RGPD · Como cumprimos
Como o Clybo’ cumpre o Regulamento Geral sobre a Proteção de Dados (RGPD), incluindo o papel de Subcontratante que assumimos perante cada clube.
Esta página resume a forma como o Clybo’ cumpre o Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados, RGPD) e a legislação maltesa que o complementa (Data Protection Act, capítulo 586), e esclarece os papéis do clube (Responsável) e do Clybo’ (Subcontratante).
1. Papéis no RGPD
| Papel | Quem o assume | O que decide |
|---|---|---|
| Responsável pelo Tratamento | O clube desportivo | As finalidades do tratamento dos dados de atletas, encarregados de educação e staff. |
| Subcontratante | FlamaTech Consulting LTD (Clybo’) | Tratar os dados em nome do clube, seguindo as suas instruções, nos termos do DPA assinado. |
| Subcontratantes ulteriores | Os fornecedores indicados na política de privacidade (alojamento, autenticação, pagamentos, email, análise e faturação) | Serviços concretos com contrato de subcontratação nos termos do artigo 28.º do RGPD. A AEAT (administração tributária espanhola) não é subcontratante: recebe registos fiscais por obrigação legal. |
2. Acordo de Tratamento de Dados (DPA)
Antes de criar o clube, o respetivo administrador tem de aceitar eletronicamente os Termos e o DPA em vigor. O sistema regista o utilizador, a data, as versões aceites e a evidência técnica da aceitação. O DPA deve incluir os requisitos do artigo 28.º do RGPD:
- Objeto, duração, natureza e finalidade do tratamento.
- Tipo de dados pessoais e categorias de titulares dos dados.
- Obrigações do Subcontratante: confidencialidade, segurança, assistência ao Responsável, notificação de violações.
- Regime de subcontratantes ulteriores com autorização geral prévia.
- Devolução ou apagamento dos dados no fim do contrato.
Se precisares de uma cópia do DPA antes de contratar, escreve para dpo@clybo.app.
3. Medidas técnicas e organizativas
- Cifragem: AES-256 em repouso, TLS 1.3 em trânsito.
- Controlo de acesso: autenticação através de fornecedor (Supabase Auth), controlo por perfis, claims assinados.
- Segregação multi-tenant: isolamento por
club_id+ Row-Level Security no PostgreSQL. - Rastreabilidade: registo de atividade das operações sensíveis.
- Backups: cópias diárias cifradas com retenção de 30 dias.
- Revisão de fornecedores: avaliação prévia e reavaliação anual de cada subcontratante ulterior.
4. Notificação de violações de segurança
Em caso de violação de segurança que afete dados pessoais, notificaremos o clube Responsável no prazo máximo de 72 horas a contar do momento em que dela tivermos conhecimento, nos termos do artigo 33.º, n.º 2, do RGPD. A notificação incluirá a natureza, as categorias e o volume de dados afetados, as medidas adotadas e a pessoa de contacto.
5. Direitos dos titulares dos dados
Quando um encarregado de educação, atleta ou membro do staff exercer um dos seus direitos (acesso, retificação, apagamento, oposição, limitação, portabilidade), deve dirigir-se ao clube Responsável. O Clybo’ assistirá o clube com as ferramentas técnicas necessárias para responder ao titular dos dados dentro do prazo legal.
6. Transferências internacionais
Os dados são armazenados principalmente em infraestrutura localizada na União Europeia. Alguns subcontratantes ulteriores poderão tratar dados fora do EEE; nesses casos aplicamos cláusulas contratuais-tipo aprovadas pela Comissão Europeia ou uma decisão de adequação, garantindo um nível de proteção equivalente ao do RGPD.
7. Contacto e reclamações
Encarregado da Proteção de Dados: dpo@clybo.app.
A autoridade de controlo principal do Clybo’ é o Information and Data Protection Commissioner (IDPC) de Malta. Qualquer titular dos dados pode também apresentar reclamação junto da autoridade do seu Estado-Membro (em Espanha, a AEPD).