Os teus dados,
tratados com respeito.

1. Quem somos

Lava Run é uma experiência de jogo interativo localizada em Rua da Constituição 983, 4200-196 Porto, Portugal. Para efeitos do RGPD, o responsável pelo tratamento dos teus dados é o operador do Lava Run.

Para qualquer questão sobre a tua privacidade ou para exercer os teus direitos, escreve para level.up.co.pt@gmail.com ou liga para +351 923 335 300.

2. Que dados recolhemos

Dependendo de como interages connosco, podemos recolher:

• Dados de identificação: nome, email, número de telefone.
• Dados de reserva: data, hora, número de jogadores, package escolhido, notas opcionais.
• Dados de conta (se criares uma): email, password (guardada como hash bcrypt — nunca em texto claro), data de criação, histórico de sessões.
• Dados de comunicação: conteúdo das mensagens que nos envias via formulário de contacto, email ou WhatsApp.
• Dados de pagamento: atualmente o pagamento é feito presencialmente (MBWAY, Multibanco, numerário) e não guardamos dados de cartão. Quando o pagamento online estiver disponível, os dados de cartão serão processados diretamente pelo nosso prestador (Stripe) e nunca passam pelos nossos servidores.
• Vouchers e mensagens personalizadas: ao comprar um voucher podes opcionalmente incluir uma mensagem pessoal, que será impressa no PDF do voucher. O email de qualquer destinatário a quem mais tarde decidas oferecer o voucher só é recolhido se e quando, no teu painel de utilizador, escolheres usar a funcionalidade de envio por email — nunca no momento da compra.
• Imagens de vídeo (futuro): ver secção 7 sobre gravação de imagens.
• Dados técnicos: endereço IP, tipo de browser, sistema operativo e páginas visitadas — registados automaticamente nos logs do servidor por segurança e prevenção de fraude.
• Cookies estritamente necessários: um único cookie de sessão (lr_session) para manter o teu login ativo. Detalhes em /cookies.

3. Para que usamos os teus dados

• Gestão de reservas: confirmar a tua sessão, enviar lembretes, gerir cancelamentos e reagendamentos.
• Conta de utilizador: manter a tua sessão iniciada, mostrar histórico, permitir alterações de perfil.
• Atendimento ao cliente: responder a contactos, resolver problemas, enviar informação solicitada.
• Vouchers: processar a compra, gerar o PDF do voucher para o comprador e — quando este escolher fazê-lo a partir do painel — reenviá-lo por email a um destinatário indicado.
• Segurança: detetar e prevenir abusos (tentativas de força-bruta, fraude, etc.) — usamos rate limiting e logs por curto período.
• Cumprimento legal: guardar comprovativos de transação para fins fiscais.
• Vídeo da sessão (quando disponível): entregar a gravação aos jogadores que o autorizem expressamente e que optem pela compra.

4. Base legal para o tratamento

Tratamos os teus dados ao abrigo de uma ou mais das seguintes bases legais (Art. 6.º do RGPD):

• Execução de contrato (Art. 6.º/1/b) — quando o tratamento é necessário para te prestar o serviço que reservaste.
• Cumprimento de obrigação legal (Art. 6.º/1/c) — para conservar registos fiscais e responder a autoridades competentes.
• Interesse legítimo (Art. 6.º/1/f) — para segurança, prevenção de fraude e melhoria do serviço.
• Consentimento (Art. 6.º/1/a) — para gravação de vídeo, marketing opcional e quaisquer fins não cobertos pelas bases acima. Podes retirar o consentimento a qualquer momento, sem afetar a legalidade do tratamento anterior.

5. Com quem partilhamos os teus dados

Não vendemos os teus dados a ninguém. Partilhamos apenas com prestadores que nos ajudam a operar o serviço, e apenas o estritamente necessário:

• Resend (envio de emails transacionais — confirmações, recuperação de password, vouchers). Servidores na União Europeia.
• Contabo (alojamento do site e da base de dados). Servidores na Alemanha (UE).
• Cloudflare (se aplicável — CDN e proteção DDoS). Adequação a normas europeias.
• Stripe (futuramente — processamento de pagamentos por cartão). Stripe é responsável independente pelo tratamento dos dados de cartão; consulta a política de privacidade da Stripe.
• Backblaze B2 ou Cloudflare R2 (futuramente — armazenamento dos vídeos das sessões para os clientes que comprarem). Servidores na UE quando possível.
• Autoridades competentes — apenas quando legalmente obrigados (pedido de tribunal, autoridade tributária, polícia em investigação criminal).

Todos os subcontratantes mencionados oferecem garantias adequadas de proteção e estão sujeitos a contratos de tratamento de dados.

6. Por quanto tempo guardamos os teus dados

• Reservas: 24 meses após a data da sessão; depois disso, os dados pessoais são removidos e ficamos apenas com estatísticas agregadas anónimas.
• Vouchers: 5 anos após a emissão (período de retenção fiscal exigido por lei portuguesa).
• Conta de utilizador: enquanto a conta estiver ativa; eliminada (ou pseudonimizada) a teu pedido.
• Logs técnicos: 30 dias.
• Comunicações por email/WhatsApp: até 12 meses, salvo se necessário para resolução de litígios.
• Vídeos da sessão (futuro): 90 dias após a gravação, ou até apagamento a pedido do titular — o que ocorrer primeiro. Vídeos comprados ficam disponíveis para descarga durante 30 dias.

7. Fotografia e gravação de vídeo

O Lava Run pode fotografar e filmar os participantes durante as sessões. Estes dados pessoais são tratados ao abrigo do teu consentimento expresso, obtido no momento da reserva ao confirmares a Política de Consentimento (ver Termos e Condições, secção 15).

Finalidade promocional. Com o teu consentimento, as imagens podem ser utilizadas em redes sociais, site, brochuras e outro material promocional do Lava Run, sem direito a contrapartida financeira. Esta utilização baseia-se no Art. 6.º/1/a do RGPD (consentimento).

Compra/descarga do vídeo da tua sessão. Em paralelo, estamos a preparar a possibilidade de comprares ou descarregares o vídeo da tua própria sessão para uso pessoal. Esta funcionalidade ainda não está ativa; quando for lançada, o acesso será disponibilizado no painel do utilizador após a sessão.

Menores. Para participantes menores de 18 anos, o consentimento é prestado pelo responsável legal no momento da reserva e cobre tanto o uso promocional como a eventual compra do vídeo pessoal.

Retirada de consentimento e pedido de remoção. Podes a qualquer momento retirar o consentimento para usos futuros ou pedir a remoção de imagens específicas onde apareças. Envia o pedido para level.up.co.pt@gmail.com identificando a publicação ou ficheiro em causa; respondemos num prazo máximo de 72 horas (sujeito a obrigações legais de conservação, se aplicáveis). A retirada não afeta a legalidade do tratamento anterior, mas impede novos usos.

Áudio. Caso decidamos no futuro captar também áudio durante a sessão, será solicitado consentimento separado e expresso — o consentimento de imagem não cobre automaticamente áudio.

Sinalização no espaço. Quando a gravação estiver ativa, existirá sinalética bem visível à entrada da sala a recordar que podes estar a ser filmado.

8. Os teus direitos

Ao abrigo do RGPD tens, em qualquer momento, os seguintes direitos:

• Acesso: obter cópia dos dados pessoais que temos sobre ti.
• Retificação: corrigir dados incompletos ou incorretos.
• Apagamento («direito ao esquecimento»): pedir a eliminação dos teus dados, sujeito a obrigações legais de conservação.
• Limitação: restringir o tratamento em determinadas circunstâncias.
• Portabilidade: receber os teus dados num formato estruturado e legível por máquina.
• Oposição: opor-te ao tratamento baseado em interesse legítimo.
• Retirada de consentimento: para os tratamentos que dependem do teu consentimento.
• Reclamação: apresentar reclamação à autoridade de controlo competente — em Portugal, a Comissão Nacional de Proteção de Dados (CNPD), cnpd.pt.

Como exercer. Envia o teu pedido por email para level.up.co.pt@gmail.com com o assunto «RGPD — [o teu pedido]». Respondemos no prazo máximo de 30 dias (prorrogável por mais 60 em pedidos complexos, caso em que te informaremos). Poderemos pedir prova de identidade para garantir que entregamos os dados à pessoa certa.

Eliminação da conta. Para eliminar a tua conta, envia email para o endereço acima. Eliminamos a tua conta e pseudonimizamos o histórico de reservas (mantendo apenas dados agregados para fins estatísticos e fiscais) num prazo máximo de 30 dias.

9. Crianças e menores

A idade mínima para participar no Lava Run é 8 anos. Participantes com menos de 16 anos têm de estar acompanhados por um responsável legal, que é também a pessoa que efetua a reserva e fornece os dados pessoais. Não criamos contas de utilizador nem recolhemos dados diretamente a menores de 16 anos sem consentimento parental expresso.

10. Transferências internacionais

A grande maioria dos dados é tratada dentro do Espaço Económico Europeu. Sempre que algum subcontratante implique transferência para fora da UE (por exemplo, a Stripe quando ativarmos pagamentos online), garantimos que existe um mecanismo legal de transferência adequado — decisão de adequação da Comissão Europeia, Cláusulas Contratuais Padrão (SCCs) ou equivalente.

11. Segurança

Aplicamos medidas técnicas e organizativas apropriadas para proteger os teus dados, incluindo: encriptação TLS em todas as ligações (HTTPS), passwords guardadas como hash bcrypt, autenticação em dois fatores em desenvolvimento para acessos administrativos, firewall e fail2ban no servidor, atualizações de segurança automáticas, backups regulares encriptados, princípio de menor privilégio nos acessos internos. Nenhum sistema é 100% seguro, mas comprometemo-nos a investir continuamente neste pilar.

12. Alterações a esta política

Podemos atualizar esta política sempre que necessário. A versão em vigor é sempre a publicada nesta página, com a data de «Última atualização» no topo. Alterações materiais (que mudem significativamente o modo como tratamos os teus dados) serão comunicadas por email aos utilizadores registados.