Contrato de Subcontratação
Data Processing Agreement (DPA) — celebrado nos termos do artigo 28.º, n.º 3, do Regulamento (UE) 2016/679.
Porque é que isto existe
Quando regista dados dos seus clientes no TrainerHub, o responsável pelo tratamento é você e nós somos o subcontratante. O RGPD exige que essa relação conste de contrato escrito. É este o contrato. Vincula ambas as partes desde o momento em que cria a conta e não carece de assinatura autógrafa.
1. Partes
- Responsável pelo tratamento:o Treinador titular da conta, identificado pelos dados de registo (o “Responsável”).
- Subcontratante: TrainerHub, Lda., com sede em [A PREENCHER: morada da sede], NIPC [A PREENCHER: NIPC](a “TrainerHub”).
Este contrato integra os Termos de Serviço e prevalece sobre estes em tudo o que respeite ao tratamento de dados pessoais.
2. Objeto e duração
A TrainerHub trata dados pessoais por conta do Responsável, na estrita medida do necessário à prestação do serviço. O contrato vigora enquanto a conta existir e cessa com a eliminação desta, sem prejuízo das obrigações que, pela sua natureza, lhe sobrevivam — designadamente o sigilo.
3. Natureza, finalidade e categorias (art. 28.º, n.º 3)
| Natureza | Recolha, registo, conservação, consulta, alteração, exportação e apagamento, por meios automatizados. |
| Finalidade | Alojar e disponibilizar a plataforma de gestão de clientes, sessões, planos, medições e pagamentos. |
| Titulares | Clientes finais do Responsável e, se aplicável, os seus contactos. |
| Categorias de dados | Identificação e contacto (nome, e-mail, telefone, data de nascimento); dados de acompanhamento (sessões, planos, objetivos, notas); dados financeiros (pagamentos, pacotes); dados relativos à saúde (peso, percentagem de massa gorda, altura). |
| Categorias especiais | Sim — dados relativos à saúde, na aceção do art. 9.º. Ver cláusula 4. |
4. Dados de saúde — obrigações reforçadas do Responsável
4.1. O Responsável reconhece que o peso, a percentagem de massa gorda e a altura, quando associados a pessoa identificada, constituem dados relativos à saúde, sujeitos à proibição geral do art. 9.º, n.º 1, do RGPD.
4.2. Compete exclusivamente ao Responsável assegurar uma condição de licitude do art. 9.º, n.º 2 — em regra, o consentimento explícito do cliente final — e conservar prova da sua obtenção. A TrainerHub não verifica nem pode verificar essa obtenção.
4.3. A geração de hiperligações públicas de partilha, que podem expor objetivos e a medição mais recente a quem detenha o endereço, exige consentimento específico e autónomo do cliente final, distinto do referido em 4.2.
4.4. O Responsável obriga-se a não introduzir nos campos de texto livre diagnósticos clínicos, patologias, medicação ou quaisquer dados cujo tratamento esteja reservado a profissionais sujeitos a sigilo profissional na área da saúde.
5. Obrigações da TrainerHub
A TrainerHub obriga-se a:
- Tratar os dados apenas mediante instruções documentadas do Responsável, salvo imposição legal — caso em que o informará previamente, se não for proibido de o fazer (art. 28.º, n.º 3, al. a). A utilização normal da plataforma vale como instrução.
- Assegurar que as pessoas autorizadas a tratar os dados estão sujeitas a dever de confidencialidade (al. b).
- Adotar as medidas de segurança do art. 32.º, descritas na cláusula 8 (al. c).
- Respeitar as condições de subcontratação ulterior da cláusula 6 (al. d).
- Auxiliar o Responsável a responder a pedidos de exercício de direitos pelos titulares, através de funcionalidades de consulta, exportação e apagamento (al. e).
- Auxiliar no cumprimento dos arts. 32.º a 36.º, incluindo a notificação de violações e eventuais avaliações de impacto (al. f).
- Apagar ou devolver os dados no termo do contrato, nos termos da cláusula 9 (al. g).
- Disponibilizar as informações necessárias à demonstração do cumprimento e permitir auditorias, nos termos da cláusula 10 (al. h).
- Informar imediatamente o Responsável se considerar que uma instrução viola o RGPD ou outra legislação de proteção de dados.
A TrainerHub não utiliza os dados dos clientes finais para fins próprios, não os comercializa e não os emprega no treino de modelos de inteligência artificial.
6. Subcontratantes ulteriores
6.1. O Responsável confere à TrainerHub autorização geral prévia para recorrer aos subcontratantes ulteriores elencados em /subprocessors, que constitui anexo a este contrato.
6.2. A TrainerHub comunicará qualquer aditamento ou substituição com 30 dias de antecedência, por e-mail e por atualização daquela página. O Responsável pode opor-se fundadamente dentro desse prazo; não havendo solução, pode resolver o contrato sem encargos, com reembolso proporcional do período pago e não usufruído.
6.3. A TrainerHub impõe a cada subcontratante ulterior obrigações de proteção de dados não menos exigentes do que as aqui assumidas e responde perante o Responsável pelo respetivo incumprimento (art. 28.º, n.º 4).
7. Transferências internacionais
Os dados são conservados na União Europeia (Frankfurt, Alemanha). Alguns subcontratantes ulteriores são sociedades norte-americanas com possibilidade de acesso remoto para suporte. Tais transferências assentam nas Cláusulas Contratuais-Tipo (Decisão de Execução (UE) 2021/914) ou, se o fornecedor estiver certificado, na decisão de adequação do EU-US Data Privacy Framework. A TrainerHub disponibiliza cópia das salvaguardas a pedido do Responsável.
8. Medidas técnicas e organizativas (art. 32.º)
- Cifragem em trânsito (TLS 1.2+) e em repouso.
- Autenticação delegada a fornecedor especializado, com verificação de e-mail e suporte a MFA. Não são armazenadas palavras-passe.
- Controlo de acesso lógico com isolamento por titular em todas as consultas à base de dados.
- Registo de eventos com identificador de correlação por pedido.
- Cópias de segurança automáticas com recuperação num instante anterior.
- Caducidade automática das hiperligações públicas ao fim de 30 dias.
- Monitorização de erros com recolha de dados pessoais desativada por predefinição.
- Testes automatizados e verificação de integridade do esquema em cada alteração ao código.
9. Violações de dados
A TrainerHub notificará o Responsável sem demora injustificada e, em qualquer caso, dentro de 48 horas após tomar conhecimento de uma violação de dados pessoais que afete dados tratados por sua conta, prestando as informações do art. 33.º, n.º 3, na medida em que disponha delas. Compete ao Responsável decidir e efetuar a notificação à CNPD e aos titulares.
10. Devolução e apagamento
Eliminada a conta, os dados são apagados no prazo de 30 dias, incluindo as cópias de segurança, dentro do respetivo ciclo de rotação. Antes disso, o Responsável pode exportar os dados pela plataforma. Excetua-se a conservação imposta por lei, designadamente os registos de faturação, conservados por 10 anos nos termos do art. 40.º do CIVA.
11. Auditoria
Mediante pré-aviso razoável e não mais do que uma vez por ano — salvo violação de dados ou imposição da autoridade de controlo —, a TrainerHub disponibilizará a informação necessária à demonstração do cumprimento deste contrato. Sempre que existam, poderá satisfazer o pedido através de relatórios de auditoria ou certificações dos seus fornecedores. Auditorias no local ficam sujeitas a acordo prévio quanto a âmbito, calendário e custos, e à assinatura de acordo de confidencialidade.
12. Responsabilidade e lei aplicável
Cada parte responde pelos danos que causar por incumprimento das obrigações que o RGPD lhe imponha especificamente, nos termos do art. 82.º. As limitações de responsabilidade dos Termos de Serviço aplicam-se a este contrato, salvo quanto a coimas ou indemnizações resultantes de violação culposa das obrigações de proteção de dados. O contrato rege-se pela lei portuguesa.
13. Aceitação e versões
Este contrato considera-se aceite com a criação da conta e a aceitação dos Termos de Serviço. A TrainerHub conserva registo da versão aceite e da respetiva data. Alterações materiais serão comunicadas com 30 dias de antecedência, aplicando-se o disposto na cláusula 6.2 quanto ao direito de oposição.