Política de Privacidade & Proteção de Dados

2. Categorias de Dados Pessoais Tratados

A plataforma trata as seguintes categorias de dados para as finalidades do serviço:

• Dados de Conta e Autenticação: Endereço de email e palavra-passe (protegida exclusivamente por hash criptográfico seguro bcrypt com salt individual). Caso o utilizador opte pelo mecanismo de autenticação federada com a Google (Google OAuth), a aplicação recebe os dados necessários facultados por essa entidade nesse fluxo, designadamente nome e endereço de email verificado.
• Dados Físicos, Desportivos e de Treino: Modalidade desportiva (Futebol ou Rugby), peso corporal registado, peso objetivo, plano e rotinas semanais de treino, exercícios, séries, repetições, cargas levantadas e histórico de sessões.
• Dados Nutricionais, Hidratação e Estilo de Vida: Registo de refeições consumidas, objetivo nutricional, registos diários de hidratação (volume de água em litros) e registos de consumo de bebidas alcoólicas (contagem por tipo de bebida e data) para aferição de impacto no rendimento atlético.
• Estatísticas Desportivas e de Jogos (Módulo Época): Informações sobre jogos, adversários, escalão, posição tática, minutos jogados, golos, ensaios, placagens (efetuadas, falhadas e dominantes), passes, cartões disciplinares e notas técnicas de rendimento em campo.
• Documentos e Ficheiros Submetidos: Ficheiros em formato PDF de planos de treino ou planos alimentares voluntariamente submetidos pelo utilizador para conversão e extração de dados através da plataforma.
• Dados Técnicos e de Segurança: Endereço IP e registos de tentativas de autenticação ou de recuperação de palavra-passe, tratados temporariamente para efeitos de mitigação de incidentes e controlo de cadência (rate limiting), sendo mantidos por um período máximo de retenção de 24 horas antes da sua eliminação automática.

3. Fornecedores Tecnológicos e Subcontratantes

Para a prestação do serviço, recorremos a prestadores de serviços especializados que atuam na qualidade de subcontratantes:

• Alojamento e Computação Serverless (Vercel Inc.): Responsável pela infraestrutura de alojamento da aplicação web, execução de funções serverless e rede de distribuição de conteúdos (CDN). Nota: A aplicação não tem ativadas as ferramentas Vercel Analytics ou Speed Insights.
• Alojamento da Base de Dados (Supabase / AWS): Base de dados dedicada PostgreSQL gerida pela Supabase em centros de processamento de dados localizados na União Europeia (AWS), com canais encriptados e estrito isolamento por utilizador.
• Processamento de Pagamentos (Stripe Payments Europe, Ltd.): Gestão de transações de subscrição e faturação via Stripe Checkout Hosted e Customer Portal.
• Comunicações Eletrónicas Transacionais (Resend, Inc.): Fornecedor utilizado exclusivamente para o envio de emails de serviço estritamente necessários, designadamente mensagens de recuperação de palavra-passe solicitadas pelo utilizador. O endereço de email e os dados técnicos indispensáveis ao envio do link temporário de recuperação são transmitidos para essa finalidade específica.
• Processamento de Inteligência Artificial (Google LLC / Google Ireland Ltd.): Processamento de ficheiros e consultas desportivas através da API Google Gemini.

4. Pagamentos e Informação Financeira (Stripe)

Os pagamentos são processados pela instituição autorizada Stripe Payments Europe, Ltd. através de soluções autónomas e alojadas diretamente pela Stripe (Stripe Checkout Hosted) e a gestão de subscrições através do Stripe Customer Portal.

Para viabilizar a emissão da fatura, a associação do cliente e a gestão do período de acesso, dados como o endereço de email, nome (quando disponível no perfil) e identificadores internos do utilizador e do plano contratado são transmitidos à Stripe.

A plataforma PRO.ATHLETE nunca recolhe nem armazena números de cartões de crédito, códigos de segurança (CVV) ou dados bancários nos seus servidores, garantindo conformidade integral com os padrões de segurança PCI-DSS.

5. Processamento por Inteligência Artificial (Google Gemini)

Determinadas funcionalidades da aplicação recorrem à API Google Gemini (Google Generative AI) para efetuar a leitura, estruturação e apoio à interpretação de conteúdos desportivos e nutricionais.

No âmbito destas funcionalidades:

• Os ficheiros PDF de planos de treino ou de nutrição submetidos voluntariamente pelo utilizador podem ser enviados para processamento pela API;
• Descrições de refeições consumidas, dúvidas nutricionais, objetivos do plano e contexto atlético relevante podem ser transmitidos para análise e geração de recomendações de apoio;
• Este processamento ocorre com o único propósito de fornecer a funcionalidade específica e imediata solicitada pelo utilizador na plataforma.
• Com o plano pago da API Google Gemini, nos termos atuais da Google, os conteúdos enviados não são utilizados para treinar os seus modelos.
• As avaliações feitas pela IA (por exemplo, a cor atribuída a uma refeição) são apenas um apoio informativo e não constituem decisões automatizadas com efeitos jurídicos (Art. 22.º do RGPD).

6. Cookies e Armazenamento Local

A plataforma PRO.ATHLETE adota uma arquitetura orientada à privacidade e à minimização de dados:

• Cookies Estritamente Necessários: Utilizamos exclusivamente cookies técnicos de sessão e segurança gerados pelo mecanismo de autenticação (NextAuth.js), indispensáveis para autenticar o utilizador, manter a sessão cifrada ativa e prevenir ataques de falsificação de pedidos (CSRF).
• Armazenamento Local (localStorage): É utilizado unicamente para memorizar a preferência de idioma selecionada pelo utilizador (Português ou Inglês), constituindo uma preferência funcional expressamente solicitada.
• Ausência de Rastreamento de Terceiros: A aplicação não utiliza cookies de publicidade, marketing, rastreamento comportamental ou analítica. Não temos integrado Google Analytics, Meta Pixel, Whop Pixel, Vercel Analytics, Hotjar, Clarity, PostHog ou Mixpanel.

7. Transferências Internacionais de Dados

A base de dados principal da aplicação encontra-se alojada em centros de dados situados na União Europeia.

Não obstante, a prestação de serviços por parte de alguns dos fornecedores tecnológicos referidos (designadamente Google, Vercel, Resend ou Stripe) pode envolver o tratamento ou trânsito de dados através de servidores localizados fora do Espaço Económico Europeu (EEE). Nesses casos, tais operações dependem e são enquadradas pelos mecanismos de salvaguarda e instrumentos legais de transferência aplicáveis utilizados por cada um dos respetivos fornecedores nos termos da legislação de proteção de dados.

8. Prazos de Conservação dos Dados

Os dados pessoais são conservados apenas durante o período necessário às finalidades para que foram recolhidos:

• Dados de conta, treino, nutrição, hidratação e estatísticas: enquanto a conta estiver ativa. Os registos históricos (cargas, refeições, pesagens) não são apagados pela importação de novos planos. Mediante pedido de eliminação da conta enviado para o email de suporte, os dados são apagados, salvo obrigação legal de conservação.
• Ficheiros PDF submetidos: o ficheiro é processado no momento e não é guardado nos nossos servidores; apenas são guardados os exercícios ou refeições extraídos.
• Conversas com a inteligência artificial (suporte, nutrição e treinador): conservadas por um período máximo de 90 dias, podendo o utilizador apagá-las a qualquer momento.
• Dados de faturação: conservados pela Stripe e pela empresa durante o prazo exigido pela legislação fiscal e contabilística aplicável.
• Dados técnicos e de segurança (endereço IP e tentativas de autenticação): eliminados automaticamente após 24 horas.

9. Direitos do Titular dos Dados (RGPD)

Nos termos do Regulamento Geral sobre a Proteção de Dados (RGPD), o utilizador dispõe dos seguintes direitos relativamente aos seus dados pessoais:

• Direito de Acesso: Obter confirmação e aceder aos dados pessoais objeto de tratamento.
• Direito de Retificação: Solicitar a correção de dados inexatos ou incompletos.
• Direito ao Apagamento: Solicitar a eliminação dos seus dados quando cesse a finalidade ou a base legal do tratamento.
• Direito à Limitação do Tratamento: Solicitar a suspensão do tratamento em situações legalmente tipificadas.
• Direito de Oposição: Opor-se a tratamentos de dados fundamentados em interesses legítimos.
• Direito de Portabilidade: Receber os dados fornecidos num formato estruturado, de uso corrente e leitura automática.
• Direito de Reclamação: Apresentar reclamação junto da autoridade de controlo em Portugal — a Comissão Nacional de Proteção de Dados (CNPD) —, caso considere violados os seus direitos.

Para o exercício de qualquer direito, o titular deve enviar comunicação escrita para o correio eletrónico oficial: proathlete.support@gmail.com.