Acordo de Tratamento de Dados

Versão: 1.2 Última atualização: 16 de agosto de 2026

Partes: a Academia (“Academia” ou “Responsável pelo Tratamento”) e Daniel Romão Leal, Sociedade Unipessoal, Lda., pessoa coletiva n.º 519502078, com sede na Praceta Isabel Aboim Inglês, n.º 1, 2.º D, 2675-381 Odivelas, que opera sob a marca comercial “Orira” (“Orira” ou “Subcontratante”).

---

1. Objeto e relação com o contrato principal

O presente Acordo de Tratamento de Dados (“Acordo” ou “DPA”) regula o tratamento de dados pessoais realizado pela Orira, na qualidade de Subcontratante, por conta e segundo as instruções da Academia, no âmbito da disponibilização e utilização da plataforma Orira, em conformidade com o Regulamento (UE) 2016/679 (RGPD) e com a Lei n.º 58/2019, de 8 de agosto.

Para efeitos do presente DPA, a Academia atua como Responsável pelo Tratamento relativamente aos dados pessoais que recolhe, gere ou disponibiliza através da sua conta na plataforma. A Orira atua como Subcontratante relativamente a esses dados.

O presente DPA faz parte integrante dos Termos de Serviço da Orira. Em caso de conflito entre o presente DPA e os Termos de Serviço em matéria de proteção de dados pessoais, prevalece o presente DPA.

2. Definições e âmbito

Dados pessoais tratados: dados de identificação e contacto dos utilizadores associados à Academia, como nome, email, telefone, NIF ou outro identificador fiscal e morada, quando fornecida; dados de inscrição e atividade na Academia, incluindo planos, turmas, presenças, graduações, observações, peso e categoria competitiva, quando aplicável; dados de pagamento à Academia, como referências, estados de pagamento e comprovativos, sendo que os dados completos de cartão são tratados diretamente pelo prestador de serviços de pagamento e não são armazenados pela Orira; fotografias, documentos, conteúdos ou informação carregada pela Academia ou pelos seus utilizadores na plataforma; dados relativos a dependentes, incluindo menores, quando registados pelo respetivo encarregado de educação ou responsável; e identificadores técnicos associados à utilização da plataforma no âmbito da conta da Academia, como cartões NFC, registos de acesso e permissões.

Quando a Academia recolha ou registe na plataforma informação de saúde ou outra informação especialmente sensível, incluindo relativamente a dependentes menores, essa recolha e a determinação das respetivas finalidades são da responsabilidade da Academia, cabendo-lhe assegurar a respetiva base de licitude e, quando aplicável, a condição prevista no artigo 9.º do RGPD.

Categorias de titulares dos dados: alunos, professores, administradores, colaboradores, prestadores de serviços ou outros utilizadores autorizados pela Academia, dependentes, incluindo menores inscritos e geridos pelo respetivo encarregado de educação ou responsável, e responsáveis ou encarregados de educação.

Tratamento: qualquer operação realizada sobre dados pessoais, incluindo recolha, registo, organização, conservação, consulta, utilização, alteração, comunicação, disponibilização, apagamento ou eliminação.

Responsável pelo Tratamento: a Academia, que determina as finalidades e os meios do tratamento.

Subcontratante: a Orira, que trata dados pessoais por conta e segundo as instruções da Academia.

3. Instruções da Academia, finalidade e duração

A Orira trata dados pessoais apenas mediante instruções documentadas da Academia.

As instruções documentadas da Academia incluem, quando aplicável, instruções relativas a transferências de dados pessoais para países terceiros ou organizações internacionais, salvo quando a Orira esteja obrigada a proceder ao tratamento por força do direito da União Europeia ou do direito nacional aplicável, caso em que informará a Academia dessa exigência antes do tratamento, salvo se a lei o proibir.

Constituem instruções documentadas da Academia, para efeitos do presente DPA, as configurações realizadas pela Academia na plataforma, as operações desencadeadas pelos seus utilizadores autorizados e quaisquer instruções escritas adicionais acordadas entre as partes.

Se a Orira considerar que uma instrução da Academia viola o RGPD ou outra disposição aplicável em matéria de proteção de dados pessoais, informará a Academia sem demora injustificada.

A Orira trata dados pessoais exclusivamente para as seguintes finalidades:

disponibilizar e operar a plataforma Orira no âmbito da conta da Academia, incluindo funcionalidades de autenticação, gestão de utilizadores, inscrições, presenças, pagamentos, graduações, comunicações e demais funcionalidades disponibilizadas à Academia;
executar as instruções da Academia no âmbito da utilização da plataforma pelos seus utilizadores autorizados;
apoiar a Academia na gestão de registos necessários ao cumprimento de obrigações legais, fiscais ou contabilísticas, quando aplicável;
assegurar a segurança, manutenção, monitorização técnica, suporte e continuidade operacional da plataforma, nos termos do presente DPA e dos Termos de Serviço.

A duração do tratamento corresponde ao período em que a Academia mantém a sua conta ou subscrição ativa na plataforma, acrescido dos períodos de conservação necessários para exportação, recuperação, cumprimento de obrigações legais ou conservação de prova, nos termos previstos nos Termos de Serviço, na Política de Privacidade, no presente DPA e na legislação aplicável.

4. Localização dos dados e transferências internacionais

Os dados pessoais tratados por conta da Academia são, sempre que aplicável, alojados e tratados no Espaço Económico Europeu, sem prejuízo da utilização de subcontratantes ou fornecedores terceiros que possam tratar dados pessoais fora do Espaço Económico Europeu.

Sempre que exista uma transferência internacional de dados pessoais, a Orira assegurará que a mesma é realizada nos termos do Capítulo V do RGPD, com base em mecanismos de transferência adequados, incluindo, quando aplicável, decisões de adequação, Cláusulas Contratuais-Tipo da Comissão Europeia, certificação ao abrigo do EU-US Data Privacy Framework ou outros mecanismos legalmente admissíveis.

A lista completa e atualizada de subcontratantes, incluindo informação sobre a respetiva finalidade e localização, encontra-se disponível em orira.app/legal/subprocessors e, quando aplicável, no presente DPA ou em documentação anexa.

5. Medidas técnicas e organizativas

A Orira adota medidas técnicas e organizativas adequadas para proteger os dados pessoais tratados por conta da Academia, tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos para os direitos e liberdades dos titulares dos dados.

Essas medidas podem incluir, consoante aplicável:

encriptação em trânsito e, quando aplicável, medidas de proteção dos dados em repouso;
mecanismos de autenticação, controlo de acessos, gestão de permissões e proteção contra acessos não autorizados;
medidas de segregação lógica entre contas de academias e controlo de acesso aos dados associados a cada academia;
registos de segurança e auditoria relativos a acessos ou operações relevantes;
mecanismos de monitorização técnica, deteção de erros, prevenção de abuso e limitação de tentativas de acesso;
cópias de segurança e procedimentos de recuperação adequados à continuidade e segurança do serviço;
medidas de proteção de ficheiros, documentos e conteúdos carregados na plataforma, incluindo controlos de acesso e mecanismos de disponibilização segura, quando aplicável;
deveres de confidencialidade aplicáveis às pessoas autorizadas pela Orira a tratar dados pessoais;
limitação do acesso interno aos dados pessoais ao que seja necessário para efeitos de suporte, manutenção, segurança, cumprimento de obrigações legais ou execução das instruções da Academia.

As medidas técnicas e organizativas poderão ser atualizadas pela Orira ao longo do tempo, desde que seja mantido um nível de segurança compatível com o risco e em conformidade com o RGPD e o presente DPA.

6. Subcontratantes

A Academia concede à Orira uma autorização geral para recorrer a subcontratantes para disponibilizar a plataforma e executar o tratamento de dados pessoais por conta da Academia, incluindo, designadamente, fornecedores de alojamento, comunicações, autenticação, pagamentos, notificações, faturação, monitorização, segurança e funcionalidades de inteligência artificial.

A lista completa e atualizada de subcontratantes, incluindo a respetiva finalidade e localização, encontra-se disponível em orira.app/legal/subprocessors.

A Orira celebra com cada subcontratante um acordo escrito que impõe obrigações em matéria de proteção de dados substancialmente equivalentes às previstas no presente DPA, nos termos do artigo 28.º, n.º 4, do RGPD. A Orira permanece responsável perante a Academia pelo cumprimento das obrigações assumidas pelos seus subcontratantes.

A Orira comunicará alterações relevantes à lista de subcontratantes com antecedência razoável e, sempre que possível, com pelo menos 30 dias de antecedência. A Academia poderá opor-se, de forma fundamentada e por motivos razoáveis relacionados com a proteção de dados pessoais, à inclusão de um novo subcontratante.

Em caso de oposição fundamentada, as partes procurarão, de boa-fé, encontrar uma solução razoável. Caso não seja possível alcançar uma solução adequada, a Academia poderá cessar a utilização dos serviços afetados ou, quando aplicável, resolver o contrato nos termos previstos nos Termos de Serviço ou no acordo aplicável.

Quando a Academia ativa funcionalidades que impliquem a comunicação de dados pessoais a terceiros por si escolhidos, como seguradoras, mediadores de seguros ou outros destinatários definidos pela Academia, essa comunicação é efetuada por instrução da Academia, enquanto Responsável pelo Tratamento. A Academia é responsável pela respetiva base legal, pela informação aos titulares dos dados e pela relação com esses terceiros, os quais não são subcontratantes da Orira.

7. Direitos dos titulares e assistência à Academia

A Academia, enquanto Responsável pelo Tratamento, é responsável por responder aos pedidos dos titulares dos dados relativos ao exercício dos seus direitos nos termos do RGPD, incluindo, quando aplicável, os direitos de acesso, retificação, apagamento, limitação do tratamento, portabilidade, oposição e o direito de não ficar sujeito a decisões exclusivamente automatizadas.

Tendo em conta a natureza do tratamento e a informação de que dispõe, a Orira presta assistência razoável à Academia, através de medidas técnicas e organizativas adequadas, para que esta possa responder aos pedidos dos titulares dos dados.

Quando a Orira receba diretamente um pedido de exercício de direitos relativo a dados tratados por conta da Academia, encaminhará o pedido para a Academia sem demora injustificada ou indicará ao titular que deve contactar a Academia, salvo se a lei ou instruções documentadas da Academia determinarem outro procedimento.

A Orira presta ainda assistência razoável à Academia no cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD, incluindo em matéria de segurança do tratamento, notificação de violações de dados pessoais, avaliações de impacto sobre a proteção de dados e consulta prévia à autoridade de controlo, tendo em conta a natureza do tratamento e a informação de que dispõe.

Quando a plataforma disponibilize funcionalidades de registo de aceitações, autorizações ou preferências, a Academia é responsável por determinar a respetiva finalidade, base legal e necessidade de conservação. A Orira disponibiliza essas funcionalidades enquanto Subcontratante, nos termos das instruções da Academia e do presente DPA.

8. Notificação de incidentes

Em caso de violação de dados pessoais relativa a dados tratados por conta da Academia, a Orira notificará a Academia sem demora injustificada após tomar conhecimento da violação e, sempre que possível, no prazo de 24 horas.

A notificação incluirá, na medida do possível, a informação disponível sobre:

a natureza da violação de dados pessoais, incluindo, quando possível, as categorias e o número aproximado de titulares dos dados afetados;
as categorias e o número aproximado de registos de dados pessoais afetados;
as consequências prováveis da violação de dados pessoais;
as medidas adotadas ou propostas para responder à violação, incluindo medidas destinadas a mitigar os seus eventuais efeitos negativos;
o ponto de contacto da Orira para acompanhamento do incidente.

A Orira prestará assistência razoável à Academia, tendo em conta a natureza do tratamento e a informação de que disponha, para que a Academia possa cumprir as suas obrigações de notificação à autoridade de controlo e, quando aplicável, aos titulares dos dados, nos termos dos artigos 33.º e 34.º do RGPD.

A Academia, enquanto Responsável pelo Tratamento, é responsável por avaliar a necessidade de notificar a Comissão Nacional de Proteção de Dados e/ou os titulares dos dados, bem como por realizar essas notificações quando sejam legalmente exigidas.

9. Auditoria

A Orira disponibilizará à Academia a informação razoavelmente necessária para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD e no presente DPA.

A Academia poderá solicitar informações adicionais ou realizar auditorias ao cumprimento do presente DPA, mediante pedido escrito, com antecedência razoável não inferior a 30 dias, e desde que o âmbito da auditoria seja proporcional, justificado e limitado ao tratamento de dados pessoais realizado pela Orira por conta da Academia.

Sempre que possível, as auditorias deverão ser realizadas através da análise de documentação, políticas, registos, certificações, relatórios ou outras evidências razoavelmente disponibilizadas pela Orira.

Auditorias presenciais ou que envolvam acesso a instalações, sistemas ou colaboradores da Orira ficam sujeitas a acordo prévio entre as partes quanto ao âmbito, calendário, duração, medidas de confidencialidade e condições técnicas aplicáveis.

Os custos da auditoria serão suportados pela Academia, salvo quando a auditoria resulte de incumprimento comprovado e imputável à Orira ou de incidente de segurança que justifique a auditoria.

10. Cessação

Após a cessação do contrato ou da subscrição da Academia, a Orira poderá limitar ou cessar o acesso da Academia à plataforma e às respetivas funcionalidades.

Durante um período de 90 dias após a cessação, os dados pessoais tratados por conta da Academia poderão ser conservados de forma limitada para permitir exportação, recuperação ou reativação, quando aplicável.

A pedido da Academia, e antes da eliminação ou anonimização dos dados, a Orira disponibilizará, na medida tecnicamente possível e razoável, a devolução ou exportação dos dados pessoais tratados por conta da Academia em formato estruturado e de uso corrente.

Decorrido o período referido, os dados pessoais tratados por conta da Academia serão eliminados ou anonimizados, salvo quando a sua conservação seja necessária para cumprimento de obrigações legais, fiscais ou contabilísticas, conservação de prova, segurança, prevenção de fraude, defesa de direitos ou cumprimento de instruções documentadas da Academia.

Os registos técnicos, de segurança ou auditoria poderão ser conservados pelo período necessário às finalidades que justificam a sua conservação, nos termos da legislação aplicável, da Política de Privacidade, dos Termos de Serviço e do presente DPA.

11. Responsabilidade

A Orira responde perante a Academia pelos danos causados por tratamento de dados pessoais realizado em violação do presente DPA, das instruções documentadas da Academia ou das obrigações que lhe sejam diretamente aplicáveis enquanto Subcontratante, nos termos da legislação aplicável.

A responsabilidade da Orira fica sujeita aos limites e exclusões previstos nos Termos de Serviço ou no contrato principal aplicável, salvo nos casos em que tal limitação ou exclusão não seja permitida por lei, incluindo nos termos do artigo 82.º do RGPD.

A Academia mantém a responsabilidade pelas finalidades e meios do tratamento, pelas bases legais aplicáveis, pela informação prestada aos titulares dos dados, pela obtenção de autorizações ou consentimentos quando necessários e pelas instruções transmitidas à Orira.

12. Lei aplicável e jurisdição

O presente DPA rege-se pela lei portuguesa.

Sem prejuízo das normas imperativas aplicáveis, qualquer litígio emergente da interpretação, validade ou execução do presente DPA será submetido aos tribunais competentes de Lisboa.