Aplica-se a todos os serviços em que tratamos dados por sua conta (Anexo 1: hoje, o Finisher Feedback e as listas de participantes). Este acordo faz parte dos Termos de Serviço que aceitou. A aceitação eletrónica tem o valor de um contrato escrito (RGPD, art. 28.º, n.º 9). Precisa de uma cópia assinada? Escreva para support@sportingscouter.com.
Este Acordo de Tratamento de Dados («Acordo») faz parte dos Termos de Serviço da Sporting Scouter («Contrato Principal») e é celebrado entre:
a entidade que aceita o Contrato Principal e é responsável pelo tratamento dos dados dos participantes que fornece («Empresa»); e
Daniel Sousa, empresário em nome individual, NIF PT229306535, com domicílio fiscal em Rua das Escolas 148, 4520-322 Fornos, Santa Maria da Feira, Aveiro, Portugal, com o nome comercial Sporting Scouter («Subcontratante»).
Aceitação. A Empresa aceita este Acordo por via eletrónica, ao marcar a caixa de aceitação no registo ou na página de pagamento. O Subcontratante regista o utilizador, a data e a hora e a versão aceite. A forma eletrónica cumpre o artigo 28.º, n.º 9, do RGPD.
1. Definições
1.1 «RGPD» é o Regulamento (UE) 2016/679. «UK GDPR» é o RGPD tal como mantido no direito do Reino Unido. «Legislação de Proteção de Dados» é o RGPD, o UK GDPR quando aplicável, e as leis nacionais que os executam ou completam.
1.2 «Dados Pessoais da Empresa» são os dados pessoais descritos no Anexo 1 que o Subcontratante trata por conta da Empresa nos Serviços Abrangidos.
1.3 «Subcontratante Ulterior» é qualquer terceiro a quem o Subcontratante recorre para tratar Dados Pessoais da Empresa.
1.4 «Responsável pelo tratamento», «Subcontratante», «Titular dos dados», «Dados pessoais», «Violação de dados pessoais», «Tratamento» e «Autoridade de controlo» têm o sentido que lhes dá o RGPD.
1.5 «Serviços Abrangidos» são os serviços descritos no Anexo 1, em que o Subcontratante trata dados pessoais por conta da Empresa.
2. Âmbito
2.1 Este Acordo aplica-se a todos os Serviços Abrangidos. O Anexo 1 tem uma parte por serviço, com a finalidade, os titulares, os dados, as operações e a conservação; o Anexo 2 indica quais os Subcontratantes Ulteriores que intervêm em cada serviço.
2.2 Este Acordo não se aplica ao seguinte, em que o Subcontratante atua como responsável pelo tratamento independente, nos termos da sua própria Política de Privacidade: (a) avaliações que os participantes submetem diretamente no site do Subcontratante ou por ligação pública ou código QR («Avaliações Espontâneas»); (b) comentários públicos nas redes sociais recolhidos para o Social Debrief; (c) os dados da conta, de faturação e de contacto da Empresa; (d) a apresentação de avaliações no site da Empresa através do widget; (e) a contagem agregada de visitas prevista na cláusula 3.6.
2.3 Quando o Subcontratante lançar um serviço novo em que trate dados por conta da Empresa, acrescenta-lhe uma parte no Anexo 1 antes de o disponibilizar. Essa parte aplica-se à Empresa a partir do momento em que contrata ou começa a usar o serviço novo. As alterações às partes já existentes seguem a cláusula 14.
3. Tratamento segundo instruções documentadas
3.1 O Subcontratante só trata os Dados Pessoais da Empresa segundo instruções documentadas da Empresa, incluindo quanto a transferências, salvo se for obrigado a fazê-lo pelo direito da União ou de um Estado-Membro; nesse caso, informa a Empresa dessa obrigação antes do tratamento, salvo se essa lei o proibir.
3.2 A Empresa dá instruções ao Subcontratante para tratar os Dados Pessoais da Empresa para prestar os Serviços Abrangidos, como descrito no Contrato Principal e no Anexo 1.
3.3 Comparação das Avaliações Espontâneas com a lista. A Empresa dá instruções ao Subcontratante para comparar o dorsal e o endereço de email indicados numa Avaliação Espontânea sobre uma prova da Empresa com a lista de participantes, e autoriza o Subcontratante a registar o resultado (coincide ou não coincide) para o seu próprio tratamento das Avaliações Espontâneas, como responsável pelo tratamento independente, incluindo indicar no seu site e no widget que a avaliação está ligada à lista. A lista de participantes não é usada para mais nenhuma finalidade. A Empresa informa os seus participantes desta utilização no seu próprio aviso de privacidade.
3.4 O Subcontratante informa imediatamente a Empresa se, no seu entender, uma instrução violar a Legislação de Proteção de Dados.
3.5 O Subcontratante não usa os Dados Pessoais da Empresa para treinar modelos de inteligência artificial e exige o mesmo aos seus Subcontratantes Ulteriores.
3.6 Contagem agregada de visitas. Fora do âmbito deste Acordo (cláusula 2.2, alínea (e)), o Subcontratante conta, como responsável pelo tratamento independente, as visitas às páginas dos inquéritos, de forma agregada e sem cookies (Cloudflare Web Analytics), para operar e melhorar o serviço. Não regista os parâmetros dos URLs, não liga estes dados a participantes e não os usa para publicidade.
4. Confidencialidade
O Subcontratante garante que as pessoas autorizadas a tratar os Dados Pessoais da Empresa estão vinculadas à confidencialidade e só acedem ao estritamente necessário.
5. Segurança
O Subcontratante aplica medidas técnicas e organizativas adequadas, nos termos do artigo 32.º do RGPD, incluindo as descritas no Anexo 3.
6. Subcontratantes Ulteriores
6.1 A Empresa dá uma autorização geral por escrito para o Subcontratante recorrer aos Subcontratantes Ulteriores indicados no Anexo 2.
6.2 O Subcontratante avisa a Empresa por email, pelo menos 30 dias antes de acrescentar ou substituir um Subcontratante Ulterior. A Empresa pode opor-se nesse prazo, com fundamentos razoáveis de proteção de dados. Se as partes não chegarem a acordo sobre a oposição, a Empresa pode rescindir o serviço afetado e receber o reembolso proporcional dos montantes pagos por serviços ainda não prestados.
6.3 O Subcontratante impõe a cada Subcontratante Ulterior, por contrato, as mesmas obrigações de proteção de dados deste Acordo, em especial garantias suficientes de medidas técnicas e organizativas adequadas. O Subcontratante continua plenamente responsável perante a Empresa pelo cumprimento das obrigações dos seus Subcontratantes Ulteriores (artigo 28.º, n.º 4, do RGPD).
7. Transferências internacionais
7.1 As transferências indicadas no Anexo 2 ficam autorizadas com base na garantia indicada para cada uma: uma decisão de adequação, o EU-U.S. Data Privacy Framework ou as cláusulas contratuais-tipo (Decisão de Execução (UE) 2021/914 da Comissão) incluídas nos termos do Subcontratante Ulterior.
7.2 Qualquer nova transferência segue a cláusula 6.2.
8. Direitos dos titulares
8.1 O Subcontratante presta assistência à Empresa, através de medidas técnicas e organizativas adequadas, para responder aos pedidos dos Titulares dos dados.
8.2 Se um Titular dos dados contactar o Subcontratante sobre Dados Pessoais da Empresa, o Subcontratante encaminha o pedido para a Empresa sem demora injustificada e não lhe responde diretamente, salvo por instrução da Empresa ou por obrigação legal.
9. Violações de dados pessoais
9.1 O Subcontratante notifica a Empresa sem demora injustificada e, em qualquer caso, no prazo de 48 horas depois de ter conhecimento de uma Violação de dados pessoais que afete Dados Pessoais da Empresa, com a informação exigida pelo artigo 33.º, n.º 3, do RGPD na medida em que esteja disponível, e presta a restante logo que possível.
9.2 O Subcontratante coopera com a Empresa para investigar, atenuar e corrigir a violação.
10. Assistência
O Subcontratante presta assistência à Empresa no cumprimento das obrigações dos artigos 32.º a 36.º do RGPD (segurança, notificação de violações, avaliações de impacto e consulta prévia), tendo em conta a natureza do tratamento e a informação ao dispor do Subcontratante.
11. Apagamento ou devolução
11.1 Conservação por omissão. É a Empresa que decide durante quanto tempo o Subcontratante conserva os Dados Pessoais da Empresa. Salvo instrução em contrário da Empresa, o Subcontratante conserva-os até ao fim do Contrato Principal. Para esta cláusula, o Contrato Principal termina quando a Empresa não tem nenhum produto ativo e passaram 90 dias desde que expirou o seu último direito de utilização; no Finisher Feedback, o direito de utilização de uma edição dura até três meses depois da data de fim dessa edição. Se a Empresa só usar o serviço do Anexo 1B, o Contrato Principal termina quando encerra a conta. Recomenda-se que a Empresa peça ao Subcontratante que apague os dados dos convidados assim que deixar de precisar de contactar os participantes.
11.2 Apagamento. No prazo de 30 dias após (a) o pedido da Empresa, para uma edição ou para todos os seus dados, ou (b) o fim do Contrato Principal, o Subcontratante, à escolha da Empresa, apaga ou devolve os Dados Pessoais da Empresa e apaga as cópias existentes, salvo se o direito da União ou de um Estado-Membro exigir a sua conservação. O apagamento abrange a lista de convidados, a lista de participantes, o nome e o email dos convidados copiados para cada resposta, e os contactos guardados pelo Subcontratante Ulterior de envio de emails.
11.3 Respostas e avaliações. As respostas e as avaliações publicadas não são apagadas: o Subcontratante retira o nome e o email que identificam o participante e conserva o resto. O Subcontratante pode conservar, como responsável pelo tratamento independente, o mínimo de dados necessário para manter a ligação de uma avaliação publicada à lista de participantes (um registo de participação pseudonimizado, sem nome nem email), enquanto a avaliação estiver publicada.
11.4 A pedido, o Subcontratante confirma por escrito que cumpriu esta cláusula e descreve os dados conservados ao abrigo da cláusula 11.3.
12. Informação e auditorias
O Subcontratante disponibiliza à Empresa toda a informação necessária para demonstrar o cumprimento do artigo 28.º do RGPD e permite e contribui para auditorias, incluindo inspeções, feitas pela Empresa ou por um auditor por ela mandatado, com aviso prévio razoável e a expensas da Empresa, no máximo uma vez por ano, salvo se uma violação ou uma autoridade de controlo o exigirem.
13. Duração
Este Acordo vigora enquanto o Subcontratante tratar Dados Pessoais da Empresa ao abrigo do Contrato Principal; as cláusulas 9, 11 e 12 mantêm-se até os dados serem apagados ou devolvidos.
14. Alterações
14.1 O Subcontratante pode alterar este Acordo ou os seus Anexos, avisando a Empresa por email com pelo menos 30 dias de antecedência em relação à data em que a alteração produz efeitos. Se a Empresa não concordar, pode rescindir o serviço afetado antes dessa data, sem custos, e receber o reembolso proporcional dos montantes pagos por serviços ainda não prestados.
14.2 As alterações exigidas por lei produzem efeitos na data que a lei determinar.
15. Prevalência
Em caso de conflito com o Contrato Principal, este Acordo prevalece quanto ao tratamento dos Dados Pessoais da Empresa.
16. Lei aplicável e foro
16.1 Aplica-se a lei portuguesa.
16.2 São competentes os tribunais do domicílio do réu.
17. Línguas
Este Acordo existe em português e em inglês. Em caso de divergência entre as duas versões, prevalece a versão portuguesa.
Anexo 1. Serviços Abrangidos e detalhes do tratamento
1A. Finisher Feedback (inclui os packs de convites)
| Elemento | Descrição |
|---|---|
| Objeto e finalidade | Envio, em nome da Empresa, de convites de feedback aos participantes das suas provas; recolha, classificação e tradução das respostas; elaboração de relatórios para a Empresa |
| Duração | Até ao fim do Contrato Principal ou até um pedido anterior da Empresa; depois aplica-se a cláusula 11 |
| Titulares dos dados | Participantes da lista fornecida pela Empresa |
| Dados pessoais | Da lista de participantes: nome próprio, apelido, endereço de email, dorsal. Respostas, classificações e texto livre; traduções automáticas do título e do texto. Para cada convite: quando foi enviado, entregue, devolvido e clicado. |
| Categorias especiais | A Empresa não dá instruções para tratar categorias especiais de dados. As respostas em texto livre podem mencionar, por acaso, a saúde (por exemplo, uma lesão). O Subcontratante trata esse texto apenas como parte da resposta e não o usa para definir perfis de ninguém. A Empresa vê o texto completo de cada resposta. |
| Operações de tratamento | Conservação; envio de emails; etiquetas por IA (desligadas por omissão) e sugestões de resposta; tradução; relatórios; conservação de exportações de relatórios e de ficheiros de prova de disputas |
1B. Listas de participantes e ligação das avaliações
Aplica-se sempre que a Empresa carrega uma lista de participantes, com ou sem Finisher Feedback.
| Elemento | Descrição |
|---|---|
| Objeto e finalidade | Guardar a lista de participantes de cada prova por conta da Empresa; usá-la nos convites do Finisher Feedback, quando a Empresa o contrata; comparar as Avaliações Espontâneas com a lista, nos termos da cláusula 3.3. O resultado da comparação é usado pelo Subcontratante, como responsável pelo tratamento independente, para indicar no seu site e no widget que uma avaliação está ligada à lista |
| Duração | Até ao fim do Contrato Principal ou até um pedido anterior da Empresa; depois aplica-se a cláusula 11 |
| Titulares dos dados | Participantes da lista fornecida pela Empresa |
| Dados pessoais | Os campos que a Empresa carrega: nome próprio, apelido, endereço de email, dorsal, guardados em claro ou com o email apenas como valor de hash (HMAC-SHA256), conforme a forma de carregamento. Os convites do Finisher Feedback exigem o email em claro |
| Categorias especiais | Nenhuma: a Empresa só carrega os campos indicados acima |
| Operações de tratamento | Conservação; comparação com as Avaliações Espontâneas; registo do resultado da comparação (coincide ou não coincide) |
Anexo 2. Subcontratantes Ulteriores autorizados
| Subcontratante Ulterior | Função | Serviços (Anexo 1) | Local | Garantia de transferência |
|---|---|---|---|---|
| DigitalOcean, LLC | Servidor da aplicação (API) | 1A, 1B | Frankfurt (UE), região fra1 | EU-U.S. Data Privacy Framework |
| Supabase, Inc. | Base de dados e autenticação | 1A, 1B | Frankfurt (UE) | Dados alojados na UE |
| Resend (através do Amazon SES) | Envio de emails de convite e de aviso | 1A | Irlanda (UE), eu-west-1 | Resend: EU-U.S. Data Privacy Framework |
| Anthropic Ireland, Limited | Etiquetas por IA das respostas e sugestões de resposta (não está ativo hoje; autorizado para quando for ligado) | 1A | UE / EUA | Cláusulas contratuais-tipo (DPA da Anthropic) |
| OpenAI Ireland Ltd. | Tradução das respostas; notas quando a Empresa resolve um alerta sobre uma resposta | 1A | UE / EUA | Cláusulas contratuais-tipo (DPA da OpenAI) |
| Cloudflare, Inc. | Rede, CDN e firewall (dados em trânsito, não guardados); alojamento das aplicações web; armazenamento de ficheiros de exportações de relatórios e de provas de disputas (R2) | 1A, 1B | Rede global; R2 com indicação de localização na Europa Ocidental (não a jurisdição UE do R2) | EU-U.S. Data Privacy Framework |
Anexo 3. Medidas de segurança (resumo)
| Medida | Estado |
|---|---|
| Cifra em trânsito (TLS) em todas as ligações à API, às aplicações e à base de dados | Em vigor |
| Cifra em repouso | Assegurada pelos fornecedores de infraestrutura (base de dados e ficheiros); sem cifra adicional de emails ou respostas na aplicação |
| Controlo de acessos por empresa e por função (administração, operações, só leitura) na API | Em vigor |
| Segurança ao nível das linhas nas tabelas da base de dados; tabelas novas restritas à função de serviço | Em vigor |
| Área de administração interna protegida por um controlo de acesso (Cloudflare Access) | Em vigor |
| Segredos guardados como variáveis de ambiente, fora do repositório de código | Em vigor |
| Registo das alterações às listas de participantes em que só se acrescentam entradas (o email apenas sob a forma de hash com chave, HMAC-SHA256) e registo de algumas ações de administração | Em vigor |
| Apagamento a pedido e no fim do contrato | Feito pelo Subcontratante nos prazos da cláusula 11; automatização em curso |
| Cópias de segurança | Asseguradas pelo plano do fornecedor da base de dados |