1. Proteção de dados pessoais
2A CONSULTING compromete-se a proteger os dados pessoais dos seus utilizadores em conformidade com o Regulamento Geral sobre a Proteção de Dados (RGPD — Regulamento UE 2016/679) e a Lei n.º 58/2019, de 8 de agosto (lei portuguesa de execução do RGPD).
Responsável pelo tratamento:
2A CONSULTING
Email: contact@athleteside.com
Encarregado da proteção de dados (DPO):
Contactável por email em contact@athleteside.com
Para qualquer questão relativa à proteção dos seus dados pessoais, pode contactar-nos no endereço acima indicado.
2. Dados recolhidos
Recolhemos diferentes categorias de dados em função da sua utilização da plataforma:
Dados de identificação: nome, apelido, endereço de email, palavra-passe (encriptada), fotografia de perfil, data de nascimento.
Dados de ligação: endereço IP, tipo de navegador, sistema operativo, páginas consultadas, data e hora de ligação, URL de origem.
Dados de pagamento: as informações do cartão bancário são tratadas exclusivamente pelo nosso prestador de pagamento Stripe. Nunca armazenamos os números do seu cartão bancário nos nossos servidores. Conservamos as referências de transação, montantes e datas de faturação.
Dados desportivos: histórico de atividades (via Strava, Garmin Connect ou introdução manual), desempenhos, frequência cardíaca, dados GPS de percursos, objetivos desportivos, nível de forma.
Dados de coaching: mensagens trocadas entre treinador e atleta, planos de treino atribuídos, avaliações e classificações.
Dados de interação com a IA: histórico de conversas com o Coach IA, questões colocadas, perfil desportivo transmitido à IA.
Dados de geolocalização: endereço IP geolocalizado (MaxMind GeoIP), localização de eventos e clubes.
Dados de navegação: cookies, identificadores de sessão, preferências de visualização, dados de audiência (ver secção Cookies).
Dados de comunicação: endereço de email para a newsletter, preferências de notificação.
3. Bases legais dos tratamentos
Cada tratamento de dados pessoais baseia-se numa base legal em conformidade com o artigo 6.º do RGPD:
Execução do contrato (art. 6.º, n.º 1, al. b):
- Criação e gestão da sua conta de utilizador
- Tratamento das suas encomendas e pagamentos (subscrições Prime, planos de treino, coaching)
- Prestação do serviço de coaching (mensagens, planos, acompanhamento)
- Ligação através da marketplace
- Acesso ao Coach IA (para subscritores Prime)
- Exportação de sessões para Strava / Garmin Connect
- Envio da newsletter e comunicações comerciais
- Ligação da sua conta Strava ou Garmin (acesso aos seus dados de atividade desportiva)
- Ligação através de um serviço terceiro (Google, Facebook, Apple)
- Colocação de cookies não essenciais (analytics, publicitários)
- Melhoria da plataforma e análise de audiência
- Prevenção de fraude e segurança do site (reCAPTCHA, rate limiting)
- Acompanhamento de conversões e desempenho das funcionalidades
- Conservação de faturas e dados de transação (obrigações fiscais e contabilísticas)
- Resposta a requisições judiciais
4. Finalidades dos tratamentos
Os seus dados pessoais são tratados para as seguintes finalidades:
- Gestão de contas: inscrição, autenticação, gestão do perfil de utilizador.
- Serviços pagos: tratamento de pagamentos, gestão de subscrições (Prime, coaching), emissão de faturas, pagamento de comissões aos treinadores.
- Coaching: ligação treinador/atleta, mensagens, acompanhamento de sessões, avaliações.
- Inteligência artificial: prestação do Coach IA, personalização de recomendações de treino.
- Dados desportivos: sincronização com Strava e Garmin, exportação de sessões, cálculos de desempenho.
- Marketplace: publicação e gestão de anúncios, mensagens entre vendedor e comprador.
- Comunicação: envio da newsletter, notificações transacionais (confirmação de encomenda, lembrança de pagamento, expiração de cartão), emails de serviço.
- Referenciação: acompanhamento de referenciações, atribuição de recompensas.
- Análise e melhoria: medição de audiência, análise de percursos de utilizador, otimização do site.
- Segurança: deteção de fraude, proteção contra abusos (reCAPTCHA), registo de acessos.
5. Inteligência artificial
AthleteSide utiliza serviços de inteligência artificial fornecidos pela OpenAI (OpenAI, L.L.C., São Francisco, Estados Unidos) para as seguintes funcionalidades:
- Coach IA: Assistente conversacional de treino, nutrição e estratégia de prova. As mensagens que envia ao Coach IA são transmitidas à API OpenAI para gerar respostas.
- Geração de conteúdo: Alguns artigos e descrições podem ser gerados ou enriquecidos por IA.
- Tradução: Assistência à tradução de conteúdos nas diferentes línguas do site.
Ausência de decisão automatizada: A IA fornece recomendações a título informativo. Nenhuma decisão que produza efeitos jurídicos ou que afete significativamente o utilizador é tomada de forma automatizada com base apenas num tratamento algorítmico.
Os dados transmitidos à OpenAI são objeto de uma transferência para fora da UE (ver secção «Transferências para fora da UE»).
6. Dados de pagamento
Os pagamentos em AthleteSide são processados pela Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irlanda).
Dados tratados pela Stripe: número do cartão bancário, data de validade, criptograma visual, nome do titular. Estes dados são recolhidos e tratados diretamente pela Stripe num ambiente certificado PCI-DSS Nível 1. AthleteSide nunca armazena os seus dados de cartão bancário.
Dados conservados por AthleteSide: identificador de cliente Stripe, 4 últimos dígitos do cartão, tipo de cartão, data de validade, histórico de transações (montantes, datas, estados), faturas.
Para os treinadores: os pagamentos de comissões são efetuados através do Stripe Connect. O treinador fornece os seus dados bancários (IBAN, BIC) diretamente à Stripe.
Política de privacidade da Stripe: https://stripe.com/pt/privacy
7. Ligação através de serviços terceiros
AthleteSide permite a ligação e inscrição através dos seguintes serviços terceiros:
Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda) — Dados recuperados: nome, apelido, endereço de email, fotografia de perfil.
Facebook (Meta Platforms Ireland Limited, 4 Grand Canal Square, Dublin 2, Irlanda) — Dados recuperados: nome, apelido, endereço de email, fotografia de perfil.
Apple (Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irlanda) — Dados recuperados: nome, endereço de email (possivelmente retransmitido através do serviço «Hide My Email»).
Strava (Strava, Inc., São Francisco, Estados Unidos) — Dados recuperados: nome, apelido, fotografia de perfil, dados de atividades desportivas (ver secção «Dados desportivos»).
A utilização destes serviços de ligação é facultativa e sujeita ao seu consentimento. Pode a qualquer momento desligar um serviço terceiro a partir das definições da sua conta. Apenas os dados necessários à criação ou ligação da sua conta são recuperados.
8. Dados desportivos e de saúde
Algumas funcionalidades de AthleteSide implicam o tratamento de dados relativos à saúde na aceção do artigo 9.º do RGPD, nomeadamente:
- Frequência cardíaca (dados importados do Strava ou Garmin Connect)
- Dados de atividade física: distância, duração, ritmo, desnível, potência, cadência
- Dados GPS: traçados de percursos
- Objetivos desportivos e nível de forma
Strava (Strava, Inc., São Francisco, Estados Unidos) — Acedemos às suas atividades desportivas através da API Strava. Pode revogar este acesso a qualquer momento a partir das definições da sua conta Strava.
Garmin Connect (Garmin Ltd., Schaffhausen, Suíça / Garmin International, Inc., Olathe, Kansas, Estados Unidos) — Exportamos sessões para a sua conta Garmin. A ligação pode ser revogada a partir das definições Garmin.
Pode a qualquer momento eliminar os seus dados desportivos a partir das definições da sua conta AthleteSide.
9. Subcontratantes e destinatários dos dados
Os seus dados pessoais podem ser transmitidos aos seguintes subcontratantes, que atuam sob instruções de 2A CONSULTING:
| Subcontratante | Serviço | Dados em causa | Localização |
|---|---|---|---|
| Amazon Web Services (AWS) | Alojamento | Todos os dados | UE (Irlanda / França) |
| Stripe | Pagamentos | Dados de pagamento, identidade | Irlanda / Estados Unidos |
| SendGrid (Twilio) | Envio de emails | Endereço de email, conteúdo dos emails | Estados Unidos |
| OpenAI | Inteligência artificial | Conversas IA, perfil desportivo | Estados Unidos |
| reCAPTCHA, Analytics, OAuth | Endereço IP, dados de navegação | Irlanda / Estados Unidos | |
| Plausible Analytics | Análise de audiência | Dados de navegação anonimizados | UE |
| MaxMind (GeoIP2) | Geolocalização IP | Endereço IP | Estados Unidos |
| Meta (Facebook) | OAuth, partilha social | Identidade (se ligação social) | Irlanda / Estados Unidos |
| Apple | OAuth (Sign In with Apple) | Identidade (se ligação social) | Irlanda |
| Strava | Sincronização de atividades desportivas | Dados de atividade física | Estados Unidos |
| Garmin | Exportação de sessões | Sessões de treino | Suíça / Estados Unidos |
| Effiliation | Afiliação comercial | Dados de navegação (cookies) | França |
Nenhum dado pessoal é vendido a terceiros.
10. Transferências de dados para fora da UE
Alguns dos nossos subcontratantes estão localizados fora da União Europeia, nomeadamente nos Estados Unidos. Essas transferências são enquadradas pelas seguintes garantias, em conformidade com o capítulo V do RGPD:
EU-US Data Privacy Framework: Stripe, Google, Meta e outros subcontratantes americanos estão certificados ao abrigo do Data Privacy Framework, reconhecido pela Comissão Europeia como oferecendo um nível de proteção adequado (decisão de adequação de 10 de julho de 2023).
Cláusulas Contratuais Tipo (CCT): Para os subcontratantes não abrangidos pelo Data Privacy Framework, foram implementadas Cláusulas Contratuais Tipo aprovadas pela Comissão Europeia.
Subcontratantes abrangidos por uma transferência para fora da UE:
- Stripe (Estados Unidos) — Data Privacy Framework
- SendGrid / Twilio (Estados Unidos) — CCT
- OpenAI (Estados Unidos) — CCT + Data Processing Agreement
- Google (Estados Unidos) — Data Privacy Framework
- MaxMind (Estados Unidos) — CCT
- Strava (Estados Unidos) — CCT
11. Cookies e rastreadores
O site https://www.athleteside.com utiliza cookies e rastreadores. Para informações detalhadas, consulte a nossa página dedicada aos cookies.
Resumo das categorias de cookies utilizados:
- Cookies estritamente necessários: Sessão de utilizador, autenticação, carrinho, CSRF, preferência de língua. Estes cookies não necessitam do seu consentimento.
- Cookies analíticos: Google Analytics, Plausible Analytics — medição de audiência e melhoria do site.
- Cookies funcionais: Memorização das suas preferências (comparador de produtos, filtros).
- Cookies de terceiros: reCAPTCHA (Google), botões de partilha social, conteúdos integrados (vídeos).
12. Prazos de conservação
Os seus dados são conservados durante os seguintes prazos:
| Tipo de dados | Prazo de conservação |
|---|---|
| Conta de utilizador | Duração da conta + 3 anos após eliminação |
| Dados de pagamento e faturas | 10 anos (obrigação contabilística — código comercial português) |
| Dados de coaching (mensagens, planos) | Duração da subscrição + 1 ano |
| Conversas Coach IA | Duração da conta (elimináveis pelo utilizador) |
| Dados de atividades desportivas | Duração da conta (elimináveis pelo utilizador) |
| Newsletter | Até à anulação da subscrição |
| Registos de ligação | 12 meses (obrigação legal) |
| Dados de audiência (analytics) | 26 meses no máximo |
| Cookies | 13 meses no máximo |
| Anúncios marketplace | Duração da publicação + 6 meses |
| Dados de referenciação | Duração da conta do padrinho |
No final destes prazos, os dados são eliminados ou anonimizados de forma irreversível.
13. Os seus direitos
Em conformidade com o RGPD e a Lei n.º 58/2019, dispõe dos seguintes direitos sobre os seus dados pessoais:
- Direito de acesso (art. 15.º RGPD): Obter a confirmação de que dados que lhe dizem respeito são tratados e obter uma cópia dos mesmos.
- Direito de retificação (art. 16.º RGPD): Fazer corrigir dados inexatos ou incompletos.
- Direito ao apagamento (art. 17.º RGPD): Solicitar a eliminação dos seus dados, sem prejuízo das obrigações legais de conservação.
- Direito à portabilidade (art. 20.º RGPD): Receber os seus dados num formato estruturado, de uso corrente e de leitura automática.
- Direito de oposição (art. 21.º RGPD): Opor-se ao tratamento dos seus dados por motivos legítimos, ou opor-se à prospeção comercial.
- Direito à limitação (art. 18.º RGPD): Solicitar a suspensão do tratamento dos seus dados em certos casos.
- Direito de retirada do consentimento: Retirar o seu consentimento a qualquer momento (newsletter, cookies, ligação social, dados desportivos), sem afetar a licitude do tratamento anterior.
- Direito a dar instruções pós-morte: Definir instruções relativas ao destino dos seus dados após a sua morte.
14. Exercer os seus direitos
Para exercer os seus direitos, pode:
- Enviar um email para contact@athleteside.com especificando o seu pedido e anexando um documento de identificação.
- Utilizar as funcionalidades da sua conta: modificar as suas informações, eliminar a sua conta, gerir as suas subscrições, desligar os serviços terceiros (Strava, Google, etc.).
Em caso de dificuldade no exercício dos seus direitos, pode apresentar uma reclamação junto da Comissão Nacional de Proteção de Dados (CNPD):
CNPD — Av. D. Carlos I, 134 - 1.º, 1200-651 Lisboa
Site web: www.cnpd.pt
15. Segurança dos dados
2A CONSULTING implementa as medidas técnicas e organizativas adequadas para proteger os seus dados pessoais:
- Encriptação em trânsito: Todas as comunicações são protegidas através de HTTPS/TLS.
- Encriptação em repouso: Os dados sensíveis são encriptados na base de dados.
- Hash de palavras-passe: As palavras-passe são tratadas com um algoritmo seguro (bcrypt) e nunca são armazenadas em texto simples.
- Controlo de acesso: Acesso restrito aos dados por função (RBAC), autenticação reforçada para os administradores.
- Pagamentos seguros: Tratamento PCI-DSS através da Stripe — nenhum dado de cartão bancário transita pelos nossos servidores.
- Proteção contra abusos: Rate limiting, reCAPTCHA, proteção CSRF, deteção de intrusão.
- Cópias de segurança: Cópias de segurança regulares e encriptadas dos dados.
- Atualizações: Aplicação regular de correções de segurança.
16. Menores
O site AthleteSide não se destina a crianças com menos de 13 anos (idade do consentimento digital em Portugal, em conformidade com o artigo 8.º do RGPD e a Lei n.º 58/2019).
Os utilizadores com idades compreendidas entre os 13 e os 18 anos devem obter a autorização do seu representante legal para criar uma conta e utilizar os serviços, em particular os serviços pagos.
Se tomarmos conhecimento de que dados foram recolhidos relativamente a uma criança com menos de 13 anos sem o consentimento do titular da autoridade parental, tomaremos as medidas necessárias para eliminar esses dados com a maior brevidade possível.