Política de Privacidade e Proteção de Dados

Última atualização: 1 de janeiro de 2025

A presente Política de Privacidade e Proteção de Dados (adiante "Política") descreve a forma como a Federação Portuguesa de Atletismo (adiante "FPA" ou "nós") recolhe, utiliza, conserva e protege os dados pessoais dos utilizadores do Portal FPA (adiante "Portal"), bem como os princípios, medidas e procedimentos adotados para garantir um nível elevado de proteção desses dados, em conformidade com o Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados — RGPD), a Lei n.º 58/2019, de 8 de agosto, e demais legislação nacional e europeia aplicável.

1. Responsável pelo tratamento

A entidade responsável pelo tratamento dos seus dados pessoais é:

• Federação Portuguesa de Atletismo
• Largo da Lagoa, 15 B, 2799-538 Linda-A-Velha, Portugal
• NIPC: 501 381 813
• Telefone: (+351) 21 414 60 20
• E-mail: portal@fpatletismo.pt

2. Encarregado da Proteção de Dados (DPO)

A FPA designou um Encarregado da Proteção de Dados (DPO) com responsabilidade pela supervisão do cumprimento do RGPD, pela articulação com a Comissão Nacional de Proteção de Dados (CNPD) e pelo apoio aos titulares dos dados no exercício dos seus direitos. Para qualquer questão relacionada com o tratamento dos seus dados pessoais, pode contactar o DPO através do e-mail portal@fpatletismo.pt.

3. Princípios orientadores

Todo o tratamento de dados pessoais realizado pela FPA observa os seguintes princípios consagrados no artigo 5.º do RGPD:

• Licitude, lealdade e transparência — os dados são tratados em conformidade com a lei e de forma transparente para o respetivo titular.
• Limitação das finalidades — os dados são recolhidos para finalidades determinadas, explícitas e legítimas, e não são tratados posteriormente de forma incompatível com essas finalidades.
• Minimização dos dados — apenas são recolhidos os dados estritamente necessários a cada finalidade.
• Exatidão — são adotadas medidas razoáveis para garantir a exatidão e a atualização dos dados.
• Limitação da conservação — os dados são conservados apenas pelo tempo necessário às finalidades para que foram recolhidos.
• Integridade e confidencialidade — os dados são tratados com recurso a medidas técnicas e organizativas adequadas que garantem a sua segurança.
• Responsabilidade — a FPA é responsável pelo cumprimento dos princípios anteriores e está em condições de o comprovar.

4. Dados pessoais recolhidos

No âmbito da utilização do Portal, a FPA pode recolher e tratar as seguintes categorias de dados pessoais:

• Dados de identificação: nome completo, data de nascimento, sexo, documento de identificação (cartão de cidadão, passaporte ou outro), número de identificação fiscal (NIF), nacionalidade e fotografia.
• Dados de contacto: morada, código postal, localidade, concelho, distrito, e-mail e número de telefone.
• Dados desportivos: clube, associação distrital, escalão de filiado, escalão de competição, histórico de filiações, transferências e participações em provas.
• Dados de saúde: exame médico-desportivo (data de validade e respetivo documento), exclusivamente para verificação de aptidão para a prática desportiva.
• Dados financeiros: NIF, dados de faturação, histórico de pagamentos de taxas, referências multibanco e comprovativos de pagamento.
• Dados de utilização do Portal: data e hora dos acessos, endereço IP, tipo de navegador e dispositivo, e registos de atividade.

5. Finalidades e fundamentos legais do tratamento

Os seus dados pessoais são tratados para as seguintes finalidades:

• Gestão da filiação federativa (atleta, treinador, juiz, dirigente, organizador, representante, PNMC), incluindo emissão de licenças e cartões — execução do contrato de filiação e cumprimento das obrigações da FPA enquanto federação desportiva (Art.º 6.º, n.º 1, alíneas b) e c) do RGPD).
• Gestão de inscrições em provas e atividades — execução de contrato.
• Faturação e cobrança de taxas — cumprimento de obrigação legal (faturação, contabilidade).
• Verificação da aptidão médica para a prática desportiva — execução de contrato e cumprimento de obrigação legal (Decreto-Lei n.º 10/2003 e legislação desportiva aplicável).
• Comunicações operacionais (validação de conta, notificações de pagamentos, alertas de exame médico, etc.) — execução de contrato.
• Cumprimento de obrigações junto da World Athletics, ATRP e demais organismos desportivos — cumprimento de obrigação legal e interesse legítimo.
• Comunicações institucionais e informativas — consentimento, livremente revogável a qualquer momento.
• Segurança, prevenção de fraude e auditoria — interesse legítimo da FPA.

6. Partilha de dados e subcontratantes

Os seus dados podem ser comunicados a:

• Clubes e Associações Distritais aos quais esteja filiado ou para os quais solicite transferência.
• World Athletics, European Athletics e ATRP, no estrito necessário ao reconhecimento da filiação e participação em competições.
• Prestadores de serviços que atuam como subcontratantes da FPA — designadamente fornecedores de alojamento, processamento de pagamentos (Eupago), faturação (InvoiceXpress), seguros, comunicações e analítica — vinculados por contrato a obrigações de confidencialidade e segurança equivalentes às da FPA.
• Autoridades públicas, quando tal seja exigido por lei ou por decisão judicial.

A FPA não vende nem cede os seus dados pessoais a terceiros para fins comerciais. Os contratos de subcontratação celebrados nos termos do artigo 28.º do RGPD estabelecem, entre outros:

• Tratamento dos dados exclusivamente para as finalidades determinadas pela FPA;
• Adoção de medidas técnicas e organizativas equivalentes às da FPA;
• Sujeição dos colaboradores a deveres de confidencialidade;
• Notificação imediata de quaisquer violações de dados;
• Cooperação no exercício dos direitos dos titulares;
• Eliminação ou devolução dos dados no termo da relação contratual.

7. Transferências internacionais de dados

Sempre que ocorram transferências de dados para fora do Espaço Económico Europeu (por exemplo, no âmbito de competições internacionais ou de serviços de prestadores estabelecidos fora da UE), a FPA assegura a existência de garantias adequadas previstas no RGPD, designadamente decisões de adequação da Comissão Europeia ou cláusulas contratuais-tipo por esta aprovadas.

8. Prazos de conservação

Os dados pessoais são conservados apenas pelo período necessário ao cumprimento das finalidades para que foram recolhidos, designadamente:

• Dados de filiação e histórico desportivo: pelo período da filiação, acrescido dos prazos exigidos pela regulamentação desportiva nacional e internacional, e por períodos de prescrição legal aplicáveis.
• Dados de faturação e contabilísticos: pelo prazo legal aplicável (atualmente 10 anos).
• Dados de exame médico: pelo período em que a aptidão médica seja relevante para a prática desportiva e respetivos prazos legais de conservação.
• Registos de acesso ao Portal: pelo prazo necessário a fins de segurança e auditoria, e nos termos da Lei n.º 32/2008.

Após o decurso destes prazos, os dados são eliminados ou anonimizados de forma segura e irreversível.

9. Medidas de segurança

A FPA implementa medidas técnicas e organizativas adequadas para assegurar um nível de segurança proporcional aos riscos.

9.1. Medidas técnicas

• Encriptação das comunicações através de TLS/HTTPS em todo o Portal;
• Armazenamento das palavras-passe em formato hash com algoritmos modernos e devidamente salgados;
• Controlo de acessos baseado em perfis e no princípio do mínimo privilégio;
• Registo de acessos e operações sensíveis para fins de auditoria;
• Atualização regular dos sistemas, com aplicação atempada de patches de segurança;
• Cópias de segurança regulares, armazenadas em local seguro e testadas periodicamente;
• Proteção contra ataques comuns (CSRF, XSS, injeção SQL, força bruta, entre outros);
• Segregação dos ambientes de desenvolvimento, teste e produção.

9.2. Medidas organizativas

• Políticas internas de utilização aceitável de sistemas e dados;
• Acordos de confidencialidade com colaboradores e prestadores;
• Registo atualizado das atividades de tratamento, nos termos do artigo 30.º do RGPD;
• Procedimentos de avaliação prévia de novos tratamentos, incluindo, quando aplicável, Avaliação de Impacto sobre a Proteção de Dados (AIPD);
• Revisão periódica dos perfis de acesso e dos privilégios atribuídos;
• Formação periódica dos colaboradores em matéria de proteção de dados;
• Auditorias internas e externas regulares.

10. Tratamento de dados especialmente sensíveis

A FPA trata, no estrito necessário, dados de saúde (relativos à aptidão médico-desportiva) ao abrigo do artigo 9.º, n.º 2, alíneas b), h) e i) do RGPD, e da legislação desportiva nacional aplicável. Estes dados:

• São acedidos apenas por pessoas vinculadas a sigilo profissional ou a obrigação de confidencialidade equivalente;
• São armazenados separadamente sempre que tecnicamente exequível;
• Estão sujeitos a controlos de acesso reforçados.

O tratamento de dados de menores observa salvaguardas adicionais, designadamente a obtenção do consentimento dos respetivos representantes legais quando aplicável.

11. Violações de dados pessoais

A FPA dispõe de um procedimento interno de resposta a incidentes de segurança que envolvam dados pessoais. Em caso de violação que represente risco para os direitos e liberdades dos titulares, a FPA:

• Notifica a Comissão Nacional de Proteção de Dados (CNPD) no prazo máximo de 72 horas, nos termos do artigo 33.º do RGPD;
• Comunica a violação aos titulares afetados quando o risco for elevado, nos termos do artigo 34.º do RGPD;
• Documenta a violação, as suas circunstâncias, efeitos e medidas adotadas, mantendo registo interno para efeitos de demonstração da conformidade.

12. Os seus direitos

Enquanto titular dos dados, a lei reconhece-lhe os seguintes direitos:

• Acesso aos seus dados pessoais e às informações sobre o respetivo tratamento;
• Retificação dos dados inexatos ou incompletos;
• Apagamento ("direito a ser esquecido"), quando aplicável;
• Limitação do tratamento, nos casos previstos no RGPD;
• Portabilidade dos dados que tenha fornecido;
• Oposição ao tratamento fundado em interesse legítimo;
• Retirada do consentimento, sempre que o tratamento se baseie nesse fundamento, sem prejuízo da licitude dos tratamentos anteriormente realizados;
• Não ser sujeito a decisões automatizadas que produzam efeitos significativos sobre si.

Para exercer qualquer destes direitos, basta contactar a FPA através do e-mail portal@fpatletismo.pt. A resposta será dada no prazo máximo de 30 dias, prorrogável por mais 60 dias em casos de especial complexidade, com notícia ao titular.

Sempre que considere que o tratamento dos seus dados não cumpre o RGPD, tem ainda o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD) — www.cnpd.pt.

13. Cookies

O Portal utiliza cookies estritamente necessários ao seu funcionamento (autenticação, sessão, preferências de segurança) e, com o seu consentimento, cookies analíticos para fins estatísticos agregados. Pode gerir as suas preferências de cookies através do banner exibido no primeiro acesso ou nas definições do seu navegador.

14. Alterações a esta Política

A presente Política é revista periodicamente e sempre que ocorram alterações legais, organizativas ou tecnológicas relevantes. A versão em vigor está sempre disponível no Portal, com indicação da respetiva data de última atualização. Em caso de alterações materiais, será dada notícia através do Portal ou por e-mail.

15. Contactos

Para quaisquer questões ou esclarecimentos adicionais, contacte-nos através de portal@fpatletismo.pt ou pelo telefone (+351) 21 414 60 20.