Política de Privacidade

1. Quem é o responsável

O responsável pelo tratamento dos dados pessoais descritos nesta política é:

Para qualquer questão sobre privacidade, incluindo o exercício dos teus direitos, escreve para anderson@170web.net.

2. Que dados tratamos

• Conta. Nome, email, palavra-passe — guardada apenas como hash, nunca em texto legível — e o idioma preferido. Se entrares com a Google, recebemos o nome, o email e a fotografia de perfil que a Google partilha connosco; nunca temos acesso à tua palavra-passe Google.
• Perfil, se o preencheres. Telefone, morada, data de nascimento, género e o texto «sobre mim». Todos são opcionais.
• Segurança. O endereço IP e o browser (user agent) de cada sessão iniciada; contadores temporários que limitam registos e tentativas de entrada por IP, rede, endereço de email e domínio; e um contador de palavras-passe erradas por conta.
• Verificação anti-bot. Nos formulários de registo, de entrada e de recuperação da palavra-passe, o Cloudflare Turnstile analisa sinais técnicos do browser e o IP para distinguir pessoas de programas automáticos.
• Estatísticas. Medimos visitas e o desempenho das páginas com o Vercel Web Analytics e o Speed Insights, de forma agregada: não usam cookies nem criam um perfil de cada visitante.
• Mensagens que nos envies. O teu endereço de email e o conteúdo da mensagem.
• Mapas e vídeos. Ao abrir um mapa, o browser pede as imagens do mapa ao OpenFreeMap, que recebe o teu IP, como em qualquer pedido na internet. Os vídeos do YouTube nos artigos só carregam quando carregas neles; a partir daí, a Google recebe o teu IP e pode guardar dados no teu dispositivo, segundo as regras dela.
• Directório público. Dados profissionais de artistas, coletivos e locais — ver a secção Perfis do directório.

3. Para que usamos os dados e com que fundamento

• Criar e gerir a tua conta, iniciar sessão e enviar os emails do serviço (confirmação do email, reposição da palavra-passe, eliminação da conta) — execução do contrato que aceitas nos Termos de Utilização (RGPD, art. 6.º, n.º 1, alínea b).
• Proteger o serviço e quem o usa de contas falsas, ataques à palavra-passe e abusos — interesse legítimo (alínea f).
• Medir e melhorar o site com estatísticas agregadas — interesse legítimo (alínea f).
• Publicar o directório de artistas, coletivos e locais, para que organizadores e público os encontrem — interesse legítimo (alínea f), sempre com o teu direito de oposição.
• Responder aos teus pedidos — interesse legítimo (alínea f) ou diligências a teu pedido antes de um contrato (alínea b).
• Mostrar vídeos do YouTube — o teu consentimento, dado ao carregares no vídeo (alínea a).
• Cumprir obrigações legais, por exemplo fiscais, quando houver pagamentos — obrigação legal (alínea c).

Não vendemos dados pessoais, não os usamos para publicidade e não tomamos decisões automatizadas com efeitos jurídicos sobre ti.

4. Durante quanto tempo

• Conta e perfil: enquanto a conta existir. Quando a eliminas, são apagados, salvo o que a lei nos obrigue a guardar.
• Contas registadas e nunca confirmadas: apagadas automaticamente ao fim de 7 dias.
• Sessões: expiram ao fim de 7 dias sem utilização; o registo de cada sessão expirada, com o IP e o browser, é apagado 30 dias depois.
• Contadores anti-abuso: apagados até 2 dias depois de terminado o período que medem.
• Links enviados por email: o de confirmação do email vale 24 horas; os de reposição da palavra-passe e de eliminação da conta valem 1 hora.
• Perfis do directório: enquanto forem relevantes para o índice, ou até pedires a remoção.
• Emails trocados connosco: o tempo necessário para tratar o assunto e demonstrar que foi tratado.

5. Com quem partilhamos

Só com os fornecedores de que precisamos para o serviço funcionar, que tratam os dados por nossa conta e segundo as nossas instruções:

Podemos ainda ter de comunicar dados às autoridades, quando a lei o exija.

6. Transferências para fora da UE

A base de dados, as imagens e o envio de emails ficam na União Europeia. A Vercel, a Cloudflare e a Google são empresas com sede nos Estados Unidos e podem aceder a dados a partir de lá — por exemplo, para suporte técnico ou para a verificação anti-bot. Nesses casos, a transferência assenta na decisão de adequação da Comissão Europeia relativa ao EU-US Data Privacy Framework, para as empresas certificadas, ou em cláusulas contratuais-tipo aprovadas pela Comissão.

7. Cookies e armazenamento no dispositivo

Usamos apenas o estritamente necessário para o site funcionar, por isso não te pedimos consentimento para cookies:

• Cookies de sessão, com o prefixo kache_pub: mantêm a sessão iniciada até 7 dias e só existem se entrares na conta.
• NEXT_LOCALE: lembra o idioma que escolheste no seletor e apaga-se quando fechas o browser.
• A preferência de tema claro ou escuro, guardada no armazenamento local do browser.
• O widget anti-bot da Cloudflare corre numa moldura própria e pode guardar os dados técnicos de que a verificação precisa.

Não usamos cookies de publicidade nem de análise.

8. Perfis do directório

O Kache mantém um índice de artistas, coletivos e locais de música ao vivo. Estes perfis não foram criados pelas pessoas retratadas: são compilados pela nossa equipa a partir de informação que os próprios tornaram pública — sites, páginas e redes sociais públicas, programação de salas — e de bases de dados abertas de locais, como o Overture Maps.

• O que publicamos: nome artístico ou nome do local, tipo, géneros musicais, cidade ou concelho, descrição, fotografias e as ligações entre artistas, coletivos e locais.
• O que guardamos sem publicar: contactos profissionais e o nome civil, quando constam da fonte, e notas internas da equipa. Nunca aparecem no site.
• Fundamento: interesse legítimo — o dos organizadores e do público em encontrar quem faz música ao vivo, e o dos próprios profissionais em serem encontrados. Cada perfil é revisto pela equipa antes de ser publicado.
• Os teus direitos: se um perfil é sobre ti, podes pedir que o corrijamos, que deixemos de o publicar ou que o apaguemos, escrevendo para anderson@170web.net ou pelo link que está no próprio perfil. Respondemos no prazo máximo de um mês.

9. Os teus direitos

Podes, a qualquer momento:

• aceder aos teus dados e receber uma cópia;
• corrigir dados inexatos ou incompletos;
• pedir que os apaguemos;
• pedir a limitação do tratamento;
• opor-te a tratamentos baseados em interesse legítimo, incluindo a publicação no directório;
• receber os dados que nos deste num formato estruturado (portabilidade);
• retirar um consentimento que tenhas dado, sem afetar o que foi feito antes.

Podes apagar a tua conta diretamente em Conta: enviamos-te um email de confirmação e a conta é eliminada quando abres o link. Para os restantes direitos, escreve para anderson@170web.net. Respondemos no prazo de um mês e podemos pedir-te que confirmes a identidade, por exemplo respondendo a partir do email da conta.

Tens ainda o direito de apresentar queixa à Comissão Nacional de Proteção de Dados (www.cnpd.pt) ou à autoridade de proteção de dados do teu país de residência.

10. Segurança

Todas as ligações são cifradas (HTTPS). As palavras-passe são guardadas apenas como hash e verificadas contra fugas de dados conhecidas sem saírem do servidor: só os 5 primeiros caracteres de um resumo criptográfico são consultados no serviço Have I Been Pwned, o que não permite reconstituí-las. O acesso da equipa à área interna exige autenticação de dois fatores e fica registado.

11. Alterações a esta política

Se alterarmos esta política de forma relevante, publicamos a nova versão nesta página, com a data de atualização, e avisamos por email quem tiver conta.