Política de Privacidade

Plataforma Medalhei · preparação para olimpíadas científicas

Medalhei Olimpíadas Científicas Ltda. · Versão 1.0 · novembro de 2026

CONTROLE DO DOCUMENTO

1. OBJETIVO E ABRANGÊNCIA

Esta Política de Privacidade e Proteção de Dados Pessoais explica, de forma transparente, como a Medalhei Olimpíadas Científicas Ltda. (“Medalhei”, “nós” ou “Plataforma”) realiza o tratamento de dados pessoais em sua plataforma educacional de preparação para olimpíadas científicas, em seus websites, aplicativos, ambientes de prova, competições internas, canais de atendimento e demais serviços relacionados.

A Política aplica-se a alunos, crianças e adolescentes, pais e responsáveis legais, professores, coordenadores, diretores, administradores escolares, representantes das instituições de ensino contratantes, visitantes do website, fornecedores e demais pessoas naturais que interajam com a Medalhei.

Esta Política observa a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), a Lei nº 12.965/2014 (Marco Civil da Internet) e o Decreto nº 8.771/2016, a Lei nº 8.069/1990 (Estatuto da Criança e do Adolescente), a Lei nº 15.211/2025 (Estatuto Digital da Criança e do Adolescente) e as resoluções da Autoridade Nacional de Proteção de Dados (ANPD).

2. QUEM É A MEDALHEI

A Plataforma é operada pela Medalhei Olimpíadas Científicas Ltda., sociedade empresária limitada inscrita no CNPJ nº 37.194.702/0001-63, com sede na Rua Raphael Dias da Silva, nº 75, Sala 605, Parque Campolim, Sorocaba/SP, CEP 18048-120.

A Medalhei oferece a escolas e estudantes uma plataforma de preparação para olimpíadas científicas, com conteúdos, exercícios, provas e simulados, competições internas, certificações, recursos de engajamento e relatórios de desempenho. O conteúdo publicado por usuários passa por moderação automática prévia, com revisão humana do conteúdo sinalizado, e a Plataforma não disponibiliza mensagens privadas entre estudantes.

Para assuntos relacionados à privacidade e à proteção de dados pessoais, o contato deverá ser realizado pelo e-mail dpo@medalhei.com. Solicitações gerais de suporte podem ser encaminhadas a plataforma@medalhei.com.

3. PAPÉIS E RESPONSABILIDADES NO TRATAMENTO

3.1. Quando a Medalhei atua como operadora

Na prestação de serviços às escolas e redes de ensino, a instituição contratante determina as finalidades e os elementos essenciais do tratamento dos dados de seus alunos, professores e demais membros da comunidade escolar. Nesses casos, a escola atua como controladora e a Medalhei como operadora, tratando os dados exclusivamente em nome da escola, conforme o contrato e as instruções documentadas da instituição de ensino (art. 39 da LGPD).

Na condição de operadora, a Medalhei não utiliza os dados da comunidade escolar para finalidade própria ou diversa, não os comercializa e não os emprega para publicidade, perfilamento comercial, prospecção ou contato promocional com os titulares.

3.2. Quando a Medalhei atua como controladora

A Medalhei atua como controladora quando define as finalidades e os meios do tratamento, especialmente no cadastro gratuito de usuários sem vínculo com escola contratante, nas assinaturas e compras realizadas diretamente na Plataforma ou no aplicativo, no quiz, nos pedidos e no envio de medalhas, na gestão de seus websites, na segurança da Plataforma, no atendimento, no relacionamento comercial com as escolas, na administração contratual, no cumprimento de obrigações legais e na defesa de direitos.

O papel da Medalhei é definido pela operação e pela finalidade de cada tratamento, e não apenas pelo vínculo do titular com uma escola. Um mesmo titular pode ter dados tratados em operações institucionais, em que a Medalhei atua como operadora, e em operações próprias, em que atua como controladora. Nos programas regionais, o papel de cada parte será definido no respectivo contrato.

3.3. Prevalência do contrato com a escola

Havendo conflito entre esta Política e o contrato firmado com a instituição de ensino quanto ao tratamento dos dados da comunidade escolar, prevalecerão as disposições do contrato e as instruções documentadas da escola controladora.

4. CONCEITOS ESSENCIAIS

5. DE QUEM TRATAMOS DADOS

I. Alunos e usuários estudantes, inclusive crianças e adolescentes, vinculados a escolas contratantes ou cadastrados diretamente na Plataforma;

II. Pais, mães, responsáveis legais e pessoas por eles autorizadas;

III. Professores, coordenadores, diretores e administradores escolares;

IV. Representantes, colaboradores e prestadores das instituições de ensino contratantes;

V. Visitantes do website, participantes do quiz e usuários dos aplicativos;

VI. Fornecedores, parceiros e seus representantes; e

VII. Participantes de provas sem conta na Plataforma e terceiros que eventualmente apareçam nas imagens captadas em provas monitoradas.

6. QUAIS DADOS PESSOAIS TRATAMOS

Os dados efetivamente tratados variam conforme o perfil do usuário, o contrato com a instituição de ensino e as funcionalidades utilizadas. A Medalhei aplica o princípio da necessidade e trata apenas os dados pertinentes às finalidades informadas.

A Plataforma pode tratar dado pessoal sensível de raça/cor quando exigido por organizador de olimpíada e informado pela escola controladora, exclusivamente para a inscrição do aluno. Em provas monitoradas, quando o recurso for habilitado, podem ser coletados vídeo da webcam e gravação da tela do aluno, além de foto e dados do responsável legal, com análise automatizada de imagem para detecção de rostos e objetos, mediante consentimento específico e destacado do responsável legal (item 9.4). A Medalhei não realiza reconhecimento facial, comparação de rostos ou identificação de pessoas e não armazena modelo biométrico. Por envolver imagem facial de crianças e adolescentes processada por técnica específica, esse tratamento recebe a proteção aplicável aos dados sensíveis. Novas funcionalidades que envolvam dado sensível dependerão de hipótese legal do art. 11 da LGPD, de atualização prévia desta Política e do Inventário de Dados Pessoais e de avaliação no Relatório de Impacto à Proteção de Dados Pessoais.

7. COMO OBTEMOS OS DADOS

I. Da instituição de ensino contratante, que cria contas, organiza turmas e disponibiliza as informações necessárias à prestação do serviço, inclusive por importação em lote;

II. Diretamente do titular ou de seus pais ou responsáveis, por meio de cadastros, atividades, provas e utilização da Plataforma;

III. Automaticamente, por meio de registros de acesso, logs, cookies e tecnologias semelhantes;

IV. De provedores de autenticação utilizados no login, como a conta Google, e de provedores de pagamento, nos limites autorizados pelo usuário.

8. FINALIDADES E BASES LEGAIS

A base legal aplicável é definida conforme a finalidade, o perfil do titular e o papel da Medalhei. Quando a Medalhei atua como operadora, a definição da base legal compete à escola controladora.

9. CRIANÇAS E ADOLESCENTES

A Plataforma é direcionada a estudantes e, portanto, trata dados de crianças e adolescentes. Esse tratamento é realizado em seu melhor interesse (art. 14 da LGPD), com proteção reforçada e observância do Estatuto da Criança e do Adolescente e do Estatuto Digital da Criança e do Adolescente.

9.1. Medidas de proteção

• configurações de privacidade e segurança mais protetivas por padrão;

• coleta limitada ao mínimo necessário para a finalidade educacional;

• informações sobre o tratamento apresentadas de forma simples, clara e acessível, adequada ao entendimento da criança e do adolescente (art. 14, § 6º, da LGPD);

• moderação automática prévia do conteúdo gerado por usuários, com revisão humana do conteúdo sinalizado;

• inexistência de mensagens privadas entre estudantes;

• controle de acesso por perfil e por escopo institucional, de modo que cada professor ou gestor visualize apenas os dados da sua escola e das turmas sob sua responsabilidade;

• proibição de publicidade direcionada ou comportamental, de perfilamento comercial e de venda de dados de crianças e adolescentes.

9.2. Consentimento e outras bases legais

Quando o consentimento for a base legal exigida para o tratamento de dados de criança, ele será específico, destacado e dado por pelo menos um dos pais ou pelo responsável legal (art. 14, § 1º, da LGPD). Nos tratamentos em que a Medalhei atua como operadora, a definição da base legal compete à escola controladora; quando o consentimento for coletado na própria Plataforma, a Medalhei o fará conforme as instruções da escola e manterá o respectivo registro. Nos tratamentos em que atua como controladora, a coleta, o registro e a gestão do consentimento competem à Medalhei.

9.3. Uso de nome, imagem e resultados

O uso de nome, imagem, voz ou resultados de estudantes em ações de divulgação depende de autorização prévia, específica e revogável do responsável legal, cuja coleta e guarda competem à escola.

9.4. Provas monitoradas

Nas provas em que o monitoramento for habilitado, podem ser coletados vídeo da webcam do aluno (rosto e ambiente), sem áudio, e gravação da tela durante a prova, além do nome, do CPF, do e-mail e de foto do rosto do responsável legal, captada antes da prova. A imagem é analisada de forma automatizada para detectar a ausência de rosto ou a presença de mais de uma pessoa, objetos como celular, notebook, livro e caderno, uso de segunda tela e troca de janela, gerando alertas com horário e duração.

• finalidade exclusiva de fiscalização e auditoria da prova, vedada a formação de perfil comportamental;

• base legal: consentimento específico e destacado do responsável legal (art. 11, I, e art. 14, § 1º, da LGPD), coletado na tela da Plataforma antes da prova e registrado com data e hora, para sua comprovação (art. 8º, § 2º);

• informação ao aluno em linguagem clara e adequada à sua idade (art. 14, § 6º), com registro de sua ciência;

• revogação do consentimento a qualquer momento (art. 8º, § 5º); a recusa ou a revogação será informada com suas consequências, e será avaliada modalidade alternativa de prova;

• os alertas não desclassificam o aluno: a desclassificação é decisão humana, com motivo registrado, e pode ter sua revisão solicitada pelo titular ou pelo responsável legal;

• inexistência de reconhecimento facial, comparação de rostos, identificação de pessoas e armazenamento de modelo biométrico; os pontos faciais são calculados quadro a quadro e não são armazenados;

• dados de terceiros captados incidentalmente nas imagens tratados apenas para a fiscalização e eliminados no mesmo prazo das gravações; e

• armazenamento e análise das gravações pela Amazon Web Services, em São Paulo, com eliminação em até 21 (vinte e um) dias após a prova, salvo a suspensão prevista no item 15.7.

Nas provas aplicadas para a escola, a Medalhei atua como operadora e coleta o consentimento conforme as instruções da escola controladora; nas provas próprias, atua como controladora.

10. DADOS EDUCACIONAIS E INTELIGÊNCIA ARTIFICIAL

Dados de respostas, provas, desempenho e progresso são utilizados para a prestação do serviço e para apoiar o trabalho pedagógico da escola. O acesso é limitado aos perfis autorizados pela instituição.

A Plataforma utiliza recursos de inteligência artificial fornecidos por terceiros, como Google Vertex AI (Gemini) e, em contingência, OpenAI, para a moderação do conteúdo do fórum, inclusive textos e imagens, a busca, a elaboração de listas de exercícios, notas internas e o assistente de inteligência artificial. A Medalhei não autoriza que dados pessoais de alunos sejam utilizados por esses fornecedores para treinamento de modelos e, sempre que tecnicamente viável, encaminha os dados de forma anonimizada ou pseudonimizada. Nas provas monitoradas, a imagem é analisada de forma automatizada, nos termos do item 9.4. Decisões tomadas unicamente com base em tratamento automatizado que afetem os interesses do titular poderão ter sua revisão solicitada, nos termos do art. 20 da LGPD.

11. COMPARTILHAMENTO DE DADOS

A Medalhei compartilha dados pessoais somente quando necessário e compatível com as finalidades desta Política, com as seguintes categorias de destinatários:

• a escola contratante e seus professores e gestores autorizados;

• provedores de infraestrutura, hospedagem em nuvem, banco de dados, armazenamento de arquivos, filas e cache, autenticação, correio eletrônico, notificações, monitoramento de erros, verificação anti-robô, vídeos e inteligência artificial necessários ao funcionamento da Plataforma, relacionados na seção 12;

• provedores de pagamento e de logística, para compras, assinaturas e envio de medalhas;

• organizadores de olimpíadas científicas, para a inscrição dos alunos, por envio da escola ou, quando previsto, por envio direto da Medalhei;

• ferramentas de comunicação, suporte e métricas do website, nos termos da Política de Cookies;

• consultores, auditores e advogados sujeitos a dever de confidencialidade;

• autoridades públicas e Poder Judiciário, quando houver obrigação legal ou ordem válida.

Fornecedores que tratem dados em nome da Medalhei devem observar confidencialidade, segurança, limitação de finalidade e regras de devolução e eliminação equivalentes às desta Política. A contratação de novos suboperadores para o tratamento dos dados da comunidade escolar observará o contrato firmado com a escola.

12. TRANSFERÊNCIA INTERNACIONAL DE DADOS

A aplicação e o banco de dados da Plataforma são hospedados nos Estados Unidos, e outros fornecedores essenciais também tratam dados no exterior. Os arquivos, as gravações de provas monitoradas e os registros de acesso são armazenados pela Amazon Web Services, em São Paulo. A transferência internacional de dados pessoais é, portanto, inerente ao funcionamento da Plataforma e somente é realizada com fundamento em uma das hipóteses do art. 33 da LGPD.

Quando a transferência se basear em garantias contratuais, a Medalhei adotará as cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024), sem modificações, e manterá relação atualizada dos fornecedores envolvidos, com o país de tratamento, a finalidade, as categorias de dados e o mecanismo de transferência adotado, que será disponibilizada à escola controladora mediante solicitação.

13. COOKIES E REGISTROS DE ACESSO

O website e a Plataforma utilizam cookies e tecnologias semelhantes. Cookies estritamente necessários são utilizados para autenticação, segurança e funcionamento. Informações detalhadas sobre categorias, finalidades e prazos constam da Política de Cookies.

Em cumprimento ao art. 15 do Marco Civil da Internet, a Medalhei mantém os registros de acesso à Plataforma (data, hora, endereço IP e informações técnicas da requisição) sob sigilo, em ambiente controlado e de segurança, pelo prazo de 186 (cento e oitenta e seis) dias, contados de cada registro. A guarda está ativa desde 31 de outubro de 2026, e o histórico disponível corresponde ao período decorrido desde essa data. O procedimento de guarda e disponibilização desses registros consta da Política de Segurança da Informação.

14. RETENÇÃO DOS DADOS E TABELA DE TEMPORALIDADE

14.1. Regra geral

A Medalhei conserva os dados pessoais somente durante o período necessário às finalidades para as quais foram coletados. A regra é a eliminação dos dados ao término do tratamento (arts. 15 e 16 da LGPD); a conservação posterior só é admitida nas hipóteses legais, pelo prazo e na extensão estritamente necessários.

Os prazos de retenção e de descarte de cada categoria de dados estão definidos na Tabela de Temporalidade de Dados Pessoais (Anexo I), que integra esta Política. Na sua definição foram considerados a natureza dos dados, a finalidade, a base legal, a idade dos titulares, as instruções das escolas controladoras e as obrigações legais aplicáveis.

14.2. Dados da comunidade escolar

Os dados de alunos, professores e gestores são mantidos durante a vigência do contrato com a escola. Encerrado o contrato, os dados são devolvidos à escola e, em seguida, eliminados, na sequência e nos prazos previstos na seção 15. A ausência de instrução da escola não autoriza a conservação dos dados por prazo indeterminado.

Nas contas criadas diretamente na Plataforma, sem vínculo com escola contratante, os dados são mantidos enquanto a conta estiver ativa e eliminados ou anonimizados após 24 (vinte e quatro) meses de inatividade, ou antes, a pedido do titular ou de seu responsável legal, ressalvadas as hipóteses legais de conservação.

14.3. Regime das certificações

Os certificados obtidos por estudantes em competições internas são mantidos durante a vigência do contrato com a escola. Ao término do contrato, os dados das certificações serão anonimizados. A manutenção de certificações identificadas somente será admitida mediante instrução expressa e por escrito da escola, com indicação da finalidade, por prazo determinado de até 5 (cinco) anos contados do término do contrato, findo o qual os dados serão eliminados. É vedada a guarda por prazo indeterminado ou condicionada a pedido do titular.

14.4. Registros obrigatórios e trilhas de auditoria

Os registros de acesso à Plataforma são mantidos por 186 (cento e oitenta e seis) dias, por força do Marco Civil da Internet. A trilha de auditoria e os registros de transação do banco de dados são mantidos pelos prazos previstos na Política de Segurança da Informação. Esses registros ficam sujeitos a acesso restrito e só podem ser utilizados para segurança, apuração de incidentes, cumprimento de obrigação legal e defesa de direitos.

14.5. Revisão da Tabela de Temporalidade

A Tabela de Temporalidade será revisada ao menos anualmente e sempre que houver nova funcionalidade, nova categoria de dados, mudança de fornecedor, alteração legislativa ou orientação da ANPD, mantendo-se coerente com o Inventário de Dados Pessoais, a Política de Cookies, a Política de Segurança da Informação e os contratos com as escolas.

15. DEVOLUÇÃO, DESCARTE E ELIMINAÇÃO DOS DADOS PESSOAIS

Esta seção estabelece as regras de descarte dos dados pessoais tratados pela Medalhei, aplicáveis a todos os ambientes, sistemas e fornecedores sob seu controle.

15.1. Hipóteses de descarte

a) término do prazo previsto na Tabela de Temporalidade;

b) encerramento do contrato com a escola, por qualquer motivo;

c) instrução documentada da escola controladora;

d) solicitação do titular ou de seu responsável legal, observado o procedimento da seção 18;

e) revogação do consentimento, quando esta for a base legal do tratamento; e

f) constatação de que o dado é desnecessário, excessivo ou tratado em desconformidade com a LGPD.

15.2. Precedência da devolução sobre a eliminação

No encerramento do contrato, a Medalhei disponibilizará à escola, antes de qualquer eliminação, cópia integral dos dados por ela inseridos ou gerados na Plataforma. A eliminação só será iniciada após a confirmação do recebimento pela escola ou após 30 (trinta) dias do envio, sem manifestação.

15.3. Formato e prazo de entrega

Os dados serão entregues em formato estruturado, aberto e interoperável, como CSV ou JSON, em arquivo compactado e protegido por criptografia, no prazo de até 15 (quinze) dias úteis contados do encerramento ou da solicitação da escola, sem custo adicional. A exportação e a eventual anonimização são executadas por procedimento manual da equipe de tecnologia, com registro da operação. A Medalhei não reterá dados da escola como meio de cobrança de valores eventualmente devidos.

15.4. Prazos de eliminação

• encerramento do contrato: eliminação de todos os dados da escola no prazo máximo de 30 (trinta) dias, contados da confirmação do recebimento da devolução ou do término do prazo previsto no item 15.2;

• exclusão de conta ou de dado a pedido da escola: execução em até 5 (cinco) dias úteis contados da instrução;

• rotinas automáticas: eliminação dos dados que atingirem o prazo previsto na Tabela de Temporalidade, por rotinas agendadas;

• cópias de segurança: expurgo ao final da janela de retenção das cópias, conforme o item 15.6.

15.5. Forma de eliminação

A eliminação é realizada por meios que impeçam a recuperação dos dados: rotinas automáticas agendadas; exclusão administrativa, com registro interno da operação; e, no encerramento do contrato, exclusão da totalidade dos dados da unidade escolar. A eliminação deve alcançar o registro no banco de dados de produção e os arquivos correspondentes no armazenamento em nuvem, inclusive certificados, relatórios e fotos gerados a partir dos dados excluídos, bem como os ambientes de teste, as ferramentas de terceiros e os demais repositórios sob controle da Medalhei.

15.6. Cópias de segurança (backup)

Os dados eliminados dos sistemas de produção podem permanecer temporariamente nas cópias de segurança até o fim das respectivas janelas de retenção, conforme o plano contratado com o provedor de hospedagem: recuperação pontual de 4 (quatro) dias, cópias diárias por 8 (oito) dias e cópias semanais por até 4 (quatro) semanas, após o que a exclusão se torna definitiva e irreversível. Durante esse período, as cópias permanecem protegidas, com acesso restrito, e não são utilizadas para nenhuma finalidade. Em caso de restauração, os pedidos de eliminação já registrados serão reaplicados antes da retomada do uso dos dados.

15.7. Suspensão da eliminação

A eliminação poderá ser suspensa, exclusivamente pelo tempo necessário, para cumprimento de ordem judicial ou de requisição de autoridade competente, apuração de incidente de segurança, exercício regular de direitos em processo judicial, administrativo ou arbitral, ou cumprimento de obrigação legal, como a guarda dos registros de acesso exigida pelo Marco Civil da Internet. Durante a suspensão, os dados ficam bloqueados e segregados e não podem ser utilizados para outra finalidade. Os dados conservados por esse motivo serão discriminados no Termo de Eliminação de Dados.

15.8. Termo de Eliminação de Dados

Após cada descarte decorrente do encerramento de contrato ou de instrução da escola, a Medalhei emitirá e encaminhará à escola, em até 10 (dez) dias úteis, o Termo de Eliminação de Dados, conforme o modelo do Anexo II, informando as categorias eliminadas, os ambientes alcançados, o método empregado, a data da eliminação, as cópias de segurança ainda sujeitas à expiração, com a data em que a exclusão se torna definitiva, e eventuais dados conservados, com o respectivo fundamento legal. Expiradas as cópias de segurança, a Medalhei confirmará por escrito à escola a conclusão integral da eliminação.

15.9. Registro das operações de descarte

A Medalhei mantém registro das operações de devolução, anonimização e eliminação, contendo a categoria dos dados, a base ou o sistema de origem, o prazo aplicado, a data, o método, o responsável pela execução e a instrução da escola, quando houver. Esses registros não reproduzem os dados eliminados e são conservados por 5 (cinco) anos.

15.10. Responsáveis

• Diretor de Tecnologia: executa e evidencia as rotinas de devolução e eliminação, inclusive nas cópias de segurança e nos fornecedores;

• Encarregado: acompanha os prazos, emite o Termo de Eliminação de Dados e mantém o registro das operações;

• Diretoria: aprova esta Política e eventuais exceções, sempre fundamentadas em hipótese legal.

16. SEGURANÇA E INCIDENTES

A Medalhei adota medidas técnicas e administrativas compatíveis com os riscos, como controle de acesso por perfil e por escopo institucional, criptografia em trânsito e em repouso, trilha de auditoria, segregação entre o banco de dados e a camada de aplicação, credenciais individuais para pessoas e contas de serviço para sistemas, conforme a Política de Segurança da Informação.

Constatado incidente de segurança que envolva dados da comunidade escolar, a Medalhei comunicará a escola controladora no prazo máximo de 24 (vinte e quatro) horas do conhecimento, com as informações exigidas pelo art. 48, § 1º, da LGPD, e cooperará com a apuração e com as comunicações à ANPD e aos titulares, nos termos do Plano de Resposta a Incidentes de Segurança com Dados Pessoais.

Nos tratamentos em que atua como controladora, a Medalhei comunicará à ANPD e aos titulares o incidente de segurança que possa acarretar risco ou dano relevante, no prazo de 3 (três) dias úteis do conhecimento, nos termos do art. 48 da LGPD e da Resolução CD/ANPD nº 15/2024.

Usuários devem proteger suas credenciais, não compartilhar senhas e comunicar imediatamente acessos suspeitos pelo canal dpo@medalhei.com.

17. DIREITOS DOS TITULARES

Nos termos do art. 18 da LGPD, o titular, seus pais ou responsáveis legais poderão solicitar:

I. confirmação da existência de tratamento;

II. acesso aos dados pessoais;

III. correção de dados incompletos, inexatos ou desatualizados;

IV. anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;

V. portabilidade dos dados, observada a regulamentação;

VI. eliminação dos dados tratados com consentimento, ressalvadas as hipóteses legais de conservação;

VII. informação sobre as entidades com as quais houve compartilhamento;

VIII. informação sobre a possibilidade de não fornecer consentimento e suas consequências;

IX. revogação do consentimento;

X. revisão de decisões tomadas unicamente com base em tratamento automatizado (art. 20);

XI. peticionamento perante a ANPD; e

XII. oposição a tratamento realizado com fundamento em hipótese de dispensa de consentimento, em caso de descumprimento da LGPD (art. 18, § 2º).

18. PROCEDIMENTO DE ATENDIMENTO ÀS REQUISIÇÕES DOS TITULARES

Este procedimento define como a Medalhei recebe, registra, encaminha e executa as requisições dos titulares, com prazos definidos, de modo a permitir que a escola controladora cumpra os prazos do art. 19 da LGPD.

18.1. Canais de recebimento

As requisições podem ser enviadas ao e-mail dpo@medalhei.com, canal oficial do Encarregado. Pedidos recebidos por outros canais, como plataforma@medalhei.com ou o suporte da Plataforma, serão redirecionados ao Encarregado no mesmo dia útil.

18.2. Quem pode solicitar

A requisição pode ser apresentada pelo próprio titular, pelos pais ou responsáveis legais, no caso de criança ou adolescente, ou pela escola controladora. A Medalhei poderá solicitar as informações estritamente necessárias para confirmar a identidade do solicitante e a representação legal, sem exigir documentação excessiva.

18.3. Etapas do atendimento

1. Recebimento e registro. Toda requisição é registrada no Registro de Requisições dos Titulares (Anexo III), com número de protocolo, data, canal, solicitante, titular, escola vinculada e direito exercido.

2. Verificação da identidade. O Encarregado confirma a identidade do solicitante e, quando for o caso, a representação legal.

3. Definição do papel da Medalhei. O papel da Medalhei será identificado conforme a operação e a finalidade envolvidas na solicitação. O vínculo do titular com uma escola não determina, por si só, a condição de operadora em todos os tratamentos. Quando atuar sob instruções da instituição, a Medalhei encaminhará e apoiará o atendimento; nas operações em que for controladora, realizará a análise e a resposta que lhe competirem.

4. Encaminhamento à escola (Medalhei operadora). O pedido é encaminhado à escola controladora no prazo de até 2 (dois) dias úteis do recebimento. A Medalhei não executa a requisição por conta própria, salvo instrução expressa da escola.

5. Execução. Recebida a instrução da escola, a Medalhei executa a providência no prazo máximo de 5 (cinco) dias úteis, com registro auditável.

6. Confirmação por escrito. Concluída a providência, a Medalhei confirma a execução por escrito à escola e, quando for o caso, ao solicitante.

7. Resposta direta (Medalhei controladora). Quando a Medalhei for a controladora, a confirmação de existência ou o acesso aos dados será fornecido de imediato, em formato simplificado, ou em até 15 (quinze) dias, por declaração clara e completa (art. 19, I e II, da LGPD).

8. Encerramento e arquivo. O registro é concluído com as datas de cada etapa e mantido por 5 (cinco) anos.

18.4. Negativa fundamentada

Quando a requisição não puder ser atendida, total ou parcialmente, por exemplo em razão de obrigação legal de guarda, o solicitante e, se for o caso, a escola serão informados das razões de fato e de direito que impedem o atendimento.

18.5. Gratuidade

O atendimento às requisições é gratuito.

19. COMUNICAÇÕES

A Medalhei poderá enviar comunicações essenciais sobre contas, segurança, manutenção, provas, competições e alterações do serviço. Não são enviadas comunicações promocionais a crianças e adolescentes.

20. ATUALIZAÇÕES DESTA POLÍTICA

Esta Política poderá ser atualizada para refletir alterações legais, regulatórias, tecnológicas ou operacionais. A versão vigente indicará a data da última atualização, e alterações relevantes serão comunicadas às escolas contratantes e aos usuários pelos canais disponíveis.

21. ENCARREGADO E CANAIS DE CONTATO

A Medalhei indicou formalmente, por meio de Termo de Indicação aprovado por sua Diretoria, o Encarregado pelo Tratamento de Dados Pessoais, nos termos do art. 41 da LGPD e da Resolução CD/ANPD nº 18/2024.

Compete ao Encarregado receber reclamações e comunicações dos titulares e da ANPD, prestar esclarecimentos, adotar providências e orientar os colaboradores sobre as práticas de proteção de dados pessoais.

22. DISPOSIÇÕES FINAIS

Esta Política não limita direitos assegurados pela legislação nem substitui obrigações previstas nos contratos com as escolas. A eventual invalidade de uma disposição não compromete as demais. Esta Política é regida pela legislação brasileira e entra em vigor na data de sua aprovação pela Diretoria da Medalhei.

ANEXO I – TABELA DE TEMPORALIDADE DE DADOS PESSOAIS

Prazos de retenção e de descarte por categoria de dados pessoais. Quando a Medalhei atua como operadora, os prazos aplicam-se salvo instrução diversa e documentada da escola controladora, respeitados os limites legais.

ANEXO II – MODELO DE TERMO DE ELIMINAÇÃO DE DADOS

TERMO DE ELIMINAÇÃO DE DADOS PESSOAIS Nº [●]/[●]

A MEDALHEI OLIMPÍADAS CIENTÍFICAS LTDA., inscrita no CNPJ nº 37.194.702/0001-63, com sede na Rua Raphael Dias da Silva, nº 75, Sala 605, Parque Campolim, Sorocaba/SP, na qualidade de operadora, declara à instituição de ensino abaixo identificada, na qualidade de controladora, que realizou a devolução e executou a eliminação dos dados pessoais tratados no âmbito do contrato indicado, com as ressalvas abaixo, nos termos da seção 15 de sua Política de Privacidade e Proteção de Dados Pessoais e dos arts. 15, 16 e 39 da LGPD.

A Medalhei declara que a eliminação dos dados acima descritos foi executada nos repositórios indicados no item 3, com a evidência correspondente. As cópias de segurança ainda sujeitas à expiração e os dados conservados indicados no item 4 permanecem bloqueados, com acesso restrito, até a data ou o critério de término informados. A conclusão integral da eliminação será confirmada por escrito à escola somente após a verificação dessas etapas.

Sorocaba/SP, de outubro de 2026.

_____________________________________________

MEDALHEI OLIMPÍADAS CIENTÍFICAS LTDA.

Gustavo Lima da Silva – Encarregado pelo Tratamento de Dados Pessoais

ANEXO III – MODELO DE REGISTRO DE REQUISIÇÕES DOS TITULARES

Cada requisição recebida deve ser registrada com os campos abaixo, em ficha individual ou em planilha com as mesmas colunas, mantida pelo Encarregado por 5 (cinco) anos. O registro deve conter apenas as informações necessárias à demonstração do atendimento.