Política de Privacidade

1. Quem somos e como nos contactar

O Geometry Mapping Tool («GMT», «nós») é uma ferramenta online para aprender e ensinar Geometria Descritiva, disponível em geometrymappingtool.com.

O GMT é gerido por uma pessoa singular, não por uma empresa. O responsável pelo tratamento dos dados pessoais aqui descritos é João Romano Barbosa, trabalhador independente estabelecido em Espanha, com NIE Z2120363K, e endereço para notificações em Calle de Orense 6-B6, 28020 Madrid, Espanha.

Para qualquer questão de privacidade, ou para exercer os direitos descritos no ponto 8, escreva para info@geometrymappingtool.com. Não designámos um Encarregado de Proteção de Dados, nem estamos obrigados a fazê-lo: não se verifica nenhum dos casos previstos no artigo 37.º do RGPD numa atividade deste tipo e dimensão.

2. Que dados pessoais recolhemos

Recolhemos apenas o necessário para prestar o serviço:

• Conta e perfil: o seu endereço de e-mail, o nome de utilizador, uma profissão ou função opcional e a sua palavra-passe — guardada apenas sob a forma de hash com sal, pelo que nunca a vemos em texto simples. Se iniciar sessão com a Google, recebemos também o identificador e o nome da sua conta Google.
• O que cria na ferramenta: as suas fichas de trabalho e a geometria do sandbox, os relatórios de erro que nos envia, as suas definições de interface e a data do último início de sessão.
• Faturação: os pagamentos são processados pela Stripe. Guardamos os identificadores de cliente e de subscrição da Stripe e o estado do seu plano. Nunca recebemos nem guardamos o número do seu cartão.
• Analítica: apenas se aceitar os cookies de analítica, o Google Analytics recolhe eventos de utilização e identificadores. Consulte a nossa Política de Cookies para os detalhes.
• Membros inscritos por uma instituição: quando uma escola ou organização o inscreve, recebemos o seu e-mail e nome através dessa instituição.

3. Para que usamos os seus dados e com que fundamento

Nos termos do artigo 6.º do RGPD, cada utilização dos seus dados assenta num dos seguintes fundamentos:

• Criar e gerir a sua conta e disponibilizar a ferramenta — execução do contrato consigo celebrado.
• Cobrar pagamentos e gerir subscrições, e conservar os registos contabilísticos exigidos por lei — execução do contrato e cumprimento de obrigação jurídica.
• Manter o serviço seguro, prevenir abusos e diagnosticar falhas — o nosso interesse legítimo num serviço funcional e seguro.
• Enviar mensagens de serviço, como verificação de e-mail, reposição de palavra-passe e mensagens de boas-vindas de organizações — execução do contrato e interesse legítimo.
• Medir a utilização da ferramenta para a melhorarmos — o seu consentimento, dado através do banner de cookies e retirável a qualquer momento.

4. Decisões automatizadas e definição de perfis

Não tomamos decisões sobre si exclusivamente por meios automatizados, nem procedemos à definição de perfis que produza efeitos jurídicos ou que o afete significativamente de forma similar, na aceção do artigo 22.º do RGPD. A analítica, quando consentida, é utilizada de forma agregada para compreender como a ferramenta é usada — não para tomar decisões sobre pessoas.

5. Com quem partilhamos os seus dados

Não vendemos os seus dados pessoais. Partilhamo-los apenas com prestadores que os tratam segundo as nossas instruções, ao abrigo de um contrato escrito de subcontratação, e apenas na medida do necessário para prestar o serviço:

• Resend — envio de e-mails transacionais.
• Stripe — processamento de pagamentos e gestão de subscrições.
• Google — «Iniciar sessão com a Google» e, mediante o seu consentimento, Google Analytics.
• Google Cloud — alojamento da aplicação no Cloud Run, em europe-west1 (Bélgica).
• Neon — a base de dados PostgreSQL, alojada na AWS em eu-central-1 (Frankfurt, Alemanha).
• Se foi inscrito por uma escola ou organização, confirmamos a essa instituição a sua qualidade de membro e o estado da mesma.
• Podemos ainda divulgar dados quando a lei nos obrigue, quando uma autoridade competente o exija validamente, ou quando seja necessário para declarar, exercer ou defender um direito num processo.

6. Transferências para fora do EEE

A aplicação corre na Bélgica e a respetiva base de dados na Alemanha, ambas dentro do Espaço Económico Europeu.

A Google e a Stripe podem também tratar dados fora do EEE, incluindo nos Estados Unidos. Ambas estão certificadas no Quadro de Privacidade de Dados UE–EUA, a decisão de adequação adotada pela Comissão Europeia em julho de 2023, e ambas se vinculam adicionalmente às Cláusulas Contratuais-Tipo da Comissão quando o Quadro não abrange uma transferência. A Google LLC declara aderir aos Princípios do Quadro; a Stripe indica o Quadro e as Cláusulas no seu contrato de subcontratação.

7. Durante quanto tempo conservamos os seus dados

• Conta e conteúdos que cria: enquanto a sua conta existir. A eliminação da conta apaga-os, conforme descrito no ponto 8.
• Contas nunca ativadas ou sem qualquer atividade podem ser removidas ao fim de cerca de 30 dias.
• As ligações de utilização única expiram rapidamente por desenho: verificação de e-mail ao fim de 24 horas, reposição de palavra-passe ao fim de 2 horas e definição de palavra-passe para organizações ao fim de 30 dias. As sessões duram cerca de 30 dias.
• Registos de faturação e fiscais: conservados pelo prazo exigido pela lei espanhola, que não podemos encurtar a seu pedido — em regra, 6 anos para a documentação comercial nos termos do artigo 30.º do Código Comercial espanhol e 4 anos para efeitos fiscais nos termos da Lei Geral Tributária.
• As cópias de segurança são rotativas, pelo que dados eliminados podem subsistir numa cópia durante um curto período até serem sobrescritos.

8. Os seus direitos

Tem o direito de nos pedir acesso aos seus dados pessoais, bem como a sua retificação ou apagamento; de pedir a limitação do tratamento ou de se opor a ele; de receber os dados num formato portátil; e de retirar, a todo o tempo, qualquer consentimento que tenha dado, sem que isso afete a licitude do tratamento anterior.

Pode exercer a maioria destes direitos de imediato e por si: em Painel → Perfil → Os seus dados pode exportar num ficheiro tudo o que temos sobre si e eliminar definitivamente a sua conta. Na mesma página pode corrigir os seus dados, e pode alterar a sua escolha de cookies a partir do banner a qualquer momento.

Para tudo o resto, escreva para info@geometrymappingtool.com. Respondemos no prazo de um mês, conforme exige o artigo 12.º do RGPD; se o pedido for complexo poderemos prorrogar esse prazo, explicando-lhe porquê.

Se considerar que tratámos mal os seus dados, pode apresentar reclamação junto da autoridade de controlo do país onde reside ou trabalha — em Portugal, a Comissão Nacional de Proteção de Dados (CNPD), em cnpd.pt. Por estarmos estabelecidos em Espanha, a nossa autoridade principal é a Agencia Española de Protección de Datos (AEPD), em aepd.es, e o direito espanhol complementa o RGPD através da Lei Orgânica 3/2018 (LOPDGDD).

9. Escolas, organizações e menores

Quando uma escola ou organização cria a sua conta no âmbito de um programa, é essa instituição que decide as finalidades e os meios do tratamento para esse efeito. É ela o responsável pelo tratamento e cabe-lhe assegurar um fundamento de licitude, informar os alunos e obter o consentimento parental quando a lei o exija. Nessa relação, o GMT atua como subcontratante da instituição, ao abrigo de um contrato de subcontratação.

Fora desse enquadramento, não criamos conscientemente contas para menores. A idade abaixo da qual é necessário o consentimento parental varia na UE — 14 anos em Espanha, nos termos do artigo 7.º da Lei Orgânica 3/2018, tal como em Itália; 13 em Portugal; 16 nalguns outros Estados-Membros — e o cumprimento do limite aplicável é da responsabilidade da instituição que inscreve.

10. Como protegemos os seus dados

Adotamos medidas adequadas ao risco, incluindo palavras-passe guardadas apenas como hash com sal, transporte cifrado (HTTPS) em tudo o que nos envia, controlos de acesso por função e ligações de utilização única com prazo de validade, em vez de alguma vez enviarmos uma palavra-passe por e-mail.

Nenhum sistema é totalmente seguro. Se ocorrer uma violação suscetível de pôr em risco os seus direitos, notificaremos a autoridade de controlo e, nos casos em que o RGPD o exige, também o notificaremos a si.

11. Alterações a esta política

Podemos atualizar esta política — por exemplo, quando acrescentamos uma funcionalidade ou mudamos de prestador. A versão em vigor está sempre nesta página e a data acima indica quando foi alterada pela última vez. Se uma alteração afetar materialmente os seus direitos, informá-lo-emos diretamente, sem nos limitarmos a esta página.