01101 · Laboratório Cordel 2.0

Política de privacidade

Versão 2026-10-v3

1. Controlador e contato

Cordel 2.0 Educação, Cultura e Inovação, CNPJ 68.110.384/0001-39, Av. Tancredo Neves, 2539, Sala 2609, Salvador/BA.

• Canal de privacidade: dpo.cordel2pontozero@gmail.com, o e-mail da encarregada (abaixo). É por ele que você faz os pedidos da seção 13 e tira dúvidas sobre os seus dados. É também por ele que são exercidos os direitos de um participante registrado pela equipe, sem conta: pelo responsável que assinou o termo ou, se o participante for adulto, por ele mesmo (seção 5). A caixa desse e-mail é do Gmail: o Google guarda os pedidos e as respostas, fora do Brasil (seção 9).
• Encarregada pelo tratamento de dados pessoais (DPO): Celeste Maria Farias, pelo canal de privacidade acima. Ela recebe os pedidos e as reclamações sobre os seus dados, responde a eles e é o contato com a Autoridade Nacional de Proteção de Dados (ANPD) (art. 41 da LGPD).

2. Onde ficam os seus dados

• O cadastro completo fica só no Laboratório. Os dados que você informa ao criar e manter a conta (seção 3) são guardados aqui. A data de nascimento e o CPF ficam numa parte separada do banco de dados, que só o servidor lê; o CPF, sempre cifrado.
• Cada app guarda a sua produção e uma identificação mínima. Os textos e produções que você faz num app ficam guardados naquele app, ligados à sua conta do Laboratório. Para fazer essa ligação, o app guarda também uma cópia mínima de identificação, recebida quando você entra por ele: identificador da conta, nome, e-mail, faixa etária resumida (com a indicação de menor de idade), a indicação de conta compartilhada com criança e os identificadores do cadastro anterior (a lista completa está na seção 8).
• Gênero, identificação racial, a autorização para estatísticas, a data de nascimento e o CPF nunca vão para os apps. O CPF só sai do Laboratório na prestação de contas de um projeto que exige o CPF, para os financiadores desse projeto (seções 5 e 6). O CPF informado para um projeto não entra na prestação de contas de outro projeto que não o exija.
• Participantes registrados pela equipe, sem conta (seção 5): os dados deles e, quando houver, do responsável ficam só no Laboratório, numa parte do banco de dados que só o servidor lê, com os CPFs sempre cifrados. Nada deles vai para os apps.
• Dados que os apps já tinham. Antes do Laboratório, cada app tinha o próprio cadastro (por exemplo, município e, no Inanna, gênero e identificação racial de quem respondeu ao perfil anterior). Quando um app passa a usar o Laboratório, ele deixa de pedir cadastro próprio, e esses dados são apagados dele depois da migração; o prazo de cada app será publicado aqui. O que o app precisa para funcionar, como a turma de que você participa nele, continua no app, junto com a sua produção.

3. Dados que tratamos

Cadastro

A tabela vale para quem tem conta. Os dados dos participantes registrados pela equipe, que não têm conta, e dos responsáveis por eles estão na seção 5.

• O que vai para os apps fica guardado neles como a cópia mínima de identificação da seção 2, para ligar a sua produção à sua conta.
• A equipe que administra o Laboratório vê o cadastro de cada pessoa, para liberar acessos e dar atendimento, sem gênero, sem identificação racial, sem a data de nascimento (no máximo a idade e a faixa etária) e sem o CPF por inteiro.
• “Nas estatísticas” quer dizer: só se você der a autorização da seção 4, e só em números agregados. Sem essa autorização, nenhum dado do seu perfil entra em estatística alguma; você só é contado no total de participantes de um projeto com prestação de contas de que participe (seção 6). Os campos opcionais (instituição e as respostas de sim ou não; para menores de 18 anos, também estado e município) podem ser apagados a qualquer momento no seu perfil.
• “Na prestação de contas” quer dizer: só num projeto com prestação de contas de que você participa, na lista de participantes que a equipe administradora gera para os financiadores do projeto, conforme o modo escolhido (seção 6). Nenhuma lista traz gênero ou identificação racial, e o CPF só aparece na lista de um projeto que o exige.

Outros registros

• Controle do cadastro: versão do formulário de perfil, por onde ele foi preenchido e as datas de criação e de atualização.
• Termos: versão dos termos aceita e data do aceite (cada versão nova é confirmada; seção 16) e, de quem viu o antigo aviso de mudanças do cadastro anterior, a data em que o viu.
• Autorização para estatísticas (seção 4), à parte dos termos: versão do texto autorizado, data e quem autorizou. Desde 30/09/2026 quem autoriza é sempre a própria pessoa; nas autorizações antigas dadas por um responsável, ficam também essa indicação e o nome dele, até elas serem retiradas.
• Declaração de conta compartilhada com criança (seção 11): versão do texto declarado e data. Nenhum dado sobre a criança.
• Leitura dos avisos de projeto (seção 5): o registro de que você leu o aviso de um projeto, com o projeto, a versão dos requisitos e a data.
• Registro das autorizações e declarações: cada autorização ou declaração dada, alterada ou retirada, com a ação, a versão do texto, a data, quem autorizou (sem o nome) e o motivo. Nunca as suas respostas.
• CPF (só se um projeto seu exigir; seção 5): o número cifrado, um índice cego (um resumo calculado com chave secreta, para que o mesmo CPF não esteja em duas contas) e a versão mascarada.
• Acessos: quais apps estão liberados, pendentes ou suspensos para você, o projeto de onde veio a liberação e, num projeto que exige dados ou tem prestação de contas, se a liberação está aguardando os dados exigidos ou o registro de leitura do aviso.
• Folhas de projeto: nome e e-mail registrados na folha de um projeto, com o projeto, o grupo do projeto (quando houver), a origem do registro e a data. O registro é feito por você, pelo link, pelo QR ou pelo código do projeto ou de um grupo dele, ou pela equipe, que importa listas recebidas da instituição ou vindas do cadastro anterior, sem ação sua. A folha serve para liberar os apps do projeto quando você entrar no Laboratório (ou na hora, se você já tem conta). A equipe que administra o Laboratório vê a lista de cada projeto e de cada grupo e pode mudar uma pessoa de grupo.
• Participantes registrados pela equipe (seção 5), sem conta, só em projeto com prestação de contas: os dados do participante e, quando houver, do responsável, a data em que o termo de autorização em papel foi assinado, a referência do projeto escrita no termo, o local da assinatura e quem da equipe administradora fez o registro ou a última alteração. O termo não é digitalizado: fica em papel com a equipe.
• Cadastro anterior (check-in e contas que já existiam nos apps): nome, e-mail, instituição, indicação de menor de idade, participação nas oficinas, versão e data do consentimento anterior, o identificador antigo do check-in e uma cópia de alguns campos do registro anterior, guardada para conferir a migração e que as telas da equipe não mostram. Do check-in, a cópia traz a situação do cadastro, as datas do cadastro, da confirmação do e-mail e do aceite (com a versão aceita), a faixa etária declarada (maior ou menor de idade), a origem do cadastro, o modelo do e-mail de boas-vindas e se o aceite foi comprovado. Das contas dos apps, traz o identificador interno da conta naquele app (que não é repassado a outro app), a data de criação e se a conta estava bloqueada. Uma conta bloqueada num app vira um bloqueio do mesmo app no Laboratório (“Bloqueios”, abaixo). Senhas, tokens de confirmação, telefone, anotações da equipe e dados sensíveis, como gênero e identificação racial, não entram nessa cópia.
• Relatórios (seção 6): o registro de cada consulta e de cada exportação, com quem gerou, quando, o projeto, os grupos, o modo de proteção e o da lista, se o relatório saiu e a justificativa, quando exigida (nas exportações com nome e CPF, só um resumo criptográfico dela). Os modelos de relatório salvos pela equipe guardam só a configuração, sem dados pessoais.
• Segurança: registros de auditoria (o que foi feito, quando e por quem, com o identificador interno da conta), inclusive as mudanças de faixa etária e, no primeiro acesso, se houve autorização para estatísticas, se a data de nascimento e o CPF foram informados e se houve declaração de conta compartilhada, e cada inclusão, alteração ou remoção de participante registrado pela equipe (com o projeto e o grupo), nunca os valores: nem as respostas, nem o CPF, nem a data de nascimento, nem o nome de um participante ou de um responsável, nem o local da assinatura do termo. Neles, o e-mail aparece só como resumo criptográfico SHA-256, por exemplo no envio de um código, menos nas correções de e-mail feitas pela equipe, que registram o endereço antigo, o novo e a justificativa escrita pela equipe (por exemplo, de onde veio o pedido). Também: contadores anti-abuso por e-mail (em SHA-256), por endereço IP (guardado como está) e pelo identificador interno da conta, em janelas de 5 minutos a 1 dia, e sinais técnicos do navegador analisados pela verificação anti-robô.
• Bloqueios: para contas bloqueadas ou excluídas, e para o e-mail de quem pediu a exclusão sem ter conta (seção 14), um resumo SHA-256 do e-mail. O resumo não mostra o endereço, mas permite reconhecê-lo se ele for usado de novo: é um dado pseudonimizado, e não anônimo.
• E-mail: registros de envio do provedor, usados para controlar a cota diária.

Não usamos ferramentas de análise de audiência nem publicidade.

4. Estatísticas: uma autorização à parte

No primeiro acesso de quem cria a conta e no seu perfil (para quem vem do cadastro anterior, no perfil ou num projeto que a exija), o Laboratório pede uma autorização para usar os dados do seu perfil em estatísticas. Ela fica numa caixa própria, destacada, que começa desmarcada e é separada do aceite dos termos: aceitar os termos não autoriza este uso. Fora dos projetos que a exigem (seção 5), autorizar ou não autorizar não muda nada no seu acesso ao Laboratório e aos apps.

Para que serve

Para estatísticas dos projetos e métricas de impacto de políticas públicas: mostrar, em números, quem o Cordel 2.0 alcança. Os resultados são sempre números agregados, nunca a resposta de uma pessoa. Esses dados não servem para liberar ou negar acesso, nem para qualquer decisão sobre você: nos projetos que exigem a autorização (seção 5), conta só se ela foi dada, nunca o que você respondeu.

O que a autorização cobre

• O uso agregado de todo o perfil: faixa etária, estado e município, instituição e as respostas de sim ou não.
• Gênero e identificação racial, se você quiser informar. Os dois são opcionais em todas as idades e em todos os projetos, a resposta padrão é “Prefiro não informar” e eles só são guardados com a autorização marcada.
• Quem não autoriza, ou retira a autorização, fica fora de todas as estatísticas. A única contagem que inclui também quem não autorizou é o total de participantes de um projeto com prestação de contas (seção 6), sem nenhum dado do perfil.

Por que pedimos

É o texto que aparece no botão “Por que pedimos isso?”, ao lado da caixa de autorização:

O Cordel 2.0 trabalha com escolas, bibliotecas e secretarias em vários territórios. Para mostrar quem os projetos alcançam e o impacto que têm, precisamos de estatísticas: quantas pessoas por faixa etária, por município, por gênero e por cor ou raça.

Esses números servem para relatórios dos projetos e para métricas de impacto de políticas públicas (por exemplo, saber se uma oficina chega a meninas, a pessoas negras ou indígenas, ou a municípios do interior).

Ninguém vê as suas respostas individualmente: os relatórios mostram só totais de grupos, e grupos pequenos são escondidos para que ninguém seja identificado. Esses dados nunca são repassados aos apps.

Autorizar é opcional. Sem autorizar, você usa o Laboratório e os apps do mesmo jeito; só fica fora das estatísticas. Você pode retirar a autorização a qualquer momento no seu perfil.

Duas exceções ao texto acima: nos projetos que exigem a autorização, ela é condição para participar daquele projeto (seção 5); e, nos relatórios de prestação de contas, a faixa etária, o estado e o município, as respostas de sim ou não e o grupo podem sair em contagens exatas, sem esconder grupos pequenos (seção 6). Gênero e identificação racial continuam sempre com a proteção que esconde os grupos pequenos.

Base legal: a sua autorização

• Para os dados do perfil, o seu consentimento (art. 7º, I, da LGPD).
• Para gênero e identificação racial, que são dados pessoais sensíveis (art. 5º, II), o seu consentimento específico e destacado (art. 11, I).
• Nos projetos que exigem a autorização, a base continua sendo o seu consentimento: você decide, e o aviso destacado do projeto informa antes que, sem ela, você não entra naquele projeto (art. 9º, § 3º).

A autorização tem versão própria, separada da versão dos termos. Se o texto mudar, a versão sobe e o perfil pede que você leia e autorize de novo; você também pode retirar a autorização. O que vale para quem ainda não autorizou o texto novo: a definir.

Texto em vigor, versão 2026-10-e1:

“Autorizo o Cordel 2.0 a usar os dados do meu perfil (faixa etária, estado e município, instituição, respostas de sim ou não e, se eu informar, gênero e identificação racial) apenas em números agregados, nunca individualmente, para estatísticas dos projetos e métricas de impacto de políticas públicas. Posso retirar quando quiser, no meu perfil: saio das estatísticas e gênero e identificação racial são apagados.”

Categorias de gênero e de identificação racial

• Gênero: mulher, homem, não binária, outra ou “Prefiro não informar”.
• Identificação racial (cor ou raça): branca, preta, parda, amarela, indígena ou “Prefiro não informar”. São as categorias de cor ou raça do IBGE, para que os números possam ser comparados com os dados oficiais usados nas políticas públicas.

Quem vê as suas respostas

• Entre as pessoas que usam o Laboratório, só você vê as suas respostas de gênero e identificação racial, no seu perfil.
• Esses dados nunca são repassados aos apps, nem quando você abre um app, e nunca aparecem ligados ao seu nome, a um código ou ao seu CPF em lista alguma, nem na prestação de contas.
• A equipe administradora consulta só totais, calculados pelo próprio banco de dados, com as proteções da seção 6.

Como retirar a autorização

• No seu perfil, no bloco “Estatísticas e políticas públicas (opcional)”, o botão “Retirar autorização e apagar” retira a autorização na hora: você sai de todas as estatísticas, e gênero e identificação racial (e, numa autorização antiga dada por um responsável, o nome dele) são apagados. Os demais dados do cadastro continuam, só para manter a sua conta.
• Se quiser apagar só gênero e identificação racial, escolha “Prefiro não informar” nos dois e salve. A autorização continua, e os outros dados do perfil seguem nas estatísticas.
• Num projeto que exige a autorização, retirar faz você deixar de cumprir os requisitos do projeto: você sai dos relatórios dele, inclusive da lista de participantes. O acesso aos apps já liberado não é retirado automaticamente; se essa regra mudar, ela será publicada aqui antes.
• Fica registrado só que a autorização foi dada, alterada ou retirada, com a versão do texto, a data e o motivo (por exemplo, retirada por você ou pela regra de idade), e nunca o que você respondeu. Depois, se quiser, você pode autorizar e responder de novo.
• Números que já tenham sido publicados ou entregues em relatórios, que são agregados, não são refeitos.

Quem autoriza

• Desde 30/09/2026, sempre a própria pessoa, titular da conta, a partir de 12 anos. De 12 a 17 anos, a caixa traz um aviso de que, nos projetos escolares, a instituição acompanha a participação.
• A autorização antiga dada por um responsável (o formato que existiu até 30/09/2026) deixa de valer quando a pessoa confirma o cadastro, no próximo acesso, ou corrige a data de nascimento no perfil: nesse momento ela é retirada, e gênero, identificação racial e o nome do responsável são apagados. A pessoa pode autorizar em nome próprio, se quiser. Até lá, para quem tem de 12 a 17 anos, ela continua valendo como foi dada, inclusive nas estatísticas.
• Nas contas antigas da faixa “até 11 anos”, a autorização do responsável continua guardada até a decisão sobre essas contas, mas elas ficam fora de todos os relatórios e listas (seção 11).
• Se o cadastro anterior indicar menor de idade e a data de nascimento indicar adulto, gênero e identificação racial não são guardados (e os já informados são apagados), e a pessoa fica fora das estatísticas até a equipe conferir a idade.
• Em todos os casos vale o melhor interesse do adolescente (art. 14 da LGPD e Enunciado CD/ANPD nº 1/2023).
• Para os participantes registrados pela equipe, que não têm conta, esta caixa não se aplica: vale a autorização do termo assinado à mão pelo responsável ou, se o participante for adulto, por ele mesmo (seção 5).

Respostas dadas antes no Inanna

As respostas de gênero e identificação racial dadas antes no Inanna não passam a valer no Laboratório sem uma autorização nova, dada aqui, na caixa de autorização para estatísticas. Se a resposta anterior for trazida para você confirmar, ela é convertida para as categorias acima só quando a correspondência é segura (por exemplo, “pardo” vira “parda”). Na identificação racial, “negro” e “outro” não são convertidos: você é convidado a responder de novo, se quiser. Essas respostas não entram na cópia do cadastro anterior (seção 3) e são apagadas do Inanna quando ele passar a usar o Laboratório.

5. Projetos que exigem dados ou têm prestação de contas

Alguns projetos do Cordel 2.0 são financiados ou executados com órgãos e instituições públicas, como o Ministério da Cultura (MinC) e o Banco do Nordeste, e precisam prestar contas a eles: mostrar quem participou e quantas pessoas o projeto alcançou. Esta seção explica o que muda nos projetos que exigem dados para participar ou que têm prestação de contas, inclusive como a equipe registra participantes sem conta, como crianças, nos projetos com prestação de contas (abaixo). Nos demais projetos, nada dela se aplica.

Grupos do projeto

• Um projeto pode ser dividido em até 10 grupos (por exemplo, turmas, oficinas ou municípios), cada um com o seu link e o seu QR de registro.
• O grupo fica anotado na sua linha da folha do projeto quando você se registra pelo link ou pelo QR de um grupo, quando a equipe importa a sua inscrição para um grupo ou quando a equipe muda você de grupo.
• O grupo serve para organizar o projeto e para os relatórios do projeto inteiro ou de cada grupo (seção 6). Ele não vai para os apps.

Dados que o projeto pode exigir

• Um projeto pode exigir a data de nascimento (que o Laboratório pede no primeiro acesso de quem cria a conta; quem vem do cadastro anterior sem ela a informa antes de entrar no projeto) e a autorização para estatísticas (seção 4). O CPF, só um projeto com prestação de contas pode exigir: o Laboratório só pede o seu CPF se você participa de um projeto que o exige.
• Antes de você informar qualquer coisa, a seção do projeto, no primeiro acesso de quem cria a conta e no seu perfil (para quem vem do cadastro anterior, no perfil, indicado por um aviso no painel), mostra um aviso destacado com o nome do projeto, os financiadores, os dados exigidos, a finalidade e a base legal escritas para aquele projeto e o que acontece se você não quiser informar (art. 9º, § 3º, da LGPD). Num projeto com prestação de contas, o aviso diz também que você pode entrar na lista de participantes da prestação de contas aos financiadores e o que pode ir nela: o nome, o grupo, a faixa etária, o estado e o município e, se o projeto exige, o CPF (seção 6). A seção traz ainda os seus direitos, o canal de privacidade e o link para esta política.
• Você registra que leu o aviso. Ficam guardados o projeto, a versão dos requisitos e a data (seção 3). Se o que o aviso diz mudar (dados exigidos, prestação de contas, financiadores, finalidade ou base legal), a versão muda e o aviso aparece de novo para você ler.
• Recusar não afeta a sua conta nem os outros projetos: você só não entra naquele projeto. Os apps do projeto ficam pendentes até os dados exigidos estarem completos e você registrar que leu o aviso da versão em vigor; depois disso, a liberação é automática.
• Se os requisitos mudarem depois da liberação, o acesso aos apps já liberado continua, mas você fica fora dos relatórios e da lista de participantes do projeto até registrar que leu o aviso novo e completar o que ele pedir.
• A folha pública de registro continua pedindo só nome e e-mail. O CPF é digitado só por você, depois de entrar na sua conta.

CPF

• Para que serve: identificar quem participou, na prestação de contas do projeto que exige o CPF aos financiadores dele, e garantir que cada pessoa conte uma vez só. O CPF não serve para mais nada: não entra em estatísticas, não vai para os apps, não é usado para contato e não entra na prestação de contas de outro projeto que não o exija.
• Base legal: quando uma norma obriga a identificar os participantes na prestação de contas (por exemplo, a lei, o decreto ou a instrução normativa que rege o financiamento do projeto, citada no aviso dele), o cumprimento de obrigação legal ou regulatória (art. 7º, II, da LGPD). Uma exigência que esteja só no contrato com o financiador não é, sozinha, obrigação legal: nesses casos, a base é a execução do contrato de participação no projeto (art. 7º, V), e, para quem tem menos de 18 anos, essa participação depende da autorização do responsável, colhida pela instituição do projeto. Como o CPF é condição para participar desses projetos, você é informado com destaque antes de informá-lo (art. 9º, § 3º). A finalidade e a base legal de cada projeto aparecem escritas no aviso dele.
• Como é guardado: cifrado no servidor antes de chegar ao banco de dados, com uma chave que não fica no banco. Para impedir o mesmo CPF em duas contas sem guardar o número aberto, o banco guarda também um índice cego, calculado com outra chave secreta. Nas telas, inclusive para você, ele aparece só mascarado, no formato ***.000.000-**, com os três primeiros e os dois últimos dígitos escondidos. Ele nunca vai para registros de auditoria, endereços de página, e-mails ou apps.
• Quem vê por inteiro: ninguém, nas telas. O CPF inteiro só aparece no relatório de prestação de contas de um projeto que exige o CPF, no modo completo, que a equipe administradora usa quando o financiador exige a identificação, com justificativa escrita e registrada (seção 6). Nos outros modos, ele fica fora da lista ou aparece mascarado.
• Com quem é compartilhado: com os financiadores do projeto que exige o CPF, só na prestação de contas daquele projeto. O banco de dados não entrega o CPF para a lista de um projeto que não o exige, mesmo que você o tenha informado para outro projeto. Os financiadores tratam esses dados como controladores, pelas regras e pelos prazos deles.
• Corrigir ou apagar: você corrige no perfil. Um CPF só pode estar numa conta: se ele já estiver em outra, nada é gravado, e a tela pede para falar com a equipe pelo canal de privacidade. Para apagar, use o canal de privacidade (seção 1), quando já não participar de projeto que o exija e a prestação de contas desses projetos já tiver sido entregue, ou exclua a conta (seção 14).
• Por quanto tempo: depois que você deixa de participar de projetos que o exigem, ele fica guardado até 5 anos depois da entrega da prestação de contas do último deles e então é apagado (seção 12).

Data de nascimento nos projetos

Quem cria a conta informa a data de nascimento no primeiro acesso; quem vem do cadastro anterior como maior de idade pode informá-la depois, e quem vinha como menor de idade, ou sem a idade, informa no primeiro acesso (seção 11). Quando um projeto a exige, é a mesma data: se ela já foi informada, nenhum dado novo é pedido; se não, ela é pedida antes de você entrar no projeto. Nos relatórios e na lista de participantes entra só a faixa etária, nunca a data.

A autorização para estatísticas como condição

Num projeto que a exige, a autorização da seção 4 é condição para participar dele. Gênero e identificação racial continuam opcionais (“Prefiro não informar”). Se você retirar a autorização depois, deixa de cumprir os requisitos do projeto e sai dos relatórios dele, inclusive da lista de participantes; o acesso aos apps já liberado não é retirado automaticamente (seção 4).

Participantes registrados pela equipe, inclusive crianças

Num projeto com prestação de contas, pode haver participantes sem conta no Laboratório, por exemplo crianças. Eles não se cadastram: só a equipe administradora do Laboratório os registra (as duas pessoas da seção 6, com verificação em duas etapas), a partir de um termo de autorização assinado à mão: pelo responsável, para quem tem menos de 18 anos, ou pelo próprio participante, se for adulto. Nos relatórios, esses registros aparecem com o tipo “registro da equipe”.

• Só em projeto com prestação de contas. O banco de dados recusa o registro em qualquer outro projeto e não deixa desligar a prestação de contas de um projeto que tenha participantes registrados assim.
• Autorização assinada à mão. Para quem tem menos de 18 anos, o termo é assinado pela mãe, pelo pai ou pelo responsável legal. Para crianças, é o consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal, como exige o art. 14, § 1º, da LGPD; o Cordel 2.0 exige o mesmo termo também de quem tem de 12 a 17 anos. Nessa faixa, o adolescente participa da decisão: de 12 a 15 anos, ele é ouvido e assina a ciência no termo; de 16 a 17, assina o termo junto com o responsável, que o assiste (Código Civil, arts. 4º, I, e 1.690). Nenhuma caixa marcada numa tela substitui essas assinaturas, e a criança não se cadastra sozinha.
• Quem pode assinar como responsável: a mãe ou o pai. Qualquer outra pessoa, inclusive avó, avô, tia, tio ou irmão mais velho, só é aceita com o documento que comprova a guarda, a tutela ou outra forma de representação legal da criança ou do adolescente (por exemplo, o termo de guarda ou de tutela expedido pela Justiça). Cuidar da criança no dia a dia, sem esse documento, não basta.
• Como a equipe confere, na hora da assinatura: quem assina mostra um documento oficial com foto, e a equipe confere se o nome e o CPF são os mesmos escritos no termo. A equipe confere também, num documento da criança ou do adolescente (certidão de nascimento ou identidade), que quem assina é a mãe ou o pai; se não for, confere o documento de guarda, tutela ou representação legal. É o esforço razoável para verificar quem dá o consentimento, que o art. 14, § 5º, da LGPD pede. Os documentos são só mostrados: o Laboratório não guarda cópia deles. No Laboratório, o CPF digitado passa só pela conferência dos dígitos; quem confere a pessoa é a equipe, com os documentos na mão.
• O termo: um modelo único para todos os projetos (versão 2026-10-p1), com espaços em branco para o projeto, a entidade que o executa, os financiadores, o grupo, o local e a data. Em linguagem simples, ele traz: os dados do participante; os do responsável, obrigatórios para quem tem menos de 18 anos (nome, CPF, a relação com o participante, como mãe, pai, tutor(a) ou guardião(ã), e o documento que a equipe conferiu, sem tirar cópia dele); o que é registrado, para quê, quem vê e por quanto tempo; as autorizações (logo abaixo); a ciência ou a assinatura do adolescente; os direitos, a encarregada e o canal de privacidade; como o termo é guardado; e um campo de uso interno, em que a equipe anota a conferência. Há também uma versão curta, em linguagem para a criança (art. 14, § 6º, da LGPD).
• Autorizações separadas, cada uma com “sim” e “não” para marcar: (1) o registro no Laboratório, para a prestação de contas e as estatísticas agregadas do projeto; (2) o compartilhamento com os financiadores do projeto (abaixo), marcado “não se aplica” quando o projeto não tem financiador; (3) gênero e identificação racial, opcional (abaixo); e (4), também opcional, o uso dos apps pela criança, acompanhada, pela conta de um adulto (a conta compartilhada da seção 11), sem cadastro da criança.
• Gênero e identificação racial no termo: são dados sensíveis (art. 11, I, da LGPD), opcionais e só registrados com o “sim” na autorização 3. As respostas ficam numa parte destacável do termo, que a equipe destrói logo depois de digitar o registro: o termo guardado não traz essas respostas.
• Compartilhamento com os financiadores: a autorização 2 do termo pede, de forma específica e em destaque, a permissão para compartilhar com os financiadores do projeto os dados da lista de participantes: o nome (ou só as iniciais, ou um código, conforme o modo da lista, seção 6), o grupo, a faixa etária, o estado e o município e, nos modos mascarado e completo, o CPF do participante (se o projeto o exige) e os dados do responsável (as iniciais e o CPF mascarado, ou o nome e o CPF inteiro). Como os financiadores tratam esses dados como controladores, esse compartilhamento depende de um consentimento específico para ele (art. 7º, § 5º, da LGPD).
• Se não houver autorização: sem o termo assinado, sem o “sim” nas autorizações 1 e 2 (na 2, quando ela se aplica) ou, para quem tem menos de 18 anos, sem o CPF do responsável, a pessoa participa das atividades do projeto normalmente, mas não é registrada no Laboratório: fica fora dos números e da lista de participantes do projeto. O banco de dados recusa o registro de quem tem menos de 18 anos sem o nome, o parentesco e o CPF do responsável. O termo diz isso antes da assinatura (art. 18, VIII, da LGPD), e a participação não depende de dados além do necessário (art. 14, § 4º).
• O Laboratório não guarda cópia do termo. O termo assinado fica em papel, sem digitalização nem fotocópia, num arquivo fechado a que só a equipe administradora tem acesso (seção 12). No Laboratório ficam só a data da assinatura, a referência do projeto escrita no termo, o local da assinatura e quem da equipe administradora fez o registro ou a última alteração, com o nome dessa pessoa na tela. A cada inclusão ou alteração, ela confirma: “Confirmo que o termo de autorização em papel, modelo 2026-10-p1, assinado pelo responsável (ou, se o beneficiário for adulto, por ele mesmo), está arquivado e traz o “sim” nas autorizações 1 (registro) e 2 (financiadores, quando o projeto os tem)”. Sem essa confirmação, o banco de dados não grava.
• Dados do participante: nome completo; data de nascimento, obrigatória, com a faixa etária calculada a partir dela e recalculada nos aniversários; o grupo do projeto, quando houver; estado e município (obrigatórios para adultos e opcionais para menores de 18 anos, como no cadastro); o CPF, só quando o projeto o exige (nos demais, opcional, para evitar registro repetido), sempre cifrado; e gênero e identificação racial, opcionais (“Prefiro não informar”), só com a autorização 3 do termo e usados só em números agregados.
• Dados do responsável, obrigatórios para menores de 18 anos: nome, parentesco (ou a condição de tutor ou guardião) e CPF. O CPF do responsável é obrigatório e é protegido como o CPF da conta (acima): cifrado no servidor antes de chegar ao banco, com índice cego, e só mascarado nas telas. Ele não pode ser o mesmo do participante. Quando o participante completa 18 anos, o responsável continua registrado.
• Participante adulto: um adulto sem conta também pode ser registrado assim. Nesse caso, o termo é assinado por ele mesmo, com o apoio de alguém de confiança, se precisar. Ninguém assina no lugar de um adulto: a curatela não alcança o direito à privacidade (Lei 13.146/2015, art. 85, § 1º), e o curador, se houver, pode só acompanhar a assinatura. Se alguém acompanhou, o registro pode trazer o nome, a relação e o CPF dessa pessoa, com as mesmas proteções dos dados de um responsável. Para um adulto, o que esta seção diz sobre a autorização e os direitos exercidos pelo responsável vale para o próprio participante.
• Para que serve, e só para isso: a prestação de contas do projeto aos financiadores dele e as estatísticas agregadas do projeto e dos grupos (seção 6). O registro não cria conta, não é usado para contato e não entra nas estatísticas do Laboratório inteiro.
• Sem acesso aos apps. O participante registrado pela equipe não tem conta, não entra no Laboratório nem nos apps por esse registro, e nenhum dado dele ou do responsável vai para os apps. Quando uma criança usa um app, é pela conta compartilhada de um adulto (seção 11), o que o termo pede à parte, na autorização 4.
• Quem vê: só a equipe administradora, na página do projeto: nome, data de nascimento, idade e faixa, grupo, estado e município, os CPFs mascarados, o responsável com o parentesco e os dados do termo, com o nome de quem registrou. Depois de gravados, gênero e identificação racial não voltam para nenhuma tela nem lista: nem na página do projeto, nem ao editar o registro, nem na prestação de contas; só em totais. A equipe só vê essas respostas na parte destacável do termo, ao digitar o registro; essa parte é destruída logo depois, e o termo guardado não as traz (seção 12).
• Na prestação de contas: esses participantes entram nas estatísticas do projeto e dos grupos, com as mesmas proteções, e na lista de participantes com o tipo “registro da equipe”, conforme o modo (seção 6): no pseudônimo, só o código, sem o responsável; no mascarado, as iniciais e o CPF mascarado, também do responsável; no completo, o nome e o CPF inteiro, também do responsável. O CPF do próprio participante só aparece na lista de um projeto que exige o CPF; o do responsável aparece nas listas mascarada e completa.
• Registro repetido: o mesmo CPF não entra duas vezes no mesmo projeto. Se o CPF já estiver numa conta do Laboratório, a equipe vê só um aviso de possível duplicidade, sem saber de quem é a conta.
• Auditoria: cada inclusão, alteração e remoção fica registrada com quem fez, quando, o projeto e o grupo, sem nome, CPF, data de nascimento nem local.
• Base legal: o consentimento dado no termo, pelo responsável ou, se o participante for adulto, por ele mesmo. Para crianças, é o consentimento do art. 14, § 1º, da LGPD; para gênero e identificação racial, que são dados sensíveis, o consentimento específico e destacado do art. 11, I; para o compartilhamento com os financiadores, o consentimento específico do art. 7º, § 5º. Os dados do responsável são tratados com base no mesmo termo, que ele assina. Tudo no melhor interesse da criança e do adolescente (art. 14 da LGPD e Enunciado CD/ANPD nº 1/2023).
• Direitos: quem os exerce é quem assinou o termo (o responsável ou, se o participante for adulto, ele mesmo), pelo canal de privacidade, dpo.cordel2pontozero@gmail.com: confirmação e acesso, correção, eliminação e revogação da autorização (seção 13). Revogar faz a equipe remover o registro, de forma definitiva; o termo em papel continua guardado até o fim do prazo da seção 12, anotado com a data da revogação, só para comprovar a autorização que existiu. Também dá para pedir só que gênero e identificação racial sejam apagados. Antes de atender, a equipe confere com o termo arquivado que o pedido vem de quem assinou. Como as telas da equipe não mostram gênero e identificação racial, o pedido de acesso a esses dois dados é atendido pela administração técnica do Laboratório, que consulta só aquele registro (seção 6). Depois dos 18 anos, a própria pessoa pode fazer esses pedidos pelo mesmo canal. Relatórios já entregues aos financiadores ficam com eles, e números agregados já publicados não são refeitos.
• Por quanto tempo o registro e o termo em papel são guardados: seção 12.

6. Relatórios: quem vê e como protegem você

Quem gera

• Só a equipe administradora do Laboratório: duas pessoas nomeadas do Cordel 2.0, cada uma com verificação em duas etapas (MFA, por aplicativo autenticador) obrigatória. Assistentes, instituições parceiras e as demais pessoas da equipe não acessam relatórios nem listas.
• Cada consulta e cada exportação fica registrada, com quem gerou, quando, o projeto, os grupos e o modo (seção 3).
• O relatório pode ser do Laboratório inteiro, de um projeto ou de um ou mais grupos de um projeto, e é calculado pelo próprio banco de dados.
• Nas estatísticas entra só quem tem a autorização da seção 4 em vigor, sem as contas antigas de criança (seção 11). Num projeto, só quem está na folha do projeto (nos grupos escolhidos) e cumpre os requisitos dele, inclusive o registro de leitura do aviso da versão em vigor.
• Num projeto com prestação de contas, entram também os participantes registrados pela equipe (seção 5), de qualquer idade, pela autorização do termo assinado pelo responsável ou, se o participante for adulto, por ele mesmo. Eles entram só nos relatórios do projeto e dos grupos dele, nunca no do Laboratório inteiro.

Proteção padrão

Em qualquer relatório, inclusive no de contagens exatas (logo abaixo), valem estas regras:

• Um relatório só sai com pelo menos 10 pessoas. Ele também é recusado quando ficam de 1 a 9 pessoas fora do recorte (do Laboratório para o projeto, ou do projeto para os grupos escolhidos), porque a diferença entre os dois relatórios revelaria essas poucas. Com vários grupos, cada um precisa ter pelo menos 10 pessoas.
• Cada consulta conta num limite de 30 por dia para cada pessoa da equipe administradora.

E, dentro do relatório, estas proteções valem para todos os números, menos na exceção das contagens exatas; para gênero e identificação racial, valem sempre:

• Toda contagem menor que 5, inclusive zero, aparece só como “<5”. As demais são arredondadas para o múltiplo de 5 mais próximo, para que ninguém descubra um grupo pequeno fazendo contas com os outros números.
• Quando quase todo o grupo está numa mesma categoria, aquela tabela não é mostrada, porque revelaria a resposta de quase todos. Municípios só aparecem com 5 pessoas ou mais.

Contagens exatas, só na prestação de contas

• Num projeto com prestação de contas, quando o financiador exige números exatos, a equipe administradora pode gerar o relatório do projeto, ou dos grupos dele, com contagens exatas, depois de escrever uma justificativa, que fica registrada. Fora desses projetos, o banco de dados recusa.
• Nesse modo, saem com os números exatos, inclusive os pequenos, só a faixa etária, o estado e o município, as respostas de sim ou não e o grupo. Gênero e identificação racial continuam com a proteção padrão também nesse modo: nunca saem em contagem exata.
• O relatório exato traz também o total de participantes do projeto (ou dos grupos) que cumprem os requisitos, inclusive quem não autorizou as estatísticas, somado aos participantes registrados pela equipe: é só uma contagem, sem nenhum dado do perfil de quem não autorizou.
• Números exatos de grupos pequenos podem permitir que alguém que conhece o grupo deduza a faixa etária, o município ou uma resposta de sim ou não de uma pessoa. Por isso esse modo é uma exceção, usada só quando exigida.

Lista de participantes, só na prestação de contas

Só num projeto com prestação de contas, e só com quem cumpre os requisitos do projeto, inclusive o registro de leitura do aviso, e com os participantes registrados pela equipe (seção 5), que aparecem com o tipo “registro da equipe”. As contas antigas de criança nunca entram. A equipe escolhe um modo, conforme a exigência do financiador:

• Oculto: sem lista; só as estatísticas.
• Pseudônimo: cada pessoa aparece como um código (P- seguido de 10 letras e números), o mesmo em todos os relatórios daquele projeto e diferente em cada projeto. Quem recebe não sabe quem é, mas a equipe, que guarda a chave, consegue reidentificar: é um dado pseudonimizado (art. 13, § 4º, da LGPD), e não anônimo. Nos registros da equipe, o responsável não aparece.
• Mascarado: as iniciais do nome e, num projeto que exige o CPF, o CPF mascarado. Nos registros da equipe, também as iniciais e o CPF mascarado do responsável. Reduz a exposição, mas não torna a pessoa anônima.
• Completo: o nome e, num projeto que exige o CPF, o CPF inteiro; nos registros da equipe, também o nome e o CPF inteiro do responsável. Só quando o financiador exige a identificação, com justificativa escrita e confirmação, e só na planilha e na versão para impressão, que saem marcadas com “contém dados pessoais”, quem gerou e a data. O registro guarda um resumo criptográfico da justificativa, nunca o CPF.
• A lista pode trazer, por pessoa, o tipo (conta ou registro da equipe), o grupo, a faixa etária, o estado e o município. Nenhuma lista traz gênero ou identificação racial: esses dados só aparecem em totais.
• O CPF de um participante só aparece na lista de um projeto que o exige. Num projeto com prestação de contas que não exige CPF, a lista não traz o CPF de nenhum participante, nem de quem o informou para outro projeto. A exceção é o CPF do responsável por um participante registrado pela equipe, que é obrigatório nesses registros: ele aparece, mascarado ou inteiro, nas listas mascarada e completa de qualquer projeto com prestação de contas.

O que sai do Laboratório

• Os relatórios de prestação de contas vão para os financiadores do projeto, com a proteção e o modo de lista que a exigência deles pedir, numa planilha (CSV) ou na versão para impressão, que traz um cabeçalho com o projeto, os financiadores, os grupos, o período, o modo, quem gerou e quando.
• Esses arquivos são baixados no computador da pessoa da equipe administradora que fez a exportação. Por qual canal eles chegam aos financiadores e por quanto tempo a equipe guarda a cópia: a definir. Se o canal usar um serviço de terceiros, ele entra na lista de operadores da seção 9 antes do primeiro envio.
• Fora da prestação de contas, parceiros e órgãos públicos recebem só números com a proteção padrão. Ninguém recebe gênero ou identificação racial de uma pessoa.
• O acesso técnico direto ao banco de dados fica restrito à administração técnica do Laboratório e é usado só para manutenção e para atender pedidos de titulares que as telas da equipe não cobrem, como o acesso a gênero e identificação racial de um participante registrado pela equipe (seção 5), consultando só o registro pedido.

Números agregados reduzem muito, mas não eliminam por completo, a chance de alguém ser reconhecido num grupo pequeno. Por isso a proteção padrão esconde as contagens pequenas e recusa os recortes com poucas pessoas, as contagens exatas ficam restritas à prestação de contas e gênero e identificação racial nunca saem exatos.

7. Para que usamos e com qual base legal

• Criar e manter a sua conta, confirmar que o e-mail é seu, liberar os apps, atender você e manter tudo seguro, inclusive os registros de auditoria: execução do serviço contratado (art. 7º, V, da LGPD).
• Data de nascimento e faixa etária: calcular a faixa, aplicar a idade mínima de 12 anos para ter conta, confirmar os 18 anos para a declaração de conta compartilhada e aplicar as proteções de crianças e adolescentes: execução do serviço (art. 7º, V) e as regras de proteção do art. 14 da LGPD (seção 11).
• Estatísticas dos projetos e métricas de impacto de políticas públicas, com os dados do perfil sempre em números agregados: só com a sua autorização (seção 4). Base legal: consentimento (art. 7º, I) e, para gênero e identificação racial, consentimento específico e destacado (art. 11, I). Sem a autorização, nenhum dado do seu perfil entra nas estatísticas.
• Prestação de contas dos projetos que a têm (seção 5): o CPF (só nos projetos que o exigem), a lista de participantes e o compartilhamento com os financiadores. Base legal: cumprimento de obrigação legal ou regulatória (art. 7º, II) quando uma norma, citada no aviso do projeto, obriga a identificar os participantes; nos demais casos, execução do contrato de participação no projeto (art. 7º, V), que, para quem tem menos de 18 anos, depende da autorização do responsável, colhida pela instituição do projeto. Sempre com o aviso destacado do art. 9º, § 3º. A autorização para estatísticas, quando é condição do projeto, continua sendo consentimento.
• Participantes registrados pela equipe, sem conta, nos projetos com prestação de contas (seção 5): registrar o participante e o responsável, prestar contas do projeto aos financiadores e compor as estatísticas agregadas do projeto e dos grupos, e nada além disso. Base legal: o consentimento dado no termo de autorização assinado à mão pelo responsável ou, se o participante for adulto, por ele mesmo (para crianças, o do art. 14, § 1º; para gênero e identificação racial, o do art. 11, I; para o compartilhamento com os financiadores, o consentimento específico do art. 7º, § 5º).
• Conta compartilhada com criança: registrar a declaração do adulto e avisar os apps para adaptar o conteúdo: execução do serviço (art. 7º, V), no melhor interesse da criança (art. 14).
• Avisar quem já usava os apps sobre a mudança do serviço (o convite para o Laboratório): legítimo interesse do Cordel 2.0 em comunicar essa mudança (art. 7º, IX, da LGPD), por mensagem transacional, com a opção de não participar e de pedir a exclusão.
• Crianças e adolescentes: todas as bases acima valem só com o melhor interesse deles em primeiro lugar (art. 14 da LGPD e Enunciado CD/ANPD nº 1/2023). Crianças com menos de 12 anos não têm conta no Laboratório; nos projetos com prestação de contas, podem ser registradas pela equipe com o termo do responsável (seção 11).
• Nenhum e-mail de propaganda sai do Laboratório.

8. O que os apps recebem

Ao abrir um app liberado, o Laboratório envia a ele, de servidor para servidor e por um token de uso único, só o necessário para você entrar e para ligar a sua produção à sua conta:

• identificador da conta no Laboratório;
• nome e e-mail;
• faixa etária resumida (menos de 12, de 12 a 17 ou 18 anos ou mais) e a indicação de menor de idade. Para quem vem do cadastro anterior e ainda não tem faixa etária no Laboratório (não informou a data de nascimento), a faixa resumida não é enviada, e a indicação de menor de idade segue o que aquele cadastro registrou (maior ou menor de idade); sem esse registro, a pessoa não é apresentada ao app como adulta: vai como menor de idade;
• se a conta foi declarada compartilhada com criança menor de 12 anos (sim ou não), para o app adaptar o conteúdo ao uso por criança;
• os identificadores do cadastro anterior e, se a equipe corrigiu o seu e-mail, os endereços anteriores, para encontrar a conta que você já tinha no app;
• o papel de administrador do Laboratório, quando houver.

O app guarda esses dados como a cópia mínima de identificação da seção 2. Os apps não recebem gênero, identificação racial, a autorização para estatísticas, o nome de um responsável, a faixa etária detalhada, a data de nascimento, o CPF, os projetos e grupos, estado, município, instituição, a cidade do cadastro anterior nem as respostas de sim ou não. Sobre crianças que usam uma conta compartilhada, os apps recebem só a indicação de conta compartilhada: o Laboratório não pede dados sobre elas, e o que elas produzem no app fica guardado como produção da conta do adulto (seção 11). Nada é enviado a um app sem acesso liberado.

Os participantes registrados pela equipe (seção 5) não têm conta: nenhum dado deles nem do responsável vai para os apps.

9. Operadores e transferência internacional

Estes serviços tratam dados em nome do Cordel 2.0:

• Gênero, identificação racial, data de nascimento e CPF, inclusive os dos participantes registrados pela equipe e o CPF dos responsáveis, ficam guardados no banco, em São Paulo, e são tratados pelas funções do servidor, também em São Paulo. Não vão para a Resend nem para a Cloudflare, e só chegam ao Google se você (ou o responsável) os escrever num pedido ao canal de privacidade.
• Os financiadores que recebem a prestação de contas não são operadores: recebem os dados da seção 6 e os tratam como controladores, pelas regras deles.
• Quando um desses serviços trata dados fora do Brasil, a transferência internacional se apoia num dos mecanismos do art. 33 da LGPD, pelo contrato de tratamento de dados de cada fornecedor. O mecanismo de cada um (por exemplo, as cláusulas-padrão contratuais da ANPD, da Resolução CD/ANPD nº 19/2024): a definir.
• A lista de municípios vem do IBGE: o servidor do Laboratório pede a lista do estado escolhido, sem enviar nenhum dado seu.

10. Cookies

Só cookies necessários para o funcionamento, todos do próprio Laboratório:

11. Crianças e adolescentes

Idade mínima: 12 anos

• Para ter conta no Laboratório é preciso ter 12 anos ou mais. A data de nascimento é pedida no primeiro acesso de quem cria a conta (quem já tinha conta no Laboratório sem a data informa na próxima visita, salvo quem vem do cadastro anterior como maior de idade), a faixa etária é calculada a partir dela e recalculada quando você faz aniversário, e o banco de dados recusa uma data de menos de 12 anos.
• Quem vem do cadastro anterior (check-in ou contas antigas dos apps) entra confirmando os termos. Se aquele cadastro indicava maior de idade, a data de nascimento fica para depois, no perfil, ou para quando um projeto a exige. Se indicava menor de idade, ou não dizia a idade, ou se a faixa etária já gravada no Laboratório é de menor, a data é pedida já no primeiro acesso: só ela separa quem tem de 12 a 17 anos de quem tem menos de 12 anos. Enquanto ela não é informada, vale a indicação de idade do cadastro anterior (maior ou menor de idade) e, sem essa indicação, a pessoa não é tratada como adulta: o que é só para quem tem 18 anos ou mais, como a declaração de conta compartilhada, continua dependendo da data. Quando a data é informada, valem as regras desta seção.
• Quando a data indica menos de 12 anos, o cadastro não é concluído: nada do que foi digitado no formulário é gravado, a conta não recebe acesso aos apps, e a tela explica como um adulto responsável pode usar a própria conta com a criança (abaixo).
• O que pode restar é só o que já existia antes do formulário: o e-mail usado para pedir o código e, se veio de uma folha de projeto ou do cadastro anterior, o nome. Prazo para apagar: a definir.
• A folha de registro dos projetos não serve para inscrever crianças com menos de 12 anos. Num projeto com prestação de contas, a criança pode participar sem conta, registrada pela equipe com o termo assinado à mão pelo responsável (abaixo). Para usar os apps, a criança usa a conta compartilhada de um adulto.

Conta compartilhada com criança menor de 12 anos

Um adulto, com 18 anos ou mais, pode usar a própria conta com uma ou mais crianças com menos de 12 anos, acompanhando o uso. Para isso, ele marca no perfil (bloco “Conta compartilhada com criança (opcional)”) a declaração abaixo. O banco de dados só aceita a declaração de quem tem data de nascimento de 18 anos ou mais. Texto em vigor, versão 2026-10-c1:

“Declaro que tenho 18 anos ou mais, que sou responsável por uma ou mais crianças com menos de 12 anos e que autorizo o compartilhamento desta minha conta com elas, acompanhando o uso. Entendo que a conta é minha: os dados cadastrados são os meus e as crianças não fornecem dados pessoais ao Laboratório.”

• A conta continua sendo do adulto: os dados cadastrados são os dele. Pela conta compartilhada, o Laboratório não pede nem guarda dados sobre a criança: nem nome, nem idade, nem quantas são.
• O que a criança escreve ou produz nos apps fica guardado no app como produção da conta do adulto, como toda a produção, e pode conter dados pessoais dela. Por isso, oriente a criança a não escrever nome completo, endereço, escola ou outros dados pessoais; se algo assim for escrito, peça pelo canal de privacidade (seção 1) que seja apagado. Esse conteúdo é tratado no melhor interesse da criança (art. 14 da LGPD).
• Fica registrado que a declaração foi feita, com a versão do texto e a data, e cada declaração feita, renovada ou retirada entra no registro das autorizações e declarações e no registro de auditoria.
• Os apps recebem só a indicação de que a conta é compartilhada (sim ou não), para adaptar o conteúdo ao uso por criança, e não pedem dados sobre ela.
• A declaração não entra em estatísticas nem em relatórios. A equipe que administra o Laboratório vê se a conta está marcada como compartilhada.
• O adulto retira a declaração quando quiser, no perfil (“Retirar declaração”). Se a data de nascimento for corrigida para menos de 18 anos, a declaração é retirada automaticamente.

Crianças e adolescentes registrados pela equipe

• Num projeto com prestação de contas, uma criança ou um adolescente pode participar sem conta: a equipe administradora do Laboratório registra a participação a partir de um termo de autorização assinado à mão pela mãe, pelo pai ou pelo responsável legal. Para crianças, é o consentimento específico e em destaque do art. 14, § 1º, da LGPD; o Cordel 2.0 exige o mesmo termo para adolescentes, que participam da decisão: de 12 a 15 anos, o adolescente é ouvido e assina a ciência; de 16 a 17, assina o termo junto com o responsável, que o assiste. Nenhuma caixa numa tela substitui essas assinaturas.
• Outra pessoa que não a mãe ou o pai só assina como responsável com o documento de guarda, tutela ou representação legal. Na hora da assinatura, a equipe confere o documento com foto e o CPF de quem assina e se essa pessoa é mesmo a mãe, o pai ou o responsável legal (detalhes na seção 5).
• O termo fica guardado em papel, sem digitalização nem fotocópia, num arquivo fechado a que só a equipe administradora tem acesso (seção 12). O Laboratório não guarda cópia dele: registra só a data da assinatura, a referência do projeto, o local e quem da equipe inseriu o registro.
• A criança não se cadastra, não informa e-mail e não tem acesso aos apps por esse registro. O CPF do responsável é obrigatório e fica cifrado. Gênero e identificação racial são opcionais; ficam numa parte destacável do termo, destruída logo depois da digitação, e, depois de digitados, não voltam para nenhuma tela nem lista e só entram em totais.
• Se o responsável não assinar o termo, não marcar “sim” nas autorizações de registro e de compartilhamento com os financiadores (quando o projeto os tem) ou não quiser informar o próprio CPF, a criança ou o adolescente participa das atividades do projeto normalmente, mas não é registrado: fica fora dos números e da lista de participantes do projeto (seção 5).
• Os dados servem só à prestação de contas do projeto e às estatísticas agregadas dele. Os direitos da criança ou do adolescente são exercidos pelo responsável, pelo canal de privacidade (seção 1). Detalhes na seção 5.

Adolescentes (12 a 17 anos)

• Têm conta própria e usam os apps em projetos escolares ou culturais, sob a responsabilidade da instituição do projeto.
• Para ter conta e usar os apps, o Laboratório exige só nome, e-mail e data de nascimento (quem vem do cadastro anterior como menor de idade, ou sem a idade, também informa a data no primeiro acesso). Estado e município são opcionais para menores de 18 anos: é a regra do art. 14, § 4º, da LGPD (não condicionar a participação a dados além do necessário), que a lei escreve para crianças e o Laboratório aplica também a adolescentes. Instituição e as respostas de sim ou não também são opcionais.
• Gênero e identificação racial são opcionais e só são guardados com a autorização para estatísticas, dada pela própria pessoa (seção 4).
• A exceção é a dos projetos que exigem dados (seção 5): hoje, as exigências do projeto, inclusive o CPF e a autorização para estatísticas, valem também de 12 a 17 anos. Antes de informar o CPF ou de dar a autorização, a seção do projeto recomenda conversar com o responsável, porque a instituição do projeto acompanha a participação. Recusar só impede a entrada naquele projeto. Se essa regra mudar para menores de 18 anos, a mudança será publicada aqui.
• Os apps recebem a indicação de menor de idade para aplicar as próprias proteções.

Contas criadas antes de 30/09/2026 na faixa “até 11 anos”

Até 30/09/2026 a faixa etária era declarada, e havia contas na faixa “até 11 anos”, algumas com a autorização para estatísticas dada por um responsável. Até a decisão sobre elas:

• não recebem nenhuma liberação automática de apps, nem pela folha de um projeto nem por lista importada: o pedido fica pendente para a equipe;
• ficam fora de todos os relatórios, das estatísticas e das listas de participantes, mesmo com a autorização do responsável;
• no próximo acesso, a data de nascimento é pedida; se ela confirmar menos de 12 anos, o cadastro não segue.

O destino dessas contas e dos dados delas, inclusive gênero e identificação racial informados com a autorização do responsável e o nome dele: a definir.

Todo tratamento de dados de crianças e adolescentes segue o melhor interesse deles (art. 14 da LGPD e Enunciado CD/ANPD nº 1/2023).

12. Por quanto tempo guardamos

• Dados da conta: enquanto a conta existir.
• Data de nascimento, depois de informada: enquanto a conta existir. Ela pode ser corrigida, mas não apagada à parte, porque dela dependem a faixa etária e a idade mínima.
• CPF da conta: enquanto você participar de um projeto que o exige. Depois, fica guardado até 5 anos depois da entrega da prestação de contas do último projeto que o exigiu, o prazo usado para a guarda de documentos fiscais, e então é apagado pela equipe administradora. Até a entrega, ele é necessário para prestar contas; depois dela, se você já não participa de projeto que o exige, pode pedir pelo canal de privacidade que ele seja apagado antes do fim desse prazo. A exclusão da conta também apaga o CPF (seção 14).
• Gênero e identificação racial: até você apagá-los, retirar a autorização para estatísticas ou excluir a conta, o que acontecer primeiro. Também são apagados quando a autorização deixa de valer (seção 4).
• Autorização para estatísticas (e, nas autorizações antigas, o nome do responsável): até ser retirada ou a conta ser excluída.
• Declaração de conta compartilhada: até ser retirada (pelo adulto ou pela regra de idade) ou a conta ser excluída.
• Registro das autorizações e declarações (ação, versão do texto, data, quem autorizou e motivo, sem as respostas e sem nomes): guardado para comprovar o consentimento e as declarações (art. 8º, § 2º, da LGPD). Quando a conta é excluída, ele fica sem o seu identificador.
• Folhas de projeto, com o grupo: enquanto a conta existir; são apagadas com ela. Para quem está numa folha e nunca criou a conta: prazo a definir; antes disso, são apagadas a pedido (seção 14).
• Cadastro anterior de quem nunca criar conta no Laboratório (nome, e-mail, instituição, indicação de menor e a cópia acima): prazo a definir; antes disso, é apagado a pedido (seção 14).
• Cadastro anterior com e-mail de um domínio que não existe (o código de entrada nunca chegaria a ele): é desconsiderado, como se a pessoa nunca tivesse se cadastrado. Não entra no Laboratório, e o que já tinha entrado, sem conta criada, é apagado das folhas de projeto e do cadastro anterior; fica só o registro de auditoria da remoção, com o resumo SHA-256 do e-mail, sem o endereço (seção 3).
• Registro de leitura dos avisos de projeto: enquanto a conta existir, para comprovar que você foi informado antes de participar.
• Participantes registrados pela equipe, com os dados do responsável (inclusive os CPFs): até 5 anos depois da entrega da prestação de contas do projeto, o mesmo prazo do CPF da conta, e então apagados pela equipe administradora. Antes disso, saem quando a equipe remove o registro a pedido de quem assinou o termo (seção 5) ou quando o projeto é excluído, o que apaga os registros dele.
• Termo de autorização em papel: guardado fora do Laboratório, em papel, sem digitalização nem fotocópia, num arquivo fechado na sede do Cordel 2.0 ou da entidade executora do projeto, a que só a equipe administradora tem acesso, para comprovar a autorização (art. 8º, § 2º, da LGPD). Ele traz os dados do participante e do responsável, mas não as respostas de gênero e identificação racial, que ficam na parte destacável destruída depois da digitação (seção 5). É guardado pelo mesmo prazo do registro, 5 anos depois da entrega da prestação de contas do projeto, e depois é fragmentado. Se o registro for removido a pedido de quem assinou, o termo continua guardado até o fim desse prazo, anotado com a data da revogação, só para comprovar a autorização que existiu, e é fragmentado ao fim do prazo.
• Relatórios de prestação de contas entregues a financiadores: ficam com eles, pelos prazos das regras deles. As cópias dos arquivos baixados pela equipe (planilhas e versões para impressão, inclusive as que trazem nome e CPF) e o canal de envio aos financiadores: a definir (seção 6).
• Contadores anti-abuso: ficam pelo menos 2 dias e depois são apagados automaticamente, numa limpeza que ainda não tem prazo máximo fechado.
• Registros de auditoria (inclusive os de relatórios) e de envio de e-mail: prazo a definir.
• Resumo do e-mail de contas bloqueadas ou excluídas, e de quem pediu a exclusão sem ter conta: enquanto o bloqueio ou a exclusão valer.
• Arquivos do cadastro anterior (planilhas e cópias do check-in): descartados 30 dias depois da migração; o prazo exato será publicado aqui.
• Cadastro que os apps tinham antes do Laboratório: apagado de cada app depois da migração (seção 2); o prazo será publicado aqui.

13. Seus direitos

Você pode pedir confirmação de que tratamos os seus dados e acesso a eles; correção; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a LGPD; portabilidade; eliminação dos dados tratados com o seu consentimento; informação sobre com quem compartilhamos (os operadores da seção 9 e, nos projetos com prestação de contas, os financiadores do projeto); informação sobre o que acontece se você não der uma autorização (fora dos projetos que a exigem, nada muda no seu acesso; nesses, você só não entra no projeto); e revogação do consentimento (art. 18 da LGPD). Retirar a autorização para estatísticas é tão simples quanto dar: um botão no perfil, a qualquer momento (art. 8º, § 5º).

• No seu perfil, você vê o seu cadastro e edita nome, data de nascimento (com confirmação), estado e município, instituição e as respostas de sim ou não; vê o CPF mascarado e o corrige, se um projeto seu o exige; vê, muda ou apaga gênero e identificação racial; e dá ou retira a autorização para estatísticas e a declaração de conta compartilhada quando quiser.
• No painel, você pede a exclusão da conta. Os demais pedidos vão pelo canal de privacidade da seção 1: dpo.cordel2pontozero@gmail.com.
• A troca de e-mail é feita só pela equipe, com comprovação, para evitar que alguém tome a sua conta.
• Participantes registrados pela equipe (seção 5): como não têm conta nem perfil, os direitos deles são exercidos por quem assinou o termo (o responsável ou, se o participante for adulto, ele mesmo), pelo canal de privacidade, dpo.cordel2pontozero@gmail.com. Depois dos 18 anos, a própria pessoa pode fazer os pedidos pelo mesmo canal.
• Pedidos de confirmação e de acesso são respondidos na hora, de forma simplificada, pelo perfil, ou por declaração completa em até 15 dias contados do pedido (art. 19 da LGPD).
• Você também pode peticionar contra o Cordel 2.0 à Autoridade Nacional de Proteção de Dados (ANPD) e aos órgãos de defesa do consumidor (art. 18, §§ 1º e 8º, da LGPD). A lei aplicável e o foro estão na seção 17.

14. Exclusão

A exclusão apaga o seu perfil no Laboratório, inclusive gênero, identificação racial, a autorização para estatísticas, a data de nascimento, o CPF e a declaração de conta compartilhada, e apaga os registros do cadastro anterior e das folhas de projeto ligados à conta ou ao seu e-mail (inclusive aos endereços anteriores, se a equipe corrigiu o seu e-mail). O registro das autorizações e declarações fica sem o seu identificador. Em seguida, a equipe segue o roteiro de exclusão de cada app: no Tica e no Inanna, a conta é apagada, com a produção ligada a ela; no Arara-trilhas, o roteiro previsto hoje arquiva a conta, o que bloqueia o acesso sem apagar os dados, e a eliminação nesse app está a definir. Se alguma produção precisar ser mantida, por exemplo para pesquisa ou para o acervo do projeto, ela é anonimizada antes, sem nada que identifique você (art. 16 da LGPD). Cada passo fica no registro de auditoria.

Relatórios de prestação de contas já entregues a um financiador ficam com ele, pelas regras dele: o Laboratório não consegue recolhê-los.

No Laboratório, depois da exclusão, ficam só:

• os registros de auditoria, com o identificador interno da conta (inclusive, se houve, o registro de que você deu a autorização para estatísticas ou fez a declaração de conta compartilhada, e os registros dos relatórios) e, se a equipe corrigiu o seu e-mail, o endereço antigo, o novo e a justificativa escrita pela equipe, pelo prazo da seção 12, para comprovar o que foi feito (art. 16, I, e art. 37 da LGPD);
• o registro das autorizações e declarações, sem o seu identificador, para comprovar o consentimento (art. 8º, § 2º, da LGPD);
• o resumo SHA-256 do seu e-mail (seção 3), para que a conta não seja liberada de novo automaticamente, cumprindo o próprio pedido de exclusão (art. 16, I, da LGPD);
• os contadores anti-abuso, até a limpeza automática da seção 12.

Quem não tem conta

Quem não tem conta no Laboratório, mas está numa folha de projeto ou numa lista importada, veio do cadastro anterior ou pediu um código de entrada e não chegou a ter perfil, pede a exclusão pelo canal de privacidade, dpo.cordel2pontozero@gmail.com. A equipe administradora primeiro bloqueia o e-mail nos três apps e só depois apaga os registros dele nas folhas de projeto e no cadastro anterior e a conta de entrada que não chegou a ter perfil, se houver. Se o cadastro anterior mostrava uma conta num app, a exclusão nesse app segue o roteiro dele (acima). Fica o resumo SHA-256 do e-mail (seção 3): com ele, as listas que a equipe importar depois, inclusive as do cadastro anterior, pulam esse e-mail e, se um dia ele for usado para entrar, os apps continuam bloqueados até a equipe liberar, a pedido. Se a própria pessoa se registrar de novo numa folha de projeto, pelo link, pelo QR ou pelo código, esse é um registro novo, feito por ela. A exclusão fica no registro de auditoria só com esse resumo, o número de registros apagados e os apps em que havia conta antiga. Se o e-mail era o endereço anterior de uma conta já excluída, o registro da correção de e-mail continua como descrito acima. Se o e-mail já tiver uma conta, inclusive como endereço anterior, vale a exclusão da conta, acima.

Participantes registrados pela equipe

Eles não têm conta: o registro é removido pela equipe administradora, a pedido, pelo canal de privacidade, de quem assinou o termo (o responsável ou, se o participante for adulto, ele mesmo) ou da própria pessoa, depois dos 18 anos. A remoção é definitiva e fica no registro de auditoria, sem dados pessoais. O termo em papel continua no arquivo até o fim do prazo da seção 12, anotado com a data da revogação, só para comprovar a autorização que existiu, e então é fragmentado. Relatórios já entregues aos financiadores ficam com eles. A exclusão da sua conta não apaga um registro em que você aparece como responsável por um participante: para isso, peça pelo canal de privacidade.

15. Segurança

Códigos de uso único que valem 10 minutos, conexão cifrada (HTTPS), chaves de acesso ao banco só no servidor e entrega de dados aos apps por token de uso único preso ao navegador de quem pediu. Gênero e identificação racial ficam numa tabela separada do resto do cadastro, e o banco recusa gravá-los sem a autorização para estatísticas em vigor. O CPF é cifrado no servidor (AES-256-GCM) antes de chegar ao banco, com uma chave que não fica no banco; o índice cego e o código dos relatórios usam chaves diferentes; CPF e data de nascimento ficam numa tabela que só o servidor lê, e o CPF nunca vai para registros, endereços de página, e-mails ou apps. Os registros de participantes feitos pela equipe, com os dados e o CPF do responsável, ficam numa tabela que só o servidor lê; incluir, alterar e remover passam por funções do banco que exigem uma pessoa da equipe administradora e a confirmação de que o termo em papel está arquivado, e cada ação fica registrada sem dados pessoais. O painel da equipe administradora exige verificação em duas etapas, e cada consulta de relatório e cada exportação ficam registradas. Depois de gravados, gênero e identificação racial de uma pessoa não aparecem em nenhuma tela a ninguém além dela mesma, e nenhuma lista os traz: a equipe consulta apenas totais calculados pelo banco, com as proteções da seção 6. A exceção são os participantes registrados pela equipe: ela vê essas respostas na parte destacável do termo em papel, ao digitar o registro, e destrói essa parte logo depois; o termo guardado não as traz e fica num arquivo fechado, só com acesso da equipe administradora, sem digitalização nem fotocópia (seção 12). O acesso técnico direto ao banco é restrito e usado só para manutenção e para atender pedidos de titulares que as telas não cobrem (seção 6). São as medidas de segurança do art. 46 da LGPD.

16. Mudanças nesta política

Esta política acompanha a versão 2026-10-v3 dos termos de uso, e as duas mudam juntas. Quem aceitou uma versão anterior confirma a nova no próximo acesso, vendo o que mudou desde a versão que aceitou. Quem vem do cadastro anterior também confirma a versão em vigor no primeiro acesso: o aceite da versão 2026-04-v1, dado no check-in, não dispensa mais a confirmação (veja a lista do que mudou). A autorização para estatísticas (versão 2026-10-e1) e a declaração de conta compartilhada (versão 2026-10-c1) têm versões próprias: confirmar a política não equivale a dar nenhuma delas. Os requisitos de cada projeto que exige dados ou tem prestação de contas têm versão própria: quando o que o aviso do projeto diz muda, a versão muda e o aviso aparece de novo para você ler e registrar (seção 5). Mudanças importantes são avisadas no Laboratório e pelo e-mail da conta. Se não concordar com uma mudança, você pode retirar a autorização ou a declaração e pedir a exclusão da conta a qualquer momento, pelo painel ou pelo canal de privacidade (seção 1).

17. Lei aplicável e foro

• Esta política segue a lei brasileira, em especial a Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018), a mesma dos termos de uso.
• Para resolver qualquer questão sobre esta política e sobre o tratamento dos seus dados pelo Laboratório, fica eleito o foro da Comarca de Salvador, Estado da Bahia.
• Essa escolha não tira direitos. Se você for consumidor, pode propor a ação no foro do seu próprio domicílio (Código de Defesa do Consumidor, art. 101, I). E, como titular dos dados, você pode peticionar contra o Cordel 2.0 à Autoridade Nacional de Proteção de Dados (ANPD) e aos órgãos de defesa do consumidor (art. 18, §§ 1º e 8º, da LGPD; seção 13).