Política de Privacidade

1. Identidade do responsável pelo tratamento

Esta Política de Privacidade regula o tratamento de dados pessoais realizado por:

Denominação social: Wellbeinn Performance, S.L. (doravante, «Wellbeinn»). Opera sob o nome comercial Wellbeinn.
CIF: B-16407355
Sede social: Rua Reyes Católicos 37B, 03630 Sax (Alicante), Espanha
Inscrição registral: Inscrita no Registo Comercial de Alicante, Folha A-199979, IRUS 1000444260360, Folha eletrónica Inscrição 3
Correio eletrónico de contacto em matéria de privacidade: privacy@wellbeinn.com
Delegado de Proteção de Dados (DPD): Miguel Ortín Gómez, 20051933G

A Wellbeinn cumpre o disposto no Regulamento (UE) 2016/679 («RGPD») e na Lei Orgânica 3/2018, de 5 de dezembro, de Proteção de Dados Pessoais e garantia dos direitos digitais («LOPDGDD»).

2. Âmbito e caráter informativo

Esta Política de Privacidade tem caráter informativo e descreve como a Wellbeinn trata os dados pessoais no âmbito de:

A aplicação móvel Wellbeinn para iOS e Android (doravante, a «App»).
O uso do wearable Wellbeinn V8 como dispositivo complementar que se conecta à App por Bluetooth Low Energy (BLE).
O site wellbeinn.com no que respeita a registo, suporte e comunicações de conta.

A leitura desta Política não substitui nem integra, por si só, o consentimento explícito necessário para o tratamento de dados de saúde. Esse consentimento é obtido através de uma ação afirmativa separada, específica e inequívoca dentro da App. A Wellbeinn conservará evidência verificável do consentimento prestado e da sua retirada, incluindo identificador de utilizador, data e hora, versão do texto aceite, idioma e finalidades autorizadas (Art. 7.1 RGPD).

3. Dados pessoais que tratamos

Tratamos as seguintes categorias de dados:

3.1 Dados de identidade e conta

Dados básicos para criar e manter a sua conta pessoal: nome e apelidos, endereço de correio eletrónico, palavra-passe (armazenada com um hash unidirecional gerido pelo nosso fornecedor de identidade; a Wellbeinn não acede ao texto em claro), foto de perfil opcional, identificadores de início de sessão federada quando escolhe registar-se com Google e um identificador único interno atribuído pelo nosso sistema.

Tratamos também o estado das opções de personalização que o utilizador possa ativar (comunicações comerciais e personalização do produto, ver §4 bis), que podem ser ativadas ou desativadas a qualquer momento a partir de A Minha Conta.

3.2 Dados relativos à saúde — categoria especial (Art. 9 RGPD)

Através do wearable Wellbeinn V8 e dos dados que o utilizador fornece para calibrar o serviço, Wellbeinn trata informação biofisiológica e de atividade: em particular, métricas cardiovasculares (frequência cardíaca e variabilidade, HRV/RMSSD), dados de sono e descanso, indicadores de oxigenação e temperatura cutânea, parâmetros de atividade física, bem como um perfil básico de saúde (data de nascimento, sexo biológico, peso e altura). Esta enumeração é indicativa: a App pode tratar estes e outros dados similares de bem-estar e saúde dentro das finalidades descritas nesta Política, mantendo a mesma qualificação legal e nível de proteção.

Os indicadores derivados que a App calcula a partir destes dados brutos — em particular qualidade do sono, recuperação, vitalidade, ativação, stress, eficiência do sono e outros indicadores agregados de estado fisiológico — consideram-se igualmente dados relativos à saúde (categoria especial do Art. 9 RGPD) e recebem o mesmo nível reforçado de proteção, base legal de consentimento explícito e prazos de conservação que os dados brutos.

Estes dados são conservados com alta resolução temporal porque é necessária para o cálculo dos indicadores que a App oferece. A conservação é efetuada exclusivamente na sua conta pessoal, não é partilhada com terceiros e é eliminada conforme a secção 6.

Wellbeinn não trata dados biométricos no sentido do Art. 4.14 RGPD (dados pessoais obtidos a partir de um tratamento técnico específico relativos às características físicas de uma pessoa física que permitam ou confirmem a identificação única).

3.3 Dados do dispositivo wearable

Identificador, modelo e versão do firmware do wearable, identificador Bluetooth (no Android pode ser um endereço MAC público persistente; no iOS costuma ser um UUID rotativo emitido pelo sistema operativo e vinculado à instalação da App), estado da bateria e eventos de ligação/desligação.

3.4 Dados técnicos e de uso

Identificador de instalação da App, sistema operativo e versão, modelo do telemóvel e idioma do dispositivo, registos técnicos de erros e eventos geridos através do serviço Cloud Logging do fornecedor de infraestrutura (ver §7) e carimbos temporais das ações realizadas dentro da App.

Nota sobre acompanhamento publicitário: a App não integra SDKs de análise de terceiros. Não realizamos perfilação publicitária, não partilhamos dados com redes publicitárias e não utilizamos cookies de terceiros.

4. Bases legais do tratamento

Categoria de dados	Base legal	Referência
Identidade, conta, dispositivo, técnicos	Execução de contrato	Art. 6.1.b RGPD
Dados de saúde (Art. 9), incluindo os indicadores derivados — uso para prestar o serviço principal	Consentimento explícito do interessado	Arts. 6.1.a e 9.2.a RGPD
Comunicações comerciais (opcional)	Consentimento separado e revogável	Art. 6.1.a RGPD + Art. 21 LSSI
Personalização do produto e melhoria analítica (opcional)	Consentimento separado e revogável	Arts. 6.1.a e 9.2.a RGPD
Suporte e obrigações legais	Cumprimento de obrigação legal / interesse legítimo	Arts. 6.1.c e 6.1.f RGPD

O consentimento explícito para o tratamento de dados de saúde é solicitado de forma separada e inequívoca dentro da App, distinto da aceitação geral dos Termos e Condições. Pode retirá-lo a qualquer momento, sem que isso implique fechar a sua conta e sem afetar a licitude do tratamento anterior à retirada (Art. 7.3 RGPD). A retirada do consentimento implicará a suspensão imediata da captura de novos dados de saúde e, à sua escolha, a conservação ou eliminação dos dados previamente armazenados.

Estrutura de consentimento. Wellbeinn distingue entre aceitações obrigatórias, sem as quais a App não pode funcionar, e opções de personalização, que o utilizador pode ativar ou desativar livremente sem que isso condicione o acesso à funcionalidade principal. O detalhe é desenvolvido no §4 bis.

4 bis. Aceitações obrigatórias e opções de personalização

Wellbeinn implementa os princípios do Art. 4.11 e do Art. 7.4 RGPD: o consentimento deve ser livre, específico, informado e inequívoco, e os consentimentos para finalidades distintas devem ser recolhidos separadamente.

4 bis.1 Aceitações obrigatórias

Para utilizar a App é imprescindível aceitar as três peças seguintes. Sem elas, a App não poderá ser utilizada:

#	Aceitação	Natureza	Base legal
1	Termos e Condições do Serviço	Aceitação contratual do serviço digital	Art. 6.1.b RGPD (execução de contrato)
2	Política de Privacidade	Informação sobre o tratamento (não é por si só consentimento, mas a sua leitura prévia é necessária)	Arts. 13 e 14 RGPD
3	Consentimento explícito para o tratamento de dados de saúde	Wellbeinn é uma companion app do wearable Wellbeinn V8; sem o consentimento do Art. 9.2.a, a App não tem base legal para processar a informação biofisiológica que constitui a sua funcionalidade principal	Arts. 6.1.a e 9.2.a RGPD

A recusa de qualquer uma destas três aceites impede o uso da App. Não se trata de uma condição abusiva: a natureza do serviço (app acompanhante de um dispositivo de medição fisiológica) torna materialmente impossível o seu funcionamento sem o tratamento dos dados de saúde.

4 bis.2 Opções de personalização

As seguintes opções são estritamente voluntárias e não condicionam o uso da App. São apresentadas ao utilizador como caixas separadas, no seu próprio bloco, após as aceites obrigatórias. Podem ser ativadas ou desativadas a qualquer momento a partir de A Minha Conta → Privacidade e dados, sem penalização nem perda de funcionalidade.

Opção 1 — Comunicações de marketing

«Quero receber conselhos personalizados de bem-estar e novidades da Wellbeinn por e-mail.»

Base legal: Art. 6.1.a RGPD (consentimento específico) + Art. 21 LSSI.
Finalidade: envio de comunicações comerciais com conselhos de bem-estar, novidades de produto e ofertas relacionadas com o ecossistema Wellbeinn.
Dados utilizados: apenas identificadores de conta e e-mail. Não são utilizados dados de saúde para segmentar estes envios.
Revogação: pode ser revogada a qualquer momento a partir de A Minha Conta ou através do link de cancelamento presente em cada comunicação.
Efeito no serviço: nenhum. A App continuará a funcionar normalmente se a opção estiver desativada.

Opção 2 — Personalização e melhoria do produto

«Quero ajudar a Wellbeinn a melhorar a minha experiência analisando como uso a App, de forma agregada e anónima, sem partilhar os meus dados com terceiros.»

Base legal: Arts. 6.1.a e 9.2.a RGPD (consentimento explícito específico, dado que a análise pode envolver dados derivados de saúde).
Finalidade: análise agregada e anonimizada do uso da App e do comportamento dos indicadores derivados com o objetivo de melhorar o serviço, calibrar os algoritmos e estudar coortes internas.
Dados utilizados: indicadores derivados (qualidade do sono, recuperação, vitalidade, ativação, stress e outros indicadores agregados do estado fisiológico) e padrões de uso da App. Não são partilhados com terceiros. As análises são realizadas exclusivamente em coortes internas.
Revogação: pode ser revogada a qualquer momento a partir de A Minha Conta. A revogação irá impedir a inclusão de novos dados nas análises; as análises estatísticas já produzidas podem ser mantidas em formato anónimo conforme o Considerando 26 do RGPD.
Efeito no serviço: nenhum. A App continuará a funcionar normalmente se a opção estiver desativada.

4 bis.3 Sem opções de personalização ativas

Se o utilizador não ativar nenhuma das duas opções de personalização, os seus dados de saúde serão processados única e exclusivamente para prestar o serviço principal: receber, armazenar e mostrar as suas métricas e os indicadores derivados que a App oferece. A base legal deste tratamento mínimo combina o Art. 6.1.b RGPD (execução do contrato do serviço digital) e o Art. 9.2.a RGPD (consentimento explícito para dados de categoria especial — aceitação obrigatória nº 3 de §4 bis.1).

5. Finalidades do tratamento

Tratamos os seus dados para:

Prestar o serviço principal: receber, armazenar e mostrar-lhe as suas métricas fisiológicas, de saúde e de atividade.
Calcular indicadores derivados (qualidade do sono, recuperação, vitalidade, ativação, stress e outros indicadores agregados do estado fisiológico) a partir dos dados brutos do wearable. Estes indicadores são considerados dados de saúde (ver §5 bis).
Vincular e manter a ligação com o seu wearable Wellbeinn V8.
Gerir a sua conta: registo, autenticação, recuperação de palavra-passe.
Atender aos seus pedidos de suporte e incidências.
Melhorar os nossos produtos através de análise estatística estritamente agregada e anónima (esta finalidade só é executada se o utilizador ativar a Opção 2 «Personalização e melhoria do produto», ver §4 bis.2 e §5.6).
Cumprir obrigações legais aplicáveis.

5 bis. Indicadores derivados, elaboração de perfis e caráter não sanitário

Os indicadores de qualidade do sono, recuperação, vitalidade, ativação, stress e outros indicadores agregados do estado fisiológico são calculados através de um tratamento automatizado dos seus dados de saúde que constitui elaboração de perfis sobre o estado fisiológico (Art. 4.4 RGPD). Estes indicadores derivados são igualmente considerados dados relativos à saúde (Art. 9 RGPD) e regem-se pela mesma base legal (consentimento explícito, Arts. 6.1.a e 9.2.a) que os dados brutos do wearable.

Estes cálculos não tomam decisões jurídicas que o afetem significativamente (Art. 22 RGPD): são informações pessoais mostradas no seu dispositivo, sem perfilação publicitária.

Sobre a cessação deste tratamento. O tratamento dos dados derivados não é separável da prestação do serviço: sem ele, a App não pode oferecer a sua funcionalidade principal (ver aceitação obrigatória nº 3 em §4 bis.1). Se desejar cessar este tratamento, as opções disponíveis são deixar de usar a App ou eliminar a sua conta a partir de A Minha Conta, o que implicará a eliminação efetiva dos dados associados conforme §6.

A App e o wearable Wellbeinn V8 não são produto médico nos termos do Regulamento (UE) 2017/745 (MDR). Não se destinam a diagnosticar, prevenir, monitorizar clinicamente, tratar nem aliviar doenças, e não substituem o critério de um profissional de saúde. Em caso de qualquer sintoma ou dúvida de saúde, consulte um médico.

5.6. Anonimização vs pseudonimização

A análise estatística a que se refere a finalidade 6 do §5 — e que só é executada quando o utilizador ativa a Opção 2 «Personalização e melhoria do produto» (§4 bis.2) — é realizada estritamente agregada e anónima, no sentido do Considerando 26 RGPD, sem possibilidade razoável de reidentificação. Não conservamos cópias pseudonimizadas vinculáveis a utilizadores concretos após o exercício do direito de supressão.

Se no futuro a Wellbeinn pretender tratar dados pseudonimizados para fins secundários de investigação ou estatística, fará isso apenas com base num consentimento específico adicional ou nas salvaguardas do Art. 89 RGPD, após Avaliação de Impacto e com prazo de retenção definido, e comunicá-lo-emos previamente.

6. Prazos de conservação

Dado	Prazo
Dados de conta ativa	Enquanto a conta permanecer aberta
Dados de saúde e dispositivo associados à conta	Enquanto a conta permanecer aberta
Após pedido de cancelamento	Eliminação no prazo máximo de 30 dias naturais
Registos técnicos e registos de acesso	12 meses com base no interesse legítimo em manter a segurança e integridade do serviço (Art. 6.1.f RGPD), conforme também o dever de retenção da Lei 25/2007 quando aplicável a comunicações eletrónicas

Após os prazos, os dados serão eliminados ou anonimizados de forma irreversível.

Nota sobre o modelo de serviço. O serviço é atualmente gratuito e sem compras integradas. No futuro, a Wellbeinn poderá introduzir um modelo de assinatura paga para parte ou a totalidade da funcionalidade. A introdução de um modelo pago não altera os prazos de retenção de dados pessoais aqui descritos; qualquer obrigação contabilística ou fiscal que possa ser aplicável a partir desse momento será documentada e comunicada ao utilizador antes da sua entrada em vigor (o Cco §30 aplicaria apenas às transações concretas, não aos dados do serviço).

7. Responsáveis, responsáveis independentes e subcontratados

Os seguintes fornecedores tratam dados pessoais no âmbito da App, conforme o papel indicado em cada caso:

Fornecedor	Serviço	Função	Localização
Google Ireland Limited (Firebase / Google Cloud)	Autenticação, Firestore, Storage, Cloud Functions (`onUserDelete`) e Cloud Logging	Encarregado do tratamento (Art. 28 RGPD)	Espaço Económico Europeu — região `europe-west3`
Google LLC	«Iniciar sessão com Google»	Responsável independente pelo serviço de identidade	EUA — Decisão de Adequação 2023/1795 (EU-US Data Privacy Framework)

Nota sobre a região da infraestrutura. A região exata é europe-west3 (Espaço Económico Europeu), confirmada pela consola Firebase. Toda a infraestrutura cloud (Firestore, Cloud Functions, Storage, Cloud Logging) opera nesta mesma região para minimizar latência e custos de transferência de dados entre regiões.

Nota sobre Cloud Logging. Se a verificação confirmar alojamento numa região multi-regional global, declararemos expressamente a transferência para os EUA ao abrigo do EU-US Data Privacy Framework (Decisão 2023/1795) + medidas suplementares técnicas e contratuais.

Subsidiariamente, para transferências a países terceiros sem decisão de adequação, aplicaremos as Cláusulas Contratuais Tipo (Decisão 2021/914) juntamente com as medidas suplementares necessárias conforme as Recommendations 01/2020 do Comité Europeu de Proteção de Dados.

Os dados enviados pelo wearable Wellbeinn V8 viajam localmente por Bluetooth entre o relógio e o telemóvel. O fabricante OEM do wearable não recebe os seus dados de saúde através de servidores na cloud.

8. Transferências internacionais

De modo geral, os seus dados são armazenados em servidores localizados no Espaço Económico Europeu.

Quando um fornecedor (por exemplo, Google LLC como fornecedor de identidade federada ou Cloud Logging se a sua região efetiva for global) realizar um tratamento a partir dos EUA, a base de transferência será, preferencialmente, a Decisão de Adequação 2023/1795 (EU-US Data Privacy Framework), nos termos em que o fornecedor esteja aderente ao quadro. Subsidiariamente, e para países terceiros sem decisão de adequação, aplicar-se-ão as Cláusulas Contratuais Tipo (Decisão 2021/914) juntamente com as medidas suplementares necessárias.

9. Os seus direitos

Na sua condição de titular, pode exercer os seguintes direitos:

Acesso aos dados que tratamos sobre si.
Retificação de dados incorretos ou incompletos.
Supressão («direito ao esquecimento»), com as exceções do Art. 17.3 RGPD.
Oposição ao tratamento. Para os indicadores derivados (recuperação, vitalidade, qualidade do sono, etc.), veja §5 bis sobre as vias específicas de cessação.
Limitação do tratamento.
Portabilidade dos dados em formato estruturado e de uso comum.
Não ser sujeito a decisões individuais automatizadas com efeitos significativos (Art. 22 RGPD).
Retirar o consentimento dado para o tratamento de dados de saúde, sem efeitos retroativos.

9.1 Como exercer os direitos

O exercício dos direitos é gratuito (Art. 12.5 RGPD).

Pode exercê-los:

A partir da App: ecrã A Minha Conta → Privacidade e dados (quando disponível).
Por correio eletrónico para privacy@wellbeinn.com, indicando o direito que exerce. Para verificar a sua identidade, utilizaremos preferencialmente o endereço de correio eletrónico associado à sua conta. Só se existirem dúvidas razoáveis sobre a identidade do requerente (Art. 12.6 RGPD) poderemos solicitar informações adicionais fornecidas e limitadas ao mínimo necessário; não é exigida por defeito cópia do cartão de cidadão.

Responderemos no prazo máximo de um mês, prorrogável por mais dois meses em casos complexos (Art. 12.3 RGPD).

9.2 Reclamação junto da autoridade de controlo

Se considerar que o tratamento dos seus dados não está em conformidade com a legislação, pode apresentar uma reclamação junto da Agência Espanhola de Proteção de Dados (AEPD), Calle Jorge Juan 6, 28001 Madrid — www.aepd.es.

10. Menores de idade

A Wellbeinn exige idade mínima de 16 anos para utilizar a App.

Embora o Art. 7 LOPDGDD (Espanha) fixe o limite legal por defeito em 14 anos, a Wellbeinn aplica uma política mais conservadora de 16 anos, por consistência com a legislação mais restritiva de outros estados membros da União Europeia (Alemanha, França e outros estados que fixaram o limite do Art. 8.1 RGPD em 16) e por precaução empresarial dada a sensibilidade dos dados de saúde tratados.

No processo de registo é solicitada a sua data de nascimento e uma declaração expressa de idade. Se a data indicada ou a declaração não cumprirem o requisito mínimo, o registo não poderá ser concluído.

Se detetarmos — seja por aviso de um terceiro ou por qualquer outro meio — que foi registado um menor abaixo do limite aplicável, procederemos a:

(i) suspender a conta imediatamente,
(ii) exigir verificação parental por um canal seguro,
(iii) eliminar a conta e os dados associados se a verificação não for concluída em 30 dias.

Em futuras versões da App reforçaremos os mecanismos de verificação com métodos adicionais (Art. 25 RGPD).

11. Segurança dos dados

Aplicamos medidas técnicas e organizativas apropriadas ao nível de risco, entre outras:

Criptografia das comunicações em trânsito (TLS 1.2+).
Criptografia em repouso nos servidores de armazenamento (gerida pelo nosso fornecedor de infraestrutura).
Regras de segurança granulares no Firestore e Storage que apenas permitem a cada utilizador ler/escrever a sua própria informação (controlo de acesso por UID e, no Storage, restrições de tamanho e tipo MIME).
Armazenamento de credenciais com funções de hash unidirecionais geridas pelo fornecedor de identidade.
Auditorias de segurança anuais e procedimentos documentados de resposta a incidentes.

Em caso de incidente de segurança que afete os seus dados e represente um risco elevado para os seus direitos, notificá-lo-emos sem demora indevida (Art. 34 RGPD), por correio eletrónico para o endereço associado à sua conta e/ou por mensagem in-app, indicando a natureza da violação, as categorias e volumes aproximados de dados afetados, as consequências prováveis e as medidas adotadas ou propostas. Também comunicaremos a violação à AEPD em menos de 72 horas (Art. 33 RGPD).

12. Cookies e identificadores

A App não utiliza cookies nem tecnologias equivalentes de rastreamento publicitário. Apenas são usados identificadores técnicos estritamente necessários para o funcionamento do serviço (token de sessão, identificador de instalação). O site wellbeinn.com pode usar cookies de sessão e, se aplicável, de medição; isso é regulado pela política de cookies específica do site.

13. Alterações nesta Política

Poderemos atualizar esta Política para refletir alterações legais ou técnicas. A data e a versão constam no final do documento; o histórico completo de versões (com resumo das alterações substanciais) é publicado em wellbeinn.com/legal.

Considerar-se-ão alterações substanciais —entre outras— a incorporação de novas categorias de dados tratados, a introdução de novos responsáveis ou subcontratantes em países terceiros, a modificação das finalidades ou das bases legais e as alterações que afetem os direitos do titular. As alterações substanciais serão notificadas por correio eletrónico e/ou através da App com uma antecedência razoável, solicitando, quando necessário, um novo consentimento.

14. Versão e data

Versão: 1.0.5
Data da última atualização: 29 de abril de 2026
Idiomas disponíveis: espanhol, inglês. Em caso de discrepância, prevalece a versão em espanhol.