Política de Privacidade — Orira

Esta política descreve como a Daniel Romão Leal, Unipessoal Lda. (NIPC 519502078), a operar sob a marca comercial "Orira" ("Orira", "nós"), com sede na Praceta Isabel Aboim Inglês, n.º 1, 2.º D, 2675-381 Odivelas, trata dados pessoais quando utilizas a plataforma Orira — a aplicação móvel para iOS e Android (a "App") e a plataforma web (orira.app e os subdomínios/domínios das academias). A Orira é uma plataforma de gestão para academias de artes marciais presenciais. É necessária uma conta para utilizar a App.

A Orira atua como subcontratante dos dados de cada academia (responsável pelo tratamento), nos termos do Acordo de Tratamento de Dados, e como responsável relativamente aos dados da tua conta de utilizador e à operação da plataforma.

1. Dados que recolhemos

• Dados de conta: nome, email e, quando aplicável, foto de perfil.
• Autenticação: palavra-passe encriptada e, se optares, identificadores de Sign in with Apple ou Google e chaves biométricas/passkey (WebAuthn).
• Utilização da academia: turmas, presenças, graduações, inscrições, pagamentos à academia e comunicações, geridos pela tua academia.
• Pagamentos: processados pela Stripe. Não armazenamos os dados completos do cartão; recebemos referências e estados de pagamento.
• Conteúdos que carregas: fotos de perfil e comprovativos de pagamento.
• Notificações: as tuas preferências de notificação, o email para onde enviamos avisos (aulas, pagamentos, comunicações da academia) e, se ativares notificações push, um token de dispositivo (via Firebase Cloud Messaging / web push / APNs).
• Diagnóstico: informação de falhas e desempenho (via Sentry, sem dados pessoais identificáveis) e dados técnicos mínimos do dispositivo.

A App não recolhe a tua localização nem realiza qualquer tracking publicitário. Não usamos ferramentas de analytics de terceiros nem cookies de publicidade. Nas páginas de criação de conta, inscrição e início de sessão do site é carregado o Google reCAPTCHA, que recolhe dados técnicos do dispositivo para distinguir pessoas de robôs — é uma medida de segurança dessas operações, não de publicidade. Ver a Política de Cookies.

2. Finalidades e base legal

Usamos os dados para fornecer e operar a plataforma e a App, processar pagamentos de serviços presenciais e bens físicos, enviar notificações relevantes, garantir segurança e prevenir fraude, e cumprir obrigações legais.

Base legal (RGPD): execução do contrato, interesse legítimo (segurança e melhoria), cumprimento de obrigações legais e, quando aplicável, consentimento (ex.: notificações opcionais).

3. Partilha com terceiros (subcontratantes)

Partilhamos dados apenas com prestadores necessários ao funcionamento. Os principais no contexto da App:

• Stripe — processamento de pagamentos.
• Resend — envio de emails (avisos, códigos OTP).
• Google Firebase (FCM) — notificações push (token de dispositivo).
• Google (reCAPTCHA) — proteção anti-robô dos formulários de registo, inscrição e login (dados técnicos do dispositivo).
• Sentry — diagnóstico e estabilidade.

A lista completa e atualizada de subcontratantes (incluindo alojamento, login social e assistente de IA opcional) está em orira.app/legal/subprocessors.

Não vendemos dados pessoais. A tua academia acede aos teus dados de membro na medida necessária à gestão da relação. Quando a academia ativa funcionalidades que implicam comunicar dados a terceiros por ela escolhidos (por exemplo, o seguro desportivo), essa comunicação é da responsabilidade da academia, que te deve informar.

4. Localização dos dados e transferências internacionais

A base de dados da plataforma e o backend estão alojados na Railway, região EU West (Amesterdão, Países Baixos), dentro da União Europeia. Os ficheiros carregados (comprovativos, fotografias) são armazenados no Cloudflare R2 na Europa (os sensíveis com jurisdição UE) e os emails são enviados via Resend na Irlanda (UE). Não há, por isso, transferência internacional dos teus dados principais.

Alguns serviços de terceiros acessórios (pagamentos, notificações push, login social e o assistente de IA opcional) podem processar dados fora do Espaço Económico Europeu, ao abrigo das Cláusulas Contratuais-Tipo da Comissão Europeia e/ou da certificação EU-US Data Privacy Framework, nos termos do Capítulo V do RGPD. Os detalhes por fornecedor constam da lista de subcontratantes e do DPA.

5. Conservação

Conservamos os dados enquanto a tua conta estiver ativa e pelo período necessário ao cumprimento de obrigações legais e contratuais (por exemplo, registos de pagamento durante 7 anos por obrigação fiscal). Após o fim do contrato com uma academia, os dados dessa academia são eliminados nos termos do DPA (90 dias de retenção e posterior eliminação definitiva).

6. Os teus direitos

Tens direito a aceder, retificar, apagar, limitar e portar os teus dados, e a opor-te ao tratamento. Em particular, podes eliminar a tua conta diretamente na App (Configuração → Privacidade e dados → Eliminar conta), o que aciona a anonimização/eliminação dos teus dados pessoais, sujeito a retenções legais. Quando um pedido respeitar a dados geridos pela tua academia (responsável pelo tratamento), encaminhamos-lho e prestamos a assistência necessária. Podes ainda apresentar reclamação à autoridade de controlo competente (em Portugal, a CNPD).

7. Segurança

Usamos encriptação em trânsito (HTTPS/TLS), credenciais de pagamento geridas pela Stripe, palavras-passe armazenadas de forma cifrada e isolamento por academia na camada de dados. A App suporta desbloqueio biométrico e passkeys.

8. Crianças

A App destina-se a membros de academias parceiras. Os dados de membros menores são geridos pela academia e pelos respetivos encarregados de educação (gestão de dependentes na plataforma).

9. Alterações

Podemos atualizar esta política. Alterações materiais serão comunicadas através da App ou por email.

10. Contacto

Para questões de privacidade: suporte@orira.app — Daniel Romão Leal, Unipessoal Lda. (NIPC 519502078), a operar sob a marca comercial "Orira", Praceta Isabel Aboim Inglês, n.º 1, 2.º D, 2675-381 Odivelas.