Fitrack - Acordo de Tratamento de Dados (ATD)

Data de entrada em vigor: 7 de junho de 2026 Última atualização: 16 de outubro de 2026 Versão: 1.19

1. Partes

O presente Acordo de Tratamento de Dados (o "ATD") é celebrado entre:

(1) Gonçalo Alexandre Passos Barroso Basto, empresário em nome individual registado em Portugal com o NIF 266102050, com morada fiscal em Rua Santa Casa da Misericórdia, 2-C, 2640-528 Mafra, Portugal ("Fitrack" ou o "Subcontratante"); e

(2) o Operador identificado no formulário de subscrição ou registo celebrado entre a Fitrack e o cliente (o "Responsável pelo Tratamento").

Cada um uma "Parte" e conjuntamente as "Partes".

2. Considerandos

(A) O Responsável pelo Tratamento subscreveu a plataforma Fitrack (os "Serviços") ao abrigo dos Termos e Condições da Fitrack (o "Acordo Principal").

(B) Na prestação dos Serviços, a Fitrack trata dados pessoais por conta do Responsável pelo Tratamento, na aceção do Regulamento (UE) 2016/679 ("RGPD").

(C) O presente ATD estabelece os termos exigidos pelo Artigo 28.º do RGPD e pela Lei n.º 58/2019 para esse tratamento. Faz parte integrante do Acordo Principal e prevalece sobre qualquer disposição contraditória deste em matéria de proteção de dados.

3. Definições

Os termos não definidos neste documento têm o significado que lhes é atribuído pelo RGPD.

• "Dados Pessoais do Responsável" - dados pessoais tratados pela Fitrack por conta do Responsável pelo Tratamento através dos Serviços.
• "Titular dos Dados" - pessoa singular cujos Dados Pessoais do Responsável são tratados (tipicamente um Cliente do Operador - membro, atleta, participante em evento, membro do pessoal ou treinador).
• "Violação de Dados Pessoais" - violação da segurança que conduza à destruição, perda, alteração, divulgação não autorizada ou acesso não autorizado acidental ou ilícito aos Dados Pessoais do Responsável.
• "Subcontratante Secundário" - qualquer terceiro contratado pela Fitrack para tratar Dados Pessoais do Responsável.
• "Autoridade de Controlo" - autoridade pública independente constituída nos termos do Artigo 51.º do RGPD (em Portugal, a CNPD).
• "CCT da UE" - Cláusulas Contratuais-Tipo adotadas pela Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021.
• "EEE" - Espaço Económico Europeu.

4. Objeto, Duração, Natureza e Finalidade do Tratamento

O objeto, natureza, finalidade, duração, categorias de Titulares dos Dados e categorias de dados pessoais tratados ao abrigo do presente ATD são descritos no Anexo I.

5. Funções e Responsabilidades

5.1 O Responsável pelo Tratamento é e mantém-se como responsável pelo tratamento dos Dados Pessoais do Responsável. A Fitrack é o subcontratante.

5.2 O Responsável pelo Tratamento garante que: (a) dispõe de todos os direitos e bases jurídicas necessários (ao abrigo dos Artigos 6.º e, quando aplicável, 9.º do RGPD) para tratar os Dados Pessoais do Responsável e para instruir a Fitrack a tratá-los; (b) as suas instruções à Fitrack cumprem a legislação aplicável, incluindo a legislação sobre proteção de dados; (c) prestou todos os avisos necessários aos Titulares dos Dados e obteve todos os consentimentos necessários; (d) configurará os Serviços (definições de privacidade, modelos de documentos, períodos de retenção onde configuráveis) de forma a cumprir as suas próprias obrigações.

5.3 A Fitrack tratará os Dados Pessoais do Responsável apenas com base nas instruções documentadas do Responsável pelo Tratamento, conforme estabelecido neste ATD, no Acordo Principal, ou em qualquer outra instrução escrita que o Responsável pelo Tratamento transmita através dos Serviços ou por correio eletrónico para info@fitrack.app, salvo se a legislação da UE ou de um Estado-Membro o exigir de outro modo (caso em que a Fitrack informará o Responsável pelo Tratamento sobre esse requisito legal antes do tratamento, salvo se proibida por lei).

5.4 A Fitrack notificará o Responsável pelo Tratamento sem demora injustificada se considerar que uma instrução do Responsável pelo Tratamento infringe o RGPD ou outra legislação aplicável em matéria de proteção de dados.

6. Obrigações do Subcontratante (Artigo 28.º, n.º 3 do RGPD)

A Fitrack deverá:

(a) Confidencialidade. Assegurar que as pessoas autorizadas a tratar os Dados Pessoais do Responsável estão vinculadas por obrigações de confidencialidade ou se encontram sujeitas a uma obrigação legal de sigilo adequada.

(b) Segurança. Implementar as medidas técnicas e organizativas descritas no Anexo II, de modo a garantir um nível de segurança adequado ao risco, em conformidade com o Artigo 32.º do RGPD.

(c) Subcontratantes Secundários. Recorrer a Subcontratantes Secundários apenas em conformidade com a Cláusula 9 do presente ATD.

(d) Direitos dos Titulares dos Dados. Tendo em conta a natureza do tratamento, assistir o Responsável pelo Tratamento através de medidas técnicas e organizativas adequadas, na medida do possível, para que este possa cumprir a obrigação de responder aos pedidos dos Titulares dos Dados que exercem os seus direitos ao abrigo do Capítulo III do RGPD (acesso, retificação, apagamento, limitação, portabilidade, oposição, decisões automatizadas). Quando a Fitrack receber um pedido diretamente de um Titular dos Dados, transmiti-lo-á ao Responsável pelo Tratamento sem demora injustificada e não responderá ao Titular dos Dados, exceto com base em instrução documentada do Responsável pelo Tratamento ou na medida estritamente exigida por lei.

(e) Assistência nos Artigos 32.º a 36.º. Assistir o Responsável pelo Tratamento no cumprimento das suas obrigações ao abrigo dos Artigos 32.º (segurança), 33.º e 34.º (notificação de violações), 35.º (avaliações de impacto) e 36.º (consulta prévia), tendo em conta a natureza do tratamento e as informações disponíveis para a Fitrack.

(f) Devolução ou Eliminação. À escolha do Responsável pelo Tratamento, devolver ou eliminar todos os Dados Pessoais do Responsável após o término da prestação dos serviços relacionados com o tratamento, e eliminar as cópias existentes, salvo se a legislação da UE ou de um Estado-Membro exigir a conservação dos dados pessoais. Ver Cláusula 12.

(g) Auditoria e Informação. Disponibilizar ao Responsável pelo Tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações estabelecidas no Artigo 28.º do RGPD e permitir e contribuir para auditorias em conformidade com a Cláusula 10.

7. Violação de Dados Pessoais

7.1 A Fitrack notificará o Responsável pelo Tratamento sem demora injustificada, e em qualquer caso no prazo de setenta e duas (72) horas após tomar conhecimento de uma Violação de Dados Pessoais que afete os Dados Pessoais do Responsável.

7.2 A notificação incluirá, na medida do conhecido no momento e à medida que a informação se torne disponível: (a) uma descrição da natureza da violação, incluindo, sempre que possível, as categorias e o número aproximado de Titulares dos Dados e de registos afetados; (b) o nome e os contactos do ponto de contacto da Fitrack; (c) as consequências prováveis; (d) as medidas tomadas ou propostas para remediação da violação e mitigação dos seus possíveis efeitos adversos.

7.3 A Fitrack tomará medidas razoáveis para conter a violação, investigá-la e remediar as suas causas.

7.4 O Responsável pelo Tratamento é responsável por notificar a Autoridade de Controlo e os Titulares dos Dados afetados quando tal seja exigido pelos Artigos 33.º e 34.º do RGPD. A Fitrack não notifica Autoridades de Controlo ou Titulares dos Dados por conta do Responsável pelo Tratamento, salvo instrução escrita nesse sentido.

8. Transferências Internacionais

8.1 A Fitrack apenas pode transferir Dados Pessoais do Responsável para fora do EEE quando esteja em vigor uma das garantias previstas nos Artigos 44.º a 49.º do RGPD.

8.2 Quando necessário, as CCT da UE são consideradas incorporadas neste ATD nas seguintes bases: (a) o Módulo Dois (responsável para subcontratante) aplica-se entre o Responsável pelo Tratamento (exportador de dados) e a Fitrack na qualidade de importador de dados fora do EEE; e (b) o Módulo Três (subcontratante para subcontratante) aplica-se entre a Fitrack e qualquer Subcontratante Secundário localizado fora do EEE.

8.3 Quando as CCT se aplicam:

• A Cláusula 7 (cláusula de adesão) está incluída;
• A Cláusula 9 - opção 2 (autorização geral por escrito) - aplica-se, com o prazo de aviso prévio definido na Cláusula 9.2;
• A Cláusula 11 - o mecanismo facultativo de resolução extrajudicial de litígios não é selecionado;
• A Cláusula 17 - lei aplicável: lei portuguesa;
• A Cláusula 18 - foro: tribunais de Lisboa, Portugal.
• Os Anexos I, II e III das CCT são preenchidos pelos Anexos I, II e III do presente ATD, respetivamente.

8.4 Além das CCT, a Fitrack implementará medidas complementares adequadas (encriptação, controlos de acesso, avaliações de impacto das transferências) em conformidade com as recomendações do CEPD.

9. Subcontratantes Secundários

9.1 O Responsável pelo Tratamento concede autorização geral por escrito para que a Fitrack recorra a Subcontratantes Secundários. Os Subcontratantes Secundários utilizados à data de entrada em vigor do presente ATD constam do Anexo III.

9.2 A Fitrack dará ao Responsável pelo Tratamento, pelo menos, trinta (30) dias de aviso prévio da adição ou substituição de um Subcontratante Secundário, atualizando a lista do Anexo III (ou o seu equivalente online) e notificando o Responsável pelo Tratamento através dos Serviços ou por correio eletrónico. O Responsável pelo Tratamento pode opor-se com base em motivos documentados e razoáveis de proteção de dados dentro desse prazo de aviso. Se a objeção não puder ser resolvida, o Responsável pelo Tratamento pode rescindir a parte afetada dos Serviços mediante aviso prévio e receber o reembolso pro-rata das taxas pré-pagas pelo restante do prazo.

9.3 A Fitrack imporá a cada Subcontratante Secundário obrigações de proteção de dados não menos protetoras do que as estabelecidas neste ATD, garantindo em particular garantias suficientes para implementar medidas técnicas e organizativas adequadas em conformidade com o Artigo 28.º, n.º 4 do RGPD.

9.4 A Fitrack mantém-se plenamente responsável perante o Responsável pelo Tratamento pelo cumprimento das obrigações de qualquer Subcontratante Secundário.

10. Auditorias e Inspeções

10.1 A Fitrack disponibilizará, mediante pedido razoável do Responsável pelo Tratamento e não mais do que uma vez por ano civil (exceto quando exigido por uma Autoridade de Controlo ou na sequência de uma Violação de Dados Pessoais confirmada), as informações necessárias para demonstrar o cumprimento do presente ATD e do Artigo 28.º do RGPD.

10.2 Tais informações serão fornecidas principalmente através de: (a) certificações e atestados de terceiros da Fitrack, quando disponíveis (por exemplo, relatórios ISO 27001, SOC 2, PCI-DSS de Subcontratantes Secundários relevantes); (b) respostas a questionários razoáveis de segurança e privacidade; (c) resumos de testes de penetração e revisões de segurança recentes, quando aplicável.

10.3 Quando as informações referidas na Cláusula 10.2 forem insuficientes para demonstrar o cumprimento, o Responsável pelo Tratamento pode solicitar uma auditoria no local, sujeita a: (a) pelo menos trinta (30) dias de aviso prévio por escrito; (b) celebração de um acordo de confidencialidade habitual; (c) auditorias realizadas durante o horário de expediente, de forma a não perturbar indevidamente as operações da Fitrack; (d) auditorias realizadas pelo Responsável pelo Tratamento ou por um auditor independente de reputação aprovado mutuamente (excluindo auditores que sejam concorrentes da Fitrack); (e) auditorias limitadas a informações, sistemas e pessoal relevantes para o tratamento dos Dados Pessoais do Responsável.

10.4 O Responsável pelo Tratamento suporta os custos das auditorias, salvo se a auditoria revelar uma não-conformidade material imputável à Fitrack, caso em que a Fitrack suporta os custos razoáveis.

11. Confidencialidade

11.1 As Partes tratarão como confidencial toda a informação trocada no âmbito do presente ATD, exceto quando a divulgação for exigida por lei ou por uma autoridade competente.

11.2 As obrigações de confidencialidade ao abrigo do presente ATD sobrevivem à sua rescisão.

12. Devolução ou Eliminação dos Dados Pessoais do Responsável

12.1 Após a cessação ou expiração do Acordo Principal, a Fitrack, à escolha do Responsável pelo Tratamento: (a) devolverá todos os Dados Pessoais do Responsável ao Responsável pelo Tratamento num formato estruturado, de uso corrente e de leitura automática, na medida do possível através da funcionalidade de exportação dos Serviços; ou (b) eliminará todos os Dados Pessoais do Responsável.

12.2 O Responsável pelo Tratamento deve comunicar a sua escolha no prazo de trinta (30) dias após a cessação. Na ausência de escolha, a Fitrack eliminará os Dados Pessoais do Responsável após esse período.

12.3 A Fitrack eliminará os Dados Pessoais do Responsável no prazo de noventa (90) dias após a receção da instrução de eliminação ou o decurso do prazo previsto na Cláusula 12.2, incluindo das cópias de segurança (sujeito aos ciclos de rotação de cópias de segurança, após os quais todas as cópias são removidas).

12.4 A Fitrack pode conservar Dados Pessoais do Responsável na medida e pelo período exigido pela legislação da UE ou de um Estado-Membro (por exemplo, registos fiscais ao abrigo do Código do IVA português, conservação de dados de faturação). Esses dados conservados mantêm-se sujeitos ao presente ATD.

12.5 Mediante pedido, a Fitrack emitirá uma confirmação escrita da eliminação.

12.6 A presente Cláusula rege a devolução ou eliminação dos Dados Pessoais do Responsável em consequência da cessação do Acordo Principal. Quando um Titular dos Dados elimina diretamente junto da Fitrack a sua conta Fitrack - independentemente da cessação do Acordo Principal com qualquer Responsável pelo Tratamento -, a Fitrack trata os dados de treino e de acompanhamento do plano desse Titular dos Dados nos termos descritos nas Secções 8 e 10 da Política de Privacidade da Fitrack: apaga a nota de texto livre que o Titular dos Dados tenha escrito num resultado registado (mantendo-se o resultado associado à adesão), elimina a sua nota de texto livre sobre um dia de treino, apaga o texto dos seus comentários sobre o treino do dia e a nota que acompanhe o motivo escolhido ao saltar um treino, deixa de o manter como seguidor das programações (planos de treino) que seguia - sem que estas sejam eliminadas, arquivadas ou afetadas para outros seguidores - e substitui o seu nome por um marcador nos pedidos de geração de treino feitos pelo pessoal do Responsável pelo Tratamento, mantendo os resultados, as cargas máximas e o estado de cada dia de treino associados à adesão, como registo do Responsável pelo Tratamento. Este tratamento constitui assistência da Fitrack ao Responsável pelo Tratamento nos termos da alínea (d) da Cláusula 6, e não devolução nem eliminação dos Dados Pessoais do Responsável na aceção desta Cláusula 12.

13. Responsabilidade

13.1 A responsabilidade de cada Parte ao abrigo ou em conexão com o presente ATD está sujeita às limitações e exclusões estabelecidas no Acordo Principal, exceto no que respeita à responsabilidade que não pode ser limitada ao abrigo da legislação aplicável (incluindo a responsabilidade por violação do RGPD perante os Titulares dos Dados).

13.2 Entre as Partes, cada Parte é responsável pelas coimas administrativas que lhe sejam impostas por uma Autoridade de Controlo decorrentes da sua própria violação do RGPD.

14. Vigência, Cessação e Sobrevivência

14.1 O presente ATD entra em vigor na data de entrada em vigor do Acordo Principal e mantém-se em vigor enquanto a Fitrack tratar Dados Pessoais do Responsável por conta do Responsável pelo Tratamento.

14.2 A cessação do Acordo Principal rescinde automaticamente o presente ATD, sem prejuízo da Cláusula 12 (devolução ou eliminação) e das disposições que, pela sua natureza, sobrevivam.

14.3 As Cláusulas 7 (notificação de violações pós-cessação quando aplicável), 11 (confidencialidade), 12 (devolução ou eliminação), 13 (responsabilidade) e 14 (esta cláusula) sobrevivem à cessação.

15. Lei Aplicável e Jurisdição

15.1 O presente ATD é regido pela lei portuguesa.

15.2 Os tribunais de Lisboa, Portugal, têm jurisdição exclusiva sobre qualquer litígio emergente ou relacionado com o presente ATD, sem prejuízo das regras de jurisdição obrigatória ao abrigo do RGPD.

15.3 Se as CCT da UE se aplicarem, as disposições de lei aplicável e foro das CCT (Cláusula 8.3) aplicam-se às transferências abrangidas por estas.

16. Ordem de Precedência

Em caso de conflito entre o presente ATD e o Acordo Principal, o ATD prevalece em matéria de proteção de dados. Em caso de conflito entre o ATD e as CCT da UE (quando aplicáveis), as CCT da UE prevalecem na medida do conflito.

17. Disposições Gerais

17.1 Alterações. A Fitrack pode alterar o presente ATD quando tal seja necessário para refletir alterações na legislação aplicável, orientações de reguladores, recomendações do CEPD ou alterações nas CCT, mediante aviso prévio ao Responsável pelo Tratamento de pelo menos trinta (30) dias. Outras alterações requerem acordo escrito de ambas as Partes.

17.2 Ausência de direitos de terceiros. Exceto conforme expressamente previsto (por exemplo, direitos dos Titulares dos Dados ao abrigo das CCT), o presente ATD não confere direitos a terceiros.

17.3 Divisibilidade. Se qualquer disposição for considerada inválida ou inaplicável, as disposições restantes continuam em plena vigência.

17.4 Notificações. As notificações ao abrigo do presente ATD devem ser enviadas para os endereços de contacto estabelecidos no Acordo Principal ou, para a Fitrack, para info@fitrack.app.

17.5 Assinatura. O presente ATD considera-se aceite pelo Responsável pelo Tratamento ao celebrar o Acordo Principal e ao continuar a utilizar os Serviços. Quando um Responsável pelo Tratamento requeira um exemplar assinado, a Fitrack assinará um exemplar mediante pedido.

17.6 Idioma. O presente ATD é disponibilizado em português.

Anexo I - Descrição do Tratamento

A. Lista das Partes

B. Descrição da Transferência / Tratamento

Categorias de Titulares dos Dados:

• Clientes do Operador (membros de ginásio, participantes em aulas, participantes em eventos, atletas, espetadores);
• Funcionários, treinadores e pessoal do Operador, geridos pelo Operador através dos módulos de gestão de pessoal e de processamento de remunerações da Plataforma, independentemente de terem ou não acesso aos Serviços;
• Prospetos e contactos comerciais (leads) e visitantes pontuais (participantes em aulas avulsas / drop-in) registados pelo Operador, ainda que sem conta na Plataforma, incluindo as pessoas que submetem um formulário público publicado pelo Operador (ligação, código QR ou formulário incorporado no sítio do Operador);
• Outras pessoas singulares cujos dados são carregados pelo Operador (por exemplo, contactos de emergência, tutores de menores).

Categorias de Dados Pessoais:

• Dados de identificação e contacto (nome, e-mail, telefone, fotografia, data de nascimento, género, língua, morada, cidade, país e código postal, número de identificação fiscal (NIF), nome e telefone de contacto de emergência, e o número ou identificador de sócio atribuído pelo Responsável pelo Tratamento). O Responsável pelo Tratamento pode marcar um subconjunto destes dados como de preenchimento obrigatório, condicionando a utilização da aplicação de membro ao seu fornecimento, incluindo por parte dos Titulares dos Dados já registados à data em que essa exigência é ativada; a decisão sobre que campos exigir e a respetiva base jurídica cabem ao Responsável pelo Tratamento;
• Dados de conta e autenticação (nome de utilizador, palavra-passe com hash, tokens de sessão);
• Dados de subscrição e reserva (subscrições, aulas, eventos, inscrições, afiliações de equipas, registos de presença e check-in, faltas/não comparências, penalizações de reserva - perda de crédito de aula, taxa ou restrição temporária a novas reservas - e consumo de créditos do plano por reserva);
• Dados de contacto de visitantes pontuais (drop-in) e de contactos comerciais (leads) registados pelo Operador (nome e, opcionalmente, e-mail e telefone);
• Dados do registo de prospeto (contacto comercial / lead) mantido pelo Responsável pelo Tratamento sobre pessoas que não são membros e podem não ter conta na Plataforma - nome, telefone, e-mail, data de nascimento, interesse manifestado, etiquetas, origem do contacto (canal ou campanha, detalhe de origem, parâmetros de campanha (UTM), código de parceiro e membro que o referenciou), local associado, funcionário responsável pelo seguimento, fase do funil e histórico de mudanças de fase (com motivo de perda quando aplicável), tarefas de seguimento (tipo, prazo, responsável e resultado), notas de texto livre escritas pelo pessoal e histórico de interações (chamadas, mensagens de WhatsApp, e-mails, visitas, reservas, submissões de formulário e fusões de registos duplicados, com sentido, resultado e data/hora). O telefone e o e-mail são conservados também em forma normalizada para permitir a deteção de registos duplicados da mesma pessoa. Quando o prospeto se converte, o registo é associado à adesão criada;
• Registos de consentimento e de oposição de prospetos (por prospeto e por canal - e-mail, notificação push, WhatsApp e SMS) - sentido da resposta (aceitação, não oposição na qualidade de cliente existente, ou recusa), fundamento invocado pelo Responsável pelo Tratamento, origem (primeiro arranque da aplicação, indicação do próprio, registo pelo pessoal, pedido de cancelamento, ou importação a partir de um sistema anterior do Responsável pelo Tratamento), data/hora, autor do registo e elementos de prova associados. Estes registos são acrescentados e nunca alterados ou apagados e acompanham o prospeto em caso de conversão em membro;
• Dados de check-in por autoatendimento - quando o Operador ativa o check-in pelo próprio Cliente do Operador com verificação de proximidade por geovalorização (geofence), uma leitura pontual das coordenadas de GPS do dispositivo do Cliente do Operador é transmitida no momento do check-in e utilizada apenas para verificar a proximidade ao local, não sendo armazenada (conserva-se apenas o facto e a data/hora do check-in); em alternativa, o Operador pode ativar o check-in por código QR rotativo apresentado no local ou por janela horária, sem tratamento de dados de localização;
• Dados de pagamento (dados de faturação, tokens de método de pagamento, registos de faturas, referências de mandato de débito direto - sem números de cartão completos armazenados pela Fitrack);
• Dados de desempenho e aptidão física (pontuações de treino, classificações, tabelas de líderes);
• Dados de treino e de acompanhamento do plano - resultados registados pelo Cliente do Operador ou pelo pessoal do Operador por sua conta, cargas máximas por exercício (incluindo de Clientes do Operador sem conta na Plataforma), estado de cada dia de treino (concluído ou saltado), a nota do Cliente do Operador sobre um dia de treino, o motivo escolhido ao saltar um treino programado pelo Operador (lista fechada que inclui lesão e doença) e a nota opcional que o acompanhe, bem como os comentários dos Clientes do Operador sobre o treino do dia e as reações aos resultados;
• Dados de gestão de pessoal do Operador - relativos aos funcionários, treinadores e pessoal geridos pelo Operador: dados de contacto profissional (telefone) e biografia/notas de perfil, funções/cargos atribuídos, locais de trabalho, datas de admissão e cessação, eventos do ciclo de vida da relação laboral (incluindo motivos de suspensão e de cessação registados pelo Operador), certificações profissionais e respetivos documentos comprovativos carregados, bem como a associação entre membros do pessoal (treinadores) e os membros por quem são responsáveis;
• Dados de remuneração do pessoal do Operador - regras de compensação, salários, valores por aula, valores horários, comissões, bónus e deduções, e os registos de processamento de remunerações (folhas de pagamento, linhas de remuneração e respetivos montantes) gerados pelo Operador através do módulo de processamento de remunerações. Estes dados respeitam exclusivamente à remuneração do pessoal do Operador; não incluem dados de cartão de pagamento nem dados PCI dos membros do pessoal;
• Comunicações (mensagens, pedidos de suporte, transmissões);
• Comunicações do Responsável pelo Tratamento aos seus membros e respetivos metadados de envio - conteúdo composto pelo Responsável pelo Tratamento, definição do público-alvo, registo por destinatário (adesão visada, canais previstos, motivo de exclusão, idioma) e dados de entrega do e-mail (estado, devoluções (bounces) e reclamações de spam comunicadas pelo fornecedor de e-mail);
• Registos de consentimento e de oposição a comunicações (por adesão e por canal) - sentido da resposta (aceitação, não oposição na qualidade de cliente existente, ou recusa), fundamento invocado, origem da resposta (primeiro arranque da aplicação de membro, ecrã de preferências, ligação de recusa no e-mail, reclamação de spam comunicada pelo fornecedor, ou registo pelo pessoal do Responsável pelo Tratamento), data/hora, autor do registo e elementos de prova associados (por exemplo, versão da aplicação e do texto apresentado). Estes registos são acrescentados e nunca alterados ou apagados: o histórico constitui a prova;
• Dados das submissões de formulários públicos publicados pelo Responsável pelo Tratamento e preenchidos sem conta na Plataforma - dados de contacto que o Responsável pelo Tratamento escolha pedir (nome, e-mail, telefone, data de nascimento, morada, cidade, código postal, país e número de identificação fiscal (NIF)), respostas às perguntas por si configuradas, aula, plano ou oferta selecionada, endereço do sítio a partir do qual o formulário foi apresentado (host origin) e parâmetros de campanha (UTM e identificadores de clique de anúncio), estado e datas de submissão e de confirmação, referência de pagamento quando aplicável, dados de faturação indicados no passo de pagamento online (nome, e-mail, telefone, NIF, morada, código postal, cidade e país) e número de telemóvel para o pedido de pagamento MB WAY, e uma ligação privada (token) que permite ao Titular dos Dados consultar, alterar ou cancelar a marcação resultante;
• Registos de confirmação e de aceitação em formulário público - por cada documento apresentado ao Titular dos Dados no formulário (o aviso de transparência da Fitrack, descrito nas finalidades abaixo, e os documentos próprios que o Responsável pelo Tratamento anexe), o documento e a respetiva versão à data da aceitação, a data/hora, o endereço IP e o agente de utilizador (user-agent) do dispositivo. Estes registos são acrescentados e nunca alterados ou apagados: constituem a prova de que o texto foi apresentado e só são eliminados juntamente com a submissão a que respeitam (Anexo II.9);
• Registos de utilização de formulários públicos - abertura do formulário, início do preenchimento e passos concluídos, com data/hora, origem de campanha (utm_source), endereço do sítio de apresentação e um identificador aleatório de visitante gerado no navegador do Titular dos Dados, próprio de cada formulário, guardado apenas no armazenamento de sessão do separador do navegador (deixa de existir quando este é fechado) e substituído após cada submissão concluída; sem respostas nem dados de contacto;
• Indicador de membros em risco e registos de contactos de retenção - por adesão assinalada, o nível atribuído (observar, atenção, alto ou crítico), os motivos e os valores que os sustentam (assiduidade face ao padrão habitual do membro, adaptação de novos membros, fim do plano e renovação, créditos, saldo em atraso e pagamentos falhados, mudança de plano agendada, penalizações, listas de espera, recusa de notificações, pedidos de apoio em aberto e fim de suspensão), o canal de contacto disponível, a data da última presença em aula, a data em que se aplicariam as regras de inativação automática que o Responsável pelo Tratamento tenha ativado, e as datas de sinalização, de mudança de nível e de resolução, com o respetivo motivo; e, por cada contacto registado pelo pessoal do Responsável pelo Tratamento a partir da lista de membros em risco, o canal, a data/hora, o funcionário autor, uma nota de texto livre opcional e o adiamento do seguimento escolhido (o indicador e estes registos, incluindo o próprio facto de o contacto ter sido feito, são apresentados apenas ao pessoal do Responsável pelo Tratamento na aplicação Admin, incluindo no seu registo de auditoria, cuja entrada não contém a nota de texto livre, e não ao Titular dos Dados);
• Respostas a formulários, documentos assinados, termos de responsabilidade e ficheiros carregados;
• Dados de dispositivo e utilização (IP, tipo de dispositivo, versão da aplicação, dados de sessão e de falhas);
• Dados técnicos de dispositivos de exibição (aplicação TV) associados pelo Operador - endereço IP, agente de utilizador (user-agent), modelo e marca do dispositivo e dimensões/densidade do ecrã, reportados pelo próprio dispositivo na inicialização para gestão e diagnóstico do parque de ecrãs.

Categorias Especiais de Dados (Artigo 9.º do RGPD):

• Dados relacionados com a saúde podem ser tratados quando o Operador recolhe declarações médicas, historial de lesões ou avaliações de aptidão física através de formulários configuráveis ou exigidos pelas políticas do Operador, ou quando o pessoal do Operador (treinadores) regista notas de lesão no contexto da participação de um Cliente do Operador numa aula, ou ainda quando o Cliente do Operador indica lesão ou doença como motivo para saltar um treino programado, com a nota opcional que o acompanhe, apresentados aos treinadores do Operador na aplicação Admin.

O Operador é responsável por assegurar que existe uma base jurídica ao abrigo do Artigo 9.º (tipicamente consentimento explícito ao abrigo do Artigo 9.º, n.º 2, alínea a), ou razões de saúde e segurança ao abrigo do Artigo 9.º, n.º 2, alínea h), com as salvaguardas adequadas) antes de qualquer dado desta natureza ser carregado nos Serviços.

As notas do registo de prospeto não dispõem de campos clínicos (área do corpo afetada, restrições, acompanhamento de lesão) e não se destinam a registar dados de categoria especial; tratando-se de texto livre, cabe ao Responsável pelo Tratamento não aí registar dados abrangidos pelo Artigo 9.º do RGPD.

O acesso do pessoal do Responsável pelo Tratamento às notas de lesão e de acompanhamento está sujeito a uma permissão dedicada a notas («ver notas» para a leitura; «gerir notas» para a alteração), atribuída pelo Responsável pelo Tratamento a cada função do seu pessoal: ao pessoal sem essa permissão, os Serviços devolvem estes campos em branco e recusam qualquer alteração aos mesmos. A ocultação é aplicada do lado do servidor em todas as superfícies que apresentam estes campos - o registo de membro, a lista de inscritos numa aula e o resumo de aula assistido por IA -, através de uma única regra de verificação partilhada por todas elas, de modo a não subsistirem caminhos de leitura com proteção diferente. Esta permissão é distinta da permissão de acesso ao registo de membro («ver membros» / «gerir membros»), pelo que o Responsável pelo Tratamento pode retirar a uma função o acesso às notas de categoria especial sem lhe retirar o acesso ao registo de membro, e vice-versa. A mesma permissão protege as notas do registo de prospeto apresentadas na lista de inscritos numa aula e utilizadas no resumo de aula. A configuração destas permissões e a decisão sobre que funções as detêm são da responsabilidade do Responsável pelo Tratamento.

Quando o Operador ativa a funcionalidade de resumo de aula assistido por inteligência artificial (IA), as notas de lesão e as notas de acompanhamento dos membros inscritos numa aula, bem como as notas do registo de prospeto de quem esteja inscrito sem ser membro, podem ser tratadas para gerar um resumo pré-aula para os treinadores (aplicação Staff). A identidade dos membros é pseudonimizada (substituída por um pseudónimo, p. ex. «Membro A») antes de qualquer transmissão ao Subcontratante Secundário de modelo de linguagem indicado no Anexo III; o nome e o identificador do membro não são transmitidos ao modelo. O Operador mantém-se responsável pela base jurídica ao abrigo dos Artigos 6.º e 9.º do RGPD para esta finalidade.

A geração deste resumo é executada por um processo automático do sistema, sem utilizador associado, pelo que utiliza aquelas notas independentemente das permissões de quem venha a consultá-lo; o acesso ao resumo está sujeito à mesma permissão dedicada a notas descrita acima. Ao pessoal que não a detenha, os Serviços não devolvem nenhuma parte do texto gerado (nem o título nem qualquer observação) e devolvem a zero os contadores de membros com nota de lesão ou de acompanhamento, mantendo apenas os dados da própria aula (número de inscritos, membros recentes e membros que regressam após ausência).

Natureza do Tratamento: Alojamento, armazenamento, organização, recuperação, transmissão, exibição, cópia de segurança, eliminação, análise e outras operações necessárias para prestar os Serviços descritos no Acordo Principal.

Finalidades do Tratamento:

• Operação dos Serviços para o Operador;
• Gestão de membros, aulas, subscrições, eventos, inscrições, pagamentos e pontuações;
• Aplicação das regras automáticas de ciclo de vida da adesão que o Responsável pelo Tratamento configure - inativação automática da adesão por pagamento em atraso, por ausência de presenças em aula ou por ausência de plano ativo (verificação periódica diária, com registo do motivo no registo de atividade e reversível pelo pessoal do Responsável pelo Tratamento, e apresentação a esse pessoal, na aplicação Admin, das adesões assim inativadas num período recente por este definido e que continuem inativas), restrição de acesso à aplicação de membro enquanto existir dívida acima do montante ou da antiguidade configurados, e cálculo do indicador de membros em risco (verificação periódica diária de cada adesão ativa ou suspensa segundo motivos nomeados de assiduidade, adaptação de novos membros, plano, pagamento, atritos na utilização e fim de suspensão, com limiares configuráveis pelo Responsável pelo Tratamento e valores por omissão, algumas comparações feitas com o padrão habitual do próprio membro, e atribuição de um de quatro níveis sem pontuação numérica; apresentação ao pessoal do Responsável pelo Tratamento, apenas na aplicação Admin, de uma lista de seguimento ordenada por prioridade, do indicador na ficha e na cronologia do membro e de contagens agregadas; pré-visualização, sem alteração de registos, do efeito de limiares ainda não guardados; registo dos contactos de retenção efetuados, igualmente apresentado apenas ao pessoal do Responsável pelo Tratamento, incluindo no seu registo de auditoria, e nunca ao membro; os motivos relativos a pagamentos e saldo são apresentados apenas ao pessoal com acesso ao saldo dos membros, com a gestão de membros ou com a administração da conta do Responsável pelo Tratamento), meramente informativo, que não altera por si só o estado da adesão nem o acesso do membro e não desencadeia por si só qualquer comunicação ao membro. A ativação destas regras, os respetivos limiares e as consequências delas retiradas são decisão do Responsável pelo Tratamento, a quem cabe igualmente avaliar e assegurar o cumprimento do Artigo 22.º do RGPD quanto a estas regras. Quanto ao indicador de membros em risco, que avalia aspetos do comportamento dos membros (assiduidade e pagamentos incluídos) e pode constituir definição de perfis, cabe ao Responsável pelo Tratamento, e não à Fitrack, determinar o respetivo fundamento de licitude, prestar aos Titulares dos Dados a informação exigida pelos Artigos 13.º e 14.º (incluindo o direito de oposição previsto no Artigo 21.º), avaliar a aplicabilidade do Artigo 22.º e a necessidade de uma avaliação de impacto sobre a proteção de dados nos termos do Artigo 35.º do RGPD, com a assistência da Fitrack prevista na alínea (e) da Cláusula 6;
• Gestão da ligação entre a adesão e a conta Fitrack do Titular dos Dados - associação por convite e desassociação (unlink) da conta a pedido do Responsável pelo Tratamento; a desassociação remove apenas a ligação entre os dois, mantendo-se a conta do Titular dos Dados (que lhe pertence e pode servir outros Responsáveis pelo Tratamento) e o registo de adesão do Responsável pelo Tratamento;
• Gestão de presenças e check-in em aulas, listas de espera, consumo de créditos do plano por reserva e aplicação das políticas de cancelamento tardio e não comparência configuradas pelo Operador (perda de crédito de aula, taxa ou restrição temporária a novas reservas), incluindo o registo de participações avulsas (drop-in) de visitantes sem conta e o seu eventual registo como contacto comercial (lead);
• Publicação e operação dos formulários públicos do Responsável pelo Tratamento - apresentação das páginas públicas de formulário (pedido de informação, aula experimental, participação avulsa (drop-in) e adesão), acessíveis por ligação, código QR ou incorporadas no sítio do Responsável pelo Tratamento e preenchidas sem conta na Plataforma, salvo no passo de pagamento online, que exige que o Titular dos Dados inicie sessão numa conta Fitrack ou crie uma, e quando o e-mail indicado já pertença a uma conta Fitrack, caso em que a submissão só é aceite com sessão iniciada nessa conta, fica associada à conta e reutiliza a adesão que o Titular dos Dados já tenha junto do Responsável pelo Tratamento (reativando-a, se estiver inativa); sem essa sessão, uma coincidência de e-mail ou telefone com os dados de contacto de uma ficha de membro não associa a submissão a essa ficha; receção e conservação das submissões; notificação do pessoal indicado pelo Responsável pelo Tratamento; aprovação ou rejeição da submissão quando este ative essa exigência; criação ou atualização do registo de prospeto correspondente e, quando aplicável, da reserva de aula, da adesão e do respetivo pagamento; e envio das mensagens de confirmação e de lembrete da marcação resultante; recolha dos dados de faturação no passo de pagamento online, sua transmissão para a emissão da fatura através do fornecedor de software de faturação escolhido e configurado pelo Responsável pelo Tratamento (que atua por conta deste e não é Subcontratante Secundário da Fitrack - ver Anexo III), prevalecendo na fatura, campo a campo, os dados de faturação indicados pelo Titular dos Dados, e sendo os campos deixados em branco completados com os dados da ficha de membro quando existam, recusa de iniciar o pagamento online enquanto faltarem dados que o Responsável pelo Tratamento exija para faturar, e cópia do NIF e dos dados de morada e telefone indicados para a fatura para a ficha de membro quando a adesão é confirmada; registo da escolha do Titular dos Dados (plano ou aula) sem pagamento online quando o Responsável pelo Tratamento opte por receber o pagamento presencialmente; cálculo das estatísticas de cada formulário (visitas, inícios, passos e submissões) a partir dos registos de utilização, contando uma única vez a mesma visita através do identificador aleatório de visitante; eliminação definitiva de uma submissão, a pedido do pessoal do Responsável pelo Tratamento com a permissão de gestão de formulários, na aplicação Admin (ver Anexo II.9); e transferência, para esta funcionalidade, das submissões recebidas nos formulários de captura do sistema anterior da Fitrack, com os mesmos dados. A escolha dos campos pedidos, das perguntas, dos documentos anexados e da finalidade de cada formulário, bem como a base jurídica do tratamento dos dados assim recolhidos, são da responsabilidade do Responsável pelo Tratamento;
• Apresentação do aviso de transparência da Fitrack no formulário público e registo da sua confirmação - em todos os formulários públicos, e antes da submissão, a Plataforma apresenta ao Titular dos Dados um aviso da Fitrack, ao abrigo do Artigo 13.º do RGPD, que a identifica como subcontratante que trata os dados por conta do Responsável pelo Tratamento identificado no formulário, indica as finalidades, o fundamento, os destinatários e a forma de exercer os direitos, e remete para a Política de Privacidade da Fitrack. Este aviso não constitui um consentimento do Titular dos Dados à Fitrack: o fundamento do tratamento das submissões é a execução de diligências pré-contratuais tomadas a pedido do Titular dos Dados (Art. 6.º(1)(b) do RGPD), mantendo-se o Responsável pelo Tratamento responsável pela base jurídica do tratamento que efetua. A confirmação do Titular dos Dados, e a aceitação dos documentos que o Responsável pelo Tratamento anexe ao formulário, são registadas nos termos descritos nas categorias de dados acima e ficam à disposição do Responsável pelo Tratamento como elemento de prova;
• Proteção dos formulários públicos contra utilização abusiva - apresentação de um desafio de verificação fornecido pelo Subcontratante Secundário indicado no Anexo III (Cloudflare Turnstile), que trata o endereço IP e sinais técnicos do navegador do Titular dos Dados para distinguir pessoas de submissões automatizadas, aplicação de limites de frequência por endereço IP e por formulário, campo-armadilha invisível e validação de um token de sessão de curta duração. Esta medida é executada pela Fitrack para assegurar a segurança dos Serviços (Anexo II) e do formulário do Responsável pelo Tratamento;
• Gestão de contactos comerciais (leads) do Responsável pelo Tratamento - manutenção do registo de prospeto descrito nas categorias de dados acima, atribuição de responsável, organização por fases do funil, agendamento e acompanhamento de tarefas, registo de notas e do histórico de interações, deteção e fusão de registos duplicados da mesma pessoa a partir do telefone e do e-mail normalizados, conversão do prospeto em membro, e apresentação destes registos ao pessoal autorizado nas aplicações Admin e Staff. O acesso está limitado ao pessoal a quem o Responsável pelo Tratamento atribua a permissão correspondente (consulta, gestão e configuração do funil), podendo ainda a permissão de gestão de uma função ser restringida aos prospetos de que essa função é a responsável atribuída. As notas do registo de prospeto são igualmente apresentadas na lista de inscritos da aula em que o prospeto esteja inscrito e utilizadas no resumo de aula assistido por IA, sob a permissão dedicada a notas descrita acima;
• Regras automáticas aplicáveis ao registo de prospeto - atualização automática da fase do funil a partir de reservas, cancelamentos, check-in, não comparências e reposição de presenças; verificação periódica (diária) que aplica a mesma reclassificação às não comparências apuradas automaticamente pelo sistema e que assinala as tarefas de seguimento cujo prazo passou sem conclusão (esta última sem alterar a fase); e anonimização automática do registo de prospeto não convertido decorrido o período de inatividade configurado pelo Responsável pelo Tratamento. Cada alteração é registada no histórico do prospeto e no registo de auditoria, e o pessoal do Responsável pelo Tratamento pode mover manualmente o prospeto para outra fase. Cabe ao Responsável pelo Tratamento avaliar e assegurar o cumprimento do Artigo 22.º do RGPD quanto a estas regras;
• Contacto por WhatsApp a partir do registo de prospeto - construção de uma ligação que abre uma conversa de WhatsApp com o prospeto, a partir do seu número de telefone e, quando configurado, de um texto-modelo definido pelo Responsável pelo Tratamento. A mensagem é aberta e enviada pela aplicação WhatsApp do próprio membro do pessoal do Responsável pelo Tratamento: a Fitrack não envia a mensagem, não a conserva e não transmite quaisquer dados ao WhatsApp, pelo que este não é um Subcontratante Secundário (Anexo III). A divulgação do contacto do prospeto ao WhatsApp é efetuada pelo Responsável pelo Tratamento e é da sua responsabilidade. A Plataforma não efetua qualquer envio automático de comunicações de marketing a prospetos;
• Verificação de presença por autoatendimento (check-in pelo próprio Cliente do Operador), através dos métodos que o Operador ativar: verificação de proximidade por geovalorização (geofence, mediante uma leitura pontual e não armazenada das coordenadas de GPS do dispositivo), leitura de código QR rotativo apresentado num ecrã instalado no local, ou janela horária; e configuração pelo Operador dos seus locais e da respetiva área de geovalorização (incluindo a geocodificação da morada e a apresentação de mapas na aplicação Admin);
• Gestão do pessoal do Operador - registo de funcionários, treinadores e pessoal, atribuição de funções, locais de trabalho e certificações, gestão do ciclo de vida da relação laboral (admissão, suspensão, cessação) e dos horários de trabalho, e associação de treinadores aos membros por quem são responsáveis;
• Processamento de remunerações do pessoal do Operador - configuração de regras de compensação e geração de folhas de pagamento, incluindo o cálculo de salários, valores por aula, valores horários, comissões, bónus e deduções, por conta e sob instrução do Operador;
• Entrega de comunicações, notificações e transmissões na aplicação;
• Composição e difusão das comunicações do Responsável pelo Tratamento aos seus próprios membros - definição do público-alvo (todos os membros, ou membros filtrados por critérios como plano, local, presença em aulas ou estado da adesão), pré-visualização da lista nominativa dos membros abrangidos pelo pessoal autorizado do Responsável pelo Tratamento, entrega no ecrã «Anúncios» da aplicação Client e, quando o Responsável pelo Tratamento o escolha, por notificação push e por e-mail, e apresentação ao pessoal autorizado do resultado por destinatário. Os e-mails são enviados a partir da infraestrutura da Fitrack com o nome de exibição «<Ginásio> via Fitrack» e com o endereço de contacto do Responsável pelo Tratamento como endereço de resposta (Reply-To), previamente confirmado através de ligação enviada para esse endereço; nas comunicações promocionais é ainda apresentado o nome e a morada do Responsável pelo Tratamento a partir dos seus dados de faturação. A escolha do conteúdo, do público-alvo, do canal e da classificação (de serviço ou promocional) - e a base jurídica do envio, incluindo o cumprimento da Lei n.º 41/2004 - são da exclusiva responsabilidade do Responsável pelo Tratamento;
• Gestão da recusa e registo do consentimento e da oposição - inclusão, em todos os e-mails de comunicações do Responsável pelo Tratamento, de uma ligação de recusa que não exige o início de sessão e, nos e-mails promocionais, dos cabeçalhos de cancelamento com um clique previstos na RFC 8058; recolha da resposta do Titular dos Dados na aplicação de membro (aceitação ou recusa de comunicações promocionais); registo automático de uma recusa quando o fornecedor de e-mail comunica uma reclamação de spam; e conservação, para o Responsável pelo Tratamento, do registo descrito nas categorias de dados acima, destinado a permitir-lhe demonstrar o que lhe foi comunicado;
• Proteção da entregabilidade da Plataforma - verificação periódica automática das devoluções (bounces) e reclamações de spam por Responsável pelo Tratamento e suspensão do respetivo canal de e-mail quando ultrapassados os limiares definidos pela Fitrack, mantendo-se os restantes canais; e contagem dos e-mails enviados no período de faturação para efeitos do limite incluído no plano de Subscrição do Responsável pelo Tratamento;
• Apresentação, ao pessoal autorizado do Responsável pelo Tratamento, de uma caixa de entrada de atividade na aplicação Admin que reorganiza eventos do próprio negócio derivados da atividade na Plataforma (p. ex., adesão de membro, nova inscrição/contacto, cancelamento de subscrição, pagamento recebido), podendo cada item conter o nome do Titular dos Dados a que o evento respeita; a visibilidade de cada item é limitada ao pessoal que detenha a permissão adequada à categoria do evento;
• Geração de classificações, tabelas de líderes e exibições de transmissão, incluindo a tabela do treino do dia do Operador na aplicação de membro e nos ecrãs TV (nome, fotografia de perfil, posição e resultado), apresentada apenas quando o Operador ativa a definição que mostra aos membros os resultados dos outros membros, e filtrável por género quando o género tenha sido indicado;
• Disponibilização, quando o Operador as ativa, de comentários sobre o treino do dia (com nome e fotografia de perfil do autor, visíveis aos Clientes do Operador que treinam a mesma programação e moderáveis pelo pessoal autorizado do Operador) e de reações aos resultados (apresentadas apenas como contagens);
• Apresentação, apenas ao próprio Titular dos Dados e na área da sua conta, do seu histórico de treino reunido de todos os Operadores onde treinou; os dados de treino registados junto de um Operador não são disponibilizados aos restantes Operadores;
• Publicação de páginas públicas de eventos e competições (aplicação Compete), acessíveis a espetadores e ao público em geral através de um endereço público próprio de cada evento, apresentando, consoante as definições de visibilidade configuradas pelo Operador e o formato do evento, o nome e a equipa dos atletas/inscrições, a divisão, a posição/pontuações e resultados, a composição de séries (heats) e atribuição de pistas, e perfis públicos de participante (nome, equipa, imagem). Os eventos podem ser intertenant, pelo que uma página pública de evento pode apresentar atletas inscritos a partir de organizações distintas da que o organiza;
• Exibição de conteúdo configurado pelo Operador em ecrãs ou dispositivos de exibição (aplicação TV) instalados nas suas instalações, incluindo quadros de inscrições em aulas (nome e fotografia de perfil dos membros inscritos), classificações/pódios (nome, equipa e resultados dos atletas) e o treino do dia com a respetiva tabela (nome, fotografia de perfil, posição e resultado dos membros), visíveis às pessoas presentes no espaço físico do Operador;
• Geração de um resumo de aula assistido por inteligência artificial (IA) para os treinadores do Operador (aplicação Staff), a partir das notas de lesão/acompanhamento dos membros inscritos, do treino do dia e dos sinais de presença, com pseudonimização da identidade dos membros (pseudónimo em vez do nome/identificador) antes de qualquer transmissão ao Subcontratante Secundário de modelo de linguagem indicado no Anexo III, e conservação de um registo interno das invocações de IA (pedido pseudonimizado, resultado, modelo e custo) para gestão de custos, auditoria e segurança da funcionalidade;
• Prestação de suporte e segurança ao Operador e aos seus utilizadores;
• Realização de operações técnicas como cópia de segurança, monitorização e resposta a incidentes.

Duração do Tratamento: Pelo prazo do Acordo Principal, acrescido dos períodos de retenção estabelecidos na Política de Privacidade da Fitrack e na Cláusula 12 do presente ATD.

C. Frequência

O tratamento é contínuo, ocorrendo sempre que o Responsável pelo Tratamento, os seus utilizadores autorizados ou os Titulares dos Dados interajam com os Serviços.

D. Autoridade de Controlo Competente

A Autoridade de Controlo do estabelecimento principal do Responsável pelo Tratamento no EEE. Para Operadores estabelecidos em Portugal: Comissão Nacional de Proteção de Dados (CNPD).

Anexo II - Medidas Técnicas e Organizativas (MTO)

A Fitrack implementa pelo menos as seguintes medidas, tendo em conta o estado da técnica, os custos de implementação e a natureza, âmbito, contexto e finalidades do tratamento, conforme exigido pelo Artigo 32.º do RGPD:

1. Pseudonimização e Encriptação

• TLS 1.2+ para todos os dados em trânsito.
• Encriptação em repouso para a base de dados principal (Supabase / PostgreSQL gerido), armazenamento de objetos (AWS S3) e cópias de segurança.
• Hash de palavras-passe utilizando algoritmos padrão da indústria geridos pelo Supabase Auth.
• Tokenização de dados de pagamento pela Easypay; sem números de cartão completos armazenados pela Fitrack.
• Pseudonimização da identidade dos membros (substituição do nome e do identificador por um pseudónimo, p. ex. «Membro A») antes da transmissão de excertos ao Subcontratante Secundário de modelo de linguagem (IA), no âmbito do resumo de aula assistido por IA.
• Anonimização automática e irreversível dos registos de prospeto (leads) inativos não convertidos, com eliminação definitiva das respetivas notas de texto livre (ver Anexo II.9).

2. Confidencialidade, Integridade, Disponibilidade e Resiliência

• Isolamento multi-tenant aplicado ao nível da base de dados através de Row-Level Security (RLS) do PostgreSQL.
• Controlos de acesso baseados em funções (RBAC) e princípios de privilégio mínimo para acesso do pessoal.
• Ocultação (redação) do lado do servidor dos campos de categoria especial do registo de membro (notas de lesão e de acompanhamento), e das notas do registo de prospeto, em todas as superfícies que os apresentam - registo de membro, lista de inscritos numa aula e resumo de aula assistido por IA -, através de uma única regra de verificação partilhada por todas essas superfícies, de modo a que apenas o pessoal a quem o Responsável pelo Tratamento tenha atribuído a permissão dedicada a notas («ver notas») os possa ler, com recusa de escrita para quem não detenha a permissão de gestão («gerir notas») (ver Anexo I.B).
• Restrição, por permissão atribuída pelo Responsável pelo Tratamento, do acesso ao registo de prospeto (consulta, gestão e configuração do funil), com possibilidade de limitar a permissão de gestão de uma função aos prospetos de que é a responsável atribuída, aplicada ao nível das consultas à base de dados e não apenas na interface.
• Autenticação multifator para consolas administrativas.
• Segregação de rede entre ambientes de produção e não-produção.
• Infraestrutura redundante e cópias de segurança automatizadas (com testes periódicos de restauro).
• Mitigação de DDoS através do fornecedor de alojamento.

3. Restauro da Disponibilidade após Incidente

• Cópias de segurança diárias automatizadas da base de dados principal.
• Procedimentos documentados de resposta a incidentes e recuperação de desastres.
• Objetivo de Ponto de Recuperação (RPO) alvo: 24 horas.
• Objetivo de Tempo de Recuperação (RTO) alvo: 4 horas.

4. Testes e Avaliação Regulares

• Análise automatizada de vulnerabilidades de dependências no pipeline de CI.
• Testes de penetração periódicos por terceiros qualificados.
• Monitorização e alertas de segurança contínuos através do Datadog e dos logs da plataforma.
• Revisão de código e controlos de CI antes da implementação em produção.

5. Medidas de Pessoal e Organizativas

• Obrigações de confidencialidade vinculativas para todos os funcionários e prestadores de serviços.
• Formação em privacidade e segurança para o pessoal com acesso aos Dados Pessoais do Responsável.
• Verificação de antecedentes quando permitida por lei.
• Procedimento de saída documentado para revogar o acesso na partida.

6. Gestão de Fornecedores e Subcontratantes Secundários

• Diligência devida e contratos escritos com todos os Subcontratantes Secundários em conformidade com o Artigo 28.º do RGPD.
• Lista de Subcontratantes Secundários mantida e atualizada conforme estabelecido no Anexo III.

7. Resposta a Incidentes e Notificação de Violações

• Monitorização 24/7 da disponibilidade da plataforma e eventos de segurança.
• Manual de resposta a violações e procedimentos de escalada documentados.
• Notificação de Violações de Dados Pessoais em conformidade com a Cláusula 7 do presente ATD.

8. Apoio aos Direitos dos Titulares dos Dados

• Funcionalidade na aplicação que permite a exportação e eliminação dos Dados Pessoais do Responsável.
• Eliminação, pelo pessoal do Responsável pelo Tratamento com a permissão de gestão de formulários e na aplicação Admin, de uma submissão de formulário público e dos registos que dela dependem, com registo no registo de auditoria (ver Anexo II.9).
• Procedimento interno documentado para assistir o Responsável pelo Tratamento nos pedidos ao abrigo do Capítulo III do RGPD.

9. Minimização de Dados e Retenção

• Períodos de retenção configuráveis para categorias de dados selecionadas.

• Eliminação automatizada de registos expirados quando configurada.

• Anonimização automática dos registos de prospeto (leads) inativos: o Responsável pelo Tratamento define, nas definições de contactos comerciais, o período de inatividade aplicável (por omissão 18 meses), contado a partir da mais recente de: última interação registada, última mudança de fase ou tarefa de seguimento por concluir. Decorrido esse período, e desde que o prospeto nunca tenha sido convertido em membro, uma verificação periódica apaga do registo o telefone, o e-mail (incluindo as respetivas formas normalizadas), a data de nascimento, o interesse, as etiquetas, o detalhe de origem, os parâmetros de campanha (UTM), o código de parceiro e as ligações a uma conta ou a um utilizador que o tenha referenciado, substitui o nome por um marcador e elimina definitivamente as notas de texto livre do registo (que não são apenas ocultadas). Cada anonimização gera uma entrada própria no registo de auditoria do Responsável pelo Tratamento. A operação é irreversível; a adequação do período configurado é decisão do Responsável pelo Tratamento.

• Indicador de membros em risco e registos de contactos de retenção: sem eliminação automática. Os registos resolvidos são conservados como histórico da adesão, incluindo quando a adesão é arquivada (o arquivo resolve o indicador mas não apaga estes registos); o indicador e os contactos são eliminados com a adesão a que respeitam ou com a eliminação da instância do Responsável pelo Tratamento (Cláusula 12).

• Submissões de formulários públicos: conservadas enquanto o Responsável pelo Tratamento as mantiver, sem eliminação automática. Não está em funcionamento qualquer rotina que apague ou anonimize as submissões de formulário decorrido um prazo. O Responsável pelo Tratamento pode eliminar uma submissão a qualquer momento na aplicação Admin, por pessoal a quem tenha atribuído a permissão de gestão de formulários: a eliminação exige essa permissão, e a permissão de consulta de submissões, por si só, não a permite. Na transição dos formulários de captura do sistema anterior para os formulários públicos, os perfis que tinham a permissão de gerir contactos comerciais (leads) sem restrição, e que por isso geriam esses formulários de captura, recebem a permissão de gestão de formulários (e a de consulta de submissões), pelo que o pessoal com esses perfis passa a poder eliminar submissões; os perfis cuja gestão de contactos comerciais está limitada aos contactos próprios não a recebem automaticamente, cabendo ao Responsável pelo Tratamento decidir se lha atribui. O Responsável pelo Tratamento pode atribuir ou retirar esta permissão a qualquer momento, na configuração dos perfis da aplicação Admin. A eliminação é definitiva e apaga, numa única operação, a submissão, os registos de utilização associados a essa submissão e os registos de confirmação e de aceitação em formulário público que lhe respeitam; não apaga o registo de prospeto, a adesão, o pagamento nem a reserva de aula que a submissão tenha originado, que seguem as regras próprias descritas neste ATD e na Política de Privacidade. A eliminação é recusada enquanto estiver em curso um pagamento da submissão, até esse pagamento ser concluído ou expirar, para que um pagamento já efetuado não fique sem a adesão ou a reserva correspondente. Cada eliminação gera uma entrada no registo de auditoria do Responsável pelo Tratamento, identificada apenas por uma referência neutra («Submissão eliminada» e um código curto) e pelo formulário, sem o nome nem os restantes dados eliminados. Os formulários são arquivados, não eliminados. As submissões são ainda eliminadas mediante pedido de apagamento dirigido à Fitrack (info@fitrack.app) e com a eliminação da instância do Responsável pelo Tratamento (Cláusula 12). Os registos de utilização de formulários públicos também não têm eliminação automática; os registos de abertura, início e passos anteriores a uma submissão não lhe estão associados e mantêm-se quando esta é eliminada. A anonimização automática do registo de prospeto descrita acima não abrange a submissão de formulário que lhe deu origem. A definição de um prazo de conservação para estas submissões, e o seu cumprimento, são decisão do Responsável pelo Tratamento, sem prejuízo do apoio devido pela Fitrack ao exercício do direito ao apagamento (Anexo II.8).

Anexo III - Subcontratantes Secundários Autorizados

Os seguintes Subcontratantes Secundários estão autorizados à data de entrada em vigor do presente ATD:

Fornecedor de faturação do Responsável pelo Tratamento. O fornecedor de software de faturação que o Responsável pelo Tratamento configure na Plataforma para emitir as suas faturas (incluindo as faturas dos pagamentos recebidos através dos seus formulários públicos) é escolhido e contratado diretamente pelo Responsável pelo Tratamento, que associa à Plataforma a sua própria conta junto desse fornecedor. Esse fornecedor atua por conta do Responsável pelo Tratamento e não é um Subcontratante Secundário da Fitrack, pelo que não consta da lista acima; a Fitrack limita-se a transmitir-lhe, por instrução do Responsável pelo Tratamento, os dados necessários à emissão de cada fatura. A relação com esse fornecedor, incluindo o respetivo contrato ao abrigo do Artigo 28.º do RGPD, é da responsabilidade do Responsável pelo Tratamento.

Uma lista atualizada é mantida em https://fitrack.app/data-processing-agreement.

Histórico de Versões