Versão 0.1 · 10 de setembro de 2026 · Descarregar em texto

Contrato de Subcontratação (artigo 28.º RGPD)

Rascunho para revisão jurídica. Assinado com cada profissional,

antes do primeiro registo real de cliente.

Versão 0.1 — 10 de setembro de 2026

Entre ⟨nome do profissional⟩, adiante Responsável pelo Tratamento, e ⟨entidade da plataforma⟩, adiante Subcontratante.

1. Objeto, duração, natureza e finalidade

O Subcontratante trata dados pessoais por conta do Responsável, para prestar o serviço de registo, cálculo, apresentação e conservação de avaliações físicas e, quando aplicável, planos de treino.

Vigora enquanto durar a utilização do serviço, terminando nos termos da cláusula 9.

2. Tipos de dados e categorias de titulares

Titulares: clientes do Responsável, maiores de idade.

Dados: identificação e contacto; sexo biológico; medições antropométricas e resultados de testes; dados de saúde (patologias, lesões, medicação, PAR-Q+, pressão arterial); fotografias de progresso, quando existirem; dados de conta e registos de acesso.

3. Obrigações do Responsável

Garantir fundamento lícito para o tratamento, incluindo o consentimento explícito para dados de categoria especial; prestar aos titulares a informação exigida pelo artigo 13.º; e dar instruções lícitas ao Subcontratante.

4. Obrigações do Subcontratante

O Subcontratante obriga-se a:

a) Tratar os dados apenas segundo instruções documentadas do Responsável, incluindo quanto a transferências internacionais;

b) Assegurar que quem acede está sujeito a dever de confidencialidade;

c) Aplicar as medidas técnicas e organizativas do artigo 32.º, descritas no Anexo A;

d) Não recorrer a outro subcontratante sem autorização prévia. A lista atual consta do Anexo B; qualquer alteração é comunicada com antecedência razoável, podendo o Responsável opor-se;

e) Auxiliar o Responsável a responder a pedidos de exercício de direitos — nomeadamente através das funcionalidades de exportação e eliminação disponibilizadas diretamente ao titular, e do registo de acessos consultável pelo Responsável;

f) Auxiliar o Responsável no cumprimento dos artigos 32.º a 36.º, designadamente fornecendo a avaliação de impacto que o Responsável pode adotar;

g) Notificar o Responsável sem demora injustificada após ter conhecimento de uma violação de dados, com a informação necessária para que este cumpra o prazo de 72 horas perante a CNPD;

h) Eliminar ou devolver os dados no termo do contrato, nos termos da cláusula 9;

i) Disponibilizar a informação necessária para demonstrar o cumprimento destas obrigações e permitir auditorias.

5. Acesso excecional de suporte

O Subcontratante não acede a dados de saúde dos clientes do Responsável em condições normais.

Quando indispensável para suporte técnico, o acesso exige indicação do motivo, é limitado a 60 minutos, fica registado em registo inalterável, e o Responsável é notificado.

6. Localização

Os dados são tratados em servidores na União Europeia. Não há transferências para fora do Espaço Económico Europeu.

7. Conservação

Por defeito cinco anos após a última avaliação de cada cliente, salvo instrução diferente do Responsável, sem prejuízo dos pedidos de eliminação dos titulares.

8. Contrapartida e garantias

A cobrança do serviço rege-se pelos termos de utilização em vigor. Não são prestadas garantias de disponibilidade nem níveis de serviço. Isto não limita as obrigações de proteção de dados acima.

9. Cessação

Qualquer das partes pode denunciar o contrato a qualquer momento. Na cessação, o Responsável pode exportar todos os dados em formato estruturado durante 30 dias, findos os quais o Subcontratante os elimina, conservando apenas o registo de que a eliminação ocorreu.

Anexo A — Medidas técnicas e organizativas

Cifra em trânsito e em repouso; cifra ao nível aplicacional para notas clínicas em texto livre. Isolamento entre profissionais em três camadas independentes, incluindo row-level security na base de dados. Autenticação por passkey com segundo fator obrigatório em alternativa. Registo inalterável de escritas em dados de saúde, alterações de consentimento e acessos de suporte. Remoção automática de metadados de localização em fotografias. Cópias de segurança cifradas com restauro testado. Testes automáticos de isolamento em cada alteração ao código. Alojamento em região da União Europeia.

Anexo B — Subcontratantes

⟨assinaturas e datas⟩