Política de Privacidade

O Field to Play ("nós", "nosso") é uma plataforma de desporto independente sediada em Lisboa, Portugal. Esta política explica os dados pessoais que recolhemos, como os usamos e os direitos que tens sob o RGPD da UE (Regulamento (UE) 2016/679), a Lei n.º 58/2019 (lei portuguesa de proteção de dados) e, quando aplicável, a LGPD brasileira (Lei n.º 13.709/2018).

Quem é o responsável pelo tratamento

O responsável pelo tratamento de dados é a equipa que opera o Field to Play, sediada em Lisboa, Portugal. Para questões de privacidade: [email protected]. Para questões gerais: [email protected].

Que dados pessoais recolhemos

• Dados de conta, o email com que te autenticas, o teu nome (vindo do Google/Apple ou introduzido no registo), foto de perfil, idioma preferido e cidade aproximada. Recolhidos quando te registas ou atualizas o perfil.
• Dados de jogador, desportos que praticas, estatísticas auto-avaliadas da tua carta, resultados de jogos que registas, equipas em que entras, torneios em que participas e conquistas obtidas na plataforma.
• Dados de reserva, recintos reservados, datas e horas, preços e metadados de pagamento que a Stripe devolve (nunca números de cartão, ver secção Pagamentos). Mantidos enquanto a tua conta estiver ativa + 6 anos por obrigações fiscais portuguesas.
• Dados técnicos, endereço IP, user-agent, tipo de dispositivo, localização geográfica aproximada derivada do IP, tokens de sessão (em cookies) e timestamps de login. Necessários para entregar o serviço e detetar abusos.

Porque os processamos

• Prestação do serviço, gerir a tua conta, permitir reservas, matchmaking, mensagens e pagamentos entre utilizadores (base legal: execução de um contrato contigo, Art. 6.º, n.º 1, al. b) do RGPD).
• Email transacional, links de entrada, confirmações de reserva, recibos de pagamento e avisos de serviço, enviados via Resend (base legal: execução de contrato).
• Deteção de fraude e abuso, rate-limiting, verificações de IP, revisão de contas sinalizadas (base legal: o nosso interesse legítimo em proteger a plataforma, Art. 6.º, n.º 1, al. f) do RGPD).
• Melhoria do produto, analítica agregada de utilização via PostHog, apenas após aceitares cookies (base legal: o teu consentimento, Art. 6.º, n.º 1, al. a) do RGPD).

Resumo das bases legais

Quando dependemos do teu consentimento (cookies de analítica, newsletter, notificações), podes retirá-lo a qualquer momento a partir das definições de Cookies no rodapé ou cancelando a subscrição nos emails. A retirada não afeta retroativamente tratamentos lícitos até esse momento.

Subcontratantes que usamos

Usamos estes serviços externos para operar o Field to Play. Cada um tem a sua política de privacidade e, para utilizadores da UE, garantias adequadas previstas no Capítulo V do RGPD:

• Railway (EUA / regiões UE), aloja os nossos servidores e base de dados. https://railway.app/legal/privacy
• Stripe (IE / EUA), processamento de pagamentos para reservas, Premium e payouts via Connect. https://stripe.com/privacy
• Resend (EUA), entrega de email transacional. https://resend.com/legal/privacy-policy
• PostHog (UE, Frankfurt), analítica de produto. Carrega apenas se aceitares cookies opcionais. https://posthog.com/privacy
• Sentry (EUA), monitorização de erros (sem dados pessoais enviados intencionalmente). https://sentry.io/privacy/
• Google (IE / EUA), Sign in with Google (recebemos apenas o teu nome, email, avatar e sub do Google). https://policies.google.com/privacy
• Apple (IE / EUA), Sign in with Apple (recebemos apenas email, nome opcional no primeiro consentimento e o sub opaco). https://www.apple.com/legal/privacy/

Quanto tempo guardamos os dados

Dados de conta e jogador são guardados enquanto a conta estiver ativa e até 90 dias após eliminação, para podermos restaurar uma conta apagada por engano. Registos de reservas são guardados durante 6 anos (obrigação fiscal portuguesa, Decreto-Lei n.º 28/2019). Logs de servidor são rotacionados após 30 dias. Eventos de analítica são auto-eliminados pelo PostHog após 12 meses.

Os teus direitos

Ao abrigo do RGPD (e disposições análogas da LGPD brasileira), tens os seguintes direitos, gratuitos e respondidos no prazo de 30 dias:

• Direito de acesso, pedir uma cópia dos dados pessoais que temos sobre ti.
• Direito de retificação, corrigir dados inexatos ou incompletos.
• Direito ao apagamento ("direito ao esquecimento"), apagar a conta e os dados pessoais, sujeito aos prazos de retenção legais acima.
• Direito à portabilidade, receber os teus dados num formato estruturado e legível por máquina.
• Direito de oposição, opor-te ao tratamento baseado em interesse legítimo, incluindo marketing direto.
• Direito de reclamação, apresentar reclamação à autoridade de controlo. Em Portugal: Comissão Nacional de Proteção de Dados (CNPD, https://www.cnpd.pt).

Pagamentos

Todos os pagamentos são processados pela Stripe. Nunca vemos ou armazenamos o teu número de cartão, a Stripe tokeniza os dados do cartão e recebemos apenas uma referência de pagamento e metadados (montante, moeda, estado, últimos quatro dígitos). A Stripe é certificada PCI DSS Nível 1. Consulta as práticas de dados da Stripe em https://stripe.com/privacy.

Restrições de idade

Os jogadores devem ter 16 ou mais anos para criar uma conta sem consentimento parental. Utilizadores entre 13 e 15 anos necessitam de consentimento parental verificável ao abrigo do Art. 8.º do RGPD. Não recolhemos dados de crianças menores de 13 anos. Se acreditares que um menor criou uma conta, envia email para [email protected] e removemos.

Transferências internacionais de dados

Alguns subcontratantes operam fora da UE/EEE (Stripe, Resend, Sentry, Google e Apple nos EUA). As transferências estão cobertas por Cláusulas Contratuais Tipo (Art. 46.º do RGPD) e, para serviços dos EUA, certificação Data Privacy Framework quando disponível.

Como contactar-nos

Para qualquer pedido de privacidade, acesso, correção, eliminação, portabilidade ou reclamação, envia email para [email protected]. Identifica-te com o endereço de email da tua conta para verificarmos o pedido. Respondemos em 30 dias ao abrigo do Art. 12.º, n.º 3 do RGPD.

Alterações a esta política

Alterações materiais são anunciadas por email a utilizadores ativos com pelo menos 30 dias de antecedência. Clarificações menores (correção de erros tipográficos, adição de um subcontratante) atualizam esta página com uma nova data de "Última atualização".