Como ler esta página
Em resumo: subprocessador é uma empresa que a Vertia contrata e que pode tratar dados das lojas para nós prestarmos o serviço. Cada um assina contrato de proteção de dados.
A lista tem três partes:
- Subprocessadores: tratam dados dos clientes e criadores das lojas, em nome da Vertia e da loja. Valem as regras do Acordo de Tratamento de Dados.
- Fornecedores dos dados da sua conta: tratam só dados da conta do lojista, que a Vertia controla. Valem as regras da Política de Privacidade.
- Integrações que você escolhe: plataformas que você contrata diretamente e conecta à Vertia. Não são subprocessadores da Vertia.
O que fica no Brasil. O banco de dados, os arquivos, a aplicação e o envio dos e-mails das lojas ficam em São Paulo. Alguns fornecedores tratam dados nos EUA. A tabela diz quais e com qual mecanismo legal.
Subprocessadores
Em resumo: seis empresas tratam dados das lojas para a Vertia funcionar.
| Fornecedor | Finalidade | Dados tratados | Local | Mecanismo de transferência | Política |
|---|---|---|---|---|---|
| Supabase (Supabase Pte. Ltd.) | Banco de dados, arquivos, autenticação e e-mails de acesso (link mágico e confirmação de cadastro) | Todos os dados do serviço | Brasil: São Paulo (AWS sa-east-1). O suporte do fornecedor pode acessar de outros países | Dados guardados no Brasil. Acesso de fora: LGPD: cláusulas-padrão da ANPD em formalização; para dados da UE, cláusulas-padrão da UE e Adendo do Reino Unido no DPA do fornecedor | Privacidade · DPA |
| Vercel Inc. | Hospedagem do site e do app, execução das funções e recebimento de avisos das plataformas | Todos os dados em trânsito; registros técnicos das requisições | Funções no Brasil: São Paulo (gru1). Conta e registros técnicos nos EUA | LGPD: cláusulas-padrão da ANPD em formalização; para dados da UE, cláusulas-padrão da UE e adendo do Reino Unido no DPA do fornecedor | Privacidade · DPA |
| Trigger.dev (API Hero Ltd) | Tarefas em segundo plano: processar avisos das plataformas, importações, segmentação, envio de webhooks de saída e rotinas de retenção | Identificadores das tarefas; durante a execução, os dados da loja que a tarefa processa | EUA (AWS us-east-1, segundo o DPA do fornecedor) | LGPD: cláusulas-padrão da ANPD em formalização; para dados da UE, cláusulas-padrão da UE no DPA do fornecedor | Privacidade · DPA |
| Amazon Web Services (Amazon SES) | Envio dos e-mails das lojas e registro de entrega e abertura | E-mail do destinatário, conteúdo da mensagem, eventos de entrega (entregue, devolvido, reclamação, descadastro) e de abertura, com o endereço IP e o agente do programa de e-mail de quem abriu | Brasil: São Paulo (sa-east-1) | Dados guardados na região escolhida. Acesso de fora: LGPD: cláusulas-padrão da ANPD em formalização; para dados da UE, cláusulas-padrão da UE no DPA da AWS | Privacidade · Proteção de dados |
| Resend | E-mails do produto: convites, avisos ao lojista e acesso à conta | E-mail e nome de quem recebe e o conteúdo do aviso. Os avisos de pedido de privacidade não levam nome nem contato do cliente | EUA (dados da conta, registros e metadados) | LGPD: cláusulas-padrão da ANPD em formalização; para dados da UE, Data Privacy Framework e cláusulas-padrão da UE no DPA do fornecedor | Privacidade · DPA |
| Sentry (Functional Software, Inc.) | Registro de erros do app e das tarefas | Pilha de chamadas e identificadores técnicos (loja, requisição, tarefa). Sem nome, e-mail, IP, cookies ou conteúdo, por configuração | EUA | LGPD: cláusulas-padrão da ANPD em formalização; para dados da UE, Data Privacy Framework, com cláusulas-padrão da UE (módulos 2 e 3) e Adendo do Reino Unido de reserva | Privacidade · DPA |
Fornecedores dos dados da sua conta
Em resumo: estes fornecedores só veem dados do lojista e da equipe dele, não dos clientes da loja.
| Fornecedor | Finalidade | Dados tratados | Local | Mecanismo de transferência | Política |
|---|---|---|---|---|---|
| "Continuar com Google" no login do lojista, quando você escolhe essa opção | Nome e e-mail da sua conta Google | Servidores do Google em vários países | Você usa a sua conta Google, nos termos que tem com o Google | Privacidade | |
| BrasilAPI | Preencher o endereço da loja a partir do CEP, só no Brasil | O CEP digitado e o endereço IP do seu navegador, que faz a consulta | Não informado pelo serviço | Consulta feita pelo seu navegador a um serviço público e gratuito | O serviço não publica política de privacidade |
Cobrança. Lojas na Shopify pagam a Vertia pela própria Shopify (Shopify Billing). Os dados de pagamento ficam com a Shopify; a Vertia não recebe número de cartão.
Integrações que você escolhe
Em resumo: a sua plataforma de loja e a Meta são contratadas por você. A Vertia troca dados com elas por sua instrução, mas não são subprocessadores nossos.
| Plataforma | O que a Vertia faz com ela | Papel | Política |
|---|---|---|---|
| Shopify | Lê clientes, pedidos, descontos e produtos; cria descontos (os cupons dos criadores); recebe os pedidos de privacidade da loja | Você contrata a Shopify. Ela é responsável pelos dados que trata, nos termos dela | Privacidade |
| Nuvemshop | Lê clientes, pedidos e produtos; cria cupons; recebe os pedidos de privacidade da loja | Você contrata a Nuvemshop. Ela é responsável pelos dados que trata, nos termos dela | Privacidade |
| Meta (WhatsApp Cloud API) | Envia mensagens de WhatsApp pela sua conta do WhatsApp Business e recebe status e respostas. A Vertia atua como Tech Provider | A conta e o número são seus, e a Meta cobra as conversas direto de você. No Cloud API, a Meta trata as mensagens como operadora da sua empresa, nos termos que você aceita com ela | Termos de tratamento de dados do WhatsApp Business |
Por que a Meta está aqui e não na tabela de subprocessadores. O mercado não é unânime. Alguns fornecedores listam a Meta como subprocessador; outros a tratam como empresa independente que o cliente conecta. Seguimos o que a própria Meta diz: no Cloud API, ela é operadora da empresa dona da conta do WhatsApp Business, que é você, e o contrato é entre você e ela. Por isso a deixamos nesta lista, com o papel explicado, para que você saiba que os dados das mensagens passam por ela. Pela documentação da Meta, as mensagens ficam guardadas por até 30 dias, nos centros de dados dela.
Como avisamos mudanças
Em resumo: antes de incluir ou trocar um subprocessador, avisamos por e-mail com 15 dias de antecedência. Você pode se opor.
- Assinar os avisos. Escreva para privacidade@usevertia.com com o assunto "Assinar avisos de subprocessadores", a partir do e-mail que deve recebê-los. Para cancelar, use o assunto "Cancelar avisos de subprocessadores".
- Prazo. Atualizamos esta página e enviamos o aviso pelo menos 15 dias antes de o novo subprocessador começar a tratar dados.
- Objeção. Dentro desses 15 dias, responda ao aviso explicando o motivo. A seção 8 do Acordo de Tratamento de Dados diz o que acontece depois.
- Urgência. Se uma troca precisar ser imediata, para proteger os dados ou manter o serviço no ar, avisamos assim que possível, e o direito de objeção continua valendo.
- Remoção. Quando um fornecedor sai da lista, atualizamos a página e a data no topo.