POLÍTICA DE PRIVACIDADE E PROTEÇÃO DE DADOS PESSOAIS Preâmbulo A presente Política de Privacidade descreve a forma como a OnPosture recolhe, utiliza, conserva, partilha e protege os dados pessoais dos seus Clientes e utilizadores da Onposture.app. A leitura integral desta Política é obrigatória e a sua aceitação expressa constitui condição indispensável para a utilização dos Serviços da OnPosture. 1. Introdução A presente Política de Privacidade descreve a forma como a OnPosture recolhe, utiliza, conserva, partilha e protege os dados pessoais dos seus Clientes e utilizadores da Onposture.app, em cumprimento do Regulamento (UE) 2016/679 ("RGPD") e da Lei n.º 58/2019, de 8 de agosto, que assegura a execução, na ordem jurídica nacional, do RGPD. 2. Responsável pelo Tratamento Responsável pelo tratamento: OnPosture, Lda, NIPC 519046722, com sede na Avenida Duque d’ Ávila, 64 -1A 1050-083 Lisboa. Contacto para questões de proteção de dados hello@onposture.com. 3. Princípios A OnPosture trata dados pessoais em observância dos princípios da licitude, lealdade e transparência; limitação das finalidades; minimização dos dados; exatidão; limitação da conservação; integridade e confidencialidade; e responsabilidade ("accountability"), nos termos do art. 5.º do RGPD. 4. Categorias de Dados Pessoais Recolhidos 4.1. Dados de identificação e contacto Recolhidos no momento do registo do Cliente: nome, data de nascimento, NIF, telemóvel, endereço de e-mail e sexo. Estes dados são utilizados especificamente para: (i) identificação inequívoca do Cliente e gestão da respetiva conta na App; (ii) formalização do processo de admissão e do contrato de prestação de Serviços; (iii) emissão de faturas e cumprimento de obrigações fiscais e contabilísticas (com recurso ao NIF); (iv) comunicação com o Cliente relativa a serviços, agendamentos, relatórios e alterações contratuais; (v) cumprimento de obrigações legais de identificação e prevenção de fraude; e (vi) segmentação por sexo, para apresentação de um questionário de dor auto-reportada e para a interpretação de métricas funcionais e de normativas de referência musculoesquelética. 4.2. Dados funcionais Os dados funcionais incluem as respostas aos questionários de distribuição de dor auto-reportada e de condição física/musculoesquelética; as métricas recolhidas nas avaliações presenciais (peso, idade, pressão plantar, força muscular, estimativas posturais); as métricas recolhidas através da Telemetria OnPosture durante o exercício remoto; e quaisquer outras informações voluntariamente partilhadas pelo Cliente. Imagem e vídeo: durante a avaliação presencial, o sistema Humantrack capta imagem tridimensional que é processada em tempo real para extração de métricas e, de acordo com garantia da VALD, não é gravada. Nas sessões de exercício remoto, a imagem da câmara é processada localmente no dispositivo do Cliente (ver ponto 7.2), não sendo gravada nem enviada à OnPosture. Nas teleavaliações por videochamada, a sessão é gravada em vídeo, mediante consentimento do Cliente, exclusivamente para extração das métricas de avaliação, sendo o vídeo conservado nos termos do ponto 9.4. Estes dados, em conjugação com os dados de identificação pessoal referidos em 4.1, são utilizados especificamente para a produção dos relatórios de avaliação funcional e de desempenho/progressão, para a personalização do serviço de exercício clínico, e para a eventual identificação da necessidade de encaminhamento para Profissionais Parceiros. 4.3. Dados recolhidos automaticamente pela App Dados técnicos de utilização, tipo de dispositivo, sistema operativo, identificadores de sessão e registos de atividade na App, utilizados para efeitos de segurança, manutenção e melhoria do Serviço. 5. Finalidades do Tratamento e Fundamentos de Licitude Os dados identificados no ponto 4.1 são tratados com fundamento na execução de um contrato de que o titular é parte ou de diligências pré-contratuais a seu pedido (art. 6.º, n.º 1, al. b), do RGPD), bem como no cumprimento de obrigações legais a que a OnPosture está sujeita, designadamente fiscais (art. 6.º, n.º 1, al. c)). A prevenção de fraude e de utilização abusiva da conta (ponto 4.1, (v)) e o tratamento dos dados técnicos referidos no ponto 4.3 assentam no interesse legítimo da OnPosture em garantir a segurança, a integridade e o bom funcionamento da App e dos Serviços (art. 6.º, n.º 1, al. f), do RGPD). Os dados identificados no ponto 4.2, por constituírem categoria especial de dados podendo ser, no limite, enquadráveis no art. 9.º, n.º 1, do RGPD, são tratados exclusivamente com fundamento no consentimento explícito, livre, específico e informado do titular (art. 6.º, n.º 1, al. A) e art. 9.º, n.º 2, al. a), do RGPD), prestado no momento da aceitação dos Termos e Condições e da presente Política. O Cliente pode retirar este consentimento a qualquer momento, sem que tal comprometa a licitude do tratamento anteriormente efetuado, tendo como consequência possível a impossibilidade de a OnPosture continuar a prestar os Serviços que dependam desses dados. 6. Utilização Anonimizada para Fins Estatísticos e Científicos 6.1. As métricas recolhidas ao abrigo do ponto 4.2, após submissão a um processo de anonimização que impede, de forma irreversível, a identificação direta ou indireta do titular, poderão ser utilizadas pela OnPosture para: (i) análises estatísticas internas de melhoria do Serviço; e (ii) estudos ou investigações científicas que a OnPosture promova ou em que participe, com vista à melhoria da qualidade de vida dos Clientes e da população em geral. 6.2. Dados verdadeiramente anonimizados deixam de constituir dados pessoais para efeitos do RGPD (considerando 26), pelo que esta utilização não carece de fundamento de licitude adicional. Ainda assim, a OnPosture compromete-se a aplicar processos de anonimização robustos, avaliados periodicamente quanto ao risco de reidentificação, e a não partilhar tais dados de forma que permita a reidentificação dos respetivos titulares. 6.3. O Cliente pode opor-se à utilização dos seus dados anonimizados para fins de estudo, contactando a OnPosture nos termos do ponto 16, sem que tal oposição tenha efeitos retroativos sobre análises já concluídas e efetivamente anonimizadas. 7. Partilha de Dados com Terceiros / Subcontratantes No estrito cumprimento do princípio da minimização, a OnPosture partilha dados pessoais com os seguintes terceiros, nas condições descritas: 7.1. VALD Performance No âmbito da avaliação presencial, são introduzidos no software da VALD apenas os seguintes dados do Cliente: peso, sexo, idade e um código de identificação (sem nome), cuja chave de correspondência à identidade do Cliente é mantida exclusivamente pela OnPosture. A VALD atua, quanto a este conjunto de dados, como subcontratante da OnPosture (quando processa os dados para produzir as métricas do relatório da OnPosture), ou como responsável autónomo pelo tratamento (quanto à utilização das métricas por si recolhidas para estudos anonimizados próprios), sendo este último tratamento regido pela política de privacidade e termos e condições próprios da VALD, disponíveis em https://vald.com/privacy-policy e https://www.vald.com/static/Terms-of-Use-VALD-Apps-20032023.pdf. O sistema Humantrack de captação de imagem 3D é utilizado num formato que, de acordo com garantia da VALD, não grava nem conserva a imagem captada sendo esta processada apenas em tempo real. 7.2. Google MediaPipe O sistema de Telemetria OnPosture recorre a uma biblioteca de código aberto de estimativa de postura desenvolvida pela Google (MediaPipe), que é executada localmente no navegador ou dispositivo do Cliente. As imagens captadas pela câmara durante a sessão remota são processadas nesse dispositivo e não são transmitidas à Google nem à OnPosture; apenas as métricas numéricas resultantes (por exemplo, ângulos articulares e repetições) são enviadas à OnPosture para produção do relatório. Para carregar esta biblioteca, o navegador do Cliente liga-se a servidores de distribuição de conteúdos (Google e jsDelivr), que recebem dados técnicos de ligação, como o endereço IP. Informação adicional sobre o tratamento de dados efetuado por esta tecnologia está disponível na respetiva política de privacidade, acessível em https://policies.google.com/. 7.3. Profissionais Parceiros Sempre que os técnicos da OnPosture identifiquem necessidade de acompanhamento especializado e o Cliente manifeste vontade expressa em ser encaminhado, poderão ser partilhados com o Profissional Parceiro escolhido os dados estritamente necessários a esse acompanhamento, mediante consentimento específico e prévio do Cliente para essa partilha concreta. 7.4. Prestadores de serviços técnicos A OnPosture pode recorrer a prestadores de serviços de alojamento, manutenção informática e suporte à App, os quais atuam como subcontratantes ao abrigo de contratos escritos que garantem níveis de segurança e confidencialidade adequados, nos termos do art. 28.º do RGPD. Os prestadores atualmente utilizados são: alojamento da App e da base de dados, incluindo as cópias de segurança do servidor — Hetzner Online GmbH (servidores localizados na Alemanha, União Europeia); serviço de correio eletrónico e cópias de segurança — Google (Gmail / Google Drive); videochamadas — Google meet; processamento de pagamentos MB WAY — Stripe. 7.5. Cedência dos dados A OnPosture não vende, aluga nem comercializa dados pessoais de Clientes a terceiros para fins de marketing. 8. Transferências Internacionais de Dados Caso alguma das entidades referidas no ponto 7 (designadamente VALD e/ou Google) processe dados pessoais fora do Espaço Económico Europeu, a responsabilidade de que tal transferência apenas ocorrerá ao abrigo de mecanismos de garantia adequados nos termos do Capítulo V do RGPD, é das referidas entidades, não podendo ser a OnPosture responsabilizada. 9. Prazo de Conservação 9.1. Os dados de identificação e contratuais são conservados durante toda a vigência da relação contratual e, após a sua cessação, pelo prazo legalmente exigido para cumprimento de obrigações fiscais e contabilísticas (regra geral, 5 anos) ou para efeitos de defesa de direitos em caso de litígio. 9.2. Os dados sobre a condição física são conservados enquanto for necessário para as finalidades descritas no ponto 4.2 e, após a cessação da relação contratual ou a retirada do consentimento, pelo prazo adicional necessário à conclusão de eventuais reavaliações em curso ou ao cumprimento de obrigações legais, findo o qual são eliminados ou anonimizados de forma irreversível. 9.3. Findo qualquer prazo de conservação, os dados serão eliminados de forma segura ou, quando tal seja possível e adequado às finalidades estatísticas/científicas descritas no ponto 6, anonimizados. 9.4. As gravações de vídeo das teleavaliações são conservadas apenas pelo tempo necessário à extração das métricas e à elaboração do respetivo relatório, não excedendo 30 dias, sendo depois eliminadas de forma segura. 10. Segurança da Informação A OnPosture implementa medidas técnicas e organizativas adequadas ao risco, designadamente controlos de acesso, encriptação de dados em trânsito e em repouso sempre que tecnicamente exequível, pseudonimização (nomeadamente através do sistema de código de correspondência utilizado com a VALD), registo e monitorização de acessos, e formação do seu pessoal em matéria de proteção de dados, com vista a prevenir o acesso não autorizado, a perda, a destruição ou a divulgação indevida de dados pessoais. 11. Direitos dos Titulares dos Dados Nos termos dos artigos 15.º a 22.º do RGPD, o Cliente tem direito a, a qualquer momento e gratuitamente (salvo pedidos manifestamente infundados ou excessivos): a) Aceder aos seus dados pessoais e obter informação sobre o respetivo relatório e plano; b) Solicitar a retificação de dados inexatos ou incompletos; c) Solicitar o apagamento dos seus dados ("direito ao esquecimento"), nos casos previstos na lei; d) Solicitar a limitação do tratamento, em determinadas circunstâncias; e) Opor-se por motivos relacionados com a sua situação particular ao tratamento dos dados baseado no interesse legítimo da OnPosture (ponto 5), incluindo à utilização de dados anonimizados para estudos, nos termos do ponto 6.3; f) Solicitar os seus dados; g) Retirar o consentimento prestado, a qualquer momento, sem afetar a licitude do tratamento anteriormente efetuado; h) Não ficar sujeito a decisões exclusivamente automatizadas, incluindo as baseadas em definição de perfis, que produzam efeitos jurídicos ou que o afetem significativamente de forma similar — a OnPosture esclarece que os relatórios produzidos, incluindo os que recorrem a algoritmos de estimativa postural, são sempre revistos e contextualizados por técnicos humanos antes de disponibilizados ao Cliente, não constituindo decisão exclusivamente automatizada na aceção do art. 22.º do RGPD; i) Apresentar reclamação junto da autoridade de controlo competente (ponto 15). Estes direitos podem ser exercidos através dos contactos indicados no ponto 16, devendo o pedido ser respondido no prazo máximo de um mês, prorrogável nos termos legalmente previstos. 12. Menores Os Serviços da OnPosture destinam-se, em princípio, a maiores de 18 anos. Caso, excecionalmente, venham a ser prestados a menores, tal dependerá de consentimento e acompanhamento do titular das responsabilidades parentais, nos termos exigidos pela lei aplicável, e de salvaguardas reforçadas de proteção dos dados de saúde do menor. 13. Cookies e Tecnologias Similares A Onposture.app pode utilizar cookies, identificadores de dispositivo ou tecnologias semelhantes estritamente necessárias ao funcionamento da App e, quando aplicável, para fins analíticos, mediante consentimento do Cliente, nos termos da Lei n.º 41/2004, de 18 de agosto, na sua redação atual. Informação adicional sobre estas tecnologias, quando utilizadas, é disponibilizada em política de cookies específica na App. 14. Alterações à Política de Privacidade A OnPosture reserva-se o direito de atualizar a presente Política, sendo as alterações comunicadas ao Cliente através da App e/ou por e-mail com antecedência razoável, e aplicando-se imediatamente após a sua publicação — salvo quando a alteração implique novo tratamento de dados de saúde não anteriormente consentido, caso em que será solicitado novo consentimento explícito. 15. Reclamações — Autoridade de Controlo Sem prejuízo de qualquer outra via de recurso administrativo ou judicial, o titular dos dados tem o direito de apresentar reclamação junto da Comissão Nacional de Proteção de Dados (CNPD), com sede na Avenida D. Carlos I, 134, 1.º, 1200-651 Lisboa, através do sítio eletrónico www.cnpd.pt, caso considere que o tratamento dos seus dados pessoais viola o RGPD ou a legislação nacional aplicável. 16. Contactos Para exercer os seus direitos ou esclarecer qualquer questão relativa ao tratamento dos seus dados pessoais, o Cliente pode contactar a OnPosture através de hello@onposture.com.