Documento RGPD

1. Responsável e âmbito

A Pernu, Unipessoal Lda., com sede em Quinta do Anjo, Setúbal, Portugal, é responsável pelo tratamento de dados pessoais no âmbito da aplicação móvel Pernu e dos serviços digitais associados.

Este documento descreve a conformidade da Pernu com o Regulamento (UE) 2016/679 (RGPD), a Lei n.º 58/2019 e demais legislação aplicável à proteção de dados pessoais, comércio eletrónico e serviços digitais.

2. Finalidades e origens dos dados

A Pernu trata dados pessoais para permitir o funcionamento da aplicação, incluindo criação de conta, gestão de treinos, funcionalidades sociais, mensagens, mapas, integração opcional com dados de saúde, subscrições e suporte ao utilizador.

Os dados são recolhidos diretamente do utilizador, através do dispositivo mediante permissões, através das lojas digitais e através de prestadores técnicos que fornecem serviços de infraestrutura, armazenamento, segurança e publicidade.

3. Categorias de dados tratados

As categorias de dados tratadas incluem dados de identificação (nome ou alcunha, email, fotografia de perfil e palavra‑passe derivada criptograficamente), dados de treino (exercícios, séries, repetições, cargas, tempos, notas, calendário e fotos de progresso), dados de localização quando o utilizador ativa treinos ao ar livre, dados de interação social (publicações, comentários, reações, seguidores, grupos e mensagens privadas), dados de saúde quando o utilizador concede permissão explícita através do Apple Saúde ou APIs equivalentes no Android, e dados técnicos como endereço IP, identificadores de dispositivo, sistema operativo, versão da aplicação, registos de falhas e identificadores de publicidade.

A Pernu recebe ainda identificadores de transação e estado de subscrições das lojas digitais, mas não recebe nem armazena dados de cartão bancário.

4. Fundamentos jurídicos

O tratamento dos dados baseia‑se na execução do contrato celebrado com o utilizador, no consentimento explícito quando exigido (nomeadamente para dados de saúde, localização precisa e permissões opcionais), no interesse legítimo da Pernu para segurança, prevenção de fraude, estatísticas agregadas e apresentação de anúncios não personalizados, e no cumprimento de obrigações legais, incluindo requisitos de faturação e comunicações a autoridades.

5. Google AdMob

A Pernu integra o SDK Google Mobile Ads (AdMob) para apresentação de anúncios. Para efeitos de publicidade, a Google Ireland Limited atua como responsável independente pelo tratamento dos dados recolhidos através do SDK, incluindo identificadores de publicidade, endereço IP, dados técnicos e informação sobre interação com anúncios.

A Pernu não acede a estes dados e não utiliza dados de saúde para publicidade, perfis ou marketing. O utilizador pode controlar o rastreio e redefinir o identificador de publicidade nas definições do dispositivo.

6. Subprocessadores e transferências

A Pernu utiliza subprocessadores para alojamento, bases de dados, backups, envio de emails transacionais, armazenamento de multimédia, mapas e serviços de segurança. Estes incluem fornecedores como Apple, Google, ImageKit, Resend e prestadores de infraestrutura em nuvem.

Todos os subprocessadores atuam ao abrigo de contratos que incluem cláusulas de proteção de dados e, quando aplicável, Cláusulas Contratuais Tipo aprovadas pela Comissão Europeia. Quando existem transferências internacionais, a Pernu aplica medidas técnicas e organizativas adicionais e realiza avaliações de impacto quando exigido.

7. Prazos de conservação

Os dados são conservados apenas pelo tempo necessário às finalidades do tratamento. Dados de conta e treino são eliminados ou anonimizados até trinta dias após pedido de eliminação da conta. Backups podem conservar dados até noventa dias. Registos técnicos são conservados até noventa dias, salvo investigação de incidentes. Mensagens são conservadas enquanto a conta existir. Dados de faturação são conservados durante os prazos legais, geralmente dez anos.

8. Segurança da informação

A Pernu aplica medidas técnicas e organizativas adequadas ao risco, incluindo comunicações cifradas com TLS, segregação de ambientes, gestão de segredos, controlo de acessos, registo de acessos administrativos, monitorização de erros, testes de segurança periódicos e plano de resposta a incidentes com notificação à CNPD e aos titulares quando exigido pelo artigo 34.º do RGPD.

A Pernu designa responsáveis internos pela segurança da informação e pela proteção de dados, revê permissões periodicamente e mantém documentação atualizada sobre subprocessadores e fluxos de dados.

9. Avaliação de impacto (AIPD)

A Pernu realizou uma Avaliação de Impacto sobre a Proteção de Dados (AIPD) devido ao tratamento de dados de saúde, localização precisa e integração com fornecedores internacionais. A avaliação concluiu que, com as medidas implementadas, o risco residual é compatível com o serviço oferecido. A documentação completa pode ser disponibilizada à CNPD em caso de consulta prévia.

10. Direitos dos titulares

O utilizador tem direito de acesso, retificação, apagamento, limitação, portabilidade, oposição e retirada de consentimento. Pode exercer estes direitos enviando um pedido para geral@pernu.pt, podendo ser solicitada informação adicional para verificar a identidade.

O utilizador pode apresentar reclamação à Comissão Nacional de Proteção de Dados ou à autoridade de proteção de dados do seu país de residência.

11. Decisões automatizadas, menores e alterações

A Pernu não toma decisões exclusivamente automatizadas com efeitos jurídicos significativos. Algoritmos podem ser utilizados para ordenar o feed ou sugerir grupos, com impacto limitado. O serviço não se destina a menores de 16 anos e contas identificadas como pertencentes a menores serão eliminadas.

A política e o presente documento podem ser atualizados; alterações substanciais serão comunicadas através da aplicação ou por email.

12. Contactos

Para questões relacionadas com proteção de dados, o utilizador pode contactar geral@pernu.pt.