Política de privacidade

Última atualização: 2026-08-27

Esta Política de privacidade explica que dados pessoais o Arrowdex trata, com que finalidades, com quem são partilhados e como pode exercer os seus direitos ao abrigo do Regulamento Geral sobre a Proteção de Dados da UE (RGPD) e da Lei Federal Alemã de Proteção de Dados (BDSG).

Esta política aplica-se à aplicação móvel Arrowdex (Android, iOS) e ao backend do Arrowdex acessível em https://api.arrowlab.pott.dev.

1. Responsável pelo tratamento

Responsável na aceção do art. 4.º, n.º 7 do RGPD e do § 18, n.º 2 MStV:

Johannes Ptaszyk
Gladbecker Str. 291
46240 Bottrop, Alemanha
E-mail: contact@pott.dev

Não existe um encarregado da proteção de dados legalmente exigido: o responsável situa-se abaixo do limiar do § 38, n.º 1 BDSG. Para qualquer questão relativa à proteção de dados, contacte o endereço acima.

2. Que dados tratamos

Não tratamos categorias especiais de dados pessoais (art. 9.º do RGPD: saúde, dados biométricos, religião, opiniões políticas).

É obrigado a fornecer estes dados? Os dados da conta e os dados de treino que introduz são necessários para a execução do contrato: sem eles não podemos disponibilizar conta nem sincronização. Não existe obrigação legal de os fornecer, mas sem conta o Serviço não pode ser utilizado. Tudo o que na secção 3 é indicado como assente no consentimento — estatísticas, registo alargado, meteorologia, notificações, partilha com clubes e treinadores — é totalmente voluntário, e a recusa não tem outra consequência além de essa funcionalidade não funcionar.

Decisões automatizadas. Não utilizamos decisões automatizadas que produzam efeitos jurídicos na sua esfera ou que o afetem de modo similarmente significativo (art. 22.º do RGPD), nem realizamos definição de perfis. As estatísticas apresentadas pela aplicação são calculadas a partir dos seus próprios registos e não produzem efeitos jurídicos.

3. Porque os tratamos: finalidades e fundamentos jurídicos

4. Subcontratantes e destinatários

4.1 Subcontratantes (art. 28.º do RGPD)

Estes fornecedores tratam os dados exclusivamente segundo as nossas instruções. Com cada um deles existe um contrato de subcontratação.

4.2 Responsáveis autónomos

As entidades seguintes não são nossos subcontratantes. Determinam por si as finalidades e os meios, respondem por esse tratamento a título próprio e a ele aplicam-se as respetivas políticas de privacidade. Não temos controlo sobre esse tratamento nem podemos responder em seu nome a pedidos dos titulares dos dados.

4.3 Sem transmissão de dados pessoais

O pedido meteorológico ao MET Norway não constitui uma relação de subcontratação nos termos do art. 28.º do RGPD nem uma transmissão de dados pessoais: não é transmitido qualquer identificador pessoal, apenas um par de coordenadas opaco com 4 casas decimais e um agente de utilizador genérico. O MET Norway não consegue associar o pedido à sua conta ou ao seu dispositivo.

5. Transferências para países terceiros

Alguns subcontratantes estão sediados fora do Espaço Económico Europeu:

• Suíça (Zitadel Cloud): a Comissão Europeia reconheceu que a Suíça assegura um nível adequado de proteção de dados (art. 45.º do RGPD).
• Estados Unidos (RevenueCat, Apple, Google): as transferências baseiam-se no Quadro de Privacidade de Dados UE-EUA (decisão de adequação de 10-07-2023, art. 45.º do RGPD) quando o destinatário está certificado, ou, subsidiariamente, nas cláusulas contratuais-tipo nos termos do art. 46.º, n.º 2, al. c) do RGPD.
• A Grafana Labs é uma sociedade constituída nos EUA, mas a infraestrutura que utilizamos está alojada na UE (Frankfurt) e os dados permanecem aí. A qualquer acesso a partir da empresa-mãe aplicam-se as mesmas garantias acima referidas.

Pode solicitar uma cópia das cláusulas contratuais-tipo escrevendo para o endereço do responsável indicado na secção 1.

6. Durante quanto tempo conservamos os dados

7. Os seus direitos

Nos termos dos arts. 15.º a 22.º do RGPD assistem-lhe os seguintes direitos. Para os exercer, escreva para contact@pott.dev ou utilize os caminhos indicados na aplicação. Respondemos no prazo de um mês (art. 12.º, n.º 3 do RGPD).

• Direito de acesso (art. 15.º): solicitar uma cópia dos seus dados. Na aplicação: Perfil → Exportar dados da conta.
• Direito de retificação (art. 16.º): corrigir dados inexatos. Na aplicação: Perfil → Editar nome apresentado; para outros campos, escreva-nos.
• Direito ao apagamento (art. 17.º): na aplicação, Perfil → Eliminar conta (confirmação escrevendo o e-mail).
• Direito à limitação (art. 18.º): limitar o tratamento enquanto decorrer um litígio.
• Direito à portabilidade (art. 20.º): receber os seus dados num formato legível por máquina (JSON). Na aplicação: Perfil → Exportar.
• Direito de oposição (art. 21.º): opor-se ao tratamento baseado no interesse legítimo. Na aplicação: revogar o consentimento em Perfil → Configurações de Privacidade, ou escrever-nos.
• Direito de retirar o consentimento (art. 7.º, n.º 3): para qualquer tratamento baseado no consentimento. Na aplicação: Perfil → Configurações de Privacidade. A retirada não afeta a licitude do tratamento anterior.
• Direito de apresentar reclamação junto de uma autoridade de controlo (art. 77.º): a autoridade competente para o responsável é:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4
40213 Düsseldorf, Alemanha
poststelle@ldi.nrw.de

O seu direito de oposição — leia com atenção

Tem o direito de se opor a qualquer momento, por motivos relacionados com a sua situação particular, ao tratamento dos seus dados pessoais baseado no art. 6.º, n.º 1, al. f) do RGPD (interesse legítimo). Isso abrange a deteção de falhas e erros, a telemetria do backend e os nossos registos de segurança e de acesso.
Em caso de oposição, deixaremos de tratar os seus dados para essas finalidades, salvo se pudermos demonstrar motivos legítimos imperiosos que prevaleçam sobre os seus interesses, direitos e liberdades, ou se o tratamento se destinar à declaração, ao exercício ou à defesa de um direito num processo judicial.
A oposição não está sujeita a forma e é gratuita. Dirija-a para contact@pott.dev.

8. Gestão do consentimento e armazenamento no dispositivo

A aplicação apresenta uma janela de consentimento no primeiro arranque e após qualquer alteração substancial desta política. Pode reabri-la a qualquer momento em Perfil → Configurações de Privacidade.

Sempre que um serviço armazene informações no seu dispositivo ou aceda a informações aí já armazenadas, tal carece do seu consentimento nos termos do § 25, n.º 1 TDDDG — salvo se o armazenamento ou o acesso forem estritamente necessários para prestar o serviço que expressamente solicitou (§ 25, n.º 2, ponto 2 TDDDG). Só invocamos essa exceção para as categorias abaixo assinaladas como necessárias. O consentimento prestado ao abrigo do § 25 TDDDG vale simultaneamente como consentimento na aceção do art. 6.º, n.º 1, al. a) do RGPD para o tratamento subsequente desses dados.

Os serviços estão agrupados em três categorias:

• Necessários: estritamente necessários à própria aplicação — o armazenamento local da sua sessão de conta e dos seus dados de treino no dispositivo e a captura básica de falhas, sem a qual não conseguimos manter a aplicação utilizável. O registo na mensagística push só ocorre depois de conceder a permissão de notificações ao nível do sistema operativo; se não a conceder, a aplicação funciona sem ele.
• Estatísticas: estatísticas de utilização anónimas. Predefinição: desativadas.
• Funcionais: registo de erros alargado com contexto de diagnóstico adicional. Predefinição: desativado.

A lista atual de serviços de cada categoria é apresentada na própria janela. Cada interruptor produz efeito imediato, e retirar o consentimento é tão simples como prestá-lo: o mesmo ecrã, um toque.

9. Notificações push

Se conceder a permissão de notificações ao nível do sistema operativo, enviamos notificações transacionais através do Firebase Cloud Messaging (Android) e do Apple Push Notification service (iOS). Por exemplo:

• Lembretes de treino agendados que tenha ativado
• Eventos de sincronização quando alterações de outro dispositivo exigem atenção

Não utilizamos notificações para fins de marketing. Pode revogar a permissão a qualquer momento nas definições do dispositivo; a aplicação continua a funcionar sem notificações.

10. Cookies e rastreio

A aplicação móvel Arrowdex não utiliza cookies: é uma aplicação nativa, e não o rastreia noutras aplicações ou sites. O § 25 TDDDG não se limita, porém, aos cookies: abrange qualquer armazenamento ou acesso a informações no seu dispositivo. Os interruptores de SDK descritos na secção 8 são, por isso, o mecanismo através do qual o controla; esse ecrã chama-se Configurações de Privacidade na aplicação.

O backend também não define cookies para a aplicação. Utiliza tokens bearer emitidos pelo Zitadel no cabeçalho Authorization. O backoffice /admin, utilizado apenas por nós, define um cookie de sessão estritamente necessário ao início de sessão.

11. Segurança

• TLS 1.3 em todas as ligações entre a aplicação e o backend e entre o backend e cada subcontratante.
• Os tokens bearer têm uma duração limitada e são rodados a cada renovação.
• As cópias de segurança da base de dados são cifradas em repouso com SSE-C (cifragem do lado do servidor com chave fornecida pelo cliente); a chave nunca sai da nossa infraestrutura.
• Não tratamos palavras-passe: a autenticação está delegada no Zitadel.

12. Menores

A Alemanha não baixou o limite de idade do art. 8.º, n.º 1 do RGPD, pelo que aqui o consentimento para um serviço da sociedade da informação é válido a partir dos 16 anos. Se tiver menos de 16 anos, qualquer tratamento que baseemos no consentimento — estatísticas, registo alargado, meteorologia, notificações, partilha com um clube ou treinador — carece do consentimento do titular das responsabilidades parentais, e o próprio contrato carece do seu acordo (secção 3 das nossas Condições).

O Arrowdex não se dirige a menores de 13 anos e não permitimos conscientemente o seu registo. Se tomar conhecimento de que uma criança nos forneceu dados pessoais sem o consentimento exigido, contacte-nos e procederemos à sua eliminação.

As funcionalidades de clube e treino implicam, de forma previsível, escalões de formação. Estando envolvido um menor, a autorização de acesso a um treinador ou clube deve ser concedida pelo titular das responsabilidades parentais ou com o seu acordo.

13. Partilha com clubes e treinadores

O Arrowdex permite ligar-se a um clube ou a um treinador. Nada é partilhado por predefinição: cada partilha é uma autorização de acesso criada por si, limitada às categorias de dados que escolher.

• É você que decide que categorias um treinador ou clube pode ver. As categorias não autorizadas permanecem invisíveis para eles.
• Pode retirar uma autorização a qualquer momento na aplicação. A retirada põe fim a qualquer acesso posterior; não desfaz o que o destinatário viu legitimamente enquanto esta vigorou.
• As classificações dentro de um clube mostram as melhores marcas dos membros que nelas participam. Ao sair do clube, deixa de constar.
• Treinadores e responsáveis de clube atuam como responsáveis autónomos por aquilo que registem sobre si fora do Arrowdex. Dentro do Arrowdex, o responsável continuamos a ser nós.
• A eliminação da sua conta retira todas as autorizações que tenha concedido.

14. Alterações a esta política

Poderemos atualizar esta política à medida que a aplicação e os seus subcontratantes evoluírem. O número de versão apresentado no ecrã da aplicação é incrementado a cada alteração substancial. Nesse caso, a aplicação reabre a janela de consentimento no arranque seguinte para que possa rever a nova versão antes de continuar.

Prevalece o número de versão apresentado no topo do ecrã de privacidade na aplicação; este documento foi atualizado pela última vez em 2026-08-27.