Política de privacidade da Quadra

1. Responsável e contactos

Responsável: Tiago Silva
Email de privacidade: geral.quadra.app@gmail.com

Esta política explica o tratamento de dados na Quadra, uma app de gestão de equipas e jogos de futsal, no âmbito do Regulamento (UE) 2016/679 (RGPD) e da legislação nacional aplicável, incluindo, em Portugal, a Lei n.º 58/2019. O clube ou a pessoa que introduz dados de jogadores decide a finalidade e os meios dessa gestão e deve prestar a informação devida aos jogadores e outras pessoas envolvidas. O operador da Quadra é responsável pelos tratamentos de conta, acesso Premium e operação do serviço que determina.

2. Dados e origem

Dados locais: nome da equipa, pavilhão, jogadores (nome, número e posição), convocatórias, jogos, resultados, eventos, tempos de utilização, estatísticas, imagens, cartazes e notas de áudio. São introduzidos por ti ou importados de ficheiros e backups. As notas são gravações de voz; a app não faz transcrição nem identificação biométrica.

Conta opcional: email, identificador de utilizador, dados de autenticação e sessão e, quando usados, dados disponibilizados pela Apple ou Google para iniciar sessão. A autenticação por password é gerida pelo Supabase.

Premium: identificadores de produtos e transações, comprovativos de compra, estado e validade do acesso, convites e atribuições manuais. Os dados podem vir das lojas Apple/Google ou de administradores autorizados. A Quadra não recebe os dados completos do cartão de pagamento.

Drive opcional: conta Google escolhida, email, autorização e identificadores de pasta/ficheiros, datas, revisão e estado das cópias. Os serviços online também podem tratar endereço IP e registos técnicos de pedidos, autenticação, segurança e erros. Um pedido de eliminação gera um registo de estado e um comprovativo de recuperação.

Contactos e pedidos de direitos: endereço de email, conteúdo da mensagem e informação estritamente necessária para verificar a titularidade e responder ao pedido. Não envies passwords, códigos de acesso ou backups da equipa.

3. Finalidades e fundamentos

Conta, autenticação, recuperação e validação do Premium: execução do contrato ou diligências a teu pedido (artigo 6.º, n.º 1, alínea b), do RGPD). Sem os dados necessários não é possível disponibilizar essas funcionalidades; podes usar as funções locais sem conta.

Segurança, prevenção de fraude e recuperação de operações: interesse legítimo em proteger contas, compras e o serviço (artigo 6.º, n.º 1, alínea f)), ponderado face aos direitos das pessoas. Podes opor-te por motivos relacionados com a tua situação particular.

Cumprimento de obrigações legais, quando aplicável: artigo 6.º, n.º 1, alínea c).

A ligação ao Drive e a ativação de backups automáticos são escolhas separadas e opcionais, assentes na tua autorização e, quando o tratamento se baseia em consentimento, no artigo 6.º, n.º 1, alínea a). Podes retirar esse consentimento sem afetar o tratamento anterior nem o uso local. A permissão do sistema para o microfone ou ficheiros é um controlo técnico e não substitui uma base legal para tratar dados de terceiros.

O clube ou utilizador responsável deve determinar uma base legal adequada para os dados dos jogadores; o contrato da Quadra com o utilizador não legitima, por si só, esses tratamentos.

4. Armazenamento e destinatários

Os dados desportivos e os ficheiros ficam no dispositivo ou no armazenamento do navegador. Criar conta não os envia para o Supabase nem os sincroniza entre dispositivos. O Supabase suporta a identidade, conta e direitos Premium. Apple e Google tratam autenticação e compras quando escolhes esses serviços; podem atuar como responsáveis independentes nos seus próprios serviços. Administradores autorizados podem gerir convites e licenças.

Só ao criares uma cópia ou ativares a automatização é enviado um arquivo para o teu Google Drive. Ligar o Drive, por si só, não envia o plantel, jogos ou áudio. É pedida a permissão drive.file para ficheiros autorizados para esta app. A pasta escolhida e as respetivas permissões determinam quem pode aceder às cópias. Exportar ou partilhar um arquivo/cartaz entrega-o ao destino que selecionares. Os backups podem conter dados de jogadores, imagens e áudio.

Não estão integrados SDKs de publicidade nem de análise comportamental nesta versão. Não há venda de dados nem utilização dos conteúdos desportivos para publicidade. Podem existir comunicações a autoridades quando legalmente exigidas.

Na versão web, o Cloudflare Pages disponibiliza os ficheiros da app e pode tratar IP e metadados técnicos dos pedidos para entrega e segurança. Os pedidos enviados para o contacto de privacidade são recebidos no Gmail, serviço da Google.

5. Alojamento e transferências internacionais

PT: Base de dados e identidade Supabase na Irlanda, União Europeia. As Edge Functions usam execução regional distribuída por defeito. O Cloudflare Pages disponibiliza a versão web através da sua rede global. EN: Supabase database and identity in Ireland, European Union. Edge Functions use distributed regional execution by default. Cloudflare Pages serves the web version through its global network.

Países, destinatários e garantias de transferência: PT: O Supabase identifica a Supabase Pte. Ltd. (Singapura) e suporte/operações nos EUA, com cláusulas contratuais-tipo incorporadas no seu DPA e medidas complementares. O Cloudflare, fornecedor de alojamento web com entidade nos EUA e rede global, prevê no seu DPA cláusulas-tipo e o EU–US Data Privacy Framework quando aplicável. A Google trata os serviços escolhidos de autenticação, Drive e Play e recebe mensagens no Gmail; a sua documentação prevê tratamento internacional, incluindo nos EUA, decisões de adequação, DPF para entidades certificadas e cláusulas-tipo quando necessárias. A Apple trata autenticação e compras quando usadas e descreve transferências internacionais, incluindo para os EUA, com cláusulas-tipo para dados do EEE. Os destinatários e locais adicionais dependem do serviço utilizado e constam das listas/políticas dos fornecedores. Podes pedir cópia das garantias aplicáveis ao contacto de privacidade. EN: Supabase identifies Supabase Pte. Ltd. (Singapore) and US support/operations, with standard contractual clauses in its DPA and supplementary measures. Cloudflare, the web hosting provider with a US entity and global network, provides for SCCs and the EU–US Data Privacy Framework where applicable in its DPA. Google processes the chosen sign-in, Drive and Play services and receives messages in Gmail; its documentation describes international processing, including in the US, adequacy decisions, DPF for certified entities and SCCs where needed. Apple processes sign-in and purchases when used and describes international transfers, including to the US, with SCCs for EEA data. Additional recipients and locations depend on the service used and are listed in providers’ policies. You may request copies of applicable safeguards from the privacy contact. References: https://supabase.com/legal/customer-resources/data-processing-addendum ; https://supabase.com/legal/customer-resources/subprocessor-list ; https://www.cloudflare.com/cloudflare-customer-dpa/ ; https://policies.google.com/privacy/frameworks ; https://www.apple.com/legal/privacy/en-ww/

Os serviços de fornecedores internacionais podem envolver acesso fora do Espaço Económico Europeu. As transferências exigem um fundamento do capítulo V do RGPD, como uma decisão de adequação aplicável ou cláusulas contratuais-tipo com avaliação e medidas complementares quando necessárias. O contacto de privacidade permite pedir informação e cópia das garantias aplicáveis. Esta política não presume que todos os dados ficam na UE nem que todos os fornecedores estão abrangidos por uma decisão de adequação.

6. Conservação

Dados locais: permanecem enquanto mantiveres o perfil ou até os apagares. Terminar sessão mantém o perfil anterior isolado; não equivale a apagá-lo. Limpar dados neste dispositivo afeta o perfil ativo. A remoção da app ou dos dados do navegador pode eliminar informação local; cópias do sistema operativo ou ficheiros exportados podem continuar a existir.

Conta e licenças: conservadas enquanto a conta e os direitos associados forem necessários. O pedido de eliminação remove a identidade e os dados de conta/licenças associados, sujeito a obrigações legais de conservação aplicáveis. Eventos de compra podem subsistir sem associação à conta; isso não garante, por si só, anonimização de todos os identificadores. Registos de eliminação permitem confirmar e recuperar pedidos interrompidos.

Drive: as cópias permanecem até serem removidas. A retenção é manual por defeito. Se ativares a opção das últimas três, a app move para o lixo cópias da mesma origem após confirmar uma nova; o esvaziamento do lixo segue as regras do Google Drive. Desligar a integração não apaga cópias já criadas.

Prazos ou critérios adicionais para registos técnicos, compras, eliminação e cópias de segurança do servidor: PT: Plano Supabase Free: janela de consulta dos logs API/base de dados de 1 dia; a auditoria Auth guardada na base de dados é removida após 1 dia. Não estão contratados backups diários nem PITR, e o operador não mantém dumps da base de dados ou exportações dos logs. Não se presume que as cópias internas de segurança do fornecedor sejam apagadas instantaneamente. Eventos de compra em estado concluído são removidos 90 dias após o processamento (ou receção, se não tiverem data de processamento); estados pendentes são revistos até resolução. Comprovativos de eliminações concluídas: 90 dias desde a conclusão, sem expiração automática de pedidos pendentes/falhados. Convites e os respetivos eventos: 30 dias após utilização, expiração ou revogação, tomando o primeiro evento terminal. Auditoria de licenças: 180 dias, ou antes com a eliminação da conta associada. Os direitos Premium e referências de compra necessários à conta mantêm-se enquanto necessários e são removidos com a conta. A limpeza automática corre de hora a hora em lotes; há uma janela técnica até à execução seguinte e eventuais atrasos são corrigidos operacionalmente. Mensagens completas de suporte/direitos sob nosso controlo: 90 dias após fecho; comprovativo mínimo da resposta a direitos: 12 meses. Uma conservação excecional por obrigação legal ou litígio é limitada aos dados necessários, tem revisão própria e é explicada ao titular quando aplicável. Os fornecedores independentes aplicam também as suas próprias políticas de conservação. EN: Supabase Free: API/database logs have a one-day query window; Auth audit stored in the database is removed after one day. No daily backup or PITR service is contracted, and the operator keeps no database dumps or exported logs. Provider-internal security copies are not assumed to disappear immediately. Terminal purchase events are removed 90 days after processing (or receipt if no processing date); pending states are reviewed until resolved. Completed deletion receipts: 90 days after completion; pending/failed requests do not expire automatically. Invitations and their events: 30 days after use, expiry or revocation, using the first terminal event. Licence audit: 180 days, or earlier upon deletion of the linked account. Premium rights and purchase references needed for the account remain while needed and are removed with the account. Automated cleanup runs hourly in batches; there is a technical window until the next run and operational delays are corrected. Full support/rights messages under our control: 90 days after closure; minimum proof of a rights response: 12 months. Exceptional retention for legal obligations or litigation is limited to necessary data, reviewed separately and explained where applicable. Independent providers also apply their own retention policies.

7. Direitos e reclamações

Nos termos e limites do RGPD, podes pedir acesso, retificação, apagamento, limitação, portabilidade e opor-te ao tratamento baseado em interesse legítimo. Podes retirar o consentimento a qualquer momento, sem afetar a licitude do tratamento anterior. Não há decisões exclusivamente automatizadas com efeitos jurídicos ou igualmente significativos nem perfis comportamentais; as estatísticas desportivas são calculadas localmente a partir dos registos introduzidos.

Contacta o email indicado na secção 1. A resposta é prestada sem demora injustificada e, em regra, no prazo de um mês. Em pedidos complexos ou numerosos, o prazo pode ser prolongado por mais dois meses, com informação e justificação no primeiro mês. O exercício é, em regra, gratuito; só será pedida informação de identificação proporcionalmente necessária.

Para dados locais de jogadores geridos por um clube ou treinador, contacta também essa entidade: o operador não consegue consultar ou apagar remotamente os ficheiros que só existem no dispositivo ou Drive do utilizador. Podes reclamar junto da autoridade de controlo do Estado-Membro da tua residência habitual, local de trabalho ou alegada infração. Em Portugal: Comissão Nacional de Proteção de Dados (CNPD), https://www.cnpd.pt, com informação sobre direitos em https://www.cnpd.pt/cidadaos/direitos/. Não é obrigatório contactar-nos antes de reclamar.

8. Controlos disponíveis na app

Nas Definições podes exportar um backup, importar dados, gerir cópias e limpar dados locais. A exportação desportiva não inclui todos os dados remotos de conta/compras; pede estes através do contacto de privacidade. No ecrã Conta podes pedir a eliminação da conta, com confirmação e autenticação recente. Podes escolher apagar também o perfil local desse dispositivo; os outros perfis não são eliminados. Exporta antes se precisares de conservar os dados.

Também podes pedir a eliminação por email para geral.quadra.app@gmail.com, sem reinstalar a app. Usa o assunto «Eliminar conta Quadra» e indica o email associado à conta. Confirmamos a titularidade antes de apagar dados; nunca envies passwords ou códigos de acesso.

Enviar um pedido de eliminação sem a app

Apagar a conta não remove os backups do Drive, ficheiros já partilhados ou cópias noutros dispositivos e não cancela subscrições da App Store/Google Play. Gere essas cópias e subscrições nos respetivos serviços. Podes desligar as cópias automáticas e revogar o acesso Google nas permissões da tua conta Google. Podes revogar o microfone nas definições do dispositivo; apenas a gravação fica indisponível.

9. Segurança, permissões e armazenamento local

A app isola perfis locais e o backend restringe acesso aos dados de conta. A segurança também depende do bloqueio do dispositivo, das contas e das permissões dos destinos de partilha. Os arquivos ZIP exportados ou enviados ao Drive não têm password nem cifragem própria do arquivo. Protege-os e limita a sua partilha. Nenhum sistema elimina todos os riscos.

O microfone é usado quando inicias uma gravação. O seletor de ficheiros permite importar imagens e backups escolhidos por ti; não é pedido acesso à localização ou agenda de contactos. Preferências, sessão e dados locais são guardados para executar as funcionalidades. Na versão web, o navegador conserva esses dados no seu armazenamento local. Não são usados cookies ou identificadores para publicidade ou rastreio entre serviços nesta versão. A autorização de um fornecedor externo está também sujeita à informação desse fornecedor.

10. Jogadores menores e dados sensíveis

O registo de equipas com menores exige especial cuidado. Quem gere os dados deve informar os titulares e representantes legais de forma adequada à idade, determinar a base legal e obter as autorizações exigíveis. Não partilhes nomes, imagens ou vozes de menores sem fundamento adequado. Não introduzas dados de saúde, outras categorias especiais ou informação desnecessária nas notas e gravações. A app não exige esses dados. A permissão de gravação do dispositivo não constitui consentimento das pessoas gravadas.

11. Atualizações e referências

Esta política deve acompanhar alterações nas funcionalidades e fornecedores. Mudanças materiais devem ser comunicadas antes de novos tratamentos e será pedido consentimento separado quando necessário. Consultar esta política não autoriza tratamentos opcionais.

Texto oficial do RGPD: https://eur-lex.europa.eu/eli/reg/2016/679/oj
Lei n.º 58/2019: https://diariodarepublica.pt/dr/detalhe/lei/58-2019-123815982