Acordo de tratamento de dados

Versão 2026-10-09

Versão 2026-10-09. Este acordo de tratamento de dados (art. 28.º do RGPD) é entre SBLTrainer (subcontratante, operador da SBLTrainer) e o treinador que o aceita (responsável pelo tratamento dos dados dos seus clientes).

Contacto do subcontratante: privacidade@sbltrainer.pt. Contacto geral: contacto@sbltrainer.pt.

Objeto e duração

O subcontratante aloja e opera a SBLTrainer para o treinador prescrever treino e acompanhar clientes. O tratamento dura enquanto o workspace existir e termina quando o treinador ou o operador apaga a conta. As cópias de segurança fora do servidor expiram em 14 dias.

Natureza e finalidade

Alojamento, autenticação, convites, registo de treinos, notas do treinador, exportação e apagamento. O subcontratante só trata estes dados segundo as instruções do treinador dadas através da aplicação (criar cliente, gravar notas, exportar, apagar) e do que este acordo descreve.

Dados e titulares

Titulares: o treinador e os clientes que ele convida.

• Identificação e conta: nome, email, hash da password, foto.
• Treino: programas, exercícios, séries, peso, RPE, datas, objetivos.
• Dados de categoria especial (art. 9.º): as notas do treinador e o feedback podem descrever lesões, dor, limitações e outro estado de saúde. O subcontratante só os grava depois de a aplicação registar o consentimento explícito do cliente.

Obrigações do treinador

• É o responsável pelo tratamento dos dados dos seus clientes e indica a base legal, incluindo o consentimento explícito para dados de saúde.
• Só regista nas notas o que é necessário ao treino e não pede diagnósticos clínicos que não precise.
• Informa os clientes e respeita os pedidos de acesso, retificação e apagamento. A aplicação exporta e apaga esses dados de imediato.
• Não usa a plataforma para finalidades diferentes das daqui.

Obrigações do subcontratante

• Trata os dados só segundo as instruções documentadas neste acordo e na app.
• Garante que as pessoas com acesso estão obrigadas a confidencialidade.
• Medidas: password com hash, convite em vez de password definida por terceiros, HTTPS, contas suspensas bloqueadas, uploads de imagem sem SVG, e cópias fora do servidor.
• Ajuda o treinador a responder aos direitos dos titulares (exportação JSON e apagamento imediato, incluindo notas de saúde).
• Quando o serviço acaba, apaga os dados do workspace. Não os devolve noutro suporte salvo exportação pedida antes do apagamento.
• Disponibiliza esta descrição do tratamento para o treinador demonstrar cumprimento. Auditorias presenciais não estão incluídas; o contacto acima responde a pedidos de informação razoáveis.
• Notifica o treinador, sem demora injustificada, se tiver conhecimento de uma violação de dados pessoais que afete o workspace.

Subcontratantes ulteriores

O treinador autoriza os subcontratantes necessários para operar o serviço: o fornecedor do servidor onde a aplicação corre, o serviço de email (SMTP) configurado pelo operador, e o armazenamento de objetos onde ficam as cópias de segurança. O operador escolhe uma região no Espaço Económico Europeu, ou num país com decisão de adequação, para a base de dados e para o bucket. Uma mudança material é refletida nesta página; a versão do acordo muda e o treinador tem de aceitar de novo.

Fim do contrato

O apagamento do workspace na aplicação elimina clientes, treinos, programas e notas de saúde da base de dados nessa altura. As cópias já enviadas para o bucket deixam de existir ao fim de 14 dias. A política de privacidade descreve o mesmo prazo para os titulares.