Acordo de Subcontratação e Política de Segurança TablePlay Incluindo lista de subsubcontratados, medidas técnicas e organizacionais, divulgação responsável e declaração de acessibilidade

TablePlay by Jimani Jimani B.V. Albert Plesmanweg 122, 4462 GC Goes KvK 91644453 - NIF NL865722729B01 support@tableplay.online

Versão 1.0 Última atualização: 10 de julho de 2026

Nota de controlo jurídico Este documento foi elaborado para uso empresarial pela TablePlay. Sujeite a publicação definitiva, a aplicação internacional, os fornecedores atuais, a configuração técnica e as regras específicas de cada país a controlo jurídico periódico.

Índice Parte A - Acordo de Subcontratação Anexo 1 - Subsubcontratados Anexo 2 - Medidas técnicas e organizacionais Parte B - Segurança e Divulgação Coordenada de Vulnerabilidades Parte C - Declaração de Acessibilidade

Acordo de Subcontratação e Política de Segurança TablePlay

Página 2 de 10

Parte A - Acordo de Subcontratação Artigo 1.º - Partes Este acordo de subcontratação vigora entre o cliente empresarial da TablePlay, na qualidade de Responsável pelo Tratamento, e a Jimani B.V., que opera sob a designação TablePlay by Jimani, Albert Plesmanweg 122, 4462 GC Goes, KvK 91644453, na qualidade de Subcontratado. As partes são designadas conjuntamente como Partes.

Artigo 2.º - Aplicabilidade e formação Este acordo aplica-se na medida em que a TablePlay trate dados pessoais por conta e em benefício do Cliente e constitui parte integrante do contrato principal. O mesmo forma-se mediante aceitação eletrónica, assinatura ou utilização efetiva do Serviço. Relativamente aos tratamentos para os quais a TablePlay determina de forma autónoma as finalidades e os meios, a TablePlay atua como responsável pelo tratamento, aplicando-se a Declaração de Privacidade. Em caso de contradição relativa ao tratamento em nome do Cliente, prevalece este Acordo de Subcontratação sobre as Condições Gerais.

Artigo 3.º - Objeto, duração e natureza A TablePlay trata dados pessoais para funcionalidades ligadas a jogos, mesas, QR, pontuações, classificações, painéis e apoio ao cliente relacionados com restaurantes. O tratamento decorre durante a vigência do contrato principal e por um período limitado após o mesmo, para efeitos de eliminação, devolução, rotação de cópias de segurança, obrigações legais e defesa de direitos. O tratamento pode incluir a recolha, o registo, a organização, a estruturação, o armazenamento, a consulta, o cálculo, a combinação dentro do contexto do restaurante, a apresentação, o envio, a limitação, a eliminação e a anonimização.

Artigo 4.º - Finalidades • Associação de códigos QR ao restaurante e à mesa. • Iniciação e execução de sessões de jogo. • Tratamento de apelidos temporários, escolhas de jogo, respostas, pontuações e resultados. • Facilitação de jogos entre mesas e de classificações temporárias. • Apresentação de estatísticas relativas ao restaurante. • Prevenção de sessões duplicadas, fraudulentas ou tecnicamente inválidas. • Apoio técnico, segurança, continuidade e recuperação. • Eliminação ou anonimização após os prazos de conservação.

Artigo 5.º - Categorias de titulares dos dados • Convidados e jogadores do Cliente. • Pessoas de contacto, utilizadores, colaboradores e auxiliares do Cliente. • Pessoas mencionadas numa comunicação de apoio ao cliente.

Artigo 6.º - Categorias de dados pessoais • Apelido temporário, número de mesa ou identificador único da mesa e identificador do restaurante ou local. • Identificador da sessão de jogo, jogo escolhido, modo de jogo, respostas, ações, pontuação, resultado e classificação. • Data, hora e definição de idioma temporária. • Dados técnicos de sessão, IP, navegador e dispositivo, na medida em que constem dos registos de segurança.

Acordo de Subcontratação e Política de Segurança TablePlay

Página 3 de 10 • Nome e endereço de correio eletrónico profissional de uma pessoa de contacto e conteúdo dos pedidos de apoio. • Outros dados introduzidos no âmbito da funcionalidade acordada. A TablePlay não se destina a dados sensíveis, de natureza penal, médicos ou biométricos, nem a perfis extensos e diretamente identificáveis de convidados. O Cliente não instrui tal tratamento sem acordo escrito prévio.

Artigo 7.º - Instruções documentadas O contrato principal, este Acordo de Subcontratação, as definições do portal do cliente e os pedidos de apoio legítimos constituem instruções. A TablePlay não trata dados para outras finalidades, salvo obrigações legais, finalidades autónomas de segurança e de defesa de direitos, ou tratamento após anonimização adequada. Em caso de instrução presumivelmente ilícita, a TablePlay informa o Cliente, salvo proibição legal, podendo suspender a execução. Instruções adicionais de grande dimensão podem ser faturadas separadamente.

Artigo 8.º - Obrigações do Cliente O Cliente garante a licitude, o fundamento válido, a informação aos Convidados, as instruções lícitas, a minimização de dados, a segurança interna e a proteção dos dados de acesso. O Cliente é responsável pela exatidão e qualidade, não exige nomes reais dos Convidados e não utiliza os Dados do Jogo para marketing individual ou definição de perfis sem fundamento autónomo. Os incidentes de segurança e as instruções ilícitas são comunicados sem demora.

Artigo 9.º - Confidencialidade As pessoas sob autoridade da TablePlay recebem acesso apenas na medida do necessário, estão vinculadas a obrigações de confidencialidade e apenas tratam dados de acordo com instruções. A obrigação mantém-se após a cessação. A divulgação a terceiros ocorre exclusivamente com base neste contrato, no contrato principal ou na lei.

Artigo 10.º - Segurança A TablePlay adota medidas técnicas e organizativas adequadas, tendo em conta o estado da técnica, os custos, a natureza, o âmbito, o contexto, a finalidade e o risco. As medidas constam do Anexo 2 e podem ser adaptadas, desde que o nível geral de proteção não seja substancialmente reduzido. Nenhum sistema pode garantir segurança absoluta.

Artigo 11.º - Violações de dados A TablePlay informa o Cliente sem demora injustificada após tomar conhecimento de uma violação de dados pessoais tratados em nome do Cliente. Sempre que possível, são fornecidas informações sobre a natureza, os sistemas, as categorias de dados e de titulares, as consequências, as medidas e os dados de contacto. As informações podem ser fornecidas de forma faseada. A TablePlay investiga, limita, conserva provas relevantes e procede à reparação. O Cliente avalia a obrigação legal de notificação e a TablePlay presta apoio razoável. Uma notificação não constitui reconhecimento de responsabilidade. Os trabalhos motivados por circunstâncias sob responsabilidade do Cliente podem ser executados a custos razoáveis.

Artigo 12.º - Pedidos de titulares dos dados Os pedidos diretos relativos ao papel do Cliente são, em princípio, reencaminhados. A TablePlay apenas responde de forma autónoma por instrução, no exercício do seu próprio papel ou por obrigação legal. A TablePlay presta apoio razoável em matéria de acesso, retificação, eliminação, limitação, portabilidade e oposição.

Contrato de Subcontratação de Tratamento de Dados e Política de Segurança TablePlay

Página 4 de 10

Uma vez que os Convidados não possuem Conta, a identificação pode ser limitada. Podem ser necessários o restaurante, a mesa, a data, a hora, o apelido e o contexto do jogo. Os dados não são fornecidos se não estiver suficientemente comprovado que se referem ao requerente.

Artigo 13.º - Apoio ao cumprimento A TablePlay presta apoio razoável em matéria de segurança, avaliações de violações de dados, avaliações de impacto sobre a proteção de dados, consulta prévia e documentação necessária. O apoio de âmbito significativo, fora do serviço padrão, pode ser faturado, salvo se resultar de um incumprimento da TablePlay.

Artigo 14.º - Subcontratantes O Cliente concede autorização geral para os subcontratantes indicados no Anexo 1. A TablePlay pode adicionar, substituir ou remover subcontratantes e mantém uma lista eletrónica atualizada. No caso de um novo subcontratante significativo, a TablePlay informa, em princípio, com trinta dias de antecedência. O Cliente pode, dentro desse prazo, apresentar objeção fundamentada com base em motivos concretos de proteção de dados. As Partes procuram garantias adicionais, limitações ou uma alternativa técnica. Caso não exista uma solução razoável, o Cliente pode rescindir a parte diretamente afetada antes da implementação. A TablePlay impõe obrigações substancialmente equivalentes e permanece responsável na medida em que o RGPD assim o determine.

Artigo 15.º - Transferência internacional Os dados pessoais são tratados, sempre que possível, numa região europeia. Os subcontratantes ou empresas do grupo podem estar estabelecidos fora do EEE ou ter acesso a partir de fora do EEE. Sempre que exigido, a TablePlay utiliza decisões de adequação, cláusulas contratuais-tipo, medidas adicionais ou outros mecanismos válidos. A pedido razoável, são fornecidas informações, tendo em conta a confidencialidade.

Artigo 16.º - Pedidos de autoridades A TablePlay fornece dados exclusivamente a autoridades competentes no caso de uma obrigação legal. Sempre que permitido, o Cliente é informado previamente. A TablePlay avalia a competência, o âmbito e a validade jurídica, e limita o fornecimento sempre que possível.

Artigo 17 - Auditorias e informação A TablePlay disponibiliza informação razoável, incluindo documentação de segurança, auditorias, certificações, questionários ou declarações de garantia. Caso isto seja insuficiente, o Cliente pode exigir, no máximo uma vez por ano civil, uma auditoria com aviso prévio de trinta dias, durante o horário de expediente, por um perito independente sujeito a dever de confidencialidade, sem prejuízo para a segurança, a confidencialidade ou outros clientes. O Cliente suporta os custos, salvo se for constatada uma violação substancial imputável. A TablePlay pode restringir o acesso ao código-fonte, a outros dados de clientes, a detalhes de vulnerabilidades e a informação comercialmente sensível, quando exista uma alternativa suficiente.

Artigo 18 - Devolução e eliminação Após a cessação, a TablePlay elimina ou devolve, à escolha do Cliente e na medida em que tal seja tecnicamente e juridicamente possível, os dados que sejam processados exclusivamente em nome do Cliente. A escolha deve ser comunicada no prazo máximo de trinta dias. Na ausência de escolha, a TablePlay pode eliminar ou anonimizar de acordo com a política padrão. As cópias de segurança podem conter dados durante um período máximo de um mês e são utilizadas exclusivamente para efeitos de recuperação.

Acordo de Subcontratação de Processamento e Política de Segurança TablePlay

Página 5 de 10

Os dados legalmente obrigatórios, necessários para proteção jurídica e anonimizados não têm de ser eliminados.

Artigo 19 - Responsabilidade As disposições relativas à responsabilidade constantes das Condições Gerais aplicam-se igualmente. Cada parte é responsável pelas suas próprias obrigações em matéria de privacidade. O Cliente indemniza a TablePlay por reclamações decorrentes de instruções ilícitas, ausência de fundamento legal, informação insuficiente, utilização ilícita de Dados de Jogo ou introdução de dados sensíveis proibidos, na medida do legalmente permitido.

Artigo 20 - Duração e cessação O presente Acordo de Subcontratação de Processamento cessa quando a TablePlay deixar de processar dados pessoais em nome do Cliente. As disposições relativas a confidencialidade, segurança, eliminação, responsabilidade e auditorias mantêm-se em vigor na medida em que a sua natureza assim o exija.

Artigo 21 - Direito e litígios O presente Acordo de Subcontratação de Processamento rege-se pelo direito neerlandês. Os litígios são tratados de acordo com as Condições Gerais.

Anexo 1 - Subsubcontratantes Fornecedor

Serviço

Dados possíveis

Região / função

Supabase

Base de dados, autenticação, armazenamento e backend Contas, dados de mesas, apelidos, sessões, pontuações Primário e registos Região UE quando configurado; subsubcontratante principal

Vercel

Hospedagem, runtime, distribuição de conteúdo e Endereço IP, registodados de pedidos, navegador, dispositivo e aplicação EEE e eventualmente EUA; subsubcontratante de hospedagem

Twilio SendGrid

E-mail transacional e operacional Nome, endereço de e-mail, informação de conta, conteúdo e Internacional; estado de entregasubsubcontratante de e-mail

OpenAI / outro fornecedor de IA Apenas quando as funcionalidades de IA estiverem ativadas

Dados limitados necessários para a funcionalidade Depende da configuração; potencial subsubcontratante

Stripe

Dados empresariais, faturas, transações e estado de pagamento Internacional; função varia por processamento

Pagamentos, faturação e fraude

Google / Meta / LinkedIn Análises e marketing após consentimento Dados de website, dispositivo, publicidade e conversão Internacional; geralmente não subsubcontratante para reg

A lista atual é disponibilizada através do sítio web ou do portal do cliente. Em caso de novo subsubcontratante substancial, aplica-se o procedimento de notificação e oposição previsto no artigo 14. A TablePlay não fornece dados identificáveis de convidados a um fornecedor de IA para efeitos de treino geral de modelos, salvo se tal vier a ser expressamente, licitamente e de forma transparente organizado de outro modo.

Anexo 2 - Medidas técnicas e organizacionais 1. Segurança de acesso • Contas de utilizador únicas e autenticação segura. • Palavras-passe encriptadas (hash) e restrição de privilégios administrativos. • Acesso baseado em função e necessidade. • Revogação de acesso quando este deixe de ser necessário. • Medidas de autenticação adicionais quando apropriado.

2. Separação lógica de dados • Separação entre Contas empresariais e autorização vinculada ao inquilino (tenant).

Acordo de Subcontratação de Processamento e Política de Segurança TablePlay

Página 6 de 10 • Row Level Security do Supabase quando tecnicamente aplicável. • Restrição de acesso a dados de outros Clientes. • Identificadores de mesa únicos.

3. Transporte e armazenamento • Ligações protegidas por HTTPS e TLS. • Comunicação segura entre navegador, aplicação, backend e APIs. • Armazenamento em fornecedores de cloud selecionados. • Acesso restrito de colaboradores e confidencialidade contratual. • Não armazenamento de palavras-passe em forma diretamente legível.

4. Disponibilidade, registo e recuperação • Cópias de segurança e mecanismos de recuperação quando apropriado. • Monitorização de erros técnicos e tentativas de início de sessão relevantes. • Deteção e investigação de utilização anómala. • Cópias de segurança, em princípio, com duração máxima de um mês. • Registos, em princípio, com duração máxima de um ano, salvo se for necessário período mais longo devido a incidente ou litígio.

# Contrato de Subcontratação e Política de Segurança TablePlay (parte 4 de 5)

5. Desenvolvimento seguro e gestão de fornecedores • Controlo de versões, revisão de código e implementação controlada quando aplicável. • Limitação de segredos e chaves no código-fonte. • Atualizações atempadas dos componentes relevantes. • Avaliação e correção de vulnerabilidades reportadas. • Seleção de fornecedores profissionais, acordos contratuais e mecanismos de transferência.

6. Minimização de dados e gestão de incidentes • Não é obrigatório o nome real, e-mail ou número de telefone para Convidados. • Alcunhas temporárias e visibilidade limitada da tabela de classificação. • Eliminação ou anonimização após prazos determinados. • Processo interno de escalonamento, investigação, registo, avaliação da obrigação de notificação e medidas de correção.

Parte B - Segurança e Divulgação Coordenada de Vulnerabilidades 1. Objetivo e endereço de notificação A TablePlay atribui importância à segurança do website, da Plataforma, da infraestrutura e dos dados. Eventuais vulnerabilidades técnicas podem ser reportadas de forma confidencial através de support@tableplay.online com o assunto Notificação de Segurança - confidencial.

2. Conteúdo de uma notificação • Descrição clara da vulnerabilidade. • Domínio, endpoint, ecrã ou sistema envolvido.

Contrato de Subcontratação e Política de Segurança TablePlay

Página 7 de 10 • Passos reprodutíveis e possível impacto. • Capturas de ecrã limitadas ou dados técnicos comprovativos. • Navegador, dispositivo ou ambiente utilizado. • Dados de contacto e eventual proposta para comunicação segura.

3. Atos permitidos • Apenas atos necessários para comprovar a existência da vulnerabilidade. • Manter o impacto e o acesso a dados tão limitados quanto possível. • Não alterar, eliminar ou descarregar dados de terceiros. • Não afetar a disponibilidade e cessar assim que exista prova suficiente. • Investigar exclusivamente sistemas comprovadamente sob a gestão da TablePlay.

4. Atos não permitidos • Engenharia social, phishing, ataques físicos, força bruta e credential stuffing. • Apropriação de contas, negação de serviço, malware ou acesso permanente. • Alterar, apagar, copiar ou divulgar dados. • Manipulação efetiva de pagamentos, faturas, cupões ou pontuações. • Investigação de fornecedores externos sem a sua autorização. • Verificações automatizadas onerosas. • Divulgação antes de ser concedido um prazo razoável de investigação e correção. • Extorsão ou coação ao pagamento mediante ameaça.

5. Resposta e divulgação A TablePlay procura confirmar a receção no prazo de cinco dias úteis, avaliar a notificação, colocar questões quando necessário, informar o autor da notificação em linhas gerais e limitar assim que razoavelmente possível uma vulnerabilidade verificada. O prazo de correção depende da gravidade, complexidade, fornecedores e testes necessários. A TablePlay não garante um prazo fixo. Os detalhes não serão divulgados antes de a TablePlay concordar, de ter sido acordada uma data razoável ou de terem decorrido pelo menos noventa dias sem resposta substantiva razoável ou tentativa de correção. Dados pessoais, dados de autenticação e código de exploração não serão publicados.

6. Ausência de bugbounty geral e abordagem jurídica A TablePlay não dispõe de um programa geral de bugbounty e uma notificação não confere direito a pagamento, encomenda ou publicidade. A TablePlay pode, por sua própria iniciativa, conceder uma recompensa. A TablePlay não tomará, em princípio, medidas jurídicas contra um investigador que atue de boa-fé, no âmbito desta política, sem causar danos, de forma confidencial e sem extorsão. Este compromisso não se aplica em caso de atos manifestamente puníveis, prejudiciais, fraudulentos ou desproporcionados, e não vincula terceiros ou autoridades.

Contrato de Subcontratação e Política de Segurança TablePlay

Página 8 de 10

7. security.txt A TablePlay pode publicar em /.well-known/security.txt um ficheiro técnico com o endereço de notificação, ligação à política, idiomas, data de validade e, eventualmente, uma chave de encriptação. Este ficheiro deve ser verificado e atualizado periodicamente.

Parte C - Declaração de Acessibilidade 1. Ambição e quadro de referência A TablePlay procura tornar o website, o registo, o portal de clientes e os jogos para convidados utilizáveis por um amplo grupo de utilizadores, incluindo pessoas com limitações visuais, auditivas, motoras ou cognitivas. Sempre que razoavelmente possível, são utilizados os princípios da WCAG 2.2 nível AA como quadro de referência técnico e substantivo. Isto não constitui uma garantia de que cada componente esteja, em todas as circunstâncias, totalmente em conformidade.

2. Situação atual O ambiente completo ainda não foi objeto de auditoria independente e integral. A TablePlay não reivindica, portanto, neste momento, plena conformidade formal com a WCAG 2.2 AA. As eventuais limitações dizem respeito a componentes de jogo em tempo real, pressão temporal, drag-and-drop, animações, páginas externas de pagamento ou autenticação, traduções, representações de cor mais antigas e funções orientadas ao toque.

3. Medidas • HTML semântico e etiquetas utilizáveis quando aplicável. • Comando por teclado das funções essenciais e foco visível. • Contraste suficiente e texto escalável. • Textos alternativos para imagens informativas. • Nenhuma informação essencial transmitida exclusivamente através de cor. • Mensagens de erro compreensíveis e navegação consistente. • Botões e links claros. • Suporte de navegadores e formatos de ecrã comuns. • Limitação de animações desnecessárias. • Linguagem compreensível no ambiente do convidado. • Testes automatizados e manuais sempre que possível.

4. Jogos e pressão de tempo Alguns jogos são, pela sua própria natureza, limitados no tempo. Onde tecnicamente e a nível de conteúdo do jogo for possível, a TablePlay pode oferecer modos de jogo alternativos, limites de tempo alargados, menos movimento, alternativas visuais ao som e texto ou símbolos além da cor. Nem todos os modos de jogo são igualmente adequados para todos os utilizadores. Os restaurantes são encorajados a oferecer vários tipos de jogo.

Contrato de Subcontratante e Política de Segurança TablePlay

Página 9 de 10

5. Responsabilidade do cliente empresarial O Cliente continua responsável pela acessibilidade física e operacional do Local, incluindo a colocação de códigos QR, a legibilidade de material impresso, apoio alternativo, acessibilidade dos ecrãs, apoio por parte do pessoal e conteúdo próprio. Os códigos QR são colocados de forma acessível e visível e, sempre que razoavelmente possível, é oferecida uma alternativa aos Convidados que não conseguem digitalizar de forma autónoma.

6. Comunicação e acesso alternativo Os problemas de acessibilidade podem ser comunicados através de support@tableplay.online, indicando a página ou jogo, dispositivo, navegador, tecnologia de apoio, descrição e solução desejada. A TablePlay procura confirmar a receção dentro de cinco dias úteis e dar uma resposta de fundo dentro de um prazo razoável. Sempre que possível, pode ser fornecida informação por e-mail, apoio, uma instrução alternativa, processamento manual ou outra possibilidade de jogo.

7. Encargo desproporcionado e melhoria Uma adaptação pode ser adiada quando não for tecnicamente viável, afetar substancialmente a segurança, alterar a natureza fundamental de um jogo, depender de um fornecedor externo ou constituir um encargo organizacional ou financeiro desproporcionado. A TablePlay avalia então uma alternativa. A TablePlay pode incorporar a acessibilidade no design, testes, priorização, feedback dos utilizadores e auditorias externas, e atualizar esta declaração.

8. Contacto TablePlay by Jimani - Jimani B.V. - Albert Plesmanweg 122 - 4462 GC Goes - Países Baixos - KvK 91644453 - NIF NL865722729B01 - support@tableplay.online.

Contrato de Subcontratante e Política de Segurança TablePlay

Página 10 de 10

Lista adicional de subcontratantes Esta lista de subcontratantes faz parte do Contrato de Subcontratante e da Política de Segurança da TablePlay. A lista atual pode ser alterada quando fornecedores, regiões ou funcionalidades sofrerem alterações.

Fornecedor: Supabase Serviço: base de dados, autenticação, armazenamento e backend. Dados possíveis: contas, dados de mesas, apelidos, sessões, pontuações e registos. Região / função: primariamente região UE, sempre que configurado; subcontratante principal.

Fornecedor: Vercel Serviço: alojamento, runtime, entrega de conteúdo e registo. Dados possíveis: endereço IP, dados de pedidos, navegador, dispositivo e aplicação. Região / função: EEE e possivelmente EUA; subcontratante de alojamento.

Fornecedor: Twilio SendGrid Serviço: e-mail transacional e operacional. Dados possíveis: nome, endereço de e-mail, informação de conta, conteúdo e estado de entrega. Região / função: internacional; subcontratante de e-mail.

Fornecedor: OpenAI / outro fornecedor de IA Serviço: apenas quando as funcionalidades de IA estão ativadas. Dados possíveis: dados limitados necessários para a funcionalidade. Região / função: dependente da configuração; subcontratante potencial. A TablePlay não fornece dados de convidados identificáveis a um fornecedor de IA para treino geral de modelos, salvo se tal for posteriormente organizado de forma explícita, lícita e transparente de outra maneira.

Fornecedor: Stripe Serviço: pagamentos, faturação e fraude. Dados possíveis: dados empresariais, faturas, transações e estado de pagamento. Região / função: internacional; a função varia por processamento.

Fornecedor: Google / Meta / LinkedIn Serviço: analytics e marketing após consentimento. Dados possíveis: dados de website, dispositivo, publicidade e conversão. Região / função: internacional; geralmente não é subcontratante para dados de jogos de restaurantes.