Política de privacidade

1. Responsável pelo tratamento

• Responsável: Jorge Donet Alberola
• NIF (DNI): 20025823E
• Endereço: Avda. de la Valldigna, 9, 46750 Simat de la Valldigna, Valencia (España)
• E-mail: kidstoride@gmail.com
• Contacto de privacidade: privacidad@kidstoride.com

2. Dados que tratamos

• Dados de identificação: nome e apelido, documento de identidade quando aplicável.
• Dados de contacto: endereço de e-mail, número de telefone.
• Dados dos filhos: nome, apelido e data de nascimento, fornecidos pelo pai/mãe ou encarregado de educação.
• Dados de pagamento: tratados integralmente pela Stripe Payments Europe Ltd. Não armazenamos nunca números de cartão.
• Dados de utilização da plataforma: viagens publicadas, reservas, avaliações.
• Dados de localização em tempo real durante uma viagem ativa, com o seu consentimento explícito. Armazenados em Redis com TTL máximo de 1 hora e nunca persistidos em bases de dados relacionais.

3. Finalidades e bases jurídicas

• Execução de contrato: prestação do serviço da plataforma, registo, gestão de viagens, faturação e comunicações operacionais.
• Cumprimento de obrigações legais: faturação, fiscalidade, resposta a pedidos administrativos ou judiciais.
• Interesse legítimo: prevenção de fraude, segurança da plataforma e melhoria do serviço.
• Consentimento: comunicações de marketing, localização em tempo real, cookies de análise e marketing.

4. Conservação dos dados

Conservamos os dados enquanto a relação contratual durar e, uma vez terminada, pelos prazos legalmente exigidos para responder a eventuais responsabilidades (geralmente até seis anos para efeitos fiscais).

As posições GPS são conservadas apenas durante a viagem ativa e eliminadas automaticamente após 1 hora.

5. Destinatários e subcontratantes

Não cedemos os seus dados a terceiros, salvo obrigação legal. Para prestar o serviço, recorremos aos seguintes subcontratantes:

• Stripe Payments Europe Ltd. (gateway de pagamento, Merchant of Record).
• Cloudflare Inc. — R2 (armazenamento de ficheiros: avatares, documentos e imagens carregadas pelos utilizadores).
• Fly.io Inc. (alojamento da API e serviços de backend).
• Vercel Inc. (alojamento e CDN da aplicação web).
• Upstash Inc. (Redis gerido para dados efémeros de sessão e GPS, e fila de tarefas assíncronas QStash).
• Resend Inc. (entrega de e-mail transacional).
• MapTiler AG (mosaicos de mapa, geocodificação e encaminhamento — UE).
• Google LLC — Firebase Cloud Messaging (notificações push), Google Analytics (analítica web) e Google OAuth (autenticação social).
• Apple Inc. (autenticação social — Sign in with Apple).
• Mistral AI S.A.S. (funcionalidades de inteligência artificial — França, UE).
• PostHog Inc. (analítica de produto, servidor na UE).
• LiveKit Inc. (comunicação de voz e vídeo em tempo real).

6. Transferências internacionais

Alguns subcontratantes podem tratar dados fora do Espaço Económico Europeu. Nesse caso, as transferências são protegidas por Cláusulas Contratuais Padrão aprovadas pela Comissão Europeia ou por outras salvaguardas reconhecidas pelo RGPD.

7. Os seus direitos

Pode exercer os seus direitos de acesso, retificação, apagamento, oposição, limitação do tratamento, portabilidade e retirada do consentimento enviando um e-mail para kidstoride@gmail.com ou por carta para o endereço postal acima, juntando cópia do documento de identidade.

Se considerar que o tratamento não cumpre o regulamento, pode apresentar uma reclamação à Comissão Nacional de Proteção de Dados (CNPD), www.cnpd.pt.

8. Dados de menores

Os dados de menores de 14 anos são fornecidos exclusivamente pelo seu pai/mãe ou encarregado de educação, que assume a responsabilidade pela sua exatidão e pela legitimidade do seu fornecimento. A plataforma não permite o auto-registo de utilizadores com menos de 14 anos.

Os dados dos menores incluem altura (`heightCm`) e peso (`weightKg`), utilizados exclusivamente para determinar o sistema de retenção homologado adequado para a segurança rodoviária do menor durante as viagens. Estes dados são tratados com base no consentimento do encarregado de educação (art. 6.º, n.º 1, al. a) RGPD) e, dada a sua potencial relação com a saúde, também com consentimento explícito ao abrigo do art. 9.º, n.º 2, al. a) RGPD. Não são utilizados para nenhuma outra finalidade nem partilhados com terceiros.

10. Decisões automatizadas e perfis de risco de fraude

A plataforma utiliza um sistema automatizado de pontuação de risco (`riskScore`) para prevenir fraudes e proteger a segurança dos utilizadores. Este sistema analisa padrões de comportamento na plataforma (cancelamentos, disputas, atividade anómala) e pode colocar uma conta em estado `creditBlocked`, impedindo novas reservas.

Esta decisão tem efeitos significativos sobre o utilizador e está sujeita ao art. 22.º do RGPD. Tem o direito de não ser sujeito a uma decisão baseada exclusivamente em tratamento automatizado, de obter intervenção humana, de expressar o seu ponto de vista e de contestar a decisão. Para exercer este direito, contacte-nos em privacidad@kidstoride.com com o assunto "Contestar decisão automatizada".

9. Segurança

Aplicamos as medidas técnicas e organizativas necessárias para garantir a confidencialidade, integridade e disponibilidade dos dados: encriptação em trânsito (TLS 1.2+), encriptação em repouso, controlos de acesso, autenticação forte baseada em JWT com tokens de renovação, registo de atividade e revisões regulares.