Política de Privacidade

1. Responsável pelo Tratamento

Comissão de Festas São João de Sobrado 27, com sede na Tasquinha de São João, Largo do Passal, 4440-337 Sobrado, Valongo, Portugal, contactável através do email organizacao@saojoaodesobrado.pt.

Para qualquer questão relacionada com proteção de dados, pode usar o canal organizacao@saojoaodesobrado.pt indicando 'RGPD' no assunto.

2. Categorias de dados tratados

Conforme a interação que o titular tiver com a plataforma, podem ser tratados:

• Nome próprio e apelido
• Endereço de email
• NIF (opcional, para efeitos de faturação)
• Morada de faturação (apenas se solicitar fatura formal)
• Dados técnicos: endereço IP truncado, identificador de sessão, tipo de navegador e logs de segurança
• Conteúdos submetidos pelo próprio: fotografias, descrições e metadados associados na secção 'Memórias'

3. Finalidades e bases legais (mapeamento por finalidade)

Cada finalidade tem uma base legal específica nos termos do Art. 6.º do RGPD:

• Venda e gestão de bilhetes — base legal: execução de contrato (Art. 6.º n.º 1 al. b)).
• Emissão de fatura/recibo e cumprimento fiscal — base legal: obrigação jurídica (Art. 6.º n.º 1 al. c)) e Art. 123.º do CIRC.
• Comunicações operacionais (confirmação de compra, alterações ao evento, recuperação de password) — base legal: execução de contrato.
• Comunicações culturais ou newsletter — base legal: consentimento (Art. 6.º n.º 1 al. a)), revogável a qualquer momento.
• Cumprimento de obrigações legais e fiscais (faturação, contabilidade, atendimento a pedidos de autoridades) — base legal: obrigação jurídica.
• Segurança da plataforma, prevenção de fraude e abuso (rate limiting, anti-bot, logs) — base legal: interesse legítimo (Art. 6.º n.º 1 al. f)), com balanceamento documentado internamente (LIA).
• Submissão e curadoria de fotografias na secção 'Memórias' — base legal: consentimento granular separado (arquivo histórico vs. divulgação pública), nos termos do Art. 6.º n.º 1 al. a) e Art. 7.º.

4. Destinatários e Subcontratantes

Não vendemos nem partilhamos dados com terceiros para fins comerciais. Os dados podem ser tratados, em nome da Comissão de Festas e mediante contrato de subcontratação nos termos do Art. 28.º do RGPD, pelas seguintes categorias de prestadores:

• Alojamento e base de dados: Lovable Cloud / Supabase (infraestrutura na União Europeia).
• Envio de email transacional: Resend (infraestrutura na União Europeia).
• Rede de distribuição de conteúdos e proteção contra abuso/DDoS: Cloudflare.
• Destinatários legais: autoridades fiscais, judiciais ou administrativas, quando exigido por lei.

5. Transferências internacionais

Os subcontratantes principais (alojamento, base de dados, email transacional) estão localizados na União Europeia. Quando algum prestador secundário (por exemplo, CDN) implicar transferências para fora do EEE, as mesmas são realizadas com base em decisão de adequação da Comissão Europeia ou em Cláusulas Contratuais-Tipo (SCC) aprovadas pela Decisão de Execução (UE) 2021/914, complementadas, quando necessário, por medidas suplementares (encriptação em trânsito e em repouso).

6. Direitos dos titulares

Nos termos dos Arts. 15.º a 22.º do RGPD, tem direito a:

• Acesso aos seus dados pessoais
• Retificação de dados inexatos
• Apagamento ('direito ao esquecimento') quando aplicável
• Limitação ou oposição ao tratamento
• Portabilidade dos dados que forneceu, em formato estruturado
• Retirada do consentimento, sem afetar a licitude do tratamento já realizado
• Apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD), www.cnpd.pt

Para exercer estes direitos, contacte-nos por email em organizacao@saojoaodesobrado.pt.

7. Conservação dos dados

Os prazos de conservação seguem o princípio da limitação da conservação (Art. 5.º n.º 1 al. e) RGPD) e as obrigações legais aplicáveis. Em concreto:

• Dados de faturação e contabilidade: 10 anos (Art. 123.º do CIRC).
• Dados de conta de utilizador: enquanto a conta estiver ativa, mais 12 meses de inatividade, findos os quais é eliminada ou anonimizada.
• Logs técnicos e de segurança: 6 a 12 meses, salvo necessidade superior por incidente de segurança.
• Conteúdos da secção 'Memórias' aprovados: até retirada do consentimento pelo titular ou cessação do interesse cultural; em caso de submissão rejeitada, 30 dias.
• Lista de emails dessubscritos: indefinidamente, para impedir reenvio (interesse legítimo).

8. Segurança

São aplicadas medidas técnicas e organizativas adequadas: HTTPS obrigatório (HSTS), encriptação em trânsito e em repouso, autenticação multi-fator no backoffice quando aplicável, controlo de acessos baseado em papéis (RBAC) com Row-Level Security ao nível da base de dados, registo de auditoria, rate limiting e proteção anti-bot.

9. Cookies e armazenamento local

Consulte a nossa Política de Cookies para detalhes sobre o armazenamento local utilizado e o respetivo modelo de consentimento.

11. Limites de verificação de conteúdos submetidos por utilizadores

Não verificamos a autoria, datação ou veracidade de conteúdos submetidos por terceiros. O utilizador é o único responsável pelo que submete.

• Não verificamos a autoria nem a datação dos conteúdos.
• Não validamos a identidade de pessoas retratadas.
• Não confirmamos direitos de propriedade intelectual sobre os materiais.
• Reservamo-nos o direito de remover conteúdos que violem a lei ou estas políticas.

12. Direitos das pessoas retratadas em fotografias

Pessoas identificáveis em fotografias submetidas por terceiros têm direito a:

• Solicitar a remoção da imagem em que figuram.
• Solicitar a anonimização (desfocagem) da sua imagem.
• Opor-se à utilização para fins de divulgação pública.

13. Limitação de responsabilidade pelo conteúdo de terceiros

Atuamos como anfitrião técnico de conteúdos submetidos por utilizadores ('Memórias'), nos termos do regime de responsabilidade dos prestadores de serviços da sociedade da informação (Decreto-Lei n.º 7/2004). Removemos conteúdos ilícitos logo que tenhamos conhecimento efetivo dos mesmos.

14. Menores

Em Portugal, o consentimento direto para serviços da sociedade da informação só é válido a partir dos 13 anos (Art. 16.º da Lei n.º 58/2019). Abaixo dessa idade, é necessária autorização dos titulares das responsabilidades parentais. Se tomarmos conhecimento do tratamento de dados de menor de 13 anos sem autorização, os dados são eliminados.

15. Decisões automatizadas

Não tomamos decisões individuais automatizadas, incluindo definição de perfis, com efeitos jurídicos ou similarmente significativos (Art. 22.º do RGPD).

16. Alterações a esta política

Esta política pode ser atualizada. A versão e data em vigor estão indicadas no topo. Alterações substanciais serão comunicadas através do site e, quando aplicável, por email.

17. Contacto e reclamações

Para qualquer pedido relativo a proteção de dados, ou para apresentar reclamação interna antes de recorrer à autoridade de controlo, contacte-nos em organizacao@saojoaodesobrado.pt.