Lista de Subprocessadores
Atualizado em: <<EFFECTIVE_DATE>>
Esta página lista todos os subprocessadores de dados pessoais utilizados por <<COMPANY_NAME>> na operação do Portal da Obra, conforme exigido pelo art. 37 da LGPD (Lei nº 13.709/2018) e pela política de transparência adotada pela empresa.
1. Política de Adição de Subprocessadores
Aviso prévio de 30 dias (D-18.0-9): a adição de qualquer novo subprocessador que acesse dados pessoais de clientes da plataforma requer aviso prévio de 30 (trinta) dias a todos os administradores de conta, enviado por e-mail, antes da ativação do subprocessador. O aviso inclui:
- Nome e entidade legal do novo subprocessador;
- Finalidade do tratamento e categorias de dados transferidos;
- Região de processamento e, se aplicável, a base legal para transferência internacional (art. 33 da LGPD);
- Data prevista de ativação (não inferior a 30 dias após o aviso).
Administradores de conta que se opuserem à adição de um novo subprocessador podem entrar em contato com o DPO em <<DPO_EMAIL>> antes da data de ativação prevista.
2. Dados atuais em <<EFFECTIVE_DATE>>
Os dados abaixo refletem os subprocessadores ativos na data indicada. Para questões sobre esta lista ou para exercer direitos nos termos do art. 18 da LGPD, entre em contato com nosso DPO em <<DPO_EMAIL>>.
3. Tabela de Subprocessadores
| Subprocessador | Finalidade | Categorias de dados | Região | Base LGPD Art. 33 | Status DPA | Política de privacidade |
|---|---|---|---|---|---|---|
| AWS (RDS + S3 + Cognito) Amazon Web Services, Inc. |
Banco de dados, armazenamento de arquivos, autenticação | Identificação, financeiro, KYC, texto livre, comportamental, técnico, evidência de consentimento | Trans-fronteira us-east-1 (EUA) |
Art. 33 §II.b — cláusulas contratuais padrão (SCCs) sob AWS DPA | Pré-assinado (click-accept via AWS Artifact) | aws.amazon.com/privacy |
| AWS SES Amazon Web Services, Inc. |
Entrega de e-mails (QA e produção) | Identificação (endereço de e-mail do destinatário), conteúdo da notificação | Doméstico sa-east-1 (Brasil) |
N/A — processamento doméstico | Pré-assinado via AWS DPA | aws.amazon.com/privacy |
| Asaas Asaas Gestão Financeira Instituição de Pagamento S.A. |
Pagamentos digitais e verificação de identidade (KYC) | Identificação, financeiro, KYC (documentos de identidade e dados biométricos/documentais) | Doméstico Brasil |
N/A — processamento doméstico | Aditivo LGPD em negociação | asaas.com/politica-de-privacidade |
| Assinafy Assinafy (entidade jurídica — CNPJ a confirmar) |
Assinatura eletrônica de contratos | Identificação (nome, e-mail dos signatários), conteúdo do contrato, URLs de assinatura | Doméstico Brasil |
N/A — processamento doméstico | Aditivo LGPD em negociação | assinafy.com.br/politica-de-privacidade |
| AgentMail AgentMail, Inc. (EUA) |
Entrega de e-mails (ambiente local/dev exclusivamente) | Identificação (endereço de e-mail do destinatário), conteúdo do e-mail de desenvolvimento | Trans-fronteira EUA |
Art. 33 §II.b — SCCs sob DPA (em formalização) | Solicitação DPA enviada a privacy@agentmail.to — pendente | agentmail.to/privacy |
| Sentry Functional Software, Inc. (dba Sentry) |
Rastreamento de erros e monitoramento de desempenho (web + api) | Técnico (stack traces, User Agent, URL da requisição); pode incluir fragmentos de dados de usuário em mensagens de erro | Trans-fronteira EUA (ingest.sentry.io) |
Art. 33 §II.b — SCCs sob DPA Sentry (assinatura pendente — D-18.0-16) | Assinatura de DPA e configuração de DSN pendentes | sentry.io/privacy |
4. Transferências internacionais — Disclosure obrigatório
AWS us-east-1 (RDS + S3 + Cognito)
"Os dados pessoais armazenados em infraestrutura AWS são processados na região us-east-1 (Estados Unidos), constituindo transferência internacional regida pelo art. 33, §II, alínea 'b' da LGPD, mediante cláusulas contratuais padrão sob o Data Processing Agreement vigente com a Amazon Web Services, Inc."
AgentMail
"O endereço de e-mail e o conteúdo de e-mails enviados no ambiente local/dev são processados por AgentMail, Inc. nos Estados Unidos, constituindo transferência internacional regida pelo art. 33, §II, alínea 'b' da LGPD. A formalização do DPA com cláusulas contratuais padrão (SCCs) está em andamento junto a privacy@agentmail.to. O uso do AgentMail é restrito ao ambiente de desenvolvimento e não afeta dados pessoais de usuários em produção."
Sentry
"Dados técnicos (incluindo possíveis fragmentos de dados de usuário presentes em stack traces ou mensagens de erro) são transmitidos a Functional Software, Inc. (dba Sentry) nos Estados Unidos por meio do endpoint ingest.sentry.io, constituindo transferência internacional regida pelo art. 33, §II, alínea 'b' da LGPD. A assinatura do DPA Sentry com cláusulas contratuais padrão (SCCs) e a configuração do DSN estão pendentes (ação do operador D-18.0-16)."
5. Não vendemos seus dados
Não vendemos, alugamos nem cedemos seus dados pessoais a terceiros para fins publicitários ou de marketing de terceiros. Os subprocessadores listados acima recebem dados pessoais exclusivamente na medida necessária para as finalidades declaradas.
6. Contato
Para questões sobre esta lista de subprocessadores, para registrar uma objeção à adição de um novo subprocessador, ou para exercer seus direitos nos termos do art. 18 da LGPD, entre em contato com nosso DPO:
| Canal | Informação |
|---|---|
| E-mail do DPO | <<DPO_EMAIL>> (padrão: dpo@portaldaobra.com.br) |
| ANPD | Para reclamações perante a autoridade reguladora: www.gov.br/anpd |
Respondemos em até 15 dias a partir do recebimento da solicitação, nos termos do art. 19 da LGPD.
Subprocessor List
Last updated: <<EFFECTIVE_DATE>>
This page lists all personal data subprocessors used by <<COMPANY_NAME>> in the operation of Portal da Obra, as required by LGPD Art. 37 (Law No. 13,709/2018) and the transparency policy adopted by the company.
1. Subprocessor Addition Policy
30-day prior notice (D-18.0-9): the addition of any new subprocessor that accesses platform customer personal data requires 30 (thirty) days' prior notice to all account administrators, sent by email, before the subprocessor is activated. The notice includes:
- Name and legal entity of the new subprocessor;
- Purpose of processing and categories of data transferred;
- Processing region and, if applicable, the legal basis for international transfer (LGPD Art. 33);
- Planned activation date (no less than 30 days after the notice).
Account administrators who object to the addition of a new subprocessor may contact the DPO at <<DPO_EMAIL>> before the planned activation date.
2. Current data as of <<EFFECTIVE_DATE>>
The data below reflects active subprocessors as of the date indicated. For questions about this list or to exercise rights under LGPD Art. 18, please contact our DPO at <<DPO_EMAIL>>.
3. Subprocessor Table
| Subprocessor | Purpose | Data categories | Region | LGPD Art. 33 basis | DPA status | Privacy policy |
|---|---|---|---|---|---|---|
| AWS (RDS + S3 + Cognito) Amazon Web Services, Inc. |
Database, file storage, authentication | Identification, financial, KYC, free-text, behavioral, technical, consent evidence | Cross-border us-east-1 (USA) |
Art. 33 §II.b — standard contractual clauses (SCCs) under AWS DPA | Pre-signed (click-accept via AWS Artifact) | aws.amazon.com/privacy |
| AWS SES Amazon Web Services, Inc. |
Email delivery (QA and production) | Identification (recipient email address), notification content | Domestic sa-east-1 (Brazil) |
N/A — domestic processing | Pre-signed via AWS DPA | aws.amazon.com/privacy |
| Asaas Asaas Gestão Financeira Instituição de Pagamento S.A. |
Digital payments and identity verification (KYC) | Identification, financial, KYC (identity documents and biometric/documentary data) | Domestic Brazil |
N/A — domestic processing | LGPD addendum under negotiation | asaas.com/politica-de-privacidade |
| Assinafy Assinafy (legal entity — CNPJ TBC) |
Electronic contract signing | Identification (name, email of signatories), contract content, signing URLs | Domestic Brazil |
N/A — domestic processing | LGPD addendum under negotiation | assinafy.com.br/politica-de-privacidade |
| AgentMail AgentMail, Inc. (USA) |
Email delivery (local/dev environment only) | Identification (recipient email address), development email content | Cross-border USA |
Art. 33 §II.b — SCCs under DPA (pending formalization) | DPA request sent to privacy@agentmail.to — pending | agentmail.to/privacy |
| Sentry Functional Software, Inc. (dba Sentry) |
Error tracking and performance monitoring (web + api) | Technical (stack traces, User Agent, request URL); may include user data fragments in error messages | Cross-border USA (ingest.sentry.io) |
Art. 33 §II.b — SCCs under Sentry DPA (signature pending — D-18.0-16) | DPA signature and DSN configuration pending | sentry.io/privacy |
4. International transfers — Mandatory disclosure
AWS us-east-1 (RDS + S3 + Cognito)
"Personal data stored in AWS infrastructure is processed in the us-east-1 region (United States), constituting an international transfer governed by LGPD Article 33 §II.b, under standard contractual clauses pursuant to the Data Processing Agreement in effect with Amazon Web Services, Inc."
AgentMail
"The email address and email content sent in the local/dev environment are processed by AgentMail, Inc. in the United States, constituting an international transfer governed by LGPD Article 33 §II.b. The formalization of the DPA with standard contractual clauses (SCCs) is in progress with privacy@agentmail.to. AgentMail use is restricted to the development environment and does not affect personal data of production users."
Sentry
"Technical data (including possible user data fragments present in stack traces or error messages) is transmitted to Functional Software, Inc. (dba Sentry) in the United States via the ingest.sentry.io endpoint, constituting an international transfer governed by LGPD Article 33 §II.b. The signing of the Sentry DPA with standard contractual clauses (SCCs) and DSN configuration are pending (operator action D-18.0-16)."
5. We do not sell your data
We do not sell, rent, or share your personal data with third parties for advertising or third-party marketing purposes. The subprocessors listed above receive personal data solely to the extent necessary for the stated purposes.
6. Contact
For questions about this subprocessor list, to register an objection to the addition of a new subprocessor, or to exercise your rights under LGPD Art. 18, please contact our DPO:
| Channel | Information |
|---|---|
| DPO email | <<DPO_EMAIL>> (default: dpo@portaldaobra.com.br) |
| ANPD | For complaints to the regulatory authority: www.gov.br/anpd |
We respond within 15 days of receiving the request, pursuant to LGPD Art. 19.