Lei de Privacidade Infantil e Proteção de Dados para Math Challenge

Resultados

United States — COPPA and the 2025 amended Rule

COPPA (15 U.S.C. §§6501–6506; 16 CFR Part 312) cobre operadores de serviços “direcionados a crianças” menores de 13 anos, ou que tenham conhecimento real de coleta de dados de uma criança menor de 13 anos. As emendas da FTC foram anunciadas em janeiro de 2025, publicadas no Federal Register em 22 de abril de 2025 (Doc. 2025-05904), vigentes a partir de 23 de junho de 2025, com conformidade geral prevista para 22 de abril de 2026 (programas de porto-seguro enfrentam prazos mais curtos de 90-day/6-month deadlines) [6][7][8]. As buscas diretas em ftc.gov e federalregister.gov foram bloqueadas (403/bot-gate) nesta sessão; essas datas foram confirmadas cruzadamente em cinco resumos de escritórios de advocacia independentes que citam o mesmo documento do Federal Register [8].

O que mudou: (1) “informação pessoal” agora inclui explicitamente identificadores biométricos (impressões digitais, retina, marcha, dados faciais/voz) e documentos de identidade governamentais; (2) uma categoria refinada de “público misto” permite que um serviço de público geral colete dados limitados em pré-triagem para finalidades específicas (consentimento dos pais, operações internas); (3) os operadores devem nomear quais terceiros recebem os dados da criança e por quê, e obter VPC separada antes de divulgar a terceiros (por exemplo, publicidade direcionada), salvo se for parte integral do serviço; (4) uma política escrita de retenção de dados é obrigatória — sem retenção indefinida; (5) um programa escrito de segurança da informação dimensionado ao tamanho/sensibilidade é obrigatório [8]. Métodos de VPC previamente aceitos (16 CFR §312.5(b)): formulário assinado, cobrança em cartão, chamada gratuita atendida, videoconferência atendida, correspondência de documento de identidade governamental com foto ao vivo (aprovado em 19 de nov. 2015). Relatos secundários dizem que 2025 adiciona métodos de pergunta baseada em conhecimento e “text-plus”, mas a subseção exata do CFR não foi confirmada independentemente [unverified]. Um relatório de 2025 também observou que o futuro presidente da FTC havia sinalizado partes da regra para revisão — verifique novamente o calendário de conformidade no momento da implementação.

European Union — GDPR Article 8 and member-state ages

O Artigo 8 define a idade padrão de consentimento próprio em 16 para serviços da sociedade da informação oferecidos diretamente a uma criança; abaixo disso, o consentimento deve ser “dado ou autorizado pelo titular da responsabilidade parental”, verificado por “esforços razoáveis… levando em consideração a tecnologia disponível”. Os Estados podem reduzir isso para um piso de 13 [1][2]. Limiares nacionais comumente publicados (cruzados com múltiplos rastreadores, não re-verificados individualmente por gazeta — confirme antes de confiar em qualquer número único): Áustria 14, Bélgica 13, Bulgária 14, Croácia 16, Chipre 14, República Tcheca 15, Dinamarca 13, Estônia 13, Finlândia 13, França 15, Alemanha 16, Grécia 15, Hungria 16, Irlanda 16, Itália 14, Letônia 13, Lituânia 14, Luxemburgo 16, Malta 13, Países Baixos 16, Polônia 16, Portugal 13, Romênia 16, Eslováquia 16, Eslovênia 15, Espanha 14, Suécia 13. A França foi confirmada independentemente ao vivo: a CNIL exige consentimento tanto da criança quanto dos pais abaixo de 15, reforçado por uma lei de “majorité numérique” totalmente efetiva a partir de 1 de jan. 2026 [12]. Como o Math Challenge segue a lógica “pai primeiro” — a criança nunca consente de forma independente — essa divisão afeta principalmente a elegibilidade futura de auto-serviço, não a v1.

United Kingdom — Age Appropriate Design Code and UK GDPR

O Reino Unido manteve 13 sob a DPA 2018 §9 pós-Brexit (estável, amplamente noticiado, não buscado novamente nesta sessão) [unverified]. O Age Appropriate Design Code da ICO se aplica a qualquer serviço “provavelmente acessado por crianças” no Reino Unido, em vigor desde 2 de setembro 2020 (transição de 12 meses antes da aplicação). Seus 15 padrões (cruzados via um resumo legal secundário da própria lista da ICO; busca direta em ico.org.uk bloqueada, 403) [5]: (1) Melhor interesse da criança; (2) Aplicação adequada à idade; (3) Transparência; (4) Uso prejudicial de dados; (5) Políticas e normas da comunidade; (6) Configurações padrão (máxima privacidade); (7) Minimização de dados; (8) Compartilhamento de dados; (9) Geolocalização (desativada por padrão); (10) Controles parentais; (11) Perfilamento (desativado por padrão); (12) Técnicas de “nudge” (proibidas); (13) Brinquedos e dispositivos conectados; (14) Ferramentas online; (15) Avaliações de impacto à proteção de dados. O UK Online Safety Act 2023 pode impor deveres de verificação de idade separadamente, dependendo de como as áreas de placares/comunidades são categorizadas — não verificado nesta sessão, verifique as orientações da Ofcom antes do lançamento no Reino Unido.

EU Digital Services Act — minors and profiling-based advertising

O DSA (Regulamento 2022/2065) tornou-se aplicável de forma geral em 17 de fevereiro de 2024 (VLOPs/VLOSEs anteriormente) [10]. O Artigo 28 trata da “proteção online de menores”, exigindo medidas adequadas de privacidade/segurança; uma disposição amplamente noticiada (confirmada conceitualmente via as emendas do Parlamento Europeu de 20 de jan. 2022 que introduziram “uma proibição de usar os dados de um menor para anúncios direcionados” — texto a nível de artigo no EUR-Lex não foi recuperado ao vivo, retornando conteúdo vazio em duas tentativas) proíbe publicidade baseada em perfil para um usuário que a plataforma razoavelmente sabe ser menor [10][9]. Confirme o artigo/parágrafo exato no EUR-Lex antes de citá-lo como lei — a substância tem alta confiança, a citação precisa não.

California — Age-Appropriate Design Code Act and its litigation

AB 2273 (2022) exige uma DPIA antes de oferecer recursos provavelmente acessados por crianças, padrões de privacidade elevados, ausência de dark patterns e nenhum uso de dados “materialmente prejudicial” a um menor. NetChoice v. Bonta (proposto no N.D. Cal., dez. 2022) resultou em uma liminar preliminar por motivos da Primeira Emenda direcionada ao requisito de DPIA/relatório; a opinião do Nono Circuito de ago. 2024 confirmou essa liminar especificamente, ao mesmo tempo que anulou e devolveu para análise de separabilidade outras disposições — algumas disposições foram interditadas, outras possivelmente aplicáveis. Relatos secundários posteriores (um desafio relacionado da NetChoice à SB 976 sobre disposições de “feeds viciantes”, decisão do tribunal distrital em dez. 2024, Nono Circuito decidiu em set. 2025; e outra decisão do Nono Circuito por volta de mar. 2026 “restrita” a uma liminar preliminar) não puderam ser reconciliados em uma linha do tempo consistente nesta sessão [11]. Esta questão está realmente em aberto, com litígio ativo — não codifique a conformidade contra uma disposição específica da CAADCA sem que um advogado confirme a aplicabilidade atual.

Mexico — LFPDPPP and the 2025 post-INAI reform

A LFPDPPP (2010) exige avisos de privacidade claros e, conforme a doutrina geral de capacidade civil, consentimento dos pais ou representante legal para os dados de um menor — não parece conter um artigo dedicado a dados de crianças no estilo GDPR/LGPD; isso não foi confirmado contra o texto consolidado atual [unverified]. Melhor corroborado: uma reforma constitucional que eliminou vários órgãos autônomos, incluindo o INAI, foi publicada no Diario Oficial de la Federación em dezembro de 2024, com legislação de implementação em março de 2025; a Secretaría Anticorrupción y Buen Gobierno absorveu a função de proteção de dados do INAI, enquanto um novo órgão, “Transparencia para el Pueblo”, assumiu as funções de acesso à informação [13]. Essa transição é muito recente para ter uma postura de aplicação madura sobre dados de crianças especificamente.

Brazil — LGPD Article 14

O texto completo da tradução oficial foi obtido diretamente [3]. O tratamento de dados de crianças/adolescentes deve servir ao seu melhor interesse (caput); requer consentimento específico e destacado de ao menos um pai ou representante legal (§1); os controladores devem divulgar publicamente os tipos de dados, uso e procedimentos de direitos (§2); a coleta sem esse consentimento é permitida apenas para contatar o pai, usada uma única vez e não armazenada, ou para a proteção da criança, e nunca pode ser repassada a terceiros sem o consentimento do §1 (§3); os controladores não podem condicionar a participação em jogos/aplicativos a dados além do estritamente necessário (§4); os controladores devem usar todos os esforços razoáveis, “considerando as tecnologias disponíveis”, para verificar se quem fornece o consentimento é realmente o representante (§5); as informações devem ser apresentadas de forma simples e acessível, levando em conta as características da criança, com recursos audiovisuais quando úteis (§6). Esta é a cláusula de dados de crianças mais diretamente citável e detalhada encontrada, mapeando de perto a regra da COPPA de “não condicionar a participação” e os padrões de esforço de verificação tanto do GDPR quanto da LGPD.

Canada — PIPEDA and Quebec’s Law 25

O PIPEDA federal não estabelece idade numérica de consentimento na lei; a orientação da OPC sobre “consentimento significativo” entende que o consentimento próprio de uma criança pequena geralmente não é significativo, sendo avaliado contextualmente — não confirmado independentemente nesta sessão [unverified]. A Lei 25 de Quebec é concreta e foi confirmada ao vivo: informação pessoal sobre um menor de menos de 14 anos não pode ser coletada do menor sem consentimento da pessoa com autoridade parental ou do tutor, sujeito a uma exceção de “benefício claro para a criança”. Foi implementada gradualmente a partir de setembro de 2022, concluindo em setembro de 2024 (incluindo direito à portabilidade de dados); as penalidades chegam a C$10 milhões ou 2% da receita global.

Modo de sala de aula — FERPA e o (retirado) Student Privacy Pledge

FERPA (20 U.S.C. §1232g; 34 CFR Part 99) concede aos pais direitos de acesso, correção e controle da divulgação dos “registros educacionais” de uma criança, transferindo-os ao estudante aos 18 anos ou no ensino superior [16]. Ela vincula escolas financiadas federalmente, não os fornecedores diretamente — um fornecedor como o Math Challenge normalmente só fica vinculado por meio da exceção de “funcionário escolar” (34 CFR §99.31(a)(1)(i)(B)), que exige controle direto da escola sobre o uso dos registros, geralmente via um contrato de processamento de dados com cada escola/distrito; um código de turma no aplicativo do professor, por si só, não estabelece isso (subseção não re-verificada ao vivo, verifique antes de usar em contrato). Importante: o Student Privacy Pledge, a auto-certificação de alinhamento FERPA de ed-tech, foi retirado pelo Future of Privacy Forum em 25 de abril de 2025 após dez anos; o FPF manteve uma lista pública de signatários até 31 de julho de 2025, mas não aceita novos signatários, e os signatários anteriores permanecem vinculados apenas aos dados coletados durante seu período de assinatura [15]. Trate qualquer alegação de “Student Privacy Pledge” como obsoleta.

Mecânicas de VPC, minimização de dados, pseudônimos, transferência internacional

Custo de VPC: métodos internos de base geram atrito/custo por transação; fornecedores especializados (PRIVO, Yoti, k-ID) vendem verificação sob demanda como consent-as-a-service — o preço não foi obtido nesta sessão, obtenha cotações diretas antes de orçar. Minimização de dados aparece quase idêntica em todos os lugares: LGPD Art. 14 §4 e §312.7 da COPPA ambos proíbem condicionar a participação a dados excessivos; GDPR Art. 5(1)(c) estabelece o princípio geral. Pseudônimos de leaderboard são dados pessoais enquanto o Math Challenge (o controlador) mantiver o mapeamento alias→identidade — o GDPR Recital 26 trata a pseudonimização reversível como informação sobre pessoa identificável, independentemente de um observador externo poder reidentificar alguém. Transferência internacional / borda Cloudflare: o R2 permite vincular um bucket a uma jurisdição da UE (ou FedRAMP) na criação, fixo depois, via endpoints S3 específicos da jurisdição [17]. O D1 ganhou uma configuração equivalente de jurisdição por banco de dados (lançamento de novembro 2025), junto a dicas de localização não vinculativas desde 2023 [19]. O Data Localization Suite da Cloudflare, exclusivo para enterprise (Geo Key Manager, Customer Metadata Boundary, Regional Services) adiciona residência em nível de rede/metadados, mas requer relacionamento comercial pago [17]. A história de residência do Workers KV não foi confirmada (sua página de docs retornou 404) — verifique diretamente com a Cloudflare antes de armazenar PII infantil da UE/UK lá. Para transferências dos EUA, a decisão de adequação do EU-US Data Privacy Framework (julho 2023) é o mecanismo relevante — estável, bem documentado, mas não re-verificado ao vivo nesta sessão [unverified this session, high training-knowledge confidence].

Matriz de obrigações

Jurisdição	Idade de consentimento	Método de consentimento exigido	Regra de retenção	Não fazer
EUA — COPPA (vig. 2025-06-23)	Menor de 13 anos	VPC (formulário assinado, cobrança de cartão, telefone/vídeo atendido, correspondência gov-ID+foto, ou método novel aprovado pela FTC); consentimento separado antes de divulgação a terceiros para anúncios	Cronograma de retenção escrito; sem retenção indefinida	Condicionar jogo a dados excessivos; divulgar a terceiros sem consentimento separado; omitir programa de segurança escrito
UE — GDPR Art. 8	16 padrão, 13–16 por estado (ES 14, FR 15, DE/IE 16, PT 13)	Consentimento dos pais, “esforços razoáveis” para verificação	Limitação de armazenamento (Art. 5(1)(e))	Confiar no consentimento da criança abaixo da idade nacional aplicável
Reino Unido — AADC + UK GDPR	13 (DPA 2018 §9)	Consentimento dos pais abaixo de 13; os 15 padrões da AADC se aplicam independentemente quando “provavelmente acessado por crianças”	Minimização de dados (padrão 7)	Perfilamento, geolocalização ou técnicas de nudging por padrão
Califórnia — CAADCA	Não há idade numérica única; DPIA cobre menores de 18 de forma ampla	DPIA + privacidade padrão alta (sem novo mecanismo de consentimento per se)	N/D (privacidade por design, não lei de retenção)	Padrões enganosos; perfilamento padrão; uso de dados “materialmente prejudicial” a menor — partes atualmente suspensas; confirmar aplicabilidade
México — LFPDPPP (pós-2025)	Nenhuma idade estatutária explícita [unverified]	Consentimento geral + doutrina de capacidade civil implica consentimento dos pais	“Necessário para a finalidade” geral	Não estabelecido com confiança — obter revisão de advogado mexicano
Brasil — LGPD Art. 14	Não há idade numérica declarada	Consentimento específico, destacado dos pais/responsáveis; esforço razoável de verificação	Exclusão quando o propósito for cumprido (Art. 15/16)	Condicionar participação a dados excessivos (§4); divulgar a terceiros sem consentimento §1
Canadá federal — PIPEDA	Nenhuma idade [unverified]	Contextual; espera-se consentimento dos pais para crianças pequenas	“Enquanto necessário” geral	Confiar no consentimento de criança pequena como significativo
Quebec — Lei 25	14 anos	Consentimento dos pais/tutor abaixo de 14	“Necessário” geral, direito à portabilidade de dados (fase de setembro 2024)	Coletar de menor de 14 anos diretamente sem consentimento, exceto exceção de benefício claro
Sala de aula / FERPA	N/D	Relação oficial-escolar requer acordo de controle direto, não apenas um código de turma	Espelhar a política de retenção da escola contratualmente	Confiar no Student Privacy Pledge retirado como sinal de conformidade

Implicações de design para o Math Challenge

1. Criação de conta priorizando os pais — nenhuma inscrição independente da criança em nenhum lugar, atendendo simultaneamente COPPA/GDPR Art. 8/LGPD Art. 14.
2. Padronizar em um método de VPC. Começar com um baseline listado pela FTC (formulário assinado ou cobrança de cartão); reconsiderar um fornecedor de porto-seguro (PRIVO/Yoti/k-ID) quando o volume justificar a taxa recorrente por verificação. Não construir modelo próprio de estimativa de idade — isso requer aprovação da seção §312.12 da FTC.
3. Campos mínimos do perfil infantil: apelido, ano+mês de nascimento ou faixa etária, sem foto, sem nome da escola a menos que vinculado à turma, sem número de telefone. Nunca solicitar ID da criança; apenas dos pais, via método VPC escolhido.
4. Tratar pseudônimos de leaderboard como dados pessoais internamente (GDPR Recital 26). Gerar automaticamente a partir de lista de palavras, permitir regeneração, nunca colocar nome real ao lado de um pseudônimo publicamente.
5. Definir por padrão todo leaderboard como escopo de turma/família, não público-global; colocar qualquer quadro global atrás de opt-in parental separado por criança.
6. Nenhum perfilamento, nenhuma tecnologia de anúncios comportamentais, nenhuma análise de terceiros contra perfis infantis. Satisfaz Art. 28 do DSA, corresponde à intenção da CAADCA apesar de litígio incerto, e evita o requisito de consentimento separado para divulgação a terceiros da COPPA-2025 ao nunca acioná-lo.
7. Publicar agora um cronograma interno escrito de retenção de dados, antes da data de conformidade da COPPA-2025: prazo de exclusão após remoção iniciada pelos pais, exclusão suave de conta inativa com aviso prévio, exclusão imediata de associação à turma ao retirar-se.
8. Padrões de privacidade máxima: participação em leaderboard desativada por padrão, sem geolocalização além de país/idioma, sem perfilamento, sem nudges de engajamento compulsivo.
9. Separar os dois consentimentos do modo de sala de aula: (a) consentimento dos pais para ingresso em turma específica, revogável a qualquer momento; (b) qualquer fluxo de dados para a própria escola requer seu próprio acordo FERPA de oficial escolar — um código de turma sozinho não o estabelece.
10. Não usar o Student Privacy Pledge como sinal de confiança — retirado em 25 de abril de 2025. Use certificação mantida atualmente ou linguagem contratual direta do distrito.
11. Fixar a jurisdição de dados da UE/UK no momento do cadastro via bucket eu do R2 e configuração de jurisdição por banco de dados do D1 — ambas fixas na criação, portanto a decisão deve acontecer no cadastro, não ser retroativa. Verifique a história de residência do KV diretamente com a Cloudflare primeiro.
12. Não depender do Data Localization Suite da Cloudflare como fronteira de conformidade na escala atual — é um add-on pago; o pinning de jurisdição do R2/D1 é o controle gratuito que deve ter peso real.
13. Localizar a verificação de idade de consentimento digital pelo país declarado pelos pais em vez de um número fixo — relevante principalmente para uma futura camada de auto-serviço adolescente, já que a v1 nunca pede consentimento da criança.
14. Nunca condicionar jogabilidade básica a dados além do necessário para o jogo livre (LGPD Art. 14 §4, COPPA §312.7) — qualquer extra deve ser opcional e vinculado a recurso específico voltado ao pai que desbloqueia.

Decisões de maior risco que o dono precisa tomar

• Se o modo sala de aula é lançado nos mercados UE/Reino Unido já na v1, dado o peso dos acordos de tratamento de dados em nível escolar, ou se fica restrito a EUA/Canadá primeiro.
• Se o placar chega a ser global/entre famílias ou estritamente de escopo sala de aula/família — a maior alavanca isolada de exposição ao DSA/CAADCA.
• VPC construído em casa (mais barato, mais responsabilidade) versus um fornecedor pago de porto seguro (custo recorrente, menos responsabilidade, entrada mais rápida no mercado).
• Quanto esforço de engenharia gastar com a CAADCA da Califórnia enquanto suas disposições centrais seguem em litígio ativo e não resolvido.
• Se o México deve ser tratado como risco equivalente ao do GDPR ou como institucionalmente instável e hoje sub-fiscalizado, dado quão recente é a transição do INAI para a Secretaría.
• Fixar a jurisdição para todo mundo por padrão versus fixá-la apenas quando um cliente corporativo ou escolar específico da UE/Reino Unido a exigir.

Perguntas abertas para o responsável pelo projeto

1. Apoiar um nível de “autoatendimento para adolescentes” na idade local de consentimento digital antes da v1, ou adiar para a v2?
2. Um placar público global é um requisito rígido do produto, ou o escopo de sala de aula/família é suficiente para o lançamento?
3. Qual é a ordem de mercado inicial do lançamento — isso determina se a litigação CAADCA, a transição no México ou a Lei 25 de Quebec se torna o primeiro prazo rígido?
4. Orçar um fornecedor pago de VPC no lançamento, ou fluxo DIY de formulário assinado/cobrança de cartão com fornecedores revisitado após tração?
5. O modo de sala de aula vai direcionar escolas/distritos diretamente (necessitando de um modelo de DPA) ou permanecer informal (apenas códigos de classe gerados por professores) por enquanto?
6. Fixar a jurisdição de dados da UE/UK para cada família desde o primeiro dia, ou somente quando um cliente exigir contratualmente?