Os teus dados, às claras.

Em resumo

• O teu mapa é calculado no teu browser. Os ficheiros que carregas nunca são enviados para servidor nenhum — e a política de segurança do site (CSP) proíbe-o ao nível do browser, não é só uma promessa.
• Conta e Strava são opcionais. Com conta, guardamos apenas o que faz o serviço funcionar: perfil, atividades e os totais por concelho.
• Não há analytics, não há publicidade, e não vendemos nem cedemos dados a ninguém.
• Os quadros públicos mostram só nome, foto e números — e só de quem tem o interruptor «aparecer nos quadros» ligado.
• Desligar o Strava apaga o que veio de lá. Apagar a conta apaga tudo. Na hora, sem cópias escondidas.

Quem é responsável

O 309 é um projeto de João Sales e Pedro Silva («nós»), e somos os responsáveis pelo tratamento dos dados descritos nesta página, nos termos do RGPD. Para qualquer assunto de privacidade, fala connosco no Instagram.

Os teus ficheiros: nada sai do teu browser

Fazer o teu mapa é para membros do 309 — o mapa do projeto é que está aberto a toda a gente. Com conta, carregas o histórico do Strava (.zip, .gpx, .fit, .tcx) e esses ficheiros são lidos e processados no teu próprio browser: nunca são enviados para nenhum servidor, nosso ou de terceiros. A Content-Security-Policy do site impede ligações a outros domínios, por isso nem uma dependência comprometida os conseguiria enviar.

Para a tua conta vai só o que mandares gravar — as atividades e o traço, para o mapa e os quadros —, e nunca os ficheiros originais. No teu aparelho ficam guardados apenas os totais por concelho, nunca os traços GPS, até os limpares. A imagem de partilha e o export são criados localmente: só saem do teu browser se tu os partilhares.

Com conta: o que guardamos, e porquê

Criar conta e ligar o Strava é o modo automático: cada atividade nova entra sozinha no teu mapa. Para isso guardamos, no Supabase:

A base legal é simples: tratamos estes dados para executar o serviço que nos pedes (artigo 6.º, n.º 1, alínea b) do RGPD). A ligação ao Strava faz-se com a tua autorização expressa, dada no próprio Strava, e podes revogá-la a qualquer momento — lá ou cá. O diário técnico do webhook assenta no nosso interesse legítimo em manter o serviço de pé (alínea f)). Não fazemos marketing com os teus dados, não te perfilamos e nenhuma decisão automatizada é tomada sobre ti.

O que é público

Os quadros da comunidade mostram nome, foto e números agregados — concelhos, quilómetros, atividades. Nunca mostram traços GPS, horas ou locais de partida, nem o teu email.

Aparecer nos quadros vem ligado por omissão quando ligas o Strava — entrar na comunidade é o ponto de o ligar —, e desliga-se com um interruptor no teu perfil, com efeito imediato.

Com quem trabalhamos

Não vendemos nem cedemos dados. Para o site existir, trabalhamos com poucos fornecedores, cada um com o seu papel e um contrato de proteção de dados:

• Supabase — base de dados e autenticação, num projeto alojado na União Europeia.
• Vercel — alojamento do site.
• Strava — é de lá que vêm as atividades, com a tua autorização; o que fazes no Strava rege-se pela política de privacidade deles.
• Newsletter — se a subscreveres, o teu email vai para o fornecedor do formulário, apenas para te enviarmos novidades; cancelas quando quiseres.

Quando algum destes fornecedores opera fora da União Europeia, a transferência assenta nas salvaguardas previstas no RGPD, como as cláusulas contratuais-tipo.

Cookies e armazenamento local

Com sessão iniciada, o Supabase usa cookies estritamente necessários para te manter autenticado — desaparecem quando sais. Não usamos cookies de análise, de publicidade nem de rastreio, e é por isso que não vês banner de cookies: não há nada para consentir.

O armazenamento local do browser guarda os totais da ferramenta anónima e pequenas preferências. Vive no teu aparelho e nunca nos é enviado.

Enquanto o site estiver em testes fechados, quem entra com um código de convite fica com um cookie que guarda essa palavra — é o que evita pedi-la em cada página. Não diz quem és, não te segue, e desaparece ao fim de três meses ou quando limpares os dados do site.

Quanto tempo, e como se apaga

• Guardamos os dados da conta enquanto a conta existir — nem mais um dia.
• Desligar o Strava apaga na hora tudo o que veio de lá: atividades, metros por concelho e os tokens de acesso.
• Apagar a conta (no perfil) apaga tudo em cascata, incluindo o email. Não fica cópia.
• Sair da lista de espera — basta pedires e apagamos o teu email. A lista morre no dia em que o site abrir a toda a gente: mandamos a mensagem que prometemos e apagamo-la.
• Se desautorizares a app diretamente no Strava, o Strava avisa-nos e o resultado é o mesmo: apagamos o que veio de lá. É o contrato da API, e cumprimo-lo.

Os teus direitos

O RGPD dá-te os direitos de acesso, retificação, apagamento, limitação, oposição e portabilidade. No 309, a maior parte exerce-se sozinha, com os interruptores do perfil: sair dos quadros, corrigir o nome e a foto, desligar o Strava, apagar a conta. Para o resto — incluindo pedir uma cópia dos teus dados — usa o contacto lá de cima; respondemos no prazo do RGPD (um mês).

Se achares que tratamos mal os teus dados, tens sempre o direito de apresentar queixa à CNPD — Comissão Nacional de Proteção de Dados (cnpd.pt).

Menores

O 309 não se dirige a menores de 13 anos, o limite da lei portuguesa para o consentimento digital. O próprio Strava impõe uma idade mínima para ter conta.