Política de privacidade

A Lyriot («nós», «nosso») compromete-se a proteger a sua privacidade. Esta política explica como recolhemos, utilizamos, partilhamos e protegemos os seus dados pessoais, em conformidade com o Regulamento Geral sobre a Proteção de Dados (RGPD) e com a legislação francesa aplicável.

Recolhemos as seguintes categorias de dados:

• Dados de registo: nome completo, endereço de e-mail, palavra-passe cifrada (bcrypt), cidade, país, sexo, data de nascimento, número de telefone (facultativo).
• Dados de perfil: fotografia de perfil (armazenada na Cloudflare R2), biografia, interesses.
• Dados de atividade: eventos criados e em que participou, inscrições em lista de espera, comentários publicados, reações, registos de entrada por código QR, mensagens trocadas (conteúdo e data), amizades, estado de leitura das mensagens (confirmações de leitura), conquistas desbloqueadas, sequências de atividade, código de convite e lista de convidados.
• Dados de gamificação: pontos acumulados por origem, patente atual, histórico de classificações, impulsos ativos e respetiva validade, saldo e histórico da carteira de pontos.
• Dados de pagamento: histórico de transações (subscrições, eventos pagos, impulsos), subscrição ativa e data de renovação. Os dados bancários e de cartão são tratados exclusivamente pela Stripe: nunca os armazenamos.
• Dados de organizador (Stripe Connect): para os organizadores que recebem pagamentos, a Stripe recolhe diretamente os dados de verificação de identidade: identidade (nome, data de nascimento, documento de identificação digitalizado), morada postal completa, dados bancários (IBAN ou número de conta) e, quando aplicável, informações da empresa (denominação social, número de identificação fiscal). Estes dados regem-se pela política de privacidade da Stripe.
• Dados de geolocalização: coordenadas GPS (latitude/longitude) introduzidas na criação de um evento, para apresentar o mapa e permitir a pesquisa por proximidade. Nunca recolhemos a localização de forma contínua. Se já autorizou a geolocalização no seu dispositivo, a sua posição, arredondada a cerca de dez quilómetros, serve também para ordenar as sugestões de cidades; não é guardada na sua conta.
• Dados de candidatura: currículo, carta de motivação e endereço do LinkedIn enviados através de /careers/apply, armazenados na Cloudflare R2 (bucket «resumes»). São conservados durante um máximo de 2 anos.
• Dados de contacto: nome, endereço de e-mail e conteúdo das mensagens enviadas através do formulário /contact.
• Dados técnicos: endereço IP, tipo de navegador, páginas visitadas, data e hora de ligação, identificador de sessão (NextAuth), tokens de notificações push (Firebase).

Os seus dados são utilizados para:

• Prestar, manter e melhorar os nossos serviços
• Autenticá-lo e proteger a sua conta (início de sessão com e-mail e palavra-passe ou através do Google OAuth)
• Apresentar-lhe os eventos, perfis e classificações que lhe dizem respeito
• Processar os pagamentos (subscrições, eventos pagos, impulsos) através da Stripe
• Transferir os fundos para os organizadores de eventos pagos através da Stripe Connect
• Enviar notificações (e-mail com o Resend, push com o Firebase)
• Atribuir pontos automaticamente a cada 15 minutos através de tarefas agendadas (cron)
• Calcular e atualizar automaticamente as patentes dos utilizadores
• Gerar as repetições dos eventos recorrentes (semanais, mensais, etc.)
• Cobrar e transferir para os organizadores os pagamentos dos eventos
• Reiniciar periodicamente as classificações semanais, mensais e anuais
• Verificar os requisitos do programa de convites (prevenção de abusos)
• Mostrar o seu estado em linha e a sua última atividade às suas amizades
• Permitir a moderação de conteúdos e o tratamento das denúncias
• Prevenir fraudes, abusos e contas múltiplas
• Cumprir as nossas obrigações legais e contabilísticas

Tratamos os seus dados com os seguintes fundamentos jurídicos:

• Execução do contrato: para lhe prestar os serviços Lyriot que subscreveu (conta, eventos, pagamentos, mensagens)
• Interesse legítimo: para melhorar a plataforma, prevenir fraudes, garantir a segurança, apresentar o estado em linha e gerir as classificações
• Consentimento: para as notificações push (revogável a qualquer momento nas definições) e para as comunicações comerciais facultativas
• Obrigação legal: para cumprir a legislação aplicável, em especial as obrigações contabilísticas (conservação de 5 anos) e os pedidos das autoridades judiciais

Nunca vendemos os seus dados pessoais. Partilhamo-los apenas com os nossos prestadores técnicos, na estrita medida necessária à prestação do serviço:

• Stripe: processamento dos pagamentos (subscrições, eventos pagos, impulsos) e transferências para os organizadores através da Stripe Connect — política da Stripe
• OVH: alojamento da base de dados PostgreSQL (VPS, França); Cloudflare R2: armazenamento dos ficheiros (fotografias de perfil, currículos)
• Resend: envio dos e-mails transacionais (confirmação de registo, reposição de palavra-passe, avisos de eventos)
• Mapbox: apresentação dos mapas interativos para a localização dos eventos e a pesquisa por proximidade
• Photon (komoot) e Nominatim (OpenStreetMap Foundation, dados no Reino Unido e nos Países Baixos): sugestões de cidades durante a escrita; o Nominatim só é usado se o Photon não responder. Os nossos servidores transmitem-lhes apenas o texto escrito e, no caso do Photon, uma posição aproximada: o centro do seu país ou, se já autorizou a geolocalização, a sua posição arredondada a cerca de dez quilómetros. O seu nome, o seu endereço IP e a sua conta nunca lhes são transmitidos.
• Firebase (Google): envio das notificações push para os seus dispositivos (caso as tenha ativado)
• Google OAuth: se optar por iniciar sessão com o Google, o seu nome, e-mail e fotografia de perfil do Google são transmitidos à Lyriot
• Autoridades competentes: quando a lei, uma decisão judicial ou a defesa dos nossos direitos legítimos o exijam

Alguns prestadores estão estabelecidos fora da União Europeia (Firebase/Google, Stripe, nos Estados Unidos). Estas transferências estão salvaguardadas por:

• As cláusulas contratuais-tipo aprovadas pela Comissão Europeia
• As decisões de adequação da Comissão (por exemplo, o Data Privacy Framework UE-EUA para a Stripe e a Google)
• As garantias adequadas previstas no artigo 46.º do RGPD

Conservamos os seus dados enquanto a sua conta se mantiver ativa. Se a eliminar, os dados são apagados no prazo de 30 dias, salvo obrigação legal:

• Dados de transações: 5 anos (obrigação contabilística francesa)
• Dados de candidatura (currículos, cartas): 2 anos no máximo
• Registos técnicos: 12 meses
• Histórico de moderação e sanções: por tempo indeterminado (segurança e prevenção de abusos)
• Mensagens privadas eliminadas: os metadados (data, participantes) podem ser conservados mesmo após a eliminação do conteúdo

Nos termos do RGPD, dispõe dos seguintes direitos:

• Direito de acesso: consultar os dados que detemos sobre si
• Direito de retificação: corrigir os seus dados inexatos (diretamente nas Definições ou contactando-nos)
• Direito ao apagamento: eliminar a sua conta em Definições → Zona sensível (tratado em 30 dias)
• Direito à portabilidade: obter uma cópia dos seus dados num formato estruturado
• Direito de oposição: opor-se a determinados tratamentos (por exemplo, comunicações comerciais ou estado em linha)
• Direito à limitação: solicitar a suspensão do tratamento em determinados casos
• Direitos relativos às decisões automatizadas: ser informado dos tratamentos automatizados (atribuição de pontos, cálculo da patente, validação dos convites) e contestar o respetivo resultado

Para exercer estes direitos: formulário de contacto. Pode também apresentar reclamação junto da CNIL.

Medidas técnicas e organizativas aplicadas:

• Cifragem de todas as comunicações em trânsito (HTTPS/TLS)
• Palavras-passe cifradas com bcrypt (nunca guardadas em texto simples)
• Acesso aos dados restringido segundo o princípio do privilégio mínimo
• Armazenamento seguro dos ficheiros na Cloudflare R2 (acesso através de URL assinado temporário)
• Proteção CSRF em todos os formulários (token NextAuth)
• Registo das operações de administração
• Cópias de segurança periódicas da base de dados
• Em caso de violação de dados, as pessoas afetadas serão informadas no prazo de 72 horas, conforme previsto no RGPD

Utilizamos cookies técnicos necessários ao funcionamento da plataforma (sessão do utilizador, proteção CSRF). Utilizamos igualmente o armazenamento local do seu navegador para memorizar as suas preferências (tema claro ou escuro, moeda de apresentação, idioma): estes dados nunca saem do seu dispositivo. Para saber mais, consulte a nossa política de cookies.

A Lyriot está aberta a pessoas com 15 anos ou mais, nos termos do artigo 7.º-1 da lei francesa de proteção de dados. Nos países cuja legislação fixe uma idade diferente (por exemplo, 13 anos nos Estados Unidos ao abrigo da COPPA, ou 16 anos em determinados Estados-Membros da UE), aplica-se a idade mais protetora. Não recolhemos conscientemente dados de menores que não tenham atingido a idade exigida. Se considerar que um menor nessa situação criou uma conta, contacte-nos de imediato.

Para além do RGPD europeu, a Lyriot cumpre as seguintes normas de proteção de dados consoante o seu país de residência:

• Califórnia (CCPA/CPRA): se residir na Califórnia, dispõe de direitos adicionais ao abrigo do California Consumer Privacy Act e do California Privacy Rights Act: direito de saber que dados pessoais são recolhidos, direito ao apagamento, direito de recusar a venda de dados (não vendemos os seus dados) e direito a não ser discriminado por os exercer. Escreva-nos para contact@lyriot.com para os fazer valer.
• Reino Unido (UK GDPR): cumprimos o UK GDPR posterior ao Brexit. A autoridade de controlo é o ICO (Information Commissioner's Office). Os seus direitos são equivalentes aos do RGPD europeu.
• Brasil (LGPD): nos termos da Lei Geral de Proteção de Dados Pessoais, dispõe dos direitos de acesso, correção, eliminação, portabilidade e oposição. A autoridade competente é a ANPD (Autoridade Nacional de Proteção de Dados).
• Canadá (PIPEDA + Lei 25): cumprimos a Lei de Proteção da Informação Pessoal e dos Documentos Eletrónicos (PIPEDA) e, no Quebeque, a Lei 25 (lei que moderniza as disposições legislativas em matéria de proteção da informação pessoal). Autoridades: OPC (federal) e CAI (Quebeque).
• Austrália (Privacy Act 1988): cumprimos o Australian Privacy Act e os Australian Privacy Principles. A autoridade competente é o OAIC (Office of the Australian Information Commissioner).
• Japão (APPI): nos termos da lei de proteção da informação pessoal (個人情報の保護に関する法律), cumprimos as obrigações da APPI. A autoridade competente é a PPC (Personal Information Protection Commission / 個人情報保護委員会).
• China (PIPL): nos termos da lei de proteção da informação pessoal (个人信息保护法), tratamos os seus dados segundo os princípios da licitude, da legitimidade e da necessidade. A autoridade competente é a CAC (Cyberspace Administration of China / 国家互联网信息办公室).
• Coreia do Sul (PIPA): nos termos da lei de proteção da informação pessoal (개인정보 보호법), dispõe dos direitos de acesso, retificação, eliminação e oposição. A autoridade competente é a PIPC (Personal Information Protection Commission / 개인정보보호위원회).
• Índia (DPDP Act 2023): nos termos do Digital Personal Data Protection Act 2023, tem direito à informação, à correção e à eliminação dos seus dados pessoais digitais. O organismo competente é o Data Protection Board of India (em constituição pelo MeitY).
• Turquia (KVKK): nos termos da Lei n.º 6698 relativa à proteção dos dados pessoais (Kişisel Verilerin Korunması Kanunu), dispõe dos direitos de acesso, correção e eliminação. A autoridade competente é a KVKK (Kişisel Verileri Koruma Kurumu).
• Indonésia (UU PDP): nos termos da Lei n.º 27/2022 relativa à proteção dos dados pessoais (Undang-Undang Perlindungan Data Pribadi), os seus direitos incluem o acesso, a correção e a eliminação. O organismo competente é o Kementerian Komunikasi dan Informatika.
• Tailândia (PDPA): nos termos do Personal Data Protection Act B.E. 2562 (2019), dispõe dos direitos de acesso, portabilidade, eliminação e oposição. O organismo competente é o PDPC (Personal Data Protection Committee).
• Arábia Saudita (PDPL): nos termos da Personal Data Protection Law (نظام حماية البيانات الشخصية), dispõe dos direitos de acesso e de correção. A autoridade competente é a SDAIA (Saudi Data and AI Authority / الهيئة السعودية للبيانات والذكاء الاصطناعي).

Autoridades de proteção de dados por país :

Podemos atualizar esta política a qualquer momento. Em caso de alteração substancial, avisá-lo-emos por e-mail ou através de uma notificação na plataforma. Continuar a utilizar a Lyriot após esse aviso vale como aceitação das alterações.

A presente política é redigida em língua francesa. As versões noutras línguas são traduções fornecidas a título informativo; em caso de divergência, apenas a versão francesa faz fé.

Responsável pelo tratamento: Lyriot, França.

Para qualquer questão sobre os seus dados pessoais, para exercer os seus direitos RGPD (acesso, retificação, apagamento, portabilidade, oposição, limitação) ou para qualquer reclamação relativa ao tratamento dos seus dados: formulário de contacto ou diretamente para contact@lyriot.com.

Pode igualmente apresentar reclamação junto da autoridade de controlo competente: Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, 75007 Paris.