Anexo · Acordo de Tratamento de Dados (DPA)

Tradução informativa. Em caso de divergência prevalece a versão em espanhol.

Versão v0-DIY-2026-07 · anexo obrigatório das Condições do Serviço DEKKO

Este Acordo de Tratamento de Dados (doravante, «DPA») regula o tratamento de dados pessoais entre a ENES Estrategia Conjunta SL (doravante, «DEKKO») e o clube ou escola de mergulho signatário (doravante, «o Clube») no âmbito do contrato de serviços SaaS celebrado entre ambos. É anexo obrigatório das Condições do Serviço DEKKO e complementa-se com a Política de Privacidade. Modelo de base: cláusulas-tipo da Decisão 2021/914/UE, adaptado ao modelo de responsabilidade conjunta (art. 26.º RGPD) da DEKKO.

1 · Partes e definições

Os termos «Responsável», «Subcontratante», «Responsáveis conjuntos (Joint Controllers)», «Dados pessoais», «Tratamento», «Titular dos dados» e «Categorias especiais» interpretam-se segundo o RGPD (Regulamento UE 2016/679).

• DEKKO · ENES Estrategia Conjunta SL · CIF B22468284 · Partida Valls, s/n · 43350 Les Borges del Camp, Tarragona (Espanha) · privacidad@dekko.club
• O Clube · a pessoa singular ou coletiva identificada no contrato específico, que exerce profissionalmente a atividade de mergulho recreativo ou técnico.

2 · Objeto e natureza do tratamento

Os dados dos mergulhadores (clientes finais do Clube) são tratados em regime de responsabilidade conjunta (Joint Controller · art. 26.º RGPD): o Clube determina as finalidades operacionais (o mergulho, o curso, a atividade) e a DEKKO determina as finalidades de serviço cross-club, perfil de mergulhador persistente e análise estatística, sujeitas ao consentimento explícito do mergulhador.

• Os dados do operador do Clube são tratados pela DEKKO como Responsável único.
• Os dados do restante pessoal do Clube são tratados pelo Clube como Responsável, com a DEKKO como Subcontratante quando são armazenados no dashboard.

3 · Categorias de dados e de titulares

Titulares: mergulhadores (clientes finais), operadores do Clube e pessoal do Clube.

Dados tratados: identificativos (nome, DNI/passaporte, data de nascimento), de contacto (email, telefone, morada), de mergulho (certificação, seguro, equipamento alugado, historial de mergulhos), económicos (metadados de pagamento · a cobrança é processada pela Stripe), de comunicação (WhatsApp, emails, imagens de documentos) e categoria especial (art. 9.º RGPD): a declaração médica do questionário SSI/PADI/RSTC e, se for o caso, o atestado médico.

4 · Repartição de responsabilidades

O Clube é o principal responsável por: informar o mergulhador sobre o tratamento no serviço reservado; recolher o consentimento da primeira caixa de verificação do checkout; tratar os dados médicos para prestar o serviço; cumprir as obrigações legais da atividade (manifestos, listas, legislação local); cobrar e faturar; e conservar as faturas durante 6 anos.

A DEKKO é a principal responsável por: informar sobre o tratamento cross-club; recolher o consentimento opt-in da segunda caixa de verificação; manter o perfil de mergulhador caso tenha havido opt-in; as comunicações emitidas em nome da DEKKO; e a segurança técnica da infraestrutura comum.

Ambas as partes são conjuntamente responsáveis por: as medidas técnicas e organizativas; a notificação de violações à AEPD (<72 h) e aos titulares quando aplicável; a resposta aos direitos do titular (<30 dias); o registo das atividades de tratamento; e as avaliações de impacto (DPIA) quando aplicáveis.

5 · Ponto de contacto único para o titular

O titular pode exercer os seus direitos perante qualquer das duas partes: escrevendo para privacidad@dekko.club (ou para o DPO em dpo@dekko.club) ou para o email do Clube. A parte que receber o pedido notificará a outra em menos de 48 horas e ambas coordenar-se-ão para dar uma resposta única no prazo legal.

6 · Duplo consentimento opt-in granular

Na primeira reserva do mergulhador (sítio web público, agente de WhatsApp ou registo), o mergulhador presta dois consentimentos separados, granulares e NÃO pré-assinalados: (1) obrigatório, para a gestão da reserva e as obrigações legais do Clube; (2) opcional, para o perfil DEKKO transversal cross-club. Regras invioláveis: não pré-assinalado, não agrupado, não oculto, e cada consentimento é registado com timestamp, IP anonimizado, user-agent, versão do documento e identificador do mergulhador.

7 · Medidas técnicas e organizativas (art. 32.º RGPD)

• Cifragem em trânsito (TLS 1.3 · HSTS) e em repouso (AES-256).
• Isolamento multi-tenant ao nível da base de dados (Row Level Security do PostgreSQL).
• Separação de datasets entre os dados operacionais do Clube e o perfil de mergulhador DEKKO.
• Autenticação por magic link (sem palavras-passe armazenadas) e controlo de acesso por perfis.
• Monitorização dos acessos a categorias especiais (dados médicos) com logs auditáveis durante 12 meses.
• Backups diários em infraestrutura da UE com retenção de 30 dias e plano de recuperação documentado.
• DPO designado (dpo@dekko.club), formação anual do pessoal e procedimento de resposta a incidentes.

8 · Subcontratantes ulteriores autorizados

A DEKKO recorre aos seguintes subcontratantes ulteriores, todos com DPA assinado. O Clube autoriza-os expressamente mediante a assinatura deste DPA; as alterações são notificadas com 30 dias de antecedência e o Clube pode opor-se de forma fundamentada.

9 · Prazos de conservação

10 · Direitos do titular

Ambas as partes garantem o exercício de todos os direitos do RGPD (acesso, retificação, apagamento, limitação, portabilidade, oposição, revogação) num prazo máximo de 30 dias, prorrogável por 2 meses em casos complexos, mediante aviso ao titular. O direito ao apagamento (art. 17.º) é inviolável, salvo obrigação legal de conservação (dados contabilísticos) ou defesa perante reclamações: em qualquer outro caso é executado sem litígio, eliminando os dados de produção em 30 dias e dos backups nos 90 seguintes.

11 · Notificação de violações de segurança

A parte que detetar uma violação notificá-la-á de imediato à outra e ambas coordenar-se-ão para notificar a AEPD em menos de 72 horas (art. 33.º RGPD) e, se implicar um risco elevado, os titulares afetados sem demora injustificada (art. 34.º). Todas as violações, incluindo as não notificáveis, são documentadas internamente.

12 · Auditoria

O Clube pode auditar o cumprimento deste DPA uma vez por ano, com pré-aviso de 30 dias, respeitando a confidencialidade de outros clientes da DEKKO, mediante questionário documental, auditor externo (a seu cargo) ou análise de relatórios SOC2/ISO27001 quando a DEKKO os obtiver.

13 · Cessação

Com a cessação do contrato SaaS, este DPA deixa de se aplicar a novos tratamentos, mas mantêm-se em vigor as obrigações de confidencialidade, conservação legal, resposta aos direitos e notificação de violações relativas a dados preexistentes. A DEKKO entregará ao Clube, no prazo máximo de 30 dias, todos os seus dados operacionais em CSV ou JSON estruturado. Os dados do perfil DEKKO transversal (caso tenha havido opt-in) permanecem na DEKKO de acordo com o consentimento do mergulhador, até que este exerça o seu direito ao apagamento.

14 · Publicidade, alterações e legislação

Nos termos do art. 26.2 do RGPD, o essencial deste DPA é disponibilizado ao titular através da Política de Privacidade. Este DPA pode ser alterado por acordo das partes ou por necessidade regulamentar, com aviso de 30 dias. Rege-se pela legislação espanhola e pelo RGPD; para a resolução de litígios, as partes submetem-se aos Tribunais de Tarragona.