# Contrato de Subcontratação (artigo 28.º RGPD)

> Rascunho para revisão jurídica. Assinado com cada profissional,
> antes do primeiro registo real de cliente.

**Versão 0.1 — 10 de setembro de 2026**

Entre **⟨nome do profissional⟩**, adiante **Responsável pelo Tratamento**,
e **⟨entidade da plataforma⟩**, adiante **Subcontratante**.

## 1. Objeto, duração, natureza e finalidade

O Subcontratante trata dados pessoais por conta do Responsável, para prestar o
serviço de registo, cálculo, apresentação e conservação de avaliações físicas e,
quando aplicável, planos de treino.

Vigora enquanto durar a utilização do serviço, terminando nos termos da cláusula 9.

## 2. Tipos de dados e categorias de titulares

**Titulares:** clientes do Responsável, maiores de idade.

**Dados:** identificação e contacto; sexo biológico; medições antropométricas e
resultados de testes; **dados de saúde** (patologias, lesões, medicação, PAR-Q+,
pressão arterial); fotografias de progresso, quando existirem; dados de conta e
registos de acesso.

## 3. Obrigações do Responsável

Garantir fundamento lícito para o tratamento, incluindo o consentimento explícito
para dados de categoria especial; prestar aos titulares a informação exigida pelo
artigo 13.º; e dar instruções lícitas ao Subcontratante.

## 4. Obrigações do Subcontratante

O Subcontratante obriga-se a:

a) Tratar os dados **apenas segundo instruções documentadas** do Responsável,
   incluindo quanto a transferências internacionais;

b) Assegurar que quem acede está sujeito a **dever de confidencialidade**;

c) Aplicar as **medidas técnicas e organizativas** do artigo 32.º, descritas no
   Anexo A;

d) **Não recorrer a outro subcontratante** sem autorização prévia. A lista atual
   consta do Anexo B; qualquer alteração é comunicada com antecedência razoável,
   podendo o Responsável opor-se;

e) **Auxiliar o Responsável** a responder a pedidos de exercício de direitos —
   nomeadamente através das funcionalidades de exportação e eliminação
   disponibilizadas diretamente ao titular, e do registo de acessos consultável
   pelo Responsável;

f) **Auxiliar o Responsável** no cumprimento dos artigos 32.º a 36.º,
   designadamente fornecendo a avaliação de impacto que o Responsável pode
   adotar;

g) **Notificar o Responsável sem demora injustificada** após ter conhecimento de
   uma violação de dados, com a informação necessária para que este cumpra o
   prazo de 72 horas perante a CNPD;

h) **Eliminar ou devolver** os dados no termo do contrato, nos termos da
   cláusula 9;

i) Disponibilizar a informação necessária para demonstrar o cumprimento destas
   obrigações e permitir auditorias.

## 5. Acesso excecional de suporte

O Subcontratante **não acede a dados de saúde dos clientes do Responsável em
condições normais**.

Quando indispensável para suporte técnico, o acesso exige indicação do motivo, é
limitado a **60 minutos**, fica registado em registo inalterável, e o Responsável
é **notificado**.

## 6. Localização

Os dados são tratados **em servidores na União Europeia**. Não há transferências
para fora do Espaço Económico Europeu.

## 7. Conservação

Por defeito **cinco anos** após a última avaliação de cada cliente, salvo
instrução diferente do Responsável, sem prejuízo dos pedidos de eliminação dos
titulares.

## 8. Contrapartida e garantias

A cobrança do serviço rege-se pelos termos de utilização em vigor. Não são
prestadas garantias de disponibilidade nem níveis de serviço. Isto **não limita** as
obrigações de proteção de dados acima.

## 9. Cessação

Qualquer das partes pode denunciar o contrato a qualquer momento. Na cessação, o
Responsável pode **exportar todos os dados em formato estruturado** durante 30
dias, findos os quais o Subcontratante os elimina, conservando apenas o registo
de que a eliminação ocorreu.

---

## Anexo A — Medidas técnicas e organizativas

Cifra em trânsito e em repouso; cifra ao nível aplicacional para notas clínicas
em texto livre. Isolamento entre profissionais em três camadas independentes,
incluindo *row-level security* na base de dados. Autenticação por *passkey* com
segundo fator obrigatório em alternativa. Registo inalterável de escritas em
dados de saúde, alterações de consentimento e acessos de suporte. Remoção
automática de metadados de localização em fotografias. Cópias de segurança
cifradas com restauro testado. Testes automáticos de isolamento em cada
alteração ao código. Alojamento em região da União Europeia.

## Anexo B — Subcontratantes

| Entidade | Finalidade | Localização |
|---|---|---|
| ⟨alojamento⟩ | Alojamento e base de dados | UE |
| ⟨email⟩ | Email transacional | UE |

---

⟨assinaturas e datas⟩