Política de Privacidade
1. Introdução
A presente Política de Privacidade ("Política") rege a recolha, utilização, divulgação e demais Tratamento de Dados Pessoais por parte de Shelton Lalgy, empresário em nome individual com a designação comercial ShapeLab ("ShapeLab", "nós"), no exercício de actividade ao abrigo da lei da República de Moçambique, no âmbito das aplicações móveis "ShapeLab Coach" e "ShapeLab" (as "Apps") e do painel de administração web (em conjunto, os "Serviços").
Ao criar uma conta ou utilizar os Serviços de qualquer outra forma, o utilizador ("Utilizador", "você") reconhece que leu, compreendeu e aceita as práticas descritas na presente Política. Se não concorda, deve abster-se de utilizar os Serviços.
A ShapeLab actua na qualidade de Responsável pelo Tratamento dos Dados Pessoais tratados através dos Serviços, salvo expressa indicação em contrário.
2. Definições
- "Dados Pessoais" significa qualquer informação relativa a uma pessoa singular identificada ou identificável, conforme definido no Regulamento Geral sobre a Proteção de Dados da UE 2016/679 ("RGPD") e na Lei moçambicana n.º 3/2017, de 9 de Janeiro (Lei da Protecção de Dados Pessoais).
- "Categorias Especiais de Dados Pessoais" significa dados que revelem informações de saúde e demais categorias enumeradas no artigo 9.º, n.º 1, do RGPD.
- "Tratamento" significa qualquer operação efectuada sobre Dados Pessoais, incluindo recolha, registo, conservação, utilização, divulgação e apagamento.
- "Subcontratante" significa qualquer terceiro contratado por nós para tratar Dados Pessoais por nossa conta.
- "Coach" significa um Utilizador registado como treinador de nutrição ou fitness.
- "Cliente" significa um Utilizador registado como atleta associado a um Coach.
- "Super-Administrador" significa o operador dos Serviços com privilégios administrativos.
3. Identidade do Responsável e Contactos
| Responsável pelo Tratamento | Shelton Lalgy, empresário em nome individual com a designação comercial ShapeLab |
|---|---|
| Local de actividade | Moçambique |
| Contacto para protecção de dados | support@shapelab.co.mz |
| Correspondência postal | Avenida União Africana 4341, Matola, Moçambique |
A ShapeLab não designou um Encarregado da Protecção de Dados ("EPD"), uma vez que tal designação não é obrigatória ao abrigo da legislação aplicável, atenta a natureza e a escala do Tratamento que efectuamos. Qualquer questão relacionada com o Tratamento de Dados Pessoais deve ser dirigida ao contacto acima.
4. Categorias de Dados Pessoais Tratados
Tratamos as seguintes categorias de Dados Pessoais, distinguindo entre os fornecidos pelo Utilizador, os gerados através da utilização dos Serviços e os recolhidos junto de terceiros.
4.1 Dados de Conta (fornecidos pelo Utilizador)
- Nome completo
- Endereço de e-mail
- Palavra-passe (armazenada apenas como hash criptográfico com salt através do Firebase Authentication; nunca temos acesso ao texto em claro)
- Número de telefone (opcional)
- Identificador de conta Google (apenas se optar por autenticação via Google Sign-In)
4.2 Dados de Perfil e Aptidão Física (apenas Clientes, fornecidos pelo Utilizador)
- Peso corporal (kg)
- Altura (cm)
- Idade e sexo biológico
- Percentagem de gordura corporal (opcional)
- Nível de actividade física auto-declarado
- Objectivos pessoais nutricionais ou de fitness
4.3 Dados de Progresso (apenas Clientes, gerados através da utilização)
- Registos periódicos de check-in, incluindo peso corporal e medidas de circunferência (cintura, anca, peito, braço, coxa)
- Notas em texto livre
- Fotografias de progresso voluntariamente carregadas pelo Cliente
4.4 Dados de Coaching (gerados através da utilização)
- Planos nutricionais, planos de treino e feedback elaborados pelo Coach
- Comunicações entre Coach e Cliente realizadas no âmbito das Apps
4.5 Dados de Subscrição e Pagamento (apenas Coaches)
- Tipo de subscrição, número de slots atribuídos e datas de renovação
- Referências manuais a pagamentos efectuados fora da plataforma (por exemplo, identificadores de transacção M-Pesa e montantes em Meticais Moçambicanos)
Não tratamos números de cartões de pagamento, dados bancários ou outros dados de instrumentos financeiros através dos Serviços.
4.6 Dados Técnicos (gerados automaticamente)
- Tokens de notificações push do dispositivo (Apple Push Notification service, Firebase Cloud Messaging)
- Registos temporais de eventos a nível de aplicação necessários ao funcionamento dos Serviços
- Endereço IP e metadados de pedido tratados de forma transitória pelos nossos fornecedores de infra-estrutura cloud (não conservados pela ShapeLab)
4.7 Categorias Especiais de Dados Pessoais — Saúde
Quando o Utilizador concede autorização explícita no seu dispositivo, a App Coach pode ler dados de saúde e fitness do Apple HealthKit (iOS) ou do Android Health Connect (Android) (em conjunto, "Dados de Plataforma de Saúde"). Tais dados podem incluir calorias queimadas, passos, frequência cardíaca, sono, peso corporal e composição corporal.
Os Dados de Plataforma de Saúde são tratados exclusivamente no dispositivo do Utilizador, para efeitos de visualização na App Coach, e não são transmitidos para os nossos servidores, subcontratantes ou qualquer terceiro. A retirada do consentimento ao nível do sistema operativo cessa imediatamente este Tratamento.
4.8 Categorias de Dados Pessoais que expressamente NÃO tratamos
Não recolhemos, tratamos nem armazenamos: dados de geolocalização precisa ou aproximada; contactos; calendário; SMS ou registos de chamadas; áudio do microfone; identificadores publicitários (IDFA, AAID); analítica comportamental; ou cookies de rastreio de terceiros.
5. Finalidades e Fundamentos Jurídicos do Tratamento
Tratamos Dados Pessoais para as seguintes finalidades, baseando-nos em cada caso no fundamento jurídico identificado abaixo nos termos do artigo 6.º, n.º 1, do RGPD (ou no seu equivalente funcional ao abrigo da Lei moçambicana n.º 3/2017):
| # | Finalidade | Fundamento Jurídico |
|---|---|---|
| (a) | Criação de conta, autenticação e gestão de conta | Execução de contrato — Art. 6.º, n.º 1, alínea b) |
| (b) | Disponibilização de planos nutricionais e de treino, cálculo de objectivos de macronutrientes, monitorização de progresso | Execução de contrato — Art. 6.º, n.º 1, alínea b) |
| (c) | Comunicação Coach-Cliente e notificações | Execução de contrato — Art. 6.º, n.º 1, alínea b) |
| (d) | Registo de pagamentos e gestão de subscrição | Execução de contrato — Art. 6.º, n.º 1, alínea b); Obrigação legal — Art. 6.º, n.º 1, alínea c) |
| (e) | Detecção e prevenção de fraude, abuso e incidentes de segurança | Interesses legítimos — Art. 6.º, n.º 1, alínea f) |
| (f) | Cumprimento de obrigações legais (e.g. fiscais, contabilísticas, resposta a pedidos legítimos de autoridade) | Obrigação legal — Art. 6.º, n.º 1, alínea c) |
| (g) | Estimativa de gordura corporal assistida por IA (apenas a pedido do Utilizador) | Consentimento explícito — Art. 6.º, n.º 1, alínea a) e Art. 9.º, n.º 2, alínea a) |
| (h) | Leitura de Dados de Plataforma de Saúde no dispositivo | Consentimento explícito — Art. 6.º, n.º 1, alínea a) e Art. 9.º, n.º 2, alínea a) |
Não nos baseamos em interesses legítimos para o Tratamento de Categorias Especiais de Dados Pessoais; tal Tratamento é sempre realizado com base no consentimento explícito do Utilizador.
6. Tratamento por IA — Funcionalidade de Estimativa de Gordura Corporal
Quando o Cliente opta expressamente por utilizar a funcionalidade opcional de "estimativa de gordura corporal por IA":
- Uma fotografia submetida pelo Cliente é transmitida, através do nosso backend Cloud Functions, para a Anthropic, PBC ("Anthropic"), operadora da interface de programação Claude Vision, com a finalidade exclusiva de devolver uma estimativa numérica da percentagem de gordura corporal.
- A fotografia é tratada pela Anthropic em conformidade com os seus termos comerciais e política de privacidade, disponíveis em https://www.anthropic.com. Nos termos da API standard da Anthropic, o conteúdo do cliente não é utilizado para treinar os modelos da Anthropic, salvo autorização separada.
- A utilização desta funcionalidade está sujeita a um limite quantitativo de quatro (4) pedidos por Utilizador por mês civil.
- A estimativa produzida tem natureza não diagnóstica, é meramente indicativa, e não pode em caso algum ser interpretada como aconselhamento médico, nutricional ou profissional.
- A ShapeLab não conserva a fotografia para além do tempo necessário à execução do pedido, salvo se a fotografia integrar um registo de check-in voluntariamente guardado pelo Cliente.
Ao invocar esta funcionalidade, o Cliente presta consentimento explícito para a transmissão da fotografia à Anthropic para a finalidade indicada.
7. Fontes dos Dados Pessoais
Os Dados Pessoais que tratamos são recolhidos das seguintes fontes:
- Directamente do Utilizador, quando se regista, completa o seu perfil, realiza check-ins, carrega fotografias ou interage com os Serviços.
- Automaticamente do dispositivo do Utilizador, no que respeita aos dados técnicos referidos em §4.6.
- Do seu Coach (no caso dos Clientes), no que respeita a planos nutricionais e de treino atribuídos.
- De fornecedores terceiros de autenticação (Google), quando opta por utilizar Google Sign-In, limitada aos campos divulgados no momento da autenticação.
Não adquirimos Dados Pessoais junto de data brokers ou fontes comerciais de Dados Pessoais.
8. Divulgação de Dados Pessoais e Subcontratantes
Não vendemos, alugamos ou divulgamos comercialmente Dados Pessoais a terceiros.
Os Dados Pessoais podem ser divulgados a, ou tratados por, os seguintes Subcontratantes, que actuam segundo as nossas instruções documentadas e estão vinculados por proteções contratuais adequadas:
| Subcontratante | Função | Categorias Tratadas | Localização do Tratamento |
|---|---|---|---|
| Google LLC (Firebase Authentication, Cloud Firestore, Cloud Storage, Cloud Functions, Cloud Messaging) | Alojamento e infra-estrutura central da plataforma | Todos os Dados Pessoais excepto Dados de Plataforma de Saúde | União Europeia (Frankfurt / Zurique, região eur3); cache transitória em edge a nível global |
| Apple Inc. (Apple Push Notification service) | Encaminhamento de notificações push para dispositivos iOS | Tokens de notificação push, conteúdo da mensagem | Infra-estrutura Apple |
| Expo Inc. (Expo Push Service) | Encaminhamento de notificações push | Tokens de notificação push, conteúdo da mensagem | Estados Unidos |
| Anthropic, PBC | Estimativa de gordura corporal por IA (apenas quando o Utilizador invoca a funcionalidade) | Dados fotográficos submetidos pelo Cliente | Estados Unidos |
| Google LLC (Google Sign-In, Google Health Connect) | Autenticação; acesso a dados de saúde no dispositivo | Identificadores de autenticação; Dados de Plataforma de Saúde (apenas no dispositivo) | Conforme termos da Google |
| Apple Inc. (HealthKit) | Acesso a dados de saúde no dispositivo (App Coach, iOS) | Dados de Plataforma de Saúde (apenas no dispositivo) | No dispositivo |
Podemos ainda divulgar Dados Pessoais: (i) para cumprir lei aplicável, ordem judicial ou pedido legítimo de autoridade competente; (ii) para fazer cumprir os nossos termos de serviço ou proteger os nossos direitos, propriedade ou segurança, ou os dos nossos Utilizadores ou terceiros; ou (iii) no contexto de uma operação societária (fusão, aquisição ou venda de activos), caso em que os Utilizadores serão notificados.
9. Transferências Internacionais de Dados
Os Subcontratantes acima listados podem tratar Dados Pessoais em jurisdições fora de Moçambique e fora do Espaço Económico Europeu, incluindo nos Estados Unidos. Quando aplicável, recorremos às seguintes garantias para tais transferências:
- Cláusulas Contratuais-Tipo ("CCT") aprovadas pela Comissão Europeia, incorporadas por referência nos nossos contratos com a Google, Apple, Expo e Anthropic.
- Decisões de adequação da Comissão Europeia, quando aplicável.
- Medidas técnicas suplementares, incluindo encriptação em trânsito (TLS 1.2 ou superior) e em repouso.
Pode solicitar uma cópia das garantias relevantes contactando-nos no endereço indicado em §3.
10. Prazos de Conservação
Conservamos Dados Pessoais apenas pelo tempo necessário para cumprir as finalidades para as quais foram recolhidos, incluindo durante o período da relação contratual e por período adicional necessário para cumprir obrigações legais ou para exercer ou defender direitos em juízo.
| Categoria | Prazo de Conservação |
|---|---|
| Dados de Conta | Duração da conta, acrescido de trinta (30) dias após pedido de eliminação |
| Dados de Perfil, Aptidão Física e Progresso | Duração da conta, acrescido de trinta (30) dias após pedido de eliminação |
| Fotografias de progresso (Cloud Storage) | Duração da conta, acrescido de trinta (30) dias após pedido de eliminação |
| Registos de Subscrição e Pagamento | Sete (7) anos após o termo da relação contratual, para efeitos fiscais e contabilísticos |
| Registos de auditoria de acções administrativas | Sete (7) anos, para efeitos de conformidade e segurança |
| Tokens de notificação push | Até serem revogados pelo Utilizador ou expirarem ao nível do sistema operativo |
| Cópias de segurança (Firebase) | Sete (7) dias rolantes, automaticamente eliminadas |
Após eliminação da conta, os Dados Pessoais são removidos dos sistemas activos no prazo de trinta (30) dias. Os Dados Pessoais que persistam em sistemas de backup com prazo limitado são sobrescritos no decurso normal das operações.
11. Medidas de Segurança
Implementamos medidas técnicas e organizativas adequadas para garantir um nível de segurança adequado ao risco, designadamente:
- Encriptação de todas as comunicações em trânsito utilizando Transport Layer Security (TLS 1.2 ou superior);
- Encriptação em repouso dos dados armazenados, em conformidade com as práticas standard da Google Cloud Platform;
- Controlo de acesso baseado em funções aplicado server-side através das Firestore Security Rules e Cloud Storage Security Rules, garantindo isolamento estrito de dados entre Coaches, entre Coaches e Clientes de outros Coaches, e excluindo o Super-Administrador do acesso a Dados Pessoais de Clientes;
- Restrição do acesso às fotografias de progresso ao Cliente que as carregou e ao Coach a si associado, exclusivamente;
- Proteção contra captura de ecrã nos ecrãs que apresentam imagens sensíveis (quando suportada pelo sistema operativo);
- Registo e auditoria de todas as acções administrativas;
- Revisão periódica de permissões de acesso e configurações de segurança.
Nenhum sistema pode garantir segurança absoluta. Em caso de violação de Dados Pessoais susceptível de implicar risco para os direitos e liberdades das pessoas singulares, notificaremos a autoridade de controlo competente e, sempre que exigido, os Utilizadores afectados, sem demora indevida e, em qualquer caso, dentro dos prazos prescritos pela legislação aplicável.
12. Os Seus Direitos enquanto Titular dos Dados
Sujeito às condições e limitações estabelecidas no RGPD e na Lei moçambicana n.º 3/2017, o Utilizador goza dos seguintes direitos relativamente aos seus Dados Pessoais:
- Direito de acesso (Art. 15.º RGPD): obter confirmação de que os seus Dados Pessoais estão a ser tratados, e aceder a tais dados;
- Direito de retificação (Art. 16.º RGPD): obter a correcção de Dados Pessoais inexactos ou incompletos;
- Direito ao apagamento ("direito a ser esquecido", Art. 17.º RGPD): obter a eliminação dos seus Dados Pessoais, sujeito às exceções aplicáveis;
- Direito à limitação do tratamento (Art. 18.º RGPD);
- Direito à portabilidade dos dados (Art. 20.º RGPD): receber os seus Dados Pessoais em formato estruturado, de uso corrente e de leitura automática. Disponibilizamos exportações em PDF de planos nutricionais e tabelas de equivalências; outros dados podem ser fornecidos mediante pedido;
- Direito de oposição (Art. 21.º RGPD), quando o Tratamento se baseia em interesses legítimos;
- Direito de retirar o consentimento (Art. 7.º, n.º 3, RGPD), a qualquer momento, sem afectar a licitude do Tratamento anterior;
- Direito a não ficar sujeito a decisões automatizadas (Art. 22.º RGPD), incluindo definição de perfis que produza efeitos jurídicos ou similarmente significativos. Não realizamos tais decisões automatizadas.
Para exercer qualquer destes direitos, contacte-nos em support@shapelab.co.mz. Responderemos no prazo de trinta (30) dias após recepção de pedido verificável, prorrogável por mais sessenta (60) dias quando necessário tendo em conta a complexidade e o número de pedidos, caso em que informaremos o Utilizador da prorrogação e dos respectivos motivos.
Podemos recusar pedidos manifestamente infundados ou excessivos, em especial se forem repetitivos, ou cobrar uma taxa razoável tendo em conta os nossos custos administrativos.
13. Eliminação de Conta e de Dados
O Utilizador pode solicitar a eliminação da sua conta e Dados Pessoais associados enviando pedido verificável para support@shapelab.co.mz. As Apps Coach e Cliente também disponibilizam funcionalidade de eliminação in-app, quando disponível.
A eliminação resulta no apagamento permanente dos Dados Pessoais no prazo de trinta (30) dias, salvo no que respeita a: (i) dados sujeitos a obrigações legais de conservação obrigatória (e.g. registos fiscais); (ii) dados necessários para defender direitos em juízo; e (iii) dados que persistam em sistemas de backup com prazo limitado, aguardando sobreescrita automática.
Sendo o Utilizador um Coach, a eliminação da sua conta pode ter impacto sobre os Clientes a si associados. Sempre que razoavelmente possível, notificaremos previamente os Clientes afectados.
14. Crianças
Os Serviços não se destinam a, e não recolhemos conscientemente Dados Pessoais de, pessoas com idade inferior a dezasseis (16) anos. Se o Utilizador tem idade inferior, não deve utilizar os Serviços.
Caso tomemos conhecimento de que recolhemos inadvertidamente Dados Pessoais de pessoa com idade inferior à indicada, sem consentimento verificável de titular de responsabilidade parental, tomaremos medidas céleres para eliminar tais dados. Pais ou tutores que tomem conhecimento de tal recolha são convidados a contactar-nos no endereço indicado em §3.
15. Cookies, Rastreadores e Analítica Comportamental
As Apps não utilizam cookies, web beacons, kits de desenvolvimento de software ("SDKs") para analítica comportamental, identificadores publicitários ou qualquer outra tecnologia de rastreio para fins de marketing ou de analítica. Não realizamos rastreio entre apps ou entre sites.
O painel administrativo web pode utilizar cookies de primeira parte estritamente necessárias à manutenção de uma sessão autenticada.
16. Conteúdo Fotográfico e Imagens Sensíveis
As fotografias de progresso carregadas pelos Clientes são privadas, acessíveis exclusivamente ao Cliente que as carregou e ao Coach a si associado, e armazenadas no Firebase Storage com acesso restringido pelas Storage Security Rules. Aplicamos proteção contra captura de ecrã nos ecrãs relevantes, quando suportada pelo sistema operativo.
O Utilizador compromete-se a não carregar fotografias ilegais, sexualmente explícitas, ou que retratem terceiros sem o seu consentimento. Reservamo-nos o direito de remover conteúdo não conforme e de suspender ou rescindir contas em conformidade com os nossos Termos de Serviço.
17. Pagamentos
Sendo o Utilizador um Coach, as taxas de subscrição são liquidadas através de instrumentos de pagamento fora da plataforma (designadamente M-Pesa). Registamos apenas a referência da transacção, o montante e a data de confirmação. Não tratamos nem armazenamos dados de cartões de pagamento, credenciais bancárias, credenciais de carteiras móveis ou dados de autenticação biométrica de qualquer espécie.
18. Serviços de Terceiros
Quando os Serviços interoperam com plataformas de terceiros (e.g. Google Sign-In, Apple HealthKit, Google Health Connect), o Tratamento dos Dados Pessoais por tais terceiros rege-se pelas respectivas políticas de privacidade, que recomendamos a sua consulta. Não somos responsáveis pelas práticas de privacidade de terceiros.
19. Alterações à Presente Política
Podemos alterar a presente Política periodicamente para reflectir alterações nas nossas práticas, nos Serviços ou na legislação aplicável. A data de "Última atualização" no topo desta Política será actualizada em conformidade. Alterações materiais serão notificadas aos Utilizadores in-app ou via endereço de e-mail associado à conta, antes da entrada em vigor das alterações, sempre que exigido por lei.
A utilização continuada dos Serviços após a data de entrada em vigor da Política revista constitui aceitação das alterações.
20. Reclamações e Autoridade de Controlo
O Utilizador tem o direito de apresentar reclamação junto da autoridade de controlo competente em matéria de protecção de dados no seu país de residência, local de trabalho ou local da alegada infração.
Em Moçambique, a autoridade competente está estabelecida ao abrigo da Lei n.º 3/2017. Utilizadores residentes no Espaço Económico Europeu podem apresentar reclamação junto da respectiva autoridade local de protecção de dados.
21. Lei Aplicável e Foro
A presente Política e quaisquer litígios dela emergentes ou com ela relacionados serão regidos e interpretados em conformidade com a lei da República de Moçambique, com exclusão das suas regras de conflitos de leis.
Os tribunais competentes de Maputo têm jurisdição exclusiva para dirimir qualquer litígio emergente ou relacionado com a presente Política, sem prejuízo de regras imperativas de lei que possam conferir ao Utilizador o direito de propor acção no seu país de residência.
22. Contacto
Para qualquer matéria relativa à presente Política, ao exercício dos seus direitos ou a qualquer preocupação relativa ao Tratamento dos seus Dados Pessoais:
Shelton Lalgy, empresário em nome individual com a designação comercial ShapeLab
Avenida União Africana 4341, Matola, Moçambique
Email: support@shapelab.co.mz
A presente Política é publicada em português e em inglês. Em caso de discrepância entre as duas versões, prevalece a versão portuguesa.