Suboperadores

Última atualização: 2026-10-21. Lemos os acordos abaixo em 2026-10-04, lemos de novo em 2026-10-07 por causa das cláusulas da ANPD, lemos o da Stripe em 2026-10-07 e lemos o da AWS em 2026-10-21.

Se esta tradução divergir da versão em inglês, vale a versão em inglês.

Um suboperador é uma empresa que trata os dados dos seus contatos para nós. O acordo de tratamento de dados nos deixa usar os que estão nesta página. Antes de adicionarmos ou trocarmos um que trate os seus dados, avisamos por e-mail os donos do seu workspace com 30 dias de antecedência.

Cada um aparece com o que faz, o que recebe, onde trabalha e o que o acordo dele diz sobre a transferência de dados entre países. Quando um acordo não nomeia nenhum mecanismo, dizemos isso e não nomeamos nenhum. A Política de privacidade traz os mesmos fatos na seção 8.

O nosso acordo de tratamento de dados nos deixa repassar os dados dos seus contatos às empresas que estão sob o primeiro título, e só a essas (seção 9). Nenhuma delas assinou as cláusulas da ANPD conosco.

Empresas que podem tratar os dados dos seus contatos

netcup GmbH, Karlsruhe, Alemanha

O que faz por nós: aluga os servidores. Um roda o serviço e guarda o banco de dados dele. O outro é o nosso servidor de verificação de endereços.
O que recebe: tudo o que esses servidores guardam. Isso é o banco de dados, com os seus contatos, as mensagens e os logins das caixas de e-mail criptografados. No servidor de verificação, o endereço que está sendo verificado e os nomes dos servidores de e-mail do domínio dele, sem guardar cópia.
Onde trabalha: nos Estados Unidos.
O acordo dela: o acordo de tratamento de dados da netcup, feito no painel do cliente dela. Ele não nomeia nenhum mecanismo de transferência. Diz que o cliente decide onde os dados são tratados.

Cloudflare, Inc., Estados Unidos

O que faz por nós: responde o DNS dos nossos domínios, hospeda o console e este site como páginas estáticas e guarda as cópias de backup da noite.
O que recebe: as cópias de backup, que criptografamos com uma chave guardada offline antes de saírem do nosso servidor, então ela não consegue lê-las. No console e neste site, o endereço IP e os detalhes da requisição de quem carrega uma página. O tráfego para a nossa API vai direto para o nosso servidor, então nenhum dado de contato passa pela Cloudflare. Quando ligarmos a verificação de segurança do login (Turnstile), a Cloudflare também vai receber o endereço IP de quem a carregar.
Onde trabalha: na rede própria da Cloudflare. Não fixamos o bucket de backup em uma região.
O acordo dela: o adendo de tratamento de dados do cliente da Cloudflare, versão 6.4 de 3 de abril de 2026. Para as transferências do Espaço Econômico Europeu (EEE) que precisam, ele aplica as cláusulas-padrão contratuais da UE (Módulo Dois, ou Módulo Três quando o cliente é operador), com o adendo do Reino Unido e uma versão suíça. Diz também que a Cloudflare cumpre o Data Privacy Framework UE-EUA e tem as certificações Global CBPR e Global PRP. Não menciona as cláusulas da ANPD nem a LGPD. Os suboperadores da própria Cloudflare estão listados por ela.

MillionVerifier, Hungria

Empresa: GBD Software as a Service Private Limited Company, Lakitelek, Hungria.
O que faz por nós: diz se um endereço de e-mail consegue receber e-mail, para os endereços que o nosso servidor de verificação não consegue responder.
O que recebe: o endereço, mais nada. Ela o mantém no cache dela por até 7 dias, e nos backups dela até eles serem substituídos.
Onde trabalha: a empresa fica na Hungria. Ela faz as verificações em servidores e proxies de vários países, entre eles os Estados Unidos. A lista dela está nesta página.
O acordo dela: o acordo de tratamento de dados da MillionVerifier, publicado em 26 de agosto de 2026. Ele não nomeia nenhum mecanismo de transferência. Diz só que, quando uma transferência está sujeita ao Capítulo V do GDPR, a MillionVerifier usará o mecanismo de transferência legal exigido para ela, e que não assina nenhum acordo de transferência específico de um país, a menos que a lei também exija um para o tratamento que ela mesma faz. Não menciona as cláusulas da ANPD nem a LGPD.

Empresas que não recebem os dados dos seus contatos

Amazon Web Services, Inc. (Amazon SES), Estados Unidos

O que faz por nós: o serviço de e-mail dela, o Amazon SES, entrega os e-mails sobre a sua conta: links de login, redefinições de senha, alertas, avisos e os códigos que confirmam o endereço de uma caixa de e-mail. Os e-mails de campanha nunca passam por ele, e um e-mail de alerta nunca leva o endereço nem as palavras de um prospect.
O que recebe: o seu endereço, o seu nome e a própria mensagem. Os termos de serviço da AWS permitem que a AWS, ou empresas contratadas por ela, guarde e analise cada mensagem para barrar spam, phishing e vírus. Se um e-mail nosso para você der bounce permanente, ou se você marcá-lo como spam, o Amazon SES guarda o seu endereço numa lista da nossa conta, de endereços para os quais ele não envia mais nada, até que o tiremos de lá.
Onde trabalha: na região Leste dos EUA (Norte da Virgínia) da AWS, us-east-1, nos Estados Unidos. O acordo dela diz que, depois que o cliente escolhe uma região, a AWS não leva os dados para fora dela, a não ser para prestar o serviço ou para cumprir a lei ou uma ordem vinculante de uma autoridade.
O acordo dela: o adendo de tratamento de dados da AWS, que faz parte dos termos de serviço da AWS, atualizados pela última vez em 13 de outubro de 2026. O adendo aplica as cláusulas-padrão contratuais da UE só aos dados cobertos pelo GDPR que vão para um país fora do EEE sem decisão de adequação da Comissão Europeia: as cláusulas entre controlador e operador, ou entre dois operadores quando o cliente é operador. Elas não se aplicam se a AWS tiver adotado normas corporativas vinculantes ou outro padrão reconhecido para essas transferências. Os termos de serviço acrescentam um adendo do Reino Unido e um adendo suíço. Nenhum desses textos menciona as cláusulas da ANPD nem a LGPD. A página da AWS sobre a lei brasileira diz que ela oferece "um acordo de tratamento de dados que atende aos requisitos da LGPD" (no original, "a Data Processing Agreement that meets the requirements of LGPD"), mas não nomeia nenhum mecanismo para os dados que saem do Brasil. Por isso, não nomeamos nenhum.

Stripe

O que faz por nós: recebe o pagamento dos planos pagos.
O que recebe: de nós, só o id do workspace. Na página de pagamento dela, você informa o seu e-mail, o seu cartão e os seus dados de cobrança, que nunca chegam até nós. Ela nunca recebe os dados dos seus contatos.
Onde trabalha: o acordo dela envia os dados para a Stripe, LLC, nos Estados Unidos, e para as afiliadas e suboperadores da Stripe em outros países.
O acordo dela: o acordo de tratamento de dados da Stripe, atualizado pela última vez em 28 de setembro de 2026, que faz parte do contrato de serviços da Stripe, e o adendo de transferências de dados, atualizado pela última vez em 18 de novembro de 2025. O adendo nomeia o Data Privacy Framework, as cláusulas-padrão contratuais da UE, o adendo do Reino Unido para transferências internacionais de dados e uma versão suíça deles. A seção 11 dele aplica as cláusulas-padrão contratuais da ANPD aos dados que vão do Brasil para um país sem decisão de adequação da ANPD: o exportador é a parte do acordo com a Stripe, e o importador é a Stripe, LLC. Em parte do trabalho dela, a Stripe decide as finalidades por conta própria e, nesse caso, é controladora, não nossa operadora.

Não são suboperadores

Os seus provedores de e-mail (Google, Microsoft, Zoho Mail ou o servidor SMTP que você escolheu). Toda mensagem é enviada e recebida por eles, sob os termos deles. São os seus provedores, não os nossos.
O serviço de login e o banco de dados do Supabase, que nós mesmos rodamos no nosso próprio servidor. Nada sai do nosso servidor para eles.