Nos termos do Regulamento (UE) 2016/679, de 27 de abril – Regulamento Geral sobre a Proteção de Dados (doravante designado por RGPD), da Lei n.º 58/2019, de 8 de agosto, e do Regulamento (UE) 2024/1689, de 13 de junho – Regulamento da Inteligência Artificial (IA Act), a presente Política de Privacidade e de Proteção de Dados tem o objetivo de estabelecer e informar sobre todas as regras de recolha e tratamento dos dados pessoais fornecidos à Associação Topsail pelos seus Titulares, descrevendo, para o efeito, todas as condições, orientações e procedimentos internos adotados pela Associação no processo de recolha e tratamento de dados pessoais. 

Os conceitos definidos no artigo 4.º do RGPD são utilizados na presente Política de Privacidade e de Proteção de Dados (doravante designada por Política) e têm o mesmo significado que lhes é atribuído nesse regulamento. 

1. IDENTIFICAÇÃO DO RESPONSÁVEL PELO TRATAMENTO DE DADOS PESSOAIS E ÂMBITO DE APLICAÇÃO

1.1 A Associação Topsail, NIPC 516.657.364, com sede na Avenida Infante Dom Henrique n.º 143 – 1.º Piso, 1950-406 Lisboa e com o endereço de correio eletrónico dpa@tumo.pt (doravante designada por Associação) é a entidade responsável pela recolha e tratamento dos dados pessoais fornecidos pelos seus Titulares ou, no caso de menores de idade, pelos respetivos encarregados de educação ou representantes legais (doravante designados por Responsável Legal), para as finalidades indicadas no ponto 2 desta Política. Para efeitos da presente Política, salvo indicação em contrário, a expressão Utilizador/Utilizadores designa o Titular dos dados pessoais ou o seu Responsável Legal, consoante quem interaja com a Associação.

1.2 Esta Política de Privacidade e Proteção de Dados aplica-se a todos os dados pessoais recolhidos pela Associação através dos formulários de contacto, de pré-inscrição, de inscrição e de realização de donativos, e de outros formulários que sejam da sua propriedade, disponíveis nos websites e demais landing pages por si operados, de correio eletrónico e de outros canais de comunicação, bem como no âmbito da frequência dos seus centros, programas, atividades, iniciativas e eventos, incluindo a utilização da plataforma de aprendizagem e os sistemas de videovigilância, e destina-se a informar o Utilizador, nos termos e para os efeitos do artigo 13.º do RGPD. 

1.3 Os Utilizadores devem ler com atenção esta Política de Privacidade e Proteção de Dados e decidir de forma livre se pretendem fornecer os dados pessoais à Associação, previamente ao envio dos mesmos.

1.4 O fornecimento e o envio de dados pessoais de pessoas menores de 18 anos, só são permitidos e aceites desde que seja feito por, pelo menos, um dos responsáveis legais (representante legal ou encarregado de educação) do menor Titular dos dados e acompanhado pelo devido consentimento e aceitação das condições da presente Política. 

1.5 Para os efeitos e fins da presente Política, quem partilhar dados pessoais de um menor, garante que é o Responsável Legal (representante legal ou encarregado de educação) do menor Titular dos dados fornecidos e que, como tal, tem poderes para efetuar essa partilha. 

1.6 Qualquer dado pessoal que seja fornecido ou enviado sem estarem cumpridas as condições da presente Política e/ou qualquer disposição da legislação europeia e nacional aplicável, será imediatamente apagado pela Associação. 

1.7 O Utilizador declara que os dados fornecidos à Associação são verdadeiros, exatos, completos e atuais, sendo responsável por qualquer desconformidade que se verifique. A Associação pode solicitar periodicamente a revisão e atualização dos dados pessoais recolhidos e tratados, a fim de os manter exatos e atualizados.

2. DADOS PESSOAIS RECOLHIDOS, FINALIDADES E FUNDAMENTO DO TRATAMENTO

2.1 Os Utilizadores são pessoas singulares, pertencentes ao público em geral, maiores e menores de idade, que fornecem os seus dados pessoais nos termos e de acordo com as finalidades descritas nos pontos seguintes.

2.2 A Associação apenas recolhe e trata os dados pessoais adequados, pertinentes e limitados ao que é necessário para prosseguir os seus fins, de acordo com os princípios do artigo 5.º do RGPD. 

2.3 Os dados pessoais cujo tratamento seja necessário ao cumprimento de obrigações contratuais e legais são tratados, respetivamente, com base no artigo 6.º n.º 1 al. b) e c) do RGPD, sem prejuízo dos direitos previstos no ponto 6 da presente Política. 

2.4 Consoante a finalidade em causa, os dados pessoais são tratados com base nos seguintes fundamentos jurídicos:

• Consentimento do Titular dos dados ou do Responsável Legal do Titular dos dados;
• Necessidade dos dados para cumprimento de obrigações jurídicas pela Associação;
• Necessidade dos dados para formalização da pré-inscrição, inscrição, adesão e gestão do participante em atividades e iniciativas desenvolvidas pela Associação; 
• Necessidade dos dados para angariação e gestão de mecenas e donativos;
• Necessidade dos dados para efeito dos interesses legítimos da Associação, em caso de não prevalência de interesses, direitos ou liberdades fundamentais da pessoa singular.

2.5 A Associação poderá recolher e tratar os seguintes dados pessoais (incluindo sobre o Educando):

• Dados de identificação: Nome completo, Data de nascimento, Número de identificação (Cartão de Cidadão / Passaporte), Número de Identificação Fiscal, Nacionalidade e Género;
• Dados de contacto: Endereço de correio eletrónico (e-mail), Morada e Número de Telemóvel;
• Dados de saúde: Condição de saúde, Doenças, Necessidades Educativas Específicas e Medicação; 
• Dados escolares: Estabelecimento de ensino, Ano de escolaridade e Avaliação Escolar;
• Dados da participação e conduta do Estudante: assiduidade e pontualidade, progressão e resultados nas atividades, registos de ocorrências e de medidas disciplinares, e registos de utilização do cartão de acesso às instalações;
• Dados de navegação: Cookies que exijam consentimento do Utilizador; 
• Dados de Imagem: Fotografia, vídeo e som;

2.6 Os dados pessoais recolhidos pela Associação são tratados de acordo com as seguintes finalidades:

2.7 Os dados de saúde fornecidos à Associação só serão recolhidos e tratados com o consentimento explícito do Utilizador, nos termos do art. 9.º n.º 2 al. a) do RGPD, sem prejuízo do disposto na al. c) do mesmo artigo, quando em causa situações de emergência que exijam a proteção de interesses vitais do Titular. A não disponibilização de dados de saúde não impede a frequência nos programas da Associação.

2.8 Os dados de pagamento eventualmente recolhidos no âmbito da realização de donativos através dos websites operados pela Associação apenas são tratados para efeitos de realização do donativo, emissão do respetivo recibo e cumprimento das obrigações legais aplicáveis. 

A Associação não guarda, nem armazena em nenhuma base de dados ou nos seus servidores, quaisquer dados de cartão ou credenciais bancárias. Estes dados são introduzidos diretamente na página de pagamento da entidade responsável pelo seu processamento – Stripe (Stripe Payments Europe, Ltd.), que os processa na qualidade de responsável autónomo pelo tratamento, nos termos da sua própria política de privacidade.

Os meios de pagamento disponíveis são os cartões Visa, Mastercard e Discover e o Google Pay, podendo variar em função do dispositivo e do país do Utilizador.

3. CONSENTIMENTO

3.1 Os dados pessoais fornecidos através dos formulários de contacto, de pré-inscrição, de inscrição, de realização de donativos, ou de outro formulário que seja propriedade da Associação, cujo tratamento se fundamente no consentimento, nos termos identificados no ponto 2.6, só serão recolhidos e tratados com o consentimento livre, específico, informado e inequívoco do Utilizador ou do Responsável Legal do Utilizador.

3.2 A autorização de recolha e tratamento de dados pessoais pode ser manifestada por escrito ou através da validação de opções nos formulários de contacto, de pré-inscrição, de inscrição, de avaliação ou de outro formulário que seja propriedade da Associação. 

3.3 A Associação não recolhe intencionalmente dados pessoais de menores de 18 anos, exceto com o consentimento ou a autorização dos responsáveis legais do menor, conforme referido nos pontos 1.4 e 1.5.

3.4 O consentimento pode ser alterado ou retirado a qualquer momento pelo Utilizador, produzindo efeitos para o futuro. Para o efeito, basta enviar um e-mail para dpa@tumo.pt, indicando o(s) consentimento(s) que pretende alterar ou retirar.

3.5 Após a retirada do consentimento, a Associação cessa o tratamento dos dados pessoais recolhidos exclusivamente com base no consentimento e, no prazo de 30 dias a contar da receção da comunicação referida no ponto anterior, elimina-os. O tratamento dos dados pessoais recolhidos com base noutro fundamento previsto no art. 6.º do RGPD – designadamente a execução do contrato de inscrição ou o cumprimento de obrigações legais – mantém-se em vigor pelos prazos indicados no ponto 4.

3.6 A recusa ou retirada do consentimento não afeta a frequência nos programas, atividades, iniciativas e eventos da Associação. Nos casos em que o fornecimento de determinados dados seja condição necessária à execução do contrato de prestação de serviços, nos termos identificados no ponto 2.6, a sua não disponibilização impossibilita a formalização ou manutenção da inscrição, não por força de recusa de consentimento, mas por impossibilidade objetiva de prestação do serviço.

O Utilizador reconhece que determinados programas ou atividades dependem, pela sua natureza, da disponibilização de determinados dados pelos participantes, podendo a Associação não os realizar caso não reúna as condições necessárias à sua execução.

4. PRAZO DE CONSERVAÇÃO

4.1 Os dados pessoais recolhidos pela Associação são conservados apenas pelo período necessário à realização das finalidades para as quais foram recolhidos, tendo definido, sem prejuízo de obrigações legais que obriguem a um prazo mais curto ou mais longo, os seguintes prazos de conservação. 

Os prazos indicados no quadro seguinte decorrem das finalidades e dos fundamentos identificados no ponto 2.6, da diferente natureza de risco associada a cada tipo de dado e de imposição legal, quando aplicável. Em particular, o prazo de 10 anos aplicável aos dados de identificação, de contacto e escolares resulta da relação com o estudante não cessar com a saída do centro, nomeadamente pela Associação manter uma Comunidade Alumni e realizar a medição e a avaliação de impacto dos seus programas ao longo do tempo.

4.2 Findos os prazos indicados e, salvo no cumprimento de obrigação legal ou contratual a que esteja obrigada, a Associação procederá à anonimização, à pseudonimização ou ao apagamento dos dados pessoais de forma segura.

4.3 Os dados tratados para fins estatísticos são anonimizados logo que a operação estatística o permita e, em qualquer caso, no termo dos prazos indicados no ponto 4.1. Posteriormente, são apenas conservados sob forma agregada e anonimizada, não permitindo a identificação dos Titulares e, por sua vez, perdem a categoria de dados pessoais. Enquanto pseudonimizados, os dados mantêm a natureza de dados pessoais e beneficiam das medidas de segurança do ponto 7. 

4.4 Os prazos de conservação supra identificados decorrem da diferente natureza de risco associada a cada tipo de dado e à necessidade da Associação manter o seu tratamento, de acordo com as finalidades e fundamentos referidos no ponto 2.6 da presente Política, e de imposição legal, quando aplicável.

5. ÁREA DE APRENDIZAGEM INTELIGÊNCIA ARTIFICIAL GENERATIVA 

5.1 A frequência na área de aprendizagem de “GenAI”, na qual a Associação disponibiliza uma funcionalidade de inteligência artificial integrada na sua plataforma interna, assente em tecnologia fornecida por prestador externo, exige sempre o consentimento do Responsável Legal do Utilizador. 

5.2 Para todos os efeitos, o consentimento do Responsável Legal para frequência na área de aprendizagem de “GenAI” é recolhido e tratado nos termos do ponto 3 da presente Política. 

5.3 No âmbito da utilização da funcionalidade de aprendizagem supra referida, a Associação não recolhe, nem pede que sejam fornecidos dados pessoais. 

5.4 A Associação alerta que a utilização da funcionalidade descrita nos pontos anteriores permite ao Utilizador inserir informação por sua própria iniciativa, incluindo, eventualmente, dados pessoais, pelo que se recomenda expressamente que não sejam introduzidos dados pessoais.

5.5 Caso o Utilizador forneça dados pessoais ao utilizar a funcionalidade supra descrita, estes não serão recolhidos, tratados e utilizados para fins publicitários ou para treinar os modelos de IA da plataforma, sendo exclusivamente processados para efeitos de operação, utilização e monitorização da funcionalidade da IA da plataforma.  

5.6 Sem prejuízo do disposto no ponto 8, as informações e dados processados para efeitos de operação e utilização da funcionalidade referida neste ponto são exclusivamente tratados dentro do Espaço Económico Europeu (EEE), sujeitos às diretrizes em matéria de RGPD e retidos por 30 dias. Findo o prazo, serão automaticamente eliminados. 

5.7 De acordo com as obrigações legais do RGPD, a Associação celebrou com a entidade que disponibiliza a funcionalidade de IA na sua plataforma interna o necessário acordo de proteção de dados. 

5.8 Nos termos do artigo 50.º do Regulamento (UE) 2024/1689 (Regulamento da IA ou IA Act), informa-se que os trabalhos e os desafios realizados pelo Utilizador nesta área de aprendizagem podem ser avaliados pelo sistema de inteligência artificial integrado na plataforma interna do TUMO, sem revisão humana individualizada. 

5.9 O Utilizador pode, a qualquer momento, solicitar que um formador reveja a avaliação atribuída pela funcionalidade, através do contacto dpa@tumo.pt.

6. DIREITOS DOS UTILIZADORES

6.1 A Associação garante a defesa de todos os direitos dos Utilizadores relativos à proteção dos seus dados pessoais, em conformidade com a legislação em vigor.

6.2 Nos termos da legislação que rege o tratamento de dados pessoais, os Utilizadores têm o direito de solicitar à Associação o acesso aos dados pessoais que lhes digam respeito, a sua retificação, o seu apagamento, a limitação do tratamento, a oposição ao tratamento, o direito à portabilidade dos dados, o direito de não ficar sujeito a decisões exclusivamente automatizadas nos termos do artigo 22.º do RGPD e do ponto 5 da presente Política, e o direito de retirar, a qualquer momento, os consentimentos prestados, conforme o ponto 3.4 da presente Política.  

6.3 Nos termos do número anterior, o exercício dos direitos dos Utilizadores deve realizar-se através do seguinte endereço de e-mail: dpa@tumo.pt. A Associação responde aos pedidos no prazo de um mês a contar da sua receção, prorrogável por dois meses quando a complexidade ou o número de pedidos o justifique, informando o Utilizador dessa prorrogação. 

6.4 No referido contacto, os Utilizadores ou os seus Responsáveis Legais deverão enviar, em qualquer caso, uma cópia de um documento comprovativo da sua identidade (evitando, caso possível, o envio de cópia do cartão de cidadão) e da sua relação com o menor, caso aplicável, especificando o direito ou os direitos que desejam exercer. 

6.5 O Utilizador tem o direito de apresentar reclamações junto da autoridade de controlo (Comissão Nacional de Proteção de Dados – https://www.cnpd.pt/), quando insatisfeito quanto à forma como os seus dados pessoais são tratados.

7. SEGURANÇA 

7.1 A Associação declara que implementou e continuará a implementar as medidas de segurança de natureza técnica e organizativa necessárias para garantir a segurança dos dados pessoais que lhe sejam fornecidos visando evitar a sua alteração, perda, tratamento e/ou acesso não autorizado, tendo em conta o estado atual da tecnologia, a natureza dos dados armazenados e os riscos a que estão expostos.

7.2 Os dados pessoais dos Utilizadores são tratados com o nível de proteção legalmente exigível para garantir a segurança dos mesmos e evitar a sua alteração, perda, tratamento ou acesso não autorizado, tendo em conta o estado da tecnologia.

7.3 Nos termos dos pontos anteriores, a Associação estabelece as seguintes medidas de segurança e proteção dos dados pessoais por si tratados: a pseudonimização, a anonimização e a encriptação dos dados que permitam identificar o Utilizador, o controlo e limitação de acessos às bases de dados de armazenamento, o apagamento imediato dos dados que não sejam utilizados e a fixação de prazos de conservação dos dados recolhidos pelo período estritamente necessário. 

7.4 O acesso aos dados de saúde dos Utilizadores é limitado aos elementos das equipas da Associação diretamente responsáveis pelo acompanhamento do Utilizador em causa, na medida do estritamente necessário ao cumprimento das finalidades identificadas no ponto 2.6, não sendo estes dados partilhados de forma generalizada no seio da Associação.

7.5 Sem prejuízo do disposto nos pontos anteriores, a Associação informa o Utilizador de que a transmissão de dados através da Internet comporta riscos que não estão integralmente sob o seu controlo, pelo que não pode assegurar de forma absoluta a segurança dos dados durante a sua transmissão até aos seus sistemas. Esta advertência não afasta as medidas de segurança referidas nos pontos 7.1 a 7.4, nem a responsabilidade da Associação nos termos da lei.

8. COMUNICAÇÃO E TRANSFERÊNCIA DE DADOS A TERCEIROS

8.1 A Associação compromete-se a adotar as medidas necessárias e adequadas, de forma a assegurar que os dados pessoais, que eventualmente sejam transferidos, sejam tratados de acordo com as medidas de segurança apropriadas, não comprometendo o nível de proteção das pessoas singulares garantido pela legislação em vigor.

8.2 A Associação poderá recorrer a terceiros, localizados dentro ou fora do Espaço Económico Europeu (EEE), para a prestação de determinados serviços, dentro das finalidades acima descritas, o que poderá implicar o acesso, por tais entidades, aos dados pessoais tratados. Estes terceiros integram, designadamente, as seguintes categorias: prestadores de alojamento, correio eletrónico e formulários online, o prestador de serviços de pagamento (Stripe), a seguradora dos seguros de acidentes pessoais, a entidade que disponibiliza a plataforma de aprendizagem e a funcionalidade de inteligência artificial referida no ponto 5, prestadores de serviços de análise estatística de navegação, universidades e outras entidades académicas ou de investigação contratadas pela Associação para a realização de estudos de avaliação de impacto, e autoridades públicas, quando legalmente exigido. Incluem-se ainda os prestadores de serviços de comunicações eletrónicas e de aplicações de mensagens instantâneas, utilizados exclusivamente nas comunicações com o Encarregado de Educação.

8.3 No recurso a terceiros, a Associação compromete-se a adotar as medidas necessárias e adequadas, por forma a assegurar que tais entidades ofereçam elevadas garantias no tratamento dos dados pessoais dos Utilizadores, o que ficará devidamente consagrado e acautelado em contrato a celebrar, por escrito, entre a Associação e a(s) terceira(s) entidade(s).

8.4 Sempre que os terceiros se encontrem fora do EEE, a transferência realiza-se com base numa decisão de adequação da Comissão Europeia relativa ao país de destino ou, na sua falta, mediante cláusulas contratuais-tipo aprovadas pela Comissão Europeia (artigo 46.º do RGPD) ou outro mecanismo previsto no Capítulo V do RGPD, podendo o Utilizador solicitar informação sobre as garantias aplicáveis através do contacto dpa@tumo.pt. 

8.5 Sem prejuízo do disposto nos parágrafos anteriores, a Associação informa o Utilizador que não se responsabiliza pelos atos praticados por terceiros, que sejam ilegais e que incumpram com as medidas de segurança impostas pela Associação e subscritas por aqueles, ou que violem os acordos e contratos de proteção de dados celebrados entre a Associação e terceiros, na máxima medida permitida pela legislação aplicável.

9. COOKIES

9.1 Os cookies são arquivos ou ficheiros de texto que contêm pequenas quantidades de informações que são descarregadas e guardadas no dispositivo do Utilizador, através do seu browser, quando visita um website.

9.2 A utilização de cookies nos websites operados pela Associação – incluindo a identificação dos cookies utilizados, as respetivas finalidades, os prazos de conservação e a forma de gerir ou retirar o consentimento – rege-se pela Política de Cookies, disponível nos websites operados pela Associação.

9.3 Os cookies que não sejam estritamente necessários só são instalados no dispositivo do Utilizador após consentimento prévio, livre, específico, informado e inequívoco, prestado através do painel de gestão de cookies apresentado no primeiro acesso ao website. O Utilizador pode aceitar ou recusar a instalação destes cookies, mantendo, em qualquer caso, o acesso integral ao website.

10. ALTERAÇÕES À POLÍTICA DE PRIVACIDADE

10.1 A Associação reserva-se o direito de, a todo o tempo, proceder a reajustamentos ou alterações à presente Política, as quais serão devidamente publicadas nos respetivos websites.

10.2 A Política atualizada encontra-se disponível nos websites operados pela Associação e nos que venham a ser criados.

11. COMUNICAÇÕES ENTRE A ASSOCIAÇÃO E OS UTILIZADORES

11.1 Para mais informações ou questões sobre a Política de Privacidade e Proteção de Dados da Associação, os Utilizadores e o público em geral podem contactar os seus serviços através dos seguintes meios: envio de email para dpa@tumo.pt ou comunicação via postal para: Associação Topsail – Avenida Infante Dom Henrique n.º 143 – 1.º Piso, 1950-406 Lisboa. 

11.2 Os Utilizadores comprometem-se a manter os seus contactos de telemóvel e de correio eletrónico atualizados, devendo comunicar de imediato à Associação qualquer alteração aos mesmos.

A versão da Política de Privacidade e Proteção de Dados atualmente em vigor foi publicada em 15 de setembro de 2026.