1. Identificação do Responsável pelo Tratamento
Em cumprimento do Regulamento (UE) 2016/679 — Regulamento Geral sobre a Proteção de Dados (RGPD) e da Lei Orgânica 3/2018 espanhola de Proteção de Dados Pessoais e garantia dos direitos digitais (LOPDGDD), informamos que os dados pessoais recolhidos através da plataforma Nextaur são tratados por:
Titular: Erik Armenteros del Castillo
NIF: 51988106X
Morada fiscal: Calle Pico de los Artilleros, Madrid, 28030, Espanha
Contacto de privacidade e legal: legal@nextaur.com
2. O nosso papel na proteção de dados (SaaS B2B)
A Nextaur é uma plataforma de software como serviço (SaaS B2B). É fundamental distinguir o nosso papel legal consoante a origem e o tipo de dados:
Nextaur como Responsável pelo Tratamento: Tratamos como responsáveis os dados da conta dos utilizadores (email, nome), os dados de faturação das Organizações e os dados analíticos de utilização da plataforma.
Nextaur como Subcontratante (DPA B2B): Quando uma Organização carrega vídeos, clips ou gera atividades de avaliação que incluem dados de terceiros (por exemplo, alunos, atletas, empregados ou menores), a Organização é a única Responsável por esses dados. A Nextaur limita-se a alojá-los e processá-los seguindo as suas instruções. As condições deste tratamento por conta de terceiros regulam-se detalhadamente no Anexo 1: Acordo de Subcontratação (DPA) no final deste documento.
3. Que dados tratamos, para quê e com que base legal?
| Categoria de Dados | Finalidade do Tratamento | Base Legal (RGPD) |
|---|---|---|
| Dados de Conta: Email, nome, data de nascimento, país, idioma preferido. | Criar a conta, autenticar o utilizador e prestar o serviço SaaS de forma personalizada. | Art. 6.1.b (Execução de contrato / pré-contrato) |
| Dados de Organização e Faturação: Nome da empresa/clube, funções dos membros, dados geridos através da Stripe. | Gestão de subscrições, limites dos planos, cobranças, impagos e prestação de suporte técnico. | Art. 6.1.b (Execução de contrato) e Art. 6.1.c (Obrigação legal contabilística/fiscal) |
| Dados de utilização e Telemetria: Registos de sessão, uso de funcionalidades, tempo ativo por módulo. | Manutenção da segurança da plataforma (prevenção de abusos, MFA) e analítica interna para melhoria do serviço. | Art. 6.1.f (Interesse legítimo) |
| Dados de Marketing: Email e preferências. | Envio de comunicações comerciais, novidades e atualizações da Nextaur. | Art. 6.1.a (Consentimento explícito — revogável a qualquer momento) |
4. Prazos de Conservação dos Dados
| Cenário | Prazo de retenção e ação |
|---|---|
| Conta ativa | Conservação enquanto durar a relação contratual ou até o utilizador eliminar a sua conta. |
| Eliminação de conta (pessoal) | Ao solicitar a eliminação da sua conta abre-se um período de graça recuperável de 14 dias: a sua conta é desativada de imediato, mas pode reativá-la através do link que lhe enviamos por e-mail. Passados 14 dias sem reativação, a sua conta e os dados associados (incluindo as organizações de que seja único proprietário) são eliminados de forma permanente e irreversível. |
| Cancelamento da Organização | Retenção de segurança de 30 dias para Organizações em plano pago antes da purga definitiva e irreversível. Para o plano Free inativo por mais de 30 dias, a eliminação da organização será automática. |
| Faturação e pagamentos | Pelo menos 5 anos por imperativo legal (Lei Geral Tributária espanhola). |
| Telemetria de produto e registos internos | Conservação durante 24 meses. Posteriormente, os dados são totalmente anonimizados para gerar estatísticas agregadas. |
5. Fornecedores, Servidores e Transferências Internacionais
Para prestar o serviço com a máxima qualidade e segurança, a Nextaur recorre a fornecedores de infraestrutura tecnológica de primeiro nível. Garantimos que o núcleo dos nossos servidores e o armazenamento de vídeos estão localizados no Espaço Económico Europeu (EEE), cumprindo estritamente as garantias da normativa europeia:
- Armazenamento de vídeos e imagens (AWS S3) e Base de Dados (Supabase): Alojados em servidores na União Europeia.
- Pagamentos e faturação (Stripe): Processamento seguro com certificação PCI-DSS. A Nextaur não armazena nem tem acesso ao número completo do seu cartão de crédito.
- Envio de emails (Brevo): Fornecedor europeu para comunicações transacionais.
6. Idade Mínima e Menores
Para se registar como utilizador individual na Nextaur, é imprescindível ter pelo menos 14 anos. Para registar uma Organização como "Owner" e contratar um plano, o utilizador deve ter pelo menos 18 anos e capacidade legal para contratar.
Se uma Organização utilizar a infraestrutura da Nextaur para tratar dados, vídeos ou avaliações de menores de 14 anos, é responsabilidade exclusiva e indelégavel dessa Organização obter previamente o consentimento explícito dos pais ou tutores legais.
7. Os seus Direitos de Privacidade
Pode exercer os seus direitos de proteção de dados enviando um email para legal@nextaur.com. Tem direito a:
- Acesso e Retificação: Conhecer os dados que temos e corrigi-los diretamente no seu perfil.
- Supressão (Direito ao esquecimento): Eliminar a sua conta de forma autónoma nas definições da plataforma ou solicitando por email.
- Oposição e Limitação: Retirar o consentimento para marketing ou opor-se a tratamentos baseados no interesse legítimo.
- Portabilidade: Solicitar uma cópia dos seus dados pessoais fornecidos num formato estruturado e legível.
Se considerar que os seus direitos foram violados, tem direito a apresentar reclamação junto da autoridade de controlo competente, que em Espanha é a Agência Espanhola de Proteção de Dados (AEPD).
8. Alterações a esta Política
A Nextaur reserva-se o direito de modificar esta política para a adaptar a novidades legislativas, exigências jurisprudenciais ou alterações estruturais no serviço. Notificaremos qualquer alteração substancial aos utilizadores registados com antecedência razoável.
Anexo 1: Acordo de Subcontratação (DPA B2B)
Este Anexo forma parte integrante e indissociável dos Termos e Condições e da Política de Privacidade da Nextaur, e rege o tratamento de dados pessoais pela Nextaur (o "Subcontratante") por conta e em nome da Organização contratante (o "Responsável").
1. Objeto e Natureza do Encargo
O Responsável contrata a Nextaur para utilizar a sua plataforma SaaS. Neste processo, o Responsável pode carregar, alojar e gerir vídeos, imagens, metadados (arbitrais ou desportivos) e dados de avaliação que contenham dados pessoais de terceiros (alunos, atletas, pessoal). A Nextaur atuará única e exclusivamente como Subcontratante, providenciando alojamento, gestão de acesso e funcionalidades de software solicitadas.
2. Obrigações da Nextaur (O Subcontratante)
- Tratar os dados pessoais apenas seguindo as instruções documentadas do Responsável. A própria configuração e uso da plataforma pela Organização consideram-se instruções documentadas.
- Garantir que as pessoas autorizadas a tratar os dados se comprometeram a respeitar a confidencialidade.
- Adotar todas as medidas de segurança técnicas e organizativas exigidas pelo Art. 32 do RGPD, incluindo cifra em trânsito (HTTPS), bases de dados seguras com controlo de acesso por funções (RLS) e URLs assinadas para acesso a media audiovisual.
- Não recorrer a outro subcontratante sem autorização prévia. Mediante a aceitação deste acordo, o Responsável autoriza genericamente a Nextaur a utilizar os serviços da Amazon Web Services (AWS) e Supabase como subcontratantes de alojamento na UE.
- Assistir o Responsável, através das ferramentas técnicas da plataforma ou suporte manual, para cumprir a obrigação de responder a pedidos de exercício de direitos dos titulares (alunos, atletas).
- Notificar o Responsável, sem demora injustificada e no prazo máximo de 48 horas desde que tenha conhecimento, de qualquer violação de segurança dos dados pessoais.
- Uma vez terminada a prestação do serviço (por cancelamento voluntário, inatividade no plano Free ou impago prolongado), suprimir todos os dados pessoais do Responsável (incluindo cópias) de acordo com os prazos definidos nos Termos e Condições, salvo obrigação legal de conservação.
3. Obrigações da Organização (O Responsável)
- Garantir que possui base legal válida (como consentimento ou execução de contrato) para tratar os dados pessoais carregados na plataforma.
- Obter e custodiar os direitos de imagem e autorizações de privacidade necessárias de todas as pessoas identificáveis nos vídeos, com especial atenção às normas sobre menores.
- Manter indene a Nextaur perante qualquer reclamação de terceiros ou sanção administrativa derivada da falta de base legal do Responsável para o tratamento dos dados carregados.