Subcontratantes Ulteriores

Este documento é publicado em várias línguas. Em caso de divergência entre as versões linguísticas, prevalece a versão polaca.

Versão 1.1 · Última atualização: 22 de outubro de 2026

Que terceiros recebem dados no formexposed, para que finalidade, onde e com que fundamento. Esta lista faz parte integrante do Acordo de Tratamento de Dados como Anexo 3. Só são subcontratantes ulteriores aprovados na aceção desse acordo os enumerados na secção 2; as secções 3 a 6 prestam informações sobre outros destinatários e não constituem uma aprovação.

1. A resposta curta

Exploramos nós próprios, na Polónia, os servidores, a base de dados e a capacidade de computação, incluindo para o modelo de linguagem. Não intervém qualquer fornecedor de alojamento, de serviços de nuvem ou de IA. Os subcontratantes ulteriores na aceção do Art. 28(2) e (4) do RGPD, ou seja, terceiros que tratam dados dos nossos Clientes por nossa conta, existem apenas para uma tarefa: o e-mail.

Além disso, existem destinatários que não são subcontratantes ulteriores. Ainda assim, enumeramo-los aqui, separados pelo motivo, para que o quadro fique completo:

• destinatários que tratam dados enquanto responsáveis pelo tratamento independentes (secção 3),
• destinatários que o Cliente escolhe quando manda enviar para lá os alertas (secção 4),
• consultas a terceiros que não contêm dados pessoais (secção 5).

2. Subcontratantes ulteriores

Destinatário e sede	Finalidade	Dados	Local de tratamento	Fundamento da transferência
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Envio dos e-mails do serviço (confirmações, alertas, relatórios, relatórios mensais aos subscritores de um portal de clientes); caixa de correio da verificação de entrega	Endereços de e-mail dos destinatários, assunto e conteúdo dos e-mails. Na caixa de correio da verificação de entrega: cópias dos e-mails de formulário dos sítios web dos Clientes com tudo o que os visitantes aí introduzem, até as processarmos	Ainda a verificar	O acordo de tratamento de dados do fornecedor; se os dados vão para um país terceiro e com que fundamento está ainda a verificar, ver secção 7
Namecheap, Inc., Phoenix, Arizona, EUA	Registo dos domínios, DNS; até a caixa de correio em Namecheap, Inc. (Private Email), Phoenix, Arizona, USA estar configurada, reencaminhamento de e-mails gerais para endereços do nosso domínio. As cópias de controlo da verificação de entrega não passam pela Namecheap; vão diretamente para a caixa de correio	Dados do domínio; no reencaminhamento, conteúdo e cabeçalhos de e-mails gerais que nos são dirigidos, sem cópias de e-mails de formulário	EUA, a verificar	Data Processing Addendum da Namecheap; cláusulas contratuais-tipo ou Quadro de Privacidade de Dados – a verificar, ver secção 7

O facto de os dados tratados por conta de um Cliente chegarem ou não a estes destinatários depende das suas definições: sem a verificação de entrega, não são para lá enviados e-mails de formulário; sem portal de clientes, não são enviados e-mails aos respetivos subscritores. Mediante pedido, indicamos o ponto de contacto para a proteção de dados de cada subcontratante ulterior.

Não intervêm: nenhum terceiro intervém nas verificações, capturas de ecrã, credenciais para a análise por detrás do início de sessão, percursos no navegador ou no “Fix it for me”. O modelo de linguagem é executado no nosso próprio servidor. Determinamos o país de um endereço IP a partir de um ficheiro de base de dados local; nenhum endereço é enviado para um serviço de geolocalização. O nosso fornecedor de acesso à internet limita-se a transmitir o tráfego, na maior parte cifrado, e não é um subcontratante ulterior.

3. Destinatários que atuam como responsáveis pelo tratamento independentes

Destinatário e sede	Finalidade	Dados	Localização	Fundamento
Stripe Payments Europe, Ltd., Dublin, Irlanda; para transferências para os EUA, Stripe, Inc.	Processamento de pagamentos e faturas das contas de cliente	Endereço de e-mail, nome, endereço de faturação, número de IVA, dados de pagamento (introduzidos apenas na Stripe, nunca chegam até nós); do nosso lado, apenas o ID e o estado do cliente e da subscrição	UE / EUA	Relativamente aos dados de pagamento, a Stripe atua em grande medida como responsável pelo tratamento independente; a repartição exata de funções está a verificar. Transferência para os EUA: Quadro de Privacidade de Dados ou cláusulas contratuais-tipo – a verificar
Google Ireland Limited, Dublin, Irlanda; Google LLC, EUA	Proteção contra bots (reCAPTCHA) nos nossos próprios formulários: registo, início de sessão, palavra-passe, verificação gratuita, ferramenta de cabeçalhos, opt-out, apoio e contacto	Endereço IP, dados do navegador e do dispositivo, comportamento na página, cookies da Google. O script só é carregado no momento da submissão. Não é executado nos sítios web dos Clientes	UE / EUA	Termos da Google; Quadro de Privacidade de Dados ou cláusulas contratuais-tipo – a verificar

Estes destinatários dizem respeito ao nosso próprio tratamento e não a dados tratados enquanto subcontratante. Os pormenores constam da Política de Privacidade.

4. Destinatários escolhidos pelo Cliente

Os alertas e resumos vão para onde o Cliente pretender: por e-mail (através do fornecedor de serviços de correio eletrónico da secção 2), para um endereço de webhook ou para um serviço de chat. As opções atuais são:

• Slack, Discord, Microsoft Teams e Google Chat, através de um endereço que o Cliente cria na sua conta nesse serviço;
• Telegram: um destino escolhido pelo Cliente; enviamos a mensagem através do nosso bot depois de o próprio destinatário ter associado o chat ao bot;
• webhooks para qualquer endereço HTTPS público na porta padrão, assinados mediante pedido.

Dados: domínio, evento, hora e uma ligação para o serviço, no caso de alertas sobre uma verificação para o respetivo relatório, que pode ser lido através desta ligação sem início de sessão; nos webhooks, os mesmos dados em formato legível por máquina. Nenhum conteúdo de e-mails de formulário; um alerta da verificação de entrega pode indicar o domínio de e-mail do remetente, se este não pertencer ao sítio web.

Função: o Slack, o Discord, o Microsoft Teams, o Google Chat e os destinatários de webhooks não são nossos subcontratantes ulteriores. A transferência ocorre apenas porque o Cliente configura o destino; essa é a instrução do Cliente. No caso do Slack, do Discord, do Microsoft Teams, do Google Chat e dos webhooks, a relação contratual com o respetivo fornecedor e qualquer fundamento necessário para uma transferência para um país terceiro cabem ao Cliente. No caso do Telegram, enviamos a mensagem através do nosso próprio bot; também aqui, a escolha do destino constitui a instrução expressa do Cliente para transferir os alertas para esse destino. Se o Telegram é, a este respeito, nosso subcontratante ulterior e com que fundamento esta transferência se realiza ainda não foi definitivamente esclarecido e está a ser analisado pelo nosso advogado. Caso o Telegram seja um subcontratante ulterior, a escolha deste destino pelo Cliente é considerada autorização específica do Cliente nos termos do Art. 28(2) do RGPD para este efeito. Vários destes fornecedores tratam dados nos EUA; o Telegram tem sede fora da UE, num país sem decisão de adequação, e o fundamento nos termos do Capítulo V do RGPD com base no qual se realiza a transferência para o Telegram ainda não foi definitivamente esclarecido. Quem não o pretender escolhe o e-mail ou outro destino.

5. Consultas sem dados pessoais

Algumas funções consultam terceiros. Só são enviados nomes de domínio, endereços de servidores, valores de verificação ou números de versão, e nenhuns dados sobre Clientes ou visitantes. Estes terceiros não são, portanto, subcontratantes ulteriores.

Destinatário	Finalidade	O que é enviado
Serviços RDAP dos registos de domínios, encontrados através do diretório da IANA; para verificar a antiguidade do domínio na verificação gratuita, através do serviço intermediário rdap.org	Antiguidade e expiração de um domínio	apenas o nome de domínio
WPVulnerability (wpvulnerability.net)	Vulnerabilidades de segurança conhecidas no WordPress e em extensões e temas para WordPress	apenas o identificador de uma extensão ou de um tema, ou o número de versão do WordPress
Páginas de estado de fornecedores que os Clientes utilizam (como serviços de CAPTCHA e de correio eletrónico)	Aviso de indisponibilidades nesses fornecedores	nada além do próprio pedido
Entidades de carimbos temporais Certum (Asseco Data Systems S.A., Polónia), em alternativa DigiCert, Inc. (EUA)	Carimbos temporais para registos de prova	apenas um valor de verificação (SHA-512) do registo, e não o seu conteúdo
Listas de bloqueio DNS para spam: SpamCop, PSBL, Mailspike e SURBL (Spamhaus apenas com acesso próprio)	Verificação de se o servidor de correio ou o domínio de um Cliente está listado	domínios e endereços IP de servidores (servidores de correio, servidores web), sem dados pessoais de visitantes
Google Web Risk, apenas se configurado	Verificação da página inicial de um Cliente quanto a listagens por malware ou phishing	apenas o endereço da página inicial
Telegram, notificações operacionais	Sinais ao operador em caso de indisponibilidades e de novos pedidos de apoio	textos fixos sem remetente, conteúdo ou endereços
Autoridade de certificação para TLS	Emissão dos certificados para os nossos domínios	apenas os nossos próprios nomes de domínio

6. Preparado, atualmente não utilizado

O serviço pode mandar confirmar adicionalmente as verificações no navegador e os pedidos de formulário a partir de um segundo local independente. Este ponto de controlo não está atualmente configurado. Se for posteriormente operado por um terceiro, este será um subcontratante ulterior e será anunciado previamente nos termos da secção 8. Receberia o domínio, a configuração depurada do percurso no navegador e um ID de tarefa, mas nenhumas credenciais e nenhuns dados de visitantes.

7. O que ainda está em aberto

Esta lista é um projeto anterior ao lançamento. Dizemos abertamente o que ainda não foi resolvido:

• Fornecedor de serviços de correio eletrónico: está previsto Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Onde o fornecedor trata os dados e com que fundamento estes podem ir para um país terceiro está ainda a verificar. Ainda tem de ser documentado se o acordo de tratamento de dados do fornecedor foi aceite para esta utilização, onde se situam efetivamente as caixas de correio, que outros subcontratantes ulteriores o fornecedor utiliza e que módulo das cláusulas contratuais-tipo se aplica. O Data Processing Addendum publicamente disponível, por si só, não prova que tenha sido celebrado um contrato. Até isto estar documentado, nenhuns dados tratados enquanto subcontratante são enviados através deste fornecedor; a questão tem, por isso, de ser resolvida antes do lançamento.
• Quadro de Privacidade de Dados: não verificámos, para esta versão, se a Namecheap, a Stripe e a Google estão certificadas ao abrigo do Quadro de Privacidade de Dados UE-EUA para os serviços em causa. Por isso, não o afirmamos; na falta de certificação, aplicam-se cláusulas contratuais-tipo.
• Função da Stripe relativamente aos dados individuais.
• Alertas por Telegram: o fundamento da transferência quando um Cliente escolhe o Telegram como destino e enviamos a mensagem através do nosso bot.

8. Alterações a esta lista

Contratamos subcontratantes ulteriores com base na autorização geral constante do Acordo de Tratamento de Dados. Antes de um novo subcontratante ulterior começar a tratar dados ou de um existente ser substituído, informamos os Clientes com, pelo menos, 30 dias de antecedência por e-mail para o endereço do titular da conta e anunciamos a alteração nesta página e na visão geral Alterações aos Documentos Contratuais. A notificação indica o destinatário, a sede, a finalidade, os dados, a localização e o fundamento da transferência.

Dentro deste prazo, o Cliente pode opor-se por forma escrita por um motivo razoável relacionado com a proteção de dados. Até ser encontrada uma solução, não utilizaremos o novo subcontratante ulterior para os dados tratados por conta do Cliente ou suspenderemos a função afetada para o Cliente. Se não for possível encontrar uma solução, o Cliente pode rescindir o contrato relativo ao serviço ou à componente do serviço afetada; reembolsaremos proporcionalmente quaisquer montantes pagos antecipadamente relativos ao período posterior à rescisão. Os pormenores constam do Acordo de Tratamento de Dados. Respondemos perante o Cliente pelos subcontratantes ulteriores tal como pelos nossos próprios atos.

Publicamos aqui, com um novo número de versão e sem aviso prévio, as alterações às secções 3 a 5 que não digam respeito a subcontratantes ulteriores.

9. Estado e versão

• Versão 1.1 · Última atualização: 22 de outubro de 2026 · em caso de divergências entre as versões linguísticas, prevalece a versão polaca em vez da alemã; sem outras alterações.
• Versão 1.0 · Última atualização: 11 de outubro de 2026 · primeira versão como página separada; anteriormente Anexo 3 do Acordo de Tratamento de Dados. Novidades: separação em subcontratantes ulteriores, destinatários que atuam como responsáveis pelo tratamento independentes, destinos escolhidos pelo Cliente e consultas sem dados pessoais; pontos em aberto expressamente indicados.
• Em caso de divergência entre as versões linguísticas, prevalece a versão polaca.