Política de Privacidade

O responsável pelo tratamento dos dados pessoais recolhidos através da plataforma ESCUDO GCD é Fernando Mendes da Costa, autor do Modelo GCD e titular intelectual da plataforma.

Contacto para questões de privacidade: privacidade@escudogcd.fmc-pt.pt

O responsável responde aos pedidos dos titulares no prazo máximo de 1 mês a contar da recepção do pedido, podendo esse prazo ser prorrogado por mais 2 meses em casos de especial complexidade (art. 12.º RGPD).

A plataforma recolhe os seguintes dados pessoais:

• Nome completo — fornecido no registo ou convite;
• Endereço de email — utilizado para autenticação e comunicações de serviço;
• Função/cargo (role) na organização — atribuído pelo administrador;
• Data e hora de registo — para efeitos de auditoria;
• Dados introduzidos no sistema — informações sobre crises, decisões e registos de evolução criados pelos utilizadores no exercício das suas funções.

A plataforma não solicita categorias especiais como requisito de registo. Contudo, uma organização pode introduzir dados sensíveis na descrição documental de uma crise. Nesses casos, deve existir base legal, minimização, controlo de acesso e instruções adequadas da organização responsável pelo tratamento; durante testes devem ser usados dados fictícios ou anonimizados.

Os dados são tratados para as seguintes finalidades:

• Prestação do serviço — autenticação, gestão de sessão, acesso às funcionalidades contratadas. Base legal: execução de contrato (art. 6.º, n.º 1, al. b) do RGPD).
• Segurança da plataforma — protecção contra acessos não autorizados e auditoria de acessos. Base legal: interesse legítimo (art. 6.º, n.º 1, al. f) do RGPD).
• Comunicações de serviço — envio de convites, recuperação de palavra-passe e notificações essenciais. Base legal: execução de contrato.
• Cumprimento de obrigações legais — quando aplicável. Base legal: obrigação legal (art. 6.º, n.º 1, al. c) do RGPD).

A plataforma não utiliza os dados para publicidade, marketing, perfilagem comportamental ou partilha com terceiros para fins comerciais.

O direito ao apagamento (RGPD Art. 17.º) aplica-se aos dados pessoais identificáveis (PII). Determinadas categorias de dados podem, contudo, ser retidas por prazos mais longos com fundamento em obrigação legal, interesse legítimo ou defesa de direitos em processo judicial (RGPD Art. 17.º, n.º 3).

A tabela seguinte define os prazos de retenção por categoria de dados:

Nota: após anonimização de um utilizador, os dados de crises e registos operacionais são mantidos sem qualquer referência identificável à pessoa — deixam de constituir dados pessoais para efeitos do RGPD.

Os dados pessoais não são vendidos, alugados nem partilhados com terceiros para fins de marketing.

São partilhados apenas com os seguintes subcontratantes estritamente necessários à prestação do serviço:

• Railway (Estados Unidos) — infraestrutura de alojamento em nuvem, sujeito a cláusulas contratuais-tipo;
• Resend (Estados Unidos / UE) — serviço de envio de emails transaccionais;
• Neon / PostgreSQL — base de dados, com isolamento por organização (Row-Level Security).

A transferência para países terceiros fora do EEE assenta em mecanismos adequados nos termos do RGPD (cláusulas contratuais-tipo ou decisões de adequação).

Nos termos do RGPD, os titulares dos dados têm direito a:

• Acesso — saber que dados são tratados e obter cópia;
• Rectificação — corrigir dados inexactos;
• Eliminação — solicitar a remoção dos dados (disponível directamente em Perfil → Eliminar conta);
• Limitação — restringir o tratamento em determinadas circunstâncias;
• Portabilidade — receber os dados em formato estruturado;
• Oposição — opor-se ao tratamento baseado em interesse legítimo;
• Apresentação de reclamação à autoridade de controlo competente (CNPD — Comissão Nacional de Protecção de Dados, em Portugal).

Para exercer qualquer destes direitos, contacte: privacidade@escudogcd.fmc-pt.pt. O responsável responde no prazo máximo de 1 mês.

A plataforma ESCUDO GCD não toma decisões automatizadas com efeitos jurídicos ou significativos sobre os titulares dos dados, nos termos do art. 22.º do RGPD. As ferramentas de inteligência artificial disponíveis na plataforma são de apoio à decisão humana — a decisão final cabe sempre ao utilizador.

Em caso de violação de dados pessoais (data breach) que coloque em risco os direitos e liberdades dos titulares, o responsável pelo tratamento compromete-se a:

• Notificar a CNPD no prazo de 72 horas após tomar conhecimento do incidente (art. 33.º RGPD);
• Comunicar directamente aos titulares afectados, sem demora injustificada, quando o incidente seja susceptível de resultar em elevado risco para os seus direitos (art. 34.º RGPD).

Para reportar suspeitas de incidente de segurança: privacidade@escudogcd.fmc-pt.pt

A plataforma implementa medidas técnicas e organizacionais adequadas para proteger os dados pessoais, incluindo: autenticação por token JWT com expiração, isolamento de dados por organização com Row-Level Security a nível de base de dados, transmissão cifrada via HTTPS, e controlo de acesso baseado em funções (RBAC).

A plataforma ESCUDO GCD destina-se à gestão de crises desportivas. Os utilizadores, no exercício das suas funções, podem introduzir informações sensíveis sobre situações, pessoas e organizações.

A organização contratante é co-responsável pelo tratamento dos dados que os seus membros introduzem no sistema. É responsabilidade da organização garantir que os dados introduzidos:

• respeitam os direitos dos titulares envolvidos;
• têm base legal adequada para o seu tratamento;
• não incluem dados desnecessários ou desproporcionados.

Durante fases de teste, é expressamente recomendado o uso de dados fictícios ou devidamente anonimizados.

Esta política pode ser actualizada para reflectir alterações técnicas, legais ou funcionais da plataforma. As alterações serão comunicadas por email ou através de aviso na plataforma.