas na legislação, quando aplicáveis.

A Oxton não pretende coletar dados sensíveis de forma indiscriminada. Contudo, informações dessa natureza poderão aparecer em situações específicas, como:

• solicitações de acessibilidade;
• documentos profissionais ou acadêmicos;
• trabalhos e pesquisas enviados pelo usuário;
• comunicações de suporte;
• conteúdos científicos e educacionais;
• medidas de segurança ou identificação permitidas.

O tratamento de dados sensíveis deverá possuir fundamento legal adequado, finalidade específica e medidas de proteção compatíveis.

Cookies são pequenos arquivos ou identificadores utilizados para permitir funcionalidades, reconhecer sessões, registrar preferências e compreender a utilização do site.

Categorias que poderão ser utilizadas:

• necessários: autenticação, segurança, carrinho, pagamento e funcionamento essencial;
• preferências: idioma, aparência e escolhas realizadas pelo usuário;
• desempenho e análise: medição de acesso, erros, navegação e utilização das páginas;
• publicidade e campanhas: atribuição de conversões e avaliação de campanhas, quando utilizadas;
• conteúdo incorporado: vídeos, mapas, redes sociais e serviços externos.

Cookies não essenciais devem ser tratados conforme as escolhas disponibilizadas ao usuário e a base legal aplicável.

A Oxton poderá utilizar recursos de inteligência artificial e automação para apoiar:

• estruturação de conteúdos educacionais;
• recomendações de cursos;
• pesquisa e organização de informações;
• assistência a professores;
• suporte e classificação de solicitações;
• detecção de fraude e anomalias;
• análise de qualidade e moderação;
• geração de estatísticas e melhoria da plataforma.

Dados inseridos em ferramentas de inteligência artificial poderão ser processados por fornecedores tecnológicos, conforme a ferramenta utilizada e os contratos aplicáveis.

Usuários não devem inserir informações confidenciais, dados sensíveis, dados de pacientes, senhas, dados bancários completos ou materiais de terceiros sem autorização.

Decisões que produzam efeitos jurídicos ou afetem significativamente o titular não deverão ser tomadas exclusivamente por automação sem fundamento, transparência e possibilidade de revisão quando exigida pela legislação.

O tratamento de dados de crianças e adolescentes deverá observar seu melhor interesse, sua segurança, seu desenvolvimento e a legislação aplicável ao ambiente digital.

Quando necessário, a Oxton poderá:

• solicitar informações para aferição de idade;
• restringir determinados recursos;
• solicitar participação do responsável legal;
• adotar configurações de privacidade reforçadas;
• limitar publicidade e perfilamento;
• remover conteúdos que violem direitos de menores;
• aplicar medidas adicionais de segurança.

Dados utilizados para aferição de idade devem ser limitados à finalidade necessária e protegidos contra reutilização incompatível.

A Oxton poderá compartilhar dados com prestadores necessários à operação, como:

• hospedagem e armazenamento em nuvem;
• processamento de vídeos e arquivos;
• gateways e instituições de pagamento;
• serviços de e-mail e comunicação;
• ferramentas de suporte;
• análise de desempenho e segurança;
• certificação e validação de documentos;
• inteligência artificial e automação;
• contabilidade, auditoria e assessoria;
• prevenção a fraude e autenticação;
• infraestrutura de cursos e integrações.

O compartilhamento deverá ser limitado às informações necessárias para a finalidade contratada, observando deveres de confidencialidade, segurança e proteção de dados.

Professores poderão acessar dados acadêmicos relacionados aos estudantes matriculados em seus cursos, como nome, progresso, atividades, notas e mensagens, quando isso for necessário à prestação educacional.

Instituições parceiras poderão receber dados quando a formação for realizada em parceria, quando o aluno estiver vinculado a um programa institucional ou quando houver outra justificativa legítima.

A Oxton não autoriza professores ou parceiros a utilizar os dados recebidos para finalidades próprias incompatíveis com a relação educacional.

Dados pessoais poderão ser compartilhados quando necessário para:

• cumprir lei, decisão ou ordem de autoridade competente;
• responder a requisição legalmente válida;
• investigar fraude, abuso ou incidente de segurança;
• proteger direitos da Oxton, dos usuários ou de terceiros;
• exercer defesa em processos;
• cumprir obrigações fiscais e regulatórias;
• prevenir ameaça à integridade de pessoas ou sistemas.

A Oxton poderá avaliar a validade, o alcance e a proporcionalidade das solicitações recebidas, quando permitido.

Alguns fornecedores de hospedagem, pagamentos, comunicação, vídeo, análise ou inteligência artificial poderão armazenar ou processar dados em outros países.

Nesses casos, a Oxton deverá observar os mecanismos legais aplicáveis às transferências internacionais e buscar fornecedores que adotem medidas adequadas de proteção.

A localização técnica de servidores pode variar conforme o fornecedor. A lista de empresas e países efetivamente envolvidos deve refletir as integrações utilizadas pela Oxton.

A Oxton poderá enviar comunicações relacionadas a:

• criação e segurança da conta;
• compras e pagamentos;
• matrículas e aulas;
• certificados;
• alterações relevantes nos serviços;
• solicitações de suporte;
• novidades, cursos e campanhas permitidas.

Mensagens essenciais à execução do serviço poderão continuar sendo enviadas mesmo quando o titular optar por não receber publicidade.

Comunicações promocionais deverão oferecer mecanismo razoável para cancelamento, salvo situações em que outra regra seja aplicável.

A Oxton poderá produzir relatórios, indicadores e estatísticas com dados agregados ou anonimizados para:

• avaliar uso e desempenho da plataforma;
• melhorar cursos e funcionalidades;
• identificar tendências de aprendizagem;
• planejar produtos e estratégias;
• realizar pesquisas e análises institucionais;
• apresentar resultados sem identificação individual.

A anonimização deve utilizar meios técnicos razoáveis para reduzir o risco de associação dos dados a uma pessoa identificada ou identificável.

Os dados serão mantidos pelo período necessário para cumprir as finalidades informadas, respeitar obrigações legais, prevenir fraudes, atender matrículas, validar certificados e exercer direitos.

A definição do prazo poderá considerar:

• duração da conta e do contrato;
• prazo de acesso ao curso;
• validade e verificação de certificados;
• obrigações fiscais e contábeis;
• prazos prescricionais;
• investigações e disputas pendentes;
• necessidade de segurança;
• solicitação legítima do titular;
• regras do fornecedor utilizado.

Após o encerramento da finalidade, os dados poderão ser eliminados, anonimizados ou conservados nas hipóteses permitidas pela legislação.

A Oxton deverá manter medidas técnicas e administrativas proporcionais à natureza dos dados, à tecnologia disponível e aos riscos da operação.

As medidas poderão incluir:

• controle de acesso e permissões;
• senhas e autenticação;
• conexões protegidas;
• atualizações de sistemas e plugins;
• cópias de segurança;
• monitoramento de eventos;
• registros de acesso;
• segregação de funções;
• contratos com fornecedores;
• procedimentos de resposta a incidentes;
• orientações a professores e colaboradores.

Nenhum sistema é absolutamente imune a falhas, ataques ou uso indevido. O usuário também deve proteger suas credenciais, dispositivos e métodos de recuperação.

Quando a Oxton identificar incidente confirmado envolvendo dados pessoais, deverá avaliar:

• natureza e extensão do incidente;
• categorias e volume de dados;
• quantidade e perfil dos titulares afetados;
• possíveis riscos ou danos;
• medidas de contenção e recuperação;
• necessidade de comunicação aos titulares;
• necessidade de comunicação à ANPD;
• obrigações contratuais e legais aplicáveis.

As comunicações serão realizadas nos prazos e condições estabelecidos pela regulamentação aplicável quando o incidente puder acarretar risco ou dano relevante.

Para proteger a privacidade e a segurança, o usuário deve:

• fornecer informações verdadeiras;
• utilizar senha forte e exclusiva;
• não compartilhar a conta;
• proteger o e-mail de recuperação;
• encerrar sessões em dispositivos compartilhados;
• comunicar acessos suspeitos;
• não enviar dados excessivos ou desnecessários;
• respeitar a privacidade de alunos e professores;
• não inserir dados de pacientes sem autorização;
• não explorar falhas ou mecanismos de segurança.

O envio de informações ilegais, falsas ou obtidas sem autorização poderá resultar em restrições e responsabilização do usuário.

A plataforma poderá conter links, vídeos, páginas ou recursos operados por terceiros. Ao acessar esses serviços, o usuário poderá estar sujeito às políticas e práticas próprias do fornecedor.

A Oxton não controla integralmente o tratamento realizado por controladores independentes. Recomenda-se consultar os termos e políticas do serviço externo antes de fornecer dados.

Esta cláusula não afasta responsabilidades que sejam legalmente atribuídas à Oxton por suas próprias escolhas e integrações.

O encerramento da conta não implica eliminação imediata de todos os dados. Algumas informações poderão ser mantidas para:

• cumprir obrigações legais e fiscais;
• preservar matrículas e certificados;
• prevenir fraude;
• solucionar disputas;
• exercer direitos;
• manter registros de segurança;
• atender solicitações de autoridades.

Dados que não precisem ser conservados poderão ser eliminados ou anonimizados conforme os procedimentos técnicos aplicáveis.

Esta Política poderá ser atualizada para refletir mudanças:

• na legislação ou regulamentação;
• nos serviços da Oxton;
• nas ferramentas e integrações;
• nos fornecedores utilizados;
• nas práticas de segurança;
• nas finalidades de tratamento.

A versão atualizada apresentará a data de revisão. Alterações relevantes poderão ser comunicadas por meio do site, painel, e-mail ou outro canal adequado.

Quando a mudança exigir novo consentimento ou outra medida específica, a Oxton adotará o procedimento aplicável.

Esta Política será interpretada conforme as leis da República Federativa do Brasil, especialmente a Lei Geral de Proteção de Dados Pessoais e as normas aplicáveis aos serviços de internet.

O titular poderá buscar os canais da Oxton para solução da sua solicitação e, quando cabível, apresentar petição ou denúncia à Autoridade Nacional de Proteção de Dados.

O acesso a autoridades administrativas ou judiciais competentes não é limitado por esta Política.