Acordo de Tratamento de Dados Pessoais

Versão 1.0.0, em vigor desde 2026-11-03.

Este Acordo de Tratamento de Dados Pessoais (“Acordo”) é celebrado entre a MIDDAG TECNOLOGIA LTDA, sociedade empresária limitada com sede em Brasília, Distrito Federal, inscrita no CNPJ sob o nº 23.341.245/0001-88 (“MIDDAG”), e a organização que aceita os Termos de Serviço (“Cliente”).

1. Escopo e formação

1.1. Este Acordo faz parte do contrato entre o Cliente e a MIDDAG descrito nos Termos de Serviço (“Contrato”).

1.2. Este Acordo se aplica quando a MIDDAG trata Dados Pessoais do Cliente em nome do Cliente ao prestar os serviços do Contrato (“Serviços”).

1.3. Este Acordo se aplica ao Cliente Empresarial, como definido nos Termos de Serviço. Quando a MIDDAG presta os Serviços a um Consumidor, ela atua como controladora, e se aplica a Política de Privacidade no lugar deste Acordo.

1.4. O Cliente aceita este Acordo quando aceita os Termos de Serviço, e este Acordo não depende de assinatura separada para valer.

1.5. O Cliente que precisar de prova do aceite deste Acordo pode obtê-la no MIDDAG Account, ou pedi-la em juridico@middag.com.br, como registro do aceite em PDF com a versão deste Acordo, a data do aceite e o titular da conta que aceitou; não se fornece assinatura separada.

2. Definições

2.1. “Lei de Proteção de Dados” é a Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais, “LGPD”), com os regulamentos da Autoridade Nacional de Proteção de Dados (“ANPD”), e as demais normas sobre privacidade e proteção de dados pessoais que se aplicam ao tratamento dos Dados Pessoais do Cliente pelo Contrato.

2.2. “Dados Pessoais do Cliente” são os dados pessoais que o Cliente, ou os seus usuários, inserem nos Serviços e que a MIDDAG trata em nome do Cliente.

2.3. “Suboperador” é o terceiro que a MIDDAG contrata para tratar Dados Pessoais do Cliente.

2.4. “Incidente de Segurança” é o evento de segurança, confirmado, que comprometa a confidencialidade, a integridade ou a disponibilidade de Dados Pessoais do Cliente tratados pela MIDDAG ou pelos seus Suboperadores.

2.5. “Controlador”, “operador”, “titular”, “dado pessoal”, “dado pessoal sensível”, “tratamento”, “encarregado” e “transferência internacional de dados” têm o sentido que a Lei de Proteção de Dados lhes dá.

2.6. Os demais termos com inicial maiúscula não definidos aqui têm o sentido dos Termos de Serviço.

3. Papéis das partes

3.1. O Cliente é o controlador dos Dados Pessoais do Cliente, ou operador agindo em nome dos próprios controladores, e a MIDDAG é operadora dos Dados Pessoais do Cliente.

3.2. Quando o Cliente age como operador em nome dos próprios controladores, ele garante que as instruções que dá à MIDDAG, inclusive a contratação de Suboperadores, estão autorizadas por esses controladores.

3.3. Cada parte cumpre as obrigações que a Lei de Proteção de Dados lhe impõe.

3.4. O Cliente responde pela licitude da coleta dos Dados Pessoais do Cliente, pela exatidão deles e pela base legal do tratamento, inclusive pela informação aos titulares e pelo consentimento que a Lei de Proteção de Dados exigir.

3.5. A MIDDAG trata como controladora, pela Política de Privacidade, os dados pessoais da conta, da cobrança e dos contatos comerciais do Cliente, e esse tratamento fica fora deste Acordo.

3.6. O revendedor por meio do qual o Cliente compra os Serviços não é parte deste Acordo nem é Suboperador.

4. Instruções de tratamento

4.1. A MIDDAG trata os Dados Pessoais do Cliente só conforme as instruções documentadas do Cliente, salvo se uma lei a que a MIDDAG está sujeita exigir outra coisa; nesse caso, a MIDDAG informa o Cliente dessa exigência antes do tratamento, salvo se essa lei o proibir.

4.2. O Contrato, este Acordo e o uso e a configuração dos Serviços pelo Cliente são as instruções completas do Cliente no momento do aceite.

4.3. As instruções novas ou alteradas devem ser por escrito, coerentes com o Contrato e aceitas pela MIDDAG, e o custo adicional de cumpri-las é cobrado como as partes combinarem.

4.4. A MIDDAG informa o Cliente sem demora injustificada se, na opinião dela, uma instrução violar a Lei de Proteção de Dados, e pode suspender o tratamento afetado por essa instrução até o Cliente confirmá-la ou alterá-la.

4.5. O Anexo 1 descreve o objeto, a natureza, a finalidade e a duração do tratamento e as categorias de titulares e de dados pessoais.

4.6. Quando o Cliente ou os seus usuários conectam um Provedor de IA Conectado pelo Usuário, como definido nos Termos de IA, o envio de Dados Pessoais do Cliente a esse provedor é instrução documentada do Cliente por esta cláusula 4; esse provedor é contratado pelo Cliente, não é Suboperador e não consta da página Suboperadores.

4.7. A MIDDAG mantém registro das operações de tratamento de Dados Pessoais do Cliente que realiza, como exige a Lei de Proteção de Dados.

5. Sigilo e pessoal

5.1. A MIDDAG garante que as pessoas que ela autoriza a tratar Dados Pessoais do Cliente estão obrigadas a sigilo, por contrato ou por lei.

5.2. A MIDDAG limita o acesso aos Dados Pessoais do Cliente às pessoas que precisam dele para fornecer, dar suporte e proteger os Serviços.

6. Segurança

6.1. A MIDDAG adota e mantém medidas de segurança, técnicas e administrativas, aptas a proteger os Dados Pessoais do Cliente de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, como descrito no Anexo 2.

6.2. A MIDDAG pode atualizar as medidas do Anexo 2 conforme a tecnologia e os Serviços evoluírem, desde que a atualização não reduza o nível geral de proteção dos Dados Pessoais do Cliente.

6.3. O Cliente responde pela segurança das suas contas, das suas credenciais e da configuração dos Serviços, e pelas medidas que estão sob o controle dele, descritas na documentação dos Serviços.

7. Suboperadores

7.1. O Cliente autoriza de forma geral a MIDDAG a contratar Suboperadores para tratar Dados Pessoais do Cliente.

7.2. Os Suboperadores atuais estão listados na página Suboperadores, que faz parte deste Acordo.

7.3. A MIDDAG contrata cada Suboperador por contrato escrito com obrigações de proteção de dados não menos protetivas dos Dados Pessoais do Cliente do que as deste Acordo, na medida em que se apliquem à natureza dos serviços desse Suboperador.

7.4. A MIDDAG continua responsável perante o Cliente pelo cumprimento das obrigações de proteção de dados de cada Suboperador, nos limites da Lei de Proteção de Dados.

7.5. A MIDDAG avisa a inclusão ou a troca de Suboperador 30 dias antes da data de vigência da mudança.

7.6. A MIDDAG envia esse aviso por e-mail, pelo MIDDAG Account, ao titular da conta do Cliente, e publica a mudança na página Atualizações.

7.7. O Cliente pode se opor à inclusão ou à troca de Suboperador por motivo razoável ligado à proteção de dados pessoais, por aviso escrito para privacidade@middag.com.br ou pelo formulário do MIDDAG Account, recebido antes da data de vigência da mudança.

7.8. A objeção recebida depois da data de vigência da mudança não tem efeito, e a falta de objeção no prazo é aceite da mudança.

7.9. Diante de objeção no prazo, a MIDDAG discute a objeção com o Cliente de boa-fé e oferece, quando razoavelmente possível, uma alternativa, como mudança na configuração ou no uso dos Serviços que evite o tratamento de Dados Pessoais do Cliente pelo Suboperador objetado.

7.10. Se as partes não chegarem a uma solução, a única medida do Cliente é cancelar os Serviços afetados pela mudança, com efeito ao fim do período já pago, sem reembolso.

7.11. A MIDDAG não é obrigada a deixar de usar um Suboperador por causa de uma objeção.

7.12. Quando a troca de Suboperador for exigida por lei ou por autoridade, ou for necessária à segurança dos Serviços, a MIDDAG pode fazê-la com aviso imediato, sem o prazo da cláusula 7.5.

7.13. Na troca da cláusula 7.12, o Cliente pode se opor em 30 dias depois do aviso, pelos motivos da cláusula 7.7, e as cláusulas 7.9 a 7.11 se aplicam à objeção.

8. Transferência internacional

8.1. Os Dados Pessoais do Cliente podem ser tratados no Brasil e nos demais locais informados na página Suboperadores, inclusive nos Estados Unidos.

8.2. Quando a MIDDAG transfere Dados Pessoais do Cliente para fora do Brasil, ela o faz por um dos mecanismos do art. 33 da LGPD, como as cláusulas-padrão contratuais aprovadas pela ANPD na Resolução CD/ANPD nº 19, de 23 de agosto de 2024, ou uma decisão de adequação da ANPD que se aplique ao país de destino.

8.3. O Cliente pode pedir informação sobre o mecanismo de transferência usado em privacidade@middag.com.br.

9. Apoio ao Cliente

9.1. Considerando a natureza do tratamento, a MIDDAG apoia o Cliente, com medidas técnicas e administrativas adequadas e na medida do possível, a atender aos pedidos dos titulares para exercer os direitos que a Lei de Proteção de Dados lhes garante.

9.2. Se a MIDDAG receber de um titular um pedido sobre Dados Pessoais do Cliente, ela o encaminha ao Cliente sem demora injustificada e não o responde, salvo para orientar o titular a procurar o Cliente, a menos que o Cliente autorize a MIDDAG a responder ou a lei o exija.

9.3. Considerando a natureza do tratamento e as informações de que dispõe, a MIDDAG dá ao Cliente apoio razoável na elaboração de relatório de impacto à proteção de dados pessoais e no atendimento a pedidos da ANPD, quando a Lei de Proteção de Dados os exigir para o tratamento deste Acordo.

9.4. A MIDDAG pode cobrar pelo apoio que for além dos recursos dos Serviços e das informações que ela disponibiliza em geral, salvo se a Lei de Proteção de Dados exigir que esse apoio seja gratuito.

10. Incidente de Segurança

10.1. A MIDDAG avisa o Cliente sem demora injustificada depois de tomar conhecimento de um Incidente de Segurança, em prazo que permita ao Cliente cumprir o prazo de comunicação à ANPD e aos titulares fixado pela Lei de Proteção de Dados.

10.2. O aviso descreve, na medida em que a MIDDAG tiver a informação, a natureza dos dados afetados, os titulares envolvidos, as medidas técnicas e de segurança usadas para proteger os dados, os riscos do incidente, as medidas adotadas ou propostas para revertê-lo ou mitigá-lo e o contato para mais informações.

10.3. Quando a MIDDAG não puder dar todas as informações ao mesmo tempo, ela as dá em etapas, sem nova demora injustificada.

10.4. A MIDDAG adota medidas razoáveis para conter, investigar e mitigar os efeitos de um Incidente de Segurança.

10.5. A MIDDAG envia o aviso ao titular da conta do Cliente pelos contatos cadastrados no MIDDAG Account, e o Cliente mantém esses contatos atualizados.

10.6. O aviso ou a resposta da MIDDAG a um Incidente de Segurança não é reconhecimento de culpa nem de responsabilidade.

10.7. O Cliente pode relatar um problema de segurança suspeito para seguranca@middag.com.br.

11. Devolução e exclusão

11.1. Durante o Contrato, o Cliente pode exportar os Dados Pessoais do Cliente pelos recursos dos Serviços ou pedir uma exportação à MIDDAG em privacidade@middag.com.br.

11.2. O Cliente instrui a MIDDAG a guardar os Dados Pessoais do Cliente depois do cancelamento dos Serviços, inclusive o cancelamento automático de Serviços vencidos pelos Termos de Serviço, pelo prazo de retenção abaixo, para que o Cliente possa reativar os Serviços ou exportar os dados, e a excluí-los ao fim desse prazo.

11.3. O prazo de retenção depois do cancelamento dos Serviços depende do tipo de entrega do Serviço, como nos Termos de Serviço:

11.4. Para os Dados Pessoais do Cliente, a exclusão ao fim do prazo de retenção vale para todo tipo de entrega, inclusive aqueles para os quais os Termos de Serviço preveem arquivo ao fim da retenção.

11.5. O Cliente pode pedir por escrito, em privacidade@middag.com.br, a exclusão dos Dados Pessoais do Cliente antes do fim do prazo de retenção, e a MIDDAG os exclui em prazo razoável depois do pedido.

11.6. A MIDDAG só pode guardar Dados Pessoais do Cliente depois do prazo de retenção na medida e pelo prazo que uma lei a que ela está sujeita exigir, e nesse caso mantém esses dados em sigilo e os trata só para a finalidade que essa lei exige.

11.7. Os Dados Pessoais do Cliente em cópias de segurança são excluídos à medida que as cópias vencem no ciclo normal, e ficam protegidos por este Acordo até lá.

12. Auditoria e informação

12.1. A MIDDAG põe à disposição do Cliente, quando pedido, as informações necessárias para demonstrar o cumprimento deste Acordo e das obrigações de operador da Lei de Proteção de Dados.

12.2. O Cliente usa primeiro a documentação, as informações de segurança e os resumos de avaliações que a MIDDAG disponibiliza.

12.3. Quando essas informações não bastarem para demonstrar o cumprimento, ou quando a ANPD o exigir, a MIDDAG permite e contribui com auditorias, inclusive inspeções, pelo Cliente ou por auditor independente indicado pelo Cliente.

12.4. A auditoria acontece com aviso escrito prévio e razoável, em data e com escopo combinados antes, em horário comercial, sem acesso a dados de outros clientes, com obrigação de sigilo e de modo a não prejudicar os Serviços nem pôr em risco a segurança deles.

12.5. O Cliente arca com os próprios custos da auditoria e paga os custos razoáveis da MIDDAG para apoiar a auditoria que for além das informações da cláusula 12.1, salvo se a auditoria revelar descumprimento relevante deste Acordo pela MIDDAG.

12.6. O Cliente pode fazer a auditoria da cláusula 12.3 no máximo uma vez a cada 12 meses, salvo depois de um Incidente de Segurança, quando a ANPD o exigir ou quando houver indícios de que a MIDDAG descumpre este Acordo.

13. Responsabilidade

13.1. A responsabilidade de cada parte decorrente deste Acordo segue as limitações e as exclusões de responsabilidade dos Termos de Serviço, na medida em que a Lei de Proteção de Dados permite.

13.2. Nada neste Acordo limita os direitos dos titulares previstos na Lei de Proteção de Dados.

14. Prazo, mudanças e prevalência

14.1. Este Acordo vigora enquanto a MIDDAG tratar Dados Pessoais do Cliente em nome do Cliente.

14.2. A MIDDAG muda este Acordo pelas regras de mudança dos Termos de Serviço, com o prazo de aviso que eles fixam.

14.3. A mudança exigida pela Lei de Proteção de Dados ou por autoridade, inclusive a adoção de cláusulas-padrão contratuais novas ou atualizadas pela ANPD, vale para todos os Clientes na data de vigência, com aviso o quanto antes.

14.4. Em matéria de proteção de dados, este Acordo prevalece sobre as demais partes do Contrato; um pedido ou uma proposta só afasta uma cláusula deste Acordo se citar essa cláusula expressamente.

14.5. Se uma disposição deste Acordo for considerada inválida, o restante deste Acordo continua em vigor.

15. Lei aplicável e controvérsias

15.1. Este Acordo é regido pelas leis da República Federativa do Brasil.

15.2. As controvérsias decorrentes deste Acordo seguem a cláusula de solução de controvérsias dos Termos de Serviço, primeiro pela negociação prévia que ela descreve e depois no foro da Circunscrição Judiciária de Brasília, Distrito Federal, sem arbitragem.

16. Contato

16.1. Dúvidas sobre este Acordo e sobre o tratamento dos Dados Pessoais do Cliente: privacidade@middag.com.br.

16.2. Avisos jurídicos: juridico@middag.com.br, como descrito nos Termos de Serviço.

16.3. Relatos de segurança: seguranca@middag.com.br.

Anexo 1: Descrição do tratamento

Objeto. O tratamento dos Dados Pessoais do Cliente necessário para prestar os Serviços do Contrato.

Duração. O prazo do Contrato, mais o prazo de retenção da cláusula 11 e o prazo que a lei exigir.

Natureza do tratamento. Hospedagem, armazenamento, cópia de segurança, transmissão, recuperação, organização, suporte, manutenção, monitoramento, rastreamento de erros, segurança e exclusão dos Dados Pessoais do Cliente, conforme necessário para prestar os Serviços.

Finalidade. Fornecer, dar suporte, proteger e manter os Serviços para o Cliente, pelo Contrato e pelas instruções do Cliente.

Categorias de titulares. As que resultarem do uso dos Serviços pelo Cliente, que podem incluir o pessoal do Cliente, os usuários das plataformas que a MIDDAG opera para o Cliente (como alunos e professores) e os visitantes dos sites do Cliente hospedados pela MIDDAG.

Categorias de dados pessoais. As que resultarem do uso dos Serviços pelo Cliente, que podem incluir identificadores diretos (como nome e nome de usuário), dados de contato (como e-mail), identificadores de rede (como endereço IP e dados do dispositivo), registros de aprendizagem (como matrículas, progresso e notas) e texto livre inserido pelos usuários.

Dados pessoais sensíveis. Nenhum previsto. O Cliente não insere nos Serviços dados pessoais sensíveis, salvo se as partes o combinarem por escrito, com as salvaguardas adicionais necessárias.

Frequência da transferência. Contínua, durante o Contrato.

Retenção. Como descrito na cláusula 11.

Transferências a Suboperadores. Para o objeto, a natureza e a duração descritos neste Anexo e para as finalidades informadas na página Suboperadores.

Anexo 2: Medidas técnicas e administrativas de segurança

A MIDDAG mantém as medidas abaixo para os Serviços. A página Segurança descreve como relatar uma vulnerabilidade.

Governança. A MIDDAG mantém políticas escritas de segurança e de privacidade, atribui a responsabilidade pela segurança da informação e pelos dados pessoais a papéis definidos e revê essas políticas em periodicidade definida.

Controle de acesso. O acesso aos sistemas que tratam Dados Pessoais do Cliente é concedido por papel e pela necessidade de conhecer, usa contas individuais e é revisto periodicamente; o acesso administrativo é limitado a poucas pessoas e revisto à parte.

Autenticação e segredos. O acesso aos sistemas dos Serviços exige autenticação, as credenciais e os segredos ficam num cofre de segredos dedicado, e os segredos são trocados em periodicidade definida.

Criptografia. Os Dados Pessoais do Cliente são criptografados em trânsito nas redes públicas e criptografados em repouso, com criptografia gerenciada pelo provedor de hospedagem.

Segurança de rede. As interfaces administrativas não ficam expostas à internet pública, e o tráfego de entrada só chega aos Serviços por pontos de entrada aprovados.

Registro e monitoramento. Os eventos relevantes para a segurança são registrados, os registros são protegidos contra alteração e guardados por prazo definido, e os alertas são tratados por pessoal de plantão.

Gestão de vulnerabilidades. A MIDDAG acompanha os alertas de segurança dos softwares que usa e corrige vulnerabilidades em prazos definidos pela gravidade.

Desenvolvimento seguro. As mudanças nos Serviços passam por controle de versão, revisão e verificações automáticas antes de serem liberadas.

Cópias de segurança e continuidade. Os Dados Pessoais do Cliente nos ambientes gerenciados têm cópia de segurança em periodicidade regular, as cópias são criptografadas, as restaurações são testadas periodicamente, e a MIDDAG mantém um plano de continuidade.

Resposta a incidentes. A MIDDAG mantém um plano de resposta a incidentes que cobre os Incidentes de Segurança, o exercita periodicamente e revê os incidentes depois de fechados.

Pessoal. As pessoas com acesso aos Dados Pessoais do Cliente estão obrigadas a sigilo e recebem treinamento de segurança e de privacidade ao começar e periodicamente depois.

Dispositivos. Os dispositivos usados para acessar os Serviços são protegidos por bloqueio de tela e mantidos atualizados, e mídia removível só é usada para cópias de segurança criptografadas.

Suboperadores. A MIDDAG avalia os Suboperadores antes de contratá-los e periodicamente depois, e os obriga por contrato escrito, pela cláusula 7.

Minimização de dados na telemetria. Os eventos de erro e de monitoramento enviados a Suboperadores são mascarados para limitar os dados pessoais que levam.

Anexo 3: Suboperadores

A lista de Suboperadores está na página Suboperadores.

Changelog

• 1.0.0 — Primeira versão do Acordo de Tratamento de Dados Pessoais da MIDDAG TECNOLOGIA LTDA, sob a LGPD.