Arquitetura e Segurança de Dados em Plataformas de Gestão Acadêmica de Medicina

Segurança de dados em plataforma acadêmica de medicina significa, na prática, seis controles verificáveis: isolamento dos dados por instituição, criptografia em trânsito e em repouso, controle de acesso por papel, trilha de auditoria completa, política de retenção e eliminação, e anonimização para qualquer benchmark agregado. Dado de desempenho acadêmico é dado pessoal sob a Lei Geral de Proteção de Dados (Lei 13.709/2018), e a instituição de ensino superior responde como controladora desse dado, mesmo quando o tratamento é operado por um fornecedor terceiro. Antes de confiar o histórico de desempenho de centenas de alunos a qualquer plataforma, a coordenação e o NDE devem exigir evidências objetivas desses seis controles, não apenas promessas comerciais.

Em ano de gate de proficiência, essa exigência deixa de ser uma boa prática de compliance e se torna questão de governança de risco institucional. Um vazamento de dados de desempenho não é apenas um incidente de LGPD: é um evento que pode expor publicamente a fragilidade acadêmica de alunos e do curso, em um momento no qual o conceito ENAMED já determina supervisão do MEC e, para novas turmas, condiciona o próprio registro no CRM (MP 1.370/2026). Este artigo apresenta o checklist de due diligence técnica que gestores de IES devem aplicar antes de contratar qualquer infraestrutura de gestão de proficiência médica.

Por que dado de desempenho acadêmico é dado pessoal sensível na prática?

Dado de desempenho acadêmico é dado pessoal na acepção literal da LGPD (art. 5º, I) porque identifica ou torna identificável uma pessoa natural, o aluno, e permite inferências sobre sua capacidade cognitiva, sua trajetória formativa e seu risco de reprovação em exame com efeitos regulatórios. Embora a LGPD não classifique desempenho acadêmico como "dado sensível" no rol taxativo do art. 5º, II (que trata de origem racial, convicção religiosa, saúde, vida sexual, dado genético e biométrico), o tratamento desse dado exige o mesmo rigor de um dado sensível na prática institucional, por três razões concretas.

Primeiro, o dado afeta a reputação individual do aluno: um radar de proficiência por Grande Área, Especialidade, Tema e Subtema, como o que o motor M.A.E.S.T.R.O da SPR Med produz a partir do banco de 266.177 questões tagueadas na Matriz de Referência Comum (Portaria INEP 478/2025), revela publicamente onde aquele estudante está abaixo do corte de proficiência. Segundo, o dado agregado afeta a reputação institucional do curso: um relatório de coordenação que mostra 30% da turma abaixo da Nota Final 60,0 (o corte definido pela Nota Técnica INEP 42/2025, com NF = θ × 17,544 + 67,018) é, em essência, um prognóstico do conceito ENAMED do curso antes mesmo da prova oficial. Terceiro, no cenário regulatório vigente desde a MP 1.370/2026, o desempenho na 2ª etapa do ENAMED (6º ano) é requisito de habilitação profissional para novas turmas, o que aproxima o dado acadêmico de um dado com consequência jurídica direta sobre a vida profissional do egresso.

Um vazamento desses dados, em uma faculdade que hoje monitora proficiência para antecipar risco de conceito 1 ou 2, entre os 107 cursos que receberam essas notas em 2025 (Fonte: INEP, 2025), teria dois efeitos simultâneos: exposição pública do desempenho individual de alunos identificáveis e exposição da fragilidade acadêmica do curso perante candidatos, famílias e o próprio MEC, em um momento no qual a instituição já está sob supervisão. Por isso, tratar esse dado com a mesma arquitetura de segurança que se aplicaria a um dado sensível não é exagero: é gestão de risco regulatório e reputacional.

Quem responde pelos dados: qual o papel da IES e qual o papel da plataforma sob a LGPD?

A IES é controladora dos dados de desempenho de seus alunos, e a plataforma de gestão acadêmica é operadora, o que significa que a instituição de ensino responde legalmente pelo tratamento, mesmo quando a execução técnica é terceirizada (art. 39 e art. 42 da LGPD). Essa distinção de papéis não é um detalhe jurídico abstrato: ela determina quem assina o quê, quem responde à Autoridade Nacional de Proteção de Dados (ANPD) em caso de incidente, e quais cláusulas contratuais precisam existir antes da assinatura de qualquer contrato de fornecimento.

Como controladora, a IES é responsável por definir as finalidades do tratamento (por exemplo, diagnóstico de proficiência para fins pedagógicos e de gestão do curso), garantir base legal adequada (em geral, execução de contrato educacional e/ou legítimo interesse institucional, observado o direito de informação do titular), e assegurar que o contrato com a plataforma operadora contenha cláusulas específicas de tratamento de dados: finalidade delimitada, prazo de retenção, obrigações de segurança, e procedimento de notificação de incidente. Como operadora, a plataforma trata os dados exclusivamente conforme as instruções da IES controladora, não podendo usar o dado de desempenho de um aluno de uma instituição para qualquer finalidade que não tenha sido contratualmente definida, incluindo benchmarks comerciais não anonimizados.

Essa arquitetura de papéis é o motivo pelo qual isolamento institucional de dados não é apenas uma característica técnica desejável, mas uma exigência estrutural do modelo de operadora múltipla. Uma plataforma B2B que atende diversas IES, como ocorre nas 8 IES parceiras que hoje geram cerca de 600 mil respostas por mês no ecossistema SPR Med, precisa garantir que o dado de uma instituição jamais seja acessível, ainda que indiretamente, por outra instituição cliente. Isso vale tanto para o dado bruto quanto para qualquer relatório agregado: um comparativo de desempenho entre cursos só pode existir de forma anonimizada, sem identificação de instituição ou aluno individual, salvo consentimento expresso e específico.

Leia tambémGestão de Dados Educacionais para o ENAMED: Do Diagnóstico à Decisão →

Quais são os seis controles que a IES deve exigir antes de contratar uma plataforma?

Os seis controles que compõem o checklist mínimo de due diligence são: isolamento de dados por instituição, criptografia em trânsito e em repouso, controle de acesso por papel, trilha de auditoria, política de retenção e eliminação, e anonimização para benchmark agregado. Cada um desses controles mitiga um risco específico e deve ser verificável por meio de uma pergunta objetiva feita ao fornecedor durante o processo de contratação, não apenas por uma declaração genérica de "seguimos a LGPD".

O isolamento de dados por instituição garante que nenhuma outra IES cliente, nem mesmo outro usuário da mesma plataforma fora do escopo autorizado, tenha acesso aos dados de desempenho dos alunos de uma faculdade específica. A criptografia em trânsito e em repouso protege o dado tanto durante a transmissão entre sistemas (por exemplo, entre o aplicativo do aluno e o servidor) quanto quando armazenado em banco de dados, reduzindo o impacto de um eventual acesso não autorizado à infraestrutura. O controle de acesso por papel, também chamado de controle baseado em função (role-based access control), assegura que cada usuário veja apenas o que sua função exige: o aluno vê exclusivamente seu próprio radar de proficiência, o mentor vê o painel dos alunos sob sua responsabilidade direta, e a coordenação acadêmica vê o agregado do curso, sem exposição individualizada desnecessária.

A trilha de auditoria (audit log) registra quem acessou qual dado, quando e com qual finalidade, permitindo reconstruir qualquer evento de acesso em caso de investigação interna ou de resposta a um incidente. A política de retenção e eliminação define por quanto tempo o dado de um aluno permanece armazenado após sua saída da instituição ou after a conclusão do curso, e qual o procedimento de eliminação segura ao final desse prazo, atendendo ao princípio de necessidade da LGPD (art. 6º, III). Por fim, a anonimização para benchmark agregado assegura que qualquer comparação entre turmas, cursos ou edições do exame seja construída sobre dados que não permitem reidentificação de aluno ou instituição individual, preservando ao mesmo tempo o valor analítico da comparação para fins de gestão acadêmica.

A tabela a seguir resume os seis controles, o risco que cada um mitiga e a pergunta objetiva que a coordenação deve levar à reunião de due diligence com o fornecedor.

Controle	Risco que mitiga	Pergunta de due diligence
Isolamento de dados por instituição	Vazamento cruzado entre IES clientes da mesma plataforma	Como a plataforma garante que os dados da minha IES nunca sejam acessíveis por outra instituição cliente?
Criptografia em trânsito e em repouso	Interceptação ou acesso indevido a dados armazenados ou transmitidos	O dado é criptografado tanto no armazenamento quanto na transmissão entre sistemas? Com qual padrão?
Controle de acesso por papel	Exposição desnecessária de dados individuais a usuários sem função correspondente	Um mentor consegue ver dados de alunos que não são seus mentorados? A coordenação vê dados individualizados sem necessidade pedagógica?
Trilha de auditoria	Impossibilidade de investigar quem acessou o quê em caso de incidente	Existe registro de log de acesso a dados de desempenho, com data, usuário e finalidade?
Política de retenção e eliminação	Armazenamento indefinido de dados de ex-alunos, violando o princípio da necessidade	Qual o prazo de retenção após a saída do aluno da instituição, e como é feita a eliminação segura?
Anonimização para benchmark agregado	Reidentificação de aluno ou instituição em comparativos de mercado	Como os dados usados em relatórios agregados ou comparativos entre IES são anonimizados?

O que muda na análise de risco em ano de gate de proficiência?

Em ano de gate de proficiência, o risco de uma falha de segurança de dados deixa de ser apenas um risco de compliance e passa a ser um risco de continuidade regulatória do curso, porque o desempenho monitorado hoje é o mesmo desempenho que, na 2ª etapa do ENAMED, no 6º ano, passa a condicionar o registro profissional no CRM para alunos que ingressaram a partir de 19/06/2026, conforme a MP 1.370/2026. Para as turmas já matriculadas antes dessa data, a urgência é institucional: desempenho insatisfatório na 2ª etapa aciona supervisão do curso pelo MEC para todos os cursos, independentemente da data de ingresso do aluno, o que torna qualquer dado de monitoramento de proficiência um ativo estratégico de gestão de risco acadêmico.

Esse cenário eleva o padrão de exigência sobre qualquer fornecedor de infraestrutura de dados educacionais. Uma ferramenta de diagnóstico avulsa, que apenas aplica simulados e devolve uma nota bruta, tende a não ter arquitetura de isolamento institucional nem controle de acesso por papel bem definido, porque não foi construída para operar em escala multi-institucional com dados sensíveis de trajetória acadêmica. Consultorias de ENAMED que operam por meio de planilhas e relatórios pontuais enfrentam um risco adicional: a ausência de trilha de auditoria e de política de retenção formalizada, já que o dado circula por e-mail e arquivos locais, sem rastreabilidade. Cursinhos e plataformas de preparação B2C, voltados ao estudante individual, normalmente não possuem qualquer camada de isolamento institucional, porque não foram desenhados para atender a uma coordenação de curso como cliente contratante e controladora dos dados de uma turma inteira.

A infraestrutura B2B de proficiência, categoria na qual a SPR Med se posiciona, se diferencia por ter sido desenhada desde a origem para operar como operadora de dados de múltiplas IES simultaneamente, com o motor M.A.E.S.T.R.O processando dados em Grande Área, Especialidade, Tema e Subtema para entregar Nota Final na escala INEP, Classificação de Proficiência e Nível de Confiança, sem que isso implique exposição cruzada entre instituições clientes. A predição de conceito com 94% de acurácia e a predição de temas prováveis, entre 80% e 90% de acerto no top 10 por edição de backtest (base de 17 edições do INEP), dependem de um volume de dados de mais de 3 milhões de respostas reais, o que só é operacionalmente sustentável com uma arquitetura de segurança madura, capaz de tratar dado sensível de muitas instituições sem contaminação cruzada.

Leia tambémComo Comparar Plataformas de Gestão de Risco Regulatório Acadêmico em Medicina →

Como comparar arquitetura de segurança entre categorias de fornecedor?

Comparar arquitetura de segurança entre categorias de fornecedor exige avaliar não apenas o que cada um promete, mas o que cada modelo de negócio estrutural permite ou impede na prática, porque a arquitetura de dados é consequência direta do desenho original do produto. A tabela a seguir organiza essa comparação por categoria, sem citar concorrentes nominalmente, com base nos controles de segurança discutidos neste artigo.

Categoria de fornecedor	Isolamento institucional	Controle de acesso por papel	Trilha de auditoria	Anonimização para benchmark
Ferramenta de diagnóstico avulsa	Geralmente ausente, foco em aplicação pontual de prova	Limitado, sem hierarquia aluno/mentor/coordenação	Raramente estruturada	Não aplicável, sem escala multi-IES
Consultoria de ENAMED (relatórios manuais)	Depende de processo manual, sujeito a falha humana	Inexistente como sistema, depende de controle de acesso a arquivos	Ausente ou informal	Não aplicável
Cursinho/prep B2C	Não desenhado para cliente institucional	Foco no aluno individual, sem camada de coordenação	Variável, não é o foco do produto	Não aplicável ao modelo B2C
Infraestrutura B2B de proficiência (categoria SPR Med)	Desenhado desde a origem para múltiplas IES isoladas entre si	Papéis definidos: aluno, mentor, coordenação	Estruturada como parte da arquitetura do produto	Projetada para benchmarks agregados sem reidentificação

Essa comparação evidencia que a arquitetura de segurança não é um módulo que se adiciona depois: ela é consequência do propósito original da plataforma. Uma infraestrutura pensada para ser o sistema operacional da proficiência médica de uma IES, do primeiro ano ao egresso, precisa nascer com isolamento institucional e controle de acesso por papel como requisitos de arquitetura, não como funcionalidades futuras. É essa mesma lógica de arquitetura que sustenta os testes de performance sob carga que uma plataforma multi-IES precisa validar continuamente.

Leia tambémTestes Automatizados e Performance em Plataformas com Grandes Bancos de Questões →

Qual pergunta a coordenação deve levar à reunião de contratação?

A pergunta central que a coordenação deve levar a qualquer reunião de contratação é: "quem responde pelo meu dado, e como eu comprovo isso perante o MEC, a ANPD ou o corpo discente, se algo der errado?". Essa pergunta única desdobra-se nas seis perguntas de due diligence apresentadas na tabela de controles, mas ela é a que resume o propósito do checklist: exigir que o fornecedor demonstre, com evidências verificáveis e não apenas com discurso comercial, que cada um dos seis controles existe e está documentado no contrato.

Na prática, isso significa que o NDE e a coordenação devem solicitar, antes da assinatura de qualquer contrato, uma minuta com cláusulas específicas de tratamento de dados que nomeiem expressamente: a finalidade do tratamento, o prazo de retenção após o encerramento do vínculo do aluno com a IES, o procedimento de notificação em caso de incidente de segurança, e a garantia contratual de isolamento institucional. A ausência dessas cláusulas específicas, substituídas por referências genéricas a "conformidade com a LGPD", é um sinal de alerta que deve ser tratado como critério eliminatório no processo de escolha do fornecedor, especialmente em um momento no qual o dado de proficiência tem peso direto sobre supervisão de curso e, para novas turmas, sobre o próprio registro profissional.

Qual o papel da SPR Med nessa arquitetura de dados?

A SPR Med opera como infraestrutura B2B de proficiência médica construída por médicos, o Dr. Matheus Ferreira e o Dr. Vinícius Côgo Destefani, com arquitetura desenhada desde a origem para atender múltiplas IES simultaneamente sob isolamento institucional, controle de acesso por papel entre aluno, mentor e coordenação, e processamento por meio do motor proprietário M.A.E.S.T.R.O. Esse motor aplica machine learning sobre o modelo TRI/Rasch 1PL, o mesmo modelo estatístico usado pelo INEP, para gerar Nota Final na escala INEP, Classificação de Proficiência e Nível de Confiança de cada aluno, com predição de conceito institucional em 94% de acurácia.

A base que sustenta essa operação é o banco de 266.177 questões tagueadas na Matriz Pedagógica 7D, alinhada à Matriz de Referência Comum da Portaria INEP 478/2025, alimentado por mais de 3 milhões de respostas reais e por um fluxo mensal de aproximadamente 600 mil respostas provenientes das 8 IES parceiras atuais. Esse volume de dados institucionais sensíveis só é operacionalmente responsável dentro de uma arquitetura que trata isolamento, criptografia, controle de acesso por papel, trilha de auditoria, retenção e anonimização como requisitos estruturais, e não como itens de checklist posteriores. É esse mesmo rigor de dados que sustentou a validação externa da plataforma no REVALIDA 2026.1, quando 74 das 100 questões reais da prova já tinham equivalente direto no banco proprietário, com cobertura de 72 dos 72 temas cobrados no radar preditivo.

Leia também74 de 100: o Teste de Fogo do Banco SPR Med no REVALIDA 2026.1 →

Próximos passos para a coordenação e o NDE

O próximo passo prático para qualquer coordenação de curso ou membro do NDE é transformar o checklist de seis controles apresentado neste artigo em pauta formal da próxima reunião de avaliação de fornecedores, solicitando evidência documental para cada item antes de qualquer decisão de contratação ou renovação. Esse processo de due diligence técnica deve integrar o PDI da instituição como parte da governança de dados educacionais, especialmente porque o ciclo avaliativo do ENAMED, agora semestral pela MP 1.370/2026, exige monitoramento contínuo de proficiência, o que significa fluxo constante de dados sensíveis entre alunos, mentores, coordenação e qualquer plataforma contratada.

Leia tambémTransformação Digital na Gestão de IES: Da Planilha à Infraestrutura de Dados →

Leia tambémFormação de Equipes de Dados para Análise de Desempenho Discente em IES →

Converse com nosso time de consultoria acadêmica para revisar a arquitetura de segurança de dados do seu curso antes do próximo ciclo do ENAMED, com foco nos seis controles de isolamento, criptografia, acesso por papel, auditoria, retenção e anonimização apresentados neste checklist.

Perguntas frequentes

Dado de desempenho acadêmico é considerado dado sensível pela LGPD?

Tecnicamente, a LGPD não inclui desempenho acadêmico no rol taxativo de dados sensíveis do art. 5º, II. Na prática institucional, porém, esse dado exige tratamento com o mesmo rigor de um dado sensível, porque afeta reputação individual do aluno, reputação do curso perante o MEC, e, a partir da MP 1.370/2026, pode se relacionar a requisito de habilitação profissional para novas turmas.

Quem é o responsável legal pelos dados de desempenho dos alunos: a IES ou a plataforma?

A IES é a controladora dos dados sob a LGPD e responde legalmente pelo tratamento, mesmo quando a execução técnica é feita por uma plataforma terceira, que atua como operadora. O contrato entre as partes deve conter cláusulas específicas de finalidade, retenção e notificação de incidente, sob responsabilidade da IES como definidora dessas condições.

O que é isolamento de dados por instituição em uma plataforma multi-IES?

Isolamento de dados por instituição é o controle técnico e contratual que garante que nenhuma outra IES cliente da mesma plataforma tenha acesso, direto ou indireto, aos dados de desempenho de alunos de uma instituição específica. É um requisito estrutural em qualquer plataforma B2B que atenda múltiplas faculdades de medicina simultaneamente.

Como funciona o controle de acesso por papel em uma plataforma de gestão acadêmica?

Controle de acesso por papel significa que cada tipo de usuário vê apenas o dado necessário à sua função: o aluno acessa exclusivamente seu próprio radar de proficiência, o mentor visualiza os alunos sob sua responsabilidade direta na proporção de mentoria, e a coordenação acadêmica acessa o agregado do curso, sem exposição individualizada desnecessária de cada aluno.

O que a IES deve pedir por escrito antes de contratar uma plataforma de dados de proficiência?

A IES deve exigir cláusulas contratuais explícitas sobre finalidade do tratamento, prazo de retenção e eliminação de dados após a saída do aluno, procedimento de notificação em caso de incidente de segurança, e garantia formal de isolamento institucional, além de evidências verificáveis de criptografia em trânsito e em repouso e de existência de trilha de auditoria.

Um vazamento de dados de proficiência pode afetar o conceito ENAMED do curso?

O vazamento em si não altera o conceito calculado pelo INEP, mas pode expor publicamente a fragilidade acadêmica de alunos e do curso em um momento de supervisão do MEC, com dano reputacional direto sobre a instituição. Em cursos que já monitoram risco de conceito 1 ou 2, essa exposição agrava a percepção de fragilidade perante candidatos, famílias e órgãos reguladores.