Política de privacidade

Última atualização: 2026-08-13

Esta Política de privacidade explica que dados pessoais o Arrow Lab trata, com que finalidades, com quem são partilhados e como pode exercer os seus direitos ao abrigo do Regulamento Geral sobre a Proteção de Dados da UE (RGPD) e da Lei Federal Alemã de Proteção de Dados (BDSG).

Esta política aplica-se à aplicação móvel Arrow Lab (Android, iOS) e ao backend do Arrow Lab acessível em https://api.arrowlab.pott.dev.

1. Responsável pelo tratamento

Responsável na aceção do art. 4.º, n.º 7 do RGPD e do § 18, n.º 2 MStV:

Johannes Ptaszyk
Gladbecker Str. 291
46240 Bottrop, Alemanha
E-mail: contact@pott.dev

Não existe um encarregado da proteção de dados legalmente exigido: o responsável situa-se abaixo do limiar do § 38, n.º 1 BDSG. Para qualquer questão relativa à proteção de dados, contacte o endereço acima.

2. Que dados tratamos

| Categoria | Conteúdo | Origem | |---|---|---| | Dados da conta | E-mail, nome apresentado | Fornecedor de identidade (Zitadel Cloud) ao iniciar sessão | | Dados de treino | Sessões, pontuações, arcos, marcas de mira, notas de equipamento, registos meteorológicos que efetue | Dados introduzidos por si na aplicação | | Dados de faturação | Recibos de compra da App Store / Google Play, estado da subscrição Pro, data de expiração | Apple App Store / Google Play (através do RevenueCat) | | Telemetria | Relatórios de falha, rastreios de desempenho, registos de erro | Gerados automaticamente pela aplicação e pelo backend | | Tokens de notificação | Token de registo do Firebase Cloud Messaging | Emitido pelo Firebase no primeiro arranque da aplicação | | Idioma e região do dispositivo | Código de idioma, código de país | Sistema operativo, ao iniciar a aplicação | | Localização aproximada | Latitude / longitude, truncada a 4 casas decimais (cerca de 11 m de precisão) | Apenas quando toca em "Obter meteorologia automaticamente" | | Registos do servidor | Endereço IP, caminho do pedido, data e hora, agente de utilizador | Gerados automaticamente quando a aplicação comunica com o backend | | Telemetria do backend | Rastreios de pedidos, métricas de desempenho, registos da aplicação | Gerados automaticamente pelo backend; segredos e dados pessoais são removidos antes de os dados saírem do nosso servidor | | Estatísticas de utilização anónimas | Ecrãs visitados, utilizadores ativos, sistema operativo / versão da aplicação / idioma, eventos de funcionalidade | Apenas se ativar Estatísticas no ecrã de consentimento. Não contém qualquer identificador, pelo que não pode ser associado a si | | Dados partilhados com clubes e treinadores | As categorias que autorizar expressamente, p. ex. sessões, pontuações, melhores marcas | Apenas mediante uma autorização de acesso criada por si (ver secção 13) |

Não tratamos categorias especiais de dados pessoais (art. 9.º do RGPD: saúde, dados biométricos, religião, opiniões políticas).

É obrigado a fornecer estes dados? Os dados da conta e os dados de treino que introduz são necessários para a execução do contrato: sem eles não podemos disponibilizar conta nem sincronização. Não existe obrigação legal de os fornecer, mas sem conta o Serviço não pode ser utilizado. Tudo o que na secção 3 é indicado como assente no consentimento — estatísticas, registo alargado, meteorologia, notificações, partilha com clubes e treinadores — é totalmente voluntário, e a recusa não tem outra consequência além de essa funcionalidade não funcionar.

Decisões automatizadas. Não utilizamos decisões automatizadas que produzam efeitos jurídicos na sua esfera ou que o afetem de modo similarmente significativo (art. 22.º do RGPD), nem realizamos definição de perfis. As estatísticas apresentadas pela aplicação são calculadas a partir dos seus próprios registos e não produzem efeitos jurídicos.

3. Porque os tratamos: finalidades e fundamentos jurídicos

| Finalidade | Fundamento jurídico | Notas | |---|---|---| | Prestar a funcionalidade principal de registo de treino (registo, sincronização, conta) | Art. 6.º, n.º 1, al. b) do RGPD (contrato) | Sem isso não podemos prestar o serviço que subscreveu | | Processar os pagamentos e os direitos da subscrição Pro | Art. 6.º, n.º 1, al. b) do RGPD (contrato) | Os recibos passam da Apple / Google para o RevenueCat e daí para nós | | Detetar falhas e erros operacionais | Art. 6.º, n.º 1, al. f) do RGPD (interesse legítimo) | O nosso interesse num serviço estável prevalece sobre os dados mínimos associados aos relatórios de erro; não são enviados identificadores sem consentimento para o registo alargado | | Enviar notificações push transacionais (lembretes de treino, eventos de sincronização) | Art. 6.º, n.º 1, al. a) do RGPD (consentimento) | Pode revogar a permissão de notificações nas definições do sistema a qualquer momento | | Obter dados meteorológicos para uma sessão de treino | Art. 6.º, n.º 1, al. a) do RGPD (consentimento) | Só ocorre quando toca ativamente em "Obter automaticamente" | | Estatísticas de utilização anónimas e registo de erros alargado, opcionais | Art. 6.º, n.º 1, al. a) do RGPD (consentimento) | Configuráveis no ecrã Definições de cookies; por predefinição desativados | | Partilhar dados de treino com um clube ou treinador a quem concedeu acesso | Art. 6.º, n.º 1, al. a) do RGPD (consentimento) | Apenas as categorias selecionadas e apenas enquanto a autorização durar; ver secção 13 | | Operar o backend de forma fiável (rastreios, métricas, registos) | Art. 6.º, n.º 1, al. f) do RGPD (interesse legítimo) | O nosso interesse num serviço operável; segredos e dados pessoais são removidos antes do envio | | Manter o serviço seguro: registos de acesso ao servidor, defesa contra ataques e abusos, análise de erros | Art. 6.º, n.º 1, al. f) do RGPD (interesse legítimo) | O nosso interesse na integridade e disponibilidade do backend e na segurança dos seus dados. Os registos são conservados apenas pelo tempo necessário a esse fim (secção 6) e não são usados para criar um perfil seu | | Cumprir obrigações legais de conservação contabilística dos dados de faturação | Art. 6.º, n.º 1, al. c) do RGPD (obrigação jurídica) | O § 257 HGB e o § 147 AO exigem a conservação dos dados de fatura durante 10 anos |

4. Subcontratantes e destinatários

4.1 Subcontratantes (art. 28.º do RGPD)

Estes fornecedores tratam os dados exclusivamente segundo as nossas instruções. Com cada um deles existe um contrato de subcontratação.

| Subcontratante | Localização | Finalidade | |---|---|---| | Zitadel Cloud (CAOS AG) | Suíça (Zurique) | Fornecedor de identidade: início de sessão, e-mail e nome apresentado | | RevenueCat Inc. | EUA (Califórnia) | Gestão de subscrições: associa os recibos da Apple/Google à sua conta | | Google LLC (Firebase Cloud Messaging) | EUA / Irlanda | Entrega de notificações push ao seu dispositivo | | Functional Software, Inc. (Sentry) | Região UE (Frankfurt) | Relatórios de falha do cliente, com residência de dados na UE | | Grafana Labs | UE (Frankfurt) | Telemetria do backend: rastreios, métricas e registos do nosso servidor | | Aptabase | Alemanha | Estatísticas de utilização anónimas, apenas com as estatísticas ativas; não recebe qualquer identificador | | Hetzner Online GmbH | Alemanha (Nuremberga) | Alojamento do servidor virtual, a base de dados PostgreSQL que armazena os seus dados de treino e cópias de segurança cifradas em armazenamento de objetos |

4.2 Responsáveis autónomos

As entidades seguintes não são nossos subcontratantes. Determinam por si as finalidades e os meios, respondem por esse tratamento a título próprio e a ele aplicam-se as respetivas políticas de privacidade. Não temos controlo sobre esse tratamento nem podemos responder em seu nome a pedidos dos titulares dos dados.

| Entidade | Papel | Política de privacidade | |---|---|---| | Apple Inc. | Distribuição na App Store, compras na aplicação e processamento de pagamentos na qualidade de vendedor | https://www.apple.com/legal/privacy/ | | Google Ireland Ltd. / Google LLC | Distribuição no Google Play, Google Play Billing na qualidade de vendedor | https://policies.google.com/privacy | | Clubes e treinadores a quem conceda acesso | O que fizerem com os dados fora do Arrow Lab (ver secção 13) | Disponibilizada por eles |

4.3 Sem transmissão de dados pessoais

O pedido meteorológico ao MET Norway não constitui uma relação de subcontratação nos termos do art. 28.º do RGPD nem uma transmissão de dados pessoais: não é transmitido qualquer identificador pessoal, apenas um par de coordenadas opaco com 4 casas decimais e um agente de utilizador genérico. O MET Norway não consegue associar o pedido à sua conta ou ao seu dispositivo.

5. Transferências para países terceiros

Alguns subcontratantes estão sediados fora do Espaço Económico Europeu:

• Suíça (Zitadel Cloud): a Comissão Europeia reconheceu que a Suíça assegura um nível adequado de proteção de dados (art. 45.º do RGPD).
• Estados Unidos (RevenueCat, Apple, Google): as transferências baseiam-se no Quadro de Privacidade de Dados UE-EUA (decisão de adequação de 10-07-2023, art. 45.º do RGPD) quando o destinatário está certificado, ou, subsidiariamente, nas cláusulas contratuais-tipo nos termos do art. 46.º, n.º 2, al. c) do RGPD.
• A Grafana Labs é uma sociedade constituída nos EUA, mas a infraestrutura que utilizamos está alojada na UE (Frankfurt) e os dados permanecem aí. A qualquer acesso a partir da empresa-mãe aplicam-se as mesmas garantias acima referidas.

Pode solicitar uma cópia das cláusulas contratuais-tipo escrevendo para o endereço do responsável indicado na secção 1.

6. Durante quanto tempo conservamos os dados

| Dados | Conservação | |---|---| | Conta, dados de treino, arcos, marcas de mira | Até eliminar a sua conta, acrescido de um período de tolerância de 30 dias durante o qual pode restaurá-la voltando a iniciar sessão | | Cópias de segurança com os dados acima | Período de tolerância mais 30 dias adicionais em cópias cifradas no Hetzner Object Storage | | Recibos de faturação (dados de fatura) | 10 anos, conforme exigido pelo § 257 HGB e pelo § 147 AO | | Relatórios de falha e de erro | Janela móvel de 90 dias | | Registos de acesso, rastreios e métricas do servidor | Até 30 dias para registos e rastreios; as métricas agregadas sem dados pessoais são conservadas por mais tempo | | Estatísticas de utilização anónimas | Conservadas como contagens agregadas. Sem identificador, não há nada que possa ser associado a si ou eliminado individualmente | | Tokens de notificação | Atualizados a cada arranque da aplicação; eliminados quando revoga a permissão de notificações e removidos assim que a plataforma indica que o token deixou de ser entregável (por exemplo, após desinstalação) | | Registos meteorológicos associados a uma sessão | A mesma duração da sessão a que pertencem |

7. Os seus direitos

Nos termos dos arts. 15.º a 22.º do RGPD assistem-lhe os seguintes direitos. Para os exercer, escreva para contact@pott.dev ou utilize os caminhos indicados na aplicação. Respondemos no prazo de um mês (art. 12.º, n.º 3 do RGPD).

• Direito de acesso (art. 15.º): solicitar uma cópia dos seus dados. Na aplicação: Perfil → Exportar dados da conta.
• Direito de retificação (art. 16.º): corrigir dados inexatos. Na aplicação: Perfil → Editar nome apresentado; para outros campos, escreva-nos.
• Direito ao apagamento (art. 17.º): na aplicação, Perfil → Eliminar conta (confirmação escrevendo o e-mail).
• Direito à limitação (art. 18.º): limitar o tratamento enquanto decorrer um litígio.
• Direito à portabilidade (art. 20.º): receber os seus dados num formato legível por máquina (JSON). Na aplicação: Perfil → Exportar.
• Direito de oposição (art. 21.º): opor-se ao tratamento baseado no interesse legítimo. Na aplicação: revogar o consentimento em Perfil → Definições de cookies, ou escrever-nos.
• Direito de retirar o consentimento (art. 7.º, n.º 3): para qualquer tratamento baseado no consentimento. Na aplicação: Perfil → Definições de cookies. A retirada não afeta a licitude do tratamento anterior.
• Direito de apresentar reclamação junto de uma autoridade de controlo (art. 77.º): a autoridade competente para o responsável é:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4
40213 Düsseldorf, Alemanha
poststelle@ldi.nrw.de

O seu direito de oposição — leia com atenção

Tem o direito de se opor a qualquer momento, por motivos relacionados com a sua situação particular, ao tratamento dos seus dados pessoais baseado no art. 6.º, n.º 1, al. f) do RGPD (interesse legítimo). Isso abrange a deteção de falhas e erros, a telemetria do backend e os nossos registos de segurança e de acesso.

Em caso de oposição, deixaremos de tratar os seus dados para essas finalidades, salvo se pudermos demonstrar motivos legítimos imperiosos que prevaleçam sobre os seus interesses, direitos e liberdades, ou se o tratamento se destinar à declaração, ao exercício ou à defesa de um direito num processo judicial.

A oposição não está sujeita a forma e é gratuita. Dirija-a para contact@pott.dev.

8. Gestão do consentimento e armazenamento no dispositivo

A aplicação apresenta uma janela de consentimento no primeiro arranque e após qualquer alteração substancial desta política. Pode reabri-la a qualquer momento em Perfil → Definições de cookies.

Sempre que um serviço armazene informações no seu dispositivo ou aceda a informações aí já armazenadas, tal carece do seu consentimento nos termos do § 25, n.º 1 TDDDG — salvo se o armazenamento ou o acesso forem estritamente necessários para prestar o serviço que expressamente solicitou (§ 25, n.º 2, ponto 2 TDDDG). Só invocamos essa exceção para as categorias abaixo assinaladas como necessárias. O consentimento prestado ao abrigo do § 25 TDDDG vale simultaneamente como consentimento na aceção do art. 6.º, n.º 1, al. a) do RGPD para o tratamento subsequente desses dados.

Os serviços estão agrupados em três categorias:

• Necessários: estritamente necessários à própria aplicação — o armazenamento local da sua sessão de conta e dos seus dados de treino no dispositivo e a captura básica de falhas, sem a qual não conseguimos manter a aplicação utilizável. O registo na mensagística push só ocorre depois de conceder a permissão de notificações ao nível do sistema operativo; se não a conceder, a aplicação funciona sem ele.
• Estatísticas: estatísticas de utilização anónimas. Predefinição: desativadas.
• Funcionais: registo de erros alargado com contexto de diagnóstico adicional. Predefinição: desativado.

A lista atual de serviços de cada categoria é apresentada na própria janela. Cada interruptor produz efeito imediato, e retirar o consentimento é tão simples como prestá-lo: o mesmo ecrã, um toque.

9. Notificações push

Se conceder a permissão de notificações ao nível do sistema operativo, enviamos notificações transacionais através do Firebase Cloud Messaging (Android) e do Apple Push Notification service (iOS). Por exemplo:

• Lembretes de treino agendados que tenha ativado
• Eventos de sincronização quando alterações de outro dispositivo exigem atenção

Não utilizamos notificações para fins de marketing. Pode revogar a permissão a qualquer momento nas definições do dispositivo; a aplicação continua a funcionar sem notificações.

10. Cookies e rastreio

A aplicação móvel Arrow Lab não utiliza cookies: é uma aplicação nativa. O § 25 TDDDG não se limita, porém, aos cookies: abrange qualquer armazenamento ou acesso a informações no seu dispositivo. Os interruptores de SDK descritos na secção 8 são, por isso, o mecanismo através do qual o controla; "Definições de cookies" é apenas o nome que o ecrã tem na aplicação.

O backend também não define cookies para a aplicação. Utiliza tokens bearer emitidos pelo Zitadel no cabeçalho Authorization. O backoffice /admin, utilizado apenas por nós, define um cookie de sessão estritamente necessário ao início de sessão.

11. Segurança

• TLS 1.3 em todas as ligações entre a aplicação e o backend e entre o backend e cada subcontratante.
• Os tokens bearer têm uma duração limitada e são rodados a cada renovação.
• As cópias de segurança da base de dados são cifradas em repouso com SSE-C (cifragem do lado do servidor com chave fornecida pelo cliente); a chave nunca sai da nossa infraestrutura.
• Não tratamos palavras-passe: a autenticação está delegada no Zitadel.

12. Menores

A Alemanha não baixou o limite de idade do art. 8.º, n.º 1 do RGPD, pelo que aqui o consentimento para um serviço da sociedade da informação é válido a partir dos 16 anos. Se tiver menos de 16 anos, qualquer tratamento que baseemos no consentimento — estatísticas, registo alargado, meteorologia, notificações, partilha com um clube ou treinador — carece do consentimento do titular das responsabilidades parentais, e o próprio contrato carece do seu acordo (secção 3 das nossas Condições).

O Arrow Lab não se dirige a menores de 13 anos e não permitimos conscientemente o seu registo. Se tomar conhecimento de que uma criança nos forneceu dados pessoais sem o consentimento exigido, contacte-nos e procederemos à sua eliminação.

As funcionalidades de clube e treino implicam, de forma previsível, escalões de formação. Estando envolvido um menor, a autorização de acesso a um treinador ou clube deve ser concedida pelo titular das responsabilidades parentais ou com o seu acordo.

13. Partilha com clubes e treinadores

O Arrow Lab permite ligar-se a um clube ou a um treinador. Nada é partilhado por predefinição: cada partilha é uma autorização de acesso criada por si, limitada às categorias de dados que escolher.

• É você que decide que categorias um treinador ou clube pode ver. As categorias não autorizadas permanecem invisíveis para eles.
• Pode retirar uma autorização a qualquer momento na aplicação. A retirada põe fim a qualquer acesso posterior; não desfaz o que o destinatário viu legitimamente enquanto esta vigorou.
• As classificações dentro de um clube mostram as melhores marcas dos membros que nelas participam. Ao sair do clube, deixa de constar.
• Treinadores e responsáveis de clube atuam como responsáveis autónomos por aquilo que registem sobre si fora do Arrow Lab. Dentro do Arrow Lab, o responsável continuamos a ser nós.
• A eliminação da sua conta retira todas as autorizações que tenha concedido.

14. Alterações a esta política

Poderemos atualizar esta política à medida que a aplicação e os seus subcontratantes evoluírem. O número de versão apresentado no ecrã da aplicação é incrementado a cada alteração substancial. Nesse caso, a aplicação reabre a janela de consentimento no arranque seguinte para que possa rever a nova versão antes de continuar.

Prevalece o número de versão apresentado no topo do ecrã de privacidade na aplicação; este documento foi atualizado pela última vez em 2026-08-13.

Version 2 · Privacy · Terms · Imprint · Delete account