Acordo de subcontratação (DPA)

1. Partes e âmbito

Responsável pelo tratamento («Responsável»): o titular da Conta Profissional, identificado pelos dados da conta; nas equipes, o Titular da equipe, tal como definido nos Termos. Subcontratante («nós»): Vasco José Cardoso Correia, empresário individual (empresário em nome individual, em Portugal), NIF 262045630, Rua de Campezinhos, 27, Lomba, 4600-663 Amarante, Portugal, que opera a MyFitnessClient ([email protected]).

Este DPA se aplica aos dados pessoais que o Responsável registra ou recebe sobre seus clientes e outras pessoas no acompanhamento («Dados do Responsável»), nos termos do artigo 28.º do Regulamento (UE) 2016/679 (RGPD).

Não estão abrangidos, porque neles somos responsáveis pelo tratamento e se regem pela Política de Privacidade: as contas e o faturamento; a segurança e a análise de uso da plataforma; o marketplace (perfis públicos, pedidos até serem aceitos e contatos de visitantes até serem entregues ao Responsável); e os dados que um cliente registra na sua própria conta enquanto não estiver vinculado a um profissional. Também não são nossos subcontratantes os serviços que o Responsável conecta diretamente, com base em contrato próprio, como a sua conta Stripe, a sua conta Google Calendar ou as plataformas de vídeo cujos conteúdos ele incorpora.

2. Objeto, duração, natureza e finalidade

Tratamos os Dados do Responsável enquanto a sua conta existir e até o fim dos prazos da seção 9, apenas para prestar a ele o Serviço descrito nos Termos: hospedar, apresentar, calcular, transmitir e notificar, fazer cópias de segurança e excluir esses dados, segundo as suas instruções. Não os usamos para fins próprios, nomeadamente publicidade, definição de perfis, venda ou treinamento de modelos de inteligência artificial. A única exceção são estatísticas agregadas e anônimas sobre o uso do Serviço, que não identificam o Responsável nem os titulares.

3. Titulares e tipos de dados

Titulares: clientes e alunos do Responsável, com ou sem conta própria; pessoas que respondem aos seus formulários ou compram os seus cursos e pacotes; membros da sua equipe; visitantes que deixam contatos para ele no perfil público; terceiros mencionados em notas ou mensagens.

Dados: identificação e contatos; NIF e registros de pagamentos; medições, composição corporal, fotos e vídeos; anamnese e questionários, que podem incluir dados de saúde; valores calculados a partir das medições (por exemplo, IMC e composição corporal estimada); planos e registros de treino, nutrição, suplementação e hábitos; mensagens de texto e áudio e arquivos; agenda; metadados de chamadas. Os dados de saúde são categorias especiais (artigo 9.º do RGPD).

4. Instruções

Tratamos os Dados do Responsável apenas com base nas suas instruções documentadas: os Termos, este DPA e a forma como ele usa e configura o Serviço. As instruções adicionais são dadas por escrito para [email protected]; as que vão além do funcionamento normal do Serviço e do previsto nos Termos e neste DPA dependem da nossa concordância e podem ser cobradas. Se formos obrigados por lei da União ou de um Estado-membro a tratar os dados de outra forma, informaremos o Responsável antes, salvo se a lei o proibir. Se considerarmos que uma instrução viola a lei de proteção de dados, informaremos imediatamente o Responsável; se ele a mantiver, podemos suspender o tratamento em causa e, persistindo a situação, resolver o contrato.

O Responsável dá desde já estas instruções permanentes: (a) quando um cliente com conta própria exclui a conta, retiramos dos Dados do Responsável os dados de perfil desse cliente (nome, e-mail, contatos, foto, data de nascimento, gênero, altura, peso, NIF e histórico clínico), os registros do acompanhamento ficam na conta do Responsável, que decide se os exclui, e, se o acompanhamento estava em andamento ou agendado, avisamos o Responsável, com o nome do cliente, de que a conta foi excluída e o acompanhamento foi encerrado; (b) as contas de clientes sem atividade durante 12 meses podem ser excluídas nos termos da Política de Privacidade; (c) os arquivos hospedados podem ser excluídos 90 dias depois do fim de uma assinatura paga, nos termos da seção 9 dos Termos; (d) os contatos deixados por visitantes no perfil público são excluídos um ano depois de recebidos.

5. Confidencialidade e acesso

Só acessa os Dados do Responsável o pessoal que precisa, vinculado à confidencialidade e ao dever de sigilo do artigo 29.º, n.º 4, da Lei n.º 58/2019. O acesso se limita ao necessário para prestar, manter e proteger o Serviço (notadamente a pedido do Responsável ou do titular dos dados por meio do suporte, para investigar incidentes de segurança ou erros, ou para testar atualizações) ou para cumprir uma obrigação legal. Cada sessão em que o pessoal entra em uma conta para dar assistência fica registrada e é limitada no tempo; o que o pessoal salvar nessa sessão fica gravado na conta, como qualquer alteração. Nem essas sessões nem as ferramentas de administração exibem arquivos privados (fotos e documentos), salvo uma foto que estivesse na tela do aplicativo móvel quando ocorreu um erro e que apareça na captura de tela do relatório de erro; o aplicativo não faz essa captura em telas como o progresso, as avaliações, a anamnese e as mensagens.

6. Segurança

Aplicamos as medidas técnicas e organizacionais do Anexo II, que revisamos regularmente sem diminuir o nível global de proteção, levando em conta o estado da técnica e o risco do tratamento, incluindo o tratamento de dados de saúde.

7. Subcontratantes ulteriores

O Responsável autoriza, de forma geral, os subcontratantes ulteriores do Anexo III. Avisamos o Responsável por e-mail, com pelo menos 30 dias de antecedência, de qualquer acréscimo ou substituição, salvo em uma substituição urgente por razões de segurança ou por encerramento do serviço do fornecedor, caso em que avisamos assim que possível. O Responsável pode se opor por motivos fundamentados de proteção de dados; se não encontrarmos solução, ele pode resolver o contrato sem penalidade, com reembolso proporcional do período pago e exportação dos dados. Impomos a cada subcontratante ulterior obrigações de proteção de dados equivalentes às deste DPA e continuamos plenamente responsáveis perante o Responsável pelo seu cumprimento (artigo 28.º, n.º 4, do RGPD).

8. Assistência e violações de dados

Os pedidos de titulares que chegarem até nós são encaminhados ao Responsável sem demora injustificada; não respondemos aos titulares sem autorização, exceto para indicar a quem devem se dirigir. Disponibilizamos no Serviço ferramentas para consultar, retificar e excluir os dados de cada cliente e, a pedido, a sua exportação ou a sua exclusão completa. Ajudamos o Responsável, levando em conta a natureza do tratamento e as informações de que dispomos, a cumprir as obrigações dos artigos 32.º a 36.º do RGPD (segurança, violações, avaliação de impacto e consulta prévia).

Em caso de violação de dados pessoais que afete os Dados do Responsável, nós o notificamos por e-mail sem demora injustificada e, sempre que possível, no prazo de 48 horas após tomarmos conhecimento dela, com a natureza da violação, as categorias e o número aproximado de titulares e registros afetados, o ponto de contato, as consequências prováveis e as medidas tomadas ou propostas. As informações que ainda não estiverem disponíveis são enviadas por etapas, sem demora injustificada.

9. Fim do tratamento

Enquanto a conta existir e depois do fim de uma assinatura paga, o Responsável pode pedir a exportação dos Dados do Responsável nos termos das seções 20 e 23 dos Termos. Quando a conta é excluída, excluímos os Dados do Responsável no prazo de 30 dias, salvo conservação exigida por lei; o que ainda constar dos registros de auditoria e das cópias de segurança é excluído no fim dos prazos do Anexo II, e os relatórios de erro até 90 dias depois. Os dados que um cliente inseriu na sua própria conta permanecem nessa conta; a partir daí, deixam de ser Dados do Responsável e se regem pela Política de Privacidade. Excetuam-se as fotos e os arquivos que o cliente enviou no acompanhamento do Responsável: ficam hospedados na conta deste e são excluídos com ela.

10. Informações e auditorias

Disponibilizamos ao Responsável as informações necessárias para demonstrar o cumprimento do artigo 28.º do RGPD e permitimos auditorias, incluindo inspeções, feitas pelo Responsável ou por um auditor escolhido por ele e sujeito a confidencialidade. As auditorias são feitas com aviso prévio razoável, no máximo uma vez por ano, salvo indícios de descumprimento ou pedido da CNPD, em primeiro lugar por meio de documentação e questionários, e sem comprometer a segurança dos demais clientes. São pagas pelo Responsável, salvo se for confirmado um descumprimento nosso. Disponibilizamos essas informações à autoridade de controle quando solicitadas.

11. Transferências internacionais

Só transferimos Dados do Responsável para fora do Espaço Econômico Europeu com as garantias do Capítulo V do RGPD. O Anexo III indica o local de cada subcontratante ulterior e, quando o tratamento ocorre fora do Espaço Econômico Europeu, a garantia aplicável. Enviamos cópia das Cláusulas Contratuais-Tipo a pedido.

12. Obrigações do Responsável

Cabe ao Responsável: ter fundamento legal para cada tratamento e, para os dados de saúde, um fundamento do artigo 9.º, n.º 2, do RGPD (em regra, o consentimento explícito do titular; os profissionais de saúde sujeitos a sigilo podem invocar a alínea h), com o n.º 3); informar os titulares (artigos 13.º e 14.º), incluindo as pessoas que registra sem conta própria; obter a autorização dos representantes legais de menores; garantir que os membros da sua equipe atuam sob a sua autoridade e com confidencialidade (artigo 29.º); fazer, quando exigida, a avaliação de impacto sobre a proteção de dados; e dar instruções lícitas.

13. Responsabilidade, prevalência e alterações

Os limites de responsabilidade dos Termos se aplicam só entre as partes e não afetam os direitos dos titulares (artigo 82.º do RGPD). Em caso de conflito quanto ao tratamento dos Dados do Responsável, este DPA prevalece sobre os Termos. As alterações a este DPA seguem a seção 25 dos Termos. Este DPA é regido pela lei portuguesa. As expressões não definidas têm o significado do RGPD.

Anexo I: Resumo do tratamento

Anexo II: Medidas técnicas e organizacionais

• Servidores de produção hospedados na União Europeia (Alemanha)
• Criptografia em trânsito (HTTPS/TLS) nas conexões pela internet
• Senhas com hash; segredos de dois fatores e conexões com serviços externos criptografados nos servidores
• Autenticação de dois fatores disponível para todas as contas
• Separação dos dados por conta e por equipe, com permissões configuráveis pelo Responsável
• Limites de tentativas, proteção anti-bot e monitoramento de acessos
• Registros de auditoria de alterações (180 dias; 365 dias para conta e pagamentos) e de acessos de suporte (365 dias)
• Sessões de assistência dentro das contas, registradas e limitadas no tempo; nem elas nem as ferramentas de administração dão acesso a arquivos privados, salvo o que estiver visível na captura de tela de um relatório de erro do aplicativo móvel
• Cópias de segurança do banco de dados, excluídas por rotação, em regra ao fim de 30 dias
• Chamadas sem gravação; retransmissão e chamadas em grupo em servidores próprios
• Pessoal com acesso vinculado à confidencialidade

Anexo III: Subcontratantes ulteriores