Aplica-se só ao Finisher Feedback. Este acordo faz parte dos Termos de Serviço que aceitou. A aceitação eletrónica tem o valor de um contrato escrito (RGPD, art. 28.º, n.º 9). Precisa de uma cópia assinada? Escreva para support@sportingscouter.com.
Este Acordo de Tratamento de Dados («Acordo») faz parte dos Termos de Serviço disponíveis em https://trust.sportingscouter.com/pt/for-organizers/terms («Contrato Principal») e é celebrado entre:
a entidade que aceita o Contrato Principal e é responsável pelo tratamento dos dados dos participantes que fornece («Empresa»); e
Daniel Sousa, empresário em nome individual, NIF PT229306535, com domicílio fiscal em Rua das Escolas 148, 4520-322 Fornos, Santa Maria da Feira, Aveiro, Portugal, com o nome comercial Sporting Scouter («Subcontratante»).
Aceitação. A Empresa aceita este Acordo por via eletrónica, ao marcar a caixa de aceitação no registo ou no checkout. O Subcontratante regista o utilizador, a data e a hora e a versão aceite. A forma eletrónica cumpre o artigo 28.º, n.º 9, do RGPD.
1. Definições
1.1 «RGPD» é o Regulamento (UE) 2016/679. «UK GDPR» é o RGPD tal como mantido no direito do Reino Unido. «Legislação de Proteção de Dados» é o RGPD, o UK GDPR quando aplicável, e as leis nacionais que os executam ou completam.
1.2 «Dados Pessoais da Empresa» são os dados pessoais descritos no Anexo 1 que o Subcontratante trata por conta da Empresa no serviço Finisher Feedback.
1.3 «Subcontratante Ulterior» é qualquer terceiro a quem o Subcontratante recorre para tratar Dados Pessoais da Empresa.
1.4 «Responsável pelo tratamento», «Subcontratante», «Titular dos dados», «Dados pessoais», «Violação de dados pessoais», «Tratamento» e «Autoridade de controlo» têm o sentido que lhes dá o RGPD.
2. Âmbito
2.1 Este Acordo aplica-se só ao serviço Finisher Feedback: a lista de participantes que a Empresa fornece, os convites enviados em seu nome e as respostas recebidas através desses convites.
2.2 Este Acordo não se aplica ao seguinte, em que o Subcontratante atua como responsável independente, nos termos da sua própria Política de Privacidade: (a) avaliações que os participantes submetem diretamente no site do Subcontratante ou por link público ou código QR («Avaliações Espontâneas»); (b) comentários públicos nas redes sociais recolhidos para o Social Debrief; (c) os dados da conta, de faturação e de contacto da Empresa.
3. Tratamento segundo instruções documentadas
3.1 O Subcontratante só trata os Dados Pessoais da Empresa segundo instruções documentadas da Empresa, incluindo quanto a transferências, salvo se for obrigado a fazê-lo pelo direito da União ou de um Estado-Membro; nesse caso, informa a Empresa dessa obrigação antes do tratamento, salvo se essa lei o proibir.
3.2 A Empresa dá instruções ao Subcontratante para tratar os Dados Pessoais da Empresa para prestar o serviço Finisher Feedback, como descrito no Contrato Principal e no Anexo 1.
3.3 Comparação das Avaliações Espontâneas com a lista. A Empresa dá instruções ao Subcontratante para comparar o dorsal e o endereço de email indicados numa Avaliação Espontânea sobre uma prova da Empresa com a lista de participantes, e autoriza o Subcontratante a registar o resultado (coincide ou não coincide) para o seu próprio tratamento das Avaliações Espontâneas, como responsável independente. A lista de participantes não é usada para mais nenhuma finalidade. A Empresa informa os seus participantes desta utilização no seu próprio aviso de privacidade.
3.4 O Subcontratante informa imediatamente a Empresa se, no seu entender, uma instrução violar a Legislação de Proteção de Dados.
3.5 O Subcontratante não usa os Dados Pessoais da Empresa para treinar modelos de inteligência artificial e exige o mesmo aos seus Subcontratantes Ulteriores.
4. Confidencialidade
O Subcontratante garante que as pessoas autorizadas a tratar os Dados Pessoais da Empresa estão vinculadas à confidencialidade e só acedem ao estritamente necessário.
5. Segurança
O Subcontratante aplica medidas técnicas e organizativas adequadas, nos termos do artigo 32.º do RGPD, incluindo as descritas no Anexo 3.
6. Subcontratantes Ulteriores
6.1 A Empresa dá uma autorização geral por escrito para o Subcontratante recorrer aos Subcontratantes Ulteriores indicados no Anexo 2.
6.2 O Subcontratante avisa a Empresa por email com pelo menos 30 dias de antecedência antes de acrescentar ou substituir um Subcontratante Ulterior. A Empresa pode opor-se nesse prazo, com fundamentos razoáveis de proteção de dados. Se as partes não resolverem a oposição, a Empresa pode rescindir o serviço afetado e receber o reembolso proporcional dos montantes pagos por serviços ainda não prestados.
6.3 O Subcontratante impõe a cada Subcontratante Ulterior, por contrato, as mesmas obrigações de proteção de dados deste Acordo, em especial garantias suficientes de medidas técnicas e organizativas adequadas. O Subcontratante continua plenamente responsável perante a Empresa pelo cumprimento dos seus Subcontratantes Ulteriores (artigo 28.º, n.º 4, do RGPD).
7. Transferências internacionais
7.1 As transferências indicadas no Anexo 2 ficam autorizadas com base na garantia indicada para cada uma: uma decisão de adequação, o EU-U.S. Data Privacy Framework ou as cláusulas contratuais-tipo (Decisão de Execução (UE) 2021/914 da Comissão) incluídas nos termos do Subcontratante Ulterior.
7.2 Qualquer nova transferência segue a cláusula 6.2.
8. Direitos dos titulares
8.1 O Subcontratante presta assistência à Empresa, através de medidas técnicas e organizativas adequadas, para responder aos pedidos dos Titulares dos dados.
8.2 Se um Titular dos dados contactar o Subcontratante sobre Dados Pessoais da Empresa, o Subcontratante encaminha o pedido para a Empresa sem demora injustificada e não lhe responde diretamente, salvo por instrução da Empresa ou por obrigação legal.
9. Violações de dados pessoais
9.1 O Subcontratante notifica a Empresa sem demora injustificada e, em qualquer caso, no prazo de 48 horas depois de ter conhecimento de uma Violação de dados pessoais que afete Dados Pessoais da Empresa, com a informação exigida pelo artigo 33.º, n.º 3, do RGPD na medida em que esteja disponível, e presta a restante logo que possível.
9.2 O Subcontratante coopera com a Empresa para investigar, atenuar e corrigir a violação.
10. Assistência
O Subcontratante presta assistência à Empresa no cumprimento das obrigações dos artigos 32.º a 36.º do RGPD (segurança, notificação de violações, avaliações de impacto e consulta prévia), tendo em conta a natureza do tratamento e a informação ao dispor do Subcontratante.
11. Apagamento ou devolução
11.1 Conservação por omissão. É a Empresa que decide durante quanto tempo o Subcontratante conserva os Dados Pessoais da Empresa. Salvo instrução em contrário da Empresa, o Subcontratante conserva-os até ao fim do Contrato Principal. Para esta cláusula, o Contrato Principal termina quando a Empresa não tem nenhum produto ativo e passaram 90 dias desde que expirou o seu último direito de utilização; no Finisher Feedback, o direito de utilização de uma edição dura até três meses depois da data de fim dessa edição. Recomendamos que a Empresa nos peça para apagar os dados dos convidados assim que deixar de precisar de contactar os participantes.
11.2 Apagamento. No prazo de 30 dias depois (a) do pedido da Empresa, para uma edição ou para todos os seus dados, ou (b) do fim do Contrato Principal, o Subcontratante, à escolha da Empresa, apaga ou devolve os Dados Pessoais da Empresa e apaga as cópias existentes, salvo se o direito da União ou de um Estado-Membro exigir a sua conservação. O apagamento abrange a lista de convidados, a lista de participantes, o nome e o email dos convidados copiados para cada resposta, e os contactos guardados pelo Subcontratante Ulterior de email.
11.3 Respostas e avaliações. As respostas e as avaliações publicadas não são apagadas: o Subcontratante retira o nome e o email que identificam o participante e conserva o resto. O Subcontratante pode conservar, como responsável independente, o mínimo de dados necessário para manter a ligação de uma avaliação publicada à lista de participantes (um registo de participação pseudonimizado, sem nome nem email), enquanto a avaliação estiver publicada.
11.4 A pedido, o Subcontratante confirma por escrito que cumpriu esta cláusula e descreve os dados conservados ao abrigo da cláusula 11.3.
12. Informação e auditorias
O Subcontratante disponibiliza à Empresa toda a informação necessária para demonstrar o cumprimento do artigo 28.º do RGPD e permite e contribui para auditorias, incluindo inspeções, feitas pela Empresa ou por um auditor por ela mandatado, com aviso prévio razoável e a expensas da Empresa, no máximo uma vez por ano, salvo se uma violação ou uma autoridade de controlo o exigirem.
13. Duração
Este Acordo vigora enquanto o Subcontratante tratar Dados Pessoais da Empresa ao abrigo do Contrato Principal; as cláusulas 9, 11 e 12 mantêm-se até os dados serem apagados ou devolvidos.
14. Alterações
14.1 O Subcontratante pode alterar este Acordo ou o Anexo 2, avisando a Empresa por email com pelo menos 30 dias de antecedência em relação à data em que a alteração produz efeitos. Se a Empresa não concordar, pode rescindir o serviço afetado antes dessa data, sem custos, e receber o reembolso proporcional dos montantes pagos por serviços ainda não prestados.
14.2 As alterações exigidas por lei produzem efeitos na data que a lei determinar.
15. Prevalência
Em caso de conflito com o Contrato Principal, este Acordo prevalece quanto ao tratamento dos Dados Pessoais da Empresa.
16. Lei aplicável e foro
16.1 Lei portuguesa.
16.2 Os tribunais do domicílio do réu.
17. Línguas
Este Acordo existe em português e em inglês. Em caso de divergência entre as duas versões, prevalece a versão portuguesa.
Anexo 1. Detalhes do tratamento
| Elemento | Descrição |
|---|---|
| Objeto e finalidade | Envio, em nome da Empresa, de convites de feedback aos participantes das suas provas; recolha, classificação e tradução das respostas; elaboração de relatórios para a Empresa |
| Duração | Até ao fim do Contrato Principal ou a pedido anterior da Empresa; depois aplica-se a cláusula 11 |
| Titulares dos dados | Participantes da lista fornecida pela Empresa |
| Dados pessoais | Da lista de participantes: nome próprio, apelido, endereço de email, dorsal. Respostas, classificações e texto livre; traduções automáticas do título e do texto. Para cada convite: quando foi enviado, entregue, devolvido e clicado. |
| Categorias especiais | A Empresa não dá instruções para tratar categorias especiais de dados. As respostas em texto livre podem mencionar, por acaso, a saúde (por exemplo, uma lesão). O Subcontratante trata esse texto apenas como parte da resposta e não o usa para definir perfis de ninguém. A Empresa vê o texto completo de cada resposta. |
| Operações de tratamento | Conservação; envio de emails; etiquetas por IA (desligadas por omissão) e sugestões de resposta; tradução; relatórios; conservação de exportações de relatórios e de ficheiros de prova de disputas |
Anexo 2. Subcontratantes Ulteriores autorizados
| Subcontratante Ulterior | Função | Local | Garantia de transferência |
|---|---|---|---|
| DigitalOcean, LLC | Servidor da aplicação (API) | Frankfurt (UE), região fra1 | EU-U.S. Data Privacy Framework |
| Supabase, Inc. | Base de dados e autenticação | Frankfurt (UE) | Dados alojados na UE |
| Resend (através do Amazon SES) | Envio de emails de convite e de aviso | Irlanda (UE), eu-west-1 | Resend: EU-U.S. Data Privacy Framework |
| Anthropic Ireland, Limited | Etiquetas por IA das respostas e sugestões de resposta (não está ativo hoje; autorizado para quando for ligado) | UE / EUA | Cláusulas contratuais-tipo (DPA da Anthropic) |
| OpenAI Ireland Ltd. | Tradução das respostas; notas quando a Empresa resolve um alerta sobre uma resposta | UE / EUA | Cláusulas contratuais-tipo (DPA da OpenAI) |
| Cloudflare, Inc. | Rede, CDN e firewall (dados em trânsito, não guardados); alojamento das aplicações web; armazenamento de ficheiros de exportações de relatórios e de provas de disputas (R2) | Rede global; R2 com indicação de localização na Europa Ocidental (não a jurisdição UE do R2) | EU-U.S. Data Privacy Framework |
Anexo 3. Medidas de segurança (resumo)
| Medida | Estado |
|---|---|
| Cifra em trânsito (TLS) em todas as ligações à API, às aplicações e à base de dados | Em vigor |
| Cifra em repouso | Assegurada pelos fornecedores de infraestrutura (base de dados e ficheiros); sem cifra adicional de emails ou respostas na aplicação |
| Controlo de acessos por empresa e por função (administração, operações, só leitura) na API | Em vigor |
| Segurança ao nível das linhas nas tabelas da base de dados; tabelas novas restritas à função de serviço | Em vigor |
| Área de administração interna atrás de um controlo de acesso (Cloudflare Access) | Em vigor |
| Segredos guardados como variáveis de ambiente, fora do repositório de código | Em vigor |
| Registo só de acrescento das alterações às listas de participantes (o email só como impressão digital SHA-256) e registo de algumas ações de administração | Em vigor |
| Apagamento a pedido e no fim do contrato | Feito pelo Subcontratante nos prazos da cláusula 11; automatização em curso |
| Cópias de segurança | Asseguradas pelo plano do fornecedor da base de dados |