Última atualização: 15 de outubro de 2026

1. Informações gerais e âmbito

A presente Política de Privacidade explica, nos termos dos artigos 12.º, 13.º e 14.º do Regulamento Geral sobre a Proteção de Dados (RGPD), como tratamos dados pessoais quando utiliza os nossos websites, loja online, aplicações móveis, produtos e dispositivos conectados, programas digitais e subscrições, apoio ao cliente ou quando interage connosco de outra forma.

Aplica-se em particular a www.vulpes-smartwear.com, www.vulpes-health.com  e www.vulpes-tech.com, à loja online, à aplicação móvel “Vulpés Smartwear”, "Vulpés Health", "Vulpés" e versões posteriores para iOS e Android, bem como aos produtos Vulpés e serviços digitais ligados à app.

Os dados tratados dependem das funcionalidades utilizadas. Nem todos os tratamentos descritos se aplicam a todas as pessoas.

2. Responsável pelo tratamento

Vulpés Electronics GmbH

Einsteinstraße 1

24118 Kiel

Alemanha

Representada pelo Diretor-Geral Rustam Ismailov

Telefone: +49 40 32511759

E-mail: support@vulpes-tech.com

Questões de privacidade: support@vulpes-tech.com

3. Conceitos e princípios

Dados pessoais são todas as informações relativas a uma pessoa singular identificada ou identificável, incluindo identificadores de dispositivo, identificadores online, dados de utilização e perfis derivados.

Informações sobre zonas do corpo, desconforto, bem-estar, mobilidade, recuperação, conforto menstrual ou abdominal, safety screening, assessments e reações a programas podem, consoante o conteúdo e contexto, constituir dados de saúde na aceção do artigo 9.º RGPD. Só tratamos estes dados quando, além de uma base jurídica do artigo 6.º, é aplicável uma exceção do artigo 9.º, n.º 2. Para as funcionalidades personalizadas de Wellness e Recovery, baseamo-nos normalmente no consentimento explícito nos termos do artigo 9.º, n.º 2, alínea a), em conjunto com o artigo 6.º, n.º 1, alínea a), RGPD. O consentimento é solicitado separadamente antes da primeira recolha dos dados de saúde, é voluntário e pode ser retirado a qualquer momento para o futuro.

Respeitamos os princípios da limitação das finalidades, minimização, transparência, exatidão, limitação da conservação, integridade e confidencialidade, bem como proteção de dados desde a conceção e por defeito.

5. Bases jurídicas

 

Quando for necessário consentimento para armazenar ou aceder a informações no seu dispositivo, recolhemo-lo também nos termos do § 25(1) TDDDG. Não é necessário consentimento quando o acesso for estritamente necessário para prestar um serviço digital expressamente solicitado, nos termos do § 25(2) TDDDG.

6. Origem dos dados

Recebemos dados diretamente de si (registo, encomendas, onboarding, check-ins, assessments, apoio e newsletter), automaticamente através do navegador, smartphone, app ou dispositivo Vulpés, de app stores, pagamentos, login, envio ou apoio quando necessário e das suas definições de consentimento e privacidade.

7. Tratamento nos websites e na loja online

7.1 Websites e registos de servidor

Ao aceder aos websites podem ser tratados IP, data/hora, página ou ficheiro, volume transferido, referrer, browser, sistema operativo, idioma e códigos de estado. A finalidade é disponibilização segura e estável, deteção de ataques e análise técnica. Base jurídica: artigo 6.º, n.º 1, alínea f), RGPD. Os logs são normalmente conservados 14 dias, salvo necessidade superior por incidente de segurança ou defesa de direitos.

7.2 Gestão de consentimento, cookies e tecnologias similares

Utilizamos cookies, armazenamento local, pixels, SDK e tecnologias comparáveis. As necessárias servem ao carrinho, login, idioma, preferências de privacidade, prevenção de fraude e segurança. Analytics, marketing e personalização opcionais só são ativados após consentimento e podem ser alterados em “Definições de privacidade”.

A solução de consentimento da nossa loja Shopify trata nomeadamente a escolha, Consent-ID, data/hora, dados browser/dispositivo e versão do texto de consentimento. Os registos de consentimento ou recusa são normalmente guardados até três anos após a última decisão ou retirada, salvo necessidade superior para exercer ou defender direitos.

7.3 Shopify e loja online

A loja é disponibilizada através da Shopify, que pode tratar IP, browser/dispositivo, carrinho, encomendas, conta, entrega, faturação e estado de pagamento, e apoia hosting, checkout, fraude e analytics. A execução da encomenda baseia-se no artigo 6.º, n.º 1, alínea b), RGPD; obrigações legais no artigo 6.º, n.º 1, alínea c). Analytics/publicidade opcionais apenas com consentimento nos termos do artigo 6.º, n.º 1, alínea a), e § 25(1) TDDDG.

7.4 Conta, encomendas e contrato

Tratamos nome, contactos, entrega, faturação, conteúdo, números de cliente/encomenda, comunicações, devoluções, garantias e estado de pagamento. O tratamento é necessário à gestão contratual, entrega, pagamento, comunicação e pós-venda nos termos do artigo 6.º, n.º 1, alínea b). Documentos fiscais/comerciais são conservados nos termos do artigo 6.º, n.º 1, alínea c).

7.5 Pagamentos

Consoante a escolha utilizamos PayPal, Klarna, Shopify Payments, Visa, Mastercard, American Express, Maestro, UnionPay, Apple Pay, Google Pay e métodos locais como iDEAL/Wero, MobilePay, BLIK e EPS. Estes prestadores podem atuar como responsáveis autónomos. Recebemos normalmente apenas confirmações, IDs de transação e estado necessários. Aplicam-se também as respetivas políticas.

7.6 Envio e fulfilment

Transmitimos os dados necessários à Click & Pack Fulfillment GmbH, Charlottenburger Str. 3a, 21502 Geesthacht, Alemanha, com base no artigo 6.º, n.º 1, alínea b). E-mail/telefone podem ser transmitidos para avisos de entrega quando necessário ou solicitado.

7.7 hCaptcha

Utilizamos hCaptcha da Intuition Machines, Inc. contra acessos automatizados, abuso e fraude. Pode tratar IP, dispositivo/browser, data/hora e dados de interação. Base jurídica: artigo 6.º, n.º 1, alínea f), RGPD e, quando estritamente necessário no terminal, § 25(2) TDDDG. Pode ocorrer tratamento nos EUA ao abrigo de mecanismos de transferência reconhecidos.

7.8 Google Analytics

Com consentimento utilizamos Google Analytics para análise estatística. Podem ser tratados identificadores pseudónimos, IP, dispositivo/browser, região aproximada, páginas, interações, origem e eventos técnicos. Base jurídica: artigo 6.º, n.º 1, alínea a), RGPD e § 25(1) TDDDG. Retenção configurada de dados de eventos: 14 meses. O prestador no EEE é geralmente Google Ireland Limited; podem ocorrer transferências internacionais com garantias adequadas.

7.9 Marketing online e publicidade personalizada

Com consentimento expresso podemos usar Shopify Audiences, Meta Pixel, Google Ads e TikTok. Dados de utilização, dispositivo, compra e interação podem ser associados a identificadores online para medição, atribuição e publicidade. Base jurídica: artigo 6.º, n.º 1, alínea a), RGPD e § 25(1) TDDDG.

7.10 Newsletter e marketing direto

Tratamos e-mail, momento do registo, double opt-in e dados voluntários com base no artigo 6.º, n.º 1, alínea a). Pode retirar o consentimento através do link de cancelamento. Utilizamos Shopify para envio/gestão; após cancelamento podemos manter o e-mail numa lista de supressão para impedir novos envios e documentar a retirada.

7.11 Avaliações de produtos e conteúdo do utilizador

Ao publicar avaliação ou conteúdo tratamos o conteúdo, nome apresentado, produto, data e eventualmente dados técnicos de verificação. O conteúdo publicado é público. Base jurídica: artigo 6.º, n.º 1, alínea b), quando publicado a seu pedido e artigo 6.º, n.º 1, alínea f), para moderação, abuso e autenticidade.

8. Tratamento na app Vulpés e produtos conectados

8.1 Instalação, acesso e dados técnicos

Tratamos versão da app, sistema operativo, modelo, idioma, fuso horário, IP, ID de instalação, acessos e eventos de erro/segurança para prestar a app, compatibilidade, atualizações, segurança e correção de erros. Base jurídica: artigo 6.º, n.º 1, alínea b), e, quanto à segurança/estabilidade, alínea f).

8.2 Registo, login e conta

Tratamos e-mail, user-ID, hash da palavra-passe ou token, estado, idioma, região e timestamps. Dados opcionais apenas se fornecidos voluntariamente. Base jurídica: artigo 6.º, n.º 1, alínea b).

8.3 Social login

Com Apple ou Google podemos receber provider-ID, e-mail, nome e eventualmente imagem. Base jurídica: artigo 6.º, n.º 1, alínea b), ou consentimento quando haja dados adicionais. O tratamento autónomo do prestador rege-se pela respetiva política.

8.4 Bluetooth, dispositivos próximos e localização

Para emparelhar/controlar um dispositivo Vulpés, a app necessita de Bluetooth ou permissão de dispositivos próximos; versões Android antigas podem ligar tecnicamente a pesquisa Bluetooth a uma permissão de localização. Localização precisa apenas é usada para função expressamente dependente de localização após consentimento.

8.5 Emparelhamento e controlo

Podemos tratar device-ID, modelo, série, firmware, pairing, versão da app, ligação, definições, modos, intensidade, duração, timer, bateria, horários e erros. Finalidades: emparelhamento, controlo, sincronização, troubleshooting, segurança, updates e histórico. Base jurídica: artigo 6.º, n.º 1, alínea b), e eventualmente alínea f) para segurança.

8.6 Onboarding, safety screen e assessments

Podemos solicitar zona corporal, objetivos, contexto, atividade, frequência prevista, conforto, mobilidade, rigidez, tensão, recuperação, conforto menstrual/abdominal, tratamentos, limitações, safety-screen e texto facultativo. Servem para selecionar programas adequados, evitar conteúdos impróprios, adaptar recomendações e mostrar evolução. Não constituem diagnóstico nem substituem aconselhamento médico.

Quando constituam dados de saúde, só os tratamos com consentimento explícito nos termos do artigo 9.º, n.º 2, alínea a), em conjunto com o artigo 6.º, n.º 1, alínea a), obtido separadamente antes da primeira recolha. Sem consentimento permanece o controlo básico do dispositivo; algumas funções personalizadas podem ficar indisponíveis.

8.7 Programas guiados, workouts e sessões

Tratamos programa, zona, flow, duração prevista/real, conclusão/interrupção, repetições, horários, dispositivo, modo, intensidade e feedback. Finalidades: executar programa, sincronizar, mostrar progresso e melhorar a próxima recomendação. Base jurídica: artigo 6.º, n.º 1, alínea b); se houver dados de saúde, também consentimento explícito do artigo 9.º, n.º 2, alínea a).

8.8 Check-ins, check-outs, progresso e outcomes

Facultativamente pode indicar sensação numa zona, recuperação, mobilidade, rigidez/tensão, conforto/intensidade e mudanças percebidas. Podemos criar tendências, métricas de adesão e sugestões. Podem constituir dados de saúde e só são tratados com consentimento explícito. Pode eliminar entradas ou, quando disponível, o histórico.

8.9 Personalização e profiling

Com consentimento podemos derivar padrões de preferência e utilização dos seus dados, objetivos, zonas, programas, histórico, feedback e definições para adaptar conteúdos, programas, lembretes e configurações. Base jurídica: artigo 6.º, n.º 1, alínea a), e artigo 9.º, n.º 2, alínea a), quando haja saúde. Pode desativar a personalização.

8.10 Personalização e recomendações com IA

Se ativar IA, as recomendações são identificadas como tal. A IA pode analisar dados autorizados de perfil, preferências, utilização e feedback e, se expressamente autorizado, saúde/bem-estar, para sugerir programas, sequências, intensidades ou lembretes. Exclusões e limites de segurança são definidos também por regras e especificações de produto.

Vulpés utiliza modelos próprios de IA e recomendação. Servem para personalizar Wellness, Mobility, Recovery e Training e não constituem diagnóstico, tratamento ou aconselhamento médico individual.

Podem ser tratados dados de perfil/preferências, dispositivo/uso, programas/sessões, assessments/check-ins/check-outs/feedback, dados derivados e metadados técnicos. Quando revelem saúde, o tratamento por IA só ocorre com consentimento explícito prévio nos termos do artigo 9.º, n.º 2, alínea a), em conjunto com o artigo 6.º, n.º 1, alínea a). Quando possível, o modelo não recebe nome, e-mail ou dados completos de pagamento, usando ID pseudónimo.

Tratamento regional e transferências

A infraestrutura é regionalmente separada quando tecnicamente possível. As contas são atribuídas à região UE/EEE ou EUA de acordo com país de residência/contrato.

Para UE/EEE, perfil, Recovery, Assessment, Session, Outcome e personalização são normalmente armazenados no EEE através de Cloud Firestore na multi-região europeia `eur3`, com réplicas principais na Bélgica (`europe-west1`) e Países Baixos (`europe-west4`) e witness na Finlândia (`europe-north1`). As Firebase Cloud Functions para UE/EEE são disponibilizadas em `europe-west3` (Frankfurt, Alemanha).

Para registo/login/conta utilizamos Firebase Authentication, tecnicamente operado exclusivamente nos EUA, podendo tratar e-mail, ID, autenticação, IP e segurança. Dados de saúde, Recovery, Assessment, check-in/out e Outcome não são armazenados em Firebase Authentication; a ligação ao Firestore é feita normalmente por ID pseudónimo.

Para a região EUA os respetivos dados podem ser armazenados e tratados nos EUA. Hosting, segurança, suporte e subprocessadores podem implicar acesso de outros países. Transferências do EEE respeitam artigos 44.º e seguintes RGPD, através do EU-US Data Privacy Framework para destinatários certificados ou cláusulas contratuais-tipo e medidas complementares.

Dados de perfil, preferências, sessões, assessments, feedback e recomendações são guardados durante a conta e enquanto necessários. Logs técnicos do modelo apenas enquanto necessários a segurança, erro, abuso e rastreabilidade. Após eliminação de conta ou retirada de consentimento, eliminamos/anonimizamos dados dos sistemas ativos salvo obrigações legais; backups seguem ciclos normais.

Desenvolvimento dos modelos

Não usamos automaticamente dados pessoais de utilização, assessment ou feedback para treino/desenvolvimento geral de modelos. Esse uso requer base jurídica separada e, quando necessário, consentimento expresso separado. Sempre que possível usamos dados agregados ou anonimizados; dados pseudonimizados continuam pessoais. O consentimento é voluntário e não afeta o controlo básico nem programas não personalizados.

8.11 Melhoria dos nossos modelos

Quando pretendermos usar dados pessoais ou pseudonimizados para melhorar modelos, solicitamos consentimento separado quando necessário. Não é condição para Device Control, subscrição ou recomendações da própria conta. Sempre que possível usamos dados anónimos/agregados.

8.12 Firebase Authentication, Cloud Firestore e Cloud Functions

Utilizamos Google Firebase/Google Cloud. Firebase Authentication é usado para registo/login/conta e operado tecnicamente nos EUA. Para UE/EEE usamos Firestore em `eur3` para perfis, definições, programas, sessões e, com consentimento, dados Recovery, Assessment, check-in, Outcome e personalização. Réplicas principais: Bélgica e Países Baixos; witness: Finlândia. Cloud Functions: `europe-west3` (Frankfurt).

Dados sensíveis não são armazenados no Firebase Authentication. Sempre que possível, autenticação e dados sensíveis da app são separados e ligados por ID pseudónimo. Google atua como subcontratante quando aplicável com contrato de tratamento. Transferências internacionais seguem a secção 12.

8.13 Notificações push

Com push ativado tratamos token, sistema operativo, idioma, versão e definições; usamos Apple Push Notification Service ou Firebase Cloud Messaging. Mensagens necessárias a funções pedidas baseiam-se no artigo 6.º, n.º 1, alínea b); lembretes/marketing/ofertas personalizadas apenas com consentimento quando exigido. Pode desativar a qualquer momento.

8.14 Subscrições e compras in-app

Ao comprar por Apple App Store, Google Play ou outro canal, o store trata pagamento/conta sob responsabilidade própria. Recebemos normalmente ID produto/plano, ID transação, data, país, duração, renovação/cancelamento e confirmação de pagamento. Usamos para ativação/gestão/faturação nos termos do artigo 6.º, n.º 1, alínea b), e obrigações legais nos termos da alínea c). Consoante o canal podem intervir Stripe, Shopify, Apple e Google.

9. Apoio ao cliente e comunicação

Ao contactar-nos por e-mail, formulário, telefone, chat ou app tratamos contacto, pedido, dados relacionados de encomenda, dispositivo e conta e histórico. Base jurídica: artigo 6.º, n.º 1, alínea b), ou f) para pedidos gerais.

10. Segurança, prevenção de abuso e defesa jurídica

Tratamos dados necessários de conta, dispositivo, rede, login, transação e logs para detetar e prevenir acesso não autorizado, fraude, abuso, incidentes e violações. Base jurídica: artigo 6.º, n.º 1, alínea f). Para obrigações legais, pedidos de autoridades ou defesa de direitos pode aplicar-se a alínea c) ou f).

11. Destinatários e subcontratantes

Transmitimos dados apenas quando necessário, legalmente exigido ou consentido. Categorias: hosting/cloud/database/IT; loja/pagamentos/subscrições/app stores; logística/fulfilment/reparação; Firebase/analytics/consent/push/support/comunicação; infraestrutura para IA e personalização; consultores fiscais/jurídicos/auditores; autoridades e tribunais.

 

Celebramos acordos de tratamento nos termos do artigo 28.º RGPD. Quando um fornecedor atua como responsável autónomo, aplica-se também a sua política.

12. Transferências para países terceiros

Alguns fornecedores ou subprocessadores estão fora do EEE ou acedem a partir daí. Firebase Authentication é operado exclusivamente nos EUA; Firestore UE/EEE está em `eur3` e Cloud Functions em `europe-west3` (Frankfurt). Não é sempre possível excluir acessos lícitos de suporte, segurança ou subprocessadores de países terceiros. Transferências do EEE cumprem artigos 44.º e seguintes.

Usamos decisões de adequação, incluindo EU-US Data Privacy Framework para destinatários certificados, ou cláusulas contratuais-tipo e medidas suplementares. Informações adicionais podem ser solicitadas.

13. Conservação e eliminação

Guardamos dados apenas enquanto necessários à finalidade, obrigações legais ou defesa de direitos. Depois são eliminados ou anonimizados.

 

Podem aplicar-se períodos diferentes quando exigidos por lei ou pela defesa de direitos; nesse caso o tratamento fica limitado à finalidade correspondente.

14. Dados do dispositivo e EU Data Act

Produtos conectados e app podem gerar identificadores, estados, definições, modos, intensidades, duração, eventos técnicos, erros e utilização. Se pessoais, aplicam-se esta Política e o RGPD. Informação exigida pelo EU Data Act sobre tipo, formato, quantidade, geração, acesso, utilização, exportação e partilha é disponibilizada separadamente no website ou app.

15. Decisões automatizadas e profiling

Podemos usar profiling para adaptar programas/recomendações a objetivos, preferências e utilização. Não produz efeitos jurídicos nem efeitos semelhantes significativos. Em regra, não tomamos decisões exclusivamente automatizadas na aceção do artigo 22.º, n.º 1. Se isso mudar, informaremos previamente sobre lógica, relevância, alcance, efeitos e direitos.

16. Obrigação de fornecer dados

Dados necessários a registo, contrato, pagamento, pairing ou função pedida são obrigatórios. Sem eles podemos não fornecer o serviço. Saúde/wellbeing, assessments opcionais, analytics, marketing, IA e melhoria de modelos são voluntários. A recusa não deve prejudicar injustificadamente Device Control ou funções core adquiridas, embora algumas funções personalizadas possam não estar disponíveis.

17. Menores

A app e programas personalizados destinam-se normalmente a pessoas com 18 anos ou mais. Não tratamos conscientemente dados de menores para estas funções. Se suspeitar que recebemos tais dados, contacte-nos.

18. Segurança dos dados

Aplicamos medidas técnicas e organizativas adequadas: cifragem em trânsito, controlo de acesso, funções/roles, autenticação segura, logging, backups, gestão de vulnerabilidades e separação de ambientes. Quando tecnicamente possível, saúde, Recovery, Assessment e Outcome são separados de dados de autenticação diretamente identificativos e associados por IDs pseudónimos.

Nenhuma transmissão ou armazenamento pode ser totalmente garantido. Proteja as credenciais e informe-nos de acessos suspeitos.

19. Os seus direitos

Nos termos legais tem direito de acesso (art. 15.º), retificação (16.º), apagamento (17.º), limitação (18.º), portabilidade (20.º), oposição a interesses legítimos ou marketing direto (21.º), retirada de consentimento para o futuro (7.º, n.º 3) e reclamação a uma autoridade (77.º). Para exercer direitos contacte-nos; podemos solicitar prova razoável de identidade.

20. Direito de oposição

TEM O DIREITO, POR MOTIVOS RELACIONADOS COM A SUA SITUAÇÃO PARTICULAR, DE SE OPOR A QUALQUER MOMENTO A TRATAMENTOS BASEADOS NO ARTIGO 6.º, N.º 1, ALÍNEA E) OU F), RGPD. QUANDO OS DADOS FOREM TRATADOS PARA MARKETING DIRETO, PODE OPOR-SE A QUALQUER MOMENTO SEM INDICAR MOTIVOS.

21. Retirada de consentimentos e definições de privacidade

Pode retirar consentimento a qualquer momento para o futuro. A licitude anterior mantém-se. Cookies/tracking: “Definições de privacidade”; app: “Definições – Privacidade e consentimentos” ou nosso contacto. Ao retirar consentimento para saúde, cessamos o tratamento baseado nele; programas personalizados, progresso ou IA podem ser limitados. Obrigações legais e defesa de direitos mantêm-se.

22. Direito de reclamação

Pode reclamar a uma autoridade de proteção de dados. Para nós é especialmente competente:

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD)

Holstenstraße 98

24103 Kiel

Alemanha

Telefone: +49 431 988-1200

E-mail: mail@datenschutzzentrum.de

Website: www.datenschutzzentrum.de

Pode também recorrer à autoridade da sua residência habitual, local de trabalho ou local da alegada infração.

23. Alterações

Atualizamos esta Política quando mudam tratamentos, serviços ou enquadramento jurídico. A versão atual está nos websites e na app. Em alterações materiais, especialmente novas finalidades ou consentimentos, informaremos e solicitaremos novo consentimento quando necessário.

24. Contacto

Questões de privacidade ou exercício de direitos:

support@vulpes-tech.com

Vulpés Electronics GmbH · Einsteinstraße 1 · 24118 Kiel · Alemanha