Legal
Política de Privacidade
Público: aplicação de consumo UE / Portugal (alunos, instrutores, estúdios). Autoridade de controlo: Comissão Nacional de Proteção de Dados (CNPD), Portugal.
1. Quem somos
A Student Body, Lda. («Student Body», «nós»), NIPC 519312708, com sede na Rua de Santos Pousada 826, 4000-485 Porto, Portugal, é a responsável pelo tratamento dos dados pessoais tratados através de studentbody.pt, app.studentbody.pt e das aplicações móveis da Student Body (o «Serviço»).
Contacto para qualquer questão de privacidade ou para exercer os teus direitos: hello@studentbody.pt. Não nomeámos um Encarregado da Proteção de Dados.
2. Os dados pessoais que recolhemos
Recolhemos dados que nos forneces, dados gerados à medida que utilizas o Serviço e uma pequena quantidade de dados técnicos:
- Identidade e contacto — nome / nome a apresentar, endereço de e-mail, número de telefone (se o forneceres, por exemplo num check-in de walk-in), foto de perfil, biografia e o teu identificador público escolhido.
- Conta e autenticação — o identificador da tua conta e os metadados de início de sessão (a autenticação é tratada pelo nosso fornecedor Supabase; nunca vemos a tua palavra-passe).
- Localização — a cidade/país e, se usares funcionalidades de localização, as coordenadas aproximadas derivadas de uma morada que introduzes, mais o raio de pesquisa que escolheres.
- Perfil e preferências — interesses, idiomas, preferências de acessibilidade, preferências de notificações e de horário, definições de aparência.
- Reservas e atividade — aulas que reservas, presenças, entradas em listas de espera, aulas, instrutores e estúdios guardados/seguidos, sequências e marcos.
- Detalhes de check-in das aulas — incluindo notas de lesão opcionais e preferências de experiência / «vibe» que escolhas partilhar antes de uma aula (ver §3).
- Conteúdo e social — feedback e avaliações de aulas (incluindo comentários privados que deixes), mensagens diretas, ligações/contactos e quaisquer mensagens de apoio que nos envies.
- Dados de pagamento — uma referência de cliente do fornecedor de pagamentos e a marca, os últimos 4 dígitos e a validade de um cartão guardado. Nunca guardamos números de cartão completos — estes ficam com o nosso processador de pagamentos, a Stripe.
- Registos de consentimento — a tua aceitação dos Termos, a tua escolha de adesão a marketing e o consentimento de cookies/análise, cada um com data e hora (prova de consentimento).
- Dados técnicos e de utilização — endereço IP e informação do dispositivo/navegador usados para manter o Serviço seguro e funcional; e, apenas com o teu consentimento, eventos de análise de produto sobre como usas a app (ver §4).
3. Como e porquê usamos os teus dados
| Finalidade | Base legal (art. 6.º RGPD) |
|---|---|
| Criar e gerir a tua conta; permitir-te reservar aulas; receber e reembolsar pagamentos; entregar mensagens, feedback e reservas | Execução de contrato — art. 6.º, n.º 1, al. b) |
| Manter o Serviço seguro, prevenir fraude e abuso, depurar erros e melhorar e desenvolver funcionalidades | Interesses legítimos — art. 6.º, n.º 1, al. f) |
| Enviar-te e-mails de marketing / promocionais | Consentimento — art. 6.º, n.º 1, al. a) (retirável a qualquer momento) |
| Cookies de análise de produto / rastreio | Consentimento — art. 6.º, n.º 1, al. a) (ePrivacy; através do banner de cookies) |
| Conservar faturas e registos contabilísticos; responder a pedidos legais | Obrigação legal — art. 6.º, n.º 1, al. c) |
| Tratar notas opcionais de check-in relativas a lesões / saúde | Consentimento explícito — art. 9.º, n.º 2, al. a); a recolha é claramente opcional |
Não vendemos os teus dados pessoais.
4. Cookies e análise
- Cookies estritamente necessários mantêm-te com sessão iniciada e o Serviço seguro. Estão sempre ativos (não requerem consentimento).
- Monitorização de erros (Sentry, alojado na região de dados da UE) é executada para manter o Serviço estável e seguro. Está configurada para não recolher qualquer endereço IP ou identificadores pessoais e é tratada como estritamente necessária.
- Análise (PostHog, alojado na UE) ajuda-nos a compreender a utilização. Só é executada depois de aceitares através do nosso banner de cookies e não define qualquer cookie antes disso. Podes aceitar, recusar ou alterar a tua escolha a qualquer momento.
5. Com quem partilhamos os teus dados (subcontratantes)
Partilhamos dados apenas com prestadores de serviços («subcontratantes») que atuam segundo as nossas instruções ao abrigo de contratos de tratamento de dados, cada um apenas na medida necessária à sua função:
| Fornecedor | O que faz por nós | Onde é tratado / mecanismo de transferência |
|---|---|---|
| Supabase | Autenticação e base de dados principal | Alojado na UE (AWS eu-central-1, Frankfurt). A Supabase, Inc. é constituída nos EUA; DPA + Cláusulas Contratuais-Tipo da UE. |
| Amazon Web Services | Infraestrutura cloud e filas de mensagens | Alojado na UE (eu-west-3, Paris). Contratado através da AWS EMEA SARL (Luxemburgo); DPA. |
| Fly.io | Alojamento da aplicação / API | Tratamento na região da UE (Paris, cdg). Constituída nos EUA; EU–US Data Privacy Framework + DPA. |
| Vercel | Alojamento do site de marketing e análise web sem cookies (sem cookies, sem banner de consentimento) | Vercel, Inc. (EUA). EU–US Data Privacy Framework / Cláusulas Contratuais-Tipo. |
| Stripe | Processamento de pagamentos | Contratado através da Stripe Payments Europe, Ltd (Irlanda, UE); transferência ulterior limitada para a Stripe, Inc. (EUA) ao abrigo de Cláusulas Contratuais-Tipo. |
| Brevo (Sendinblue) | E-mail transacional e de marketing | Empresa da UE (França); dados alojados na UE (França/Alemanha). |
| PostHog | Análise de produto (com consentimento) | Alojado na UE (EU Cloud, Frankfurt). Constituída nos EUA; DPA. |
| Sentry | Monitorização de erros (sem dados pessoais de utilizadores finais) | Região de dados da organização definida para a UE. Constituída nos EUA; DPA. |
| Mapbox | Geocodificação de moradas / mapas | Mapbox, Inc. (EUA); trata dados nos EUA. Certificada pelo EU–US Data Privacy Framework + Cláusulas Contratuais-Tipo. |
| Cloudflare | Alojamento e entrega de vídeos e imagens de instrutores; proteção contra bots (Turnstile) | Cloudflare, Inc. (EUA); servido a partir de uma rede edge global, pelo que os dados podem ser tratados fora do EEE. Certificada pelo EU–US Data Privacy Framework + Cláusulas Contratuais-Tipo / DPA. |
Se ligares um sistema de reservas de terceiros (por exemplo, Acuity, BSport, YOGO) enquanto instrutor ou estúdio, trocamos os dados necessários para sincronizar as tuas aulas com esse fornecedor, que atua como responsável pelo tratamento próprio.
6. Transferências internacionais
A maior parte dos teus dados pessoais é armazenada e tratada dentro do Espaço Económico Europeu: a nossa base de dados (Supabase, Frankfurt), a infraestrutura e as filas (AWS, Paris), o alojamento da aplicação (Fly.io, Paris), a análise de produto (PostHog, UE), a monitorização de erros (Sentry, UE) e o e-mail (Brevo, UE) tratam todos os dados na UE.
Vários destes fornecedores estão, ainda assim, constituídos nos Estados Unidos (Supabase, Fly.io, Vercel, PostHog, Sentry). Armazenar dados numa região da UE não exclui, por si só, a possibilidade de uma empresa-mãe nos EUA poder estar sujeita a um pedido legal norte-americano. Um pequeno número de fornecedores trata adicionalmente dados fora do EEE: a Mapbox trata os pedidos de geocodificação nos Estados Unidos, a Cloudflare serve os vídeos e imagens dos instrutores a partir de uma rede edge global, e a Stripe efetua transferências ulteriores limitadas para a sua entidade nos EUA.
Para cada transferência que sai do EEE — e como salvaguarda suplementar para os dados de residentes na UE detidos por fornecedores constituídos nos EUA — recorremos a um mecanismo adequado ao abrigo do Capítulo V do RGPD: as Cláusulas Contratuais-Tipo da UE e/ou a certificação do fornecedor ao abrigo do EU–US Data Privacy Framework, com medidas suplementares quando necessário. Podes pedir detalhes da salvaguarda de um fornecedor específico em hello@studentbody.pt.
7. Durante quanto tempo guardamos os teus dados
| Dados | Conservação |
|---|---|
| Conta e perfil, atividade, conteúdo | Enquanto a tua conta estiver ativa. Quando eliminas a tua conta, apagamos ou anonimizamos irreversivelmente os teus dados pessoais (ver §8). |
| Mensagens, feedback, pedidos de apoio | Com a tua conta, depois apagados na eliminação. |
| Registos de pagamento, faturação e contabilidade | Conservados pelo período exigido pela legislação fiscal, contabilística e comercial portuguesa aplicável — geralmente pelo menos 10 anos a contar do final do ano civil a que respeitam. |
| Registos de eventos do fornecedor de pagamentos | 90 dias |
| Registos de consentimento de marketing | Mantidos como prova de consentimento pelo período necessário para demonstrar conformidade. |
| Dados de análise | Conforme o teu consentimento; eliminados se retirares o consentimento. |
8. Os teus direitos
Podes, a qualquer momento: aceder aos teus dados, retificá-los, apagá-los, limitar ou opor-te ao tratamento, obtê-los num formato portável (portabilidade) e retirar o consentimento (sem afetar o tratamento realizado antes da retirada).
Criámos ferramentas de autosserviço para os dois pedidos mais comuns, em Definições → Conta:
- Transferir os meus dados — uma cópia estruturada (JSON) dos teus dados pessoais (acesso e portabilidade).
- Eliminar a minha conta — apaga permanentemente os teus dados pessoais nos nossos sistemas e nos dos nossos subcontratantes.
Também podes editar o teu perfil diretamente (retificação) e alterar o consentimento de marketing/cookies nas definições. Para qualquer outro pedido, envia um e-mail para hello@studentbody.pt; respondemos no prazo de um mês (art. 12.º, n.º 3).
9. Decisões automatizadas e definição de perfis
Usamos a tua atividade para personalizar recomendações e classificações (por exemplo, aulas de que possas gostar). Isto constitui definição de perfis no sentido corrente, mas não tomamos decisões sobre ti que sejam exclusivamente automatizadas e produzam efeitos jurídicos ou similarmente significativos na aceção do art. 22.º.
10. Crianças
O Serviço destina-se a utilizadores com 16 anos ou mais (a idade de consentimento digital em Portugal). Não recolhemos conscientemente dados de crianças com menos de 16 anos; se achares que uma criança usou o Serviço, contacta-nos e eliminaremos a conta.
11. Segurança
Protegemos os teus dados com encriptação em trânsito, encriptação ao nível da aplicação de campos sensíveis, controlos de acesso e fornecedores de infraestrutura reputados. Nenhum sistema é perfeitamente seguro, mas trabalhamos para proteger os teus dados e notificaremos a ti e à CNPD de uma violação quando a lei o exigir.
12. Reclamações
Tens o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD) (www.cnpd.pt), sem prejuízo de qualquer outra via administrativa ou judicial.
13. Alterações
Podemos atualizar esta Política. A versão atual é sempre a publicada aqui; sinalizaremos alterações materiais.