Como o ProfOS protege a senha da escola e os dados dos alunos

O ProfOS entra no sistema oficial da escola em nome do professor: lança a chamada, escreve o registro da aula e confere o que ficou gravado. Para isso, ele precisa do acesso do professor ao sistema e de parte dos dados das turmas. É muita confiança, e ela só se sustenta com uma estrutura que dê para explicar peça por peça.

Este artigo descreve essa estrutura como ela funciona hoje, em setembro de 2026. Só está aqui o que já está em funcionamento, e o texto é atualizado quando alguma peça muda.

Em resumo

• A senha do sistema da escola fica num cofre criptografado, e a inteligência artificial nunca recebe esse valor.
• Com o acesso do professor, o ProfOS faz só o que o professor já faz, confere o resultado na tela e pede confirmação antes do que não tem volta.
• Dos alunos, guarda o mínimo para achar a linha certa: nome, matrícula e turma.
• Os servidores ficam no Brasil, o banco de dados não tem porta aberta para a internet e o backup é diário e cifrado.
• A equipe da InfoEduc Educação não lê as conversas.
• Tudo o que o ProfOS faz fica registrado para o professor, e a conta pode ser apagada quando ele quiser.

A senha da escola fica num cofre

Para conectar a escola, o professor informa no app do ProfOS o endereço do sistema, o usuário e a senha, e autoriza expressamente o ProfOS a guardar esse acesso e a entrar no sistema em nome dele.

A senha é cifrada antes de chegar ao banco de dados, com AES-256-GCM, num esquema de criptografia em envelope: cada credencial tem uma chave própria, e a chave mestra que protege essas chaves fica fora do banco, num cofre de segredos separado. Quem obtivesse uma cópia do banco teria só texto cifrado. A sessão do navegador no sistema da escola (o “continuar conectado”) é guardada do mesmo jeito.

O professor pode remover a conexão no app quando quiser, e as credenciais são apagadas junto.

A inteligência artificial pede, o programa digita

O ProfOS usa inteligência artificial para entender o que o professor disse e para aprender a usar as telas do sistema da escola. Nenhuma dessas etapas recebe a senha.

Quando o ProfOS precisa entrar no sistema, o passo a passo diz apenas “preencha o campo de senha com a credencial”, com um marcador no lugar do valor. Quem troca o marcador pela senha verdadeira, na hora de digitar, é o programa, sem passar pela inteligência artificial. O marcador da senha só pode aparecer num passo de preenchimento, os dados da tarefa que a IA enxerga são montados sem a credencial, e o que a tela mostra passa por um filtro antes de a IA ler: se a senha ou o usuário aparecerem, até codificados num endereço, viram o marcador.

Por último, há uma trava que não depende de nenhuma dessas camadas: enquanto a senha de uma escola está em uso, cada pedido é conferido antes de sair para a IA. Se a senha estiver nele, é trocada pelo marcador, e a equipe técnica recebe um alerta, sem o valor. Um teste automático prova isso a cada versão: ele faz o ProfOS aprender uma tela de login que expõe a senha no endereço e confere que nada do que iria para a IA a contém, mesmo com o filtro das telas desligado.

O que chega à IA é o necessário para entender o pedido: a mensagem do professor e os nomes das turmas e dos alunos dele, para casar “o Pedrinho do 7º A” com o aluno certo da lista da escola. Nos provedores de IA de reserva, usados quando o principal falha, o ProfOS só usa planos em que o conteúdo enviado não é usado para treinar modelos, e sem guardar as respostas no provedor.

O que o ProfOS faz com o acesso

Com o acesso do professor, o ProfOS faz o que o professor já faz no sistema: lança, corrige, apaga e consulta nas turmas dele. Não cria acesso novo e não alcança turma que não é do professor.

Três travas acompanham cada ação:

• Confere antes de avisar. Depois de gravar, o ProfOS recarrega a tela e lê o que ficou lá. Se não bate com o pedido, ele não diz que terminou: avisa o professor.
• Pergunta na dúvida. Quando a mensagem permite mais de uma leitura (qual turma, qual aula, qual aluno), ele pergunta antes de lançar.
• Confirma o que não tem volta. Apagar um lançamento sempre pede confirmação. Para gravar algo que não é chamada nem registro de aula, como uma ocorrência, ele mostra antes exatamente o que vai gravar, campo por campo, e só grava depois do “sim”.

Os dados dos alunos: o mínimo para achar a linha certa

Do cadastro dos alunos, o ProfOS guarda o que precisa para encontrar a linha certa na tela: nome, matrícula e turma, como o próprio sistema da escola já usa. Não coleta CPF, data de nascimento, endereço, foto nem dados de responsáveis.

Quando o professor pede para o ProfOS ler uma informação no sistema da escola, como as faltas de um aluno no bimestre, o que foi lido fica no histórico da conta daquele professor, para ele conferir.

O áudio que o professor manda é transcrito e não é guardado pelo ProfOS.

O ProfOS aprende a usar as telas de cada sistema uma vez e reaproveita esse aprendizado com outros professores que usam o mesmo sistema. O que é compartilhado é o caminho pelas telas, e não os dados: esse passo a passo é guardado sem nome de aluno.

Onde tudo roda

• No Brasil. Os servidores ficam em São Paulo.
• Banco de dados isolado. O banco e a fila de tarefas ficam numa rede privada, sem porta aberta para a internet. Só a aplicação conversa com eles.
• Conexão cifrada. Todo acesso ao app é por HTTPS, e um endereço sem HTTPS é redirecionado.
• Segredos fora do código. As chaves dos serviços e a chave mestra do cofre ficam num gerenciador de segredos, nunca no código. Em produção, a aplicação se recusa a iniciar se faltar um segredo ou se encontrar uma configuração insegura.
• Backup diário, em dois lugares. Uma cópia na própria infraestrutura, guardada por 14 dias, e outra cifrada, fora dela, guardada por 30 dias. As cópias expiram sozinhas.
• Alerta automático. Quando algo para, a equipe técnica é avisada na hora, e o alerta não leva dado pessoal.

Quem da equipe vê o quê

• Ninguém lê as conversas. O painel técnico da equipe mostra números agregados, como quantas mensagens e quantas tarefas passaram pelo sistema, e nunca o texto delas. Não existe “entrar como o professor”.
• O acesso de administrador não se concede pelo app. Só quem tem acesso direto ao banco de dados muda esse papel, e toda tentativa de abrir o painel sem ele fica registrada.
• A senha da conta do ProfOS não fica guardada. O banco guarda um resumo criptográfico dela (hash scrypt), do qual não se recupera a senha.

Tudo fica registrado para o professor

Cada lançamento, correção, exclusão, consulta e registro feito pelo ProfOS aparece no app, em “O que o R1 fez”, com turma, data e as etapas de como foi decidido. Esse histórico não pode ser editado nem apagado pela aplicação: ele só sai junto com a conta, se o professor pedir a exclusão.

Os dados são do professor

Os dados ficam guardados enquanto a conta existe. O professor pode pedir a exclusão pelo app ou pelo próprio WhatsApp. Há três dias para desistir; depois disso, em até 72 horas do pedido, sai tudo o que é dele: cadastro, conexões e senhas guardadas, turmas e alunos, mensagens, memória, histórico de ações e lembretes. Se houver assinatura, ela é cancelada antes.

Fica apenas o que não identifica ninguém: o que o ProfOS aprendeu sobre como operar cada sistema de escola, que serve a outros professores, e números de uso. O que já foi lançado no sistema da escola continua lá, porque é registro da escola, e não do ProfOS.

As cópias de backup também expiram sozinhas. Se uma cópia anterior à exclusão precisar ser restaurada, a exclusão é aplicada de novo, a partir de uma lista de contas excluídas que não guarda nome, e-mail nem telefone.

Pedidos sobre dados pessoais vão para o encarregado de dados, pelo dpo@infoeduceducacao.com.br. A Central de Privacidade e Segurança tem o restante.

Perguntas frequentes

A inteligência artificial do ProfOS vê a senha da minha escola?

Não. A senha fica cifrada num cofre, e quem a digita na tela de login é o programa. A inteligência artificial trabalha com um marcador no lugar do valor, e uma trava confere cada pedido antes de ele sair para a IA. Um teste automático verifica isso a cada versão.

Onde ficam os meus dados?

Em servidores no Brasil, em São Paulo, com o banco de dados numa rede privada, sem porta aberta para a internet.

A equipe do ProfOS lê as minhas conversas?

Não. O painel da equipe mostra só números agregados, sem o texto das mensagens.

E se o ProfOS lançar errado no diário?

Ele confere na tela antes de avisar e pergunta quando há dúvida. Se o que ficou gravado não bate com o pedido, ele não confirma e avisa o professor.

Como apago os meus dados?

Pelo app ou pedindo no WhatsApp. Há três dias para desistir, e a exclusão completa acontece em até 72 horas do pedido.