Política de privacidade e cookies

1. Quem é o responsável e quem é o subcontratante

Há dois papéis, que dependem do tipo de dados.

• A Line33 é responsável pelo tratamento pelos dados da sua conta (nome, email, palavra-passe cifrada, acessos, segurança) e pelos dados com que gerimos a relação com o estúdio que utiliza a plataforma.
• O estúdio que o convidou é responsável pelos dados do acompanhamento consigo: treino, nutrição, bem-estar, sono, medidas, anamnese e mensagens. A Line33 trata-os por conta do estúdio como subcontratante (art. 28.º do RGPD), nos termos de um contrato escrito e apenas para fazer funcionar o serviço. A estes dados aplica-se também a política de privacidade do estúdio, a quem se pode dirigir diretamente.

Responsável: Line33 [forma jurídica a confirmar], [sede social a confirmar], [NIF/IVA a confirmar]. Para todos os pedidos relativos à privacidade, escreva para privacy@line33.org: é o endereço dedicado e somos nós que o lemos, não um sistema automático. A Line33 não designou um encarregado da proteção de dados (EPD/DPO); se o designarmos, os contactos serão indicados aqui.

2. Que dados tratamos e de onde vêm

• Conta: nome, email, palavra-passe (guardada apenas como hash, nunca em claro), papel (cliente, personal trainer, nutricionista, titular do estúdio), idioma e fuso horário. É o utilizador que os introduz no registo ou ao aceitar o convite do estúdio.
• Dados do acompanhamento, introduzidos por si ou pelos profissionais da sua equipa, apenas para as áreas em que deu consentimento: sessões realizadas com cargas, repetições e esforço percebido (RPE/RIR); plano alimentar e diário de refeições; questionários de bem-estar e recuperação; sono, frequência cardíaca em repouso e HRV introduzidos manualmente; medidas e fotografias de progresso; anamnese; mensagens e vídeos de exercícios enviados ao treinador.
• Dados de saúde. A anamnese, as medidas, o sono, a HRV e alguns questionários são dados relativos à saúde (art. 9.º do RGPD). Só os tratamos com o seu consentimento explícito para cada área, que dá e retira na página Consentimentos da app.
• Índices calculados: a partir dos dados introduzidos, a plataforma calcula a carga de treino, a evolução do bem-estar e um índice de recuperação, e assinala ao treinador as alterações que duram vários dias.
• Dados técnicos e de segurança: endereço IP, browser, data e hora dos pedidos nos registos do servidor; um registo de qual dos profissionais abriu que área dos seus dados e quando (sem o conteúdo dos dados), que pode consultar no seu perfil.
• Notificações: se as ativar, o identificador de notificações do seu browser. As notificações nunca contêm dados de saúde.

Não utilizamos ferramentas de estatística nem de publicidade, não incorporamos conteúdos de terceiros (mapas, vídeos, redes sociais) e não ligamos dispositivos wearable durante o período experimental.

3. Finalidades, fundamentos jurídicos e conservação

Fim do período experimental. Se o estúdio continuar com o Vivisfera, os dados são transferidos para o ambiente definitivo com as mesmas garantias e avisamo-lo antes. Se o estúdio não continuar, apagamo-los no prazo de 30 dias após o fim do período experimental, depois de dar ao estúdio e a si a possibilidade de os exportar.

4. A quem chegam os dados

Os dados só são vistos pelas pessoas da sua equipa no estúdio, para as áreas em que deu consentimento, e pelo pessoal autorizado da Line33 quando for necessário para assistência ou segurança. Não vendemos dados nem os utilizamos para publicidade. Recorremos a estes fornecedores, designados subcontratantes através de um contrato escrito:

• Cloudflare, Inc.: servidores da aplicação, armazenamento de ficheiros (sob jurisdição da UE), filas de trabalho e envio de emails. Política de privacidade da Cloudflare.
• Neon, Inc.: base de dados, alojada em Frankfurt (Alemanha). Política de privacidade da Neon.
• Serviço de notificações do seu browser (Google para o Chrome, Apple para o Safari, Mozilla para o Firefox), apenas se ativar as notificações: recebe uma mensagem cifrada, sem dados de saúde.

Os dados guardados permanecem na UE. A Cloudflare e a Neon são empresas norte-americanas e os pedidos podem ser processados no servidor da Cloudflare mais próximo de si; eventuais transferências para fora do Espaço Económico Europeu baseiam-se no Quadro de Privacidade de Dados UE-EUA, quando o fornecedor a ele aderiu, e nas cláusulas contratuais-tipo da Comissão Europeia.

5. Redes sociais e conteúdos de terceiros

A plataforma não incorpora conteúdos de redes sociais (botões, feeds, vídeos) nem outros conteúdos de terceiros e não remete para perfis sociais: nenhum dado chega a estas plataformas através do Vivisfera.

6. Cookies e dados guardados no dispositivo

O Vivisfera utiliza apenas ferramentas técnicas, necessárias ao seu funcionamento. Não há cookies de estatística, de definição de perfis ou de terceiros, pelo que não é necessário um banner de consentimento (art. 122.º do Código italiano da privacidade; Orientações sobre cookies da autoridade italiana de proteção de dados, Garante, de 10 de junho de 2021).

Pode apagar cookies e dados nas definições do browser (Chrome, Firefox, Safari, Edge): sem o cookie de sessão terá de voltar a iniciar sessão, e os dados registados offline e ainda não enviados perder-se-ão.

7. Como protegemos os dados

• Ligação cifrada (HTTPS/TLS) em toda a plataforma; dados cifrados também nos sistemas de armazenamento dos fornecedores.
• Acesso por papel e por consentimento, controlado diretamente pela base de dados: um profissional só vê os clientes da sua equipa e só as áreas permitidas; um nutricionista só pode escrever um plano alimentar com a qualificação verificada.
• Palavras-passe guardadas apenas como hash; os ficheiros só são descarregados através da plataforma, após o controlo de acesso.
• Antes do envio, são retirados das fotografias os dados EXIF, incluindo a localização.
• Registo dos acessos aos dados dos clientes, que o estúdio e cada cliente podem consultar.
• Nenhum dado de saúde nas notificações, nos registos ou nos emails.
• Fornecedores vinculados por contratos de subcontratação (art. 28.º) e cópias de segurança da base de dados.

8. Os seus direitos

A qualquer momento pode pedir:

• o acesso aos seus dados e uma cópia (art. 15.º);
• a retificação dos dados incorretos (art. 16.º);
• o apagamento (art. 17.º), também sem ajuda, na secção Os seus dados do perfil;
• a limitação do tratamento (art. 18.º);
• a portabilidade, ou seja, os seus dados num formato legível (art. 20.º), também sem ajuda, na secção Os seus dados do perfil;
• a oposição aos tratamentos baseados no interesse legítimo (art. 21.º);
• a retirada do consentimento a qualquer momento, para cada área, na página Consentimentos (art. 7.º, n.º 3): a retirada não torna ilícito o que foi feito antes;
• não ficar sujeito a decisões tomadas exclusivamente com base no tratamento automatizado (art. 22.º).

Escreva para privacy@line33.org. Respondemos no prazo de um mês (art. 12.º, n.º 3); se o pedido disser respeito aos dados do acompanhamento, encaminhamo-lo para o estúdio responsável e ajudamo-lo a obter resposta. Tem também o direito de apresentar reclamação ao Garante per la protezione dei dati personali (autoridade italiana de proteção de dados) (garanteprivacy.it, art. 77.º) ou à autoridade de controlo do país da UE onde reside ou trabalha, como a Comissão Nacional de Proteção de Dados (cnpd.pt).

9. Dados obrigatórios e decisões automatizadas

O nome e o email são necessários para criar a conta: sem eles, não pode utilizar a plataforma. Os dados de cada área são facultativos: se não der consentimento, a equipa não verá essa área e não o poderá acompanhar nesse aspeto.

Os índices e alertas calculados automaticamente são informação para o seu treinador, que decide sempre pessoalmente. Não produzem decisões com efeitos jurídicos sobre si, não são um diagnóstico e o Vivisfera não é um dispositivo médico.

10. Alterações

Se alterarmos esta política de forma substancial, atualizamos a data no topo e informamo-lo na app antes de as alterações produzirem efeitos. Para questões, privacy@line33.org.