Política de Privacidade e Proteção de Dados

Quem trata os seus dados

O My Team Manager é uma aplicação de gestão de plantel e equipa técnica para treinadores de futebol de formação, disponível emhttps://myteammanager.pt e em https://app.myteammanager.pt.

• Denominação social: [[A PREENCHER: denominação social]]
• NIF / NIPC: [[A PREENCHER: NIF]]
• Sede: [[A PREENCHER: morada da sede]]
• Email para assuntos de dados pessoais: geral@myteammanager.pt
• Encarregado de Proteção de Dados:[[A PREENCHER: indicar se foi designado EPD e respetivo contacto]]

Esta política aplica-se ao site institucional e à aplicação. Não descreve o que terceiros fazem nos sites deles — se seguir uma ligação para fora, passa a valer a política desse site.

Dois papéis diferentes: responsável e subcontratante

Esta é a parte mais importante do documento, e é mais simples do que parece. Há dois conjuntos de dados nesta aplicação e o nosso papel é diferente em cada um.

1. Os dados da sua conta — aqui somos nós os responsáveis

O seu email, o seu nome, a sua fotografia de perfil, o plano que subscreveu, as faturas. Estes dados existem porque tem uma relação connosco. Decidimos nós para que servem e como são tratados, e por isso somos oresponsável pelo tratamento.

2. Os dados dos atletas — aqui o responsável é você

O plantel, as fichas dos atletas, as fotografias, os contactos dos encarregados de educação. Estes dados não são nossos e não fomos nós que decidimos recolhê-los: foi o treinador — ou o clube em nome do qual trabalha. Quem decide que dados recolhe, de quem e para quê, é o responsável pelo tratamento. Nós somos apenas o subcontratante: guardamos e processamos esses dados por sua conta, segundo as suas instruções.

O que isto significa na prática, para si

• Cabe-lhe garantir que existe base legal para tratar os dados de cada atleta — normalmente o consentimento do encarregado de educação, a execução de um contrato com o clube, ou o cumprimento de obrigações federativas.
• Cabe-lhe informar os atletas e os encarregados de educação de que os dados estão nesta aplicação e para que servem.
• Cabe-lhe obter consentimento específico para a fotografia. Em Portugal, o direito à imagem de um menor exige autorização dos representantes legais.
• Se um encarregado de educação exercer um direito — aceder, corrigir, apagar — o pedido é dirigido a si. Se nos chegar a nós, encaminhamo-lo e avisamo-lo.

O que nos comprometemos a fazer, como subcontratante

• Tratar os dados apenas segundo as suas instruções e para lhe prestar o serviço;
• Não usar dados de atletas para publicidade, perfis comerciais ou treino de modelos;
• Não vender nem ceder esses dados a terceiros;
• Manter as medidas de segurança descritas na secção «Segurança»;
• Só recorrer a outros subcontratantes se os mantivermos listados nesta política;
• Avisá-lo sem demora indevida se houver uma violação de dados que o afete;
• Apagar ou devolver os dados no fim do contrato, conforme o que pedir.

Que dados são tratados

A lista que se segue é a lista real dos campos que a aplicação guarda. Não é uma enumeração genérica.

Da sua conta e da equipa técnica

• Email e, se escolher um, nome de utilizador;
• Palavra-passe guardada sob a forma de hash — nunca em texto simples. Se entrar com o Google, não guardamos palavra-passe nenhuma, apenas o identificador estável que o Google nos dá;
• Nome completo;
• Papel na conta: Treinador Principal, Treinador Adjunto ou Delegado;
• Cargo descritivo, se o preencher (por exemplo, «delegado de campo»);
• Data de nascimento, se a preencher;
• Telefone, se o preencher;
• Fotografia de perfil, se carregar uma;
• Datas de criação e de última alteração do registo;
• Testemunhos técnicos de sessão e de recuperação de palavra-passe.

Das suas equipas

• Nome e abreviatura da equipa, escalão e época;
• Nome do clube, recinto de casa e cor identificativa;
• Emblema, se carregar um;
• Observações que escrever.

Do plantel — atletas

Estes dados são, na grande maioria dos casos, dados de menores. Ver a secção seguinte.

• Nome completo e nome curto;
• Data de nascimento;
• Fotografia, se carregar uma;
• Número de camisola, posição e pé preferido;
• Altura e peso, se os preencher;
• Número de cartão de cidadão ou passaporte, se o preencher, e número de licença federativa;
• Telefone e email do atleta, se os preencher;
• Nome, telefone e email do encarregado de educação;
• Observações que escrever na ficha.

Da subscrição e faturação

• Plano subscrito, estado da subscrição e data de fim do período experimental;
• Dados de faturação: nome, morada e NIF que indicar;
• Histórico de pagamentos. Os dados do cartão são introduzidos e guardados pela Stripe — não temos acesso ao número completo do cartão nem o guardamos.

Registo de auditoria e dados técnicos

Ações sensíveis feitas dentro de uma conta ficam registadas: quem fez, o quê, sobre que registo, quando, a partir de que endereço IP e com quenavegador. Serve para segurança e para se conseguir perceber o que aconteceu numa conta — nunca para perfilar o utilizador.

O servidor mantém ainda registos técnicos de funcionamento (logs), com informação mínima sobre pedidos e erros.

Fotografias

Quando carrega uma fotografia — sua, de um atleta ou um emblema — ela é redimensionada e convertida no nosso servidor antes de ser guardada. Nesse processotodos os metadados EXIF são removidos, incluindo a localização GPSque muitos telemóveis gravam na imagem. Só fica a imagem.

Para que servem e com que base legal

Dados de menores

Esta aplicação foi feita para futebol de formação. O escalão mais novo, «Petizes», tem crianças a partir dos seis anos. Não faz sentido tratar isto como uma nota de rodapé, por isso tem secção própria.

Que dados de menores são tratados

• Nome completo e nome curto;
• Data de nascimento;
• Fotografia;
• Posição, número de camisola, pé preferido, altura e peso;
• Número de cartão de cidadão ou passaporte e número de licença federativa;
• Telefone e email, quando existam;
• Nome, telefone e email do encarregado de educação;
• Observações escritas pelo treinador.

Estes dados são introduzidos pelo treinador. A criança não usa a aplicação, não cria conta e não tem acesso a nada.

Quem é responsável pelo consentimento

Isso inclui, expressamente, o consentimento para a fotografia. Em Portugal, usar a imagem de um menor exige autorização de quem exerce as responsabilidades parentais, e essa autorização deve ficar documentada.

[[A PREENCHER: validar com advogado a idade de referência e a formulação do consentimento]]A aplicação não é oferecida diretamente a crianças, pelo que o regime do artigo 8.º do RGPD sobre o consentimento de menores em serviços da sociedade da informação não se aplica de forma direta. Isso não dispensa o consentimento dos representantes legais: apenas muda a norma que o exige. Este ponto deve ser confirmado antes da publicação.

Como se pede a correção ou a eliminação

Um encarregado de educação que queira ver, corrigir ou apagar os dados do seu educando deve dirigir-se, em primeiro lugar, ao treinador ou ao clubeque introduziu esses dados. É quem tem a relação com a família e é o responsável pelo tratamento.

Se preferir escrever-nos diretamente, escreva parageral@myteammanager.pt. Nesse caso:

1. Confirmamos a receção do pedido;
2. Identificamos a conta onde os dados estão e encaminhamos o pedido ao responsável;
3. Damos-lhe o contacto que tivermos disponível e apoiamos tecnicamente a execução, incluindo a eliminação definitiva do registo e da fotografia, se for essa a decisão do responsável;
4. Se o responsável não agir, informamos o requerente do direito de reclamar à CNPD.

O treinador pode, em qualquer momento e sem nos pedir nada, corrigir uma ficha ou eliminar um atleta a partir da própria aplicação.

O que nunca fazemos com dados de menores

Cada conta está isolada das outras ao nível da própria base de dados. Um treinador não consegue ver o plantel de outro, mesmo que a aplicação tivesse um erro de programação — o isolamento é garantido pelo motor da base de dados, não apenas pelo código da aplicação.

Com quem partilhamos

Não vendemos dados. Partilhamos apenas o necessário, e apenas com quem nos presta serviços indispensáveis ao funcionamento da plataforma.

[[A PREENCHER: entidades contratantes e referência ao DPA de cada subcontratante]]

Podemos ainda comunicar dados a autoridades públicas quando a lei o exigir, e a advogados ou contabilistas no âmbito da defesa de direitos ou do cumprimento de obrigações legais.

Se mudarmos de subcontratante ou acrescentarmos um novo, esta lista é atualizada.

Onde ficam os dados

Portugal está na União Europeia, pelo que o tratamento principal se faz integralmente dentro do Espaço Económico Europeu, sob o RGPD.

Transferências para fora da UE

Há exceções, limitadas aos serviços de apoio identificados na secção anterior. A Stripe e o Google são grupos internacionais e podem transferir dados para fora do Espaço Económico Europeu. Quando isso acontece, a transferência assenta nos mecanismos previstos no capítulo V do RGPD — normalmente cláusulas contratuais-tipo da Comissão Europeia e, quando aplicável, decisões de adequação.

[[A PREENCHER: mecanismo de transferência concreto invocado por cada fornecedor]]

Os dados dos atletas não são transferidos para fora da UE. Ficam na base de dados e no armazenamento de ficheiros alojados em Portugal. Nem a Stripe nem o InvoiceXpress recebem dados do plantel: só recebem dados de faturação do treinador.

Durante quanto tempo guardamos

Uma nota honesta sobre cópias de segurança: quando apagamos um registo, ele desaparece da aplicação de imediato, mas pode subsistir numa cópia de segurança até essa cópia ser rodada. As cópias não são consultadas para outro fim que não a recuperação do serviço.

Há um caso particular. Quando uma equipa é eliminada, os atletas dessa equipanão são apagados: ficam sem equipa associada, para preservar histórico. Se pretende mesmo eliminar as fichas dos atletas, elimine-as explicitamente — apagar a equipa não chega.

Segurança

Descrevemos abaixo o que a plataforma faz. Não afirmamos ser inviolável — nenhum sistema é — nem invocamos certificações que não temos.

• Isolamento por conta ao nível da base de dados. Cada conta só vê as suas próprias linhas, através de Row Level Security do PostgreSQL. Não depende de o programador se lembrar de filtrar: se um filtro faltar numa consulta, o resultado é zero linhas, não as linhas de outro treinador. A aplicação liga-se à base de dados com um utilizador sem privilégios especiais, precisamente para não poder contornar essa regra.
• Encriptação em trânsito. Todo o tráfego entre o seu navegador e os nossos servidores usa HTTPS/TLS.
• Palavras-passe em hash. Nunca guardamos palavras-passe em texto simples e não conseguimos recuperá-las — só permitir que defina uma nova.
• Metadados removidos das fotografias. As imagens carregadas são reprocessadas no servidor e perdem os metadados EXIF, incluindo coordenadas GPS.
• Permissões por papel. Um Delegado só consulta; não pode editar nem eliminar.
• Registo de auditoria das ações sensíveis, para se conseguir reconstituir o que aconteceu numa conta.
• Alojamento em servidor próprio em Portugal, com acesso administrativo restrito.

[[A PREENCHER: política de cópias de segurança e cifragem em repouso]]

Se detetarmos uma violação de dados pessoais que implique risco, notificamos a CNPD nos prazos legais e informamos os titulares e os responsáveis pelo tratamento afetados quando a lei o exigir.

Se encontrar uma vulnerabilidade, agradecemos que nos escreva parageral@myteammanager.pt antes de a divulgar.

Cookies e tecnologias semelhantes

Esta secção descreve o que existe mesmo. Nada mais.

Neste site institucional

O site https://myteammanager.pt é um conjunto de páginas estáticas enão usa cookies. Não temos Google Analytics, não temos píxeis de redes sociais, não temos cookies de publicidade e não fazemos rastreio entre sites. Por isso também não verá aqui nenhuma janela a pedir-lhe para aceitar cookies: não há nada para aceitar.

Há uma única ligação a um terceiro: os tipos de letra são carregados dos servidores do Google Fonts. Quando abre uma página, o seu navegador pede esses ficheiros ao Google, e nesse pedido vai o seu endereço IP e informação básica do navegador. Não são colocados cookies nesse processo, mas o pedido acontece — e preferimos dizê-lo do que fingir que o site não fala com ninguém.

Na aplicação

A aplicação em https://app.myteammanager.pt tambémnão usa cookies. A sessão é mantida através de um testemunho de autenticação guardado no armazenamento local do seu navegador (localStorage), juntamente com a sua preferência de equipa ativa. São dados estritamente necessários para o serviço funcionar: sem eles, teria de voltar a autenticar-se a cada página.

Terminar sessão apaga esses valores. Limpar os dados do site no seu navegador tem o mesmo efeito.

Os seus direitos

Enquanto titular de dados pessoais, tem direito a:

• Aceder aos dados que temos sobre si;
• Retificar dados incorretos ou incompletos;
• Apagar os seus dados, quando não houver fundamento para os manter;
• Limitar o tratamento em certas situações;
• Portabilidade: receber os seus dados num formato estruturado e de leitura automática;
• Opor-se a tratamentos baseados em interesse legítimo, invocando a sua situação particular;
• Retirar o consentimento a qualquer momento, quando o tratamento nele se basear. A retirada não afeta o que foi feito antes.

Como exercer

Escreva para geral@myteammanager.pt. Respondemos no prazo de um mês a contar da receção do pedido, prorrogável por mais dois meses em pedidos complexos — nesse caso avisamos dentro do primeiro mês. Podemos pedir informação adicional para confirmar a sua identidade, sobretudo quando o pedido envolve eliminação.

Exercer estes direitos é gratuito. Não cobramos nada por responder.

Reclamar à CNPD

Se entender que o tratamento dos seus dados viola a lei, tem o direito de apresentar reclamação à autoridade de controlo. Em Portugal é aComissão Nacional de Proteção de Dados (CNPD):www.cnpd.pt.

Se residir noutro Estado-membro da União Europeia, pode dirigir-se à autoridade de controlo desse país.

Agradecemos que fale connosco primeiro — normalmente resolve-se mais depressa — mas não é obrigatório, e o direito de reclamar não depende disso.

Alterações a esta política

Esta política pode mudar, por evolução do serviço, mudança de fornecedores ou alteração legislativa. A versão em vigor está sempre nesta página, com a data de última atualização no topo.

Alterações relevantes — novas finalidades, novos subcontratantes com impacto, ou mudanças na repartição de responsabilidades — são comunicadas por email aos utilizadores com conta ativa, antes de produzirem efeitos.

Contactos

Para qualquer questão sobre esta política ou sobre o tratamento de dados pessoais:geral@myteammanager.pt.

Para as condições comerciais do serviço, consulte osTermos e Condições.