Acordo de tratamento de dados do ClubBasket
Última atualização: 22 de outubro de 2026.
1. Partes, âmbito e prevalência
Este acordo (o «ATD») faz parte da Encomenda assinada entre o Clube identificado nessa Encomenda (o «Responsável pelo tratamento») e PSG, Borut Grauf s.p., Pod gonjami 85, 2391 Prevalje, Eslovénia, número de registo 8519471000, número de IVA SI54246679 (o «Subcontratante»).
Aplica-se aos dados pessoais tratados por conta do Clube na prestação do ClubBasket, incluindo um sítio Web alojado acordado. Não altera os papéis no tratamento que o operador realiza para as suas próprias finalidades, conforme descrito no Aviso de privacidade.
Os termos do RGPD têm o significado previsto no Regulamento (UE) 2016/679. Este ATD prevalece sobre disposições comerciais contraditórias relativas ao tratamento de dados pessoais. Prevalece a lei imperativa.
2. Instruções documentadas e responsabilidades
O Subcontratante trata dados pessoais apenas segundo instruções documentadas do Responsável pelo tratamento, incluindo este ATD, a Encomenda e as definições e ações autorizadas no Serviço. Isto também se aplica a transferências internacionais. Se o direito da UE ou de um Estado-Membro exigir outro tratamento, o Subcontratante informa o Responsável antes do tratamento, salvo proibição legal.
O Responsável determina finalidades lícitas e fundamentos jurídicos, fornece os avisos necessários, estabelece instruções de conservação e controla os utilizadores autorizados. Deve identificar qualquer condição adicional necessária para categorias especiais de dados e não deve ordenar tratamento ilícito.
O Subcontratante informa imediatamente o Responsável se, na sua opinião, uma instrução infringir a lei de proteção de dados aplicável. Pode suspender o tratamento afetado enquanto procura esclarecimentos ou uma alternativa lícita, protegendo proporcionalmente os dados e a continuidade do serviço.
3. Confidencialidade e segurança
As pessoas autorizadas a tratar os dados devem estar vinculadas à confidencialidade ou a uma obrigação legal adequada. O acesso limita-se ao exigido pela sua função.
O Subcontratante aplica medidas técnicas e organizativas adequadas nos termos do artigo 32.º, tendo em conta os riscos, incluindo os relativos a crianças e informações de saúde. O anexo B descreve as medidas. O Subcontratante pode melhorá-las, mas não deve reduzir substancialmente o nível de proteção acordado durante o tratamento.
4. Subcontratantes ulteriores e transferências
O Responsável concede autorização geral escrita para os prestadores da Lista de subcontratantes ulteriores, sujeita às finalidades e condições aí descritas. Antes de nomear um subcontratante ulterior adicional ou substituto, o Subcontratante avisa por escrito com pelo menos 14 dias de antecedência, identificando a sua função, localização e data de início proposta.
O Responsável pode opor-se nesse prazo com fundamentos razoáveis de proteção de dados. As partes procuram uma alternativa ou garantias adequadas. Se não resolverem a objeção, o Responsável pode terminar o Serviço afetado antes do início do tratamento proposto e receber os valores pagos antecipadamente e não utilizados desse Serviço. O Subcontratante não deve interpretar o silêncio antes do fim do prazo de pré-aviso como autorização para começar mais cedo.
Cada subcontratante ulterior fica vinculado por um contrato escrito que impõe as obrigações aplicáveis de proteção de dados exigidas pelo artigo 28.º. O Subcontratante continua responsável pelo cumprimento dessas obrigações pelo subcontratante ulterior.
As transferências internacionais sujeitas a restrições exigem um mecanismo lícito e garantias suplementares adequadas quando necessário. O Subcontratante disponibiliza ao Responsável informações pertinentes sobre o mecanismo e as garantias.
5. Pedidos das pessoas
Tendo em conta a natureza do tratamento, o Subcontratante auxilia o Responsável nos pedidos de exercício de direitos através de medidas técnicas e organizativas adequadas. Notifica prontamente o Responsável de pedidos relativos a dados sob a sua responsabilidade, salvo se este tiver dado uma instrução documentada para uma categoria de pedidos acordada.
O Responsável autoriza a receção e a verificação de identidade através do canal central de pedidos da plataforma. Esse canal, por si só, não autoriza todas as divulgações ou apagamentos. O Subcontratante coordena o âmbito e as instruções lícitas com o Responsável pertinente, não divulga dados de outro Clube e não decide os fundamentos jurídicos do Responsável para conservar registos. Quando o operador é ele próprio responsável pelo tratamento ou a lei exige diretamente uma atuação, cumpre as suas próprias obrigações.
Nenhuma parte pode utilizar os seus procedimentos internos para atrasar um pedido para além dos prazos aplicáveis. As partes acordam as medidas urgentes necessárias quando um pedido abrange várias contas, uma criança, direitos de terceiros ou deveres legais de conservação.
6. Incidentes e assistência
O Subcontratante notifica o Responsável sem demora injustificada após tomar conhecimento de uma violação de dados pessoais que afete os dados. Fornece, conforme disponível, a natureza da violação, os dados e pessoas afetados, as consequências prováveis, o ponto de contacto e as medidas tomadas ou propostas. As informações podem ser fornecidas por fases, sem demora adicional injustificada.
O Subcontratante toma medidas razoáveis para conter e corrigir a violação e auxilia o Responsável nas notificações exigidas. Também auxilia nas obrigações de segurança, avaliações de impacto sobre a proteção de dados e consulta prévia às autoridades, tendo em conta o tratamento e as informações à sua disposição. A notificação não é adiada até se conhecerem todos os pormenores.
7. Informações e auditorias
O Subcontratante disponibiliza as informações necessárias para demonstrar o cumprimento do artigo 28.º e permite e contribui para auditorias, incluindo inspeções, pelo Responsável ou pelo auditor por este mandatado. As partes acordam um pré-aviso razoável, confidencialidade e garantias para as informações de outros clientes. Incidentes urgentes, pedidos de reguladores ou indícios credíveis de incumprimento podem exigir acesso mais rápido.
Elementos existentes ou relatórios independentes podem satisfazer uma necessidade de auditoria quando adequado, mas não retiram os direitos legais de auditoria do Responsável. Este ATD não declara que o Serviço possui uma certificação específica.
8. Devolução, eliminação e duração
Este ATD aplica-se desde o início do tratamento ao abrigo do contrato assinado e mantém-se até que o Subcontratante tenha devolvido ou eliminado os dados conforme exigido.
À escolha do Responsável, o Subcontratante devolve ou elimina os dados pessoais após o fim dos serviços de tratamento e elimina as cópias existentes, salvo se o direito da UE ou de um Estado-Membro exigir conservação. A instrução habitual do Responsável é a conservação restrita durante 90 dias após a cessação, seguida de eliminação, incluindo cópias, conforme as Condições, secção 13. O Responsável pode ordenar uma eliminação antecipada ou pedir devolução antes da eliminação prevista. Não é preparada uma exportação automática; uma devolução solicitada é organizada de forma segura. Os direitos imperativos de devolução e recuperação não são afetados, e os dados necessários para um pedido válido de devolução pendente ficam protegidos até à sua conclusão.
As cópias de segurança permanecem protegidas e isoladas do tratamento normal. Expiram no prazo de 90 dias após a criação e estão também sujeitas ao prazo de eliminação no fim do serviço. Se forem utilizadas para recuperação, as instruções de eliminação aplicáveis são reaplicadas. Qualquer conservação legalmente exigida é documentada, limitada a essa finalidade e comunicada quando permitido. O Subcontratante confirma a conclusão mediante pedido razoável.
9. Contactos e lei aplicável
O contacto do Responsável é o representante designado na Encomenda ou posteriormente comunicado. O contacto do Subcontratante é support@clubbasket.app. Aplicam-se as disposições das Condições sobre lei aplicável e litígios, sem restringir os direitos das pessoas ou dos reguladores nos termos da lei aplicável.
Anexo A — Descrição do tratamento
Objeto e finalidade: prestar os serviços acordados de gestão de clubes e sítios Web: administração de membros e equipas, relações de representação legal, horários, presenças, jogos, avaliações, comunicações, administração de quotas de participação, publicação pública, consultas de adesão, apoio, exportações, eliminação e segurança realizados por conta do Clube.
Operações: recolha, registo, organização, armazenamento, recuperação, acesso autorizado, transmissão, publicação quando instruída, exportação, retificação, limitação e eliminação.
Pessoas: membros e potenciais membros, jogadores incluindo crianças, representantes legais, treinadores, trabalhadores, voluntários, oficiais, visitantes do sítio Web e pessoas que contactam o Clube.
Dados: identidade e contacto; datas de nascimento; fotografias e ficheiros; registos de equipas, funções e adesão; vínculos de representação legal; presenças e participação; resultados; avaliações e registos de desenvolvimento; comunicações; registos de quotas; candidaturas; instruções de publicação e registos técnicos necessários para o tratamento.
Informações sensíveis: uma funcionalidade ativada e adequada pode tratar informações limitadas sobre ausências relacionadas com a saúde. O Responsável deve estabelecer o fundamento jurídico e a condição para categorias especiais necessários, limitar a recolha e o acesso e fornecer instruções. As notas gerais e os carregamentos não devem ser utilizados como um registo clínico sem restrições. Outras categorias sensíveis exigem uma avaliação separada e um âmbito expressamente acordado antes do tratamento.
Duração e frequência: contínuas durante a utilização das funcionalidades pertinentes, seguidas dos períodos acordados de devolução/eliminação e cópias de segurança. O Clube deve fornecer instruções adequadas para registos que deixem de ser necessários antes do fim da subscrição.
Anexo B — Medidas de segurança
- Separação dos dados dos clubes e acesso controlado de acordo com as funções autorizadas.
- Controlos de autenticação, palavras-passe protegidas e gestão adequada de credenciais e tokens.
- Transmissão cifrada para acesso ao serviço e acesso administrativo restrito.
- Registo e monitorização adequados à segurança e investigação de falhas, com minimização de dados.
- Cópias de segurança protegidas, cifragem antes da transferência externa e restauro controlado.
- Procedimentos de alteração de acessos, gestão de incidentes, pedidos de dados pessoais e eliminação.
- Obrigações de confidencialidade e acesso limitado a pessoal e prestadores autorizados.
- Revisão e manutenção das medidas adequadas aos riscos do tratamento.
O Subcontratante fornece mais pormenores pertinentes mediante pedido razoável, sujeito a garantias contra a exposição de informações sensíveis de segurança ou de dados de outros clientes.
Anexo C — Prestadores
A versão da Lista de subcontratantes ulteriores fornecida com a Encomenda é incorporada neste ATD. As alterações posteriores seguem a secção 4.