Política de privacidade
EndCopilot · Smile Tecnologia · versão de 9 de novembro de 2026
Quem é responsável pelos dados
O EndCopilot é uma plataforma de gerenciamento de tablets e celulares Android usada por empresas e instituições clientes (escolas, órgãos e empresas). A organização que vincula o aparelho é a controladora dos dados: decide o que é gerenciado, com qual finalidade e por quanto tempo. A Smile Tecnologia é a operadora: trata os dados em nome e conforme as instruções da organização cliente (Lei 13.709/2018, LGPD).
O app EndCopilot só funciona vinculado a uma organização, com um código de pareamento ou pela configuração corporativa oficial do Android. Ele não se destina a monitorar pessoas sem o conhecimento delas.
O que é coletado do aparelho
Sempre que o aparelho está vinculado
| Dado | Para quê |
|---|---|
| Fabricante, modelo, versão do Android, patch de segurança, versão do app | Inventário, compatibilidade e suporte |
| Bateria, armazenamento livre, tipo de rede (Wi-Fi/dados), horário do último contato | Estado do aparelho |
| Chave pública do aparelho (a chave privada nunca sai do aparelho) | Autenticar o aparelho na plataforma |
| Identificador de notificação do Google (Firebase), com o termo atualizado | Avisar o app que há comandos; as mensagens não têm conteúdo |
Recursos assistidos: só com aceite no app
| Dado | Para quê |
|---|---|
| Lista de apps com ícone (nome e identificador) | Montar a lista de apps liberados na tela inicial |
| Quantidade diária de sites bloqueados pelo filtro | Relatório do filtro |
| Estado de segurança (ligado/desligado): filtro e tela inicial ativos, outra VPN, DNS privado manual, opções de desenvolvedor, depuração USB, bloqueio de tela, uso da acessibilidade por outro app (sem dizer qual), data e hora automáticas, idade da atualização de segurança | Alertas de conformidade |
O tempo de uso medido para aplicar horários e limites da tela inicial fica só no aparelho e não é enviado.
Filtro de sites (VPN local) e DNS seguro
O filtro de sites funciona como uma VPN local: as regras de bloqueio, as categorias (malware, phishing, conteúdo adulto, apostas etc.) e a busca segura são aplicadas no próprio aparelho, antes de qualquer envio. Uma consulta bloqueada é respondida no aparelho e não é enviada a ninguém; a plataforma recebe só a quantidade diária de bloqueios.
As consultas liberadas (o nome do site e o tipo da consulta) seguem criptografadas por HTTPS (DNS sobre HTTPS, RFC 8484) para o resolvedor de DNS escolhido pela organização: Cloudflare (padrão), Quad9, Google Public DNS ou um resolvedor próprio da organização. O resolvedor é um destinatário separado da plataforma: ele vê o nome consultado e o endereço IP público do aparelho e trata esses dados conforme a política de privacidade dele. A Smile e a plataforma EndCopilot não recebem nem guardam essas consultas.
Se o resolvedor não responder, o aparelho não volta para DNS sem criptografia: os sites podem não abrir até a conexão com o resolvedor voltar, e o app avisa com uma notificação.
Domínios internos da organização (por exemplo, empresa.local), quando configurados, não vão ao resolvedor público: seguem para o resolvedor interno da organização, criptografados. Só se a organização ativar expressamente uma exceção sem criptografia, as consultas desses domínios internos (e só deles) usam o DNS da rede local sem criptografia; nesse caso, o aviso no aparelho nomeia a exceção.
O aviso da VPN no aparelho tem três partes, aceitas separadamente:
- Filtro: filtragem no aparelho, consultas liberadas ao resolvedor escolhido e só a contagem diária de bloqueios para a plataforma. Sem esse aceite, a VPN não é ligada (exceto em aparelhos corporativos com filtro sempre ativo definido pela organização, em que o aviso é exibido no app).
- Ameaças: nomes dos sites de malware e phishing bloqueados enviados à plataforma, para alertas de segurança. Exige também o termo de monitoramento.
- Sites acessados: nomes dos domínios consultados registrados e enviados à plataforma, se a organização ativar esse monitoramento (ver abaixo).
O aceite fica vinculado à versão do aviso, ao resolvedor e à configuração de domínios internos: se a organização mudar o resolvedor ou a exceção interna, o aparelho pede um novo aceite antes de a mudança valer (em aparelhos corporativos com filtro sempre ativo, a mudança vale na hora e é mostrada no app). Ameaças e sites acessados podem ser recusados ou retirados no app a qualquer momento; a partir daí nada mais é registrado nem enviado.
Monitoramento: só se a organização ativar E o usuário aceitar o termo específico
| Dado | Frequência | Retenção padrão |
|---|---|---|
| Localização aproximada (latitude, longitude, precisão e horário), inclusive com o app fechado. Sem internet, as posições ficam guardadas no aparelho e são enviadas quando a conexão volta. | Cerca de 15 minutos | 30 dias |
| Tempo de uso de cada app por dia (nome do app e minutos) | Totais diários | 90 dias |
| Dados de internet por app por dia (bytes em Wi-Fi e rede móvel) | Totais diários | 90 dias |
| Nomes dos sites acessados (domínios, por exemplo g1.globo.com), com quantidade de consultas e horário da primeira e da última no dia. Inclui serviços acessados em segundo plano pelos apps. Nunca o endereço completo da página, buscas ou conteúdo. Exige também o aceite da parte “Sites acessados” do aviso da VPN. | Totais diários | 90 dias |
| Nomes dos sites de malware e phishing bloqueados (domínio, categoria e dia). Exige também o aceite da parte “Ameaças” do aviso da VPN; sem ele, só a quantidade diária. | Por bloqueio (agrupado por dia) | 90 dias |
Enquanto qualquer item de monitoramento estiver ativo, o app exibe uma notificação permanente informando quem monitora e o que é enviado, e o ícone do app permanece visível. A organização pode alterar os prazos de retenção (localização: 1 a 365 dias; uso: 7 a 730 dias). Cada consulta de um administrador à localização ou ao uso de um aparelho fica registrada na trilha de auditoria.
Dados de pessoas cadastradas pela organização
Para controlar o empréstimo de aparelhos, a organização pode cadastrar no painel as pessoas que os recebem: nome ou razão social, CPF ou CNPJ, e-mail, telefone, matrícula ou código interno, endereço (opcional) e observações, além das datas de entrega e devolução e do estado do aparelho. Esses dados são informados pela organização, não pelo app. Pessoas com histórico de empréstimo só podem ser inativadas (o histórico comprova a entrega e a devolução).
Para os administradores da plataforma são tratados nome, e-mail, senha (somente o hash), segundo fator de autenticação e registros de acesso.
Cadastro e cobrança
No cadastro pelo site são tratados o CNPJ, a razão social e o nome da organização, o nome, e-mail e telefone do responsável, a senha (somente o hash) e o endereço IP do pedido, para confirmar o e-mail e prevenir abusos. Para a cobrança são mantidas as licenças de cada aparelho (nome do aparelho, datas de ativação e cancelamento) e as faturas (valores, vencimento e registro de pagamento), pelo prazo exigido pela legislação fiscal.
O que nunca é coletado
Mensagens, e-mails, chamadas, contatos, fotos, arquivos, gravações de tela, áudio ou câmera, conteúdo de apps, endereço completo e conteúdo das páginas visitadas, buscas, senhas ou o que é digitado.
Bases legais
A organização cliente, como controladora, define a base legal de cada tratamento. Em geral: execução de contrato e legítimo interesse para gestão e segurança de aparelhos da organização; e consentimento do usuário, registrado no app com a versão do termo aceito, para os recursos assistidos e para o monitoramento. O monitoramento exige esse aceite em todos os perfis, inclusive em aparelhos corporativos.
Com quem os dados são compartilhados
- Organização cliente: vê os dados dos seus aparelhos no painel, conforme o papel de cada administrador.
- Google (Firebase Cloud Messaging): recebe só o identificador de notificação, para avisar o app; nenhum dado do aparelho vai na mensagem. Pode envolver transferência internacional, nos termos do Google.
- Resolvedor de DNS escolhido pela organização (Cloudflare por padrão; Quad9, Google Public DNS ou resolvedor próprio da organização): recebe, criptografados por HTTPS, os nomes dos sites consultados liberados pelo filtro e o endereço IP público do aparelho, para resolver os nomes. Não passam pela plataforma. Cloudflare, Quad9 e Google podem tratar os dados fora do Brasil, nos termos das políticas de privacidade de cada um.
- OpenStreetMap: o mapa do painel carrega imagens do serviço público do OpenStreetMap; ele recebe o endereço IP de quem abre o mapa e a área exibida, nunca dados dos aparelhos.
- BrasilAPI e ViaCEP: consultas públicas de CNPJ e CEP feitas pelo painel ao preencher cadastros.
- Infraestrutura: os servidores e o envio de e-mails da plataforma são operados pela Smile ou por provedores de hospedagem e e-mail contratados por ela, sob dever de sigilo.
- Banco Inter e Mercado Pago: recebem os dados de cobrança da organização cliente (razão social, CNPJ, endereço e valor) para emitir boleto e Pix ou processar o pagamento com cartão. Nenhum dado de aparelho é enviado.
Os dados não são vendidos nem usados para publicidade. Inclusões nesta lista são avisadas às organizações clientes com 30 dias de antecedência, conforme o contrato.
Controles do usuário do aparelho
- O app mostra, a qualquer momento, o que está ativo e o que é enviado.
- Recursos assistidos e monitoramento só são ativados após aceite específico, com a lista do que a organização pediu. Recusar não afeta o restante.
- As permissões do Android (localização, acesso ao uso, notificações, VPN) podem ser retiradas nas Configurações do aparelho a qualquer momento.
- Nos perfis Monitoramento e Controle Assistido, o usuário pode desvincular o aparelho pelo próprio app ou desinstalá-lo.
- Em aparelhos corporativos (de propriedade da organização), as configurações são definidas pela organização e exibidas no app.
Retenção e exclusão
Cada organização define os prazos de retenção na plataforma (trilha de auditoria: mínimo de 90 dias). Uma limpeza automática diária apaga o que passou do prazo. Pedidos de acesso, portabilidade, correção e eliminação são atendidos pela organização, que pode exportar e excluir os dados de um aparelho na plataforma. Ao desvincular, o app apaga do aparelho as posições e registros ainda não enviados.
Segurança
Comunicação cifrada (TLS); cada aparelho se autentica com chave guardada no próprio hardware; isolamento de dados entre organizações no banco de dados; segundo fator (MFA) para administradores; trilha de auditoria imutável; acesso a localização e uso restrito por papel.
Contato
Dúvidas sobre o tratamento: procure primeiro a organização que gerencia o seu aparelho. Encarregado de dados (DPO) da Smile Tecnologia: caio.siebra@smile.eti.br.