Política de Privacidade

Público: aplicação de consumo UE / Portugal (alunos, instrutores, estúdios). Autoridade de controlo: Comissão Nacional de Proteção de Dados (CNPD), Portugal.

1. Quem somos

A Student Body, Lda. («Student Body», «nós»), NIPC 519312708, com sede na Rua de Santos Pousada 826, 4000-481 Porto, Portugal, é a responsável pelo tratamento dos dados pessoais tratados através de studentbody.pt, app.studentbody.pt e das aplicações móveis da Student Body (o «Serviço»).

Contacto para qualquer questão de privacidade ou para exercer os teus direitos: hello@studentbody.pt. Não nomeámos um Encarregado da Proteção de Dados.

2. Os dados pessoais que recolhemos

Recolhemos dados que nos forneces, dados gerados à medida que utilizas o Serviço e uma pequena quantidade de dados técnicos:

• Identidade e contacto — nome / nome a apresentar, endereço de e-mail, número de telefone (se o forneceres, por exemplo num check-in de walk-in), foto de perfil, biografia e o teu identificador público escolhido.
• Data de nascimento — ou, quando te registas a meio de uma reserva, a tua confirmação de que tens pelo menos 16 anos (a data é pedida depois). Usada apenas para verificar a idade mínima (ver §3); nunca para marketing.
• Conta e autenticação — o identificador da tua conta e os metadados de início de sessão (a autenticação é tratada pelo nosso fornecedor Supabase; nunca vemos a tua palavra-passe).
• Localização — a cidade/país e, se usares funcionalidades de localização, as coordenadas aproximadas derivadas de uma morada que introduzes, mais o raio de pesquisa que escolheres.
• Perfil e preferências — interesses, idiomas, preferências de acessibilidade, definições de notificações, definições de aparência e as tuas preferências de horário (os dias da semana e as alturas do dia em que costumas praticar, se escolheres indicá-los).
• Reservas e atividade — aulas que reservas, presenças, entradas em listas de espera, aulas, instrutores e estúdios guardados/seguidos, sequências e marcos; e, se nos quiseres dizer, porque não concluíste uma reserva — um motivo que escolhes de uma lista (por exemplo, que o teu cartão não funcionou) e qualquer nota que acrescentes. Se reservares como convidado, receberes um bilhete de um amigo ou fizeres check-in como walk-in, guardamos o nome e o endereço de e-mail fornecidos para que a reserva possa ser associada a uma conta mais tarde — a tua, quando te registares com esse e-mail ou seguires a ligação no e-mail que te enviamos.
• Detalhes de check-in das aulas — incluindo notas de lesão opcionais e preferências de experiência / «vibe» que escolhas partilhar antes de uma aula (ver §3).
• Conteúdo e social — feedback e avaliações de aulas (incluindo comentários privados que deixes), mensagens diretas, ligações/contactos e quaisquer mensagens de apoio que nos envies.
• Dados de pagamento — uma referência de cliente do fornecedor de pagamentos e a marca, os últimos 4 dígitos e a validade de um cartão guardado e — até 24 horas depois de pagares — do cartão com que pagaste, para te perguntarmos se o queres guardar. Nunca guardamos números de cartão completos — estes ficam com o nosso processador de pagamentos, a Stripe.
• Registos de consentimento — a tua aceitação dos Termos, a tua escolha de adesão a marketing e o consentimento de cookies/análise, cada um com data e hora (prova de consentimento).
• Avisos de estado — o endereço de e-mail que nos dás na nossa página de estado (status.studentbody.pt) ou no nosso site, se pedires para ser avisado por e-mail quando o Serviço deixa de funcionar ou volta a funcionar. Não precisas de conta para isso.
• Dados técnicos e de utilização — endereço IP e informação do dispositivo/navegador usados para manter o Serviço seguro e funcional; eventos de utilização associados à conta que os nossos servidores registam enquanto tens sessão iniciada (por exemplo, que reservaste ou cancelaste uma aula); e, apenas com o teu consentimento, eventos de análise de produto no navegador sobre como usas a app, identificados por um identificador de análise aleatório (ver §4).

3. Como e porquê usamos os teus dados

Resumos de procura. Se nos indicares quando gostas de praticar, incluímos as tuas preferências de horário em resumos agregados de procura mostrados a instrutores e estúdios, para que possam planear aulas nas alturas que os alunos realmente querem. Estes resumos são apenas contagens de grupo: uma combinação de dia e hora só é mostrada quando pelo menos 5 alunos a selecionaram, outras contagens (como idioma ou tipo de aula preferidos) apenas quando pelo menos 3 alunos as partilham, e os grupos abaixo destes mínimos são totalmente ocultados, em vez de mostrados como números pequenos. As tuas preferências individuais nunca são mostradas a ninguém. As tuas preferências são incluídas por predefinição; podes excluí-las a qualquer momento desmarcando a opção ao criares a conta ou em Definições → Preferências de prática, com efeito imediato. É também assim que exerces o teu direito de oposição (art. 21.º) a este tratamento.

Avisos de estado. Se pedires, na nossa página de estado ou no nosso site, para ser avisado por e-mail quando o Serviço deixa de funcionar ou volta a funcionar, enviamos primeiro um e-mail de confirmação para o endereço que indicaste e só o acrescentamos à lista quando seguires a ligação desse e-mail. Usamos o endereço apenas para enviar estes avisos: pedi-los não te inscreve em e-mails de marketing. Todos os avisos de estado têm uma ligação para cancelar a subscrição. Usá-la põe fim aos avisos de estado e, se esse endereço também receber os nossos e-mails de marketing, a esses também.

Não vendemos os teus dados pessoais.

4. Cookies e análise

• Cookies estritamente necessários mantêm-te com sessão iniciada e o Serviço seguro. Estão sempre ativos (não requerem consentimento).
• Monitorização de erros (Sentry, alojado na região de dados da UE) é executada para manter o Serviço estável e seguro. Está configurada para não recolher qualquer endereço IP ou identificadores pessoais e é tratada como estritamente necessária.
• Análise (PostHog, alojado na UE) ajuda-nos a compreender a utilização. No teu navegador só é executada depois de aceitares através do nosso banner de cookies e não define qualquer cookie antes disso. Nas páginas de reserva pode incluir uma gravação de como percorreste a página, com tudo o que escreves ocultado. Podes aceitar, recusar ou alterar a tua escolha a qualquer momento.
• Eventos de utilização associados à conta. Enquanto tens sessão iniciada, os nossos servidores registam também eventos-chave associados à tua conta — por exemplo, que te registaste, reservaste ou cancelaste uma aula — para percebermos onde o Serviço funciona e onde as pessoas encontram dificuldades. Fazemo-lo com base nos nossos interesses legítimos (§3). Se recusares a análise no banner ou nas preferências de cookies — antes ou depois de iniciares sessão — deixamos de registar estes eventos e eliminamos o teu perfil de análise (uma escolha feita antes de iniciares sessão é aplicada quando inicias sessão).
• Continuar noutro navegador. Aplicações como o Instagram abrem ligações no seu próprio navegador integrado, que guarda os dados separados do teu navegador habitual. Se aceitaste a análise nesse navegador integrado e depois continuas noutro — ao tocar na ligação de início de sessão que te enviamos por e-mail, ou com «Abrir no navegador» — a ligação leva o teu identificador de análise aleatório (um código, nunca o teu nome ou e-mail, válido durante 30 minutos) para que a visita conte como um único percurso. No novo navegador, a análise no navegador continua a só ser executada se a aceitares aí. Quando inicias sessão, associamos esse identificador à tua conta, exceto se tiveres recusado a análise.

5. Com quem partilhamos os teus dados (subcontratantes)

Partilhamos dados apenas com prestadores de serviços («subcontratantes») que atuam segundo as nossas instruções ao abrigo de contratos de tratamento de dados, cada um apenas na medida necessária à sua função:

O que os estúdios e instrutores recebem sobre ti. O estúdio ou instrutor cuja aula reservas vê o teu nome tal como escolheste mostrá-lo, a tua reserva e se compareceste. Só recebe o teu endereço de e-mail e o teu número de telefone se tiveres ativado «Partilhar o meu contacto com estúdios e instrutores» nas definições, ou se os deste à entrada. As tuas necessidades de acessibilidade são mostradas a quem faz o check-in apenas se escolheste mostrá-las. Uma nota de lesão que escrevas antes de uma aula é mostrada ao instrutor dessa aula e a mais ninguém. Quando um estúdio ligou outro sistema de reservas e ativou o espelhamento de reservas, o teu nome e endereço de e-mail são enviados para esse sistema quando reservas, para que o teu lugar exista lá também.

Se ligares um sistema de reservas de terceiros (por exemplo, Acuity, BSport, YOGO) enquanto instrutor ou estúdio, trocamos os dados necessários para sincronizar as tuas aulas com esse fornecedor, que atua como responsável pelo tratamento próprio.

6. Transferências internacionais

A maior parte dos teus dados pessoais é armazenada e tratada dentro do Espaço Económico Europeu: a nossa base de dados (Supabase, Frankfurt), a infraestrutura e as filas (AWS, Paris), o alojamento da aplicação (Fly.io, Paris), a análise de produto (PostHog, UE), a monitorização de erros (Sentry, UE) e o e-mail (Brevo, UE) tratam todos os dados na UE.

Vários destes fornecedores estão, ainda assim, constituídos nos Estados Unidos (Supabase, Fly.io, Vercel, PostHog, Sentry). Armazenar dados numa região da UE não exclui, por si só, a possibilidade de uma empresa-mãe nos EUA poder estar sujeita a um pedido legal norte-americano. Um pequeno número de fornecedores trata adicionalmente dados fora do EEE: a Mapbox trata os pedidos de geocodificação nos Estados Unidos, a Cloudflare serve os vídeos e imagens dos instrutores a partir de uma rede edge global, e a Stripe efetua transferências ulteriores limitadas para a sua entidade nos EUA.

Para cada transferência que sai do EEE — e como salvaguarda suplementar para os dados de residentes na UE detidos por fornecedores constituídos nos EUA — recorremos a um mecanismo adequado ao abrigo do Capítulo V do RGPD: as Cláusulas Contratuais-Tipo da UE e/ou a certificação do fornecedor ao abrigo do EU–US Data Privacy Framework, com medidas suplementares quando necessário. Podes pedir detalhes da salvaguarda de um fornecedor específico em hello@studentbody.pt.

7. Durante quanto tempo guardamos os teus dados

8. Os teus direitos

Podes, a qualquer momento: aceder aos teus dados, retificá-los, apagá-los, limitar ou opor-te ao tratamento, obtê-los num formato portável (portabilidade) e retirar o consentimento (sem afetar o tratamento realizado antes da retirada).

Criámos ferramentas de autosserviço para os dois pedidos mais comuns, em Definições → Conta:

• Transferir os meus dados — uma cópia estruturada (JSON) dos teus dados pessoais (acesso e portabilidade).
• Eliminar a minha conta — apaga permanentemente os teus dados pessoais nos nossos sistemas e nos dos nossos subcontratantes. As cópias nas nossas cópias de segurança são substituídas no prazo de 30 dias.

Também podes editar o teu perfil diretamente (retificação) e alterar o consentimento de marketing/cookies nas definições; recusar aí a análise é também a forma de te opores aos eventos de utilização associados à conta descritos no §4. Para te opores à utilização das tuas preferências de horário nos resumos de procura, basta desativar «Incluir as minhas preferências nos resumos de procura» em Definições → Preferências de prática. Para deixares de receber os avisos de estado, usa a ligação de cancelamento presente em qualquer um deles. Para qualquer outro pedido, envia um e-mail para hello@studentbody.pt; respondemos no prazo de um mês (art. 12.º, n.º 3).

9. Decisões automatizadas e definição de perfis

Usamos a tua atividade para personalizar recomendações e classificações (por exemplo, aulas de que possas gostar). Isto constitui definição de perfis no sentido corrente, mas não tomamos decisões sobre ti que sejam exclusivamente automatizadas e produzam efeitos jurídicos ou similarmente significativos na aceção do art. 22.º.

10. Crianças

O Serviço destina-se a utilizadores com 16 anos ou mais (a idade de consentimento digital em Portugal). Não recolhemos conscientemente dados de crianças com menos de 16 anos; se achares que uma criança usou o Serviço, contacta-nos e eliminaremos a conta.

11. Segurança

Protegemos os teus dados com encriptação em trânsito, encriptação ao nível da aplicação de campos sensíveis, controlos de acesso e fornecedores de infraestrutura reputados. Nenhum sistema é perfeitamente seguro, mas trabalhamos para proteger os teus dados e notificaremos a ti e à CNPD de uma violação quando a lei o exigir.

12. Reclamações

Tens o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD) (www.cnpd.pt), sem prejuízo de qualquer outra via administrativa ou judicial.

13. Alterações

Podemos atualizar esta Política. A versão atual é sempre a publicada aqui; sinalizaremos alterações materiais.