Subcontratantes (sub-processadores)
Última atualização: 22 de agosto de 2026 · Versão 1.3
Esta página lista, com transparência, as entidades terceiras que tratam dados pessoais em nome da AlinhaObra na prestação do serviço (sub-processadores, na aceção do artigo 28.º do RGPD). Complementa a nossa Política de Privacidade.
Todos os sub-processadores estão vinculados por um acordo de tratamento de dados (DPA). Os que alojam os dados do serviço — base de dados, aplicação e monitorização — foram selecionados de modo a manter os dados pessoais dentro do Espaço Económico Europeu (EEE). Há duas exceções, ambas identificadas em separado na secção 2: o envio de email e a entrega de notificações para o seu dispositivo.
1. Sub-processadores atuais
| Entidade | Finalidade | Localização dos dados | DPA |
|---|---|---|---|
| Supabase | Base de dados, autenticação e armazenamento de ficheiros. | União Europeia (Irlanda — EEE) | supabase.com/legal/dpa |
| Vercel | Alojamento da aplicação e encaminhamento de pedidos. | Infraestrutura na União Europeia | vercel.com/legal/dpa |
| Mistral AI | Modelos de linguagem para as funcionalidades de inteligência artificial. Só é contactado se a empresa tiver a IA activada, e os dados identificáveis dos clientes são substituídos por marcadores antes de qualquer envio. | União Europeia (França — EEE) | legal.mistral.ai |
| Sentry | Monitorização de erros e estabilidade. Não capta endereços IP nem o corpo dos pedidos; o texto sensível é removido antes do envio. | União Europeia (Frankfurt — EEE) | sentry.io/legal/dpa |
2. Tratamentos fora do EEE
2.1. Envio de email
O envio de email transacional — avisos de subscrição e lembretes de pagamento aos seus clientes — é feito pela Resend. Os emails do domínio da AlinhaObra são encaminhados a partir da Irlanda, mas o conteúdo das mensagens, os registos de entrega e os metadados ficam armazenados nos Estados Unidos, independentemente da região de envio. É uma limitação do serviço, não uma opção de configuração, e por isso está aqui e não na tabela acima.
| Entidade | Finalidade | Localização dos dados | Salvaguarda |
|---|---|---|---|
| Resend | Envio de email transacional. Recebe o endereço e o nome do destinatário e o conteúdo da mensagem — que, nos lembretes de pagamento, inclui a descrição e o valor em dívida. | Encaminhamento na Irlanda (EEE); conteúdo e registos nos Estados Unidos da América | DPA com Cláusulas Contratuais-Tipo, e EU–US Data Privacy Framework |
Guardamos o destinatário, o assunto e o estado de cada envio para efeitos de auditoria e para não repetir o mesmo email. O corpo das mensagens não é guardado do nosso lado.
2.2. Entrega de notificações
Se ativar as notificações no seu dispositivo, a entrega passa pelo serviço de notificações do fabricante do sistema operativo ou do navegador. Não é possível contorná-lo: é o mecanismo que os próprios sistemas impõem.
| Entidade | Finalidade | Localização dos dados | Salvaguarda |
|---|---|---|---|
| Google LLC (Firebase Cloud Messaging) | Entrega de notificações em Android e no Chrome. | Estados Unidos da América | EU–US Data Privacy Framework |
| Apple Inc. (Apple Push Notification service) | Entrega de notificações em iOS, iPadOS e Safari. | Estados Unidos da América | EU–US Data Privacy Framework |
O conteúdo das notificações vai cifrado de ponta a ponta (norma Web Push, RFC 8291): estas entidades encaminham a mensagem sem a conseguir ler. O que lhes é transmitido é o identificador do seu dispositivo (o endpoint de subscrição), o momento do envio e o tamanho da mensagem.
Este tratamento só existe se o utilizador ativar as notificações, e termina quando as desativar — a subscrição é apagada do nosso lado.
3. Dependências que não são sub-processadores
Os tipos de letra da interface (fontes Geist) são auto-alojados: são incorporados na aplicação no momento da compilação. Durante a utilização, o navegador não efetua pedidos a servidores externos de fontes nem expõe o seu endereço IP a esses serviços — trata-se de uma dependência de compilação, não de um sub-processador de dados.
4. Alterações à lista
Antes de adicionar um novo sub-processador que trate dados pessoais, confirmamos a existência de um DPA conforme o artigo 28.º, avaliamos a localização e as transferências, e atualizamos esta página. As empresas subscritoras são informadas das alterações materiais à lista.
5. Contacto
Para qualquer questão sobre os nossos sub-processadores, contacte privacidade@alinhaobra.pt.