Política de Privacidade

1. Responsável pelo Tratamento

A Unanimous Strategy, Lda., NIF 515 891 398, com sede na Rua do Barroco, 214, Armazém A, 4465-591 Leça do Balio, que opera sob o nome comercial XPace Recuperação & Wellbeing, é responsável pelo tratamento dos dados pessoais recolhidos através da plataforma XPace.

As instalações do XPace situam-se na Rua do Barroco, 214, Fração X, 4465-591 Leça do Balio.

Contacto para questões de proteção de dados e para o exercício de direitos: xpace.recup@gmail.com

2. Dados Recolhidos

Dados que nos fornece:

• Nome completo
• Endereço de email
• Número de telefone
• Morada
• NIF (Número de Identificação Fiscal)
• Data de nascimento
• Nome e telefone do contacto de emergência
• Dados de saúde: declaração de saúde, historial clínico relevante, notas de avaliação e de sessão
• Fotografia ou vídeo para divulgação, quando exista consentimento expresso

Dados gerados pela utilização da plataforma:

• Marcações, sessões, packs e pagamentos
• Registo de aceitação dos documentos legais: versão aceite, data e hora
• Dados técnicos de acesso: endereço IP, tipo de dispositivo e de navegador, e registos de autenticação e de atividade na conta

Dados recolhidos nas instalações:

• Imagens de videovigilância (ver secção 8)

3. Finalidade

• Gestão de conta e autenticação
• Agendamento e gestão de marcações
• Comunicação sobre marcações (confirmações, alterações e cancelamentos)
• Prestação dos serviços em segurança, incluindo a identificação de contraindicações
• Faturação e cumprimento de obrigações fiscais
• Segurança da plataforma, prevenção de utilização indevida e prova da aceitação dos documentos legais
• Segurança de pessoas e bens nas instalações
• Comunicações de marketing e divulgação, quando exista consentimento

4. Base Legal

| Dados | Fundamento | |---|---| | Identificação, contacto, marcações e pagamentos | Execução do contrato — art. 6.º/1/b) do RGPD | | Contacto de emergência | Interesse vital — art. 6.º/1/d) / execução do contrato | | Dados de saúde nos serviços clínicos (fisioterapia, nutrição, psicologia) | Art. 9.º/2/h) — prestação de cuidados de saúde por profissional sujeito a sigilo | | Declaração de saúde para SPA e treino | Art. 9.º/2/a) — consentimento explícito, recolhido em caixa autónoma | | Dados técnicos e registo de aceitação | Interesse legítimo — art. 6.º/1/f) — segurança da plataforma e prova da aceitação | | Imagens de videovigilância | Interesse legítimo — art. 6.º/1/f) | | Faturação | Obrigação legal — art. 6.º/1/c) | | Imagem para divulgação e comunicações de marketing | Consentimento — art. 6.º/1/a), revogável a qualquer momento |

5. Dados de saúde

Os dados de saúde são tratados por profissionais sujeitos a sigilo profissional e são acedidos apenas pelo profissional responsável pelo acompanhamento do utilizador e por quem, na equipa, deles necessite para a prestação do serviço.

Estes dados não são partilhados com sistemas de inteligência artificial nem utilizados para qualquer finalidade que não a prestação do serviço ao próprio utilizador.

6. Subcontratantes e onde os dados são tratados

O XPace recorre a prestadores de serviços tecnológicos para o funcionamento da plataforma:

| Prestador | Finalidade | Onde os dados são tratados | |---|---|---| | Supabase | Base de dados e autenticação | União Europeia — Irlanda | | Vercel | Alojamento da aplicação | União Europeia — França | | Stripe | Processamento de pagamentos | Estados Unidos da América | | Resend | Envio de email transacional e newsletter | Estados Unidos da América |

Dados de saúde. A base de dados que contém as declarações de saúde, o historial clínico e as notas de sessão está alojada na União Europeia (Irlanda). Estes dados não são transferidos para fora do Espaço Económico Europeu.

Transferências para países terceiros. O processamento de pagamentos e o envio de email implicam o tratamento de dados de identificação e contacto nos Estados Unidos. Estas transferências são efetuadas ao abrigo das garantias adequadas previstas no Capítulo V do RGPD, nos termos dos acordos de tratamento de dados celebrados com cada prestador. O utilizador pode solicitar informação sobre as garantias aplicáveis através do contacto indicado na secção 1.

7. Cookies

A plataforma utiliza apenas cookies estritamente necessários ao seu funcionamento: manutenção da sessão iniciada, autenticação e segurança. Sem eles não é possível manter o utilizador autenticado nem efetuar marcações.

Não são utilizados cookies de publicidade, de perfilagem ou de análise comportamental de terceiros. Por serem estritamente necessários, estes cookies não dependem de consentimento prévio, nos termos da legislação aplicável.

O utilizador pode eliminar ou bloquear cookies nas definições do seu navegador, ficando nesse caso impedido de iniciar sessão.

8. Videovigilância

O espaço do XPace, na Rua do Barroco, 214, Fração X, é abrangido por um sistema de videovigilância, para proteção de pessoas e bens e segurança das instalações.

Zonas com câmaras: entrada, receção, sala de treino e sala de SPA — onde se encontram o jacuzzi e os banhos de imersão em água fria —, incluindo a zona de acesso à sauna.

Zonas sem qualquer câmara, sem exceção: interior da sauna, balneários e vestiários, instalações sanitárias, salas de tratamento e de consulta.

O sistema não capta som.

As imagens são conservadas por 30 dias, findos os quais são automaticamente eliminadas, salvo se tiverem de ser preservadas no âmbito de processo judicial ou de investigação criminal.

O acesso às imagens é restrito aos sócios-gerentes, Inês Rodrigues e Luís Saraiva, e ao responsável pela receção. As imagens não são divulgadas a terceiros, exceto às autoridades competentes quando legalmente exigido.

A existência do sistema é sinalizada em local visível à entrada e nas zonas videovigiadas, com indicação do responsável e da forma de contacto, nos termos legais.

9. Conservação

• Dados clínicos: mínimo de 10 anos após a última sessão
• Dados de faturação: 10 anos (obrigação fiscal)
• Imagens de videovigilância: 30 dias
• Contacto de emergência: enquanto durar a relação contratual
• Dados técnicos de acesso: 12 meses
• Contas sem qualquer atividade: eliminação ou anonimização após 3 anos, mediante aviso prévio por email, salvo quanto aos dados sujeitos aos prazos legais acima

10. Decisões automatizadas

O XPace não toma decisões exclusivamente automatizadas que produzam efeitos jurídicos ou afetem significativamente o utilizador, nem realiza qualquer perfilagem. As decisões técnicas sobre os serviços a prestar são sempre tomadas por profissionais da equipa.

11. Direitos do Titular

Nos termos do RGPD, tem direito a:

• Aceder aos seus dados pessoais
• Retificar dados inexatos
• Solicitar a eliminação dos seus dados
• Limitar o tratamento
• Portabilidade dos dados
• Opor-se ao tratamento
• Retirar o consentimento a qualquer momento, nos tratamentos que nele se baseiem

A retirada do consentimento não compromete a licitude do tratamento efetuado com base nesse consentimento até essa data.

Para exercer os seus direitos, contacte-nos através de xpace.recup@gmail.com. O pedido tem resposta no prazo de um mês, prorrogável nos termos legais.

12. Segurança

Implementamos medidas técnicas e organizativas para proteger os dados pessoais, incluindo encriptação em trânsito (TLS), controlo de acesso baseado em funções e políticas de segurança ao nível da base de dados, que limitam o acesso a cada registo ao utilizador a que respeita e aos profissionais autorizados.

13. Reclamações

Tem o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD), através do site www.cnpd.pt.