Acordo de Tratamento de Dados

Partes e âmbito

Este Acordo é celebrado entre o Responsável pelo Tratamento (o clube, o treinador ou a pessoa que cria uma conta no My Team Manager e nela introduz dados de atletas, de encarregados de educação e de equipa técnica) e o Subcontratante, que presta o serviço:

• Nome: João Carlos Neves Leonardo
• NIF: 269514686
• Localidade: Odivelas
• Forma jurídica: Empresário em nome individual
• Email: geral@myteammanager.pt

O Acordo faz parte dos Termos e Condições e considera-se celebrado com a criação da conta. Aplica-se a todos os dados pessoais que o Responsável introduz na aplicação e de que nós somos apenas depositários. Não se aplica aos dados da própria conta (email, faturação), de que somos nós o responsável: esses estão descritos na Política de Privacidade.

Objeto, natureza e duração do tratamento

• Objeto: alojar, guardar, apresentar, exportar e eliminar os dados que o Responsável introduz para gerir as suas equipas, e enviar em seu nome as comunicações que ele ordena a partir da aplicação (por exemplo, uma convocatória por email aos encarregados de educação).
• Natureza: tratamento automatizado, por meio de uma aplicação web alojada em Portugal. Não há tratamento manual dos dados pela nossa parte, salvo para apoio técnico pedido pelo Responsável.
• Finalidade: exclusivamente a prestação do serviço descrito nos Termos. Nunca publicidade, perfis comerciais, treino de modelos ou cedência a terceiros.
• Titulares: atletas (na maioria menores), encarregados de educação, treinadores adjuntos, delegados e outros contactos da equipa.
• Categorias de dados: as listadas na secção «Que dados são tratados» da Política de Privacidade: identificação, contactos, fotografia, dados desportivos e os documentos que o Responsável carregar. Dados de saúde só se o Responsável os carregar como documento, e nesse caso com acesso restrito ao Treinador Principal.
• Duração: enquanto a conta existir, e durante o período de 90 dias após o cancelamento previsto na secção «Fim do tratamento».

Instruções do responsável

Tratamos os dados apenas mediante instruções documentadas do Responsável. Essas instruções são: os Termos e Condições, a Política de Privacidade, este Acordo e as ações que o Responsável executa na própria aplicação: criar uma ficha, carregar uma fotografia, enviar uma convocatória, exportar, eliminar. Instruções adicionais fazem-se por escrito, para geral@myteammanager.pt.

Se uma instrução nos parecer violar o RGPD ou outra norma de proteção de dados, avisamos o Responsável de imediato e podemos suspender a sua execução até ele a confirmar ou retirar.

Só tratamos dados fora das instruções quando a lei da União Europeia ou de um Estado-membro nos obrigar, e nesse caso informamos o Responsável antes, a não ser que essa mesma lei o proíba.

Confidencialidade

Quem trabalha connosco e tem acesso aos dados está vinculado a um dever de confidencialidade, por contrato ou por lei, e só acede ao estritamente necessário para operar o serviço ou responder a um pedido de apoio do Responsável. O acesso administrativo à infraestrutura é restrito e as ações sensíveis ficam em registo de auditoria.

Medidas de segurança

Aplicamos as medidas técnicas e organizativas descritas na secção «Segurança» da Política de Privacidade, que aqui se dão como reproduzidas. Em resumo:

• Isolamento por conta imposto pela própria base de dados (Row Level Security);
• Encriptação em trânsito (HTTPS/TLS) em todo o tráfego;
• Palavras-passe guardadas em hash; sessão por cookie httpOnly;
• Remoção de metadados (EXIF, GPS) das fotografias carregadas;
• Permissões por papel; documentos de atletas visíveis só ao Treinador Principal;
• Cópias de segurança diárias, encriptadas antes de saírem do servidor, com rotação de 7 diárias, 4 semanais e 6 mensais;
• Registo de auditoria das ações sensíveis, conservado 24 meses.

Podemos melhorar estas medidas a qualquer momento; não as reduzimos sem avisar o Responsável com 30 dias de antecedência.

Subcontratantes ulteriores

O Responsável dá-nos autorização geral para recorrer a outros subcontratantes na prestação do serviço, nas seguintes condições:

• A lista em vigor está sempre publicada na secção «Com quem partilhamos» da Política de Privacidade;
• Antes de acrescentar ou substituir um subcontratante, avisamos o Responsável por email com 30 dias de antecedência;
• O Responsável pode opor-se, por escrito, dentro desse prazo. Se a oposição for fundada e não houver alternativa razoável, pode resolver o contrato sem penalização e exportar os seus dados antes de a mudança produzir efeitos;
• Impomos a cada subcontratante ulterior, por contrato, obrigações de proteção de dados equivalentes às deste Acordo, e continuamos responsáveis perante o Responsável pelo cumprimento delas.

Assistência ao responsável

Tendo em conta a natureza do tratamento, ajudamos o Responsável a:

• Responder aos titulares: um encarregado de educação que queira aceder, corrigir ou apagar os dados do seu educando dirige-se ao Responsável; a aplicação dá-lhe as ferramentas para o fazer sozinho e, se um pedido nos chegar a nós, encaminhamo-lo e apoiamos, como descrito na secção Dados de menores da Política de Privacidade;
• Cumprir os artigos 32.º a 36.º do RGPD (segurança, notificação de violações, avaliação de impacto e consulta prévia) fornecendo a informação de que dispomos sobre o tratamento;
• Demonstrar conformidade, nos termos da secção «Informação e auditoria».

Esta assistência está incluída no preço do serviço quando for razoável. Pedidos que exijam trabalho fora do comum podem ser orçamentados antes de os executarmos.

Notificação de violações de dados

A notificação inclui, na medida do que soubermos no momento:

• A natureza da violação e as categorias e número aproximado de titulares e de registos;
• As consequências prováveis;
• As medidas tomadas ou propostas para lhe pôr fim e mitigar os efeitos;
• Um contacto para mais informação.

Se não tivermos toda a informação nas primeiras 24 horas, enviamos o que temos e completamos à medida que soubermos mais. Não comunicamos a violação aos titulares nem a autoridades em nome do Responsável sem instrução dele, salvo obrigação legal própria.

Fim do tratamento: exportação e eliminação

Quando a conta é cancelada, o Responsável mantém durante 90 dias o acesso de leitura e a possibilidade de exportar todos os dados num ficheiro, a partir da própria aplicação: equipas, atletas, equipa técnica, treinos, presenças, jogos, convocatórias, táticas e exercícios. É a devolução dos dados prevista no artigo 28.º, n.º 3, alínea g).

Findo esse prazo, ou antes se o Responsável o pedir por escrito, eliminamos de forma definitiva os dados e as cópias existentes: as fotografias e documentos apagam-se do armazenamento de imediato, e as cópias de segurança são rodadas segundo a política de 7 dias no servidor; cópias remotas encriptadas com 7 diárias, 4 semanais e 6 mensais, pelo que deixam de conter os dados no fim desse ciclo.

Excetuam-se os dados que a lei nos obrigue a conservar: os documentos fiscais relativos à subscrição, durante 10 anos. Esses são dados de que somos nós o responsável, não dados de atletas.

Informação e auditoria

Disponibilizamos ao Responsável a informação necessária para demonstrar o cumprimento deste Acordo: a Política de Privacidade, a descrição das medidas de segurança, a lista de subcontratantes e, a pedido, respostas por escrito a um questionário razoável de segurança e proteção de dados, uma vez por ano.

O Responsável, ou um auditor por ele mandatado e sujeito a confidencialidade, pode realizar uma auditoria documental com 30 dias de pré-aviso, em horário de expediente e sem perturbar o serviço aos outros clientes nem expor dados deles. Inspeções presenciais à infraestrutura só quando a lei ou uma autoridade de controlo o exigirem. Auditorias além de uma por ano, ou que exijam trabalho fora do comum, são suportadas pelo Responsável.

Transferências internacionais

Os dados dos atletas ficam alojados em Portugal e não são transferidos para fora da União Europeia. As únicas transferências para fora do Espaço Económico Europeu dizem respeito aos dados da própria conta (pagamentos com a Stripe, início de sessão opcional com o Google), assentam em cláusulas contratuais-tipo da Comissão Europeia e estão descritas na secção Onde ficam os dados da Política de Privacidade. Não fazemos transferências de dados de atletas para países terceiros sem instrução escrita do Responsável.

Responsabilidade e precedência

Cada parte responde pelos danos que causar por incumprimento das obrigações que o RGPD lhe atribui, nos termos do artigo 82.º. A limitação de responsabilidade dos Termos e Condições aplica-se a este Acordo na medida em que a lei o permita; nunca limita a responsabilidade perante os titulares dos dados.

Em caso de contradição entre este Acordo e os Termos, em matéria de proteção de dados prevalece este Acordo. Rege-se pela lei portuguesa. As alterações seguem o regime dos Termos: aviso por email com 30 dias de antecedência.

Contactos

Para instruções, pedidos de titulares, notificações ou cópias assinadas deste Acordo: geral@myteammanager.pt, em nome de João Carlos Neves Leonardo.

A autoridade de controlo em Portugal é a Comissão Nacional de Proteção de Dados (CNPD), www.cnpd.pt.