1. Âmbito desta política
Esta política aplica-se ao website institucional do Kitflow, à entrada dos clientes e à infraestrutura da aplicação disponibilizada pela FlowScale. Cada clube dispõe ainda de uma página pública própria, cuja política identifica o clube responsável pelos dados dos seus utilizadores e atletas.
O Kitflow destina-se à gestão de contas, atletas, épocas, escalões, equipamentos, pedidos, pagamentos, comprovativos, entregas e comunicações operacionais.
2. Quem é responsável pelos dados
O clube
O clube decide por que motivo e de que forma utiliza os dados dos seus utilizadores, atletas e pedidos. Para esses tratamentos, o clube é, em regra, o responsável pelo tratamento.
FlowScale
A FlowScale fornece e mantém o Kitflow e trata esses dados por conta do clube, segundo instruções documentadas, atuando em regra como subcontratante.
A FlowScale atua autonomamente como responsável pelo tratamento apenas relativamente aos dados necessários para gerir clientes, contratos, faturação, suporte, segurança da plataforma, prevenção de abuso e cumprimento de obrigações legais.
3. Dados que podem ser tratados
- Clientes e administradores: nome do clube, identidade visual, contactos, nome, e-mail, utilizador, permissões e histórico de ações administrativas.
- Contas de utilizadores: nome, e-mail, contacto telefónico, estado da conta, aceitação dos termos e definições de segurança.
- Atletas: nome, associação à conta, época, escalão, tamanho habitual, número de camisola, progressões e reservas.
- Pedidos e pagamentos: artigos, tamanhos, quantidades, motivos ou notas facultativas, valores, estado do pedido, modalidade de pagamento e comprovativos enviados.
- Comunicações: destinatário, conteúdo e estado de mensagens operacionais, incluindo recuperação de acesso e autenticação de dois fatores.
- Pedidos de adesão e contacto: nome, clube ou organização, e-mail, telefone facultativo, mensagem enviada através do formulário institucional e endereço IP utilizado para prevenção de abuso.
- Segurança e utilização: endereço IP, agente do navegador, tentativas de entrada, identificadores de sessão, registos de auditoria, datas e informação técnica de erros.
- Ficheiros: logótipo e imagem de capa do clube, bem como fotografias de comprovativos. Um comprovativo pode conter informação adicional que a pessoa decidiu incluir na imagem.
4. Finalidades e fundamentos
| Finalidade | Fundamento aplicável |
|---|---|
| Disponibilizar contas, pedidos, pagamentos, notificações e apoio ao cliente | Execução do contrato e diligências pré-contratuais |
| Responder a pedidos de informação ou adesão enviados no website | Diligências pré-contratuais solicitadas pelo titular e interesse legítimo em responder ao contacto |
| Faturação, contabilidade e resposta a autoridades | Cumprimento de obrigações legais |
| Segurança, auditoria, prevenção de abuso e defesa de direitos | Interesse legítimo na proteção da plataforma e dos seus utilizadores |
| Tratamentos determinados pelo clube relativos a atletas e utilizadores | Fundamento definido e documentado pelo clube, conforme a finalidade concreta |
O Kitflow não utiliza os dados para publicidade comportamental, não comercializa bases de contactos e não toma decisões exclusivamente automatizadas com efeitos jurídicos sobre os titulares.
5. Partilha, alojamento e subcontratantes
O acesso é limitado ao próprio utilizador, aos administradores autorizados do respetivo clube e às pessoas da FlowScale que necessitem de intervir na operação, segurança ou suporte da plataforma.
Os dados podem ser tratados por fornecedores de alojamento, base de dados, cópias de segurança, envio de e-mail e suporte técnico, exclusivamente na medida necessária para prestar o serviço. Está prevista a utilização de infraestrutura OVHcloud e do fornecedor SMTP configurado pela plataforma. A localização contratada dos serviços e as garantias aplicáveis devem ser confirmadas antes da entrada em produção.
Não são efetuadas transferências internacionais sem um fundamento válido e garantias adequadas previstas no RGPD. Qualquer alteração material de subcontratante deve ser gerida nos termos do contrato de tratamento de dados celebrado com o clube.
6. Conservação
Os dados são conservados durante a vigência da conta e pelo período necessário à gestão dos pedidos, ao cumprimento de obrigações legais, à resolução de litígios e à segurança da plataforma. O clube deve definir e documentar prazos adequados para os dados de atletas, contactos, pedidos e comprovativos sob a sua responsabilidade.
Os contactos institucionais e pedidos de adesão são mantidos apenas durante o período necessário para responder, acompanhar a proposta e cumprir obrigações pré-contratuais ou legais aplicáveis.
Quando a prestação do serviço terminar, os dados tratados por conta do clube serão devolvidos ou eliminados de acordo com o contrato, as instruções válidas do clube e os prazos técnicos de remoção, salvo quando a lei imponha conservação adicional.
7. Segurança
O Kitflow aplica medidas técnicas e organizativas proporcionais ao risco, incluindo separação lógica por clube, permissões por função, proteção contra pedidos forjados, limitação de tentativas de entrada, sessões protegidas, registos de auditoria, ficheiros de comprovativos fora da pasta pública e comunicação HTTPS obrigatória em produção.
As palavras-passe de utilizadores e administradores são guardadas através de hashing unidirecional, não sendo armazenadas em texto simples nem podendo ser recuperadas pela aplicação. Segredos técnicos, como a palavra-passe SMTP, são cifrados com a chave privada da aplicação. Os comprovativos válidos são reprocessados e guardados em WebP numa área privada.
Nenhum sistema pode prometer segurança absoluta. A proteção também depende da configuração correta da hospedagem, da atualização do software, de cópias de segurança, do controlo de acessos e das práticas de cada clube e utilizador.
8. Cookies e armazenamento local
São utilizados apenas cookies técnicos indispensáveis à sessão, autenticação e segurança. Estes elementos são necessários para prestar o serviço e não podem ser desativados pela aplicação sem impedir funcionalidades essenciais. O navegador pode ainda guardar preferências estritamente funcionais, incluindo a confirmação de leitura do aviso, o estado do menu ou a posição temporária da página. Por defeito, não existem cookies publicitários, perfis de marketing ou ferramentas de análise de terceiros.
9. Menores
Os clubes devem prestar informação adequada à idade e confirmar a legitimidade de quem introduz dados de menores. Quando o tratamento de dados de uma criança se basear no consentimento para uma oferta direta de serviços da sociedade da informação, aplicam-se as regras de consentimento parental previstas no RGPD e na lei portuguesa. A plataforma não substitui essa verificação pelo clube.
10. Direitos dos titulares
Consoante o caso, pode exercer os direitos de informação, acesso, retificação, apagamento, limitação, oposição e portabilidade, bem como retirar consentimento quando este seja o fundamento utilizado.
Pedidos relativos a atletas, contas, pedidos ou comprovativos de um clube devem ser dirigidos primeiro ao contacto de privacidade apresentado na página desse clube. A FlowScale prestará ao clube a assistência tecnicamente possível. Pedidos relativos à relação direta com a FlowScale podem ser enviados através do contacto abaixo.
Existe ainda o direito de apresentar uma participação à Comissão Nacional de Proteção de Dados.
11. Contactos
FlowScale
Privacidade: geral@flowscale.pt