Suboperadores

Este documento é publicado em vários idiomas. Em caso de divergência entre as versões, a versão em polonês é vinculante.

Versão 1.1 · Última atualização: 22 de outubro de 2026

Quais terceiros recebem dados em formexposed, para qual finalidade, onde e com qual base. Esta lista faz parte do Acordo de Tratamento de Dados como Anexo 3. Os suboperadores aprovados na acepção desse acordo são apenas os listados na seção 2; as seções 3 a 6 fornecem informações sobre outros destinatários e não constituem uma aprovação.

1. A resposta breve

Nós mesmos operamos os servidores, o banco de dados e a capacidade computacional, inclusive para o modelo de linguagem, na Polônia. Nenhum provedor de hospedagem, nuvem ou IA está envolvido. Suboperadores na acepção do Art. 28(2) e (4) do RGPD, ou seja, terceiros que tratam dados dos nossos Clientes em nosso nome, existem para apenas uma tarefa: e-mail.

Além disso, há destinatários que não são suboperadores. Ainda assim, nós os listamos aqui, separados pelo motivo, para que o quadro esteja completo:

• destinatários que tratam dados como controladores independentes (seção 3),
• destinatários que o Cliente escolhe ao solicitar o envio de alertas a eles (seção 4),
• consultas a terceiros que não contêm dados pessoais (seção 5).

2. Suboperadores

Destinatário e sede	Finalidade	Dados	Local de tratamento	Base para transferência
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Envio dos e-mails do serviço (confirmações, alertas, relatórios, relatórios mensais aos assinantes de um portal de clientes); caixa de e-mail da verificação de entrega	Endereços de e-mail dos destinatários, assunto e conteúdo dos e-mails. Na caixa de e-mail da verificação de entrega: cópias dos e-mails de formulário dos sites dos Clientes com tudo que os visitantes inserem neles, até que as processemos	Ainda a verificar	O acordo de tratamento de dados do provedor; se os dados vão para um país terceiro e com qual base ainda precisa ser verificado, veja a seção 7
Namecheap, Inc., Phoenix, Arizona, EUA	Registro dos domínios, DNS; até a configuração da caixa de e-mail em Namecheap, Inc. (Private Email), Phoenix, Arizona, USA, encaminhamento de e-mails gerais para endereços do nosso domínio. As cópias de controle da verificação de entrega não passam pela Namecheap; vão diretamente para a caixa de e-mail	Dados do domínio; para encaminhamento, conteúdo e cabeçalhos de e-mails gerais para nós, sem cópias de e-mails de formulário	EUA, a verificar	Adendo de Tratamento de Dados da Namecheap; cláusulas contratuais-padrão ou Quadro de Privacidade de Dados – a verificar, veja a seção 7

Se os dados de um Cliente tratados como operador chegam de fato a esses destinatários depende das suas configurações: sem a verificação de entrega, nenhum e-mail de formulário vai para eles; sem um portal de clientes, nenhum e-mail vai para seus assinantes. Forneceremos o ponto de contato de proteção de dados de cada suboperador mediante solicitação.

Não envolvidos: Nenhum terceiro está envolvido nas verificações, capturas de tela, credenciais para a verificação de áreas protegidas por login, fluxos de navegação ou “Fix it for me”. O modelo de linguagem é executado em nosso próprio servidor. Determinamos o país de um endereço IP a partir de um arquivo local de banco de dados; nenhum endereço vai para um serviço de geolocalização. Nosso provedor de internet apenas transmite o tráfego, em sua maior parte criptografado, e não é um suboperador.

3. Destinatários que atuam como controladores independentes

Destinatário e sede	Finalidade	Dados	Local	Base
Stripe Payments Europe, Ltd., Dublin, Irlanda; para transferências aos EUA, Stripe, Inc.	Processamento de pagamentos e faturas das contas de clientes	Endereço de e-mail, nome, endereço de cobrança, identificação de IVA, dados de pagamento (inseridos apenas na Stripe, nunca chegam a nós); do nosso lado, apenas o ID e o status do cliente e da assinatura	UE / EUA	Para dados de pagamento, a Stripe atua em grande parte como controlador independente; a distribuição exata dos papéis está a verificar. Transferência aos EUA: Quadro de Privacidade de Dados ou cláusulas contratuais-padrão – a verificar
Google Ireland Limited, Dublin, Irlanda; Google LLC, EUA	Proteção contra bots (reCAPTCHA) nos nossos próprios formulários: cadastro, login, senha, verificação gratuita, ferramenta de cabeçalhos, opt-out, suporte e contato	Endereço IP, dados do navegador e do dispositivo, comportamento na página, cookies do Google. O script é carregado apenas no envio. Não é executado nos sites dos Clientes	UE / EUA	Termos do Google; Quadro de Privacidade de Dados ou cláusulas contratuais-padrão – a verificar

Esses destinatários dizem respeito ao nosso próprio tratamento, não a dados tratados como operador. Os detalhes estão na Política de Privacidade.

4. Destinatários escolhidos pelo Cliente

Os alertas e resumos vão para onde o Cliente quiser: por e-mail (pelo prestador de serviços de e-mail da seção 2), para um endereço de webhook ou para um serviço de chat. As opções atuais são:

• Slack, Discord, Microsoft Teams e Google Chat por um endereço que o Cliente cria na sua conta nesse serviço;
• Telegram: um destino escolhido pelo Cliente; enviamos a mensagem pelo nosso bot depois que o próprio destinatário vincula o chat ao bot;
• webhooks para qualquer endereço HTTPS público na porta-padrão, assinados mediante solicitação.

Dados: domínio, evento, horário e um link para o serviço; para alertas sobre uma verificação, para seu relatório, que pode ser lido por esse link sem login; para webhooks, os mesmos detalhes em formato legível por máquina. Nenhum conteúdo de e-mails de formulário; um alerta da verificação de entrega pode mencionar o domínio de e-mail do remetente se ele não pertencer ao site.

Papel: Slack, Discord, Microsoft Teams, Google Chat e os destinatários de webhooks não são nossos suboperadores. A transferência ocorre apenas porque o Cliente configura o destino; isso constitui uma instrução do Cliente. Para Slack, Discord, Microsoft Teams, Google Chat e webhooks, a relação contratual com o respectivo provedor e qualquer base necessária para uma transferência a um país terceiro cabem ao Cliente. Para o Telegram, enviamos a mensagem pelo nosso próprio bot; aqui também, a escolha do destino é uma instrução expressa do Cliente para transferir os alertas a ele. Se o Telegram é nosso suboperador nesse aspecto e com qual base essa transferência ocorre ainda não foi definido de forma conclusiva e está em análise pelo nosso advogado. Caso o Telegram seja um suboperador, a escolha desse destino pelo Cliente é considerada sua autorização específica nos termos do Art. 28(2) do RGPD para essa finalidade. Vários desses provedores tratam dados nos EUA; o Telegram está sediado fora da UE, em um país sem decisão de adequação, e a base nos termos do Capítulo V do RGPD para a transferência ao Telegram ainda não foi definida de forma conclusiva. Quem não quiser isso deve escolher e-mail ou outro destino.

5. Consultas sem dados pessoais

Algumas funções consultam terceiros. Apenas nomes de domínio, endereços de servidores, valores de verificação ou números de versão são enviados, sem dados sobre Clientes ou visitantes. Portanto, esses terceiros não são suboperadores.

Destinatário	Finalidade	O que é enviado
Serviços RDAP dos registros de domínios, encontrados pelo diretório da IANA; para verificar a idade do domínio na verificação gratuita, pelo serviço de retransmissão rdap.org	Idade e expiração de um domínio	apenas o nome do domínio
WPVulnerability (wpvulnerability.net)	Vulnerabilidades de segurança conhecidas no WordPress, nas extensões e nos temas do WordPress	apenas o identificador de uma extensão ou tema, ou o número da versão do WordPress
Páginas de status de provedores que os Clientes usam (como serviços de CAPTCHA e e-mail)	Aviso de indisponibilidades nesses provedores	nada além da própria solicitação
Autoridades de carimbo do tempo Certum (Asseco Data Systems S.A., Polônia), alternativamente DigiCert, Inc. (EUA)	Carimbos do tempo para registros de evidências	apenas um valor de verificação (SHA-512) do registro, não seu conteúdo
Listas de bloqueio DNS contra spam: SpamCop, PSBL, Mailspike e SURBL (Spamhaus apenas com acesso próprio)	Verificar se um servidor de e-mail ou domínio de um Cliente está listado	domínios e endereços IP de servidores (servidores de e-mail, servidores web), sem dados pessoais de visitantes
Google Web Risk, apenas se configurado	Verificar se a página inicial de um Cliente está listada por malware ou phishing	apenas o endereço da página inicial
Telegram, notificações operacionais	Sinais ao operador em caso de indisponibilidades e novas solicitações de suporte	textos fixos sem remetente, conteúdo ou endereços
Autoridade certificadora para TLS	Emissão dos certificados dos nossos domínios	apenas nossos próprios nomes de domínio

6. Preparado, atualmente sem uso

O serviço pode solicitar a confirmação adicional de verificações no navegador e solicitações de formulário a partir de um segundo local independente. Atualmente, esse ponto de verificação não está configurado. Se um terceiro o operar posteriormente, ele será um suboperador e será anunciado antecipadamente de acordo com a seção 8. Receberia o domínio, a configuração sanitizada do fluxo de navegação e um ID de tarefa, mas nenhuma credencial nem dado de visitantes.

7. O que ainda está pendente

Esta lista é um rascunho anterior ao lançamento. Declaramos abertamente o que ainda não foi definido:

• Prestador de serviços de e-mail: Está previsto Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Onde o provedor trata os dados e com qual base eles podem ir para um país terceiro ainda precisa ser verificado. Ainda precisa ser documentado se o acordo de tratamento de dados do provedor foi aceito para esse uso, onde as caixas de e-mail realmente estão localizadas, quais outros suboperadores o provedor usa e qual módulo das cláusulas contratuais-padrão se aplica. O Adendo de Tratamento de Dados publicamente disponível, por si só, não comprova a celebração de um contrato. Até que isso esteja documentado, nenhum dado tratado como operador é enviado por esse provedor; portanto, isso deve ser definido antes do lançamento.
• Quadro de Privacidade de Dados: Não verificamos para esta versão se Namecheap, Stripe e Google estão certificados no Quadro de Privacidade de Dados UE-EUA para os serviços em questão. Portanto, não afirmamos isso; quando faltar certificação, aplicam-se cláusulas contratuais-padrão.
• Papel da Stripe para os dados individuais.
• Alertas do Telegram: a base para a transferência quando um Cliente escolhe o Telegram como destino e enviamos a mensagem pelo nosso bot.

8. Alterações nesta lista

Contratamos suboperadores com base na autorização geral do Acordo de Tratamento de Dados. Antes de um novo suboperador começar a tratar dados ou de um existente ser substituído, informamos os Clientes com pelo menos 30 dias de antecedência por e-mail ao endereço do titular da conta e anunciamos a alteração nesta página e na visão geral Alterações nos Documentos Contratuais. O aviso indica o destinatário, a sede, a finalidade, os dados, o local e a base para a transferência.

Dentro desse prazo, o Cliente pode se opor em forma textual por um motivo razoável de proteção de dados. Até que se encontre uma solução, não usaremos o novo suboperador para os dados do Cliente tratados como operador ou suspenderemos a função afetada para o Cliente. Se nenhuma solução puder ser encontrada, o Cliente poderá rescindir o contrato do serviço ou do componente de serviço afetado; reembolsaremos proporcionalmente quaisquer tarifas pagas antecipadamente pelo período após a rescisão. Os detalhes estão no Acordo de Tratamento de Dados. Somos responsáveis perante o Cliente pelos suboperadores como pelos nossos próprios atos.

Publicamos aqui alterações nas seções 3 a 5 que não dizem respeito a suboperadores com um novo número de versão, sem aviso prévio.

9. Estado e versão

• Versão 1.1 · Última atualização: 22 de outubro de 2026 · em caso de divergências entre as versões linguísticas, prevalece a versão em polonês em vez da alemã; nenhuma outra alteração.
• Versão 1.0 · Última atualização: 11 de outubro de 2026 · primeira versão como página separada; anteriormente, Anexo 3 do Acordo de Tratamento de Dados. Novidade: separação entre suboperadores, destinatários que atuam como controladores independentes, destinos escolhidos pelo Cliente e consultas sem dados pessoais; pontos pendentes expressamente indicados.
• Em caso de divergências entre as versões linguísticas, prevalece a versão em polonês.