Contrato de Subcontratação e Política de Segurança TablePlay Incluindo lista de subsubcontratados, medidas técnicas e organizacionais, divulgação responsável e declaração de acessibilidade

TablePlay by Jimani Jimani B.V. Albert Plesmanweg 122, 4462 GC Goes KvK 91644453 - Btw NL865722729B01 support@tableplay.online

Versão 1.0 Última atualização: 10 de julho de 2026

Nota de revisão jurídica Este documento foi elaborado para uso comercial pela TablePlay. A publicação definitiva, a aplicação internacional, os fornecedores atuais, a estrutura técnica e as regras específicas de cada país devem ser revistas juridicamente de forma periódica.

Índice Parte A - Contrato de Subcontratação Anexo 1 - Subsubcontratados Anexo 2 - Medidas técnicas e organizacionais Parte B - Segurança e Divulgação Coordenada de Vulnerabilidades Parte C - Declaração de Acessibilidade

Contrato de Subcontratação e Política de Segurança TablePlay

Página 2 de 10

Parte A - Contrato de Subcontratação Artigo 1 - Partes Este contrato de subcontratação vigora entre o cliente comercial da TablePlay, na qualidade de Responsável pelo Tratamento, e a Jimani B.V., atuando sob a denominação TablePlay by Jimani, Albert Plesmanweg 122, 4462 GC Goes, KvK 91644453, na qualidade de Subcontratado. As partes são conjuntamente designadas como Partes.

Artigo 2 - Aplicabilidade e formação Este contrato aplica-se na medida em que a TablePlay trate dados pessoais por conta e em benefício do Cliente, e constitui parte integrante do contrato principal. Este contrato forma-se por aceitação eletrónica, assinatura ou utilização efetiva do Serviço. Para os tratamentos em relação aos quais a TablePlay determine autonomamente as finalidades e os meios, a TablePlay é responsável pelo tratamento e aplica-se a Declaração de Privacidade. Em caso de contradição relativa ao tratamento em nome do Cliente, este Contrato de Subcontratação prevalece sobre as Condições Gerais.

Artigo 3 - Objeto, duração e natureza A TablePlay trata dados pessoais para funcionalidades relacionadas com jogos, mesas, códigos QR, pontuações, classificações, painéis de controlo e apoio ao cliente, no âmbito de restaurantes. O tratamento tem a duração do contrato principal e um período limitado subsequente, para efeitos de eliminação, devolução, rotação de cópias de segurança, obrigações legais e defesa de direitos. O tratamento pode incluir a recolha, registo, organização, estruturação, armazenamento, consulta, cálculo, combinação no contexto do restaurante, exibição, transmissão, limitação, eliminação e anonimização.

Artigo 4 - Finalidades • Associação de códigos QR ao restaurante e à mesa. • Início e execução de sessões de jogo. • Tratamento de apelidos temporários, escolhas de jogo, respostas, pontuações e resultados. • Facilitação de jogos entre mesas e classificações temporárias. • Exibição de estatísticas relativas ao restaurante. • Prevenção de sessões duplicadas, fraudulentas ou tecnicamente inválidas. • Apoio técnico, segurança, continuidade e recuperação. • Eliminação ou anonimização após os prazos de conservação.

Artigo 5 - Categorias de titulares dos dados • Convidados e jogadores do Cliente. • Pessoas de contacto, utilizadores, colaboradores e auxiliares do Cliente. • Pessoas mencionadas numa comunicação de apoio ao cliente.

Artigo 6 - Categorias de dados pessoais • Apelido temporário, número de mesa ou ID único de mesa e ID do restaurante ou local. • ID da sessão de jogo, jogo escolhido, modo de jogo, respostas, ações, pontuação, resultado e classificação. • Data, hora e configuração de idioma temporária. • Dados técnicos de sessão, IP, browser e dispositivo, na medida em que constem em registos de segurança.

Contrato de Subcontratação e Política de Segurança TablePlay

Página 3 de 10 • Nome e endereço de correio eletrónico profissional de uma pessoa de contacto e conteúdo de pedidos de apoio ao cliente. • Outros dados introduzidos no âmbito da funcionalidade acordada. A TablePlay não se destina a dados especiais, criminais, médicos ou biométricos, nem a perfis extensos de convidados diretamente identificáveis. O Cliente não deve dar instruções para tal tratamento sem acordo prévio por escrito.

Artigo 7 - Instruções documentadas O contrato principal, este Contrato de Subcontratação, as configurações do portal do cliente e os pedidos de apoio lícitos constituem instruções. A TablePlay não trata dados para outras finalidades, salvo obrigações legais, finalidades autónomas de segurança e defesa de direitos, ou tratamento após anonimização adequada. Em caso de instrução presumivelmente ilícita, a TablePlay informa o Cliente, salvo proibição legal, podendo suspender a execução. Instruções adicionais de grande dimensão podem ser faturadas separadamente.

Artigo 8.º - Obrigações do Cliente O Cliente é responsável pela licitude, pelo fundamento válido, pela informação aos Convidados, pelas instruções lícitas, pela minimização de dados, pela segurança interna e pela proteção dos dados de acesso. O Cliente é responsável pela exatidão e qualidade, não exige nomes reais dos Convidados e não utiliza os Dados do Jogo para marketing individual ou definição de perfis sem um fundamento autónomo. Os incidentes de segurança e as instruções ilícitas são comunicados sem demora.

Artigo 9.º - Confidencialidade As pessoas sob a autoridade da TablePlay apenas obtêm acesso na medida do necessário, estão vinculadas ao dever de confidencialidade e apenas tratam dados de acordo com as instruções. O dever mantém-se após a cessação. A comunicação a terceiros ocorre exclusivamente com base no presente contrato, no contrato principal ou na lei.

Artigo 10.º - Segurança A TablePlay adota medidas técnicas e organizativas adequadas, tendo em conta o estado da técnica, os custos, a natureza, o âmbito, o contexto, a finalidade e o risco. As medidas constam do Anexo 2 e podem ser adaptadas, desde que o nível geral de proteção não seja substancialmente reduzido. Nenhum sistema pode garantir segurança absoluta.

Artigo 11.º - Violações de dados A TablePlay informa o Cliente sem demora injustificada após tomar conhecimento de uma violação de dados pessoais tratados em nome do Cliente. Sempre que possível, são fornecidas informações sobre a natureza, os sistemas, as categorias de dados e de titulares, as consequências, as medidas e os contactos. As informações podem ser fornecidas em fases. A TablePlay investiga, limita, conserva as provas relevantes e procede à reparação. O Cliente avalia a obrigação legal de notificação e a TablePlay presta um apoio razoável. Uma notificação não constitui um reconhecimento de responsabilidade. Os trabalhos decorrentes de circunstâncias sob a responsabilidade do Cliente podem ser executados mediante custos razoáveis.

Artigo 12.º - Pedidos de titulares de dados Os pedidos diretos relativos ao papel do Cliente são, em princípio, reencaminhados. A TablePlay apenas responde autonomamente por instrução, no exercício do seu próprio papel ou em caso de obrigação legal. A TablePlay presta um apoio razoável em matéria de acesso, retificação, eliminação, limitação, portabilidade e oposição.

Contrato de Subcontratação de Tratamento de Dados e Política de Segurança TablePlay

Página 4 de 10

Como os Convidados não têm Conta, a identificação pode ser limitada. Podem ser necessários o restaurante, a mesa, a data, a hora, o pseudónimo e o contexto do jogo. Os dados não são fornecidos caso não esteja suficientemente comprovado que se referem ao requerente.

Artigo 13.º - Apoio ao cumprimento A TablePlay presta apoio razoável em matéria de segurança, avaliações de violações de dados, avaliações de impacto sobre a proteção de dados, consulta prévia e documentação necessária. O apoio de grande envergadura que exceda o serviço padrão pode ser faturado, salvo se resultar de um incumprimento por parte da TablePlay.

Artigo 14.º - Subcontratantes O Cliente concede autorização geral aos subcontratantes mencionados no Anexo 1. A TablePlay pode adicionar, substituir ou remover subcontratantes e mantém uma lista eletrónica atualizada. No caso de um novo subcontratante relevante, a TablePlay informa, em princípio, com uma antecedência de trinta dias. O Cliente pode, dentro desse prazo, apresentar objeção fundamentada com base em motivos concretos de proteção de dados. As Partes procuram garantias adicionais, uma limitação ou uma alternativa técnica. Caso não exista uma solução razoável, o Cliente pode rescindir a parte diretamente afetada antes da sua utilização. A TablePlay impõe obrigações substancialmente equivalentes e permanece responsável na medida em que o RGPD assim o determine.

Artigo 15.º - Transferência internacional Os dados pessoais são tratados, sempre que possível, numa região europeia. Os subcontratantes ou empresas do grupo podem estar estabelecidos fora do EEE ou ter acesso a partir daí. Sempre que exigido, a TablePlay utiliza decisões de adequação, cláusulas contratuais-tipo, medidas adicionais ou outros mecanismos válidos. A pedido razoável, são fornecidas informações, tendo em conta a confidencialidade.

Artigo 16.º - Pedidos de autoridades A TablePlay apenas fornece dados a autoridades competentes no cumprimento de uma obrigação legal. Sempre que permitido, o Cliente é informado previamente. A TablePlay avalia a competência, o alcance e a validade jurídica e limita o fornecimento sempre que possível.

Artigo 17.º - Auditorias e informação A TablePlay disponibiliza informação razoável, incluindo documentação de segurança, auditorias, certificações, questionários ou declarações de garantia. Se tal for insuficiente, o Cliente pode exigir, no máximo uma vez por ano civil, uma auditoria com um aviso prévio de trinta dias, durante o horário de expediente, realizada por um perito independente sujeito a dever de confidencialidade, sem prejuízo para a segurança, a confidencialidade ou outros clientes. O Cliente suporta os custos, salvo se for constatada uma infração substancial imputável. A TablePlay pode proteger o código-fonte, outros dados de clientes, detalhes de vulnerabilidades e informações comercialmente sensíveis quando exista uma alternativa suficiente.

Artigo 18.º - Devolução e eliminação Após a cessação, a TablePlay elimina ou devolve, à escolha do Cliente e na medida do tecnicamente e juridicamente possível, os dados tratados exclusivamente em nome do Cliente. A escolha deve ser comunicada, no máximo, no prazo de trinta dias. Na ausência de escolha, a TablePlay pode eliminar ou anonimizar de acordo com a política padrão. As cópias de segurança podem conter dados durante, no máximo, um mês e são utilizadas exclusivamente para recuperação.

Contrato de Subcontratante de Tratamento e Política de Segurança TablePlay

Página 5 de 10

Os dados legalmente obrigatórios, necessários para a defesa de direitos e os dados anonimizados não têm de ser eliminados.

Artigo 19.º - Responsabilidade As disposições relativas à responsabilidade previstas nos Termos e Condições Gerais aplicam-se igualmente. Cada parte é responsável pelas suas próprias obrigações em matéria de proteção de dados. O Cliente indemniza a TablePlay por reclamações resultantes de instruções ilícitas, ausência de fundamento jurídico, informação insuficiente, utilização ilícita de Dados do Jogo ou introdução de dados sensíveis proibidos, na medida do legalmente permitido.

Artigo 20.º - Duração e cessação O presente Contrato de Subcontratante de Tratamento cessa quando a TablePlay deixar de tratar dados pessoais em nome do Cliente. As obrigações de confidencialidade, segurança, eliminação, responsabilidade e auditorias mantêm-se em vigor na medida em que a sua natureza assim o exija.

Artigo 21.º - Direito aplicável e litígios O presente Contrato de Subcontratante de Tratamento rege-se pelo direito neerlandês. Os litígios são tratados de acordo com os Termos e Condições Gerais.

Anexo 1 - Subcontratantes Fornecedor

Serviço

Dados possíveis

Região / função

Supabase

Base de dados, autenticação, armazenamento e backend Contas, dados de mesas, apelidos, sessões, Primár pontuações e registos Região UE, na medida em que configurada; subcontratante principal

Vercel

Alojamento, ambiente de execução, distribuição de Endereço conteúdos e IP, registo dados de pedidos, navegador, dispositivo e aplicação EEE e eventualmente EUA; subcontratante de alojamento

Twilio SendGrid

Correio eletrónico transacional e operacional Nome, endereço de e-mail, informação de conta, Internacional; conteúdosubcontratante e estado de entrega de e-mail

OpenAI / outro fornecedor de IA Apenas em caso de funcionalidades de IA ativadas

Dados limitados necessários para a funcionalidade Dependente da configuração; potencial subcontratante

Stripe

Dados empresariais, faturas, transações e estado de pagamento Internacional; função varia consoante o tratamento

Pagamentos, faturação e fraude

Google / Meta / LinkedIn Análises e marketing após consentimento Dados de website, dispositivo, publicidade e conversão Internacional; regra geral não subcontratante para

A lista atualizada é disponibilizada através do sítio Web ou do portal do cliente. Em caso de um novo subcontratante substancial, aplica-se o procedimento de notificação e objeção previsto no artigo 14.º. A TablePlay não fornece dados de hóspedes identificáveis a um fornecedor de IA para treino geral de modelos, salvo se tal vier posteriormente a ser expressamente, licitamente e de forma transparente organizado de outra forma.

Anexo 2 - Medidas técnicas e organizativas 1. Segurança de acesso • Contas de utilizador únicas e autenticação segura. • Palavras-passe encriptadas (hash) e limitação de direitos de administração. • Acesso com base na função e na necessidade. • Revogação do acesso quando este deixe de ser necessário. • Medidas de autenticação adicionais quando aplicável.

2. Separação lógica de dados • Separação entre Contas empresariais e autorização vinculada ao tenant.

Contrato de Subcontratante de Tratamento e Política de Segurança TablePlay

Página 6 de 10 • Row Level Security do Supabase, sempre que tecnicamente aplicável. • Limitação do acesso a dados de outros Clientes. • Identificadores únicos de mesa.

3. Transporte e armazenamento • Ligações protegidas por HTTPS e TLS. • Comunicação segura entre o navegador, a aplicação, o backend e as API's. • Armazenamento em fornecedores de nuvem selecionados. • Acesso limitado dos colaboradores e dever contratual de confidencialidade. • Não armazenamento de palavras-passe em formato diretamente legível.

4. Disponibilidade, registo e recuperação • Cópias de segurança e mecanismos de recuperação quando aplicável. • Monitorização de erros técnicos e tentativas de início de sessão relevantes. • Deteção e investigação de utilização anómala. • Cópias de segurança, em princípio, durante um período máximo de um mês. • Registos, em princípio, durante um período máximo de um ano, salvo se for necessário um período mais longo em virtude de um incidente ou litígio.

5. Desenvolvimento seguro e gestão de fornecedores • Gestão de versões, revisão de código e implementação controlada sempre que adequado. • Limitação de segredos e chaves no código-fonte. • Atualizações atempadas de componentes relevantes. • Avaliação e resolução de vulnerabilidades comunicadas. • Seleção de fornecedores profissionais, acordos contratuais e mecanismos de transferência.

6. Minimização de dados e gestão de incidentes • Não é obrigatório o nome real, e-mail ou número de telefone para Convidados. • Alcunhas temporárias e visibilidade limitada da tabela de classificação. • Eliminação ou anonimização após determinados prazos. • Processo interno de escalonamento, investigação, registo, avaliação da obrigação de notificação e medidas de correção.

Parte B - Segurança e Divulgação Coordenada de Vulnerabilidades 1. Objetivo e endereço de notificação A TablePlay atribui importância à segurança do website, da Plataforma, da infraestrutura e dos dados. Possíveis vulnerabilidades técnicas podem ser comunicadas de forma confidencial através de support@tableplay.online com o assunto Notificação de Segurança - confidencial.

2. Conteúdo de uma notificação • Descrição clara da vulnerabilidade. • Domínio, endpoint, ecrã ou sistema envolvido.

Contrato de Subcontratação e Política de Segurança TablePlay

Página 7 de 10 • Passos reprodutíveis e possível impacto. • Capturas de ecrã limitadas ou dados técnicos comprovativos. • Navegador, dispositivo ou ambiente utilizado. • Dados de contacto e eventual proposta de comunicação segura.

3. Ações permitidas • Apenas ações necessárias para comprovar a existência da vulnerabilidade. • Manter o impacto e o acesso a dados tão limitados quanto possível. • Não alterar, eliminar ou descarregar dados de terceiros. • Não afetar a disponibilidade e interromper assim que exista prova suficiente. • Investigar exclusivamente sistemas que estejam comprovadamente sob a gestão da TablePlay.

4. Ações não permitidas • Engenharia social, phishing, ataques físicos, força bruta e credential stuffing. • Tomada de controlo de contas, denial-of-service, malware ou acesso permanente. • Alteração, eliminação, cópia ou divulgação de dados. • Manipulação efetiva de pagamentos, faturas, cupões ou pontuações. • Investigação de fornecedores externos sem a sua autorização. • Verificações automatizadas onerosas. • Divulgação antes de ter sido concedido um prazo razoável de investigação e correção. • Extorsão ou coação ao pagamento através de ameaças.

5. Resposta e divulgação A TablePlay procura confirmar a receção no prazo de cinco dias úteis, avaliar a notificação, colocar questões sempre que necessário, informar o autor da notificação sobre os aspetos principais e limitar uma vulnerabilidade verificada com a maior brevidade razoavelmente possível. O prazo de correção depende da gravidade, complexidade, fornecedores e testes necessários. A TablePlay não garante um prazo fixo. Os detalhes não serão divulgados antes de a TablePlay concordar, de ter sido acordada uma data razoável, ou de terem decorrido pelo menos noventa dias sem resposta substantiva razoável ou tentativa de correção. Dados pessoais, dados de autenticação e código de exploração (exploit code) não serão publicados.

6. Ausência de bug bounty geral e abordagem jurídica A TablePlay não dispõe de um programa geral de bug bounty e uma notificação não confere direito a pagamento, encomenda ou publicidade. A TablePlay pode, ao seu exclusivo critério, atribuir uma recompensa. A TablePlay, em princípio, não intentará ações judiciais contra um investigador que atue de boa-fé, no âmbito desta política, sem causar danos, de forma confidencial e sem extorsão. Este compromisso não se aplica em caso de atos manifestamente puníveis, prejudiciais, fraudulentos ou desproporcionados, e não vincula terceiros ou autoridades.

Contrato de Subcontratação e Política de Segurança TablePlay

Página 8 de 10

7. security.txt A TablePlay pode publicar em /.well-known/security.txt um ficheiro técnico com o endereço de notificação, a ligação à política, os idiomas, a data de validade e, eventualmente, uma chave de encriptação. Este ficheiro deve ser verificado e atualizado periodicamente.

Parte C - Declaração de Acessibilidade 1. Ambição e quadro de referência A TablePlay procura tornar o website, o registo, o portal de clientes e os jogos para convidados utilizáveis por um vasto leque de utilizadores, incluindo pessoas com deficiências visuais, auditivas, motoras ou cognitivas. Sempre que razoavelmente possível, são utilizados os princípios da WCAG 2.2 nível AA como quadro de referência técnico e de conteúdo. Isto não constitui uma garantia de que todos os elementos, em todas as circunstâncias, cumpram integralmente essas normas.

2. Situação atual O ambiente completo ainda não foi objeto de auditoria independente e integral. A TablePlay não reivindica, portanto, neste momento, plena conformidade formal com a WCAG 2.2 AA. Possíveis limitações dizem respeito a componentes de jogo em tempo real, pressão temporal, drag-and-drop, animações, páginas externas de pagamento ou autenticação, traduções, representações de cores mais antigas e funções orientadas ao toque.

3. Medidas • HTML semântico e etiquetas utilizáveis sempre que adequado. • Controlo por teclado das funções essenciais e foco visível.

Contraste suficiente e texto escalável. • Textos alternativos para imagens informativas. • Nenhuma informação essencial transmitida exclusivamente através da cor. • Mensagens de erro compreensíveis e navegação consistente. • Botões e ligações claros. • Suporte de navegadores e formatos de ecrã habituais. • Limitação de animação desnecessária. • Linguagem compreensível no ambiente do hóspede. • Testes automatizados e manuais sempre que possível.

4. Jogos e pressão de tempo Alguns jogos são, pela sua natureza, limitados no tempo. Sempre que tecnicamente e em termos de conteúdo do jogo for possível, a TablePlay pode oferecer modos de jogo alternativos, limites de tempo ampliados, menos movimento, alternativas visuais ao som e texto ou símbolos além da cor. Nem todos os modos de jogo são igualmente adequados para todos os utilizadores. Os restaurantes são incentivados a oferecer vários tipos de jogo.

Acordo de Subcontratação de Tratamento de Dados e Política de Segurança TablePlay

Página 9 de 10

5. Responsabilidade do cliente empresarial O Cliente permanece responsável pela acessibilidade física e operacional do Local, incluindo a colocação de códigos QR, a legibilidade de material impresso, apoio alternativo, acessibilidade de ecrãs, apoio por parte do pessoal e conteúdo próprio. Os códigos QR são colocados de forma acessível e visível e, sempre que razoavelmente possível, é oferecida uma alternativa aos Hóspedes que não conseguem digitalizar de forma autónoma.

6. Comunicação e acesso alternativo Problemas de acessibilidade podem ser comunicados através de support@tableplay.online, com indicação da página ou jogo, dispositivo, navegador, tecnologia de apoio, descrição e solução pretendida. A TablePlay procura enviar uma confirmação de recepção no prazo de cinco dias úteis e uma resposta de fundo dentro de um prazo razoável. Sempre que possível, pode ser oferecida informação por e-mail, apoio, uma instrução alternativa, processamento manual ou uma outra possibilidade de jogo.

7. Encargo desproporcionado e melhoria Uma adaptação pode ser adiada quando não for tecnicamente viável, afectar substancialmente a segurança, alterar a natureza fundamental de um jogo, depender de um fornecedor externo ou constituir um encargo organizacional ou financeiro desproporcionado. A TablePlay avalia então uma alternativa. A TablePlay pode ter em conta a acessibilidade na concepção, testes, definição de prioridades, feedback dos utilizadores e auditorias externas, e actualizar a presente declaração.

8. Contacto TablePlay by Jimani - Jimani B.V. - Albert Plesmanweg 122 - 4462 GC Goes - Países Baixos - KvK 91644453 - Btw NL865722729B01 - support@tableplay.online.

Acordo de Subcontratação de Tratamento de Dados e Política de Segurança TablePlay

Página 10 de 10

Lista adicional de subsubcontratantes Esta lista de subsubcontratantes faz parte integrante do Acordo de Subcontratação de Tratamento de Dados e da Política de Segurança da TablePlay. A lista actual pode ser alterada quando os fornecedores, regiões ou funcionalidades sofrerem alterações.

Fornecedor: Supabase Serviço: base de dados, autenticação, armazenamento e backend. Dados possíveis: contas, dados de mesa, apelidos, sessões, pontuações e registos (logs). Região / função: principalmente região da UE, na medida em que configurado; subsubcontratante principal.

Fornecedor: Vercel Serviço: alojamento (hosting), runtime, distribuição de conteúdos e registo (logging). Dados possíveis: endereço IP, dados de pedido, navegador, dispositivo e aplicação. Região / função: EEE e eventualmente EUA; subsubcontratante de alojamento.

Fornecedor: Twilio SendGrid Serviço: e-mail transacional e operacional. Dados possíveis: nome, endereço de e-mail, informação de conta, conteúdo e estado de entrega. Região / função: internacional; subsubcontratante de e-mail.

Fornecedor: OpenAI / outro fornecedor de IA Serviço: apenas quando as funcionalidades de IA estão activadas. Dados possíveis: dados limitados necessários para a funcionalidade. Região / função: dependente da configuração; subsubcontratante potencial. A TablePlay não fornece dados de hóspedes identificáveis a um fornecedor de IA para efeitos de treino geral de modelos, salvo se tal vier a ser expressamente, licitamente e de forma transparente organizado de outro modo.

Fornecedor: Stripe Serviço: pagamentos, facturação e prevenção de fraude. Dados possíveis: dados empresariais, facturas, transacções e estado de pagamento. Região / função: internacional; a função varia consoante o tratamento.

Fornecedor: Google / Meta / LinkedIn Serviço: análise (analytics) e marketing após consentimento. Dados possíveis: dados de website, dispositivo, publicidade e conversão. Região / função: internacional; geralmente não é subsubcontratante para dados de jogos de restaurantes.