O que é um sub-processador
Para operar o SpotFlow, a Dalmasio contrata empresas terceiras que tratam dados pessoais em nosso nome e sob nossas instruções. Um sub-processador é esse terceiro: ele cuida de uma parte técnica do serviço (guardar o banco de dados, hospedar o aplicativo, processar um pagamento, enviar um email) e, para isso, precisa tratar alguns dos seus dados. Sem esses parceiros, o produto não funcionaria.
Na relação com você, o SpotFlow (operado pela Dalmasio) atua como controlador dos dados (Art. 5, VI, da Lei 13.709/2018, a LGPD). Os sub-processadores atuam, em regra, como operadores (Art. 5, VII, e Art. 39), tratando dados apenas na medida necessária para o serviço que prestam. Em algumas operações específicas, como a análise antifraude e o cumprimento de obrigações próprias de instituições de pagamento, o provedor de pagamento (Mercado Pago) pode atuar também como controlador independente, sob a política de privacidade dele.
Cada sub-processador está vinculado por contrato de tratamento de dados (DPA, na sigla em inglês) e por deveres de confidencialidade e segurança. Selecionamos parceiros que oferecem garantias técnicas e organizacionais adequadas e que tratam apenas os dados necessários, pelo tempo necessário, para a finalidade contratada.
Esta página complementa a nossa Política de Privacidade, que descreve quais dados coletamos, com quais bases legais (Art. 7) e por quanto tempo os mantemos. Leia as duas em conjunto.
Nossa lista de sub-processadores
A tabela abaixo lista os sub-processadores que tratam dados pessoais para o funcionamento do SpotFlow, o serviço que cada um presta, os dados envolvidos, onde operam e as salvaguardas aplicáveis. Lembrando: o SpotFlow não guarda número de cartão de crédito; os dados de cartão vão direto para o processador de pagamento.
| Sub-processador | Serviço prestado | Dados tratados | Localização | Salvaguarda |
|---|---|---|---|---|
| Neon | Banco de dados | Dados do workspace e da conta | Estados Unidos | Criptografia em repouso, DPA e garantias contratuais de transferência |
| Vercel | Hospedagem do app e armazenamento das imagens que você envia | Requisições, logs técnicos e imagens enviadas | Estados Unidos | DPA e garantias contratuais de transferência |
| Mercado Pago | Pagamento das assinaturas | Dados de cobrança (sem número de cartão no SpotFlow) | Brasil | DPA |
| Resend | Envio de email (avisos da conta, novidades e resumos) | Nome e email do destinatário | Estados Unidos | DPA e garantias contratuais de transferência |
| Groq | Geração de texto por IA (só quando você usa um recurso de IA) | Título e nicho do produto, textos das ofertas e preferências de escrita | Estados Unidos | DPA e garantias contratuais de transferência |
| Hetzner | Envio de mensagens | Conteúdo do post e identificador do grupo de destino | Finlândia | DPA e garantias contratuais de transferência |
| Cloudflare | Armazenamento de cópia de segurança cifrada | Cópia de segurança cifrada dos dados do Serviço | Estados Unidos | Cifragem, DPA e garantias contratuais de transferência |
Esta página é a versão pública e versionada da lista, e é a autoritativa: quando outro material nosso divergir dela, vale o que está aqui.
Além dos sub-processadores acima, o SpotFlow se conecta à Open API da Shopee para descobrir ofertas e ler conversões vinculadas ao seu próprio programa de afiliado. Shopee, Mercado Livre e Amazon recebem só o que você gera e publica com os seus links e o clique de quem abre o link, e WhatsApp, Telegram e Instagram recebem só o que você manda publicar. Nenhum deles trata dados em nosso nome: cada um opera sob os próprios termos e a própria política de privacidade.
Transferência internacional de dados
Quase toda a infraestrutura fica fora do Brasil, nos Estados Unidos e na Finlândia. Neon (banco de dados), Vercel (hospedagem), Resend (email), Groq (geração de texto por IA) e Cloudflare (cópia de segurança cifrada) operam nos Estados Unidos, e a Hetzner (envio de mensagens) opera na Finlândia. Isso configura transferência internacional de dados pessoais, tratada nos termos do Art. 33 da LGPD. Só o Mercado Pago, que processa o pagamento das assinaturas, opera no Brasil.
Realizamos essas transferências apoiados em garantias contratuais de proteção de dados firmadas com cada fornecedor, de forma a manter, no destino, um nível de proteção equivalente ao exigido pela lei brasileira. Entre os instrumentos aplicados estão:
- Contrato de tratamento de dados (DPA) com cada sub-processador internacional, com cláusulas específicas de transferência e de garantias de proteção (Art. 33, II).
- Compromissos de segurança e confidencialidade, incluindo criptografia em trânsito e restrição de acesso ao mínimo necessário.
- Finalidade limitada: os dados só podem ser tratados para prestar o serviço contratado, sem uso próprio não autorizado.
Os dados do seu workspace e da sua conta ficam armazenados com criptografia, e a cópia de segurança sai do nosso servidor já cifrada.
Como avisamos sobre mudanças
A lista de sub-processadores pode mudar conforme o produto evolui. Sempre que trocarmos, adicionarmos ou removermos um sub-processador, atualizamos esta página com a data de vigência correspondente.
Quando a mudança for material (por exemplo, incluir um novo sub-processador que trate dados pessoais, ou passar a transferir dados para um novo país), avisamos os titulares e os clientes por email, com antecedência razoável, para que você possa avaliar a alteração e, se for o caso, se opor antes de ela passar a valer.
Se você não concordar com um novo sub-processador, entre em contato pelos canais abaixo. Vamos avaliar alternativas técnicas viáveis. Caso não haja alternativa e a objeção seja incompatível com a operação do serviço, você poderá encerrar a conta e, após o cancelamento, aplicam-se os prazos de retenção e purga descritos na Política de Privacidade.
Contato e Encarregado (DPO)
Dúvidas sobre esta página, sobre um sub-processador específico ou sobre o exercício dos seus direitos (Art. 18 da LGPD) podem ser enviadas ao nosso Encarregado pelo Tratamento de Dados Pessoais (DPO).
- Controlador: Hugo Dalmasio de Sousa, CNPJ 67.302.775/0001-92, Domingos Martins/ES.
- Encarregado (DPO): Hugo Dalmasio de Sousa, pelo email dalmasio.dev@gmail.com.
- Contato geral e jurídico: dalmasio.dev@gmail.com.
- Serviço: SpotFlow, disponível em spotflow.site.
Respondemos aos pedidos relacionados a dados pessoais em até 15 dias úteis. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), sem prejuízo dos demais direitos previstos na LGPD.