Este documento lista os subprocessadores utilizados pelo Fornecedor para prestar a Plataforma, a finalidade de cada um, os dados tratados e o processo de aviso prévio e objeção a mudanças. Integra o Adendo de Processamento de Dados (DPA) e a Política de Privacidade por referência. É um modelo base e não constitui aconselhamento jurídico — o fork deve substituir os papéis abaixo pelos fornecedores efetivamente contratados antes do primeiro deploy em produção.
1. O que é um subprocessador
Subprocessador é um terceiro que trata dado pessoal do Controlador em nome do Fornecedor, para viabilizar uma função específica da Plataforma. Esta lista nomeia o papel de cada subprocessador (a função que ele cumpre), não trava o fork em um fornecedor específico — o scaffold usa abstrações plugáveis (driver por variável de ambiente) precisamente para permitir trocar o fornecedor por trás de cada papel sem mudar o contrato com o Cliente.
2. Lista de subprocessadores
| Papel | Finalidade | Dados tratados | País |
|---|---|---|---|
| Gateway de pagamento (ex.: Stripe, quando habilitado por variável de ambiente) | Processar cobrança, gerenciar assinatura e emitir fatura | Dados de billing (plano, ciclo, identificador de cliente no gateway) — sem dado de cartão armazenado pelo Fornecedor | A definir pelo fork, conforme o gateway contratado |
| Provedor de modelo de inteligência artificial (via OpenRouter ou Chave BYOK do próprio Cliente) | Executar funcionalidades de IA (assistente conversacional, ferramentas, servidor MCP) | Prompts e conteúdo enviado à IA pelo Cliente | A definir pelo fork, conforme o(s) provedor(es) de modelo contratado(s) |
| Provedor de armazenamento de objetos compatível com S3 | Armazenar arquivo carregado pelo tenant | Arquivos do Cliente e metadado associado | TODO: sa-east-1 (TODO: Provedor de nuvem) |
| Provedor de email transacional | Entregar notificação, convite e comunicação operacional por email | Endereço de email e conteúdo da notificação | A definir pelo fork, conforme o provedor de email contratado |
| Provedor de hospedagem de banco de dados e aplicação | Hospedar a infraestrutura onde todos os dados da Plataforma residem em repouso | Todos os dados tratados pela Plataforma, em repouso | TODO: sa-east-1 (TODO: Provedor de nuvem) |
Cada linha reflete uma categoria de subprocessador que o scaffold já integra por padrão. O fork deve revisar e completar o país de cada papel conforme o fornecedor efetivamente contratado, especialmente quando isso implicar transferência internacional de dado — ver Transferência Internacional.
3. Aviso prévio de novo subprocessador ou de mudança
Antes de contratar um novo subprocessador, ou de trocar o fornecedor por trás de um papel já listado, o Fornecedor notifica o Cliente com antecedência mínima de 30 dias, pelo canal de inscrição descrito na Seção 5.
4. Objeção do Cliente
O Cliente tem 30 dias, contados do aviso prévio, para apresentar objeção fundamentada a um novo subprocessador — por exemplo, com base em preocupação de segurança ou de conformidade legal específica e razoável. Apresentada a objeção dentro do prazo:
- As partes buscam, de boa-fé, uma solução alternativa (ex.: manter o subprocessador anterior para aquele Cliente, quando tecnicamente viável).
- Não havendo acordo, o Cliente pode rescindir a parte do contrato afetada pelo subprocessador objetado, sem multa e com reembolso pro-rata do valor já pago pelo período não utilizado.
Ausência de objeção dentro do prazo é interpretada como aceite do novo subprocessador ou da mudança.
5. Canal de inscrição para receber avisos
O Cliente pode acompanhar mudanças nesta lista por:
- feed
/legal/subprocessors/feed.xml(assinatura via leitor de feed); e/ou - lista de email de aviso, mediante inscrição pelo canal TODO: juridico@exemplo.com.br.
6. Contato
Dúvidas sobre subprocessadores: TODO: juridico@exemplo.com.br ou TODO: privacidade@exemplo.com.br.