Política de Privacidade

Igreja Cristã Lâmpadas da Cidade, Avenida Seixalíada, Amora – Seixal, organizadora da Lâmpadas Conf.

Contacto para assuntos de privacidade: o formulário de pedidos no fim desta página.

• Compra de bilhetes: nome completo de cada participante, e-mail de contacto, telemóvel (opcional), tipo de bilhete, menus comprados, valor pago e estado do pagamento.
• Voluntários: nome completo, e-mail, telemóvel (opcional) e serviço onde vais servir.
• No evento: registo de entrada em cada sessão e de levantamento de menus (data e hora, e quem da equipa registou).
• Pagamentos: recebemos da Stripe apenas a confirmação e os identificadores do pagamento. Não recebemos nem guardamos dados de cartão.
• Prova da tua confirmação: data e hora em que confirmaste ter lido esta política, e a versão do texto.
• Pedidos de privacidade: nome, e-mail e mensagem que nos envias no formulário.

Não pedimos data de nascimento, morada, documento de identificação nem dados de saúde. Na entrada podemos pedir para confirmar o nome, mas não registamos documentos.

A Lâmpadas Conf é um evento de uma igreja cristã. Inscrever-se pode, indiretamente, revelar convicções religiosas, que o RGPD considera uma categoria especial de dados (artigo 9.º). Por isso:

• tratamos estes dados com base no teu consentimento explícito, dado ao confirmar a inscrição (artigo 9.º, n.º 2, alínea a)), e no âmbito das atividades legítimas de uma organização religiosa sem fins lucrativos (artigo 9.º, n.º 2, alínea d));
• não divulgamos a lista de participantes nem os teus dados a terceiros, a não ser aos prestadores indicados no ponto 5, que os tratam por nossa conta;
• podes retirar o consentimento a qualquer momento (ver ponto 8). Isso não afeta o que já foi feito antes, mas, se o bilhete ainda não tiver sido usado, deixamos de te conseguir identificar na entrada.

Não usamos os dados para marketing, não enviamos newsletters e não tomamos decisões automatizadas nem fazemos definição de perfis. Os e-mails que enviamos são apenas os necessários à tua inscrição.

• Equipa da Organização, com acesso limitado ao que cada função precisa: a equipa da entrada só vê nome, tipo de bilhete e e-mail parcialmente escondido; a equipa do bar só vê os menus; só os administradores veem a lista completa. Todos os acessos são feitos com conta pessoal e palavra-passe, e as ações ficam registadas.
• Stripe (Stripe Payments Europe, Ltd., Irlanda): processamento dos pagamentos. Para obrigações legais e prevenção de fraude, a Stripe atua também como responsável independente, segundo a sua própria política de privacidade.
• Resend (Resend, Inc., EUA): envio dos e-mails de confirmação com o bilhete.
• Railway (Railway Corporation, EUA): alojamento do site e da base de dados.

Estes prestadores tratam os dados apenas por nossa conta e segundo as nossas instruções, ao abrigo de acordos de tratamento de dados (artigo 28.º). Quando há transferência para fora do Espaço Económico Europeu, esta é protegida pelo Quadro de Proteção de Dados UE-EUA e/ou por cláusulas contratuais-tipo aprovadas pela Comissão Europeia (artigos 45.º e 46.º).

Só entregamos dados a autoridades quando a lei o obrigue.

• Compras não concluídas (pagamento abandonado ou expirado): os dados pessoais são apagados automaticamente ao fim de 30 dias.
• Bilhetes, entradas, menus e voluntários: até 12 meses depois do evento, para responder a dúvidas, reclamações e reembolsos. Em 29 de novembro de 2027 os nomes, e-mails e telemóveis são apagados automaticamente.
• Registos contabilísticos (montantes, datas e identificadores de pagamento, sem nome nem e-mail): durante o prazo exigido pela lei fiscal (até 10 anos).
• Pedidos de privacidade: 3 anos depois de respondidos, para provar que foram tratados.
• A Stripe e a Resend guardam os seus próprios registos segundo as respetivas políticas.

Podes pedir que apaguemos os teus dados mais cedo (ver ponto 8).

• Ligação sempre cifrada (HTTPS) e dados de cartão tratados apenas pela Stripe, certificada PCI-DSS.
• Painel da equipa protegido por palavra-passe (guardada cifrada com scrypt), com sessões que expiram, perfis com permissões mínimas e limite de tentativas de login.
• Cada bilhete tem um código QR aleatório e impossível de adivinhar; as páginas dos bilhetes não são indexadas pelos motores de busca.
• Registo de ações da equipa (entradas, cancelamentos, exportações, apagamentos).
• As fontes do site são servidas pelo próprio site e o mapa mostrado é uma imagem guardada no próprio site (o mapa interativo do Google só abre se carregares nele), para não enviarmos o teu endereço IP a terceiros sem necessidade.

Se acontecer uma violação de dados que represente risco para ti, comunicamos à CNPD no prazo de 72 horas e, se o risco for elevado, também a ti (artigos 33.º e 34.º).

O site público não usa cookies de publicidade, análise ou rastreio. A área da equipa usa apenas um cookie técnico de sessão (lc_session), estritamente necessário para o login, que não precisa de consentimento.

O mapa interativo do Google só é carregado se carregares em “Abrir mapa interativo”. Nesse momento o Google pode definir cookies próprios, segundo a política de privacidade da Google. Durante o pagamento, a página da Stripe usa os cookies necessários ao pagamento e à prevenção de fraude.

Crianças até 12 anos não precisam de bilhete. Os bilhetes de menores devem ser comprados pelos pais ou responsáveis, que confirmam estar autorizados a indicar os seus dados. Menores de 13 anos não se podem inscrever sozinhos (Lei n.º 58/2019).

Em qualquer momento podes pedir, gratuitamente:

• acesso aos dados que temos sobre ti e uma cópia deles;
• retificação de dados errados (por exemplo, um nome mal escrito);
• apagamento dos teus dados;
• limitação do tratamento ou oposição a ele;
• portabilidade: receber os dados num formato de leitura automática;
• retirada do consentimento, sem afetar o que foi feito antes.

Respondemos no prazo máximo de um mês. Para tua proteção, respondemos para o e-mail usado na inscrição e podemos pedir confirmação de identidade antes de entregar ou apagar dados.

Tens também o direito de apresentar reclamação à autoridade de controlo: Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa · www.cnpd.pt.

Podemos atualizar esta política. A data da última atualização está no topo, e alterações importantes serão comunicadas a quem tiver inscrição ativa.