1. Um compromisso partilhado
A proteção de dados não depende apenas do software ou da empresa de alojamento. Resulta da combinação entre tecnologia segura, configuração correta, contratos adequados, pessoas autorizadas e utilização responsável da informação.
O Kitflow foi preparado para apoiar o cumprimento do RGPD, mas a sua utilização não torna automaticamente um clube conforme. Cada organização deve avaliar as suas finalidades, fundamentos, riscos, prazos e procedimentos.
2. Matriz de responsabilidades
| Interveniente | Papel habitual | Responsabilidades principais |
|---|---|---|
| Clube | Responsável pelo tratamento | Define finalidades e fundamentos; informa titulares; minimiza dados; gere acessos, conservação, direitos e utilização posterior dos contactos. |
| FlowScale | Subcontratante do clube | Opera e protege o Kitflow; segue instruções documentadas; assegura confidencialidade; presta assistência; gere subcontratantes e incidentes. |
| OVHcloud e SMTP | Subcontratantes ulteriores, conforme o serviço contratado | Alojamento, armazenamento, rede e envio de e-mail nos limites contratuais, sob deveres de segurança e proteção de dados. |
| Utilizador | Titular e utilizador autorizado | Fornece dados corretos, protege as credenciais e evita carregar informação ou ficheiros desnecessários. |
3. Tratamento realizado por conta do clube
- Objeto
- Disponibilização, alojamento, suporte, manutenção, segurança e comunicação da plataforma Kitflow.
- Duração
- Vigência do contrato e período posterior necessário à devolução ou eliminação segura, sem prejuízo de conservação legal.
- Natureza
- Recolha, registo, organização, consulta, alteração, comunicação operacional, armazenamento, exportação instruída e eliminação.
- Finalidade
- Gestão de utilizadores, atletas, equipamentos, épocas, escalões, pedidos, pagamentos, comprovativos, entregas, notificações e auditoria.
- Titulares
- Administradores do clube, utilizadores registados, encarregados, atletas — incluindo menores — e pessoas associadas aos pedidos.
- Dados
- Identificação e contactos, credenciais protegidas, dados desportivos e de equipamento, pedidos, valores e comprovativos, comunicações e registos técnicos.
Estes elementos devem ser completados pelas condições particulares e pelo acordo escrito de tratamento de dados celebrado com cada clube.
4. Compromissos da FlowScale
- Tratar dados pessoais apenas segundo instruções documentadas do clube, salvo obrigação legal.
- Garantir deveres de confidencialidade às pessoas autorizadas.
- Aplicar e rever medidas técnicas e organizativas adequadas ao risco.
- Não vender os dados, não criar perfis publicitários e não utilizar contactos dos clubes para finalidades próprias incompatíveis.
- Prestar assistência tecnicamente razoável em pedidos de direitos, avaliações de risco e cumprimento de obrigações.
- Comunicar ao clube, sem demora injustificada, uma violação de dados pessoais de que tome conhecimento.
- Manter informação necessária para demonstrar o cumprimento e permitir verificações nos termos acordados.
- Devolver ou eliminar os dados no final do serviço, segundo a escolha e instruções válidas do clube, salvo conservação imposta por lei.
5. Compromissos do clube
- Garantir que as instruções dadas à FlowScale e os tratamentos realizados através do Kitflow são lícitos.
- Informar claramente utilizadores, atletas e representantes legais sobre o tratamento.
- Escolher um fundamento adequado para cada finalidade e não apresentar a política de privacidade como substituto de consentimento quando este seja necessário.
- Limitar o acesso a pessoas que realmente necessitem dos dados e rever regularmente as permissões.
- Não copiar, exportar ou reutilizar contactos para publicidade ou cedência a terceiros sem fundamento legal autónomo.
- Definir prazos de conservação e eliminar dados que deixem de ser necessários, respeitando obrigações legais e direitos de terceiros.
- Manter registos de atividades de tratamento e avaliar se necessita de encarregado de proteção de dados ou avaliação de impacto.
6. Medidas de segurança
Acesso
Palavras-passe com hashing, alteração obrigatória no primeiro acesso, 2FA opcional por e-mail, limitação de tentativas e sessões protegidas.
Isolamento
Dados separados por cliente, validação do clube em operações sensíveis e permissões administrativas por função.
Aplicação
Proteção CSRF, políticas de conteúdo, validação de entradas, erros técnicos ocultos em produção e registos de auditoria.
Ficheiros
Comprovativos fora da pasta pública, autorização antes da consulta, validação real da imagem, regravação WebP e nomes aleatórios.
Comunicação
HTTPS obrigatório em produção, cookies de sessão protegidos e SMTP autenticado com negociação segura conforme a porta.
Operação
Segredos fora do código, ambiente de produção sem depuração, atualizações, cópias de segurança e resposta a incidentes.
A adequação final depende do plano de alojamento contratado, da localização escolhida, da configuração do servidor e das rotinas operacionais mantidas pela FlowScale e pelo clube.
7. Incidentes e violações de dados
Qualquer pessoa ou clube que detete acesso indevido, perda, divulgação, alteração ou indisponibilidade de dados deve comunicar o incidente imediatamente. A FlowScale analisa e contém o incidente, preserva evidências e informa os clubes afetados sem demora injustificada.
Cabe ao clube, enquanto responsável pelo tratamento, avaliar o risco e decidir sobre a notificação à CNPD e aos titulares. Quando aplicável, a notificação à autoridade deve ocorrer sem demora injustificada e, sempre que possível, até 72 horas após o conhecimento da violação. A FlowScale presta a informação e assistência disponíveis.
8. Direitos e pedidos
Os direitos exercem-se junto do responsável pelo tratamento. Assim, pedidos sobre dados inseridos por um clube devem ser dirigidos a esse clube. O Kitflow permite consultar e corrigir parte da informação, e a FlowScale auxiliará o clube quando for necessária intervenção técnica adicional.
Se o pedido disser respeito a dados tratados diretamente pela FlowScale para contratação, faturação, suporte ou segurança, deve ser utilizado o contacto institucional indicado na Política de Privacidade.
9. Menores
Os dados de atletas menores exigem especial cuidado. O clube deve aplicar linguagem clara, recolher apenas o necessário e envolver quem exerce as responsabilidades parentais sempre que a lei ou o contexto o exija. Em Portugal, quando uma oferta direta de serviços da sociedade da informação se baseia no consentimento, a criança pode consentir a partir dos 13 anos; abaixo dessa idade é necessária autorização dos representantes legais.
10. Alojamento e fornecedores
A utilização de OVHcloud acrescenta medidas e compromissos próprios do fornecedor, mas não substitui as obrigações do cliente do alojamento nem as do clube. Antes da publicação devem ser confirmados o produto contratado, região dos dados, condições de subcontratação, acordo de tratamento de dados, cópias de segurança, atualizações e acessos ao painel.
O mesmo princípio aplica-se ao fornecedor de e-mail: devem ser verificadas localização, segurança, retenção e condições RGPD antes de ativar o SMTP com dados reais.