Ficha de Informação sobre Tratamento de Dados
Fase Inicial de Pilotagem do Ecossistema de Aprendizagem (EA) — EduQA
A presente Ficha de Informação cumpre o dever de informação previsto nos artigos 12.º, 13.º e 14.º do Regulamento Geral sobre a Proteção de Dados (RGPD), apresentando, de forma clara, sistematizada e acessível, todos os elementos relevantes do tratamento de dados pessoais realizado pelo EduQA — Instituto da Educação, Qualidade e Avaliação, I. P., no contexto específico da fase inicial de pilotagem do Ecossistema de Aprendizagem (EA).
Documento complementar: A presente Ficha é referenciada no «Pedido de Autorização para Participação de Aluno na Fase Inicial de Pilotagem do Ecossistema de Aprendizagem» (#PEPD-0751-20260512), entregue aos encarregados de educação, constituindo a segunda camada informativa, em conformidade com o modelo de informação em camadas («layered approach») recomendado nas Diretrizes do Grupo de Trabalho do Artigo 29.º sobre a Transparência (WP260 rev.01, endossadas pelo Comité Europeu para a Proteção de Dados).
1.Identificação do Responsável pelo Tratamento
| Denominação | EduQA — Instituto da Educação, Qualidade e Avaliação, I. P. |
|---|---|
| Natureza | Instituto público de regime especial, integrado na administração indireta do Estado, criado pelo Decreto-Lei n.º 105/2025, de 12 de setembro. |
| NIPC | 519 102 622 |
| Sede | Edifício Rio, Av. 24 de Julho, 140, 1399-025 Lisboa |
| Correio Eletrónico Geral | [endereço institucional a confirmar — referencial: geral@eduqa.pt] |
| Telefone Geral | (+351) 213 934 500 |
| Sítio Institucional | www.eduqa.pt |
2.Contactos do Encarregado da Proteção de Dados
| Nome | Manuel Melo |
|---|---|
| Correio Eletrónico (EPD) | manuel.melo@dataprotectionofficer.pt |
| Linha Direta | (+351) 911 879 229 |
| Plataforma | eduqa.protecaodedados.pt/p/encarregado/ |
3.Descrição da Iniciativa
O Ecossistema de Aprendizagem (EA) é uma plataforma digital educativa de âmbito nacional, em desenvolvimento, destinada a apoiar o ensino e a aprendizagem dos alunos do sistema educativo português. A plataforma integrará, na sua versão completa, módulos de biblioteca digital, gestão de turmas e cursos (LMS), recursos educativos digitais (REDs), assistente virtual («chatbot») de apoio educativo, sistemas de recomendação personalizada de conteúdos, mecanismos de gamificação e sistemas de «feedback» e previsão de desempenho académico.
A fase inicial de pilotagem destina-se a observar a utilização da plataforma em contexto real, com um conjunto limitado de tarefas pedagógicas orientadas, executadas por turmas selecionadas em agrupamentos parceiros, com o objetivo de recolher contributos que permitam melhorar a solução antes do seu alargamento progressivo a outros contextos educativos.
4.Categorias de Titulares dos Dados
- Alunos da fase inicial de pilotagem, integrados em turmas selecionadas pelo agrupamento de escolas parceiro;
- Encarregados de educação dos referidos alunos;
- Docentes envolvidos na pilotagem e demais profissionais com funções pedagógicas associadas à utilização da plataforma;
- Administradores e equipas técnicas com acesso à plataforma, no estrito necessário ao exercício das suas funções.
5.Categorias de Dados Pessoais
| Categoria | Dados concretos | Fonte |
|---|---|---|
| Identificação do aluno | Nome, data de nascimento, ano e turma, escola e agrupamento; «username», perfil de utilizador; quando aplicável, número de identificação fiscal e número de identificação civil. | Encarregado de educação; Repositório Central de Alunos (RCA); Chave Móvel Digital (CMD). |
| Identificação do encarregado de educação | Nome, dados de contacto e, quando aplicável, número de identificação fiscal. | Próprio encarregado de educação. |
| Dados de autenticação e acesso | Credenciais («password» com «hash»), «tokens», perfis de permissões, identificadores de sessão. | Plataforma EA; «browser» do utilizador. |
| Dados pedagógicos | Interações com conteúdos, registos de progresso, avaliações, resultados académicos, atividades realizadas, comunicações em fóruns e «chats» no contexto da pilotagem. | Plataforma EA. |
| Dados de comunicação e gamificação | Mensagens trocadas, pontuação («score»), prémios atribuídos («badges»), posições em «rankings» (quando consentido). | Plataforma EA. |
| Dados associados a sistemas de IA | Interações com o assistente virtual («chatbot»); perfis de aprendizagem produzidos pelo sistema de recomendação; perfis de «feedback» e estimativa de desempenho gerados pelo motor de previsão. | Plataforma EA — componentes de IA. |
| «Cookies» analíticas (quando consentidas) | Identificadores de sessão, dados de utilização agregada da plataforma. | «Browser» do utilizador. |
| Registos de segurança | Endereço IP, porta do cliente, «timestamp» e dados do evento associados à ação. | Gerados automaticamente pelas componentes do EA. |
| Registos de consentimento | Identificação do titular, identificação do encarregado de educação (para menores de 13 anos), registo do consentimento e da sua eventual retirada. | Encarregado de educação; aluno. |
6.Finalidades e Fundamentos de Licitude
O tratamento de dados pessoais no âmbito da pilotagem do EA assenta, consoante a finalidade concreta, nas bases jurídicas previstas no artigo 6.º do RGPD. A tabela seguinte explicita a correspondência entre cada finalidade e a respetiva base, distinguindo os tratamentos necessários à participação dos tratamentos opcionais, dependentes de consentimento.
| Finalidade | Base jurídica | Carácter |
|---|---|---|
| Gestão de registo, autenticação e perfis de utilizador na plataforma EA. | Interesse público — art. 6.º, n.º 1, alínea e) do RGPD. | Necessário |
| Disponibilização de conteúdos pedagógicos, biblioteca digital e recursos educativos digitais. | Interesse público — art. 6.º, n.º 1, alínea e) do RGPD. | Necessário |
| Acompanhamento e avaliação do percurso educativo; recomendação personalizada de conteúdos. | Interesse público — art. 6.º, n.º 1, alínea e) do RGPD. | Necessário |
| Sistema de «feedback» e previsão de desempenho académico (sistema de IA de risco elevado). | Interesse público — art. 6.º, n.º 1, alínea e) do RGPD. | Necessário IA risco elevado |
| Assistente virtual («chatbot») de apoio ao utilizador. | Interesse público — art. 6.º, n.º 1, alínea e) do RGPD. | Necessário IA |
| Gamificação, atribuição de prémios («badges») e «rankings». | Consentimento — art. 6.º, n.º 1, alínea a) do RGPD. | Opcional |
| Notificações de progresso e comunicações de apoio. | Consentimento — art. 6.º, n.º 1, alínea a) do RGPD. | Opcional |
| Análise estatística da experiência do utilizador («cookies» analíticas). | Consentimento — art. 6.º, n.º 1, alínea a) do RGPD. | Opcional |
| Gestão administrativa, suporte técnico, segurança da informação e cumprimento de obrigações legais. | Obrigação jurídica e interesse público — art. 6.º, n.º 1, alíneas c) e e) do RGPD. | Necessário |
O consentimento parental para menores de 13 anos é prestado nos termos do artigo 8.º do RGPD e do artigo 16.º da Lei n.º 58/2019, de 8 de agosto, com recurso a meios de autenticação segura sempre que disponíveis.
7.Inteligência Artificial e Decisões Automatizadas
O EA integra três sistemas de inteligência artificial, classificados nos termos do Regulamento (UE) 2024/1689 (Regulamento da Inteligência Artificial — RIA):
- Assistente virtual («chatbot») — sistema de IA de risco limitado, com função meramente informativa e baseada nos conteúdos disponibilizados pela plataforma. Sujeito ao dever de transparência previsto no artigo 50.º do RIA, sendo o utilizador informado de que interage com um sistema de IA;
- Sistema de recomendação de conteúdos — sistema de IA de risco limitado, gera sugestões não vinculativas e complementares ao percurso formativo;
- Sistema de «feedback» automatizado e motor de previsão de desempenho — sistema de IA de risco elevado [Anexo III, n.º 3, alínea b) do RIA], pois é utilizado para avaliar o desempenho de alunos em contexto educativo.
São asseguradas, em qualquer caso, a transparência sobre a lógica subjacente ao processamento, a possibilidade de intervenção humana e o direito de contestação das decisões, em conformidade com o artigo 22.º do RGPD e com os artigos 13.º e 14.º do RIA. Os resultados destes sistemas têm caráter informativo e de apoio, não substituindo a avaliação pedagógica realizada pelos docentes.
8.Destinatários e Subcontratantes
| Entidade | Função | Localização | Garantias |
|---|---|---|---|
| EduQA, I. P. | Responsável pelo tratamento. | Portugal / EEE | Não aplicável. |
| Agrupamento de Escolas do Restelo | Entidade parceira na pilotagem. | Portugal / EEE | Acordo de colaboração [a confirmar regime de corresponsabilidade ao abrigo do art. 26.º do RGPD]. |
| NTT Data Portugal, S. A. | Desenvolvimento, implementação e suporte técnico do EA. | EEE | Contrato de subcontratação (art. 28.º do RGPD). |
| SkillUp | Desenvolvimento, implementação e suporte técnico do EA. | EEE | Contrato de subcontratação (art. 28.º do RGPD). |
| Microsoft Ireland Operations Limited (incluindo Microsoft Azure e Azure OpenAI) | Infraestrutura «cloud» e execução de modelos de IA. | EEE e EUA | Contrato de subcontratação; certificação no Quadro de Privacidade dos Dados UE-EUA («EU-U.S. Data Privacy Framework»). |
| Google LLC | Análise estatística da experiência do utilizador («Google Analytics») e notificações («Firebase Cloud Messaging») — apenas mediante consentimento. | EEE e EUA | Decisão de adequação (art. 45.º do RGPD); EU-U.S. Data Privacy Framework. |
| Apple Inc. | Serviço de notificações «Apple Push Notification Service» — apenas mediante consentimento. | EEE e EUA | Decisão de adequação (art. 45.º do RGPD); EU-U.S. Data Privacy Framework. |
| Agência para a Modernização Administrativa, I. P. (AMA, I. P.) | Operador do ecossistema Gov.pt (Chave Móvel Digital, Cartão de Cidadão). | Portugal / EEE | Responsável pelo tratamento autónomo. |
| Instituto de Gestão Financeira da Educação, I. P. (IGeFE) | Operador do Repositório Central de Alunos (RCA). | Portugal / EEE | Responsável pelo tratamento autónomo. |
| Entidades públicas do Ministério da Educação | «Analytics» educacional para monitorização de resultados globais (dados agregados e anonimizados). | EEE | Tratamento necessário ao exercício de funções de interesse público (art. 6.º, n.º 1, alínea e) do RGPD). |
9.Transferências Internacionais
Existem transferências de dados pessoais para os Estados Unidos da América, no âmbito da prestação de serviços por Microsoft, Google LLC e Apple Inc., ao abrigo das decisões de adequação adotadas pela Comissão Europeia (artigo 45.º do RGPD), designadamente do Quadro de Privacidade dos Dados UE-EUA, no qual estas entidades se encontram formalmente certificadas. Não existem transferências para países terceiros que não disponham de decisão de adequação ou de garantias adequadas nos termos do capítulo V do RGPD.
10.Prazos de Conservação
| Categoria de dados | Prazo de conservação |
|---|---|
| Dados de identificação e contacto | Enquanto a conta permanecer ativa, com eliminação até dois anos após a inatividade do utilizador. |
| Dados de autenticação e acesso | Enquanto a conta permanecer ativa; invalidação no momento da desativação. |
| Dados de interação com REDs, biblioteca digital, avaliações, recomendações e «feedback» | Enquanto a conta permanecer ativa. |
| Mensagens em fóruns e «chats» | Durante o ano letivo corrente. Após arquivo do curso, registos anonimizados e mantidos em modo «read-only» para preservação do registo académico. |
| Dados de gamificação («badges», «rankings») | Após o término do ano letivo corrente. |
| Interações com o «chatbot» | Eliminação imediata após o processamento. |
| «Cookies» analíticas | Até doze meses. |
| Registos de consentimento | Enquanto a conta permanecer ativa, sem prejuízo da obrigação de demonstração de cumprimento. |
| Pedidos de suporte e exercício de direitos | Até dois anos após o encerramento do pedido, com limpeza semestral. |
| Registos de segurança («logs») | Até dois anos após a sua geração. |
11.Direitos dos Titulares
Aos titulares dos dados — designadamente ao aluno e, quando aplicável, ao encarregado de educação — assistem os direitos consagrados nos artigos 15.º a 22.º do RGPD: direito de acesso, retificação, apagamento, limitação do tratamento, portabilidade dos dados, oposição e não sujeição a decisões individuais exclusivamente automatizadas, incluindo a definição de perfis. Assiste-lhes ainda o direito de retirar o consentimento a qualquer momento, sem afetar a licitude do tratamento previamente efetuado com base no consentimento, nos termos do n.º 3 do artigo 7.º do RGPD.
O exercício destes direitos pode ser efetuado junto da escola, através do Formulário disponibilizado em eduqa.protecaodedados.pt/p/formularios/ ou diretamente por correio eletrónico dirigido ao Encarregado da Proteção de Dados.
Os titulares têm igualmente o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD), com sede na Av. D. Carlos I, n.º 134, 1.º, 1200-651 Lisboa, geral@cnpd.pt, nos termos do artigo 77.º do RGPD. A informação relativa à autoridade de controlo encontra-se disponível em www.cnpd.pt.
12.Fonte dos Dados
Os dados pessoais são recolhidos diretamente junto do encarregado de educação, do aluno e dos docentes, no momento do registo na plataforma e durante a utilização das suas funcionalidades. São igualmente recolhidos, de forma indireta, dados provenientes da Chave Móvel Digital (operada pela AMA, I. P.), no âmbito do processo de autenticação Gov.pt, e do Repositório Central de Alunos (operado pelo IGeFE), no que respeita aos dados académicos do aluno.
13.Avaliação de Impacto sobre a Proteção de Dados
O tratamento de dados pessoais associado ao Ecossistema de Aprendizagem foi objeto de Avaliação de Impacto sobre a Proteção de Dados (AIPD), nos termos do artigo 35.º do RGPD e do Regulamento n.º 798/2018 da Comissão Nacional de Proteção de Dados, em atenção ao tratamento em larga escala de dados de menores e à utilização de tecnologias inovadoras de inteligência artificial. O parecer do Encarregado da Proteção de Dados sobre a AIPD encontra-se [em fase de conclusão à data da publicação da presente Ficha] e será disponibilizado, em síntese, na Plataforma de Proteção de Dados Pessoais do EduQA.
14.Medidas de Segurança
O EduQA adota medidas técnicas e organizativas adequadas para assegurar um nível de segurança apropriado ao risco, em conformidade com o artigo 32.º do RGPD, designadamente cifragem de dados em repouso e em trânsito, controlo de acessos baseado em perfis e princípio do menor privilégio, autenticação multifactor, segregação de ambientes, pseudonimização e anonimização sempre que aplicável, monitorização contínua, gestão de incidentes, registos de auditoria, cópias de segurança e mecanismos de recuperação. As medidas implementadas são reforçadas pela conformidade do EduQA com o regime jurídico da cibersegurança previsto no Decreto-Lei n.º 125/2025, de transposição da Diretiva (UE) 2022/2555 (NIS 2).
15.Salvaguardas Específicas para Menores
Atendendo a que a fase inicial de pilotagem envolve alunos menores de idade, são implementadas salvaguardas específicas, em conformidade com o artigo 8.º do RGPD, com o artigo 16.º da Lei n.º 58/2019, de 8 de agosto, e com as orientações relativas à proteção de menores no ambiente digital. Estas salvaguardas incluem, designadamente, a recolha do consentimento parental para menores de 13 anos relativamente aos tratamentos baseados em consentimento, o caráter opcional das funcionalidades de gamificação e «rankings», a utilização de linguagem clara e adaptada na informação prestada e a restrição do tratamento de categorias especiais de dados.
16.Documentação Associada
- Modelo de Pedido de Autorização — PEPD-0751-20260512 (primeira camada informativa entregue aos encarregados de educação);
- Parecer Técnico do EPD sobre a conformidade do pedido de autorização — PEPD-0749-20260511, e respetiva adenda — PEPD-0749-A-20260512;
- Avaliação de Impacto sobre a Proteção de Dados do EA — versão 0.2 [em conclusão];
- Política de Privacidade do EduQA — PEPD-0728;
- Política de «Cookies» do EduQA — PEPD-0732.
17.Versão e Atualização da Ficha
| Versão | 202605 |
|---|---|
| Data de publicação | 12 de maio de 2026 |
| Próxima revisão | No termo da fase inicial de pilotagem ou sempre que se verifique alteração relevante das operações de tratamento |
| Responsável pela elaboração | Manuel Melo — Encarregado da Proteção de Dados do EduQA |