Acordo de Subcontratação (DPA)

1. Partes e âmbito

Responsável pelo tratamento («Responsável»): o titular da Conta Profissional, identificado pelos dados da conta; nas equipas, o Titular da equipa, tal como definido nos Termos. Subcontratante («nós»): Vasco José Cardoso Correia, empresário em nome individual, NIF 262045630, Rua de Campezinhos, 27, Lomba, 4600-663 Amarante, Portugal, que explora a MyFitnessClient ([email protected]).

Este DPA aplica-se aos dados pessoais que o Responsável regista ou recebe sobre os seus clientes e outras pessoas no acompanhamento («Dados do Responsável»), nos termos do artigo 28.º do Regulamento (UE) 2016/679 (RGPD).

Não estão abrangidos, porque neles somos responsáveis pelo tratamento e se regem pela Política de Privacidade: as contas e a faturação; a segurança e a análise de utilização da plataforma; o marketplace (perfis públicos, pedidos até serem aceites e contactos de visitantes até serem entregues ao Responsável); e os dados que um cliente regista na sua própria conta enquanto não estiver ligado a um profissional. Também não são nossos subcontratantes os serviços que o Responsável liga diretamente, ao abrigo de contrato próprio, como a sua conta Stripe, a sua conta Google Calendar ou as plataformas de vídeo cujos conteúdos incorpora.

2. Objeto, duração, natureza e finalidade

Tratamos os Dados do Responsável enquanto a sua conta existir e até ao fim dos prazos da secção 9, apenas para lhe prestar o Serviço descrito nos Termos: alojar, apresentar, calcular, transmitir e notificar, fazer cópias de segurança e eliminar esses dados, segundo as suas instruções. Não os usamos para fins próprios, nomeadamente publicidade, definição de perfis, venda ou treino de modelos de inteligência artificial. A única exceção são estatísticas agregadas e anónimas sobre a utilização do Serviço, que não identificam o Responsável nem os titulares.

3. Titulares e tipos de dados

Titulares: clientes e alunos do Responsável, com ou sem conta própria; pessoas que respondem aos seus formulários ou compram os seus cursos e pacotes; membros da sua equipa; visitantes que lhe deixam contactos no perfil público; terceiros mencionados em notas ou mensagens.

Dados: identificação e contactos; NIF e registos de pagamentos; medições, composição corporal, fotografias e vídeos; anamnese e questionários, que podem incluir dados de saúde; valores calculados a partir das medições (por exemplo IMC e composição corporal estimada); planos e registos de treino, nutrição, suplementação e hábitos; mensagens de texto e áudio e ficheiros; agenda; metadados de chamadas. Os dados de saúde são categorias especiais (artigo 9.º do RGPD).

4. Instruções

Tratamos os Dados do Responsável apenas com base nas suas instruções documentadas: os Termos, este DPA e a forma como usa e configura o Serviço. As instruções adicionais são dadas por escrito para [email protected]; as que vão além do funcionamento normal do Serviço e do previsto nos Termos e neste DPA dependem do nosso acordo e podem ser cobradas. Se formos obrigados por lei da União ou de um Estado-Membro a tratar os dados de outra forma, informamos o Responsável antes, salvo se a lei o proibir. Se considerarmos que uma instrução viola a lei de proteção de dados, informamos de imediato o Responsável; se ele a mantiver, podemos suspender o tratamento em causa e, persistindo, resolver o contrato.

O Responsável dá desde já estas instruções permanentes: (a) quando um cliente com conta própria elimina a conta, retiramos dos Dados do Responsável os dados de perfil desse cliente (nome, email, contactos, fotografia, data de nascimento, género, altura, peso, NIF e historial clínico), os registos do acompanhamento ficam na conta do Responsável, que decide se os apaga, e, se o acompanhamento estava a decorrer ou marcado, avisamos o Responsável, com o nome do cliente, de que a conta foi eliminada e o acompanhamento terminou; (b) as contas de clientes sem atividade durante 12 meses podem ser eliminadas nos termos da Política de Privacidade; (c) os ficheiros alojados podem ser eliminados 90 dias depois do fim de uma subscrição paga, nos termos da secção 9 dos Termos; (d) os contactos deixados por visitantes no perfil público são apagados um ano depois de recebidos.

5. Confidencialidade e acesso

Só acede aos Dados do Responsável o pessoal que precisa, vinculado a confidencialidade e ao dever de sigilo do artigo 29.º, n.º 4, da Lei n.º 58/2019. O acesso limita-se ao necessário para prestar, manter e proteger o Serviço (nomeadamente a pedido do Responsável ou do titular dos dados através do suporte, para investigar incidentes de segurança ou erros, ou para testar atualizações) ou para cumprir uma obrigação legal. Cada sessão em que o pessoal entra numa conta para dar assistência fica registada e é limitada no tempo; o que o pessoal guardar nessa sessão fica gravado na conta, como qualquer alteração. Nem essas sessões nem as ferramentas de administração mostram ficheiros privados (fotografias e documentos), salvo uma fotografia que estivesse no ecrã da aplicação móvel quando ocorreu um erro e que apareça na captura do relatório de erro; a aplicação não faz essa captura em ecrãs como o progresso, as avaliações, a anamnese e as mensagens.

6. Segurança

Aplicamos as medidas técnicas e organizativas do Anexo II, que revemos regularmente sem diminuir o nível global de proteção, tendo em conta o estado da técnica e o risco do tratamento, incluindo o tratamento de dados de saúde.

7. Subcontratantes ulteriores

O Responsável autoriza, de forma geral, os subcontratantes ulteriores do Anexo III. Avisamos o Responsável por email, com pelo menos 30 dias de antecedência, de qualquer acréscimo ou substituição, salvo numa substituição urgente por razões de segurança ou por cessação do serviço do fornecedor, em que avisamos logo que possível. O Responsável pode opor-se por motivos fundados de proteção de dados; se não encontrarmos solução, pode resolver o contrato sem penalização, com reembolso proporcional do período pago e exportação dos dados. Impomos a cada subcontratante ulterior obrigações de proteção de dados equivalentes às deste DPA e continuamos plenamente responsáveis perante o Responsável pelo seu cumprimento (artigo 28.º, n.º 4, do RGPD).

8. Assistência e violações de dados

Os pedidos de titulares que nos cheguem são reencaminhados ao Responsável sem demora injustificada; não lhes respondemos sem autorização, exceto para indicar a quem se devem dirigir. Disponibilizamos no Serviço ferramentas para consultar, retificar e apagar os dados de cada cliente e, a pedido, a sua exportação ou o seu apagamento completo. Ajudamos o Responsável, tendo em conta a natureza do tratamento e a informação de que dispomos, a cumprir as obrigações dos artigos 32.º a 36.º do RGPD (segurança, violações, avaliação de impacto e consulta prévia).

Em caso de violação de dados pessoais que afete os Dados do Responsável, notificamo-lo por email sem demora injustificada e, sempre que possível, no prazo de 48 horas após dela termos conhecimento, com a natureza da violação, as categorias e o número aproximado de titulares e registos afetados, o ponto de contacto, as consequências prováveis e as medidas tomadas ou propostas. A informação que ainda não estiver disponível é enviada por fases, sem demora injustificada.

9. Fim do tratamento

Enquanto a conta existir e depois do fim de uma subscrição paga, o Responsável pode pedir a exportação dos Dados do Responsável nos termos das secções 20 e 23 dos Termos. Quando a conta é eliminada, apagamos os Dados do Responsável no prazo de 30 dias, salvo conservação exigida por lei; o que ainda conste dos registos de auditoria e das cópias de segurança é apagado no fim dos prazos do Anexo II, e os relatórios de erro até 90 dias depois. Os dados que um cliente introduziu na sua própria conta mantêm-se nessa conta; a partir daí, deixam de ser Dados do Responsável e regem-se pela Política de Privacidade. Excetuam-se as fotografias e os ficheiros que o cliente enviou no acompanhamento do Responsável: ficam alojados na conta deste e são apagados com ela.

10. Informação e auditorias

Disponibilizamos ao Responsável a informação necessária para demonstrar o cumprimento do artigo 28.º do RGPD e permitimos auditorias, incluindo inspeções, feitas pelo Responsável ou por um auditor por ele escolhido e sujeito a confidencialidade. As auditorias são feitas com pré-aviso razoável, no máximo uma vez por ano, salvo indícios de incumprimento ou pedido da CNPD, em primeiro lugar através de documentação e questionários, e sem comprometer a segurança dos restantes clientes. São pagas pelo Responsável, salvo se se confirmar um incumprimento nosso. Disponibilizamos esta informação à autoridade de controlo quando pedida.

11. Transferências internacionais

Só transferimos Dados do Responsável para fora do Espaço Económico Europeu com as garantias do Capítulo V do RGPD. O Anexo III indica o local de cada subcontratante ulterior e, quando o tratamento ocorre fora do Espaço Económico Europeu, a garantia aplicável. Enviamos cópia das Cláusulas Contratuais-Tipo a pedido.

12. Obrigações do Responsável

Cabe ao Responsável: ter fundamento legal para cada tratamento e, para os dados de saúde, um fundamento do artigo 9.º, n.º 2, do RGPD (em regra o consentimento explícito do titular; os profissionais de saúde sujeitos a sigilo podem invocar a alínea h), com o n.º 3); informar os titulares (artigos 13.º e 14.º), incluindo as pessoas que regista sem conta própria; obter a autorização dos representantes legais de menores; garantir que os membros da sua equipa atuam sob a sua autoridade e com confidencialidade (artigo 29.º); fazer, quando exigida, a avaliação de impacto sobre a proteção de dados; e dar instruções lícitas.

13. Responsabilidade, prevalência e alterações

Os limites de responsabilidade dos Termos aplicam-se só entre as partes e não afetam os direitos dos titulares (artigo 82.º do RGPD). Em caso de conflito quanto ao tratamento dos Dados do Responsável, este DPA prevalece sobre os Termos. As alterações a este DPA seguem a secção 25 dos Termos. Este DPA rege-se pela lei portuguesa. As expressões não definidas têm o significado do RGPD.

Anexo I: Resumo do tratamento

Anexo II: Medidas técnicas e organizativas

• Servidores de produção alojados na União Europeia (Alemanha)
• Encriptação em trânsito (HTTPS/TLS) nas ligações pela Internet
• Palavras-passe com hash; segredos de dois fatores e ligações a serviços externos cifrados nos servidores
• Autenticação de dois fatores disponível para todas as contas
• Separação dos dados por conta e por equipa, com permissões configuráveis pelo Responsável
• Limites de tentativas, proteção anti-bot e monitorização de acessos
• Registos de auditoria de alterações (180 dias; 365 dias para conta e pagamentos) e de acessos de suporte (365 dias)
• Sessões de assistência dentro das contas, registadas e limitadas no tempo; nem elas nem as ferramentas de administração dão acesso a ficheiros privados, salvo o que estiver visível na captura de um relatório de erro da aplicação móvel
• Cópias de segurança da base de dados, apagadas por rotação, em regra ao fim de 30 dias
• Chamadas sem gravação; retransmissão e chamadas de grupo em servidores próprios
• Pessoal com acesso vinculado a confidencialidade

Anexo III: Subcontratantes ulteriores