1. Quem trata os seus dados

A ALMA — Associação do Algarve e Alentejo para a Multidisciplinaridade Oncológica, pessoa coletiva n.º 519 519 345, com sede na Rua 5 de Outubro, n.º 1, 8500-130 Figueira, Mexilhoeira Grande, Portimão, é a responsável pelo tratamento dos dados pessoais descritos nesta política.

Para qualquer assunto relacionado com proteção de dados: geral@oncoalma.org ou +351 965 463 572, dias úteis das 9h às 18h.

A ALMA não está obrigada a designar um Encarregado de Proteção de Dados nos termos do artigo 37.º do RGPD e, à data desta versão, não designou nenhum. Os pedidos são tratados diretamente pela Direção, através dos contactos acima.

2. Que dados este sítio recolhe

Este sítio tem servidor próprio, no alojamento da Associação (ponto 7). Algumas coisas ficam só no seu dispositivo; outras chegam à ALMA. Este ponto diz quais são quais.

Formulários que seguem por email. O formulário de contacto, o aviso de inscrição de sócio, o Consentimento Informado das marcações, a preferência de horário, o pedido de inscrição no memorial e o aviso de quota seguem pelo servidor do sítio, por email, para a caixa de correio da Associação. O email leva o que escreveu no corpo da mensagem e numa cópia em PDF anexa. O servidor não guarda a mensagem: não fica em disco nem em base de dados. Guarda apenas, enquanto o navegador estiver aberto, a hora do último envio, para travar envios repetidos (ponto 6).

Conta no servidor. Pode entrar com um código enviado para o seu email ou com uma palavra-passe. O servidor guarda o seu endereço de email cifrado, um resumo criptográfico desse endereço (serve para encontrar a conta sem a ler), a data de criação, a do último acesso e, se definir palavra-passe, apenas um resumo dela, nunca a palavra-passe. Para as aulas de grupo e as sessões individualizadas, a conta guarda também uma marca, colocada pela Direção, de que já teve a consulta inicial de Fisiologia do Exercício (ponto 16).

Código de confirmação. Quando pede um código por email, o servidor guarda apenas resumos criptográficos do endereço e do código. O código vale 10 minutos e tudo é apagado ao fim de 24 horas.

Inscrição de sócio e «Já paguei a quota». A ficha de inscrição (nome, morada, contactos, data de nascimento ou de constituição e como nos conheceu), os dados de faturação que indicar, a mensagem e o comprovativo que anexar seguem por email para a caixa de correio da Associação. O comprovativo não fica guardado no servidor. Depois de enviar a inscrição, a ficha fica guardada no servidor, cifrada, até a Direção confirmar o pagamento. Decidida a adesão, a ficha é apagada e fica apenas o registo da decisão: o endereço cifrado, o resultado e as datas. Os sócios admitidos ficam registados pelo resumo criptográfico do endereço, pelo número de sócio e pela data de admissão.

Pagamentos. Para pagar no sítio, passa para a página do fornecedor de pagamentos e é lá que escreve os dados de pagamento. A ALMA nunca vê nem guarda dados de cartão. O servidor guarda o registo do pagamento (valor, o que foi pago, método, fornecedor, referência e estado), sem o seu nome nem o seu email. Os dados para a fatura que indicar (nome, NIF, morada e email) ficam guardados cifrados só até seguir o aviso de pagamento à Associação. O fornecedor devolve à ALMA o nome, o email e, se o indicar, o NIF de quem pagou, que seguem nesse aviso por email para se emitir a fatura. No MB WAY, o número de telemóvel é passado ao fornecedor para enviar o pedido de pagamento e não é guardado pela ALMA.

Marcações. Quando reserva uma vaga do calendário com a sua conta, o servidor guarda a ligação entre a vaga e a conta (ponto 16).

Conta guardada neste navegador. O sítio tem também uma conta que fica gravada no seu próprio navegador, no seu dispositivo, e não sai de lá. Essa conta é protegida por uma palavra-passe que escolhe e que cifra os seus dados neste dispositivo. A palavra-passe não é guardada em lado nenhum, nem por nós nem no seu navegador, e sem ela os dados não se leem. Ninguém na ALMA consegue ver esses dados, nem nós, nem o fornecedor de alojamento, nem quem pegue no seu computador. A lista completa está no ponto 6.

Se esquecer a palavra-passe dessa conta, pode repô-la com a ajuda da Direção: o sítio prepara um pedido cifrado, a Direção responde para o endereço de correio que deixou no registo, e a reposição só se conclui quando escrever o código de 6 dígitos que escolheu ao criar a conta. Esse código nunca sai do seu dispositivo e a ALMA não o conhece. É por isso que a ajuda da Direção, por si só, não lhe dá acesso aos seus dados.

Fundamentos legais. A conta, a inscrição de sócio, as marcações e os pagamentos são necessários para lhe prestar o que pediu — artigo 6.º, n.º 1, alínea b) do RGPD. Os dados de faturação tratam-se para cumprir obrigações legais — alínea c). Os resumos criptográficos usados para travar abusos (ponto 9) assentam no interesse legítimo da Associação em proteger o sítio — alínea f).

3. Dados que nos envia por email

A partir do momento em que nos escreve, diretamente ou através de um formulário do sítio, passamos a tratar aquilo que nos enviou.

• Categorias: nome, endereço de email, número de telefone (se o indicar), assunto, conteúdo da mensagem e o que mais escrever nos formulários.
• Finalidade: ler e responder à sua mensagem e, quando for caso disso, dar seguimento ao pedido dentro da Associação.
• Fundamento legal: o seu consentimento, dado ao escrever-nos — artigo 6.º, n.º 1, alínea a) do RGPD. Nos pedidos de parceria ou de inscrição, o tratamento é necessário para diligências pré-contratuais — alínea b).
• Onde ficam: nas caixas de correio da Associação, alojadas na Infomaniak, com cópia na conta Microsoft 365 da Associação (ponto 7), com acesso limitado às pessoas da Direção que lhes dão seguimento.

Pedimos que não inclua nas mensagens relatórios médicos, análises ou qualquer outra informação de saúde. O email comum não é um canal seguro para esse tipo de informação. Toda a informação clínica necessária ao acompanhamento é recolhida presencialmente, em consulta, ao abrigo de procedimentos próprios que não fazem parte deste sítio.

4. Perguntas a um profissional

Na secção Pergunte a um Profissional, reservada a sócios, a sua pergunta e a resposta do profissional ficam guardadas no nosso servidor. É a única parte deste sítio em que isso acontece, e é o que permite que a resposta lhe volte aqui, sem passar por email.

• Categorias: a pergunta que escreve — e ela pode conter informação sobre a sua saúde —, a área clínica que escolhe, e o nome e o email se os deixar. Ambos são opcionais: em branco, a pergunta segue sem nome e sem endereço.
• Finalidade: responder-lhe, deixar-lhe a resposta acessível com o seu código e, havendo email, avisá-lo de que ela chegou.
• Fundamento legal: o seu consentimento explícito, dado na caixa que assinala antes de enviar — artigo 9.º, n.º 2, alínea a) do RGPD, por se tratar de dados relativos à saúde, conjugado com o artigo 6.º, n.º 1, alínea a).
• Conservação: 12 meses a contar da resposta, e depois apagam-se automaticamente, sem cópia que sobreviva ao prazo.
• Segurança: a pergunta, a resposta, o nome e o email são guardados cifrados. O código de acompanhamento não é guardado — fica apenas um resumo criptográfico dele, que não permite reconstruí-lo. Por isso não há segunda via: perder o código é perder o acesso à pergunta.
• Não guardamos o seu endereço IP nem qualquer identificador do seu navegador associado à pergunta.
• Subcontratantes: o serviço de alojamento onde o sítio corre e, quando envia o aviso, o serviço de email do domínio da Associação. O aviso por email não contém a pergunta, a resposta, o código nem o seu nome.
• Como apagar: na secção Ver a resposta à sua pergunta, escreva o código e use «Apagar esta pergunta e a resposta». Apaga de imediato e em definitivo. Sendo a pergunta anónima, este é o único meio de exercer o direito ao apagamento — não conseguimos identificá-lo de outra forma, e é isso que o protege.

5. Faturas e recibos

Se pagar no sítio ou nos pedir fatura ou recibo, precisamos do nome, do número de identificação fiscal e, quando a lei o exija, da morada. Estes dados são tratados para emitir o documento e cumprir as obrigações legais, fiscais e contabilísticas da Associação — artigo 6.º, n.º 1, alínea c) do RGPD — e não são usados para mais nada.

6. Armazenamento local no seu dispositivo

Este sítio não usa cookies de publicidade nem de medição, não cria perfis de quem o visita e não tem publicidade. Usa apenas dois cookies estritamente necessários:

• alma_sessao — mantém aberta a sessão da conta no servidor depois de entrar. Dura até 30 dias ou até sair, só é enviado para os endereços /api/ do sítio e os programas da página não o conseguem ler.
• Um cookie de sessão do servidor, criado só quando envia um formulário — guarda a hora do último envio, para travar envios repetidos, e apaga-se ao fechar o navegador.

Estes dois cookies existem porque foi o próprio utilizador que pediu o serviço, o que dispensa consentimento prévio nos termos do artigo 5.º, n.º 3 da Diretiva 2002/58/CE e do artigo 5.º da Lei n.º 41/2004.

As chaves de armazenamento local abaixo não são enviadas para a ALMA nem para mais ninguém: ficam no seu dispositivo e desaparecem quando limpar os dados do sítio no seu navegador.

Há uma contagem de visitas, e é só isto. Quando abre este sítio, o servidor conta uma visita. Conta uma vez por dia e por endereço de rede: se sair e voltar a entrar, não soma outra vez. O seu endereço IP não é guardado em lado nenhum — guarda-se apenas um resumo criptográfico (sha256) do endereço misturado com um número aleatório gerado nesse dia, que serve para uma única pergunta: «este já cá esteve hoje?». Quando o dia vira, esse número aleatório e a lista de resumos são apagados, e a partir daí nenhum resumo se liga a endereço nenhum. Não há cookie, não há identificador que atravesse dias, e não sabemos quem visitou o quê — sabemos quantos foram. Os contadores de sócios e de donativos e quotas não são contados a partir de visitas: são totais calculados a partir dos registos de sócios e de pagamentos, sem mostrar dados de ninguém.

Preferências — não identificam ninguém:

• almaLang — o idioma que escolheu.
• almaPais, almaMoeda, almaMoedaPais — o país e a moeda que escolheu, para os valores aparecerem na sua moeda.
• almaAcess.tema, almaAcess.movimento e outras almaAcess.* — as opções de acessibilidade que ligou.
• almaLegendas, almaMascotes, almaScience, almaIdiomaAviso — pequenas escolhas de visualização.
• almaLocalizacoesImport, almaArquivo, almaConteudos, almaRedes — listas de locais, documentos e conteúdos geridos pela Direção.
• almaDonativo — o valor e o método que estava a escolher na página de donativos, para não ter de recomeçar.
• almaLivroCarimbados — que fichas do Livro da Gratidão já abriu, para o carimbo ficar marcado quando voltar.
• almaAlmiLupa e almaAlmiAchado — se pegou na lupa do desafio «Onde está o ALMI» e em que mês já o encontrou, para não lhe repetirmos o mesmo desafio.
• almaRoda.dia e almaRoda.voltas — o dia de hoje e quantas voltas já deu à Roda da ALMA, para as três voltas diárias contarem. Muda o dia, recomeça a contagem.

A secção «Dar com ALMA» — os jogos e as mandalas. Nada disto é enviado para a ALMA nem para mais ninguém:

• almaPausa.md.* — as mandalas que pintou, uma chave por desenho. Se o armazenamento do navegador encher, as mais antigas são apagadas para dar lugar às novas.
• almaPausa.jardim.nivel, almaPausa.jardim.jogo, almaPausa.sudoku.nivel, almaPausa.sudoku.jogo, almaPausa.sudoku.qual.*, almaPausa.encontrar.nivel, almaPausa.mandala*, almaPausa.ultimo, almaPausa.fundo — em que ponto ia de cada jogo, para não ter de recomeçar.
• almaPausa.pop.melhor, almaPausa.pop.ultimo — a sua melhor pontuação e a última.
• almaPausa.pop.nome — o nome que escreveu ao bater o seu recorde. É a única coisa em todo o separador que pode conter um dado seu, e é de escrita livre: pode escrever o que quiser, incluindo nada. Fica no seu dispositivo, não é enviado, e desaparece quando limpar os dados do sítio.

Estas chaves existem porque foi o próprio utilizador que abriu o jogo e quis continuar de onde ia. Não há pontuações partilhadas, não há tabela de melhores, não há contas e não há nada que saia do seu dispositivo. Jogar não exige conta nem inscrição, e o progresso é guardado do mesmo modo quer tenha sessão iniciada quer não.

Valores aleatórios deste navegador — não são dados seus e não se ligam a nada fora deste dispositivo:

• almaSal e almaRegistosSal — dois números aleatórios gerados aqui. Servem para que as derivações criptográficas descritas mais abaixo não possam ser cruzadas entre dispositivos nem entre pessoas: o mesmo dado, noutro computador, dá um resultado diferente. São uma medida de proteção, não um identificador.

Só durante a visita — guardado em sessionStorage, apaga-se sozinho ao fechar o separador:

• almaSecretaria — se a ilustração da receção mostra a figura feminina ou masculina, para não trocar a meio da visita.
• almaSessaoFim — uma marca de que a sua sessão terminou por inatividade, para lho podermos dizer no ecrã seguinte.

Conta e inscrição — estas contêm dados pessoais seus:

• almaContas — as contas criadas neste navegador, cifradas. O conteúdo — nome, data de nascimento, email, se indicou ter diagnóstico oncológico e estado de sócio — só é legível com a sua palavra-passe. Sem ela, nem a ALMA, nem o fornecedor de alojamento, nem quem tenha acesso ao seu dispositivo o consegue ler. Ao lado do bloco cifrado ficam apenas três coisas que não o identificam: a data em que a conta foi criada, a data em que foi aberta pela última vez, e valores aleatórios usados pela cifra.
• almaContaAtiva, almaContaSal — o identificador interno da conta aberta e um valor aleatório deste dispositivo. Nenhum deles contém dados seus.
• almaSessaoServidor — uma marca de que este navegador tem sessão aberta na conta do servidor. Não contém dados seus.
• almaRegistos — uma derivação criptográfica: um valor calculado a partir do número do documento, do número fiscal e do país, através de uma função deliberadamente lenta e de um valor aleatório gerado neste dispositivo. Serve apenas para o sítio perceber que essa mesma pessoa já se inscreveu neste navegador e impedir inscrições repetidas ou automáticas. Os números em si não são guardados, e a lentidão da função torna impraticável recuperá-los a partir do valor armazenado. Guardam-se no máximo as 500 últimas.

Estas chaves existem porque foi o próprio utilizador que pediu o serviço — criar conta, entrar, inscrever-se —, o que dispensa consentimento prévio nos termos do artigo 5.º, n.º 3 da Diretiva 2002/58/CE e do artigo 5.º da Lei n.º 41/2004. A impressão digital de almaRegistos existe para prevenir fraude e inscrições falsas, interesse legítimo da Associação nos termos do artigo 6.º, n.º 1, alínea f) do RGPD.

Para apagar tudo, basta limpar os dados deste sítio nas definições do seu navegador. Não precisa de nos pedir nada nem de esperar por nós: como os dados estão no seu dispositivo e não nos nossos, o apagamento é imediato e depende só de si.

7. Quem mais tem acesso

• Infomaniak Network SA (Les Acacias, Genebra, Suíça) — aloja o sítio, a base de dados do servidor e as caixas de correio da Associação. Tem acesso técnico aos registos de acesso (endereço IP, data e hora, página pedida), pelo período e nos termos definidos por esse fornecedor. Trata os dados por conta da ALMA, como subcontratante.
• Microsoft (Microsoft 365) — a Associação recebe na sua conta Microsoft 365 uma cópia dos emails que chegam às suas caixas de correio, incluindo os dos formulários do sítio. Trata os dados por conta da ALMA, como subcontratante.
• Stripe — processa os pagamentos feitos no sítio. Trata os dados que lhe dá na página de pagamento dela nos termos da sua própria política de privacidade (stripe.com/privacy), e devolve à ALMA o que é preciso para confirmar o pagamento e emitir a fatura (ponto 2).
• PayPal e ifthenpay (Multibanco, MB WAY e Payshop) — estão em preparação. Quando ficarem disponíveis, tratam os dados de pagamento da mesma forma, nos termos das respetivas políticas; no MB WAY, recebem o número de telemóvel para enviar o pedido de pagamento.
• O seu fornecedor de email trata as mensagens que nos envia, nos termos da política desse fornecedor, alheia à ALMA.
• Autoridade Tributária e Aduaneira — os dados das faturas e recibos que emitimos são comunicados à Autoridade Tributária, como a lei fiscal obriga.

A ALMA não vende, não aluga e não cede dados pessoais a terceiros para fins comerciais.

Campos obrigatórios. Nos formulários deste sítio, os campos assinalados com asterisco (*) são os mínimos sem os quais não conseguimos dar seguimento ao pedido — responder a uma mensagem, tratar uma inscrição ou emitir uma fatura. Não preencher não tem qualquer outra consequência: não perde o acesso a nada e pode sempre falar connosco por telefone ou presencialmente. Todos os restantes campos são opcionais e pode deixá-los em branco.

8. Transferências para fora do Espaço Económico Europeu

As páginas do sítio não fazem pedidos a servidores de terceiros: todos os elementos, incluindo os tipos de letra, são servidos a partir do próprio sítio.

• Infomaniak — os dados ficam na Suíça, país que a Comissão Europeia reconhece como tendo um nível de proteção adequado.
• Microsoft 365 — a Microsoft compromete-se a guardar e tratar estes dados na União Europeia e na EFTA (EU Data Boundary), com as exceções limitadas que ela própria descreve.
• Stripe — pode transferir dados para fora do Espaço Económico Europeu, incluindo para os Estados Unidos e a Índia. Fá-lo com as Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia e, nos Estados Unidos, também ao abrigo do Quadro de Proteção de Dados UE-EUA (EU-U.S. Data Privacy Framework), que a Comissão Europeia reconhece como adequado.

9. Durante quanto tempo guardamos

• Código de confirmação e registos contra abusos (resumos criptográficos do endereço IP e do email): até 24 horas.
• Conta no servidor: até a apagar ou ao fim de 24 meses sem entrar. Cada sessão dura até 30 dias.
• Ficha de adesão no servidor: até a Direção decidir. Depois disso, o registo da decisão e o registo de sócio ficam enquanto durar a relação associativa e pelos prazos legais aplicáveis.
• Pagamentos: os que não chegam a ser pagos apagam-se ao fim de 30 dias; os pagos guardam-se pelos prazos da lei fiscal e contabilística. Os dados para a fatura, no servidor, até seguir o aviso à Associação e no máximo 30 dias.
• Marcações de vagas: até 30 dias depois da data da sessão.
• Mensagens de contacto: até dois anos após a última comunicação, salvo se derem origem a inscrição, parceria ou processo que exija conservação mais longa.
• Documentos de suporte a pagamentos, faturas e recibos: dez anos, por imposição fiscal.
• Dados de sócios e de participantes nos programas: pelo período de vigência da relação e pelos prazos legais aplicáveis depois disso.

10. Os seus direitos

Tem direito a pedir o acesso aos seus dados, a retificação do que estiver errado, o apagamento, a limitação do tratamento, a portabilidade e a oposição ao tratamento. Quando o tratamento se baseia no consentimento, pode retirá-lo a qualquer momento, sem que isso afete o que foi feito antes.

Não há decisões automatizadas. Nada neste sítio decide nada a seu respeito sozinho: a admissão como associado, a comparticipação da quota e qualquer apoio são decididos por pessoas, na Direção, e comunicados por escrito. Não é feita definição de perfis (artigo 22.º do RGPD).

Basta escrever para geral@oncoalma.org. Respondemos no prazo de um mês.

Se entender que os seus dados não estão a ser tratados como deviam, pode apresentar reclamação à Comissão Nacional de Proteção de Dados — www.cnpd.pt, Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa.

11. Segurança

No servidor, as ligações são cifradas (HTTPS). Os endereços de email, as fichas de adesão e os dados para a fatura são guardados cifrados; os endereços IP, os códigos e as palavras-passe ficam apenas em resumo criptográfico, que não permite reconstruí-los. Os emails do sítio saem por um servidor de correio autenticado. Só as pessoas da Direção com papel de administração têm acesso às ferramentas de gestão, e o servidor confirma esse papel em cada pedido.

Os dados da conta guardada no seu dispositivo são cifrados com AES-GCM de 256 bits. A chave é derivada da sua palavra-passe com PBKDF2-SHA256, 600 000 iterações e um valor aleatório próprio de cada conta. A palavra-passe e a chave nunca são guardadas: existem apenas em memória, durante a sessão, e a sessão fecha-se ao fim de 30 minutos sem uso e ao fechar o separador.

A reposição da palavra-passe usa duas metades que vivem em sítios diferentes e que só juntas abrem alguma coisa: uma fica no seu dispositivo, protegida pelo seu código de 6 dígitos; a outra é um número aleatório fechado com a chave pública da ALMA (RSA-OAEP de 3072 bits), que só a Direção consegue abrir. A ALMA tem a segunda e nunca tem a primeira; quem lhe roube o computador tem a primeira e nunca tem a segunda. Só quem tiver as duas — ou seja, o próprio titular — repõe a palavra-passe. Se alguém reunisse, ao mesmo tempo, o seu dispositivo e a colaboração da Direção, um código de 6 dígitos seria adivinhável com equipamento próprio; é a razão por que esse código deve ser guardado com o mesmo cuidado que o do multibanco.

As mensagens recebidas ficam nas caixas de correio da Associação (Infomaniak e Microsoft 365), com acesso limitado às pessoas que precisam de lhes dar seguimento. Os documentos com dados pessoais são guardados em suportes com acesso restrito. Nenhum sistema é infalível; se ocorrer uma violação de dados com risco elevado para os seus direitos, será informado nos termos do artigo 34.º do RGPD.

12. Pessoas menores de idade

Este sítio não se dirige a menores de 16 anos e não recolhe conscientemente dados dessas pessoas. A participação de menores nos programas da ALMA depende sempre de autorização de quem exerce as responsabilidades parentais, tratada fora deste sítio.

A criação de conta neste sítio está bloqueada para quem indique uma data de nascimento correspondente a menos de 16 anos, e nenhum dado é gravado nesse caso.

13. Alterações a esta política

Esta política pode ser atualizada. A data de entrada em vigor e o número de versão estão no topo da página. Alterações relevantes são anunciadas nos canais da Associação.

14. Residentes da Califórnia (CCPA/CPRA)

A lei de privacidade da Califórnia aplica-se a empresas com determinada dimensão ou que vendam dados pessoais. A ALMA não cumpre nenhum desses limiares e não vende nem partilha dados pessoais — nem a residentes da Califórnia nem a ninguém. Não dizemos por isso que «cumprimos a CCPA»: dizemos qual é a nossa posição, que é verificável no que está escrito acima.

Ainda assim, os direitos que essa lei garante já existem aqui, e para toda a gente: saber que dados existem, obter uma cópia, pedir o apagamento, corrigir o que estiver errado, e não ser tratado de forma diferente por os exercer. Pedem-se pelo mesmo endereço do ponto 10.

Não há venda nem partilha de dados pessoais na aceção da CCPA/CPRA, e não há publicidade comportamental entre sítios: as páginas deste sítio não fazem pedidos a servidores de terceiros (nos pagamentos, é a própria pessoa que passa para a página do fornecedor), não tem cookies de rastreio e não tem sinal de Global Privacy Control para respeitar porque não há nada que ele pudesse desligar.

15. Homenagens e Memórias (o memorial)

A página Homenagens é um memorial: um lugar onde se inscreve o nome de alguém que partiu e se acende uma vela na sua memória. Está reservada a sócios registados — quem não tiver sessão iniciada vê apenas o aviso de que a área é reservada, e nenhum conteúdo do memorial chega sequer a ser descarregado para o seu equipamento.

Que dados são tratados. O nome de quem partiu e, se forem indicados, o ano de nascimento e de falecimento e a relação com quem faz o pedido. E os dados de quem faz o pedido: o seu nome e um email ou telefone, para podermos confirmar a legitimidade do pedido e responder-lhe.

Com que fundamento. O consentimento de quem faz o pedido — artigo 6.º, n.º 1, alínea a) do RGPD —, dado através de quatro declarações separadas, nenhuma delas pré-assinalada, que têm de ser todas assinaladas para o pedido poder seguir. Os dados de pessoas falecidas são tratados ao abrigo do artigo 17.º da Lei n.º 58/2019, que manda protegê-los e permite que os direitos sejam exercidos por quem a lei indica.

Nada é publicado automaticamente. O formulário não escreve no memorial: envia um pedido à Direção, que confirma quem o faz antes de inscrever o nome. Nenhum nome aparece no sítio sem essa confirmação.

Quem vê, e como é que isso é garantido. O nome inscrito é visível apenas a sócios registados com sessão iniciada. Isto não é uma promessa do lado do navegador: os nomes não estão em nenhum ficheiro público deste sítio. São pedidos ao servidor, que confirma a sessão antes de responder. Enquanto o servidor não estiver instalado, não há nome nenhum publicado — nem pode haver. Num sítio sem servidor, uma lista de nomes seria um ficheiro com endereço, e quem soubesse o endereço lia-o, com sessão ou sem ela.

O pedido, com o seu nome e contacto, é lido pela Direção e não é mostrado a mais ninguém nem publicado em lado nenhum.

O laço. Ao lado de cada nome pode ficar o laço da cor internacionalmente associada ao cancro de que a pessoa faleceu. Isso é informação de saúde, por isso tem um consentimento separado e próprio, numa caixa à parte no formulário: dizer que não ao laço não impede de inscrever o nome. Sem esse consentimento expresso, o laço é neutro — da cor da pedra, sem cor associada a doença nenhuma. Quem faz o pedido escolhe pelo nome do tipo de cancro; não precisa de saber qual é a cor.

Onde ficam os documentos do consentimento. Depois de o servidor estar instalado, o pedido e as declarações assinaladas ficam guardados numa nuvem segura — cifrados, com a chave fora deste sítio e acesso restrito à Direção — durante todo o tempo em que o nome estiver no muro. Guardam-se por uma razão só: o RGPD obriga a poder demonstrar que houve consentimento.

Hoje, antes dessa instalação, o formulário não escreve no muro nem guarda nada em nuvem nenhuma: o pedido segue por email para a Direção e fica na caixa de correio da Associação, com acesso restrito à Direção. O próprio formulário diz isto a quem o preenche, e muda de frase no dia em que o servidor entrar. Até lá não há nomes publicados.

Quanto tempo, e o que acontece quando a autorização é retirada. O nome fica no memorial enquanto não for pedida a sua retirada, e pode ser retirado a qualquer momento, sem justificação. Retirada a autorização, os documentos do consentimento são eliminados de imediato e, no máximo, no prazo de 30 dias, e o nome é retirado do muro dentro desse mesmo prazo. A pessoa que pediu é notificada da eliminação — tanto dos dados no sítio como do consentimento informado.

Retirar. O nome pode ser retirado a qualquer momento e sem justificação, por quem o inscreveu ou por familiar de quem partiu, escrevendo para geral@oncoalma.org. Respondemos em 72 horas. Retirar o consentimento não põe em causa o que foi feito antes, e não tem consequência nenhuma para a sua qualidade de sócio.

A vela. Acender uma vela não envia nada para a ALMA: a marca fica guardada no seu próprio equipamento, no armazenamento local do navegador (ver o ponto 6), e é apagada quando limpar os dados do sítio. Uma vela por pessoa.

Menores. Este conteúdo pode ser difícil, e o aviso que antecede a página diz isso mesmo e recomenda o acompanhamento de um adulto. A inscrição de nomes está reservada a maiores de 18 anos, e é uma das quatro declarações do formulário.

Pode reclamar à Comissão Nacional de Proteção de Dados (CNPD) — os contactos estão no ponto 10.

16. Marcação de serviços e Consentimento Informado

Na página Localizações e nas pastas dos Serviços online é possível marcar uma consulta, inscrever-se numa turma ou comprar sessões individuais. Só quem tem registo neste sítio o pode fazer — sócio ou não sócio, tanto faz, mas com conta aberta. Quem não tiver vê apenas o aviso com a ligação para o registo.

Que dados são tratados. O nome e o email que assina no Consentimento Informado, o telefone se o indicar (é opcional), o serviço escolhido, a frequência, a turma ou o dia e a hora que pediu, e a forma de pagamento que escolheu. Nada disto pede, nem deve conter, relatórios médicos, análises ou qualquer outra informação clínica: o email comum não é canal para isso, como se diz no ponto 3, e toda a informação clínica necessária ao acompanhamento é recolhida em consulta.

Com que fundamento. A marcação é uma diligência pré-contratual e a execução do serviço que pediu — artigo 6.º, n.º 1, alínea b) do RGPD. A declaração em que autoriza a equipa a recolher e tratar os dados de saúde necessários para lhe prestar o serviço com segurança é um consentimento explícito à parte, numa caixa própria — artigo 9.º, n.º 2, alínea a) —, e esse tratamento acontece depois, em consulta, não neste sítio.

O Consentimento Informado. Aparece antes do pagamento, em janela própria, com as declarações uma a uma e duas caixas por assinalar — nenhuma pré-assinalada. Sem as duas, sem nome e sem email, a marcação não avança. Depois de assinado, segue por email para a caixa de correio da Associação, com cópia na conta Microsoft 365 da Associação, com acesso restrito à Direção. Guarda-se por uma razão só, e a lei obriga-a: poder demonstrar que houve consentimento e que a pessoa foi informada dos riscos antes de participar.

Onde ficam as suas marcações. No seu próprio equipamento, no armazenamento local do navegador, na chave almaMarcacoes (ver o ponto 6). É de lá que saem as sessões que vê no calendário da página inicial. Isto tem uma consequência prática, e diz-se: quem marcar no telemóvel não vê a marcação no computador. Quando reserva uma vaga do calendário com a sua conta, o servidor guarda também a ligação entre a vaga e a conta, até 30 dias depois da data.

A marca da consulta. As aulas de grupo e as sessões individualizadas exigem a consulta inicial de Fisiologia do Exercício. Depois dela, a Direção coloca na sua conta do servidor uma marca de que a teve. Como revela que tem acompanhamento da ALMA nessa área, é tratada como dado relativo à saúde, com o consentimento explícito que dá no Consentimento Informado — artigo 9.º, n.º 2, alínea a) do RGPD. O aviso de pagamento que chega à Associação diz que serviço foi pago, para se emitir a fatura.

Pagamento. Pode pagar no sítio, na página do fornecedor de pagamentos (ponto 7), ou combinar o pagamento connosco pelo email que deixou. A ALMA não pede nem trata dados de cartão, aqui nem em lado nenhum deste sítio.

Quanto tempo. O Consentimento Informado é conservado enquanto durar o acompanhamento e, depois, pelo prazo em que a Associação tenha de o poder demonstrar. As marcações no seu equipamento desaparecem quando desmarcar ou quando limpar os dados do sítio no seu navegador.

Retirar. Pode retirar o consentimento, por escrito, para o futuro — geral@oncoalma.org —, e pode desmarcar a qualquer momento a partir do calendário. Retirar o consentimento não põe em causa o que foi feito antes. As condições de desmarcação, de tolerância de entrada e de pagamento estão escritas na própria janela de marcação, antes de qualquer passo irreversível.