Este Acordo de subcontratação do tratamento (doravante, «o Acordo») faz parte das condições de contratação e regula o tratamento de dados pessoais que a 21points realiza por conta do cliente quando este utiliza a plataforma para gerir torneios e marcadores. É celebrado nos termos do artigo 28.º do RGPD.
1. Partes e funções
O cliente (utilizador que contrata ou utiliza o serviço) é o responsável pelo tratamento. Lajana Sistemas S.L., titular da 21points, é o subcontratante.
2. Objeto, natureza e finalidade
O subcontratante tratará dados pessoais por conta do responsável com a única finalidade de prestar o serviço 21points: alojamento, armazenamento e processamento dos dados de torneios, equipas e jogadores que o responsável introduz na plataforma.
3. Duração
O tratamento manter-se-á enquanto estiver em vigor a relação de serviço entre as partes. No seu termo aplicar-se-á o previsto na cláusula de devolução ou eliminação.
4. Tipos de dados pessoais
Dados identificativos e desportivos de jogadores, equipas, árbitros e pessoal do organizador: nome, número, categoria, idade ou data de nascimento, estatísticas e resultados. Podem incluir dados de menores.
5. Categorias de titulares dos dados
Jogadores (incluindo eventuais menores de idade), equipas, árbitros e pessoal vinculado ao organizador.
6. Obrigações do subcontratante
Nos termos do art. 28.º, n.º 3 do RGPD, o subcontratante obriga-se a:
- Tratar os dados apenas seguindo instruções documentadas do responsável, incluindo as relativas a transferências internacionais, salvo obrigação legal.
- Garantir que as pessoas autorizadas a tratar os dados se comprometeram a respeitar a confidencialidade.
- Adotar as medidas técnicas e organizativas de segurança exigidas pelo art. 32.º do RGPD.
- Respeitar as condições para recorrer a outro subcontratante (subcontratante ulterior) previstas na cláusula 7.
- Auxiliar o responsável a dar resposta aos pedidos de exercício de direitos dos titulares dos dados.
- Ajudar o responsável a cumprir as obrigações dos arts. 32.º a 36.º do RGPD (segurança, notificação de violações e avaliações de impacto), tendo em conta a informação disponível.
- À escolha do responsável, eliminar ou devolver os dados no termo da prestação e eliminar as cópias existentes, salvo obrigação legal de conservação.
- Disponibilizar ao responsável a informação necessária para demonstrar o cumprimento destas obrigações e permitir auditorias ou inspeções.
- Informar imediatamente o responsável se considerar que uma instrução infringe a legislação de proteção de dados.
7. Subcontratantes ulteriores
O responsável autoriza com caráter geral o subcontratante a recorrer a subcontratantes ulteriores para a prestação do serviço. Atualmente, o subcontratante utiliza a IONOS (alojamento e infraestrutura, com servidores na União Europeia). O subcontratante imporá aos seus subcontratantes ulteriores, mediante contrato, as mesmas obrigações de proteção de dados. Informará o responsável de qualquer alteração relativa à inclusão ou substituição de subcontratantes ulteriores, dando-lhe a possibilidade de se opor.
8. Transferências internacionais
O subcontratante não transferirá os dados do responsável para fora do Espaço Económico Europeu sem garantias adequadas (decisão de adequação, cláusulas contratuais-tipo ou outra garantia do RGPD) e sem informar previamente o responsável. A infraestrutura que aloja os dados de torneios e jogadores encontra-se na União Europeia.
9. Violações de segurança
O subcontratante notificará o responsável, sem demora injustificada, de qualquer violação da segurança dos dados pessoais de que tenha conhecimento, facultando a informação necessária para que o responsável possa cumprir, se for o caso, as suas obrigações de notificação perante a autoridade de controlo e os titulares dos dados.
10. Devolução ou eliminação dos dados
Uma vez terminada a prestação do serviço, e à escolha do responsável, o subcontratante devolverá ou eliminará os dados pessoais e as suas cópias, salvo se tiver de os conservar em virtude de uma obrigação legal.
11. Responsabilidade
Cada parte responde pelos danos que causar pelo incumprimento das suas obrigações, nos termos do art. 82.º do RGPD. O responsável garante dispor de uma base legal para o tratamento e, quando aplicável, do consentimento dos titulares das responsabilidades parentais ou da tutela relativamente aos dados de menores.
12. Legislação aplicável
Este Acordo rege-se pelo RGPD, pela Lei Orgânica 3/2018 (LOPDGDD) e demais legislação espanhola aplicável em matéria de proteção de dados.