1. Âmbito e contacto
Esta política explica como o serviço online TribeSquad trata dados pessoais. A operação é assegurada sob a designação TribeSquad Team, em Portugal. O contacto para privacidade e exercício de direitos é support@tribesquad.com.
A recolha é limitada aos dados necessários para disponibilizar a conta, as comunidades e os pagamentos. Não vendemos dados pessoais nem utilizamos os conteúdos das comunidades para publicidade comportamental.
2. Dados tratados e finalidades
Conta: email, nome, identificador de utilizador, papel de membro/criador, datas de conta e dados de autenticação geridos pelo Supabase Auth. A fotografia é opcional. Conservamos também preferências de idioma, tema e consentimento.
Idade e encerramento: conservamos a data das declarações de 13+/18+, a validade e uma referência interna de autorização de tutor quando aplicável, e checkpoints temporários de eliminação enquanto o processo estiver pendente. Não recolhemos data de nascimento completa nem pedimos documentos no formulário. Uma autorização de tutor exige revisão humana prévia e não é criada pelo próprio menor.
Comunidades: adesões, publicações, comentários, reações, recursos, avaliações e mensagens que decidas fornecer, bem como eventuais referências de convite. Não publiques dados sensíveis ou de terceiros sem fundamento para os partilhar.
Pagamentos: montantes, moeda, datas, estado da subscrição, referências de cliente, conta ligada e subscrição Stripe. Os dados de cartão e a verificação de identidade do criador são recolhidos diretamente pelo Stripe; a aplicação não recebe nem guarda o número completo do cartão ou o código de segurança.
Funcionamento e apoio: endereço IP, informações técnicas de pedidos e registos de erros podem ser tratados pelos serviços de alojamento, autenticação e pagamentos para segurança, diagnóstico e resposta a pedidos.
Suporte interno: conservamos o assunto, mensagem, identificador do requerente, data, estado e resposta da administração para tratar e acompanhar os pedidos. São visíveis apenas ao requerente e à administração. Pixéis Meta/TikTok configurados pelos criadores são opcionais, limitados ao preview público da comunidade e dependem de consentimento específico de marketing. Não enviamos o conteúdo privado nem identificadores de conta a esses pixéis; os fornecedores recebem IP, página pública e dados técnicos para medição/publicidade. Mais detalhes na Política de Cookies.
3. Fundamentos do tratamento
A execução do serviço contratado fundamenta a gestão da conta, acesso às comunidades e subscrições. Obrigações legais fundamentam a conservação dos elementos de faturação exigidos. A segurança, prevenção de fraude e defesa de direitos assentam em interesses legítimos, ponderados face aos direitos dos utilizadores. Conteúdos externos opcionais dependem de consentimento, que pode ser retirado.
4. Destinatários de dados e respetivas funções
Supabase, Inc. — subcontratante para PostgreSQL, autenticação, sessões e Storage. Recebe dados de conta, conteúdos e ficheiros necessários ao serviço. A região principal do projeto, confirmada pela operação, é eu-west-1 — Irlanda (UE). A configuração é atualizável. Telemetria, logs de serviço, suporte e subcontratantes podem envolver tratamento fora dessa região; não afirmamos residência exclusiva de todos os dados na UE. DPA e localização: https://supabase.com/legal/customer-resources/data-processing-addendum e https://supabase.com/legal/privacy-resources/data-residency-and-transfers-faq.
Stripe, Inc. e entidades Stripe aplicáveis ao EEE — processamento de pagamentos, subscrições, cobranças, transferências, identificação de destinatários e prevenção de fraude. Recebe os dados de pagamento e identidade diretamente no checkout/onboarding, além de referências de conta e subscrição. Pode atuar como subcontratante e como responsável independente para obrigações financeiras, antifraude e regulamentares. Política e entidades aplicáveis: https://stripe.com/privacy.
Vercel, Inc. — subcontratante para alojamento web, distribuição e infraestrutura da aplicação. Processa pedidos HTTP, IP, dados técnicos, logs e dados que transitem pelas funções da aplicação. A rede e subprocessadores podem operar internacionalmente. Acordo de tratamento: https://vercel.com/legal/dpa.
Meta Platforms, Inc. / Meta Platforms Ireland Limited e entidades aplicáveis — apenas quando o visitante declara 18+ anos e autoriza explicitamente marketing numa landing page com Meta Pixel ativo. O pixel pode comunicar IP, URL pública, dados técnicos e cookies para medição e publicidade. Não lhe enviamos conteúdos privados, email ou identificadores de conta. A configuração de uma conta conhecida sem declaração de 18+ bloqueia o pixel. Política: https://www.facebook.com/privacy/policy/.
TikTok e entidades aplicáveis, incluindo TikTok Technology Limited e TikTok Information Technologies UK Limited — apenas quando o visitante declara 18+ anos e autoriza explicitamente marketing numa landing page com TikTok Pixel ativo. Pode receber IP, URL pública, dados técnicos e cookies para medição e publicidade; não enviamos dados do feed, email ou identificadores de conta. Contas conhecidas sem declaração de 18+ não ativam o pixel. Política: https://www.tiktok.com/legal/page/eea/privacy-policy/en.
Google/YouTube e respetivas entidades aplicáveis — apenas para vídeos YouTube que o visitante autorize através da finalidade separada de conteúdos externos. Hosts de imagens, vídeos e documentos indicados pelos criadores também podem receber os pedidos que lhes sejam dirigidos. As suas identidades/domínios constam dos recursos e aplicam-se as respetivas políticas. Os criadores que usem ferramentas externas são responsáveis pela informação adicional e pelo fundamento desses tratamentos.
5. Visibilidade e prestadores
Nome, fotografia e conteúdos apresentados numa comunidade são visíveis aos participantes autorizados e à administração para gestão e moderação. Fotografias e capas carregadas usam URLs públicas: não envies imagens que devam permanecer confidenciais. O perfil pode conservar uma descrição anteriormente fornecida, embora a Bio já não seja editável nas definições de conta.
Utilizamos Supabase para autenticação, base de dados e ficheiros, Vercel para alojamento e Stripe para pagamentos e contas ligadas. Cada prestador recebe os dados necessários à sua função. O Stripe pode atuar como responsável independente para os seus deveres de pagamento e prevenção de fraude. Um criador que recolha dados fora da plataforma deve informar os membros sobre esse tratamento.
A localização do tratamento depende da configuração dos serviços e dos seus subcontratantes. Se houver transferência para fora do Espaço Económico Europeu, deve assentar num mecanismo válido, como decisão de adequação ou cláusulas contratuais-tipo. Podes pedir informação sobre as garantias concretas através do contacto de privacidade.
6. Conservação e segurança
Os dados operacionais são conservados enquanto a conta e as relações de subscrição se mantiverem ou forem necessários para resolver pedidos e litígios. Elementos sujeitos a obrigação legal são conservados pelo prazo legal aplicável. Não prometemos apagamento imediato de registos de faturação, cópias de segurança ou dados que tenham de ser preservados por lei.
Podes iniciar o encerramento definitivo nas definições de conta, confirmando a palavra-passe e a eliminação irreversível. São encerradas renovações e respeitados os períodos já pagos, incluindo os dos membros das comunidades do criador. Durante o processamento ficam bloqueadas novas publicações, uploads e pagamentos. Após terminar esses períodos, o processo apaga fisicamente o perfil, Auth/sessões, conteúdos próprios, mensagens, adesões, suporte e ficheiros próprios no Storage; as comunidades do criador e respetivas dependências também são eliminadas. Não é uma simples desativação do perfil.
A exceção fiscal é separada: mantemos registos de faturas/notas de crédito sem chave de utilizador, perfil, comunidade, nome ou email, com montantes, moeda, datas e referência do documento Stripe. Como essa referência pode permitir identificação no Stripe, estes registos são pseudonimizados e de acesso restrito, não dados irreversivelmente anónimos. O prazo português é normalmente de 10 anos para livros/registos contabilísticos e documentos de suporte, contado segundo o exercício relevante, salvo regra especial. Isto não é uma afirmação de prazo uniforme para toda a UE. Os originais de faturas e a identificação legalmente obrigatória não são alterados para prometer anonimato; podem ser conservados pelo Stripe para os seus deveres legais.
As cópias de segurança, caches, logs de infraestrutura e registos obrigatórios de prestadores independentes não são apagados instantaneamente por este botão: seguem os respetivos prazos e procedimentos. Logs Auth identificáveis e registos operacionais associados sob o nosso controlo são removidos no processo. Preferências e tokens são limpos no navegador que conclui a operação; outros dispositivos e dados já descarregados exigem limpeza local. Conteúdos/ficheiros mantidos por terceiros fora do nosso controlo podem exigir pedido ao respetivo responsável. Contacta-nos se precisares de revisão de menções não estruturadas em conteúdos de terceiros ou de exercer outros direitos.
7. Os teus direitos
Podes solicitar acesso, retificação, apagamento, limitação, portabilidade ou oposição, nos termos aplicáveis, e retirar consentimento sem afetar o tratamento anterior. Responderemos normalmente no prazo de um mês, informando se uma extensão legalmente permitida for necessária. Podemos pedir confirmação de identidade proporcional ao pedido.
Podes reclamar à CNPD, em www.cnpd.pt, ou à autoridade competente. Não tomamos decisões com efeitos jurídicos baseadas exclusivamente em perfis automatizados. Questões sobre esta política devem ser enviadas ao contacto acima.