Política de privacidade

Última atualização: [[TO FILL: data]]

Quem somos

O responsável pelo tratamento dos seus dados pessoais é [[TO FILL: denominação da entidade]], NIF [[TO FILL: NIF]], [[TO FILL: morada da sede]]. Contacto de privacidade: [[TO FILL: email de contacto de privacidade]]. Encarregado de proteção de dados: [[TO FILL: nome e email do EPD, ou declaração de que não é obrigatório]].

Que dados tratamos e porquê

Dados da conta (email, nome de apresentação, hash da palavra-passe ou identificador do fornecedor de início de sessão): para criar e proteger a conta. Fundamento: execução de contrato (RGPD, art. 6.º, n.º 1, al. b).
Dados de perfil e de jogo (classificação, histórico, jogadas, chat e amigos): para fornecer o jogo, o emparelhamento e as classificações. Fundamento: contrato.
Dados técnicos (endereço IP, tipo de dispositivo e navegador, registos de pedidos, relatórios de erros): para manter o serviço seguro, prevenir abusos e corrigir erros. Fundamento: interesse legítimo (art. 6.º, n.º 1, al. f).
Dados de fair play (sinais usados para detetar batota ou abuso): para proteger os outros jogadores. Fundamento: interesse legítimo.
Denúncias de outros utilizadores e mensagens de suporte: para tratar reclamações. Fundamento: interesse legítimo e obrigação legal.
Estatísticas de produto próprias (sem fornecedor de analytics externo): para perceber como o produto é usado. Calculamos um identificador de visitante pseudonimizado e diário, obtido por HMAC do endereço IP e do agente de utilizador com um sal aleatório gerado por cada dia UTC e conservado cerca de 48 horas. O IP e o agente de utilizador são usados apenas em memória e nunca são guardados nem registados. Este identificador é um dado pessoal pseudonimizado e muda todos os dias, pelo que não permite seguir o utilizador entre dias. Os eventos não estão associados à conta. Fundamento: interesse legítimo (art. 6.º, n.º 1, al. f). Pode recusar nas definições da aplicação; respeitamos também os sinais Do Not Track e Global Privacy Control, no cliente e no servidor.

Recolhemos apenas o necessário. Não vendemos dados pessoais nem os usamos em decisões automatizadas com efeitos jurídicos.

Quem recebe os seus dados

Usamos subcontratantes ao abrigo de acordos de subcontratação: Hetzner (alojamento, UE), Cloudflare (DNS, proxy, segurança, alojamento estático), Supabase (base de dados e autenticação), Sentry (monitorização de erros) e [[TO FILL: fornecedor de email]]. As estatísticas de produto são próprias e correm na nossa infraestrutura na UE (base de dados e Redis), sem fornecedor de analytics externo. [[TO FILL: confirmar lista final de subcontratantes]] Quando os dados saem da UE/EEE, baseamo-nos em decisões de adequação ou cláusulas contratuais-tipo. [[TO FILL: confirmar mecanismo de transferência por subcontratante]]

Durante quanto tempo guardamos os dados

Dados de conta e perfil: até eliminar a conta. Depois de pedir a eliminação há um período de 30 dias para a cancelar; depois disso a conta e os seus dados pessoais são eliminados definitivamente.
Histórico de jogos: guardado indefinidamente, porque as partidas terminadas são públicas. Quando elimina a conta, as partidas ficam apenas de forma anonimizada. Os jogos disputados apenas entre adversários controlados por computador são eliminados 48 horas depois de terminarem. [[TO FILL: jurista a rever este prazo de conservação]] Mensagens de chat rápido: 90 dias.
Registos do servidor: 30 dias.
Relatórios de erros: [[TO FILL: prazo]].
Eventos de analytics: 13 meses [[TO FILL: confirmar prazo de retenção de analytics]]. Não estão associados a contas, pelo que a eliminação da conta não tem aqui nada a apagar.
Cópias de segurança: encriptadas e guardadas 30 dias; dados eliminados podem permanecer nelas até expirarem.
Denúncias e registos de fair play: casos de fair play 2 anos; os números por partida que os sustentam 90 dias.

Os seus direitos

Pode aceder, retificar, apagar, limitar, opor-se ao tratamento e portar os seus dados (exportação JSON). Pode exportar os dados e eliminar a conta nas definições da aplicação. Respondemos a pedidos no prazo de um mês. [[TO FILL: confirmar prazo interno]] Para outros direitos escreva para [[TO FILL: email de contacto de privacidade]]. Pode apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD), www.cnpd.pt.

Idade mínima

Tem de ter pelo menos 13 anos para usar o Ataxx Online, a idade de consentimento digital em Portugal. [[TO FILL: confirmar com o jurista]]

Cookies e armazenamento local

Usamos apenas armazenamento estritamente necessário, por exemplo para manter a sessão iniciada e lembrar o idioma e as definições. Não usamos cookies de publicidade nem de rastreio, por isso não há banner de cookies. Veja a nota de cookies e armazenamento local em docs/legal/storage-notice.pt.md. [[TO FILL: publicar a nota de armazenamento ou integrá-la aqui]]

Alterações

Publicaremos as alterações nesta página e notificaremos os utilizadores registados de alterações relevantes. [[TO FILL: confirmar método de aviso]]