Política de Privacidade

Quem trata os seus dados

O responsável pelo tratamento dos dados pessoais recolhidos através deste website é Guilherme Silva, na qualidade de responsável pelo projeto ECOA.

Contacto para assuntos relacionados com privacidade e exercício de direitos: booking.ecoa@gmail.com.

A ECOA é a marca utilizada publicamente pelo projeto. Nesta fase, não corresponde a uma sociedade comercial autónoma.

Âmbito desta política

Esta Política de Privacidade aplica-se ao tratamento de dados pessoais realizado através de:

• ecoa.live e respetivas versões linguísticas;
• formulário Community / Early Access;
• formulário Contact;
• formulário Partners;
• comunicações relacionadas com pedidos submetidos no website;
• mecanismos técnicos de segurança, prevenção de abuso e funcionamento do website;
• Google Analytics 4, apenas quando o utilizador tiver consentido.

Quando o utilizador acede a uma plataforma externa, nomeadamente uma plataforma de bilhética, passam também a aplicar-se os termos e políticas dessa plataforma. A entidade externa pode atuar como responsável autónomo ou subcontratante, consoante o serviço e o tratamento concretos.

Dados que podem ser recolhidos

Community / Early Access

Podem ser tratados:

• nome;
• endereço de email;
• número de telefone, quando o campo existir e for preenchido;
• preferência linguística;
• origem da inscrição e página de entrada;
• parâmetros UTM;
• data e hora do consentimento;
• versão do texto de consentimento;
• canal autorizado;
• estado da inscrição, incluindo cancelamento ou inatividade.

Contact

Podem ser tratados:

• nome;
• email;
• telefone opcional;
• empresa opcional;
• website opcional;
• motivo do contacto;
• mensagem;
• idioma;
• origem e parâmetros UTM;
• data do pedido;
• estado interno do tratamento do pedido.

Partners

Podem ser tratados:

• nome;
• empresa;
• email;
• tipo de parceria;
• website opcional;
• mensagem;
• idioma;
• origem;
• data e estado interno do pedido.

Dados técnicos e de segurança

O funcionamento do website pode envolver dados técnicos como data e hora do pedido, rota consultada, tipo de browser, dispositivo, cabeçalhos técnicos, endereço IP ou identificadores derivados, apenas na medida necessária para alojamento, segurança, diagnóstico e prevenção de abuso. O rate limiter foi concebido para utilizar identificadores HMAC e não conservar o email ou o endereço IP completos nesse mecanismo.

Finalidades e bases jurídicas

Community / Early Access

Os dados são utilizados para gerir a inscrição, disponibilizar acesso antecipado e enviar informação sobre futuras ECOA Sessions e comunicações relacionadas com a ECOA.

A base jurídica é o consentimento. O consentimento é voluntário, não pode estar pré-selecionado e pode ser retirado a qualquer momento. Quando forem utilizados canais diferentes, como email e WhatsApp, o consentimento deve ser recolhido separadamente por canal.

Contact

Os dados são utilizados para responder a pedidos gerais, dúvidas, propostas e contactos relacionados com eventos.

A base jurídica depende do pedido:

• diligências pré-contratuais, quando o contacto é feito com vista a uma possível contratação, prestação de serviço ou relação comercial;
• interesse legítimo, quando é necessário responder a um pedido geral, proteger a operação, organizar correspondência ou manter um histórico razoável do contacto.

Não é utilizada uma caixa de consentimento artificial para responder a um pedido iniciado pelo próprio utilizador.

Partners

Os dados são utilizados para avaliar propostas de parceria, responder ao proponente, preparar reuniões e gerir uma eventual relação comercial.

A base jurídica é a realização de diligências pré-contratuais e, quando aplicável, o interesse legítimo na gestão de oportunidades, parceiros e comunicações profissionais.

Segurança e prevenção de abuso

Os dados técnicos e identificadores derivados podem ser tratados para prevenir spam, ataques, submissões automatizadas, utilização abusiva e indisponibilidade do website.

A base jurídica é o interesse legítimo na segurança da informação, continuidade do serviço e proteção dos utilizadores e sistemas.

Google Analytics 4

Se for ativado, o Google Analytics 4 será utilizado para compreender, de forma agregada, a utilização do website, páginas visitadas, origem de tráfego, dispositivos e desempenho técnico.

A base jurídica é o consentimento prévio. O Google Tag não deve carregar e nenhum pedido deve ser enviado à Google antes da aceitação de Analytics. As opções de publicidade permanecem desativadas, incluindo ad_storage, ad_user_data e ad_personalization.

Comunicações de marketing

As comunicações da Community só serão enviadas através dos canais autorizados. O utilizador pode retirar o consentimento:

• através do link de cancelamento incluído nas comunicações, quando disponível;
• através do mecanismo de gestão de preferências;
• enviando um pedido para booking.ecoa@gmail.com.

A retirada do consentimento não afeta a licitude do tratamento realizado antes dessa retirada. Após o cancelamento, pode ser conservado um registo mínimo de supressão para evitar contactos futuros indevidos e demonstrar o cancelamento.

Destinatários e fornecedores

Os dados podem ser tratados por fornecedores necessários ao funcionamento do website, sujeitos a deveres contratuais e de confidencialidade, incluindo:

• Vercel: alojamento, deployment, CDN, proteção e logs técnicos;
• Supabase: base de dados, armazenamento dos formulários e controlo de acesso;
• Upstash: rate limiting e prevenção de abuso;
• Resend: notificações internas e mensagens transacionais, quando aplicável;
• Google / Gmail: receção e gestão de mensagens no endereço público;
• Google Analytics: apenas após consentimento;
• prestadores técnicos, jurídicos ou profissionais quando estritamente necessário.

Os dados não são vendidos a terceiros. A partilha com parceiros comerciais para finalidades próprias exige uma base jurídica autónoma e informação adicional ao titular.

Transferências internacionais

Embora a base de dados Supabase esteja numa região europeia, alguns fornecedores são grupos internacionais e podem recorrer a suporte, subprocessadores, logs ou acessos administrativos fora do Espaço Económico Europeu.

Quando exista uma transferência internacional, deverão ser utilizados mecanismos reconhecidos pelo RGPD, nomeadamente:

• decisão de adequação da Comissão Europeia;
• EU-U.S. Data Privacy Framework, quando o destinatário esteja validamente certificado e a transferência esteja abrangida;
• cláusulas contratuais-tipo aprovadas pela Comissão Europeia;
• medidas complementares adequadas ao risco, quando necessárias.

A localização principal do alojamento não deve ser confundida com a localização de todos os subprocessadores ou acessos de suporte.

Prazos de conservação

Os dados são conservados apenas durante o período necessário para a finalidade aplicável:

• Contact: até 24 meses após o encerramento ou última interação relevante;
• Partners: até 24 meses após a última interação relevante, salvo negociação ativa ou relação contratual;
• Community ativa: enquanto o consentimento permanecer válido, com revisão de inscrições inativas após 24 meses sem interação;
• Community cancelada: registo mínimo de cancelamento e prova do consentimento até 3 anos após a retirada;
• logs de segurança: normalmente até 90 dias, podendo ser conservados até 12 meses quando associados a incidente, investigação ou defesa de direitos;
• rate limiting: apenas durante a janela técnica necessária, em regra não superior a 24 horas;
• pedidos de exercício de direitos: até 3 anos após o encerramento do pedido;
• documentação contratual, fiscal ou contabilística: durante o prazo legal aplicável, que pode atingir 10 anos ou outro prazo previsto no regime fiscal concreto.

Quando não exista obrigação de conservação, os dados serão eliminados ou anonimizados.

Direitos dos titulares

Nos termos aplicáveis, o titular pode solicitar:

• acesso aos seus dados;
• retificação de dados inexatos ou incompletos;
• apagamento;
• limitação do tratamento;
• oposição a tratamentos baseados em interesse legítimo;
• portabilidade, quando aplicável;
• retirada do consentimento;
• informação sobre destinatários e transferências.

O pedido pode ser enviado para booking.ecoa@gmail.com. Poderá ser solicitada informação adicional estritamente necessária para confirmar a identidade do requerente.

O pedido será respondido, em regra, no prazo de um mês. Em situações complexas ou com vários pedidos, esse prazo pode ser prorrogado nos termos do RGPD, com informação ao titular.

Alguns direitos podem ser limitados quando a conservação seja necessária para cumprir obrigação legal, exercer ou defender direitos, prevenir fraude ou proteger direitos de terceiros.

Reclamação à CNPD

O titular pode apresentar reclamação à Comissão Nacional de Proteção de Dados, autoridade de controlo em Portugal, sem prejuízo de outros meios administrativos ou judiciais.

Segurança

São aplicadas medidas técnicas e organizativas adequadas ao risco, incluindo HTTPS, controlo de acessos, validação server-side, proteção contra submissões automatizadas, rate limiting, separação de segredos e regras de acesso à base de dados.

Nenhum sistema é totalmente imune a falhas. Em caso de incidente, serão adotadas as medidas exigidas pela lei, incluindo avaliação da necessidade de notificação à CNPD e aos titulares.

Menores

O website e os formulários não são dirigidos intencionalmente a crianças. Se um representante legal considerar que foram fornecidos dados de um menor sem fundamento adequado, poderá pedir a respetiva análise e eliminação através do contacto de privacidade.

A idade mínima de acesso a cada evento será comunicada nas condições específicas do evento e do venue.

Ligações externas e bilhética

O website pode incluir ligações para plataformas de bilhética, redes sociais, venues, artistas ou parceiros. A utilização desses serviços está sujeita às políticas da respetiva entidade. A ECOA deve fornecer informação clara antes do redirecionamento sempre que a plataforma externa trate dados para finalidades próprias.

Alterações a esta política

Esta política pode ser atualizada para refletir alterações legais, técnicas, operacionais ou de fornecedores. A versão em vigor estará disponível no website com a data de atualização.