Política de Privacidade

PlayMinder · Versão 2026-10-21 · Última atualização: 21 de outubro de 2026

Esta política explica que dados a PlayMinder («PlayMinder», «nós») trata, com que finalidade, e que direitos tens. Vale para a aplicação em app.playminder.pt e para as suas caras StatMinder e CoachMinder. Escrevemo-la para ser lida por pessoas, não só por advogados.

1. Quem somos e como nos contactar

A PlayMinder é operada por Anabela Cardoso, NIF 254969305, contactável em comercial@playminder.pt. Para qualquer questão sobre dados pessoais, este é o contacto a usar.

Respondemos por email. Contamos responder no próprio dia ou no seguinte; se for uma altura cheia, pode demorar até dois dias úteis.

2. Papéis no tratamento de dados (RGPD)

• O clube é o responsável pelo tratamento dos dados que insere na app (atletas, famílias, sócios, staff, jogos, avaliações, saúde, escola) e dos que as famílias escrevem no portal, pelo link que o clube lhes deu. É o clube que decide que dados recolhe, quem os vê, que links partilha e com quem, e que deve obter os consentimentos necessários junto dos encarregados de educação.
• A PlayMinder é subcontratante desses dados: guarda-os e trata-os por conta do clube, seguindo as suas instruções, quando a sincronização na nuvem está ativa. Essa relação está escrita no Contrato de Tratamento de Dados, que o administrador do clube aceita dentro da app (ou assina em papel).
• Quem usa a app por conta própria, por exemplo um treinador com o CoachMinder ou o StatMinder a título pessoal, fica no lugar do clube em relação aos dados de atletas que lá põe.
• Os dados da tua conta, o teu perfil e a tua gaveta são teus, e não do clube. Para esses, somos nós os responsáveis pelo tratamento: tratamo-los para te prestar o serviço, e acompanham-te se mudares de clube.
• Os dados de pagamento e de faturação (de quem paga a PlayMinder, seja o clube ou quem compra a título pessoal) também são tratados por nós como responsáveis: servem para cobrar, passar as faturas e cumprir a lei fiscal. Ver o ponto 5.1.
• Em modo local (sem conta e sem nuvem), os dados ficam apenas no teu dispositivo e nós não temos qualquer acesso a eles.

3. Que dados são tratados

• Dados de conta (só com nuvem ativa): endereço de email e palavra-passe cifrada, ou, se entras com a conta Google, o email e os dados básicos de perfil que a Google nos envia nesse momento; os clubes a que pertences e, em cada um, o papel, as equipas e as permissões.
• O teu perfil (o separador «Eu»): nome, fotografia, nível de treinador, e número e validade da cédula. Vive na tua conta e não num clube. És tu que o escreves, e quem está contigo num clube pode vê-lo (a ficha do staff vai lá buscar a cédula).
• A tua gaveta: as táticas, pranchetas, exercícios e modelos de sessão que guardas como privados. Vai contigo de clube em clube, e só tu a vês: nem o administrador do clube lhe chega. Não leva atletas: nem nomes, nem números, nem notas sobre eles, só as posições no campo.
• Dados do clube, inseridos pelo staff ou importados de ficheiros do próprio clube (por exemplo, uma exportação de outra plataforma de gestão do clube ou uma folha de sócios):
  • dos atletas: nome, data de nascimento, género, nacionalidade, contactos, posição, número, pé ou mão dominante, altura e peso, estado (por exemplo, lesionado ou à experiência), presenças, minutos, golos e outros acontecimentos de jogo, avaliações, testes físicos, planos individuais, observações dos treinadores e o estado do consentimento de imagem;
  • da inscrição: o número federativo, o processo de inscrição na associação, e a validade e a apólice do seguro desportivo;
  • dos encarregados de educação: nome, contactos e relação com o atleta;
  • do staff: nome, função, contactos e, se o clube os puser, a data de nascimento e a fotografia;
  • dos sócios: número, nome, contactos, categoria, quotas e pagamentos;
  • da tesouraria: as mensalidades dos atletas e o que está pago, as despesas do clube e as encomendas da loja do clube (com o nome de quem encomendou);
  • dos jogadores de outras equipas, quando o treinador os regista ao observar um adversário ou no scouting: nome, número, posição e notas;
  • e ainda treinos, jogos, convocatórias, táticas, mensagens preparadas para as famílias, conteúdos e notícias para as redes sociais e para a página do clube, patrocinadores e documentos do clube;
  • os avisos fixados no topo do ecrã Hoje, que a administração, a direção, a coordenação técnica ou a secretaria escrevem para os membros do clube (o título, o texto, o prazo, a quem se destinam e quem os escreveu), e quem os marcou como lidos e quando.
• Dados de saúde, quando o clube os usa: exame médico desportivo, ficha clínica (antecedentes, alergias, ocorrências), lesões (zona do corpo e gravidade), sessões de fisioterapia e de massagem, bem-estar (sono, cansaço, dores, humor e stress), o diário do atleta (o mesmo bem-estar e dois hábitos: as refeições e os doces e bebidas com açúcar), composição corporal (altura, peso e, se o clube a medir, a percentagem de gordura), carga de treino e notas de psicologia.
• Dados de salvaguarda: contactos de emergência, a morada, NIF e número e validade do documento de identificação, a escola e o ano que o atleta frequenta e o acompanhamento escolar por período. Quem os vê está no ponto 3.2. A equipa de apoio da PlayMinder nunca vê nem os de saúde nem os de salvaguarda.
• O que as famílias escrevem no portal (ou na conta da família na app): os avisos de que o atleta não pode ir, a resposta sobre o esforço de um treino, o diário do atleta (quando o clube o pede e a família deu o consentimento do diário) e as assinaturas do termo de responsabilidade, da autorização de imagem, da autorização escola-clube e do consentimento do diário. Ver o ponto 3.1.
• O diário do atleta («Como está hoje?»): o sono, o cansaço, as dores, o humor e o stress, e as refeições e os doces e bebidas com açúcar. Cada linha é um número de 1 a 5, sem nenhum texto escrito. Escreve-o a família, no portal ou na conta da família na app. Só existe quando o clube o pede e, num menor, só depois de a família dar o consentimento do diário: sem ele, o servidor não guarda nada. As refeições e o açúcar não entram na média nem nos alertas do bem-estar. Vê-o quem no clube tem acesso aos dados de saúde do atleta.
• Endereços para avisos: para as notificações da app Android, o identificador do telemóvel de cada membro ou encarregado de educação com conta que as ligou; para os avisos às famílias pelo portal, o endereço técnico de notificações do browser de quem os pediu, ligado ao atleta (ou ao jogo) desse link. Para o lembrete antes do treino, o servidor guarda só que já o enviou (o clube, o treino, o atleta e a hora), para não o mandar duas vezes, e apaga essa marca ao fim de 14 dias.
• Dados de utilização mínimos: contadores diários de utilização de IA, por pessoa e por clube (números, sem conteúdo); e o endereço IP de quem faz pedidos ao portal das famílias e ao painel da operadora, contado na memória do servidor durante um minuto para travar abusos.
• Registo de quem leu dados sensíveis: quando alguém do clube abre a ficha clínica, a salvaguarda, as notas de psicologia ou um documento médico de um atleta, fica registado quem foi, o papel que tinha, o que abriu, de que atleta e quando. Só o administrador do clube vê este registo, e ninguém o pode alterar. Guarda-se 365 dias. Uma leitura feita sem rede pode não ficar registada.
• Pagamentos e faturas: ver o ponto 5.1.
• Registo de utilização e de erros: para saber que funcionalidades são realmente usadas e para corrigir falhas, guardamos o nome do acontecimento (por exemplo, "convocatória criada"), o papel de quem o fez, o clube e a data. Quando a app rebenta, guardamos também a mensagem de erro técnica. Nunca guardamos nomes de jogadores, notas médicas, nem o conteúdo de mensagens ou observações.

3.1. O que sai da app, e para onde

O clube pode partilhar algumas páginas por link, que se abrem sem conta nem palavra-passe. O único controlo de acesso é o próprio link, que não se consegue adivinhar: por isso é o clube que decide a quem o dá. Cada página mostra só o que está escrito aqui.

A regra dos nomes é uma só, em todas estas páginas, nos avisos e nos textos que a app prepara para publicar: o nome de um atleta do clube só aparece se a ficha dele tiver o consentimento de imagem dado, e se ele não estiver lesionado nem à experiência. Sem resposta da família não conta como um sim. Os atletas de outros clubes nunca aparecem pelo nome. O portal da família é a exceção, porque não é público: mostra o próprio atleta à família dele.

• Portal da família (um link por atleta): o nome, a equipa, a posição e o número do atleta, a fotografia (só com consentimento de imagem), os próximos jogos e treinos, a convocatória, os jogos, minutos e golos dele, as mensagens do clube para a família e as notas que o treinador marcou para a família ver.
• O portal também escreve. É a única porta por onde alguém de fora escreve para dentro do clube. Por ele, a família pode avisar que o atleta não pode ir a um jogo ou a um treino, com o motivo numa linha; dizer, de 1 a 10, o esforço que o atleta sentiu num treino de hoje ou de ontem; responder ao bem-estar do dia, só quando o clube o liga e sempre de forma opcional (sono, cansaço, dores, humor e stress, as refeições e os doces e bebidas com açúcar, e as perguntas do treino do clube, cada uma de 1 a 5, uma vez por dia e sem nenhum texto escrito), que só vê quem no clube tem acesso aos dados de saúde do atleta; e assinar o termo de responsabilidade e a autorização de imagem que o clube lhe apresenta, a autorização escola-clube e, quando o clube tem um psicólogo, o consentimento para o acompanhamento psicológico, que a família pode retirar na mesma página. Numa assinatura fica registado o nome de quem assina, o grau de parentesco, a decisão, a data e a versão do texto lido. A autorização de imagem assinada passa a ser o consentimento de imagem na ficha do atleta. Tudo isto entra nos dados do clube, e o clube é o responsável.
• Avisos às famílias. No portal, ou ligando as notificações na conta da família na app, a família pode receber avisos no telemóvel: quando o atleta é convocado, quando um jogo muda de data, hora ou campo, e o pedido para responder ao esforço de um treino. O aviso leva o nome do atleta e o jogo ou treino, e nunca avaliações, dados de saúde ou contactos.
• O lembrete antes do treino. Quando o clube pede o diário antes do treino, a família recebe no telemóvel um lembrete para responder, por omissão duas horas antes (o clube escolhe a hora, ou desliga-o). Leva só o primeiro nome do atleta e a hora do treino. Sai uma vez por atleta e por treino, nunca entre as 22:00 e as 08:00, e só a quem pode responder: não a quem já respondeu, avisou que falta, está lesionado ou indisponível, nem para um treino cancelado.
• Página da equipa: calendário, resultados, classificação, horário, próximos treinos e mensagens do clube para a equipa. Depois de o treinador fechar a convocatória do próximo jogo, mostra também o nome e o número de quem foi convocado, segundo a regra dos nomes; os restantes convocados aparecem só contados, sem nome.
• Resultados de um torneio: jogos, grupos, classificações, e os marcadores e assistentes do clube que cumprem a regra dos nomes, com a equipa. Os golos de todas as equipas contam para a classificação, mas nenhum atleta de outra equipa aparece pelo nome.
• Página do clube: o emblema, as cores, a apresentação do clube, as equipas com o próximo jogo e o último resultado, o campo, os contactos que o clube escreveu para esta página, as redes sociais, as notícias que o clube publicou, as quotas de sócio, os produtos da loja e os patrocinadores. Nunca mostra atletas nem pessoas do staff.
• Jogo ao vivo (um link por jogo): o adversário, o resultado, o minuto, e os golos e cartões com o minuto e o lado. O nome de quem marcou segue a regra dos nomes; sem ela, fica «Golo». Os golos do adversário nunca levam nome. Nunca mostra a convocatória, notas, avaliações ou dados de saúde.
• Avisos do jogo ao vivo. Quem abre a página do jogo pode pedir avisos no telemóvel: o início, o intervalo, os golos e o fim, com o resultado, o minuto e, com a mesma regra, o nome de quem marcou. Recebem-nos também, sem precisarem do link, as famílias que ligaram os avisos no portal e cujo atleta está convocado para esse jogo. Acabam quando o link do jogo acaba.
• O cartão do fim do jogo: ao apito final, a app pode desenhar uma imagem com o resultado, nas cores do clube, para o clube partilhar onde quiser. É o clube que a publica. Os nomes seguem a regra do jogo ao vivo, e o destaque do jogo só aparece com consentimento.
• Jogos com outros clubes. Se o administrador ligar esta opção, o nome, o emblema e a localidade do clube ficam visíveis a quem usa a PlayMinder, para outro clube o poder convidar para um jogo. Num jogo combinado assim, passam entre os dois clubes só a data, a hora, o campo, o escalão, a modalidade e o resultado que cada um registou. Nenhum dado de atletas passa de um clube para o outro.

3.2. Quem vê os dados de saúde e de salvaguarda, dentro do clube

Dentro do clube, cada pessoa vê o que o seu papel deixa, e o servidor confere-o em cada pedido: não é só o ecrã que esconde. Por omissão:

• quem administra o clube vê e altera tudo, menos as notas de psicologia, que não lê por omissão;
• a secretaria e o diretor de equipa veem e alteram a ficha clínica e a salvaguarda;
• a direção vê a salvaguarda mas não a altera, e não vê a ficha clínica; acompanha os atletas e o desportivo sem os criar, editar nem apagar, e trata do que é da administração do clube (quotas, patrocínios, comunicados, documentos);
• o coordenador técnico e o treinador leem a ficha clínica, para saberem quem pode jogar, mas não a alteram, e não veem a salvaguarda (nem a escola); o treinador vê só os atletas das equipas que lhe estão atribuídas;
• a Saúde (médico, fisioterapeuta, massagista, nutricionista) vê e altera a ficha clínica, e não vê as notas de psicologia nem a salvaguarda;
• o psicólogo do clube vê e escreve as notas de psicologia, vê a ficha clínica e o resto da saúde dos atletas sem os alterar, e não vê a salvaguarda nem o dinheiro; para acompanhar um atleta, o clube pede o consentimento da família no portal, e o psicólogo é avisado quando ainda não o há;
• a comunicação e o apoio da app não veem nem uma nem outra.

As notas de psicologia, por omissão, só as leem os psicólogos do clube: nem o resto da Saúde nem quem administra o clube as leem, e cada nota só a muda quem a escreveu. Quem administra pode dar ou tirar acesso a cada pessoa na ficha do membro (fica à vista na lista de membros), e o servidor respeita essa escolha.

Na ficha de cada atleta, quem administra o clube vê quem abriu a ficha clínica, a salvaguarda, as notas de psicologia e os documentos médicos desse atleta, e quando. A quem só lê a ficha clínica, um documento médico só se entrega depois de essa leitura ficar registada no servidor.

4. Finalidades e bases legais

• Prestar o serviço (sincronização, colaboração entre staff, geração de conteúdos, páginas partilhadas e avisos): execução do contrato com o clube ou contigo.
• O teu perfil e a tua gaveta: execução do contrato contigo.
• O que as famílias escrevem no portal e o que as páginas partilhadas mostram: tratamos por conta do clube, e a base legal é a do clube (por exemplo, o consentimento de imagem que a família dá). Os avisos no telemóvel só chegam a quem os pediu, e desligam-se no próprio browser.
• Segurança e prevenção de abuso (limites de utilização de IA e de pedidos ao servidor): interesse legítimo.
• Perceber que funcionalidades são usadas e corrigir falhas (registo de utilização e de erros): interesse legítimo. Podes opor-te, e nesse caso deixamos de registar para o teu clube.
• Cobrar e faturar os pacotes (pela Stripe e pelo Moloni): execução do contrato e cumprimento das obrigações fiscais. Ver o ponto 5.1.
• O registo de quem leu dados sensíveis: a segurança dos dados de saúde e de salvaguarda, que o RGPD pede. Tratamo-lo por conta do clube.
• O diário do atleta: o consentimento da família, que o clube pede no portal (ou em papel). A família retira-o no portal, quando quiser, e a partir daí o diário não guarda mais nada.
• Cumprimento de obrigações legais quando aplicável.

5. Onde ficam os dados e quem nos ajuda a tratá-los

• Supabase: base de dados, autenticação e armazenamento das fotografias, com os dados alojados na União Europeia (região de Paris). Protegida por regras de acesso por clube e por equipa (Row Level Security).
• PTisp: o servidor da aplicação, uma máquina virtual em Portugal. Serve a aplicação em app.playminder.pt e corre as funções de servidor: o portal das famílias e o que as famílias lá escrevem, os avisos às famílias e aos membros, as páginas partilhadas da equipa, do torneio, do clube e do jogo ao vivo, a ligação à IA e a eliminação de contas. Não guarda os dados do clube, que ficam na base de dados, com uma exceção: todas as noites guarda uma cópia de segurança das fotografias e dos documentos guardados na aplicação, só acessível à operadora, que se apaga ao fim de 14 dias. Para aguentarem muitas visitas, algumas páginas partilhadas ficam guardadas por pouco tempo na memória do servidor: a do clube até cinco minutos, a do jogo ao vivo alguns segundos. É também onde fica o correio do domínio, comercial@playminder.pt.
• Resend: envio dos emails da aplicação (confirmação de conta, recuperação da palavra-passe e o aviso de conta nova à operadora). Recebe endereços de email e o conteúdo desses emails.
• Google Firebase: só na app Android, entrega das notificações da aplicação aos telemóveis dos membros e dos encarregados de educação com conta que as ligaram. Recebe identificadores de dispositivo e o conteúdo de cada notificação.
• Stripe (Stripe Payments Europe, Limited, na Irlanda, e as empresas do grupo Stripe): os pagamentos dos pacotes, com cartão, MB WAY ou referência Multibanco, e a renovação das subscrições com cartão. É na página da Stripe que quem paga escreve os dados do cartão ou o número do MB WAY: esses dados ficam na Stripe, e a PlayMinder nunca os vê. A Stripe recebe também de nós o identificador do clube (numa compra a título pessoal, o identificador da conta de quem compra, e não o email), o que se compra, a modalidade e o valor. Avisa o nosso servidor quando um pagamento muda de estado (os webhooks), e o servidor guarda só o identificador e o tipo desse aviso. Nos pacotes, nada dos dados dos atletas, das famílias ou do clube passa pela Stripe. Quando um clube liga a sua conta Stripe para as famílias pagarem as mensalidades na app, o pagamento faz-se na conta Stripe do clube (é o clube que recebe), e a Stripe recebe de nós só o mês, o valor e identificadores internos do clube, da ficha do atleta, da quota e do pagamento, nunca o nome do atleta, a conta de quem paga nem dados de saúde. Nos pacotes, a Stripe trata estes dados por nossa conta para fazer o pagamento; nas mensalidades, trata-os por conta do clube, que é quem recebe. E, para os seus próprios fins (por exemplo, prevenir fraude e cumprir as regras dos pagamentos), como responsável autónoma, segundo a política de privacidade dela.
• Moloni (programa de faturação certificado, de uma empresa portuguesa): as faturas-recibo de cada pagamento, que a operadora passa em nome do clube ou de quem paga. Recebe o nome e o NIF de quem paga (sem NIF, a fatura sai em nome de consumidor final), e a morada, quando nos é dada, o que se pagou, o valor, a data e o meio de pagamento. Trata estes dados por nossa conta.
• Anthropic: apenas se o clube ativar as funcionalidades de IA. Nesse caso, o texto a reescrever e um resumo factual do contexto são enviados à API da Anthropic para gerar a resposta. Antes de o pedido sair do aparelho, os nomes das pessoas que a aplicação conhece (atletas, equipa técnica, famílias e sócios) são trocados por códigos (P1, S1, F1...), também dentro do que a pessoa escreveu à mão, e as palavras de saúde (lesão, doença, médico e outras) são tapadas da mesma maneira. Só o aparelho sabe desfazer os códigos quando a resposta chega, e essa tabela não é guardada nem enviada. O estado de um atleta lesionado ou em recuperação segue apenas como indisponível, sem o motivo, e o estado «precisa de atenção» não segue de todo. Os números de camisola também não saem: o resumo do contexto já não os leva, e os que vêm escritos no texto com o sinal de número (#10, n.º 10, camisola 10) são tapados como as palavras de saúde e voltam ao seu lugar no aparelho. Ao importar uma folha de sócios, e só para as colunas que a aplicação não conseguiu reconhecer sozinha, seguem o cabeçalho dessa coluna e a forma de até três valores dela (os algarismos trocados por 9 e as letras por a), sem o conteúdo, para a IA propor a que campo correspondem. Quando a IA escolhe exercícios para um treino, segue também a reflexão que o treinador escreveu sobre os últimos jogos, com os nomes de atletas que a aplicação conhece substituídos por [atleta]. Dados médicos e contactos de emergência nunca são enviados à IA. A chave de API usada é a do próprio clube. A exceção é o CoachMinder comprado a título pessoal: quando quem o comprou administra um espaço sem chave própria (o caso do treinador por conta própria), a sugestão de exercícios usa a chave da PlayMinder, com o mesmo envio descrito acima e um limite diário, e o custo é da PlayMinder.

Os avisos às famílias e os do jogo ao vivo seguem pelo serviço de notificações do browser de quem os pediu (o da Google, o da Apple ou o da Mozilla, conforme o browser). A mensagem vai cifrada de ponta a ponta, e esse serviço entrega-a sem a conseguir ler.

Entrar com a conta Google é uma escolha de quem entra. Nesse caso a Google confirma quem és e envia-nos o email e os dados básicos de perfil, como responsável autónoma, segundo os termos e a política de privacidade dela.

O recorte do jogador nos posters faz-se no teu aparelho. Na primeira vez que alguém o usa, a app descarrega o programa e o modelo que o fazem (cerca de 19 MB), do jsDelivr e da Google, e guarda-os no aparelho para as vezes seguintes. Nesse pedido vai só o endereço IP do aparelho, como em qualquer página da internet. A fotografia nunca sai do aparelho: nem para esses serviços, nem para nós.

5.1. Pagamentos

No site da PlayMinder (app.playminder.pt), quem administra o clube paga os pacotes pela Stripe, com cartão, MB WAY ou referência Multibanco, e quem compra o StatMinder ou o CoachMinder a título pessoal paga da mesma maneira. Com cartão, o plano renova sozinho até ser cancelado; com MB WAY ou Multibanco paga-se um período de cada vez, e ao clube a app mostra o pedido do mês seguinte. Quando a proposta ao clube o prevê, também se paga por transferência bancária.

Os dados do cartão nunca passam pela PlayMinder. Escrevem-se na página da Stripe, e ficam lá. Na aplicação fica só o registo de cada pagamento: o que se pagou, o meio (cartão, MB WAY ou Multibanco), o valor, o estado, as datas, os identificadores da Stripe e quem o pediu. Vê-o só quem administra o clube (numa compra a título pessoal, só quem comprou). Esse registo apaga-se quando o clube é eliminado (numa compra a título pessoal, quando a conta é apagada).

Cada pagamento dá uma fatura-recibo, passada pela operadora no Moloni, com o nome e o NIF do clube; numa compra a título pessoal, em nome de Consumidor final. As faturas guardam-se pelo tempo que a lei fiscal obriga, também depois de o clube sair da PlayMinder.

Hoje a PlayMinder não se vende em lojas de aplicações. Se um dia uma subscrição se comprar na Google Play, quem vende é a Google, que trata os dados de pagamento de quem comprou como responsável autónoma, e nada dos dados do clube passa pela loja. Esta política muda antes disso, para dizer o que a loja recebe.

5.2. Dados que saem do Espaço Económico Europeu

A base de dados, a autenticação e as fotografias ficam na União Europeia (Supabase, região de Paris), o servidor da aplicação e a cópia de cada noite das fotografias e dos documentos ficam numa máquina virtual em Portugal (PTisp), os emails da aplicação saem da região da Irlanda (Resend), os pagamentos fazem-se com a Stripe na Irlanda e as faturas com o Moloni, em Portugal. Há dois prestadores que tratam dados fora do Espaço Económico Europeu, nos Estados Unidos, e cada um recebe só o que a sua tarefa precisa:

• Anthropic: só se o clube ligar a IA, e só o que cada funcionalidade de IA envia, descrito no ponto 5. Dados médicos e contactos de emergência nunca.
• Google Firebase: as notificações da app Android dos membros. Recebe o identificador do telemóvel e o texto curto de cada aviso (uma linha, que diz de que se trata).

Estas transferências fazem-se ao abrigo do Quadro de Proteção de Dados UE-EUA, quando o prestador está certificado nesse quadro, ou das cláusulas contratuais-tipo aprovadas pela Comissão Europeia, que fazem parte dos acordos de tratamento de dados desses prestadores. Alguns prestadores que alojam os dados na União Europeia são empresas com sede nos Estados Unidos; se houver acesso a partir de lá, valem as mesmas garantias. É o caso da Stripe, que pode tratar os dados de pagamento noutras empresas do grupo, incluindo nos Estados Unidos, com os mecanismos de transferência previstos no acordo de tratamento de dados dela.

6. Retenção e eliminação

• As fotografias dos atletas são apagadas assim que o consentimento de imagem é retirado, quando o atleta é eliminado, ou quando o clube é eliminado.
• Os restantes dados na nuvem são mantidos enquanto a conta e o clube existirem. O clube apaga na app, a qualquer momento, os atletas, os jogos, as notas e os outros registos que lá põe.
• Um registo apagado na app deixa logo de aparecer em todos os aparelhos. O servidor guarda-o marcado como apagado durante 30 dias, para o clube poder recuperar um engano, e depois apaga-o de vez na limpeza que se faz todos os meses.
• Cada alteração guarda a versão anterior do registo, até às últimas 20, para se poder desfazer um engano. Quem pode ler o registo pode ler o seu passado, e mais ninguém. O passado de um registo apagado vai com ele.
• O registo de quem leu dados sensíveis guarda-se 365 dias e depois apaga-se na limpeza diária. As linhas de um atleta eliminado vão com ele, e as do clube vão quando o clube é eliminado.
• A marca de que o lembrete antes do treino já saiu apaga-se ao fim de 14 dias. O registo dos pagamentos na aplicação apaga-se com o clube (ou com a conta, numa compra a título pessoal); as faturas ficam no Moloni pelo tempo que a lei fiscal obriga.
• As cópias de segurança diárias da base de dados guardam-se durante 7 dias, no Supabase, na União Europeia. As fotografias e os documentos têm uma cópia de cada noite numa máquina virtual nossa em Portugal (PTisp), só acessível à operadora, que se guarda 14 dias e depois se apaga. Um dado apagado, incluindo uma fotografia apagada por o consentimento ter sido retirado, sai das cópias quando a última que o tinha caduca: até 7 dias depois na base de dados, até 14 dias depois nas fotografias e nos documentos.
• Podes apagar a tua conta dentro da app, em Definições, Zona de perigo, Conta na nuvem, «Apagar a minha conta». Isso elimina o teu acesso, as tuas associações a clubes, o teu perfil, a tua gaveta e os teus dados pessoais na nuvem, e apaga também os dados do aparelho; se fores o único membro de um clube, os dados desse clube na nuvem são também eliminados.
• Os dados locais no dispositivo podem ser limpos em Definições, Zona de perigo, ou desinstalando a app.
• Os links partilhados não duram todos o mesmo, porque não mostram todos o mesmo. O do portal da família, o da equipa e o dos resultados de um torneio caducam ao fim de 180 dias. O do jogo ao vivo caduca 12 horas depois do fim previsto do jogo (e nunca antes de seis horas depois de ser criado). O da página do clube não caduca, porque é feito para ficar no site ou nas redes do clube e não leva ninguém pelo nome.
• Há sempre só um link ativo por atleta, por equipa, por torneio, por jogo e por clube: gerar um novo desativa o anterior. O do atleta, o da equipa, o do clube e o do jogo ao vivo também se podem desligar sem gerar outro, no ecrã onde foram criados. Os avisos pedidos no portal deixam de ser enviados quando o link do atleta é desligado ou caduca.
• A presença do clube na lista de «Jogos com outros clubes» termina quando o administrador desliga a opção. Os jogos combinados com outros clubes apagam-se, dos dois lados, quando um dos clubes é eliminado.
• Para apagar da nuvem o clube inteiro, basta o clube pedi-lo por email para o contacto acima. Também podes pedir por email a eliminação dos teus dados. Os dois caminhos, dentro da app e por email, com os prazos, estão explicados em Apagar a conta e os dados.

7. Os teus direitos

Nos termos do RGPD, tens direito de acesso, retificação, eliminação, limitação, portabilidade e oposição. Quando os dados são de um clube (por exemplo, os de um atleta), o pedido faz-se ao clube, que é o responsável, e nós ajudamo-lo a responder; se nos escreveres diretamente, encaminhamos o pedido para o clube. A app inclui a exportação dos dados em Definições, Os dados: uma cópia de segurança completa (JSON) e todos os dados em CSV ou em Excel. A exportação leva o que a pessoa vê na app, e depende da permissão de exportar que o clube lhe deu. Para responder ao pedido de um atleta ou da família, a ficha de cada atleta tem «Exportar os dados deste atleta (RGPD)»: um ficheiro com tudo o que existe sobre esse atleta e que quem exporta pode ver, com uma nota a explicar cada parte e o que ficou de fora. Fica registado que a exportação foi feita. Podes também apresentar reclamação à Comissão Nacional de Proteção de Dados (cnpd.pt).

8. Segurança

Acesso por clube e por equipa isolado com regras de segurança na base de dados; permissões conferidas no servidor em cada pedido; chaves e segredos guardados apenas no servidor (nunca no browser); a chave de IA do clube é gravada de forma a não poder ser lida de volta pela aplicação; limite de pedidos por minuto no servidor; comunicações sobre HTTPS, com o browser obrigado a não voltar a usar ligações sem cifra (HSTS).

8.1. Acesso de apoio

Para a equipa de apoio da PlayMinder ver os dados do teu clube dentro da aplicação, é preciso que o clube o autorize. Não é uma promessa: é uma regra na própria base de dados. Um administrador do clube autoriza em Definições, «Apoio da app», quando pede ajuda com um problema que exija olhar para os dados. Sem essa autorização, a entrada é recusada pelo servidor.

Quando autorizas, o acesso que se abre é o mínimo:

• Só leitura. Nada do que a equipa de apoio escreva entra nos dados do clube.
• Sem dados sensíveis. Os dados de saúde e de salvaguarda (fichas clínicas, notas de psicologia, contactos de emergência, moradas, documentos de identificação, escola) ficam fechados ao acesso de apoio.
• Sem fotografias de atletas. O cofre das fotografias exige consentimento na ficha e pertença ao clube; o acesso de apoio não o abre.
• Com hora marcada. Escolhes tu quanto tempo dura (4 horas, 8 horas ou um dia). O acesso caduca sozinho, sem depender de alguém se lembrar de o encerrar.
• Revogável a qualquer momento. Podes fechar o acesso no mesmo ecrã, e se houver uma sessão a decorrer termina nesse instante.
• À vista do clube. Cada entrada e saída aparece no ecrã Atividade da app, com o dia, a hora e quem foi, visível a qualquer membro do clube.

Se nunca autorizares, nunca há acesso de apoio. Nesse caso, o apoio a problemas que exijam ver os dados passa a depender do que nos conseguires mostrar (por exemplo, fotografias do ecrã).

À parte do acesso de apoio, quem opera o serviço tem, como em qualquer serviço alojado, acesso técnico de administração à base de dados. Usa-o para manter o serviço a funcionar, para cumprir pedidos do próprio clube (por exemplo, entregar-lhe uma cópia dos dados da estrutura e da operação do clube, ou apagá-los) e para números agregados sobre o uso do serviço (quantos atletas, equipas ou jogos tem cada clube, por exemplo), que não mostram o conteúdo de nenhuma ficha. A cópia que a equipa de apoio tira a pedido do clube só se faz com o pedido do clube escrito, fica registada com a data e quem a tirou, e não inclui os dados de saúde nem os de salvaguarda, nem os contactos das famílias, o dinheiro e as notas sobre pessoas: a cópia completa tira-a o próprio clube na aplicação.

A certificação FPF não se calcula a partir dos dados do clube. Para acompanhar em que ponto está cada clube, quem opera o serviço vê apenas um resumo que a própria app do clube calcula, no aparelho do administrador ou do coordenador técnico, e envia: a percentagem, as contagens de evidências prontas, em curso e por começar, e as mesmas contagens por critério. Não leva nomes, nem fichas, nem dados de pessoa nenhuma.

9. Alterações a esta política

Se alterarmos esta política de forma relevante, mudamos a versão e a data no topo, e a app volta a pedir ao administrador de cada clube que aceite a versão nova.