Política de Privacidade

Esta é a distinção mais importante do documento, e dela depende tudo o resto — incluindo a quem cabe responder ao pedido de um titular. A Cantera desempenha dois papéis diferentes, consoante os dados em causa:

• Responsável pelo tratamento, quanto aos dados que recolhemos directamente e cujas finalidades e meios determinamos: a conta e a autenticação, a facturação da subscrição, as comunicações de apoio ao cliente e os registos técnicos e de segurança.
• Subcontratante, nos termos do artigo 28.º do RGPD, quanto a toda a informação que o clube introduz na plataforma — atletas, encarregados de educação, sócios, staff, dados clínicos, dados escolares, informação financeira, treinos, jogos e observações. Nesses casos o responsável pelo tratamento é o clube: cabe-lhe assegurar a base legal, recolher os consentimentos necessários, informar os titulares e responder aos seus pedidos. Nós tratamos esses dados apenas segundo as instruções do clube e na medida necessária a prestar-lhe o serviço.

Por outras palavras: a Cantera constrói e opera a ferramenta; é o clube que decide que informação nela regista e durante quanto tempo. Os termos deste tratamento fazem parte integrante do contrato celebrado com o clube.

Cada tratamento assenta num fundamento de licitude do artigo 6.º do RGPD. Distinguimos os dois papéis da secção anterior:

Em todos os tratamentos da segunda coluna, o fundamento de licitude é determinado pelo clube, não por nós — tipicamente a execução do contrato de inscrição celebrado com o atleta ou com o seu representante legal.

A maioria dos titulares cujos dados passam por esta plataforma são crianças e jovens, e parte da informação é sensível. Merece ser dito com clareza:

• Menores. A inscrição de um atleta menor é feita pelo clube, com intervenção do encarregado de educação, que fica associado à ficha. Em Portugal, a Lei n.º 58/2019 fixa em 13 anos a idade mínima para o consentimento directo do titular; abaixo dessa idade cabe a quem exerce as responsabilidades parentais. Compete ao clube assegurar esse enquadramento.
• Saúde. Se o clube activar o módulo clínico, são registadas lesões, tratamentos, exames médicos e a disponibilidade desportiva do atleta. São dados de categoria especial (art. 9.º do RGPD) e só podem ser tratados ao abrigo do art. 9.º, n.º 2, al. h) — medicina desportiva e cuidados de saúde por profissional sujeito a sigilo — ou de consentimento explícito (al. a)). A base aplicável é determinada pelo clube. Dentro da plataforma, o acesso a esta informação é limitado a quem o clube conceder expressamente a permissão respectiva; esse controlo incide sobre o registo na plataforma e pode não abranger o endereço directo de um ficheiro carregado.
• Escola. Se o clube activar o módulo escolar, podem ser registados o estabelecimento de ensino e as avaliações do atleta. A informação detalhada está trancada atrás de um consentimento registado na ficha: enquanto ele não existir, a plataforma nem sequer a consulta. O clube pode ainda eliminar de vez todos os dados escolares detalhados de um atleta, a qualquer momento.
• Fotografias. A ficha de um atleta, de um sócio ou de um elemento do staff pode incluir uma fotografia, carregada pelo clube. Compete ao clube obter as autorizações necessárias, com o cuidado acrescido que a imagem de um menor exige.

O encarregado de educação que pretenda saber que informação existe sobre o seu educando, ou que ela deixe de existir, deve dirigir-se ao clube — é ele o responsável pelo tratamento. Ver a secção 10.

Nem tudo acontece dentro do ecrã de quem tem sessão iniciada. Estas são as principais situações em que informação sai da plataforma, e vale a pena conhecê-las:

• Ligações acessíveis sem palavra-passe. Para que um encarregado de educação possa confirmar uma convocatória, ou uma família pagar uma nota, sem ter de criar conta, geramos ligações com um código longo e imprevisível específico daquela convocatória, daquele documento ou daquele cartão de sócio. Não dão acesso a mais nada — mas quem tiver a ligação abre-a. Deve por isso ser tratada como um código de acesso, e não reencaminhada a quem não deva ver aquela informação.
• Emails enviados pelo clube. Convocatórias, notas de pagamento, avisos de cobrança, agradecimentos e felicitações de aniversário partem da plataforma em nome do clube, para os contactos que o clube registou.
• Notificações no dispositivo. Quando são autorizadas no navegador, a entrega passa pelo serviço de notificações do fabricante desse navegador (por exemplo Google, Mozilla ou Apple). Esse serviço recebe o necessário para entregar a notificação; nós não o contratámos nem o controlamos. A autorização pode ser revogada a qualquer momento nas definições do navegador.
• Documentos federativos. A plataforma gera formulários oficiais pré-preenchidos com os dados do atleta — nomeadamente os Modelos 1 e 2 da federação e o Modelo 9 do IPDJ — destinados a ser entregues a essas entidades. A entrega é feita pelo clube e por decisão sua.

Em qualquer caso, a informação de um clube não é visível a outro clube: cada consulta é filtrada pelo clube do utilizador.

Para prestar o serviço recorremos aos fornecedores abaixo, todos vinculados por contrato a obrigações de confidencialidade e de conformidade com o RGPD:

• Supabase — base de dados, armazenamento de ficheiros e sincronização em tempo real. Infra-estrutura na União Europeia (Frankfurt).
• Vercel — alojamento da aplicação e execução das tarefas automáticas. Infra-estrutura na União Europeia (Frankfurt).
• Stripe Payments Europe (Irlanda) — subscrição do clube e pagamentos das famílias. Não guardamos números de cartão.
• EasyPay (Portugal) — pagamentos das famílias por MB WAY e Multibanco.
• Resend (Estados Unidos) — entrega dos emails transaccionais.
• Google (Estados Unidos) — exclusivamente a autenticação opcional «Continuar com Google». Quando essa opção não é usada, nenhum dado lhe é comunicado.

Nunca vendemos, cedemos nem partilhamos dados pessoais para publicidade ou marketing, nossos ou de terceiros. E não usamos analytics de terceiros: não há Google Analytics nem qualquer outra ferramenta de medição de audiências nesta aplicação. Podemos divulgar dados quando a lei ou uma autoridade competente o exigirem, e comunicamos previamente qualquer alteração material a esta lista.

Os prazos legalmente imperativos — designadamente as obrigações fiscais e contabilísticas — prevalecem sobre os indicados acima.

Aplicamos medidas técnicas e organizativas adequadas ao risco:

• Encriptação em trânsito (TLS) e em repouso.
• Isolamento entre clubes: cada consulta à base de dados é filtrada pelo clube do utilizador que a faz, de modo a que a informação de um clube não seja alcançável a partir de outro.
• Controlo de acessos por grupo e permissão: dentro do clube, cada utilizador vê apenas as áreas e as equipas que o clube lhe atribuiu, com as áreas sensíveis — como a informação clínica e a escolar — a exigirem permissão própria.
• Registo das operações sensíveis e monitorização contínua da plataforma.

Violação de dados. Se ocorrer uma violação que afecte dados tratados por conta de um clube, notificamos esse clube — enquanto responsável pelo tratamento — sem demora injustificada e no prazo máximo de 72 horas após dela termos conhecimento, nos termos do artigo 33.º, n.º 2, do RGPD.

Ao titular dos dados assistem os direitos previstos nos artigos 15.º a 22.º do RGPD:

• Acesso — saber que dados existem e obter uma cópia.
• Rectificação — corrigir dados inexactos ou desactualizados.
• Apagamento — o «direito a ser esquecido», quando aplicável.
• Limitação do tratamento.
• Oposição ao tratamento.
• Portabilidade — receber os dados em formato estruturado e de leitura automática.
• Retirada do consentimento a qualquer momento, quando seja essa a base do tratamento, sem afectar a licitude do que foi tratado antes.

O destinatário do pedido depende do papel em causa (secção 2). Quanto aos dados de conta, facturação e apoio ao cliente, o contacto é geral@canterasports.com. Quanto aos dados que um clube introduziu na plataforma — respeitantes a atletas, encarregados de educação, sócios ou elementos do staff —, o pedido deve ser dirigido primeiro a esse clube, que é o responsável pelo tratamento e o único que pode decidir sobre eles; qualquer pedido desses que nos chegue é encaminhado para o clube competente, nos termos do artigo 28.º, n.º 3, al. e), do RGPD. Não tomamos decisões individuais automatizadas com efeitos jurídicos sobre os titulares (art. 22.º). Assiste ainda o direito de apresentar reclamação à autoridade de controlo: a CNPD em Portugal, a AEPD em Espanha ou o ICO no Reino Unido.