Política de privacidade
No Clybo’ tratamos os dados pessoais em conformidade com o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (Regulamento Geral sobre a Proteção de Dados, RGPD) e com a legislação maltesa que o complementa (Data Protection Act, capítulo 586 das Leis de Malta), uma vez que o responsável está estabelecido em Malta, bem como com as leis estaduais de privacidade dos Estados Unidos que sejam aplicáveis. Esta política explica que dados recolhemos, para que os usamos, durante quanto tempo e quais são os teus direitos.
1. Responsável pelo tratamento
O responsável pelo tratamento dos teus dados pessoais é a FlamaTech Consulting LTD, sociedade inscrita no C99332, com sede em The Penthouse 20, Lyons Range Court, Bisazza Street,Sliema (Malta), VAT MT28308119.
- Identidade: FlamaTech Consulting LTD (Clybo’)
- NIF / VAT: MT28308119
- Dados de registo: C99332
- Sede: The Penthouse 20, Lyons Range Court, Bisazza Street, Sliema, Malta
- Contacto geral: hola@clybo.app
- Encarregado da Proteção de Dados: dpo@clybo.app
2. Dados que recolhemos
Consoante a tua relação com o Clybo’, tratamos as seguintes categorias de dados:
- Gestores de clube: nome, email, telefone, dados do clube (CIF, morada fiscal), dados bancários para cobrar a subscrição.
- Encarregados de educação: nome, email, telefone, documento de identificação, referência de pagamento e morada postal.
- Atletas: nome, data de nascimento, documento, dados médicos (quando fornecidos pelo encarregado de educação), consentimentos assinados.
- Dados técnicos: endereço IP, user agent, registos de auditoria e, com o teu consentimento, email de acesso como identificador analítico da conta, páginas visitadas, acessos, funcionalidades utilizadas, navegador, dispositivo, localização aproximada e métricas de desempenho LCP, INP, CLS e FCP.
3. Finalidade e fundamento jurídico
Tratamos os teus dados para as seguintes finalidades:
| Finalidade | Dados tratados | Fundamento jurídico |
|---|---|---|
| Gerir o registo de um clube e o acesso à plataforma | Email, palavra-passe com hash, nome, dados fiscais do clube (NIF, denominação social, domicílio fiscal) | Execução de contrato (art. 6.º, n.º 1, alínea b), do RGPD) |
| Processar quotas e emitir faturas eletrónicas (VeriFactu) | Dados do encarregado de educação pagador, referência do cartão tokenizado e dados do atleta | Execução de contrato + obrigação jurídica (art. 6.º, n.º 1, alíneas b) e c), do RGPD) |
| Apoio ao cliente | Email, conteúdo da mensagem, histórico da conversa | Interesse legítimo (art. 6.º, n.º 1, alínea f), do RGPD) |
| Prevenção da fraude e segurança da plataforma | Registos de acesso, IP, user agent e erros técnicos do servidor com contexto minimizado | Interesse legítimo (art. 6.º, n.º 1, alínea f), do RGPD) |
| Diagnóstico e correção de erros do painel de gestão do clube | Identificador interno da conta (não o email), clube e perfil, ecrã e momento do erro, tipo e rastreio técnico do erro e a operação que falhou. Não inclui dados introduzidos em formulários nem o conteúdo das respostas. É enviado através da nossa API, sem cookies nem gravação de sessão, e sem criar um perfil de pessoa no PostHog. | Interesse legítimo (art. 6.º, n.º 1, alínea f), do RGPD): prestar e manter o serviço contratado. Não depende do consentimento de análise; podes opor-te escrevendo para o endereço de contacto. |
| Análise de produto e melhoria da plataforma | Email de acesso normalizado como identificador da conta no PostHog, páginas visitadas, método e resultado do acesso, funcionalidades utilizadas, navegador, dispositivo, localização aproximada e métricas de desempenho LCP, INP, CLS e FCP. Na app das famílias e nos formulários de inscrição, gravação da sessão para detetar falhas: estrutura do ecrã, cliques, deslocamentos e tempos. O texto, o que escreves, as imagens e os links são ocultados no navegador antes do envio, pelo que a gravação não contém nomes, documentos nem dados de contacto. O Google Analytics 4 limita-se à landing pública e não recebe o identificador da conta. | Consentimento (art. 6.º, n.º 1, alínea a), do RGPD), revogável a qualquer momento |
| Comunicações comerciais | Email, nome, nome do clube | Consentimento (art. 6.º, n.º 1, alínea a), do RGPD), revogável a qualquer momento |
4. Início de sessão com o Google
O Clybo’ oferece o Google como método opcional de registo e de início de sessão. A autenticação é feita através do Google OAuth 2.0 e do Supabase Auth. Os scopes utilizados são email e profile:
emailpermite receber o email principal da tua Conta Google e saber se o Google o verificou.profilepermite receber os dados básicos de perfil disponíveis, como nome, apelidos ou imagem. O Google pode não disponibilizar todos estes campos.
Acedemos a esses dados apenas para criar ou associar a tua conta, autenticar-te, manter a tua sessão e inicializar os dados básicos do teu perfil. Esta integração não pede permissões para ler o Gmail, o Google Drive, o Google Calendar, os teus contactos nem outros conteúdos da tua Conta Google.
O Google entrega os dados através do Supabase Auth, que os processa como fornecedor de autenticação do Clybo’. O identificador de identidade, o email e os metadados de perfil recebidos são armazenados no registo de autenticação associado à tua conta. São conservados durante os prazos aplicáveis aos dados da conta indicados na secção «Prazos de conservação» e não são partilhados fora dos fornecedores necessários descritos nesta política. Não vendemos estes dados nem os usamos para publicidade.
Podes remover a ligação nas ligações de terceiros da tua Conta Google. Remover a ligação impede futuras autorizações através do Google, mas não elimina, por si só, a tua conta do Clybo’ nem os dados já nela incorporados. Para pedir o acesso, a retificação ou o apagamento desses dados, utiliza os canais da secção «Os teus direitos».
A utilização e a transferência de informações recebidas das APIs do Google cumprem a Google API Services User Data Policy, incluindo os respetivos requisitos de utilização limitada.
5. Destinatários dos dados
Só partilhamos os teus dados com os fornecedores estritamente necessários para prestar o serviço, sempre ao abrigo de um contrato de subcontratação nos termos do artigo 28.º do RGPD:
- Amazon Web Services (Frankfurt, UE) — alojamento da plataforma.
- Supabase (Supabase Auth) — autenticação, associação de identidades e gestão de sessões.
- Stripe Payments Europe Ltd. (Dublin, UE) — processamento de cobranças.
- Resend (Alemanha, UE) — envio de email transacional.
- Cloudflare (rede global) — DNS, segurança perimetral e trânsito técnico do proxy gerido do PostHog.
- PostHog (infraestrutura na UE) — análise de produto e de desempenho consentida no navegador, que usa o email de acesso normalizado para associar a atividade de uma conta entre sessões e inclui, na app das famílias e nos formulários de inscrição, gravações de sessão com todo o conteúdo ocultado, e diagnóstico de erros do servidor e do painel de gestão do clube com base no interesse legítimo, com minimização e limpeza prévias. Também aloja o suporte do Clybo’ do painel, do site, da app de staff e da app das famílias (apoio ao cliente, interesse legítimo): mensagens, a versão da app, o tipo de dispositivo e o idioma que se acrescentam à primeira mensagem a partir da app de staff ou da app das famílias e, se os indicares, nome e email. No painel de gestão o chat está sempre disponível; no site e nas apps de staff e das famílias só é carregado quando o abres. Em caso algum regista a tua atividade.
- Google Ireland Limited (Google Analytics 4) — análise consentida apenas na landing pública. A etiqueta não é descarregada antes da aceitação; não recebe identificadores de conta, formulários nem dados de contacto, e os sinais e finalidades publicitárias permanecem desativados.
- B2Brouter (Espanha, UE) — emissão e envio de faturas quando o clube ativa o add-on de Fiscalidade.
- Agencia Tributaria Española (AEAT, a administração tributária espanhola) — não é um fornecedor: recebe os registos de faturação remetidos via VeriFactu quando a lei o exige (obrigação jurídica).
Não vendemos nem cedemos os dados a terceiros para fins publicitários.
6. Transferências internacionais
Os servidores principais e a ingestão final do PostHog estão na União Europeia. O trânsito de rede pode passar por infraestrutura global de fornecedores como a Cloudflare. O Google Analytics pode implicar tratamento por entidades do grupo Google fora do EEE. A estas transferências aplicam-se as garantias previstas nas condições de medição do Google, como uma decisão de adequação em vigor ou cláusulas contratuais-tipo aprovadas pela Comissão Europeia.
7. Prazos de conservação
- Conta ativa: enquanto o clube mantiver a subscrição.
- Identidade Google: o identificador, o email e o perfil incorporados na conta seguem os mesmos prazos que os dados da conta. Remover a ligação no Google não os elimina do Clybo’; podes pedir o seu apagamento através dos canais indicados abaixo.
- Dados fiscais e faturas: 6 anos a contar do encerramento do exercício (art. 30 do Código de Comercio, o Código Comercial espanhol) e 7 anos a contar da emissão para os registos VeriFactu.
- Dados de prospeção comercial: até retirares o consentimento.
- PostHog: máximo de 12 meses; as gravações de sessão, 30 dias.
- Google Analytics 4: 2 meses para dados de utilizador e de evento; os relatórios padrão agregados não estão sujeitos a esse controlo de retenção. Os seus cookies expiram, no máximo, ao fim de 12 meses e não renovam esse prazo a cada visita.
- Preferência de análise: até a alterares ou apagares o armazenamento local do site correspondente.
8. Os teus direitos · RGPD
Enquanto titular dos dados, tens direito a:
- Acesso aos teus dados pessoais.
- Retificação de dados inexatos.
- Apagamento quando já não forem necessários.
- Oposição ao tratamento com base no interesse legítimo.
- Limitação do tratamento.
- Portabilidade num formato estruturado e legível.
- Retirada do consentimento a qualquer momento, sem efeitos retroativos.
Para os exercer, escreve para dpo@clybo.app indicando o teu nome e o direito que pretendes exercer. Responderemos no prazo máximo de um mês.
Se considerares que o tratamento não cumpre a legislação, podes apresentar uma reclamação junto da autoridade de controlo principal do responsável, o Information and Data Protection Commissioner (IDPC) de Malta, ou junto da autoridade do Estado-Membro em que residas, trabalhes ou onde tenha ocorrido a alegada infração (art. 77.º do RGPD). Em Espanha, é a Agencia Española de Protección de Datos (AEPD, a autoridade espanhola de proteção de dados).
9. Direitos de privacidade nos Estados Unidos
Quando uma lei estadual dos Estados Unidos for aplicável, os respetivos residentes podem ter direito a conhecer ou aceder aos seus dados pessoais, corrigi-los, pedir o seu apagamento, obter uma cópia portável e opor-se à sua venda, à sua partilha para publicidade comportamental, a publicidade dirigida ou a perfis com efeitos jurídicos significativos. Podem também exercer esses direitos sem receber um tratamento discriminatório.
No Clybo’ não vendemos nem partilhamos dados pessoais na aceção da California Consumer Privacy Act (CCPA), nem utilizamos o Google Analytics para publicidade dirigida. Ainda assim, a landing reconhece o Global Privacy Control (GPC) como um pedido de exclusão da análise opcional. Podes também usar Configurar cookies no rodapé ou escrever para dpo@clybo.app. Se um pedido for recusado e a lei do teu estado reconhecer um direito de recurso, podes recorrer respondendo à nossa decisão pelo mesmo canal.
10. Dados de menores
O Clybo’ foi concebido para que o clube desportivo seja o Responsável pelo Tratamento dos dados dos atletas menores e dos respetivos encarregados de educação. O Clybo’ atua como Subcontratante ao abrigo de um DPA assinado entre ambas as partes. A política específica do clube aplicável aos menores é disponibilizada pelo próprio clube aos encarregados de educação no momento da inscrição.
11. Segurança
Aplicamos as medidas técnicas e organizativas razoáveis para proteger os dados: cifragem AES-256 em repouso, TLS 1.3 em trânsito, controlo de acesso por perfis, registo de atividade, cópias de segurança cifradas e revisão periódica dos fornecedores.
12. Alterações a esta política
Esta política pode ser atualizada para refletir alterações legais ou operacionais. A data da última revisão aparece no início do documento. Se as alterações forem substanciais, avisar-te-emos por email antes de entrarem em vigor.
13. Como nos contactar
DPO: dpo@clybo.app. Apoio geral: hola@clybo.app.