Política de privacidade

Resumo

• Guardamos o que precisas para manter a tua sequência: conta, treinos, fotografias de prova, notificações e, se quiseres, grupos e a ligação ao Strava.
• Os dados de treino podem revelar informação sobre a tua saúde. Por isso pedimos o teu consentimento explícito e separado, que podes retirar nas Definições.
• Fotografias de prova (cifradas em disco) e as respetivas miniaturas.
• O teu nome e a duração da tua sequência são visíveis para todos os membros nas classificações. Os teus treinos só são partilhados com o público que escolheres: ninguém, grupos, amigos, amigos e grupos ou todos (e podes escondê-los de um grupo específico).
• Não vendemos nem partilhamos os teus dados para publicidade. Não usamos cookies de análise nem de publicidade.
• Podes exportar todos os teus dados e eliminar a conta em Definições > Privacidade e dados.
• Podes apresentar queixa à Comissão Nacional de Proteção de Dados (CNPD).

Quem é o responsável pelo tratamento

O responsável pelo tratamento dos teus dados pessoais é: Streaka (QUA), QUA, NIF 000000000.

Para qualquer questão sobre privacidade ou para exercer os teus direitos, escreve para qua@example.pt ou usa o formulário no fim desta página. Encarregado de proteção de dados (EPD/DPO): não designado.

O serviço é prestado a partir de Portugal e rege-se pela lei portuguesa, incluindo o Regulamento Geral sobre a Proteção de Dados (RGPD) e a Lei n.º 58/2019. A autoridade de controlo competente é a CNPD (www.cnpd.pt).

Que dados tratamos

• Conta: nome a mostrar, email, palavra-passe (guardada só como hash), idioma, fuso horário, preferências de aspeto e de unidade de distância, país (cifrado), data de criação.
• Treinos: desporto, data, duração, distância e notas (cifradas). Podem incluir dados que revelam informação sobre a tua saúde ou condição física.
• Fotografias de prova (cifradas em disco), as suas miniaturas e o resultado da leitura automática (cifrado).
• Sequências, marcos e notificações dentro da aplicação.
• Notificações push: o endereço técnico do teu dispositivo e as chaves de entrega (cifrados), apenas se as ativares.
• Social: grupos a que pertences, gostos e comentários (cifrados) e as tuas escolhas de partilha (público da conta, de cada treino e de cada grupo).
• Strava (opcional): identificador do atleta, tokens de acesso (cifrados) e os treinos que importares.
• Registos de consentimento: que versão dos textos aceitaste e quando. Não guardamos o teu endereço IP nesse registo.
• Dados técnicos mínimos: registos de segurança e de funcionamento sem dados pessoais, tokens nem conteúdo de fotografias.

Para que usamos os dados e com que fundamento

• Prestar o serviço (conta, sequências, calendário, estatísticas, classificações): execução do contrato (art. 6.º, n.º 1, al. b) do RGPD).
• Tratar dados de treino que revelam informação sobre a tua saúde: consentimento explícito (art. 9.º, n.º 2, al. a)), que dás no registo e podes retirar a qualquer momento.
• Revisão manual das fotografias de prova por um administrador, para prevenir fraude e confirmar os treinos: interesse legítimo (art. 6.º, n.º 1, al. f) do RGPD) e, quando a fotografia revela dados de saúde, o teu consentimento explícito.
• Enviar notificações push: consentimento, que dás ao ativar as notificações no teu dispositivo.
• Importar treinos do Strava: o teu consentimento, ao ligares a conta.
• Segurança, prevenção de abusos e moderação de conteúdos: interesse legítimo (art. 6.º, n.º 1, al. f)) e cumprimento de obrigações legais (Regulamento dos Serviços Digitais).
• Responder aos pedidos de exercício de direitos e provar que cumprimos a lei: obrigação legal e interesse legítimo.

Dados de saúde e consentimento explícito

A duração, a distância e o tipo de treino, bem como as fotografias de aplicações de treino, podem ser dados relativos à saúde. Só os tratamos com o teu consentimento explícito, pedido no registo numa caixa separada dos termos.

Se retirares este consentimento em Definições > Privacidade e dados, deixamos de poder registar treinos e manter a tua sequência: a conta fica bloqueada para o uso normal até voltares a consentir, e podes sempre exportar ou eliminar os teus dados. Retirar o consentimento não afeta a licitude do tratamento feito antes.

Fotografias de prova

Quando carregas uma fotografia de treino, guardamo-la cifrada e criamos miniaturas. A fotografia não é lida nem analisada por nenhum sistema automático ou de inteligência artificial: calculamos apenas uma impressão digital (hash) para detetar fotografias repetidas.

Um administrador pode ver a fotografia e os valores que declaraste para os aprovar ou rejeitar. Só tu, os administradores e, em grupos, os colegas quando o treino é partilhável, podem ver as fotografias.

Os dados importados do Strava nunca são enviados para sistemas de inteligência artificial.

Strava

Se ligares a tua conta Strava, importamos os teus treinos para a tua sequência. Guardamos o identificador do atleta e os tokens de acesso (cifrados) e revogamo-los no Strava quando desligas ou eliminas a conta. Os dados do Strava (desporto, duração, distância, percurso) só são visíveis para ti. Os outros membros só veem que treinaste num dia, com uma ligação ao treino no Strava. Uma sequência que inclui dias do Strava só aparece nas classificações se concordares (caixa ao ligar e nas Definições). Se retirares a autorização no Strava, apagamos os treinos importados dessa origem.

Com quem partilhamos (subcontratantes)

Não vendemos dados. Recorremos a prestadores que tratam dados por nossa conta, ao abrigo de contratos de subcontratação (art. 28.º do RGPD): alojamento, envio de email, serviços de notificações push dos navegadores e, se ligares a conta, o Strava. A lista atual, com finalidade, dados, país e garantias, está na página Subcontratantes. Se permitires anúncios do Google (opcional), o Google AdSense atua como prestador de publicidade independente, com a sua própria política de privacidade.

Transferências internacionais

Alguns subcontratantes estão nos Estados Unidos. As transferências baseiam-se na decisão de adequação do Quadro de Privacidade de Dados UE-EUA, quando o fornecedor está certificado, ou em Cláusulas Contratuais-Tipo da Comissão Europeia, com avaliação do impacto da transferência e medidas adicionais, como a cifragem e o envio apenas do estritamente necessário. Podes pedir uma cópia das garantias através de qua@example.pt. O responsável pelo tratamento está em Portugal e os dados são tratados na União Europeia ou pelos subcontratantes indicados, mesmo que uses o serviço noutro país.

Durante quanto tempo guardamos os dados

• Conta, treinos, sequências e fotografias: enquanto a conta existir. Ao eliminares a conta, apagamos tudo de imediato, incluindo fotografias, miniaturas, tokens e subscrições push.
• Notificações lidas: 180 dias.
• Carregamentos temporários não guardados: 24 horas.
• Tarefas de importação concluídas: 90 dias.
• Exportações de dados: o ficheiro e a ligação expiram em 24 horas e a ligação só funciona uma vez.
• Registos de auditoria administrativa (sem dados pessoais): 2 anos.
• Denúncias de conteúdo e pedidos de exercício de direitos: o tempo necessário para os tratar e provar o cumprimento dos prazos, no máximo 2 anos depois de encerrados.
• Registos técnicos: no máximo 30 dias.

Os teus direitos

Tens direito de acesso, retificação, apagamento, limitação, oposição e portabilidade, bem como o direito de retirar o consentimento e de não ficar sujeito a decisões exclusivamente automatizadas com efeitos jurídicos.

• Acesso e portabilidade: Definições > Privacidade e dados > Exportar os meus dados (ficheiro ZIP com JSON e as fotografias originais).
• Apagamento: Definições > Privacidade e dados > Eliminar a conta.
• Retificação: edita o teu perfil e os teus treinos na aplicação.
• Qualquer outro pedido (limitação, oposição, correção que não consigas fazer sozinho): usa o formulário abaixo ou escreve para qua@example.pt. Respondemos no prazo de 30 dias.

Se considerares que o tratamento viola a lei, podes apresentar queixa à CNPD (www.cnpd.pt) ou à autoridade de controlo do país onde vives.

Menores

O Streaka destina-se a pessoas que tenham, pelo menos, a idade mínima de consentimento digital do seu país: 13 anos em Portugal e entre 13 e 16 anos nos outros países da União Europeia, conforme a lei nacional. No registo pedimos o país e a confirmação de que tens essa idade, e não guardamos nada se não a tiveres. Se descobrirmos uma conta de uma pessoa abaixo da idade mínima, eliminamo-la.

Segurança

Protegemos os dados com ligações cifradas (HTTPS), cifragem de campos sensíveis e de fotografias com AES-256 na aplicação, cifragem da base de dados e das cópias de segurança, palavras-passe com hash, acesso a cada conta limitado ao próprio utilizador e registo de ações administrativas. Nenhum sistema é infalível: em caso de violação de dados pessoais que te possa afetar, avisamos-te e a CNPD nos prazos legais (72 horas para a autoridade).

Cookies, publicidade e Sec-GPC

Usamos apenas cookies estritamente necessárias, descritas na página Cookies.

Mostramos poucos anúncios no feed e no fim de algumas páginas. Os anúncios de patrocinadores são nossos: aparecem sempre, estão identificados como "Patrocinado", não usam cookies nem seguimento e não os ligamos a ti. Contamos apenas visualizações e cliques por anúncio e por dia, sem identificar ninguém.

Os anúncios do Google AdSense só aparecem se o permitires, em separado e de forma opcional (cartão no feed ou Definições > Privacidade e dados), confirmando que tens 18 anos ou mais. Por defeito são anúncios não personalizados. Podes retirar a permissão a qualquer momento e os anúncios do Google deixam de aparecer de imediato.

Nunca usamos os teus treinos, dados de saúde ou do Strava para escolher ou direcionar anúncios, e não vendemos dados pessoais. Como só mostramos anúncios do Google com o teu consentimento, o sinal Global Privacy Control (Sec-GPC) que o teu navegador envie não muda nada nas funções essenciais, que continuam ativas.

Alterações a esta política

Podemos atualizar esta política. A versão e a data de última atualização estão no topo desta página. Se a alteração for relevante, voltamos a pedir-te que a aceites na primeira vez que entrares depois da mudança e avisamos-te na aplicação ou por email. Quando é necessário, pedimos de novo o consentimento explícito para dados de saúde.