Quem processa os seus dados
Todos os subcontratantes ulteriores que utilizamos, a sua finalidade e a jurisdição a que respondem. Esta lista é compilada a partir do nosso código‑fonte, pelo que não pode divergir silenciosamente daquilo que efetivamente executamos.
Última atualização: 2026-08-02
Gerado a partir do nosso registo de subcontratantes ulteriores, não é mantido manualmente: um novo fornecedor não pode ser adicionado silenciosamente e a nossa compilação falha se o código contactar um processador de dados que não esteja aqui divulgado.
Os nossos subcontratantes ulteriores
Estas empresas processam dados pessoais em nosso nome. O armazenamento, a geração e os vetores de pesquisa são executados em centros de dados na UE. Vários dos fornecedores abaixo estão constituídos fora do Espaço Económico Europeu ou têm uma empresa‑mãe nessa situação, sendo cada uma dessas linhas assinalada: a jurisdição refere‑se ao local onde uma empresa pode ser legalmente obrigada, o que é uma questão distinta da localização física dos dados. Cada linha indica a base de transferência aplicável e quem, por sua vez, esse fornecedor contrata.
Subcontratante ulterior
Jurisdição
Base de transferência
Estado
Mistral AI SAS
Geração de LLM: respostas de chat, planeamento, ciclo de agente, visão e moderação de inputs. O único fornecedor de geração; não existe alternativa fora da UE.
Os prompts incluem consultas do utilizador e excertos de documentos recuperados. As definições de retenção zero e exclusão de treino são configuradas ao nível da conta com este fornecedor, não por pedido, pelo que são registadas aqui em vez de serem afirmadas em cada chamada.
Com quem trabalham por sua vez
- Mistral Compute (FR): Infraestrutura cloud para todos os produtos. O seu próprio braço de computação, em vez de uma entidade externa.
- Microsoft Inc. (país não indicado por eles): Infraestrutura cloud. Processamento indicado na Suécia e Noruega.
- Google LLC (país não indicado por eles): Infraestrutura cloud. Processamento indicado nos Países Baixos, Bélgica e Estados Unidos.
- CoreWeave Inc. (país não indicado por eles): Fornecedor de inferência. Processamento indicado no EEE.
- Cloudflare Inc. (país não indicado por eles): Segurança e encaminhamento de tráfego. Processamento indicado a nível mundial.
Their disclosure lists 24 parties, several scoped to products we do not use. Recorded here are the infrastructure and inference providers whose stated scope covers the API. Their page states processing regions rather than countries of incorporation, so those regions are given in each purpose and jurisdiction is left unstated.
De acordo com a sua própria divulgação, verificado a 2026-07-31
Jurisdição
FR
eu-west (França)
Base de transferência
UE apenas, sem transferência para países terceiros
Estado
AtivoJina AI GmbH
Matriz: Elastic N.V. (US)
Embeddings de texto e reranking para recuperação.
Recusado para dados de clientes desde 31 de julho de 2026: a plataforma não será iniciada em produção com este fornecedor configurado para embeddings, pelo que não processará conteúdo de clientes. Mantém‑se listado porque as credenciais ainda são lidas em desenvolvimento, e permanece como predefinição de desenvolvimento até que a substituição na UE esteja implementada: modelos de embedding e reranking que alojamos nós próprios em hardware da UE, ou uma API gerida sob jurisdição da UE.
Ainda não está definido. Não confirmámos quais os subcontratantes ulteriores que este fornecedor utiliza.
Jurisdição
DE
eu-central (Berlim)
Base de transferência
Em análise
Sujeito a jurisdição fora da UE
Estado
AtivoSupabase, Inc.
Armazenamento primário: Postgres (documentos, fragmentos, embeddings, tenants), autenticação e armazenamento de objetos predefinido.
A ser substituído pelo nosso próprio Postgres e armazenamento de objetos em hardware da UE. Essa migração ainda não começou; até ser concluída, este fornecedor mantém o corpus de documentos.
Com quem trabalham por sua vez
- Amazon Web Services, Inc (país não indicado por eles): Alojamento.
- Cloudflare, Inc (país não indicado por eles): Alojamento.
- Google, LLC (país não indicado por eles): Alojamento.
- Fly.io, Inc (país não indicado por eles): Alojamento.
- Upstash, Inc (país não indicado por eles): Alojamento de dados serverless. Também é um subcontratante ulterior nosso por direito próprio.
- Vercel, Inc (país não indicado por eles): Alojamento. Também é um subcontratante ulterior nosso por direito próprio.
Their list is dated 1 June 2026 and names 19 parties without stating any country, so no jurisdiction is recorded for any of them. Recorded here are the six hosting providers; the remainder are their own support, sales and analytics tooling.
De acordo com a sua própria divulgação, verificado a 2026-07-31
Jurisdição
US
aws eu-west-1 (Irlanda)
Base de transferência
Em análise
Sujeito a jurisdição fora da UE
Estado
AtivoUpstash, Inc.
Redis: limitação de taxa da API, revogação de sessões, cache de embeddings e deteção de viagens impossíveis.
A ser substituído por uma cache que alojamos nós próprios em hardware da UE. Essa migração ainda não começou; até estar concluída, este fornecedor assegura a camada de limitação de taxa e cache.
Com quem trabalham por sua vez
- Amazon Web Services (US): Fornecedor de cloud.
- Google (US): Fornecedor de cloud.
- Cloudflare, Inc. (US): Serviços de cloud.
- Humio (CrowdStrike Falcon LogScale) (DK): Registo de logs.
Their document states an address per party, used here as the jurisdiction. Several entries are scoped to products of theirs we do not use; those are excluded. Recorded here are the providers that could sit under the Redis service we consume.
De acordo com a sua própria divulgação, verificado a 2026-07-31
Jurisdição
US
A região não está fixada no código e não foi comprovada a região de implementação desta base de dados pelo fornecedor. Contém endereços IP e identificadores de sessão, pelo que não é possível responder ao Art. 30.º, n.º 1, alíneas d) e e).
Base de transferência
Em análise
Sujeito a jurisdição fora da UE
Estado
AtivoCloudflare, Inc.
DNS. O domínio principal também está atualmente a ser proxy‑reverso, pelo que a Cloudflare termina o TLS para o mesmo.
A nossa postura definida é apenas DNS, o que deixaria este fornecedor a tratar da resolução de nomes, mas não do conteúdo dos pedidos. O domínio principal ainda está a ser proxy, pelo que atualmente termina o TLS e vê os corpos dos pedidos. Esta linha indica o que é verdadeiro agora, não o estado final pretendido.
Com quem trabalham por sua vez
- Amazon Web Services (AWS) (país não indicado por eles): Produto de Segurança de Email. Processamento indicado como Estados Unidos e EEE.
- Google LLC (país não indicado por eles): Plataforma de Desenvolvimento, Gateway de Confiança Zero e IA. Processamento indicado como EEE, Estados Unidos, Austrália e Índia.
- Oracle America, Inc. (país não indicado por eles): Plataforma de Desenvolvimento e Cache Reserve. Processamento indicado como Estados Unidos, EEE, Reino Unido, Japão, Austrália, Canadá e Singapura.
- CoreWeave, Inc. (país não indicado por eles): Workers IA. Processamento indicado como Estados Unidos.
- Nebius BV (país não indicado por eles): Workers IA. Processamento indicado como Inglaterra.
Their list is dated 1 October 2025 and states processing regions rather than countries of incorporation, so regions are given in each purpose. It also names 16 of their own group affiliates, which are not recorded here as external parties. Every entry below is scoped by them to a specific product; none is stated to apply to DNS.
De acordo com a sua própria divulgação, verificado a 2026-07-31
Jurisdição
US
edge global (anycast)
Base de transferência
Em análise
Sujeito a jurisdição fora da UE
Estado
AtivoFunctional Software, Inc.
Monitorização de erros e desempenho da aplicação.
A ingestão na UE está imposta no código: o cliente falha de forma fechada em vez de enviar para um ponto final fora da UE, pelo que os eventos de erro, spans e logs são armazenados em Frankfurt. No entanto, a Sentry armazena metadados operacionais e da conta nos EUA independentemente da região selecionada (check‑ins de cron, definições da organização e registos de auditoria, metadados do projeto, chaves DSN, tokens de acesso, dados de utilização) e armazena verificações de uptime em ambas as regiões. Nenhum destes dados contém dados pessoais de clientes, pelo que não há transferência ao abrigo do Capítulo V a partir dessa parte; no entanto, trata‑se de um resíduo de armazenamento nos EUA por parte deste fornecedor, e, tal como o resíduo de retenção acima referido, será encerrado na transição para o 0F Bugsink, quando o rastreio de erros, o heartbeat de cron e as verificações de uptime passarem para infraestrutura que alojamos nós.
Com quem trabalham por sua vez
- Amazon Web Services, Inc. (país não indicado por eles): Infraestrutura de cloud. Processamento indicado como UE e Estados Unidos.
- Cloudflare, Inc. (país não indicado por eles): Infraestrutura na nuvem. Processamento indicado como UE e Estados Unidos.
- Google LLC (país não indicado por eles): Infraestrutura na nuvem. Processamento indicado como UE e Estados Unidos.
Their list is version 2.3.0 dated 1 June 2026 and states processing regions rather than countries of incorporation. Recorded here are the three cloud providers; the remainder are their email, support and group affiliates.
De acordo com a sua própria divulgação, verificado a 2026-07-31
Jurisdição
US
ingest.de.sentry.io (Alemanha), Região dos EUA (Iowa) para metadados operacionais e da conta armazenados fora da região selecionada, independentemente da definição (check‑ins de cron, definições da organização e registos de auditoria, metadados do projeto, chaves DSN, tokens, dados de utilização); as verificações de uptime são armazenadas em ambas as regiões. Sem dados pessoais de clientes.
Base de transferência
Em análise
Sujeito a jurisdição fora da UE
Estado
AtivoSendinblue SAS (Brevo)
E‑mails transacionais (notificações, mensagens da conta).
Inativo até ser provisionada a BREVO_API_KEY.
Com quem trabalham por sua vez
- Google Cloud Platform (FR): Hospedagem. Servidores indicados como Bélgica.
- Scaleway (Iliad) (FR): Hospedagem. Servidores indicados como França.
- OVH (FR): Hospedagem. Servidores indicados como França.
- Hetzner Online GmbH (DE): Hospedagem. Servidores indicados como Alemanha. Também é um subcontratante ulterior nosso por direito próprio.
- Cloudflare (US): CDN e WAF. Servidores indicados como Estados Unidos e UE.
Their DPA annex separates infrastructure sub-processors from the rest and states a registered office for each, used here as the jurisdiction. Recorded here is that infrastructure section.
De acordo com a sua própria divulgação, verificado a 2026-07-31
Jurisdição
FR
eu-west (França)
Base de transferência
UE apenas, sem transferência para países terceiros
Estado
AtivoHetzner Online GmbH
Armazenamento de objetos compatível com S3 para bytes de ficheiros brutos.
Contratado apenas quando STORAGE_PROVIDER=s3; o fornecedor de armazenamento predefinido é o Supabase.
Com quem trabalham por sua vez
- Hetzner Finland Oy (FI): Aluguer de instalações e suporte técnico.
- Hetzner US LLC (US): Aluguer de servidores para o seu site nos EUA. (serve regiões que não utilizamos, segundo a sua divulgação)
- NTT Global Data Centers Americas, Inc. (US): Colocação para o seu site nos EUA. (serve regiões que não utilizamos, segundo a sua divulgação)
- QTS Investment Properties Hillsboro, LLC (US): Colocação para o seu site nos EUA. (serve regiões que não utilizamos, segundo a sua divulgação)
- Hetzner Singapore Pte. Ltd. (SG): Aluguer de servidores para o seu site em Singapura. (serve regiões que não utilizamos, segundo a sua divulgação)
- NTT Global Data Centers SG1 Pte Ltd (SG): Colocação para o seu site em Singapura. (serve regiões que não utilizamos, segundo a sua divulgação)
Their annex is version 1.0 dated 6 August 2024 and names six parties, all of them infrastructure, with a location for each. They state that data on EU-located servers is processed exclusively within the EU; the non-EU entities below serve their US and Singapore sites, which we do not use.
De acordo com a sua própria divulgação, verificado a 2026-07-31
Jurisdição
DE
nbg1 (Nuremberga)
Base de transferência
UE apenas, sem transferência para países terceiros
Estado
AtivoVercel Inc.
Hospedagem da aplicação e tarefas agendadas (alvo de implementação atual).
A ser substituído por alojamento de aplicações que gerimos nós próprios em hardware da UE. Esta migração ainda não começou; até estar concluída, este fornecedor disponibiliza a aplicação.
Com quem trabalham por sua vez
- Amazon Web Services, Inc. (US): Alojamento, armazenamento e IA generativa.
- Google LLC (US): Computação em nuvem, armazenamento e IA generativa.
- Microsoft Corporation (US): Alojamento, armazenamento e IA generativa.
- Upstash, Inc. (US): Armazenamento serverless. É também um subcontratante ulterior nosso por direito próprio.
- Neon (US): Armazenamento serverless.
- Redis Labs, Inc. (US): Registo em tempo real e segurança.
Their list names 28 parties with a location each, used here as the jurisdiction. Recorded here are the six providing hosting or storage; the remainder are their monitoring, support and AI-feature vendors.
De acordo com a sua própria divulgação, verificado a 2026-07-31
Jurisdição
US
edge global
Base de transferência
Em análise
Sujeito a jurisdição fora da UE
Estado
AtivoSujeito a jurisdição fora da UE
Esta empresa, ou a sua empresa‑mãe, está constituída fora do EEE, pelo que pode estar sujeita a processos legais obrigatórios estrangeiros, mesmo que os dados estejam alojados na UE.
Alterações e o seu direito de oposição
Damos um pré‑aviso de, pelo menos, 30 dias antes de um novo subcontratante ulterior começar a processar os seus dados, podendo opor‑se. Cada registo indica a data de início, não a data em que editámos esta página.
Legível por máquina
Esta lista é compilada a partir de um registo no nosso repositório de código, pelo que é atualizada quando o código é modificado, e não apenas quando alguém se lembra de editar uma página. O mesmo registo é publicado em formato JSON no endereço abaixo. Inclui todas as entradas com o respetivo estado, desde adições planeadas durante o período de aviso até fornecedores removidos, permitindo comparar qualquer alteração com uma versão anterior, em vez de aceitar as mudanças sem verificação.
/api/trust/subprocessors