Política de Privacidade

O responsável pelo tratamento é Rodrigo Costa, pessoa singular estabelecida em Portugal, que explora o serviço ALKMIA. Para qualquer questão relativa a dados pessoais: privacidade@alkmia.app

O responsável não está obrigado a designar um Encarregado de Proteção de Dados nos termos do artigo 37.º do RGPD. As comunicações são tratadas pelo endereço acima.

São tratadas as seguintes categorias:

Os dados de saúde e de bem-estar são categorias especiais na aceção do artigo 9.º do RGPD e só são tratados com o seu consentimento explícito, que pode retirar a qualquer momento.

Fornecer os dados de identificação e de treino é necessário para a prestação do serviço; sem eles a conta não pode funcionar. Já os dados de saúde, de bem-estar e as fotografias são facultativos — recusá-los ou retirar o consentimento desativa as funcionalidades que dependem deles, sem afetar as restantes.

Os seus dados não são vendidos nem cedidos para fins de marketing. São comunicados apenas às seguintes entidades, e apenas na medida necessária:

• Supabase, Inc. — Base de dados, autenticação e armazenamento de ficheiros

  Estados Unidos
• Vercel, Inc. — Alojamento da aplicação

  Estados Unidos
• Anthropic, PBC — Geração de planos e análises (Claude). Recebe o conteúdo necessário à tarefa, sem dados de identificação direta

  Estados Unidos
• Stripe, Inc. — Processamento de pagamentos e gestão da assinatura

  Estados Unidos e Irlanda
• Strava, Inc. — Importação de atividades — só se ligar a sua conta Strava, e só enquanto a mantiver ligada

  Estados Unidos
• Functional Software, Inc. (Sentry) — Registo e diagnóstico de erros da aplicação

  Estados Unidos
• GitHub, Inc. — Guarda as cópias de segurança da base de dados, cifradas antes de saírem (não tem a chave para as ler)

  Estados Unidos
• Cloudflare, Inc. (R2) — Guarda as cópias de segurança das fotografias de progresso, cifradas antes de saírem (não tem a chave para as ler)

  Estados Unidos

A ligação ao Strava é iniciada por si e pode ser desfeita a qualquer momento em Configurações → Integrações. Depois de desligada, deixam de ser importadas atividades novas.

A base de dados está alojada na região da União Europeia (Irlanda). Ainda assim, algumas das entidades do ponto 4 estão sediadas nos Estados Unidos e podem aceder a dados a partir daí. Essas transferências assentam nos mecanismos do Capítulo V do RGPD — cláusulas contratuais-tipo aprovadas pela Comissão Europeia e, quando aplicável, a decisão de adequação relativa ao Quadro de Privacidade de Dados UE–EUA.

• Enquanto a conta existir, os dados são conservados para prestar o serviço.
• Ao apagar a conta, os dados de treino, de saúde, de localização e as fotografias são eliminados, bem como os dados de identificação.
• Os registos de consentimento sobrevivem ao encerramento da conta, por decisão expressa: são a prova, exigida pelo artigo 7.º, n.º 1, de que o consentimento existiu. Não contêm dados de treino nem de saúde. São conservados durante cinco anos após o encerramento da conta, o prazo em que essa prova pode ser pedida, e depois são eliminados.
• As cópias de segurança são cifradas e guardadas fora da aplicação. Uma eliminação só se propaga às cópias no ciclo de rotação seguinte.
• Uma sessão sem atividade durante 30 dias é terminada, e com ela são eliminados o endereço IP e o agente do navegador que registava. Os registos de eventos de autenticação (entradas, saídas, alterações de palavra-passe), que podem conter o endereço IP, são eliminados ao fim de 90 dias.
• Os registos exigidos por lei fiscal são conservados pelo prazo legal aplicável.

Os planos de treino são gerados com apoio de sistemas automáticos, mas não são tomadas decisões exclusivamente automatizadas que produzam efeitos jurídicos ou que o afetem de modo similarmente significativo, na aceção do artigo 22.º do RGPD. As sugestões são recomendações de treino e pode ignorá-las, alterá-las ou desativá-las.

Nos termos dos artigos 15.º a 22.º do RGPD, assistem-lhe os direitos de:

Retirar o consentimento faz-se diretamente na aplicação, em Configurações → Segurança, com efeito imediato. Aceder aos dados, exportá-los ou apagar a conta faz-se em Meus Dados. Os restantes direitos exercem-se pelo endereço privacidade@alkmia.app.

O pedido é respondido no prazo de um mês. Esse prazo pode ser prorrogado até dois meses adicionais quando o pedido for complexo, caso em que será informado da prorrogação e dos seus motivos no primeiro mês (artigo 12.º, n.º 3).

Se entender que o tratamento viola a lei, pode reclamar junto da Comissão Nacional de Proteção de Dados (CNPD), a autoridade de controlo portuguesa — www.cnpd.pt.

• Comunicações cifradas em trânsito (HTTPS obrigatório)
• Palavras-passe guardadas apenas como resumo criptográfico, nunca em texto simples
• Chaves de acesso opcionais (WebAuthn): o ALKMIA guarda apenas a chave pública; a biometria fica no dispositivo
• Verificação em dois passos opcional, com uma app autenticadora. Quando está ativa, é a própria base de dados que recusa o acesso aos seus registos até o código ser confirmado
• Sessões inativas terminadas ao fim de 30 dias
• Cookies de sessão com HttpOnly, Secure e SameSite=Lax
• Segurança ao nível da linha na base de dados (RLS): cada pessoa alcança apenas os seus próprios registos, e a regra é aplicada pela base e não pela aplicação
• Escritas de dados de saúde recusadas pela própria base sem consentimento em vigor
• Limitação de cadência nas APIs
• Cabeçalhos de segurança no servidor, incluindo CSP, HSTS, X-Frame-Options e isolamento de janelas (COOP)
• Cópias de segurança cifradas com chave assimétrica, guardadas fora da aplicação

Nenhum sistema é infalível. Em caso de violação de dados pessoais que implique risco elevado para os seus direitos, será notificado nos termos do artigo 34.º do RGPD, e a autoridade de controlo no prazo de 72 horas.

O ALKMIA guarda no seu navegador apenas o que é estritamente necessário ao serviço ou o que o próprio utilizador escolheu:

Não são utilizados cookies nem armazenamento de publicidade, de rastreio entre sítios ou de estatísticas de terceiros. Por serem estritamente necessários ao funcionamento do serviço, ou guardarem uma escolha feita pelo próprio utilizador, não dependem de consentimento prévio. Pode apagá-los a qualquer momento nas definições do navegador; nesse caso, a sessão termina e as preferências voltam ao padrão.

O serviço não se destina a menores de 18 anos e não são recolhidos dados de menores de forma intencional. Se for detetada uma conta de um menor, será eliminada juntamente com todos os dados associados.

As alterações que ampliem as finalidades do tratamento são comunicadas com pelo menos 30 dias de antecedência e exigem novo consentimento antes de produzirem efeito. As alterações de redação — como a correção ou o detalhe de informação já prestada — são publicadas com nova versão e data, sem exigir nova aceitação.

Cada consentimento fica registado contra a versão em vigor no momento em que foi dado. A versão contra a qual consentiu está visível em Configurações → Segurança. Versões anteriores são facultadas mediante pedido.

• Correio eletrónico: privacidade@alkmia.app
• Portal de dados: alkmia.app/meus-dados
• Autoridade de controlo: Comissão Nacional de Proteção de Dados