Versão de 7 de novembro de 2026.
1. Partes e enquadramento
Este acordo é celebrado entre:
- o clube ou associação que usa a Associu, como responsável pelo tratamento (a seguir, "o clube");
- [entidade], NIF [NIF], com sede em [morada], como subcontratante (a seguir, "a Associu").
O acordo cumpre o artigo 28.º do Regulamento Geral sobre a Proteção de Dados (RGPD) e a Lei n.º 58/2019. Faz parte dos termos de utilização e é aceite pelo clube no registo. Em caso de conflito sobre proteção de dados, prevalece este acordo.
2. Objeto
A Associu trata dados pessoais por conta do clube apenas para lhe prestar o serviço de gestão descrito nos termos: portal de gestão, área de sócio, site público do clube, inscrições online, comunicação e as restantes funcionalidades contratadas.
3. Duração
O acordo dura enquanto o contrato entre o clube e a Associu estiver em vigor e, depois disso, até que os dados sejam apagados ou devolvidos nos termos da secção 13.
4. Natureza e finalidade do tratamento
O tratamento consiste em recolher (incluindo pelas inscrições online e pela área de sócio), registar, organizar, guardar, consultar, alterar, exportar, comunicar por email depois de aprovação do clube, publicar no site do clube depois de aprovação do clube, e apagar dados pessoais.
A finalidade é a gestão associativa e desportiva do clube: sócios e quotas, atletas e inscrições, treinos e presenças, convocatórias, calendário, finanças e reconciliação bancária, registo de recibos, comunicação, resultados, documentação e validades, colaboradores e vencimentos.
5. Titulares e categorias de dados
Titulares: sócios, atletas, encarregados de educação e outros familiares, colaboradores (treinadores, funcionários, dirigentes), candidatos à inscrição, e outras pessoas que o clube registe (por exemplo, contrapartes em movimentos bancários).
Categorias de dados, conforme o clube as usar:
- identificação e contactos: nome, data de nascimento, género, NIF, número de documento de identificação, morada, email, telefone, fotografia;
- relação com o clube: número de sócio, tipo de sócio, família e encarregados, secção, escalão, equipa, época;
- dados financeiros: quotas e mensalidades, pagamentos, dívidas, recibos, IBAN e movimentos bancários importados, vencimentos e horas dos colaboradores;
- atividade desportiva: presenças, convocatórias e respostas, resultados de provas e jogos;
- documentos entregues e respetivas validades (por exemplo, cartão de cidadão, seguro, título de treinador);
- autorizações e consentimentos, incluindo a autorização de imagem de menores;
- registo de ações dos utilizadores do clube (quem fez o quê e quando).
Categorias especiais e dados sensíveis:
- dados de saúde, como ficha médica e exame médico-desportivo;
- certificado de registo criminal de treinadores e colaboradores, quando o clube o peça;
- dados de menores.
O clube decide se recolhe estes dados e é responsável por ter fundamento legal para o fazer.
6. Obrigações do clube
O clube compromete-se a:
- ter fundamento legal para cada tratamento e informar os titulares, incluindo sobre o uso da Associu;
- obter, quando necessário, o consentimento dos encarregados de educação para os dados dos menores, incluindo a autorização de imagem;
- recolher só os dados necessários, sobretudo de saúde e de registo criminal;
- atribuir perfis e permissões de forma adequada, dando acesso a dados sensíveis só a quem precisa, e retirar acessos a quem deixa de ter funções;
- dar instruções lícitas à Associu; a configuração e o uso da plataforma pelo clube valem como instruções documentadas;
- responder aos pedidos dos titulares dos dados.
7. Obrigações da Associu
A Associu compromete-se a:
- tratar os dados só segundo instruções documentadas do clube, incluindo quanto a transferências internacionais, salvo se a lei a obrigar a outra coisa (caso em que informa o clube, se a lei o permitir);
- avisar o clube se considerar que uma instrução viola a lei de proteção de dados;
- garantir que as pessoas autorizadas a tratar os dados estão sujeitas a dever de confidencialidade;
- não usar os dados para fins próprios, não os vender e não os ceder a terceiros fora do previsto neste acordo;
- manter um registo das atividades de tratamento que realiza por conta dos clubes.
8. Medidas de segurança
A Associu aplica medidas técnicas e organizativas adequadas ao risco (artigo 32.º do RGPD), entre as quais:
- permissões negadas por defeito: cada utilizador só acede ao que o seu perfil permite, por recurso, ação e âmbito (clube, secções ou equipas); só o administrador principal do clube atribui perfis;
- verificação das permissões sempre no servidor e na base de dados, e não apenas no ecrã;
- separação dos dados de cada clube na base de dados, com regras de acesso por linha;
- registo de ações: todas as alterações e as consultas a dados sensíveis (fichas médicas, vencimentos, documentos) ficam registadas, tal como as tentativas de acesso recusadas;
- cada colaborador vê só o seu vencimento, salvo permissão expressa da administração;
- ficheiros guardados em armazenamento privado, que só se abrem depois de verificar a permissão e registar a consulta;
- regras para menores: fotografias de menores sem autorização de imagem são bloqueadas para publicação; nos resultados públicos, os menores aparecem com iniciais por defeito; as inscrições online só podem ser feitas por maiores de idade, que inscrevem os menores a seu cargo;
- nada é enviado nem publicado sem aprovação de um utilizador do clube;
- comunicações cifradas e alojamento em fornecedores com garantias adequadas.
A Associu pode atualizar estas medidas, desde que o nível de proteção não diminua.
9. Subcontratantes ulteriores
O clube autoriza a Associu a recorrer aos seguintes subcontratantes ulteriores:
| Fornecedor | Serviço | Localização |
|---|---|---|
| Supabase | Base de dados, autenticação, armazenamento de ficheiros e emails de autenticação | União Europeia |
| Cloudflare | Alojamento e entrega da aplicação | Rede global, com as garantias do RGPD para transferências |
A Associu impõe a cada subcontratante ulterior, por contrato, obrigações de proteção de dados equivalentes às deste acordo e continua responsável perante o clube pelo seu cumprimento.
Antes de acrescentar ou substituir um subcontratante ulterior, a Associu avisa o clube com antecedência razoável. O clube pode opor-se por motivos fundamentados; se não houver acordo, o clube pode terminar o contrato antes de a alteração produzir efeitos.
10. Transferências internacionais
Os dados são guardados na União Europeia. Quando algum tratamento implique transferência para fora do Espaço Económico Europeu, nomeadamente através da rede da Cloudflare, aplicam-se as garantias previstas no capítulo V do RGPD.
11. Assistência ao clube
A Associu ajuda o clube, na medida do possível e tendo em conta a natureza do tratamento:
- a responder aos pedidos dos titulares (acesso, retificação, apagamento, limitação, portabilidade, oposição); a plataforma permite consultar, corrigir, exportar para Excel e PDF e apagar dados; se um titular contactar diretamente a Associu, o pedido é encaminhado para o clube;
- a cumprir as obrigações de segurança, de notificação de violações, de avaliação de impacto e de consulta prévia à CNPD;
- disponibilizando a informação necessária para demonstrar o cumprimento deste acordo e permitindo auditorias razoáveis, com aviso prévio, realizadas pelo clube ou por auditor por ele mandatado e sujeito a confidencialidade.
12. Violações de dados
Se a Associu tiver conhecimento de uma violação de dados pessoais que afete dados do clube, avisa o clube sem demora injustificada, com a informação de que disponha: natureza da violação, categorias e número aproximado de titulares e registos afetados, consequências prováveis e medidas tomadas ou propostas.
Cabe ao clube, como responsável, notificar a CNPD e, quando necessário, os titulares. A Associu colabora no que for preciso para isso.
13. Fim do contrato
Durante o contrato, o clube pode exportar os seus dados a qualquer momento. Quando o contrato termina:
- o clube pode exportar os seus dados ou pedir à Associu que os devolva num formato de uso corrente;
- a Associu apaga os dados pessoais do clube, incluindo os ficheiros, no prazo de [prazo] após o fim do contrato, incluindo as cópias de segurança, quando o ciclo destas o permita;
- a Associu só conserva dados quando a lei a obrigue, e apenas durante esse período.
14. Responsabilidade e lei aplicável
A responsabilidade de cada parte segue o artigo 82.º do RGPD e o previsto nos termos de utilização. Este acordo rege-se pela lei portuguesa. Ver também a política de privacidade.