Política de Privacidade e Proteção de Dados

Quem trata os seus dados

O My Team Manager é uma aplicação de gestão de plantel e equipa técnica para treinadores de futebol de formação, disponível em https://myteammanager.pt e em https://app.myteammanager.pt.

• Nome: João Carlos Neves Leonardo
• NIF: 269514686
• Localidade: Odivelas
• Forma jurídica: Empresário em nome individual
• Email para assuntos de dados pessoais: geral@myteammanager.pt

Encarregado de Proteção de Dados: não foi designado. O artigo 37.º do RGPD não o exige na dimensão atual do serviço; reavaliamos essa decisão à medida que o número de contas e de atletas crescer. Até lá, as questões de dados pessoais são tratadas diretamente pelo prestador, no email acima.

Esta política aplica-se ao site institucional e à aplicação. Não descreve o que terceiros fazem nos sites deles: se seguir uma ligação para fora, passa a valer a política desse site.

Dois papéis diferentes: responsável e subcontratante

Esta é a parte mais importante do documento, e é mais simples do que parece. Há dois conjuntos de dados nesta aplicação e o nosso papel é diferente em cada um.

1. Os dados da sua conta: aqui somos nós os responsáveis

O seu email, o seu nome, a sua fotografia de perfil, o plano que subscreveu, as faturas. Estes dados existem porque tem uma relação connosco. Decidimos nós para que servem e como são tratados, e por isso somos o responsável pelo tratamento.

2. Os dados dos atletas: aqui o responsável é você

O plantel, as fichas dos atletas, as fotografias, os contactos dos encarregados de educação. Estes dados não são nossos e não fomos nós que decidimos recolhê-los: foi o treinador, ou o clube em nome do qual trabalha. Quem decide que dados recolhe, de quem e para quê, é o responsável pelo tratamento. Nós somos apenas o subcontratante: guardamos e processamos esses dados por sua conta, segundo as suas instruções.

O que isto significa na prática, para si

• Cabe-lhe garantir que existe base legal para tratar os dados de cada atleta: normalmente o consentimento do encarregado de educação, a execução de um contrato com o clube, ou o cumprimento de obrigações federativas.
• Cabe-lhe informar os atletas e os encarregados de educação de que os dados estão nesta aplicação e para que servem.
• Cabe-lhe obter consentimento específico para a fotografia. Em Portugal, o direito à imagem de um menor exige autorização dos representantes legais.
• Se um encarregado de educação exercer um direito (aceder, corrigir, apagar) o pedido é dirigido a si. Se nos chegar a nós, encaminhamo-lo e avisamo-lo.

O que nos comprometemos a fazer, como subcontratante

• Tratar os dados apenas segundo as suas instruções e para lhe prestar o serviço;
• Não usar dados de atletas para publicidade, perfis comerciais ou treino de modelos;
• Não vender nem ceder esses dados a terceiros;
• Manter as medidas de segurança descritas na secção «Segurança»;
• Só recorrer a outros subcontratantes se os mantivermos listados nesta política, avisando com 30 dias de antecedência quando entrar um novo;
• Avisá-lo no prazo de 24 horas depois de tomarmos conhecimento de uma violação de dados que o afete, para que possa notificar a CNPD nas 72 horas que a lei lhe dá;
• Apagar ou devolver os dados no fim do contrato, conforme o que pedir.

Que dados são tratados

A lista que se segue é a lista real dos campos que a aplicação guarda. Não é uma enumeração genérica.

Da sua conta e da equipa técnica

• Email e, se escolher um, nome de utilizador;
• Palavra-passe guardada sob a forma de hash: nunca em texto simples. Se entrar com o Google, não guardamos palavra-passe nenhuma, apenas o identificador estável que o Google nos dá;
• Nome completo;
• Papel na conta: Gestor, Treinador Principal, Treinador Adjunto ou Delegado;
• Cargo descritivo, se o preencher (por exemplo, «delegado de campo»);
• Data de nascimento, se a preencher;
• Telefone, se o preencher;
• De onde chegou ao registo (por exemplo, «Instagram» ou «o site») e a resposta a «Como nos conheceu?», se a der: servem só para sabermos que canais trazem quem se regista, e nunca para o seguir noutros sítios;
• Fotografia de perfil, se carregar uma;
• Datas de criação e de última alteração do registo;
• Testemunhos técnicos de sessão e de recuperação de palavra-passe.

Das suas equipas

• Nome e abreviatura da equipa, escalão e época;
• Nome do clube, recinto de casa e cor identificativa;
• Emblema, se carregar um;
• Observações que escrever.

Do plantel: atletas

Estes dados são, na grande maioria dos casos, dados de menores. Ver a secção seguinte.

• Nome completo e nome curto;
• Data de nascimento;
• Fotografia, se carregar uma;
• Número de camisola, posição e pé preferido;
• Altura e peso, se os preencher;
• Número de cartão de cidadão ou passaporte, se o preencher, e número de licença federativa;
• Telefone e email do atleta, se os preencher;
• Nome, telefone e email do encarregado de educação;
• Observações que escrever na ficha.

Dos módulos do clube

Numa conta de clube, e conforme o plano e os módulos que o clube usa, a aplicação guarda também:

• Mensalidades, quotas e pagamentos das famílias, incluindo descontos de irmãos;
• Encomendas da loja do clube e, na loja online, o nome, o email e o telefone de quem compra;
• Inscrições nos torneios do clube.

Estes dados são do clube: o clube é o responsável pelo tratamento e nós somos subcontratante, tal como para os dados dos atletas.

Da subscrição e faturação

• Plano subscrito, estado da subscrição e data de fim do período experimental;
• Dados de faturação: nome, morada e NIF que indicar;
• Histórico de pagamentos. Os dados do cartão são introduzidos e guardados pela Stripe: não temos acesso ao número completo do cartão nem o guardamos.

Registo de auditoria e dados técnicos

Ações sensíveis feitas dentro de uma conta ficam registadas: quem fez, o quê, sobre que registo, quando, a partir de que endereço IP e com que navegador. Serve para segurança e para se conseguir perceber o que aconteceu numa conta: nunca para perfilar o utilizador.

O servidor mantém ainda registos técnicos de funcionamento (logs), com informação mínima sobre pedidos e erros.

Documentos

A aba Documentos guarda ficheiros que o treinador carrega: regulamentos, comunicados, calendários, fichas de inscrição. De cada um fica o nome, a categoria, as notas que escrever, o tipo e o tamanho do ficheiro, quem o carregou e quando, e uma data de validade se a indicar.

Um documento pertence sempre a uma equipa. Quando é associado a um atleta, passa a ser visível apenas ao Treinador Principal e ao Delegado, pela razão explicada acima. Os ficheiros são servidos com sessão iniciada e sempre como transferência (nunca abertos dentro da aplicação) e são apagados do servidor quando o documento, o atleta ou a equipa são eliminados.

Fotografias

Quando carrega uma fotografia (sua, de um atleta ou um emblema) ela é redimensionada e convertida no nosso servidor antes de ser guardada. Nesse processo todos os metadados EXIF são removidos, incluindo a localização GPS que muitos telemóveis gravam na imagem. Só fica a imagem.

Para que servem e com que base legal

Dados de menores

Esta aplicação foi feita para futebol de formação. O escalão mais novo, «Petizes», tem crianças a partir dos seis anos. Não faz sentido tratar isto como uma nota de rodapé, por isso tem secção própria.

Que dados de menores são tratados

• Nome completo e nome curto;
• Data de nascimento;
• Fotografia;
• Posição, número de camisola, pé preferido, altura e peso;
• Número de cartão de cidadão ou passaporte e número de licença federativa;
• Telefone e email, quando existam;
• Nome, telefone e email do encarregado de educação;
• Observações escritas pelo treinador.

Estes dados são introduzidos pelo treinador. A criança não usa a aplicação, não cria conta e não tem acesso a nada.

Quem é responsável pelo consentimento

Isso inclui, expressamente, o consentimento para a fotografia. Em Portugal, usar a imagem de um menor exige autorização de quem exerce as responsabilidades parentais, e essa autorização deve ficar documentada.

Em Portugal, a idade a partir da qual um menor pode consentir sozinho no tratamento dos seus dados em serviços em linha é 13 anos (Lei n.º 58/2019, artigo 16.º). A aplicação, porém, não é oferecida às crianças: quem a usa é o treinador. Por isso o consentimento relevante é o do encarregado de educação, abaixo dos 13 anos sempre e, acima, em conjunto com o próprio atleta quando o clube assim o entender, e é o clube, ou o treinador, que o recolhe e conserva, por escrito, antes de introduzir a ficha na aplicação.

Como se pede a correção ou a eliminação

Um encarregado de educação que queira ver, corrigir ou apagar os dados do seu educando deve dirigir-se, em primeiro lugar, ao treinador ou ao clube que introduziu esses dados. É quem tem a relação com a família e é o responsável pelo tratamento.

Se preferir escrever-nos diretamente, escreva para geral@myteammanager.pt. Nesse caso:

1. Confirmamos a receção do pedido;
2. Identificamos a conta onde os dados estão e encaminhamos o pedido ao responsável;
3. Damos-lhe o contacto que tivermos disponível e apoiamos tecnicamente a execução, incluindo a eliminação definitiva do registo e da fotografia, se for essa a decisão do responsável;
4. Se o responsável não agir, informamos o requerente do direito de reclamar à CNPD.

O treinador pode, em qualquer momento e sem nos pedir nada, corrigir uma ficha ou eliminar um atleta a partir da própria aplicação.

O que nunca fazemos com dados de menores

Cada conta está isolada das outras ao nível da própria base de dados. Um treinador não consegue ver o plantel de outro, mesmo que a aplicação tivesse um erro de programação: o isolamento é garantido pelo motor da base de dados, não apenas pelo código da aplicação.

Com quem partilhamos

Não vendemos dados. Partilhamos apenas o necessário, e apenas com quem nos presta serviços indispensáveis ao funcionamento da plataforma.

Nenhum destes fornecedores recebe dados sem que vigore um contrato de tratamento de dados nos termos do artigo 28.º do RGPD: nos casos da Stripe, da Moloni e do Google, os termos de tratamento que eles próprios disponibilizam aos seus clientes.

Podemos ainda comunicar dados a autoridades públicas quando a lei o exigir, e a advogados ou contabilistas no âmbito da defesa de direitos ou do cumprimento de obrigações legais.

Se mudarmos de subcontratante ou acrescentarmos um novo, esta lista é atualizada e os utilizadores com conta são avisados por email com 30 dias de antecedência, podendo opor-se, o que, na prática, significa cancelar antes de a mudança produzir efeitos.

Onde ficam os dados

Portugal está na União Europeia, pelo que o tratamento principal se faz integralmente dentro do Espaço Económico Europeu, sob o RGPD.

Transferências para fora da UE

Há exceções, limitadas aos serviços de apoio identificados na secção anterior. A Stripe e o Google são grupos internacionais e podem transferir dados para fora do Espaço Económico Europeu. Quando isso acontece, a transferência assenta nos mecanismos previstos no capítulo V do RGPD: normalmente cláusulas contratuais-tipo da Comissão Europeia e, quando aplicável, decisões de adequação.

Em concreto: a Stripe contrata com clientes europeus através da sua entidade irlandesa e transfere dados para a casa-mãe nos Estados Unidos ao abrigo das cláusulas contratuais-tipo da Comissão Europeia. O Google, quando usa o início de sessão com a conta Google, trata os dados nos termos que publica para os utilizadores europeus, também com cláusulas contratuais-tipo como garantia.

Os dados dos atletas não são transferidos para fora da UE. Ficam na base de dados e no armazenamento de ficheiros alojados em Portugal. A Stripe não recebe dados do plantel: só recebe os dados de faturação do treinador ou do clube.

Durante quanto tempo guardamos

Uma nota honesta sobre cópias de segurança: quando apagamos um registo, ele desaparece da aplicação de imediato, mas pode subsistir numa cópia de segurança até essa cópia ser rodada. As cópias não são consultadas para outro fim que não a recuperação do serviço.

Há um caso particular. Quando uma equipa é eliminada, os atletas dessa equipa não são apagados: ficam sem equipa associada, para preservar histórico. Se pretende mesmo eliminar as fichas dos atletas, elimine-as explicitamente: apagar a equipa não chega.

Segurança

Descrevemos abaixo o que a plataforma faz. Não afirmamos ser inviolável (nenhum sistema é) nem invocamos certificações que não temos.

• Isolamento por conta ao nível da base de dados. Cada conta só vê as suas próprias linhas, através de Row Level Security do PostgreSQL. Não depende de o programador se lembrar de filtrar: se um filtro faltar numa consulta, o resultado é zero linhas, não as linhas de outro treinador. A aplicação liga-se à base de dados com um utilizador sem privilégios especiais, precisamente para não poder contornar essa regra.
• Encriptação em trânsito. Todo o tráfego entre o seu navegador e os nossos servidores usa HTTPS/TLS.
• Palavras-passe em hash. Nunca guardamos palavras-passe em texto simples e não conseguimos recuperá-las: só permitir que defina uma nova.
• Metadados removidos das fotografias. As imagens carregadas são reprocessadas no servidor e perdem os metadados EXIF, incluindo coordenadas GPS.
• Permissões por papel, verificadas no servidor. Cada pessoa só faz o que o seu papel permite: um Treinador Adjunto não vê os documentos de atleta, e um Delegado não entra no trabalho técnico (modelo de jogo, quadro tático, biblioteca, periodização, testes físicos) nem faz convocatórias.
• Registo de auditoria das ações sensíveis, para se conseguir reconstituir o que aconteceu numa conta.
• Alojamento em servidor próprio em Portugal, com acesso administrativo restrito.

Cópias de segurança diárias e encriptadas. A base de dados é copiada todas as noites. Uma cópia fica no servidor durante 7 dias; outra é encriptada antes de sair da máquina e guardada fora dela, com rotação de 7 cópias diárias, 4 semanais e 6 mensais. Quem aloja as cópias remotas nunca vê dados em claro.

Se detetarmos uma violação de dados pessoais, avisamos os responsáveis pelo tratamento afetados no prazo de 24 horas depois de tomarmos conhecimento, para que possam notificar a CNPD nas 72 horas que a lei lhes dá. Quando a violação atingir dados de que somos nós os responsáveis, notificamos a CNPD e os titulares nos termos dos artigos 33.º e 34.º do RGPD.

Se encontrar uma vulnerabilidade, agradecemos que nos escreva para geral@myteammanager.pt antes de a divulgar.

Cookies e tecnologias semelhantes

Esta secção descreve o que existe mesmo. Nada mais.

Neste site institucional

O site https://myteammanager.pt é um conjunto de páginas estáticas e não usa cookies, e por isso não verá nenhuma janela a pedir-lhe para os aceitar. Não temos Google Analytics, não temos píxeis de redes sociais, não temos cookies de publicidade e não fazemos rastreio entre sites. Os tipos de letra são servidos do nosso próprio domínio, por isso abrir uma página não faz nenhum pedido a terceiros.

Estatísticas de visitas do site

Para sabermos que páginas são lidas e de onde chegam as visitas, o site usa o Umami, uma ferramenta de estatísticas que corre no nosso próprio servidor, na União Europeia (o mesmo da aplicação). Nenhum dado vai para terceiros e o Umami não usa cookies nem guarda nada no seu navegador.

• O que se mede, sempre em números agregados: as páginas vistas, o site de onde chegou, o país, o tipo de aparelho, o navegador e o sistema operativo.
• O que não se guarda: o endereço IP (serve só, no momento do pedido, para saber o país, e é descartado), o nome, o email ou qualquer outro dado que o identifique. Para contar visitantes sem os conhecer, o Umami usa um identificador anónimo que muda todos os meses e que não permite chegar a uma pessoa.
• Não fazemos rastreio entre sites nem cruzamos estas estatísticas com os dados da aplicação. Mede-se o site institucional (https://myteammanager.pt) e as páginas públicas da aplicação (a de um jogo, a de um torneio e a loja de um clube), nunca as páginas da aplicação que pedem sessão. Da página de um jogo não se guarda o endereço completo, que leva o código de acesso.
• «Não rastrear» é respeitado: se o seu navegador enviar o sinal Do Not Track, a visita não é registada.
• Conservação: as estatísticas são guardadas durante 24 meses e depois apagadas.

A base legal é o nosso interesse legítimo em perceber como o site é usado para o melhorar (artigo 6.º, n.º 1, alínea f), do RGPD), com um tratamento que não identifica ninguém.

Na aplicação

A aplicação em https://app.myteammanager.pt usa um único cookie, estritamente necessário: chama-se mtm_refresh e serve para manter a sua sessão iniciada. É um cookie de autenticação: httpOnly, para nenhum script lhe chegar; enviado só ao nosso servidor e só para os pedidos de autenticação; sem qualquer rastreio. Dura até 30 dias e é apagado quando termina sessão. Ao entrar com o Google, existe ainda um segundo cookie técnico, com 10 minutos de vida, que protege esse início de sessão contra falsificação.

Cookies estritamente necessários para prestar um serviço que o utilizador pediu estão isentos de consentimento nos termos do artigo 5.º, n.º 3, da Lei n.º 41/2004, e é por isso que não verá nenhuma janela a pedir-lhe para aceitar cookies: não há nenhum de análise, de marketing ou de terceiros para aceitar.

Além do cookie, a aplicação guarda no armazenamento local do navegador (localStorage) o seu nome e papel na conta (para a primeira pintura da página não piscar) e a sua preferência de equipa ativa. Terminar sessão apaga estes valores; limpar os dados do site no navegador tem o mesmo efeito.

Os seus direitos

Enquanto titular de dados pessoais, tem direito a:

• Aceder aos dados que temos sobre si;
• Retificar dados incorretos ou incompletos;
• Apagar os seus dados, quando não houver fundamento para os manter;
• Limitar o tratamento em certas situações;
• Portabilidade: receber os seus dados num formato estruturado e de leitura automática;
• Opor-se a tratamentos baseados em interesse legítimo, invocando a sua situação particular;
• Retirar o consentimento a qualquer momento, quando o tratamento nele se basear. A retirada não afeta o que foi feito antes.

Como exercer

Escreva para geral@myteammanager.pt. Respondemos no prazo de um mês a contar da receção do pedido, prorrogável por mais dois meses em pedidos complexos: nesse caso avisamos dentro do primeiro mês. Podemos pedir informação adicional para confirmar a sua identidade, sobretudo quando o pedido envolve eliminação.

Exercer estes direitos é gratuito. Não cobramos nada por responder.

Reclamar à CNPD

Se entender que o tratamento dos seus dados viola a lei, tem o direito de apresentar reclamação à autoridade de controlo. Em Portugal é a Comissão Nacional de Proteção de Dados (CNPD): www.cnpd.pt.

Se residir noutro Estado-membro da União Europeia, pode dirigir-se à autoridade de controlo desse país.

Agradecemos que fale connosco primeiro (normalmente resolve-se mais depressa) mas não é obrigatório, e o direito de reclamar não depende disso.

Alterações a esta política

Esta política pode mudar, por evolução do serviço, mudança de fornecedores ou alteração legislativa. A versão em vigor está sempre nesta página, com a data de última atualização no topo.

Alterações relevantes (novas finalidades, novos subcontratantes com impacto, ou mudanças na repartição de responsabilidades) são comunicadas por email aos utilizadores com conta ativa, antes de produzirem efeitos.

Contactos

Para qualquer questão sobre esta política ou sobre o tratamento de dados pessoais: geral@myteammanager.pt.

Para as condições comerciais do serviço, consulte os Termos e Condições.