Política de privacidade

Versão 2026-10-09

Esta política descreve o tratamento de dados pessoais na SBLTrainer, incluindo dados de saúde que o treinador pode escrever nas notas. O responsável pelo tratamento da conta de treinador e da operação da plataforma é SBLTrainer. Contacto: privacidade@sbltrainer.pt. Contacto geral da SBLTrainer: contacto@sbltrainer.pt.

Quem decide o quê

Quando um treinador usa a SBLTrainer para os seus clientes, esse treinador é o responsável pelo tratamento desses dados. O operador é subcontratante e só os trata para lhe prestar o serviço, ao abrigo do acordo de tratamento de dados. Cada treinador aceita esse acordo antes de usar o workspace. Quando o próprio operador treina clientes na sua conta de administrador, é ele o responsável por esses dados.

Dados que tratamos

• Conta: nome, email, password (só o hash), foto de perfil, bio.
• Treino: programas, exercícios, séries, peso, repetições, RPE, datas, objetivos e feedback.
• Dados de categoria especial (art. 9.º do RGPD): as notas do treinador, e o feedback que ele escreve sobre uma sessão, podem incluir lesões, dor, limitações e outros dados de saúde. Os objetivos e os comentários de um treino também podem, se alguém os escrever aí.
• Pedidos públicos: candidaturas a treinador e mensagens “quero treinar contigo” (nome, email, texto). Esses formulários não são o sítio para enviar diagnósticos.
• Sessão técnica: identificador de sessão, endereço IP e user-agent.
• Registo de que o treinador aceitou o acordo e de que o cliente deu consentimento explícito para dados de saúde (data e versão).

Para quê e com que base

• Prestar a conta e o serviço de treino: execução de contrato (art. 6.º, n.º 1, al. b)).
• Dados de saúde nas notas e no feedback: consentimento explícito do cliente (art. 9.º, n.º 2, al. a)). Sem esse consentimento a aplicação não grava essas notas. O cliente pode retirá-lo na conta; isso apaga as notas do treinador e o feedback.
• Formulários públicos: consentimento, pedido no formulário.
• Segurança, limite de pedidos e contas suspensas: interesse legítimo (art. 6.º, n.º 1, al. f)).

Quanto tempo

Os dados ficam enquanto a conta existir. O apagamento na aplicação é imediato: a pessoa, os treinos e as notas de saúde saem da base de dados nessa altura, não fica um pedido à espera. As cópias de segurança não ficam neste servidor. Estão num bucket à parte e são apagadas ao fim de 14 dias, por isso um dado eliminado pode continuar numa cópia antiga só até esse prazo.

Os teus direitos

Podes pedir acesso, retificação, limitação, oposição e portabilidade, e podes apresentar reclamação à CNPD (www.cnpd.pt). Na aplicação:

• Clientes exportam um JSON em Conta, incluindo as notas de saúde.
• Clientes e treinadores apagam a conta na hora. O treinador, ao apagar o workspace, apaga também os dados dos clientes.
• O cliente retira o consentimento para dados de saúde sem apagar o resto da conta. As notas e o feedback saem; o histórico de séries mantém-se até um apagamento total.

Quem mais trata dados

O servidor onde a aplicação corre, o serviço de email configurado pelo operador, e o armazenamento das cópias de segurança. Não vendemos dados. A base de dados e o bucket devem estar no Espaço Económico Europeu ou num país com decisão de adequação. Não há decisão automática que produza efeitos jurídicos.

Segurança

As passwords ficam com hash. Cada pessoa define a sua no convite. Um workspace suspenso não entra. As fotos de perfil só são guardadas se forem imagens raster (JPG, PNG, GIF ou WebP); SVG é recusado porque pode conter um script.