Política de privacidade

Na Competiciones Rítmica tratamos os dados pessoais em conformidade com o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (RGPD) e com a legislação maltesa que o complementa (Data Protection Act, capítulo 586 das Leis de Malta), uma vez que a FlamaTech Consulting LTD está estabelecida em Malta, bem como com as leis estaduais de privacidade dos Estados Unidos que sejam aplicáveis. Esta política explica que dados tratamos, para que fins, durante quanto tempo e quais são os teus direitos. O serviço rege-se ainda pelas condições de utilização, que incluem o acordo de tratamento de dados.

1. Responsável e subcontratante do tratamento

A FlamaTech Consulting LTD atua em duas qualidades distintas, consoante de quem são os dados:

• Como responsável pelo tratamento, dos dados das pessoas que utilizam o serviço em nome de um clube (conta, acesso e contacto), das consultas que nos envias e dos dados técnicos e de análise deste sítio e da aplicação.
• Como subcontratante, dos dados de ginastas, treinadoras, pessoas de contacto e demais informação que cada clube introduz na plataforma. Cada clube decide para que usa esses dados e é responsável por esse tratamento; o clube organizador, pelos dados das inscrições que recebe dos clubes participantes. A FlamaTech Consulting LTD trata-os apenas para prestar o serviço e segundo as instruções do clube, em conformidade com as condições de utilização.

A FlamaTech Consulting LTD é uma sociedade inscrita com o número C99332 no Malta Business Registry, com sede em The Penthouse 20, Lyons Range Court, Bisazza Street, Sliema (Malta), VAT MT28308119.

• Identidade: FlamaTech Consulting LTD (Competiciones Rítmica)
• NIF / VAT: MT28308119
• Dados de registo: C99332
• Sede: The Penthouse 20, Lyons Range Court, Bisazza Street, Sliema, Malta
• Contacto geral: soporte@clybo.app
• Encarregado da Proteção de Dados: dpo@clybo.app

2. Dados que tratamos

Consoante a tua relação com a Competiciones Rítmica, tratamos as seguintes categorias de dados:

• Pessoas dos clubes: nome, email com que acedes (entra-se com um código de utilização única, sem palavra-passe) e telefone de contacto.
• Perfil do clube: nome, localidade, região e país, morada postal e federação ou número de clube (opcionais) e, se o clube os fornecer, o seu NIF, que é guardado cifrado.
• Ginastas: nome e apelidos, data de nascimento, sexo e número de licença, os que o clube introduz no seu plantel ou ao inscrevê-las; e os dados da sua participação: categoria, nível, modalidade, aparelhos, dorsal, ordem de passagem, pontuações e resultados. A plataforma não pede dados médicos nem dados das suas famílias.
• Treinadoras e pessoas de contacto do clube: nome, apelidos e telefone (cifrado).
• Músicas dos exercícios: o ficheiro de áudio carregado para cada exercício, a sua duração, codec e impressão digital de verificação, com um nome de ficheiro que inclui o dorsal, o clube, a ginasta ou conjunto e o aparelho.
• Documentos e pagamentos: os documentos que o organizador pede e que o clube fornece ou aceita; o montante e o estado de cada pagamento e, se se pagar por transferência, os comprovativos (PDF ou imagem) que o clube carrega. Os dados do cartão são recolhidos pelo prestador de pagamentos, não pela FlamaTech Consulting LTD.
• Dados técnicos: endereço IP, user agent, registos de auditoria e, com o teu consentimento, páginas visitadas, funcionalidades utilizadas, navegador, dispositivo, localização aproximada e métricas de desempenho. Na aplicação não se grava a sessão.

3. Finalidade e fundamento jurídico

Tratamos os dados para as seguintes finalidades:

4. Destinatários dos dados

No âmbito de uma competição, o clube organizador recebe os dados de inscrição, as músicas, os documentos e os pagamentos dos clubes participantes, e cada clube participante vê a ordem de passagem e os resultados das suas ginastas. A ordem e os resultados publicados são visíveis para qualquer pessoa com a ligação, com as restrições sobre nomes de menores indicadas acima.

Além disso, partilhamos dados com os prestadores estritamente necessários, ao abrigo de um contrato de subcontratação conforme o artigo 28.º do RGPD:

• Amazon Web Services (Frankfurt, UE) — alojamento da plataforma.
• Supabase (Supabase Auth) — autenticação, envio do código de acesso e gestão de sessões.
• Cloudflare (rede global) — DNS, segurança perimetral, proteção antibot (Turnstile) no pedido do código e armazenamento das músicas, e trânsito técnico do proxy gerido do PostHog.
• Resend (Alemanha, UE) — envio de email transacional.
• Stripe Payments Europe Ltd. (Dublin, UE) — pagamentos com cartão. Cada pagamento é efetuado na conta Stripe do clube organizador, que é quem contrata com a Stripe; a FlamaTech Consulting LTD não recebe esses fundos.
• PostHog (infraestrutura UE) — análise consentida no navegador, sem gravação de sessão na aplicação.

Não vendemos nem cedemos os dados a terceiros para fins publicitários.

5. Transferências internacionais

Os servidores principais e a ingestão final do PostHog estão na União Europeia. O trânsito de rede pode ser resolvido em infraestrutura global de prestadores como a Cloudflare, e prestadores como a Stripe podem tratar dados fora do EEE. Para estas transferências aplicam-se as garantias previstas no RGPD, como uma decisão de adequação em vigor ou cláusulas contratuais-tipo aprovadas pela Comissão Europeia.

6. Prazos de conservação

• Conta do clube: enquanto o clube mantiver a sua conta.
• Plantel de ginastas de um clube: enquanto o clube o mantiver; o clube pode apagar uma ginasta a qualquer momento, o que não afeta as cópias já feitas em competições. Está por definir um prazo de inatividade após o qual avisaremos o clube e apagaremos o plantel.
• Cópias de ginastas numa competição: conservam-se enquanto durar a competição e o seu arquivo. Prevê-se pseudonimizá-las 12 meses após o seu fim; o prazo definitivo está pendente de confirmação.
• Músicas: até 7 dias após o encerramento da competição, prazo que se prolonga se o organizador a reabrir. Depois são eliminadas.
• PDF da ordem de passagem: eliminam-se 14 dias após a competição, porque contêm nomes de menores.
• Pagamentos e comprovativos: enquanto o clube organizador deles precisar para a conciliação e a contabilidade da sua competição.
• PostHog: 12 meses, no máximo.
• Preferência de análise: até a alterares ou apagares o armazenamento local do sítio.

7. Os teus direitos · RGPD

Enquanto titular dos dados, tens direito a:

• Acesso aos teus dados pessoais.
• Retificação de dados inexatos.
• Apagamento quando já não forem necessários.
• Oposição ao tratamento com base no interesse legítimo.
• Limitação do tratamento.
• Portabilidade num formato estruturado e legível.
• Retirada do consentimento a qualquer momento, sem efeitos retroativos.

Para os exercer, escreve para dpo@clybo.app indicando o teu nome e o direito que pretendes exercer. Responderemos no prazo máximo de um mês.

Se considerares que o tratamento não cumpre a legislação, podes apresentar uma reclamação junto da autoridade de controlo principal do responsável, o Information and Data Protection Commissioner (IDPC) de Malta, ou junto da autoridade do Estado-Membro em que residas, trabalhes ou onde tenha ocorrido a alegada infração (art. 77.º do RGPD). Em Espanha, é a Agencia Española de Protección de Datos (AEPD, a autoridade espanhola de proteção de dados).

8. Direitos de privacidade nos Estados Unidos

Quando uma lei estadual dos Estados Unidos for aplicável, os respetivos residentes podem ter direito a conhecer ou aceder aos seus dados pessoais, corrigi-los, pedir o seu apagamento, obter uma cópia portável e opor-se à sua venda, à sua partilha para publicidade comportamental, a publicidade dirigida ou a perfis com efeitos jurídicos significativos. Podem também exercer esses direitos sem receber um tratamento discriminatório.

Na Competiciones Rítmica não vendemos nem partilhamos dados pessoais na aceção da California Consumer Privacy Act (CCPA). Ainda assim, este sítio reconhece o Global Privacy Control (GPC) como um pedido de exclusão da análise opcional. Podes também usar Configurar cookies no rodapé ou escrever para dpo@clybo.app. Se um pedido for recusado e a lei do teu estado reconhecer um direito de recurso, podes recorrer respondendo à nossa decisão pelo mesmo canal.

9. Dados de menores

A Competiciones Rítmica trata dados de ginastas menores de idade introduzidos pelos clubes. O clube é o responsável por esses dados e a FlamaTech Consulting LTD atua como subcontratante, em conformidade com as condições de utilização. Antes de inscrever uma ginasta, o clube participante declara que conta com a autorização da sua família ou tutores para partilhar com o clube organizador os dados necessários para a competição.

A plataforma não pede dados médicos nem das famílias, não grava a sessão da aplicação e oculta por defeito os nomes de menores no sítio público. Se és ginasta, familiar ou tutor e queres exercer os teus direitos sobre dados introduzidos por um clube, dirige-te primeiro a esse clube; se nos escreveres para dpo@clybo.app, encaminharemos o teu pedido para o clube responsável.

10. Segurança

Aplicamos as medidas técnicas e organizativas razoáveis para proteger os dados: cifragem AES-256 em repouso, TLS 1.3 em trânsito, controlo de acesso por perfis, registo de atividade, cópias de segurança cifradas e revisão periódica dos fornecedores.

11. Alterações a esta política

Esta política pode ser atualizada para refletir alterações legais ou operacionais. A data da última revisão aparece no início do documento. Se as alterações forem substanciais, avisar-te-emos por email antes de entrarem em vigor.

12. Como nos contactar

DPO: dpo@clybo.app. Apoio geral: soporte@clybo.app.