Política de Privacidade

Quem trata os seus dados

Contacto para assuntos relacionados com privacidade e exercício de direitos: booking.ecoa@gmail.com.

A ECOA é a marca utilizada publicamente pelo projeto. Nesta fase, não corresponde a uma sociedade comercial autónoma.

Âmbito desta política

Esta Política de Privacidade aplica-se ao tratamento de dados pessoais realizado através de:

• ecoa.live e respetivas versões linguísticas;
• formulário Community / Early Access;
• formulário Contact;
• formulário Partners;
• formulário DJs;
• formulário Founding Circle;
• comunicações relacionadas com pedidos submetidos no website;
• mecanismos técnicos de segurança, prevenção de abuso e funcionamento do website;
• Google Analytics 4, ativo por defeito até o utilizador rejeitar os mecanismos não essenciais.

Quando o utilizador acede a uma plataforma externa, nomeadamente uma plataforma de bilhética, passam também a aplicar-se os termos e políticas dessa plataforma. A entidade externa pode atuar como responsável autónomo ou subcontratante, consoante o serviço e o tratamento concretos.

Dados que podem ser recolhidos

Community / Early Access

Podem ser tratados:

• nome;
• endereço de email;
• número de telefone, quando o campo existir e for preenchido;
• preferência linguística;
• origem da inscrição e página de entrada;
• parâmetros UTM;
• data e hora do consentimento;
• versão do texto de consentimento;
• canal autorizado;
• estado da inscrição, incluindo cancelamento ou inatividade.

Contact

Podem ser tratados:

• nome;
• email;
• telefone opcional;
• empresa opcional;
• website opcional;
• motivo do contacto;
• mensagem;
• idioma;
• origem e parâmetros UTM;
• data do pedido;
• estado interno do tratamento do pedido.

Partners

Podem ser tratados:

• nome;
• empresa;
• email;
• tipo de parceria;
• website opcional;
• mensagem;
• idioma;
• origem;
• data e estado interno do pedido.

DJs

Podem ser tratados nome completo, nome artístico, email, cidade, géneros musicais, links públicos para música, vídeo de atuação, biografia curta e, quando fornecidos, perfis sociais, website, disponibilidade, experiência anterior e outro link relevante. São também conservados data, versão do texto de consentimento, idioma, origem e estado interno da submissão. O endereço IP não é guardado na submissão.

Founding Circle

Podem ser tratados nome, email, telefone, Instagram, idade, cidade, profissão, universidade opcional, TikTok e website opcionais, frequência de saídas, dimensão habitual do grupo, respostas sobre motivação e contribuição para a comunidade, origem e links adicionais opcionais. São também conservados a data e versão dos consentimentos, idioma, estado interno, notas de revisão, pontuações manuais de avaliação e, apenas quando atribuído, o número fundador entre 001 e 020. O endereço IP não é guardado na candidatura.

Dados técnicos e de segurança

O funcionamento do website pode envolver dados técnicos como data e hora do pedido, rota consultada, tipo de browser, dispositivo, cabeçalhos técnicos, endereço IP ou identificadores derivados, apenas na medida necessária para alojamento, segurança, diagnóstico e prevenção de abuso. O rate limiter foi concebido para utilizar identificadores HMAC e não conservar o email ou o endereço IP completos nesse mecanismo.

Finalidades e bases jurídicas

Community / Early Access

Os dados são utilizados para gerir a inscrição, disponibilizar acesso antecipado e enviar informação sobre futuras ECOA Sessions e comunicações relacionadas com a ECOA.

A base jurídica é o consentimento. O consentimento é voluntário, não pode estar pré-selecionado e pode ser retirado a qualquer momento. Quando forem utilizados canais diferentes, como email e WhatsApp, o consentimento deve ser recolhido separadamente por canal.

Contact

Os dados são utilizados para responder a pedidos gerais, dúvidas, propostas e contactos relacionados com eventos.

A base jurídica depende do pedido:

• diligências pré-contratuais, quando o contacto é feito com vista a uma possível contratação, prestação de serviço ou relação comercial;
• interesse legítimo, quando é necessário responder a um pedido geral, proteger a operação, organizar correspondência ou manter um histórico razoável do contacto.

Não é utilizada uma caixa de consentimento artificial para responder a um pedido iniciado pelo próprio utilizador.

Partners

Os dados são utilizados para avaliar propostas de parceria, responder ao proponente, preparar reuniões e gerir uma eventual relação comercial.

A base jurídica é a realização de diligências pré-contratuais e, quando aplicável, o interesse legítimo na gestão de oportunidades, parceiros e comunicações profissionais.

DJs

Os dados são utilizados para avaliar o projeto artístico e integrar a submissão na base privada de curadoria para futuras ECOA Sessions. Uma submissão não garante resposta, reserva, data, pagamento ou integração num line-up. A base jurídica é o consentimento, que pode ser retirado a qualquer momento através de booking.ecoa@gmail.com. A submissão não autoriza comunicações de marketing.

O acesso é limitado às pessoas autorizadas responsáveis pela curadoria e aos administradores técnicos estritamente necessários. Os dados não são publicados nem partilhados com outros artistas ou parceiros para finalidades próprias.

Founding Circle

Os dados são utilizados para analisar manualmente o pedido, realizar uma conversa quando exista alinhamento, gerir o convite e, para pessoas aceites, manter o registo do número fundador. A candidatura não garante entrada, convite, bilhete, pagamento ou participação num evento. A pontuação interna é atribuída manualmente por pessoas autorizadas e não produz uma decisão exclusivamente automatizada.

A base jurídica é o consentimento para receber, analisar e gerir a candidatura. O contacto por email e/ou telefone estritamente necessário à candidatura e, para pessoas selecionadas, à participação no Founding Circle integra este processo e pode abranger resultado, onboarding, pulseira, número fundador, acessos, benefícios e informação operacional. Estas comunicações não autorizam marketing geral, que depende de uma escolha separada, opcional e não pré-selecionada. O consentimento pode ser retirado através de booking.ecoa@gmail.com, sem afetar a licitude do tratamento anterior à retirada.

Segurança e prevenção de abuso

Os dados técnicos e identificadores derivados podem ser tratados para prevenir spam, ataques, submissões automatizadas, utilização abusiva e indisponibilidade do website.

A base jurídica é o interesse legítimo na segurança da informação, continuidade do serviço e proteção dos utilizadores e sistemas.

Google Analytics 4

Se for ativado, o Google Analytics 4 será utilizado para compreender, de forma agregada, a utilização do website, páginas visitadas, origem de tráfego, dispositivos e desempenho técnico.

Na configuração técnica atual, analytics_storage, ad_storage, ad_user_data e ad_personalization começam como granted. O Google Tag pode criar cookies Analytics e enviar medição completa antes de uma escolha explícita. Se o utilizador rejeitar os mecanismos não essenciais, os quatro sinais são atualizados para denied e os cookies Analytics controláveis são removidos. Google Signals e personalização publicitária permanecem desativados na configuração da tag. Esta configuração deve ser objeto de validação jurídica antes da publicação.

Comunicações de marketing

As comunicações da Community só serão enviadas através dos canais autorizados. O utilizador pode retirar o consentimento:

• através do link de cancelamento incluído nas comunicações, quando disponível;
• através do mecanismo de gestão de preferências;
• enviando um pedido para booking.ecoa@gmail.com.

A retirada do consentimento não afeta a licitude do tratamento realizado antes dessa retirada. Após o cancelamento, pode ser conservado um registo mínimo de supressão para evitar contactos futuros indevidos e demonstrar o cancelamento.

Destinatários e fornecedores

Os dados podem ser tratados por fornecedores necessários ao funcionamento do website, sujeitos a deveres contratuais e de confidencialidade, incluindo:

• Vercel: alojamento, deployment, CDN, proteção e logs técnicos;
• Supabase: base de dados, armazenamento dos formulários e controlo de acesso;
• Upstash: rate limiting e prevenção de abuso;
• Resend: notificações internas e mensagens transacionais, quando aplicável;
• Google / Gmail: receção e gestão de mensagens no endereço público;
• Google Analytics: cookies e medição completa ativos por defeito na configuração atual; rejeição posterior aplica denied aos quatro sinais do Consent Mode e remove cookies controláveis;
• prestadores técnicos, jurídicos ou profissionais quando estritamente necessário.

Os dados não são vendidos a terceiros. A partilha com parceiros comerciais para finalidades próprias exige uma base jurídica autónoma e informação adicional ao titular.

Transferências internacionais

Embora a base de dados Supabase esteja numa região europeia, alguns fornecedores são grupos internacionais e podem recorrer a suporte, subprocessadores, logs ou acessos administrativos fora do Espaço Económico Europeu.

Quando exista uma transferência internacional, deverão ser utilizados mecanismos reconhecidos pelo RGPD, nomeadamente:

• decisão de adequação da Comissão Europeia;
• EU-U.S. Data Privacy Framework, quando o destinatário esteja validamente certificado e a transferência esteja abrangida;
• cláusulas contratuais-tipo aprovadas pela Comissão Europeia;
• medidas complementares adequadas ao risco, quando necessárias.

A localização principal do alojamento não deve ser confundida com a localização de todos os subprocessadores ou acessos de suporte.

Prazos de conservação

Os dados são conservados apenas durante o período necessário para a finalidade aplicável:

• Contact: até 24 meses após o encerramento ou última interação relevante;
• Partners: até 24 meses após a última interação relevante, salvo negociação ativa ou relação contratual;
• DJs: até 24 meses após a submissão ou última atualização relevante, com eliminação antecipada quando o consentimento for retirado ou a eliminação for pedida;
• Founding Circle: candidaturas não aceites até 24 meses após a decisão ou última interação; para membros aceites, o registo mínimo do número fundador enquanto o programa e o reconhecimento fundador permanecerem ativos, sujeito aos direitos do titular e a revisão de minimização;
• Community ativa: enquanto o consentimento permanecer válido, com revisão de inscrições inativas após 24 meses sem interação;
• Community cancelada: registo mínimo de cancelamento e prova do consentimento até 3 anos após a retirada;
• logs de segurança: normalmente até 90 dias, podendo ser conservados até 12 meses quando associados a incidente, investigação ou defesa de direitos;
• rate limiting: apenas durante a janela técnica necessária, em regra não superior a 24 horas;
• pedidos de exercício de direitos: até 3 anos após o encerramento do pedido;
• documentação contratual, fiscal ou contabilística: durante o prazo legal aplicável, que pode atingir 10 anos ou outro prazo previsto no regime fiscal concreto.

Quando não exista obrigação de conservação, os dados serão eliminados ou anonimizados.

Direitos dos titulares

Nos termos aplicáveis, o titular pode solicitar:

• acesso aos seus dados;
• retificação de dados inexatos ou incompletos;
• apagamento;
• limitação do tratamento;
• oposição a tratamentos baseados em interesse legítimo;
• portabilidade, quando aplicável;
• retirada do consentimento;
• informação sobre destinatários e transferências.

O pedido pode ser enviado para booking.ecoa@gmail.com. Poderá ser solicitada informação adicional estritamente necessária para confirmar a identidade do requerente.

O pedido será respondido, em regra, no prazo de um mês. Em situações complexas ou com vários pedidos, esse prazo pode ser prorrogado nos termos do RGPD, com informação ao titular.

Alguns direitos podem ser limitados quando a conservação seja necessária para cumprir obrigação legal, exercer ou defender direitos, prevenir fraude ou proteger direitos de terceiros.

Reclamação à CNPD

O titular pode apresentar reclamação à Comissão Nacional de Proteção de Dados, autoridade de controlo em Portugal, sem prejuízo de outros meios administrativos ou judiciais.

Segurança

São aplicadas medidas técnicas e organizativas adequadas ao risco, incluindo HTTPS, controlo de acessos, validação server-side, proteção contra submissões automatizadas, rate limiting, separação de segredos e regras de acesso à base de dados.

Nenhum sistema é totalmente imune a falhas. Em caso de incidente, serão adotadas as medidas exigidas pela lei, incluindo avaliação da necessidade de notificação à CNPD e aos titulares.

Menores

O website e os formulários não são dirigidos intencionalmente a crianças. Se um representante legal considerar que foram fornecidos dados de um menor sem fundamento adequado, poderá pedir a respetiva análise e eliminação através do contacto de privacidade.

A idade mínima de acesso a cada evento será comunicada nas condições específicas do evento e do venue.

Ligações externas e bilhética

O website pode incluir ligações para plataformas de bilhética, redes sociais, venues, artistas ou parceiros. A utilização desses serviços está sujeita às políticas da respetiva entidade. A ECOA deve fornecer informação clara antes do redirecionamento sempre que a plataforma externa trate dados para finalidades próprias.

Alterações a esta política

Esta política pode ser atualizada para refletir alterações legais, técnicas, operacionais ou de fornecedores. A versão em vigor estará disponível no website com a data de atualização.