Acordo de Tratamento de Dados

Última atualização: 28/09/2026

O presente Acordo de Tratamento de Dados (o «DPA») é celebrado entre o clube que subscreve o CtrlCourt (o «Clube», na qualidade de responsável pelo tratamento) e DEVBOX (o «Subcontratante»), nos termos do artigo 28.º do Regulamento Geral sobre a Proteção de Dados (RGPD).

1. Partes e aceitação

O Subcontratante é:

O presente DPA faz parte integrante dos Termos e Condições Gerais de Utilização e Venda. É aceite por via eletrónica pelo Clube no momento da criação da sua conta, juntamente com os Termos, e aplica-se enquanto o Subcontratante tratar dados pessoais por conta do Clube.

2. Objeto

O presente DPA estabelece as condições em que o Subcontratante trata dados pessoais por conta do Clube a fim de prestar o serviço CtrlCourt (o «Serviço»). Não abrange os dados relativamente aos quais o Subcontratante atua como responsável pelo tratamento (conta, assinatura e faturação do Clube), que se regem pela Política de Privacidade.

3. Duração

O presente DPA aplica-se durante todo o período de utilização do Serviço pelo Clube (teste e assinatura) e até à eliminação ou devolução dos dados nos termos do artigo 11.º.

4. Natureza e finalidade do tratamento

O tratamento consiste no alojamento, conservação, organização, consulta, alteração, apresentação e eliminação dos dados através do Serviço, bem como no envio de e-mails transacionais, para as seguintes finalidades:

• gestão das contas de jogadores, treinadores e pessoal;
• reservas de campos, aulas e cursos, eventos e torneios;
• gestão dos créditos pré-pagos e registo dos meios de pagamento escolhidos pelo Clube;
• envio de e-mails de serviço (confirmações e lembretes de reservas, reposição da palavra-passe);
• estatísticas para uso exclusivo do Clube;
• apoio, manutenção e segurança do Serviço.

5. Categorias de titulares e de dados

Titulares dos dados: os jogadores e sócios do Clube, os treinadores, o pessoal e os administradores que utilizam o espaço do Clube.

Categorias de dados:

• dados de identificação e de contacto: nome, endereço de e-mail, número de telefone;
• dados da conta: palavra-passe (sob a forma de hash), função, idioma, nível de jogo opcional;
• dados de atividade: reservas, presenças, inscrições em cursos, inscrições em eventos;
• dados financeiros relativos ao clube: saldo e movimentos de créditos, montantes e meios de pagamento registados pelo Clube (sem dados de cartões de pagamento);
• para os treinadores: disponibilidade, biografia, preço por hora;
• dados técnicos: endereço IP, registos de ligação e de segurança.

O Serviço não foi concebido para tratar categorias especiais de dados (saúde, etc.). O Clube compromete-se a não introduzir esses dados no Serviço.

6. Obrigações do Clube

O Clube, enquanto responsável pelo tratamento, é responsável: pela licitude do tratamento e pelo respetivo fundamento jurídico; pela informação dos titulares dos dados; pela exatidão dos dados que introduz; pela resposta aos pedidos dos titulares dos dados; e pelas instruções que dá ao Subcontratante. As suas instruções estão documentadas nos Termos, no presente DPA e nas definições que aplica no Serviço.

7. Obrigações do Subcontratante

O Subcontratante compromete-se a:

• Instruções: tratar os dados apenas mediante instruções documentadas do Clube, incluindo no que respeita a transferências, salvo se a lei o exigir; nesse caso, informa previamente o Clube, a menos que a lei o proíba. Informa o Clube se considerar que uma instrução viola as regras de proteção de dados.
• Confidencialidade: garantir que as pessoas autorizadas a tratar os dados estão vinculadas a uma obrigação de confidencialidade e só lhes acedem quando necessário.
• Segurança: aplicar as medidas técnicas e organizativas exigidas pelo artigo 32.º do RGPD, descritas no artigo 8.º.
• Subcontratantes ulteriores: respeitar as condições do artigo 9.º.
• Direitos dos titulares: prestar assistência ao Clube, na medida do possível, para dar seguimento aos pedidos de exercício de direitos (acesso, retificação, apagamento, limitação, portabilidade, oposição), nomeadamente através das funcionalidades do Serviço ou fornecendo uma exportação mediante pedido. Se um titular dos dados contactar diretamente o Subcontratante, este transmite sem demora o pedido ao Clube e não lhe responde diretamente, salvo instrução do Clube.
• Assistência: prestar assistência ao Clube, tendo em conta as informações de que dispõe, no cumprimento das suas obrigações de segurança, nas avaliações de impacto e na consulta prévia da autoridade de controlo, quando exigida.
• Violações: notificar o Clube de qualquer violação de dados pessoais no prazo de 48 horas após dela ter tomado conhecimento, fornecendo as informações disponíveis (natureza da violação, categorias e número aproximado de pessoas afetadas, consequências prováveis, medidas adotadas ou propostas), e completá-las à medida que novas informações fiquem disponíveis.
• Registo: manter um registo das atividades de tratamento realizadas por conta do Clube.
• Transparência: disponibilizar ao Clube as informações necessárias para demonstrar o cumprimento do presente DPA (artigo 10.º).

8. Medidas de segurança

• cifragem das comunicações (HTTPS);
• uma base de dados separada para cada clube, que isola os seus dados dos dados dos outros clubes;
• palavras-passe conservadas sob a forma de hash, nunca em texto simples;
• cópias de segurança regulares das bases de dados;
• controlo de acessos baseado em funções no Serviço (administrador, treinador, jogador);
• acesso aos sistemas de produção restrito às pessoas autorizadas;
• alojamento em centros de dados situados em França (OVH SAS), com segurança física assegurada pelo prestador de alojamento;
• registos de segurança e atualização dos componentes de software.

O Subcontratante pode alterar estas medidas, desde que o nível global de segurança não seja reduzido.

9. Subcontratantes ulteriores

O Clube concede a sua autorização geral para o recurso aos seguintes subcontratantes ulteriores:

A Paddle.com trata exclusivamente a venda e o pagamento da assinatura do Clube, na qualidade de Merchant of Record e de responsável autónomo pelo tratamento; não recebe os dados dos jogadores e, por conseguinte, não é um subcontratante ulterior na aceção do presente DPA. Quando o Clube ativa o pagamento online das reservas, o CtrlCourt envia, mediante instrução do Clube, as informações necessárias ao pagamento (montante, e-mail do jogador) para a conta Stripe do próprio Clube: a Stripe atua então por conta do Clube, ao abrigo do contrato que o Clube celebrou diretamente com a Stripe.

O Subcontratante informa o Clube de qualquer adição ou substituição prevista de um subcontratante ulterior, por e-mail ou na área de administração, com, pelo menos, 30 dias de antecedência. O Clube pode opor-se por motivos razoáveis relacionados com a proteção de dados; na falta de solução, o Clube pode resolver a sua assinatura antes de a alteração produzir efeitos. O Subcontratante impõe a cada subcontratante ulterior obrigações de proteção de dados equivalentes às do presente DPA e continua a ser responsável perante o Clube pelo seu cumprimento. Qualquer transferência para fora do Espaço Económico Europeu está sujeita a garantias adequadas (nomeadamente as cláusulas contratuais-tipo da Comissão Europeia).

10. Auditorias

O Clube pode solicitar as informações necessárias para verificar o cumprimento do presente DPA. Caso essas informações não sejam suficientes, o Clube pode realizar uma auditoria, a expensas suas, no máximo uma vez por ano, mediante pré-aviso escrito de, pelo menos, 30 dias, diretamente ou através de um auditor independente vinculado a uma obrigação de confidencialidade, de forma a não perturbar o Serviço nem comprometer a segurança ou a confidencialidade dos dados dos outros clubes. As auditorias aos subcontratantes ulteriores são realizadas através das certificações e dos relatórios que estes disponibilizam.

11. Fim do tratamento

No final da assinatura, o Clube pode solicitar uma exportação dos seus dados no prazo indicado abaixo. Os dados são depois eliminados 30 dias após o fim da assinatura (ou de um teste não convertido), incluindo a base de dados do Clube, sem prejuízo da conservação imposta por lei; as cópias de segurança são substituídas no seu ciclo normal de rotação. O Subcontratante confirma a eliminação mediante pedido.

12. Responsabilidade e prevalência

A responsabilidade de cada parte rege-se pelos Termos e Condições Gerais de Utilização e Venda, sem prejuízo das disposições do RGPD. Em caso de conflito entre o presente DPA e os Termos em matéria de dados pessoais, prevalece o presente DPA.

13. Contacto

Para qualquer questão relativa ao presente DPA ou para comunicar um incidente: contact@ctrlcourt.com.