Contrato de Subcontratação

Responsável pelo tratamento: o clube ou associação desportiva que subscreve o serviço.
Subcontratante: Plantel, operado por Carlos Assunção.

Este contrato cumpre o artigo 28.º, n.º 3, do Regulamento (UE) 2016/679 (RGPD) e complementa os Termos de Serviço e a Política de Privacidade. Em caso de contradição sobre proteção de dados, prevalece este contrato.

• •Objeto: prestação de uma plataforma de gestão desportiva ao clube.
• •Duração: enquanto durar a subscrição, mais o período de devolução ou eliminação previsto na cláusula 9.
• •Natureza e finalidade: recolha, registo, organização, conservação, consulta, alteração e eliminação de dados, exclusivamente para prestar o serviço ao clube.
• •Titulares dos dados: atletas (na sua maioria menores), encarregados de educação, sócios, membros do staff e jogadores observados.

Categorias de dados tratados:

Tratamos os dados apenas mediante instruções documentadas do clube. A utilização normal da plataforma pelo clube constitui, por si, essas instruções. Não tratamos dados para finalidades próprias.

Se entendermos que uma instrução do clube viola o RGPD ou a legislação nacional, informamos o clube de imediato e podemos suspender a execução dessa instrução.

Se a lei nos obrigar a tratar dados fora das instruções do clube, informamos o clube antes do tratamento, salvo se a própria lei o proibir.

Todas as pessoas autorizadas a tratar dados por nossa conta estão sujeitas a dever de confidencialidade, que subsiste após o fim da relação. O acesso é limitado a quem dele precise para prestar o serviço, e os acessos a dados sensíveis ficam registados.

O acesso aos dados do clube está limitado às pessoas da nossa equipa que dele precisam para prestar o serviço — resolver avarias, corrigir dados a pedido do clube ou configurar o que o clube pediu.

• •essas pessoas estão vinculadas a dever de confidencialidade, que se mantém depois de terminarem funções;
• •o tratamento é feito apenas segundo as instruções do clube e para prestar o serviço, nunca para finalidades próprias nossas;
• •não vendemos, cedemos nem usamos os dados do clube para treinar seja o que for.

Estas são as medidas efetivamente implementadas:

• •Cifragem em trânsito (HTTPS obrigatório) e palavras-passe guardadas com algoritmo de derivação de chave.
• •Isolamento entre clubes imposto de forma centralizada e obrigatória em todos os acessos a dados; nenhum clube acede a dados de outro.
• •Controlo de acessos por papel (direção, coordenação, treinador, tesouraria, observador), configurável pela direção do clube; treinadores restritos às suas equipas.
• •Proteção reforçada de categorias especiais: dados clínicos e psicológicos limitados a papéis autorizados e invisíveis aos restantes.
• •Registo de auditoria dos acessos a dados sensíveis e das exportações de dados pessoais.
• •Cópias de segurança diárias cifradas, com procedimento de reposição testado.
• •Ficheiros privados: fotografias e documentos não são acessíveis por endereço público; exigem sessão e permissão.
• •Minimização: dados de menores observados limitados ao estritamente necessário e anonimizados automaticamente ao fim de 12 meses.

As medidas são revistas periodicamente e podem ser reforçadas, nunca reduzidas abaixo do nível aqui descrito.

O clube autoriza genericamente o recurso aos subcontratantes abaixo. Comunicaremos com antecedência razoável qualquer alteração, podendo o clube opor-se e, nesse caso, resolver a subscrição sem penalização.

Impomos a cada subcontratante obrigações de proteção de dados equivalentes às deste contrato e mantemo-nos integralmente responsáveis perante o clube pelo cumprimento das mesmas.

Os dados são tratados na União Europeia. Quando um subcontratante for empresa sediada em país terceiro, a transferência assenta nas Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia e em medidas suplementares adequadas.

• •Direitos dos titulares: a plataforma dá ao clube ferramentas para responder sozinho — exportação completa dos dados de um atleta, correção e eliminação. Se ainda assim for necessário, prestamos apoio adicional.
• •Violações de dados: notificamos o clube sem demora injustificada após termos conhecimento, com a informação de que dispusermos, para o clube poder cumprir os prazos do artigo 33.º.
• •Avaliações de impacto: disponibilizamos a informação técnica necessária caso o clube tenha de realizar uma avaliação de impacto sobre a proteção de dados.
• •Pedidos de terceiros: se recebermos um pedido de autoridade relativo a dados do clube, encaminhamo-lo, salvo proibição legal.

Terminada a subscrição, o clube pode exportar os seus dados a qualquer momento durante 30 dias. Findo esse prazo, e salvo indicação escrita em contrário, eliminamos os dados dos sistemas ativos. As cópias de segurança cifradas expiram por rotação, não sendo tecnicamente possível apagar seletivamente dentro de uma cópia já criada — durante esse período mantêm-se protegidas pelas mesmas obrigações de segurança e confidencialidade.

Disponibilizamos ao clube a informação necessária para demonstrar o cumprimento deste contrato e permitimos auditorias, incluindo inspeções, conduzidas pelo clube ou por auditor por si mandatado, mediante aviso prévio razoável, em horário laboral e sem perturbar o serviço prestado aos restantes clubes.

Este contrato produz efeitos a partir do momento em que o clube começa a utilizar o serviço e mantém-se em vigor enquanto tratarmos dados por conta do clube. As obrigações de confidencialidade e de segurança subsistem após o seu termo.