Muito pouco. Aqui está o que fica guardado, porquê, durante quanto tempo e como mudas de ideias.
Atualizada a 3 de novembro de 2026
Quem é o responsável
Gonçalo Carmo, o atleta deste site. Para qualquer pedido sobre os teus dados, escreve para allez@gocarmo.com.
Contagem de visitas, sem cookies
Para perceber como o site é usado e torná-lo mais claro, conto as visitas com uma ferramenta minha, feita só para este site. Não usa cookies, não te identifica e não guarda o teu endereço IP. Não é o Google Analytics, que só funciona se o aceitares (mais abaixo).
Em cada visita, regista:
a página e as secções que vês, quanto tempo ficas e até onde desces;
onde tocas ou clicas (botões, ligações, espaços do fato e do capacete, a vista 3D), pelo elemento e pelo seu nome curto, para eu ver o que se percebe e o que confunde, incluindo os toques que não dão em nada ou que se repetem;
de onde vens, só o nome do site ou da app (por exemplo, instagram.com), nunca o endereço completo;
o país, a região e a cidade aproximados, calculados a partir do IP, que não fica guardado;
o tipo de aparelho, a largura do ecrã por escalões, a altura da janela (arredondada) e se usas toque ou rato, o sistema, o browser e a língua;
quanto tempo a página demora a abrir, se a vista 3D carregou e os erros da página;
os espaços que abres ou juntas ao pacote e os passos de um pedido de patrocínio (abrir, enviar, escolher como pagar), sem a marca, o link, o nome, o email, o telefone, o NIF, a mensagem, o logótipo ou o valor;
na montra «O meu material», quando existe: os cartões de produto que aparecem no ecrã, os toques no link da loja e no botão que copia o código de desconto, por marca e por produto. Sem cookies e sem saber quem és;
os toques no logótipo ou no link de uma marca que me patrocina, por espaço (por exemplo, «espaço 19»), com as mesmas regras: sem cookies e sem saber quem és;
o dia e a hora da visita, nunca os minutos.
Nunca lê o que escreves nos campos nem o logótipo que escolhes. De uma ligação que abres guarda só o tipo ou o nome do site (por exemplo WhatsApp, email ou instagram.com), nunca o endereço completo, porque é aí que vai a mensagem do pedido.
Às marcas que me patrocinam posso mostrar um relatório com os totais do site: visitas, visualizações (páginas abertas), visitantes por dia (em média), de onde chegam as visitas por tipo (por exemplo, redes sociais ou pesquisa) e os sites de onde chegam (os que trazem muito poucas visitas aparecem juntos), países e cidades (os que têm muito poucas visitas aparecem juntos), o tipo de aparelho, quanto tempo e até onde se lê a página, e o uso do estúdio 3D. Cada marca vê também os totais por mês dos cliques no logótipo e no link dela e, na montra, nos produtos dela (por exemplo, «40 cliques na loja em março»). São sempre números de conjunto, sem nada sobre quem visitou. Quando abres a loja de uma marca, o site junta ao link só a etiqueta gocarmo (o site, a montra, a época e o produto) e não envia à loja nada sobre ti; a loja recebe a visita como qualquer outra (o endereço IP e o browser), e o que acontece lá segue a política de privacidade da marca.
Para não contar a mesma pessoa duas vezes no mesmo dia, o serviço junta o IP (num IPv6, só a primeira metade), o browser e uma chave que muda todos os dias, e fica só com um código. No fim do dia (hora de Lisboa), o código e a chave são apagados. Não te segue de um dia para o outro nem noutros sites, e não guarda nada no teu browser para isso.
Os registos de cada visita são apagados ao fim de 30 dias. Ficam os totais de cada dia durante 25 meses (por exemplo, «40 visitas de Braga a 3 de março») e, depois disso, só totais por mês, sem cidades, que não identificam ninguém. Eu vejo apenas esses totais, nunca uma visita sozinha, e não os junto aos pedidos de patrocínio nem às mensagens que recebo.
O serviço corre no Cloudflare, e os dados ficam em servidores na União Europeia. A Cloudflare, Inc. trata-os por minha conta, como subcontratante; fica nos Estados Unidos e está certificada no EU-US Data Privacy Framework. Os registos de pedidos do próprio Cloudflare estão desligados neste serviço. Não vendo estes dados. Às marcas que me patrocinam mostro só totais: os do site e os dos cliques que lhes dou.
Porque não te peço autorização: a lei dispensa-a quando o acesso ao teu browser é estritamente necessário para o serviço que pedes (artigo 5.º, n.º 2, alínea b), da Lei n.º 41/2004). Sigo a leitura das autoridades de proteção de dados de França (CNIL), Espanha e Itália: uma medição feita só por mim, só para este site, que dá apenas números de conjunto, não cruza dados, não te segue e se pode desligar, serve para saber se o site funciona e se se percebe, e para mostrar às marcas que me patrocinam os totais do site e os cliques que lhes dou (no logótipo e no link delas e na montra), só em totais, sem nada sobre quem visitou ou clicou. A base legal no RGPD é o meu interesse legítimo nestas duas finalidades (artigo 6.º, n.º 1, alínea f)).
Se o teu browser tiver ligado o Global Privacy Control ou o Do Not Track, não é registado nada. Também podes usar o botão abaixo: a escolha fica guardada só neste browser.
O teu browser já pede aos sites que não sigam as tuas visitas, por isso aqui não são contadas.
As tuas visitas não estão a ser contadas neste browser.
Às vezes aparece uma pergunta rápida, de um toque: «Percebeste como funciona o patrocínio?». É opcional e anónima: a resposta vai com o registo dessa visita e só conta nos totais. Depois de responderes ou fechares, o browser guarda só o mês, para não voltar a perguntar durante seis meses, e esse mês não é enviado. Com o Global Privacy Control, o Do Not Track ou o botão acima, a pergunta não aparece.
Como não sei quem és, em regra não consigo encontrar as tuas visitas nos registos. Podes opor-te a esta contagem com o botão acima, ou escrever-me (mais abaixo, em «Os teus direitos»).
Links para as marcas que me patrocinam
Quando abres o link de uma marca que me patrocina, vais para um site que não é meu, com a sua própria política de privacidade. Só no link para o site da própria marca o site junta a etiqueta gocarmo (o site, o patrocínio e a época); nos outros (por exemplo, redes sociais, WhatsApp ou encurtadores de links), nada. A página da marca fica a saber que vieste de gocarmo.com, como em qualquer link.
Google Analytics, só se aceitares
Quando o site te pergunta se pode usar o Google Analytics e carregas em «Aceitar», passa a contar as visitas: as páginas e as secções que vês, de onde vieste (por exemplo, um link do Instagram), o tipo de aparelho e de browser, o país e a cidade aproximados, e os passos de um pedido de patrocínio (abrir o pedido, escolher como pagar, enviá-lo). Serve só para eu perceber o que interessa a quem visita o site.
Não recolhe o que escreves no formulário (marca, link, nome, email, telefone, NIF, mensagem). Não serve para publicidade: os sinais da Google e a personalização de anúncios estão desligados.
Antes de aceitares, o código da Google nem sequer é carregado. Se recusares, ou se o teu browser pedir aos sites que não sigam as tuas visitas (Global Privacy Control ou Do Not Track), nada é enviado, mesmo que tenhas aceitado antes de ligares essa opção.
A base legal é o teu consentimento: artigo 6.º, n.º 1, alínea a), do RGPD, e artigo 5.º da Lei n.º 41/2004.
O que fica no teu browser
_ga, _ga_…
Cookies do Google Analytics, só depois de «Aceitar». Distinguem uma visita nova de uma repetida. Apagam-se quando a tua escolha caduca, seis meses depois de «Aceitar».
gc.consent
A tua escolha sobre as estatísticas. Passados seis meses, o site volta a perguntar.
gc.lang
A língua que escolheste.
gc.package.2027
Os espaços que juntaste ao pacote.
gc.claim.draft
O que escreveste no pedido (marca, link, nome, email, telefone, NIF, mensagem) e o logótipo, para não se perderem se a página recarregar. Apaga-se quando carregas em «Feito» ou fechas o separador, e passadas seis horas já não é usado.
gc.claim.pending
Que um pedido vai a caminho e ainda não teve resposta. Conta durante 10 minutos, no máximo, e apaga-se quando fechas o separador.
gc.claim.req
O número, a marca, os espaços ou a prova, a forma de pagar, o total (com o desconto de época, se houver), o dia, a hora e o último dia de cada pedido que fizeste, para o mesmo pedido não ir duas vezes e para o comprovativo voltar se a página recarregar. Deixa de contar quando a reserva acaba e apaga-se quando fechas o separador.
Que já enviaste o pedido e a que horas, a forma de pagar e se o WhatsApp abriu, para o passo do pagamento e o comprovativo voltarem se a página recarregar. Até fechares o separador.
gc.3d.up, gc.3d.lite, gc.3d.hp, gc.debug3d
Se a vista 3D está a funcionar e, depois de uma falha, a versão que funcionou neste aparelho, para a página não repetir o que falhou quando recarrega. gc.debug3d só existe se abriste o painel de diagnóstico com ?debug3d. Até fechares o separador.
gc.optout
Que pediste para não contar as tuas visitas neste browser («Não contar as minhas visitas», em «Contagem de visitas»). Fica até carregares em «Voltar a contar» ou apagares os dados do site.
gc.fb
O mês em que respondeste ou fechaste a pergunta rápida, para não voltar a aparecer durante seis meses. Não é enviado.
gc.internal
Só nos aparelhos de quem gere o site, depois de abrir a página de admin: as visitas desse aparelho não entram nas estatísticas.
Todos, menos os cookies _ga, ficam só no teu browser. Servem coisas que tu pedes, por isso não precisam de autorização.
A Google
A Google Ireland Limited trata as estatísticas por minha conta, como subcontratante. Parte dos dados pode ir para servidores nos Estados Unidos: a Google LLC está certificada no EU-US Data Privacy Framework, abrangido pela decisão de adequação da Comissão Europeia de 10 de julho de 2023 (artigo 45.º do RGPD).
O Google Analytics não guarda o teu endereço IP. Usa-o para calcular a localização aproximada e descarta-o.
Durante quanto tempo, no Google Analytics
Os dados ao pormenor ficam 14 meses no Google Analytics e depois são apagados. Os totais, como as visitas por mês, podem ficar.
Pedidos de patrocínio e contactos
Quando envias um pedido, o site manda-o para o serviço de reservas, que corre no Cloudflare. Vão os espaços (ou, no fato completo numa prova, a prova, se leva o capacete e o setor da marca), a marca, o link da marca, se o deres, o teu nome, o teu email, o teu telefone, o NIF, a mensagem, a forma de pagamento, a língua, a app que escolheste para a mensagem e o logótipo, em PNG. A marca, o nome, o email e o telefone são obrigatórios, e o setor também, no fato completo numa prova; o link, o NIF e a mensagem, não. A mensagem do pedido leva os espaços, a marca, o nome, o email, o telefone e, se os puseres, o link da marca, o NIF e a tua mensagem.
O serviço reserva os espaços durante 48 horas. Ao reservar, escreve a marca, o último dia da reserva e o número do pedido no ficheiro público dos espaços deste site. Ficam lá até esse espaço mudar outra vez, mesmo depois de a reserva acabar. No fato completo numa prova, o serviço escreve a prova, se leva o capacete, o último dia da reserva e o número do pedido, nunca a marca. Esse ficheiro está no GitHub, que guarda o histórico de cada mudança. Se comprares, depois de eu confirmar o pagamento, a marca e o logótipo passam a aparecer no site e o logótipo leva ao link da marca, se o deste (o link e o dia da venda ficam no mesmo ficheiro público). Se comprares o fato completo numa prova, o site mostra que nessa prova corro com o fato da tua marca.
Depois, o site prepara a mensagem e abre o WhatsApp, o email ou o Instagram, à tua escolha, e és tu que a envias. A mensagem chega-me por esse serviço, que tem a sua própria política de privacidade. Se o serviço de reservas não responder ou não puder reservar, o pedido vai só nessa mensagem.
O serviço de reservas guarda o pedido e o logótipo durante 180 dias e depois apaga-os sozinho. Só eu os consigo ler. O nome, o email e o telefone servem para eu te responder e tratar do patrocínio contigo; o nome e o NIF, também para o recibo de donativo. A mensagem que me envias pelo WhatsApp, email ou Instagram, guardo-a enquanto for precisa para tratar do patrocínio e dos recibos.
Quando confirmo o pagamento, guardo no mesmo serviço um registo do patrocínio: a marca, o link da marca, os espaços e os preços (ou a prova, se leva o capacete, o setor da marca e o dia em que avisei os patrocinadores da época), o montante e a data do pagamento, a época e o período, o prazo do logótipo, o estado da renovação, o contacto que me deste (nome, email e telefone e, se houver, a app ou a conta de Instagram), o NIF, se o deste, as minhas notas, a língua e o histórico das mudanças, e o número do pedido. Faço o mesmo registo à mão para os patrocínios combinados por email, WhatsApp ou em produto. Serve para cumprir o patrocínio, os prazos e a preferência na renovação. Fica guardado até 31 de dezembro do ano seguinte ao da época (para a época 2027, até 31 de dezembro de 2028) e depois apaga-se sozinho. Só eu o consigo ler. Posso exportar estes registos para uma folha de cálculo, como cópia de segurança, que fica só comigo e que apago no mesmo prazo. A base legal é a execução do patrocínio (artigo 6.º, n.º 1, alínea b), do RGPD). A confirmação do patrocínio que te envio em PDF é feita no meu telemóvel, a partir desse registo.
A base legal é preparar e cumprir o patrocínio que me pedes (artigo 6.º, n.º 1, alínea b), do RGPD). Nos recibos, é a lei fiscal, que obriga a passá-los e guardá-los (alínea c)).
O serviço não guarda o teu endereço IP, só um código feito a partir dele com uma chave secreta. Serve para limitar os pedidos de cada endereço e para bloquear quem faz pedidos falsos. Fica no pedido até a compra ser confirmada, ou até o pedido se apagar, e nos contadores apaga-se ao fim de 30 dias, no máximo. A base legal é o interesse legítimo em proteger as reservas de abusos (artigo 6.º, n.º 1, alínea f), do RGPD).
A Cloudflare, Inc. trata estes dados por minha conta, como subcontratante. Fica nos Estados Unidos e está certificada no EU-US Data Privacy Framework.
O logótipo que experimentas no fato ou no capacete só sai do teu aparelho quando o envias com o pedido.
O comprovativo do pedido, em PDF ou no ecrã, é feito no teu aparelho e não é enviado para lado nenhum.
Quem apoia
Quando dás no GoFundMe, os teus dados ficam com o GoFundMe, que tem a sua própria política de privacidade. Como organizador, vejo o nome e o valor de cada donativo e se escolheste não aparecer em público.
Na secção Apoiar deste site, o símbolo do sol e da lua enche-se com os nomes de quem apoia a minha época. Se deste com o teu nome, ponho-o lá na forma curta: o primeiro nome e a inicial do apelido (por exemplo, «Ana M.»). Se deste como anónimo, o teu nome nunca entra nem é contado. Se me apoiaste por transferência ou MB WAY, o teu nome só entra se mo pedires.
Aparece só o nome. Nunca o valor, a data, a forma de pagamento nem a mensagem que deixaste, e a ordem é alfabética: não tem nada a ver com o valor nem com o dia.
Para juntar os nomes, uso a lista de donativos da campanha. Leio-a no meu aparelho, e dele só saem os nomes curtos dos donativos que não são anónimos: os valores, as datas e os contactos ficam de fora.
Se não quiseres aparecer, ou quiseres aparecer de outra forma, escreve para allez@gocarmo.com. Trato disso no próprio dia e, no máximo, em 7 dias. Se tens menos de 18 anos, tu ou quem tem a tua responsabilidade parental podem pedi-lo da mesma forma.
A lista dos nomes fica num serviço meu, no Cloudflare, e o site mostra-a a quem toca em «Vê quem apoiou». Não fica no GitHub. Quando tiro um nome, sai logo da lista e, em poucos minutos, do site. A Cloudflare, Inc. trata-a por minha conta, como subcontratante. Como os nomes são públicos, qualquer pessoa os pode ver enquanto lá estiverem; peço aos motores de busca que não os guardem, mas não controlo cópias feitas por outros.
A contagem de visitas não regista os nomes: um toque no símbolo conta só como um toque no símbolo.
Os nomes da época 2027 ficam até 31 de dezembro de 2028 e depois apagam-se sozinhos.
A base legal é o meu interesse legítimo em agradecer em público a quem apoia a minha época, só com o nome curto e nunca a quem escolheu o anonimato (artigo 6.º, n.º 1, alínea f), do RGPD). Podes opor-te quando quiseres, e o teu nome sai.
Alojamento
O site está alojado no GitHub Pages, da GitHub, Inc., que regista o endereço IP de quem o visita, por segurança. A base legal é o interesse legítimo em manter o site seguro e a funcionar (artigo 6.º, n.º 1, alínea f), do RGPD). A GitHub, Inc. fica nos Estados Unidos e está certificada no EU-US Data Privacy Framework.
Os teus direitos
Podes pedir para ver, corrigir ou apagar os teus dados, opor-te ao tratamento, limitá-lo ou recebê-los num formato que possas levar para outro lado. Podes retirar o consentimento quando quiseres, sem afetar o que foi tratado antes. Escreve para allez@gocarmo.com. Se achares que algo está mal, podes apresentar queixa à Comissão Nacional de Proteção de Dados, em cnpd.pt.
Mudar a escolha
Em «Definições de cookies», no fim da página, o aviso volta a abrir. Se recusares depois de teres aceitado, os cookies do Google Analytics são apagados e o envio para logo. Também os podes apagar nas definições do browser.
Privacy
What this site knows about you
Very little. Here is what is stored, why, for how long and how to change your mind.
Updated 3 November 2026
Who is responsible
Gonçalo Carmo, the athlete behind this site. For anything about your data, write to allez@gocarmo.com.
Visit counting, without cookies
To see how the site is used and make it clearer, I count visits with my own tool, built for this site only. It uses no cookies, does not identify you and does not store your IP address. It is not Google Analytics, which only runs if you accept it (further down).
For each visit it records:
the page and the sections you see, how long you stay and how far down you scroll;
where you tap or click (buttons, links, suit and helmet spots, the 3D view), by the element and its short name, so I can see what is clear and what confuses, including taps that do nothing or are repeated;
where you came from, only the name of the site or app (instagram.com, for example), never the full address;
your approximate country, region and city, worked out from your IP address, which is not stored;
your type of device, your screen width in broad steps, the window height (rounded) and whether you use touch or a mouse, your system, browser and language;
how long the page takes to open, whether the 3D view loaded, and page errors;
the spots you open or add to your package and the steps of a sponsorship request (opening it, sending it, choosing how to pay), without the brand, link, name, email, phone number, tax number, message, logo or amount;
in the “O meu material” (My gear) showcase, when there is one: the product cards that come into view, and the taps on the shop link and on the button that copies the discount code, per brand and per product. No cookies, and nothing about who you are;
the taps on the logo or the link of a brand that sponsors me, per spot (for example, “spot 19”), under the same rules: no cookies, and nothing about who you are;
the day and hour of the visit, never the minutes.
It never reads what you type in the fields or the logo you pick. Of a link you open it keeps only the kind or the site's name (WhatsApp, email or instagram.com, for example), never the full address, because that is where the request's message goes.
I may show the brands that sponsor me a report with the site's totals: visits, page views (pages opened), visitors per day (on average), where visits come from by kind (social networks or search, for example) and the sites they come from (those that send very few visits are grouped), countries and cities (those with very few visits are grouped), the kind of device, how long and how far the page is read, and the use of the 3D studio. Each brand also sees the monthly totals of the clicks on its logo and link and, in the showcase, on its products (for example, “40 clicks to the shop in March”). These are always overall numbers, with nothing about who visited. When you open a brand's shop, the site adds only the gocarmo tag to the link (the site, the showcase, the season and the product) and sends the shop nothing about you; the shop gets the visit like any other (your IP address and browser), and what happens there follows the brand's privacy policy.
So as not to count the same person twice in one day, the service combines your IP address (for IPv6, only its first half), the browser and a key that changes every day, and keeps only a code. At the end of the day (Lisbon time), the code and the key are deleted. It does not follow you from one day to the next or on other sites, and stores nothing in your browser for this.
The records of each visit are deleted after 30 days. Daily totals stay for 25 months (for example, “40 visits from Braga on 3 March”) and, after that, only monthly totals without cities, which identify no one. I only ever see those totals, never a single visit, and I never match them with sponsorship requests or the messages I receive.
The service runs on Cloudflare, and the data stays on servers in the European Union. Cloudflare, Inc. processes it on my behalf, as a processor; it is based in the United States and certified under the EU-US Data Privacy Framework. Cloudflare's own request logs are switched off for this service. I do not sell this data. I show the brands that sponsor me totals only: the site's and those of the clicks I send them.
Why I do not ask for permission: the law does not require it when access to your browser is strictly necessary for the service you asked for (Article 5(2)(b) of Portuguese Law 41/2004). I follow the reading of the data protection authorities of France (CNIL), Spain and Italy: measurement done by me alone, for this site alone, that gives only overall numbers, matches no data, does not follow you and can be switched off, is there to find out whether the site works and is understood, and to show the brands that sponsor me the site's totals and the clicks I send them (on their logo and link and in the showcase), as totals only, with nothing about who visited or clicked. The legal basis under the GDPR is my legitimate interest in these two purposes (Article 6(1)(f)).
If your browser has Global Privacy Control or Do Not Track switched on, nothing is recorded. You can also use the button below: the choice is kept in this browser only.
Your browser already asks sites not to track your visits, so they are not counted here.
Your visits are not being counted in this browser.
Sometimes a quick one-tap question appears: “Did you get how the sponsorship works?”. It is optional and anonymous: the answer goes with that visit's record and only counts in the totals. After you answer or close it, the browser keeps only the month, so it does not ask again for six months, and that month is never sent. With Global Privacy Control, Do Not Track or the button above, the question does not appear.
Since I do not know who you are, I usually cannot find your visits in the records. You can object to this counting with the button above, or write to me (see “Your rights” below).
Links to the brands that sponsor me
When you open the link of a brand that sponsors me, you go to a site that is not mine, with its own privacy policy. Only on a link to the brand's own website does the site add the gocarmo tag (the site, the sponsorship and the season); on other links (social networks, WhatsApp or link shorteners, for example), nothing. The brand's page learns that you came from gocarmo.com, as with any link.
Google Analytics, only if you accept
When the site asks whether it may use Google Analytics and you choose “Accept”, it starts counting visits: the pages and sections you see, where you came from (an Instagram link, for example), your type of device and browser, your approximate country and city, and the steps of a sponsorship request (opening it, choosing how to pay, sending it). It is only there so I can see what interests the people who visit.
It does not collect what you type in the form (brand, link, name, email, phone number, tax number, message). It is not used for advertising: Google signals and ad personalisation are switched off.
Until you accept, Google's code is not even loaded. If you decline, or if your browser asks sites not to track you (Global Privacy Control or Do Not Track), nothing is sent, even if you accepted before you switched that setting on.
The legal basis is your consent: Article 6(1)(a) GDPR and Article 5 of Portuguese Law 41/2004.
What stays in your browser
_ga, _ga_…
Google Analytics cookies, only after “Accept”. They tell a new visit from a returning one. They expire with your choice, six months after “Accept”.
gc.consent
Your choice about statistics. After six months the site asks again.
gc.lang
The language you picked.
gc.package.2027
The spots you added to your package.
gc.claim.draft
What you typed in the request (brand, link, name, email, phone number, tax number, message) and the logo, so nothing is lost if the page reloads. It goes when you tap “Done” or close the tab, and after six hours it is no longer used.
gc.claim.pending
That a request is on its way and has had no answer yet. It counts for 10 minutes at most and goes when you close the tab.
gc.claim.req
The number, brand, spots or race, how you will pay, total (with the mid-season discount, if any), day, time and last day of each request you made, so the same request is not sent twice and the confirmation comes back if the page reloads. It stops counting when the hold ends and goes when you close the tab.
That you have sent your request and at what time, how you will pay and whether WhatsApp opened, so the payment step and the confirmation come back if the page reloads. Until you close the tab.
gc.3d.up, gc.3d.lite, gc.3d.hp, gc.debug3d
Whether the 3D view is running and, after a failure, the version that worked on this device, so a reload does not repeat what failed. gc.debug3d is there only if you opened the diagnostics panel with ?debug3d. Until you close the tab.
gc.optout
That you asked for your visits not to be counted in this browser (“Don't count my visits”, under “Visit counting”). It stays until you choose “Count them again” or clear the site's data.
gc.fb
The month you answered or closed the quick question, so it does not appear again for six months. It is never sent.
gc.internal
Only on the devices of whoever runs the site, after opening the admin page: visits from that device are left out of the statistics.
Everything except the _ga cookies stays in your browser only. They do things you ask for, so they need no permission.
Google
Google Ireland Limited processes the statistics on my behalf, as a processor. Some of the data may go to servers in the United States: Google LLC is certified under the EU-US Data Privacy Framework, covered by the European Commission's adequacy decision of 10 July 2023 (Article 45 GDPR).
Google Analytics does not store your IP address. It uses it to work out your approximate location and then discards it.
How long, in Google Analytics
Detailed data stays in Google Analytics for 14 months and is then deleted. Totals, such as visits per month, may remain.
Sponsorship requests and messages
When you send a request, the site sends it to the booking service, which runs on Cloudflare. It carries the spots (or, for the whole suit at one race, the race, whether it takes the helmet and the brand's sector), the brand, the brand's link, if you give one, your name, your email, your phone number, your tax number, your message, how you will pay, the language, the app you picked for the message and the logo, as a PNG. The brand, your name, your email and your phone number are required, and so is the sector for the whole suit at one race; the link, the tax number and the message are not. The request's message carries the spots, the brand, your name, email and phone number and, if you add them, the brand's link, your tax number and your message.
The service holds the spots for 48 hours. When it does, it writes the brand, the last day of the hold and the request number in this site's public spots file. They stay there until the spot changes again, even after the hold ends. For the whole suit at one race, the service writes the race, whether it takes the helmet, the last day of the hold and the request number, never the brand. That file is on GitHub, which keeps the history of every change. If you buy, once I confirm the payment, the brand and the logo appear on the site and the logo links to the page you gave, if any (the link and the day of the sale go in the same public file). If you buy the whole suit at one race, the site shows that I race that race in your brand's suit.
Then the site writes the message and opens WhatsApp, email or Instagram, whichever you choose, and you send it yourself. The message reaches me through that service, which has its own privacy policy. If the booking service does not answer or cannot hold the spots, the request goes in that message only.
The booking service keeps the request and the logo for 180 days and then deletes them on its own. Only I can read them. Your name, email and phone number are for me to reply to you and arrange the sponsorship with you; your name and tax number are also for the donation receipt. I keep the message you send me by WhatsApp, email or Instagram for as long as I need it to handle the sponsorship and the receipts.
When I confirm the payment, I keep a record of the sponsorship in the same service: the brand, the brand's link, the spots and their prices (or the race, whether it takes the helmet, the brand's sector and the day I told the season sponsors), the amount and date of payment, the season and its period, the logo deadline, the renewal status, the contact you gave me (name, email and phone number and, if any, the app or Instagram account), your tax number (NIF) if you gave it, my notes, the language and the history of changes, and the request number. I keep the same record, entered by hand, for sponsorships agreed by email, WhatsApp or in kind. It is used to carry out the sponsorship, its deadlines and the renewal option. It is kept until 31 December of the year after the season (for the 2027 season, until 31 December 2028) and then deleted on its own. Only I can read it. I may export these records to a spreadsheet, as a backup that stays with me only and that I delete by the same date. The legal basis is carrying out the sponsorship (Article 6(1)(b) GDPR). The sponsorship confirmation I send you as a PDF is made on my phone, from that record.
The legal basis for the request is preparing and carrying out the sponsorship you ask for (Article 6(1)(b) GDPR). For receipts, it is tax law, which requires me to issue and keep them (Article 6(1)(c)).
The service does not keep your IP address, only a code made from it with a secret key. It is used to limit the requests from each address and to block people who send fake ones. It stays with the request until the purchase is confirmed, or until the request is deleted, and in the counters it is deleted after 30 days at most. The legal basis is the legitimate interest in protecting the bookings from abuse (Article 6(1)(f) GDPR).
Cloudflare, Inc. processes this data on my behalf, as a processor. It is based in the United States and certified under the EU-US Data Privacy Framework.
The logo you try on the suit or the helmet only leaves your device when you send it with your request.
The request confirmation, as a PDF or on screen, is made on your device and is not sent anywhere.
Supporters
When you give on GoFundMe, your data stays with GoFundMe, under its own privacy policy. As the organiser, I see the name and amount of each donation, and whether you chose not to appear in public.
In the Support section of this site, the sun-and-moon emblem fills up with the names of the people who support my season. If you gave under your name, I put it there in short form: your first name and the initial of your surname (for example, “Ana M.”). If you gave anonymously, your name never goes in and is not counted. If you supported me by bank transfer or MB WAY, your name only goes in if you ask me.
Only the name appears. Never the amount, the date, how you paid or the message you left, and the order is alphabetical: it has nothing to do with the amount or the day.
To add the names, I use the campaign's list of donations. I read it on my own device, and only the short names of the donations that are not anonymous leave it: amounts, dates and contact details stay out.
If you do not want to appear, or want to appear differently, write to allez@gocarmo.com. I do it the same day and within 7 days at most. If you are under 18, you or whoever has parental responsibility for you can ask in the same way.
The list of names is kept in a service of mine on Cloudflare, and the site shows it to whoever taps “See who backed me”. It is not on GitHub. When I take a name off, it leaves the list at once and the site within a few minutes. Cloudflare, Inc. processes it on my behalf, as a processor. Since the names are public, anyone can see them while they are up; I ask search engines not to keep them, but I cannot control copies made by others.
Visit counting does not record the names: a tap on the emblem counts only as a tap on the emblem.
The names for the 2027 season stay until 31 December 2028 and are then deleted on their own.
The legal basis is my legitimate interest in thanking the people who support my season in public, with the short name only and never those who chose to stay anonymous (Article 6(1)(f) GDPR). You can object whenever you like, and your name comes off.
Hosting
The site is hosted on GitHub Pages, run by GitHub, Inc., which logs visitors' IP addresses for security. The legal basis is the legitimate interest in keeping the site secure and running (Article 6(1)(f) GDPR). GitHub, Inc. is based in the United States and certified under the EU-US Data Privacy Framework.
Your rights
You can ask to see, correct or delete your data, object to its use, restrict it, or receive it in a format you can take elsewhere. You can withdraw your consent at any time, without affecting what was processed before. Write to allez@gocarmo.com. If you think something is wrong, you can complain to the Portuguese data protection authority (CNPD) at cnpd.pt.
Changing your choice
“Cookie settings”, at the bottom of the page, opens the notice again. If you decline after accepting, the Google Analytics cookies are deleted and sending stops straight away. You can also delete them in your browser settings.
Gonçalo Carmo