1. Partes e celebração
Este acordo é celebrado entre:
Cliente: a pessoa profissional ou entidade identificada na encomenda, no registo profissional ou no acordo de subscrição e no anexo I, representada pela pessoa com poderes suficientes que o aceita.
Fornecedor: Trainingforever OÜ, sociedade estónia inscrita no registo comercial com o código 16941437, número de IVA EE102717330, sede em Narva mnt 5, Kesklinna linnaosa, Tallinn, Harju maakond, 10117, Estonia e contacto de privacidade e segurança [email protected], doravante «TrainingForever».
O Cliente e a TrainingForever ficam vinculados por escrito, também através de aceitação eletrónica verificável. A encomenda, a identidade do aceitante, a sua representação, a versão integral deste acordo e os seus anexos devem ficar associados de forma a poderem ser consultados e conservados.
A aceitação ordinária de condições por um desportista não constitui a celebração deste DPA em nome do seu treinador ou clube. O acordo também não substitui a informação ou o consentimento dos desportistas.
2. Objeto, papéis e prevalência
Este acordo regula o tratamento de dados pessoais que a TrainingForever realiza por conta do Cliente para prestar as funções contratadas da TrainingForever, conforme o artigo 28 do Regulamento (UE) 2016/679, «RGPD».
O Cliente atua normalmente como responsável pelo tratamento e a TrainingForever como subcontratante. Se o Cliente atuar como subcontratante de outra entidade, a TrainingForever será subcontratante ulterior para esse tratamento. O Cliente identificará o responsável pelo tratamento originário e comprovará a autorização e as instruções necessárias. As obrigações serão interpretadas de modo a manterem a cadeia de proteção do artigo 28, sem atribuir ao Cliente poderes que não tenha.
Os dados de conta, faturação própria, segurança e outras operações que a TrainingForever determine legitimamente para finalidades próprias regem-se pela sua Política de privacidade. Os dados dos desportistas não se tornam finalidades próprias apenas por serem processados em infraestrutura da TrainingForever ou através de IA.
Se as partes determinarem conjuntamente finalidades e meios essenciais, deverão regular separadamente a responsabilidade conjunta do artigo 26. Este acordo não a substitui nem elimina a qualificação que corresponda aos factos.
Para os tratamentos incluídos, este DPA prevalece sobre cláusulas incompatíveis dos Termos de serviço ou da encomenda. As normas imperativas e as garantias válidas de transferências internacionais que sejam aplicáveis prevalecem sobre ambos.
3. Âmbito do tratamento por conta do Cliente e duração
O anexo I concretiza o objeto, duração, natureza, finalidade, categorias de pessoas e dados, operações, instruções e contactos. O anexo II contém as medidas de segurança exigíveis e o anexo III, os subcontratantes ulteriores autorizados e as transferências.
O tratamento começa quando exista um acordo válido e a informação seja disponibilizada ou recebida por conta do Cliente. Dura enquanto for necessário para o serviço contratado e, após o seu fim, unicamente para devolver, apagar ou conservar os dados por uma obrigação legal aplicável. As obrigações de confidencialidade e proteção subsistem enquanto forem conservados dados.
Não se autoriza o tratamento de categorias adicionais ou finalidades distintas pelo facto de poderem ser introduzidas tecnicamente num campo livre ou ficheiro.
Os limites de finalidade, comunicação e conservação do fornecedor de origem dos dados aplicar-se-ão também ao tratamento por conta do Cliente. Um prazo geral deste DPA não permite ultrapassar uma restrição mais exigente da origem.
4. Instruções documentadas
A TrainingForever tratará os dados exclusivamente seguindo instruções documentadas do Cliente, incluindo as relativas a destinatários, subcontratação e transferências, salvo se uma norma da União ou de um Estado-Membro a obrigar a outro tratamento. Nesse caso, informará previamente o Cliente dessa exigência, salvo proibição legal por razões importantes de interesse público.
São instruções documentadas este acordo, a encomenda e os seus anexos, a configuração válida de funções e permissões, as operações realizadas por pessoas autorizadas e os pedidos verificados pelos canais contratuais. A instrução deve estar dentro do âmbito do serviço e dos poderes de quem a emite.
Uma saída gerada por um modelo não é considerada, por si só, uma instrução autónoma e válida do Cliente. As ações do assistente ou de MCP exigem o contexto de autorização do utilizador e os controlos correspondentes. Não alargam as finalidades nem os destinatários aprovados.
Se a TrainingForever considerar que uma instrução infringe o RGPD ou outra norma aplicável de proteção de dados, comunicá-lo-á imediatamente ao Cliente e poderá suspender a operação afetada enquanto se esclarece. Não suspenderá tratamentos alheios sem necessidade proporcionada.
Se o cumprimento técnico de uma instrução exigir um alargamento do serviço, as partes acordarão o seu âmbito e custo quando aplicável. Isto não permite condicionar ou contornar obrigações legais essenciais através de custos desproporcionados.
5. Obrigações do Cliente
Cabe ao Cliente:
O Cliente não garante a inexistência absoluta de incidentes nem assume os incumprimentos próprios da TrainingForever. A existência de uma declaração do Cliente não exime a TrainingForever de informar sobre instruções ilícitas, aplicar segurança ou cumprir as suas obrigações legais.
6. Obrigações gerais da TrainingForever
A TrainingForever obriga-se a:
Se a TrainingForever determinar finalidades e meios próprios contrariando este acordo, assumirá o papel e as responsabilidades que legalmente lhe correspondam relativamente a esse tratamento. Nenhuma cláusula lhe permite alterar unilateralmente a finalidade do tratamento por conta do Cliente.
7. Confidencialidade e acesso do pessoal
A obrigação de confidencialidade mantém-se mesmo após terminar a relação laboral, profissional ou contratual. A TrainingForever deve limitar o acesso ao pessoal que precise dele para operar ou assistir no serviço, com atribuição individual, controlo e revisão de permissões.
O acesso de suporte a dados de saúde exige uma necessidade documentada e o âmbito mínimo. Não se autoriza o acesso habitual do pessoal a históricos por razões genéricas de qualidade, desenvolvimento ou formação. Os acessos privilegiados devem dispor de medidas reforçadas e rastreabilidade.
A divulgação imposta por uma autoridade limitar-se-á aos dados e ao âmbito legalmente exigíveis, com informação ao Cliente quando não esteja proibida e avaliação das impugnações ou salvaguardas legalmente aplicáveis.
8. IA, inferências e ferramentas
Só será utilizada IA sobre os dados do tratamento por conta do Cliente quando a função estiver contratada, o Cliente tiver dado uma instrução válida e existir a habilitação aplicável para os dados das pessoas afetadas. O consentimento de uma pessoa representante do Cliente não substitui o dessas pessoas.
O fornecedor de IA, qualquer intermediário de encaminhamento e os fornecedores finais que possam receber dados devem constar do anexo III antes da sua ativação. A autorização de um intermediário não implica autorizar qualquer modelo, destino ou país que este possa selecionar.
As entradas serão limitadas aos dados necessários. As mensagens, o histórico, o contexto e os resultados de ferramentas devem ser submetidos ao mesmo controlo: excluir nomes da mensagem inicial não basta se uma ferramenta devolver depois dados identificáveis ou de saúde. As inferências, os resumos e os resultados mantêm a proteção correspondente.
A conservação pelo fornecedor, registos de abuso, cache e subcontratação devem estar documentados e ser compatíveis com este acordo. A ausência de treino não equivale a retenção zero nem a armazenamento exclusivamente europeu.
As chamadas a ferramentas não receberão poderes superiores aos da conta autorizada. Serão aplicados os limites, validações e confirmações necessários, especialmente para alterações em massa, destruição, comunicações externas e dados sensíveis. O texto de terceiros importado não pode tornar-se uma autorização para executar ações ou revelar dados.
A IA do tratamento por conta do Cliente não será utilizada para decisões do artigo 22 com efeitos jurídicos ou significativamente semelhantes sem um acordo e informação específicos e uma avaliação prévia da licitude. A revisão humana deve ser efetiva quando exigida.
9. Serviços externos e MCP escolhidos pelo Cliente
Uma ligação a ChatGPT, Claude ou outro serviço externo pode gerar um fluxo distinto do fornecedor de IA integrado. Devem ser identificados destinatário, papel, plano contratual, permissões, dados, país e conservação antes de disponibilizar dados do tratamento por conta do Cliente.
Se esse serviço atuar como subcontratante ulterior contratado pela TrainingForever, é incorporado no anexo III e aplicam-se todas as obrigações de subcontratação. Se for contratado diretamente pelo Cliente, este deve formalizar a relação jurídica e as garantias necessárias e documentar a instrução de comunicação. A TrainingForever conserva as suas obrigações como subcontratante ao executar essa instrução e não entregará dados por uma ordem não autorizada ou manifestamente ilícita.
Não se presume que uma conta pessoal ou uma configuração predefinida de um cliente de IA externo seja adequada para dados de saúde de terceiros. A autorização técnica por MCP não habilita, por si só, uma nova finalidade, transferência ou tratamento de dados de saúde.
As restrições da origem dos dados devem ser respeitadas. Uma ligação não pode comunicar à IA ou a outros utilizadores informação que um fornecedor desportivo proíba utilizar dessa forma, mesmo que o Cliente o deseje fazer.
10. Subcontratantes ulteriores
O Cliente autoriza os subcontratantes ulteriores identificados e completados no anexo III e concede uma autorização geral para as suas alterações, sujeita ao seguinte procedimento. Uma lista vazia, de candidatos ou sem destinos relevantes não constitui uma autorização suficiente para a colocar em produção.
A TrainingForever notificará a incorporação ou substituição de um subcontratante ulterior com pelo menos 30 dias seguidos de antecedência, por um meio que permita conservar o aviso. A comunicação identificará entidade, serviço, dados, países e garantias suficientes para avaliar a alteração.
O Cliente poderá opor-se por motivos razoáveis de proteção de dados antes da ativação, preferencialmente nos primeiros 15 dias para facilitar a resolução. A TrainingForever não iniciará o novo acesso durante o pré-aviso. Uma objeção razoável pendente será abordada antes de lhe enviar os dados afetados.
As partes procurarão uma alternativa proporcionada. Se não existir solução compatível, o Cliente poderá terminar a parte afetada sem penalização, com devolução proporcional dos montantes antecipados do serviço não prestado e com devolução ou apagamento dos dados. A falta de resposta não é interpretada como consentimento para uma nova finalidade de saúde; este procedimento refere-se à subcontratação dentro do tratamento autorizado por conta do Cliente.
A TrainingForever formalizará com cada subcontratante ulterior um contrato que imponha, no que for pertinente, as mesmas obrigações de proteção, confidencialidade, segurança, assistência, apagamento e transferências. Verificará garantias suficientes e continuará a responder perante o Cliente pelo cumprimento das obrigações do subcontratante ulterior nos termos do artigo 28.4.
11. Localizações e transferências internacionais
As regiões de armazenamento, os países de acesso remoto e a subcontratação constarão do anexo III. Alterar uma região europeia não permite omitir a avaliação de suporte ou processamento fora do EEE.
Não serão realizadas transferências ou acessos a partir de um país terceiro sem instruções documentadas do Cliente e uma base válida do capítulo V do RGPD. Será verificada a adequação aplicável ao destino ou serão formalizadas garantias adequadas, com a avaliação e as medidas complementares necessárias.
Quando sejam utilizadas cláusulas contratuais-tipo de transferência, será selecionado o módulo correspondente às partes e aos seus papéis reais, serão completados os seus anexos e será disponibilizada a documentação pertinente. Se for invocado um quadro de adequação para uma entidade certificada, serão verificadas a sua vigência e cobertura concreta.
Este DPA não é, por si só, uma cláusula contratual-tipo de transferência internacional. Também não constitui consentimento dos desportistas para exceções do artigo 49. As transferências habituais não serão baseadas de forma genérica no consentimento do registo.
Se uma garantia deixar de ser válida, a TrainingForever informará sem demora e suspenderá o fluxo afetado quando não existir uma alternativa lícita, cooperando nas medidas necessárias e na recuperação de dados.
12. Pedidos de direitos
A TrainingForever prestará assistência adequada para que o Cliente atenda o acesso, retificação, apagamento, limitação, oposição, portabilidade e direitos sobre decisões automatizadas.
Quando receber diretamente um pedido sobre dados do tratamento por conta do Cliente, remetê-lo-á ao contacto do Cliente sem demora injustificada e, contratualmente, no prazo máximo de três dias úteis. Não responderá em nome do Cliente sem instruções, salvo se a lei a obrigar ou se o pedido se referir a um tratamento próprio distinto.
Disponibilizará os dados, pesquisas e operações necessários com antecedência suficiente para cumprir os prazos legais, tendo em conta a urgência informada. A complexidade técnica não autoriza deixar decorrer o prazo sem avisar. As verificações de identidade serão coordenadas de forma proporcionada.
Quando aplicável, ajudará a comunicar retificações, apagamentos ou limitações aos destinatários e subcontratantes ulteriores, e a identificar os dados que não possam ser eliminados por uma obrigação legal concreta.
13. Violações de segurança, avaliação de impacto e consulta
A TrainingForever notificará o Cliente de uma violação de segurança de dados do tratamento por sua conta sem demora injustificada e, em qualquer caso, nas 24 horas seguintes a tomar conhecimento da mesma. A primeira notificação não será adiada até ao fim de uma investigação. Uma suspeita fundada que exija medidas urgentes será comunicada sem esperar por uma certeza exaustiva.
Será disponibilizado progressivamente, conforme esteja disponível:
A TrainingForever preservará provas de forma segura, cooperará na investigação, documentará as atuações e coordenará as comunicações. Não notificará por conta do Cliente as pessoas ou autoridades sem instrução, salvo obrigação legal própria. O Cliente conserva os seus prazos: as 24 horas contratuais do subcontratante não alargam o prazo legal do responsável pelo tratamento.
Tendo em conta a natureza do tratamento e a informação disponível, a TrainingForever ajudará o Cliente a cumprir os artigos 32 a 36, incluindo avaliações de impacto, análise de medidas, informação sobre fornecedores e consulta prévia quando aplicável. A assistência incluirá os dados necessários para avaliar IA, saúde, menores, perfis e transferências do serviço.
14. Devolução, fim e apagamento
Ao terminar o tratamento por conta do Cliente, a TrainingForever, à escolha do Cliente, devolverá ou apagará os dados e eliminará as cópias existentes, salvo uma obrigação de conservação imposta pelo Direito da União ou de um Estado-Membro.
A escolha inicial do anexo I pode ser alterada mediante instrução válida. Como instrução inicial predefinida, acorda-se a devolução e posterior apagamento: será disponibilizada ao Cliente uma exportação segura e um período de recuperação de 30 dias a contar da cessação, limitando o tratamento a essa finalidade. Ao terminar esse período, serão apagados os dados dos sistemas ativos, salvo se tiver sido dada outra instrução lícita ou for exigível um período legal distinto. A preparação e a entrega da exportação serão concluídas dentro desse período.
Se o Cliente escolher o apagamento sem devolução, será executado sem demora injustificada e, em qualquer caso, nos 30 dias seguintes à instrução válida. Os prazos de direitos ou os prazos legais mais exigentes prevalecem. Quando sejam aplicáveis períodos específicos de mudança de fornecedor ou recuperação do Regulamento dos Dados, o calendário será ajustado a esses períodos antes do apagamento.
Os dados eliminados dos sistemas ativos serão apagados ou substituídos nas cópias de segurança no prazo máximo de 90 dias a contar dessa eliminação. Durante esse ciclo não estarão disponíveis para utilização ordinária, treino de modelos nem exploração comercial. Uma reposição deve reaplicar os apagamentos. Se o fornecedor exigir outro ciclo, deverá ser resolvido antes de o aceitar como compatível com este acordo.
A TrainingForever exigirá a mesma execução aos seus subcontratantes ulteriores, com os ciclos específicos mais curtos que sejam aplicáveis, e disponibilizará uma confirmação de devolução ou apagamento a pedido do Cliente. Desligar uma API não comprova por si só que o apagamento foi executado. Para os dados de Garmin Connect, o Cliente instrui o apagamento automático previsto na secção 9.1 da Política de privacidade ao desligar ou receber a revogação, incluindo resultados derivados que contenham esses dados e a propagação a subcontratantes ulteriores. Não exige outro pedido do Cliente nem é adiado pelo período de devolução ou recuperação; são respeitados os prazos mais curtos exigíveis.
Uma obrigação legal de conservação será identificada e comunicada, salvo proibição legal, com categorias, motivo e duração. Os dados serão mantidos isolados e limitados a essa obrigação e serão apagados quando esta cessar. Este caso não permite reter todo o histórico por interesse comercial ou por uma possibilidade genérica de reclamação.
Os registos que a TrainingForever deva conservar como responsável pelo tratamento para comprovar este contrato ou a sua própria faturação limitar-se-ão a essa finalidade e não incluirão desnecessariamente os dados de saúde do tratamento por conta do Cliente.
15. Informação, auditorias e inspeções
A TrainingForever colocará à disposição do Cliente a informação necessária para demonstrar o cumprimento e permitirá e contribuirá para auditorias, incluindo inspeções realizadas pelo Cliente ou por um auditor independente autorizado.
Para revisões ordinárias, as partes poderão organizar primeiro uma revisão documental e acordar um pré-aviso razoável, normalmente 15 dias, âmbito, confidencialidade e medidas para proteger os dados de outros clientes e a segurança. Essa organização não elimina o direito a uma inspeção quando seja necessária nem limita os poderes das autoridades.
Um incidente, indício fundado de incumprimento ou solicitação de autoridade pode exigir uma revisão adicional ou urgente. Não será imposta uma periodicidade anual máxima nem um pré-aviso que impeça cumprir a obrigação. As certificações ou relatórios, se existirem, podem servir como prova, mas não se presume nenhuma certificação nem substituem todos os direitos de auditoria.
Os custos extraordinários de assistência que não constituam uma obrigação ordinária poderão ser acordados previamente e de forma razoável. Não serão utilizados para impedir a verificação ou o exercício efetivo de obrigações legais. Cada parte comunicará sem demora as constatações relevantes e cooperará na sua correção.
16. Responsabilidade e cooperação
Cada parte assume as responsabilidades que lhe correspondam pela sua intervenção e por incumprimentos comprovados. O Cliente não indemniza automaticamente a TrainingForever por qualquer reclamação de um desportista, e a TrainingForever não fica isenta por se limitar a afirmar que seguiu instruções.
Os direitos de indemnização das pessoas afetadas, incluindo a responsabilidade e o direito de regresso do artigo 82 do RGPD, e os poderes sancionatórios das autoridades não são reduzidos por este DPA ou por um limite comercial. As responsabilidades perante autoridades são determinadas conforme a lei; este acordo não garante que uma sanção possa ser transferida para outra parte.
As partes cooperarão de boa-fé para conter o dano, atender pedidos e documentar a sua atuação. Um litígio comercial não permite recusar medidas de proteção ou reter dados violando a legislação.
17. Modificações, lei e litígios
As modificações materiais devem ser documentadas, comunicadas antes da sua aplicação e aceites quando necessário. Não podem reduzir as garantias do artigo 28 através de uma mera atualização silenciosa de uma página. As alterações de subcontratantes ulteriores seguem a secção 10 e as novas finalidades exigem um acordo próprio.
Aplicam-se o RGPD, o Direito da União e as normas nacionais que correspondam ao tratamento. Para a relação contratual entre as partes, aplicam-se a lei e a jurisdição dos Termos de serviço, sem prejuízo das normas imperativas, das autoridades competentes e dos direitos das pessoas afetadas.
Anexo I. Descrição do tratamento e instruções
A. Identificação e contactos
| Campo | Informação que deve ficar vinculada à aceitação |
|---|---|
| Cliente e papel | Pendente: razon social o nombre nif pais y papel |
| Endereço do Cliente | Pendente: domicilio cliente |
| Pessoa representante | Pendente: nombre cargo y facultad |
| Responsável pelo tratamento originário se o Cliente for subcontratante | Pendente: identidad contacto y autorizacion o no aplica |
| Contacto operacional de privacidade do Cliente | Pendente: nombre o funcion y correo |
| Contacto de incidentes do Cliente | Pendente: correo y medio urgente valido |
| EPD do Cliente, se existir | Pendente: contacto o no aplica |
| Contacto da TrainingForever | [email protected], assuntos «Privacidade», «DPA» ou «Incidente de segurança» |
| Encomenda, organização e funções contratadas | Pendente: identificador pedido organizacion y alcance |
| Data e versão aceites | Pendente: fecha hora version dpa y registro subencargados |
B. Objeto, finalidade e operações
Objeto: prestação da plataforma de gestão do treino a pessoas autorizadas pelo Cliente.
Finalidade: alojar e organizar dados de desportistas, planear e registar treinos, facilitar comunicação e análise desportiva e executar as integrações ou funções opcionais concretamente instruídas.
Natureza e operações: recolha ou receção, registo, armazenamento, organização, consulta, cálculo, atualização, geração de métricas, comunicação a pessoas autorizadas, importação, exportação, restrição, devolução e apagamento. A IA e qualquer definição de perfis só são incluídas com a habilitação específica seguinte.
Duração e frequência: durante a relação contratual e os períodos limitados de saída; tratamento continuado com consultas, alterações e sincronizações segundo a utilização e as permissões. Não se inclui uma reutilização indefinida após o cancelamento.
C. Pessoas e dados
Pessoas afetadas: desportistas do Cliente; treinadores e pessoal autorizado; contactos e membros de clubes; representantes legais quando aplicável. Os menores só são incluídos quando existir o procedimento e a habilitação legal aplicáveis.
Dados ordinários: identificadores, contacto, conta, papel, pertença, modalidade, objetivos, calendário, treinos, força e resistência, atividades, mensagens, ficheiros pertinentes, participação, dados técnicos mínimos e dados administrativos do serviço do Cliente.
Dados que podem revelar saúde: frequência cardíaca, zonas, métricas fisiológicas, condição física, recuperação, peso ou outras medidas necessárias, fadiga, dor, lesões, limitações, observações e perfis ou inferências de saúde. Os percursos e a localização podem revelar informação sensível.
Exclusões: não se autoriza incluir histórias clínicas completas, genética, dados biométricos para identificação, dados penais, crenças ou outras categorias especiais alheias ao serviço. Um caso que os exija requer avaliação e acordo prévios, e não a sua incorporação em texto livre.
Salvaguardas reforçadas: base do artigo 9 documentada pelo responsável pelo tratamento; separação por organização e papel; ausência de publicação por predefinição; minimização de saúde em mensagens e registos; fornecedores e países autorizados; acesso privilegiado controlado; formação e procedimentos de incidentes.
D. Seleção de funções e destinatários
| Elemento | Instrução e condição que deve ser registada |
|---|---|
| Planeamento e acompanhamento ordinários | Funções contratadas, dados necessários e pessoas autorizadas |
| IA sobre dados do tratamento por conta do Cliente | Pendente: activada o desactivada proveedor finalidades datos y habilitacion. Desativada para esse tratamento se não tiver sido estabelecida a habilitação |
| Integrações desportivas | Pendente: servicio direccion datos permisos restricciones y destinatarios |
| MCP ou clientes externos | Pendente: destinatario papel plan contrato alcance y garantias o desactivado |
| Automatizações | Pendente: funcion objetivo disparador frecuencia limites y revocacion o no aplica |
| Clubes, desafios e visibilidade | Pendente: datos publico autorizado y base para publicacion o privado |
| Menores | Pendente: no incluidos o procedimiento edades paises representacion y habilitacion |
| Conservação indicada pelo Cliente durante a relação | Pendente: plazos por categoria y revision. Sem conservação ilimitada por predefinição Para Garmin aplica-se a instrução de apagamento ao desligar da secção 9.1 da Política de privacidade, sem prolongamento por instruções gerais de conservação. |
| Fim | Devolução e apagamento segundo a secção 14, salvo escolha registada de apagamento sem devolução |
Anexo II. Medidas técnicas e organizativas
Estas medidas são mínimos contratuais que devem ser implementados e verificados antes do tratamento afetado. O seu detalhe operacional poderá evoluir sem reduzir o nível de proteção. As provas serão disponibilizadas no âmbito da secção 15.
| Área | Medidas exigíveis |
|---|---|
| Governação e risco | Responsáveis internos definidos, inventário de sistemas e tratamentos, avaliação do risco e revisão de alterações que afetem saúde, IA, menores ou transferências |
| Separação de organizações | Autorização no servidor para cada acesso, validação de pertença e isolamento entre clientes; verificação de consultas, ficheiros, exportações, tarefas e ferramentas, sem depender apenas da interface |
| Privilégios | Privilégio mínimo, contas individuais, revisão periódica, revogação ao terminar funções e autenticação multifator para administração e acessos privilegiados |
| Autenticação e sessões | Palavras-passe protegidas através de funções de derivação ou hash adequadas, mecanismos de recuperação seguros, proteção de sessão e resposta a abuso; sem armazenamento de palavras-passe em texto simples |
| Cifragem | Comunicações cifradas através de protocolos atuais e proteção criptográfica do armazenamento e das cópias conforme o risco; gestão restrita de chaves |
| Tokens e segredos | Armazenamento protegido, permissões limitadas, rotação e revogação; exclusão de prompts, registos gerais, código público e respostas a clientes |
| Saúde e localização | Minimização, permissões diferenciadas, perfis e percursos privados por predefinição, restrição de exportações e do acesso de suporte |
| IA e MCP | Fornecedores autorizados e destinos limitados; validação de argumentos e permissões no servidor; proteção contra instruções de conteúdo não fiável; controlos de confirmação proporcionados e sem elevação de privilégios pelo modelo |
| Histórico e resultados de IA | Separação entre histórico funcional e registos de diagnóstico, minimização de identificadores e resultados, conservação limitada e apagamento que abranja mensagens, resultados e caches pertinentes |
| Registos | Registo de eventos relevantes e acessos privilegiados, proteção de integridade e acesso restrito; ausência de extrações desnecessárias de dados de saúde, prompts ou tokens |
| Suporte | Acesso excecional justificado e limitado, registo da intervenção e confidencialidade do pessoal |
| Desenvolvimento e alterações | Separação de ambientes, revisão de alterações, gestão de vulnerabilidades, atualizações e verificação proporcionada dos controlos de autorização |
| Testes | Dados sintéticos ou efetivamente anonimizados por predefinição; utilização excecional de dados reais apenas se existir necessidade, habilitação e controlos documentados |
| Cópias e reposição | Cópias protegidas conforme um plano documentado, testes periódicos de reposição, ciclo máximo compatível com a secção 14 e reaplicação de apagamentos após a reposição |
| Continuidade | Plano de recuperação e gestão de falhas segundo o risco; objetivos de recuperação documentados e coerentes com a oferta contratada, sem presumir um SLA inexistente |
| Incidentes | Canal de receção, procedimento de avaliação e contenção, preservação de provas e notificação ao Cliente conforme a secção 13 |
| Fornecedores e acessos físicos | Avaliação de garantias, contratos, localizações e subcontratação; controlos do fornecedor sobre infraestrutura física e acessos administrativos |
| Pessoas e formação | Confidencialidade, instruções sobre saúde e menores, formação de segurança e literacia em IA adequada à sua intervenção |
| Direitos e saída | Procedimentos para localizar, exportar, corrigir, restringir e apagar dados, incluindo propagação a subcontratantes ulteriores e controlo de cópias |
| Verificação | Revisão periódica e após alterações relevantes; documentação de constatações e ações corretivas, sem afirmar certificações não existentes |
Anexo III. Registo de subcontratantes ulteriores, localizações e transferências
Versão do registo: TF-REG-2026-10-29-v2 Data: 26 de outubro de 2026.
É incorporada neste anexo a descrição de finalidade, dados, países, garantias e conservação da secção 2 do Anexo A da Política de privacidade, versão TF-REG-2026-10-29-v2, que deve ser anexada e conservada com a cópia aceite deste DPA. É disponibilizada também como registo separado. A referência corresponde a essa versão concreta; uma página que mude não substitui a cópia do registo aceite. As alterações posteriores seguem a secção 10 deste acordo.
| Entidade e serviço identificado | Função dentro do tratamento por conta do Cliente, quando aplicável | Localização principal declarada e outros fluxos a avaliar | Condição específica |
|---|---|---|---|
| Supabase Pte. Ltd. — Supabase | Base de dados e serviços associados utilizados para o Cliente | Projeto na Irlanda; avaliação de afiliadas, suporte e outros serviços | DPA, plano, âmbito e ciclos de dados |
| Vercel Inc. — Vercel | Alojamento e backend/API que tratem dados por conta do Cliente | Backend na UE/EEE; outros serviços e acessos por verificar | Verificar a cobertura de DPA do plano antes de a dar por existente |
| BunnyWay d.o.o. — Stream e Storage | Conteúdo de treinadores e desportistas confiado pelo Cliente | Armazenamento e réplicas declarados apenas na UE/EEE; CDN e acessos pendentes | DPA da conta, privacidade dos ficheiros e eliminação de cópias/caches |
| Plus Five Five, Inc. — Resend | Envios que o Cliente instrua dentro do seu serviço | Estados Unidos segundo as condições padrão | Não incluir saúde desnecessária; verificar plano, contrato e conservação |
| OpenAI Ireland Ltd. — API padrão EEE | Inferência instruída para dados do Cliente | Sem residência europeia especial declarada; fluxos internacionais por avaliar | Função e informação de saúde autorizadas, contrato e configuração de endpoint |
| Anthropic Ireland, Limited — API padrão EEE | Inferência instruída para dados do Cliente | Sem residência europeia especial declarada; fluxos internacionais por avaliar | Função e informação de saúde autorizadas, contrato, modelos e retenção |
| Molina Studio — Stridee API | Sincronização desportiva instruída pelo Cliente | Suíça e EEE segundo a infraestrutura publicada | Validar a cadeia de subcontratação ulterior e a compatibilidade de prazos |
| Entidade Stripe aplicável ao serviço e contrato | Apenas operações que efetivamente realize por conta do Cliente, por exemplo uma função de gestão das suas cobranças se contratada | Segundo o serviço e a cadeia da Stripe | Separar dados próprios de faturação da TrainingForever e tratamentos independentes da Stripe; verificar o âmbito antes de os incluir no tratamento por conta do Cliente |
Esta tabela não incorpora como subcontratantes ulteriores do Cliente os tratamentos de marketing próprio da TrainingForever nem torna Google, Meta, Microsoft ou os serviços desportivos independentes subcontratantes pelo mero facto de estarem ligados. Qualquer utilização de dados do tratamento por conta do Cliente para uma finalidade distinta exige uma análise e habilitação próprias.
Os clientes MCP contratados diretamente pelo Cliente regem-se pela secção 9 e pelas instruções verificadas do anexo I. A utilização de HealthKit não permite atribuir automaticamente à Apple um papel de subcontratante ulterior. As entidades desportivas de origem são descritas separadamente na secção 4 do registo.
Verificação de compatibilidade pendente: confrontar os compromissos deste DPA sobre devolução, eliminação, cópias, assistência, incidentes e alterações de subcontratantes ulteriores com os contratos efetivamente aceites. Os prazos padrão de Stridee, Resend e das API de IA não devem ser apresentados como uma confirmação dos prazos propostos no corpo do conjunto de documentos. Uma diferença exige ajustar o serviço ou acordar uma redação lícita antes de o formalizar; não se resolve eliminando a advertência.
Anexo IV. Registo de aceitação
| Elemento | Prova vinculada ao contrato |
|---|---|
| Cliente e organização | Pendente: identificador y razon social |
| Representante e poderes declarados ou verificados | Pendente: identidad y cargo |
| DPA, encomenda e anexos disponibilizados | Pendente: versiones y copias integras |
| Registo de subcontratantes ulteriores | Pendente: version y copia |
| Meio e data de aceitação | Pendente: fecha hora zona y accion afirmativa |
| Instruções opcionais iniciais | Pendente: selecciones ia mcp menores conexiones y salida |
| Cópia entregue ao Cliente | Pendente: medio fecha y referencia |
A prova técnica adicional deve ser proporcionada e conservada apenas enquanto for necessária. O registo de aceitação não deve conter histórias ou métricas de saúde.