Subcontratantes ulteriores
Prestador: STL EMBEDED CREATIONS SRL, Cluj-Napoca, Roménia.
Esta lista constitui o Anexo III do Acordo de tratamento de dados. Abrange os dados pessoais que o Consentl trata por conta dos seus clientes em ambos os serviços:
- Consentl para Shopify: a aplicação Shopify em
shopify.consentl.com; - Consentl para sites: o painel de controlo em
app.consentl.come a API pública emapi.consentl.com, chamada pelo fragmento de código (snippet) do site e pelos plugins para plataformas.
Esses dados são os registos de consentimento, os pedidos relativos a dados pessoais e as declarações de livre resolução dos visitantes das lojas e dos sites, bem como os e-mails que lhes são enviados. Os mesmos fornecedores tratam também os dados relativamente aos quais somos o responsável pelo tratamento (contas dos clientes, faturação, apoio, registos); esse tratamento está descrito nas nossas políticas de privacidade.
Versão 3 · Em vigor desde: 2026-10-23
Esta é uma tradução. Para os clientes profissionais, prevalece a versão em inglês. Para os consumidores com residência habitual num país em que o português é língua oficial, a presente versão faz fé nos mesmos termos que a versão em inglês; se as duas versões divergirem, aplica-se o sentido mais favorável ao consumidor. Para os restantes consumidores, prevalece a versão em inglês, salvo se a legislação imperativa de defesa do consumidor do respetivo país dispuser de outro modo.
Subcontratantes ulteriores atuais
| # | Subcontratante ulterior (entidade, sede) | Utilizado para | Serviço e tratamento | Dados em causa | Local do tratamento | Garantia para a transferência |
|---|---|---|---|---|---|---|
| 1 | DigitalOcean, LLC, Nova Iorque, EUA | Shopify e sites | Alojamento: App Platform (aplicações web, processo em segundo plano do analisador de cookies [worker], tarefas executadas antes da implementação [pre-deploy]), bases de dados Managed PostgreSQL, cópias de segurança automáticas das bases de dados, registos de execução (runtime logs) | Todos os dados das bases de dados do Consentl (Anexo I do DPA) e metadados dos pedidos nos registos | Frankfurt, Alemanha (região fra da App Platform, cluster de bases de dados em fra1) |
Dados armazenados (em repouso) na UE. Acesso remoto a partir de países terceiros (apoio, operações) ao abrigo do acordo de tratamento de dados da DigitalOcean, que incorpora as cláusulas contratuais-tipo da UE (2021/914) e o UK International Data Transfer Addendum (adenda do Reino Unido). |
| 2 | Cloudflare, Inc., San Francisco, EUA, contratada pela DigitalOcean (subcontratante ulterior da DigitalOcean) | Shopify e sites | A rede edge da App Platform: terminação TLS, distribuição de conteúdos, proteção contra DDoS e bots em todos os pedidos a shopify.consentl.com, app.consentl.com, api.consentl.com, consentl.com e respetivos anfitriões de teste (staging). Pode definir o cookie de segurança __cf_bm (30 minutos) nestes anfitriões. A determinação do país para o banner é efetuada pelo Consentl nos seus próprios servidores (base de dados local DB-IP Lite), não na Cloudflare. |
Endereços IP de visitantes e clientes, metadados dos pedidos, conteúdo dos pedidos em trânsito (sinais de consentimento [beacons], envios de formulários) | Rede edge global (o centro de dados mais próximo de quem faz o pedido); o conteúdo dos pedidos não é armazenado | As cláusulas contratuais-tipo que a DigitalOcean celebra com a Cloudflare ao abrigo do acordo de tratamento de dados da DigitalOcean. |
| 3 | Brevo SAS (anteriormente Sendinblue SAS), 106 boulevard Haussmann, 75008 Paris, França | Shopify e sites | E-mail transacional através da API da Brevo: verificação e confirmação de pedidos relativos a dados pessoais, avisos de receção de declarações de livre resolução (para compradores e visitantes); notificações, relatórios do analisador de cookies e e-mails relativos à conta e à faturação (para clientes) | Endereço de e-mail e nome do destinatário, conteúdo do e-mail (pode incluir números de encomenda, o tipo de pedido e a mensagem do requerente), eventos de entrega, devolução (bounce) e reclamação (o rastreio de aberturas e cliques é anonimizado) | União Europeia | Fornecedor da UE; nenhuma transferência por parte do Consentl. Subcontratantes ulteriores da própria Brevo: ver a lista publicada pela Brevo. O rastreio de aberturas e cliques é anonimizado: não são associados dados de interação ao destinatário. |
| 4 | Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Genebra, Suíça | Shopify e sites | Alojamento de e-mail das caixas de correio consentl.com [email protected] (apoio) e [email protected] (proteção de dados; também o remetente dos nossos e-mails transacionais): correspondência de apoio e de privacidade, pedidos que os clientes nos reencaminham, respostas, mensagens devolvidas e respostas automáticas aos nossos e-mails | Endereços de e-mail, nomes e mensagens de clientes, de compradores e visitantes que respondem aos nossos e-mails e de compradores e visitantes cujos pedidos os clientes reencaminham | Suíça | Decisão de adequação da Comissão Europeia relativa à Suíça (2000/518/CE). Em utilização desde 2026-10-22 (ambas as caixas de correio ativas). |
Entidades que não são subcontratantes ulteriores (para efeitos de transparência)
| Entidade | Utilizada para | Motivo por que não é subcontratante ulterior |
|---|---|---|
| Shopify (Shopify International Limited, Dublin, Irlanda; Shopify Inc., Ottawa, Canadá) | Shopify | A plataforma em que o comerciante gere a loja e instala a aplicação. A Shopify trata os dados da loja ao abrigo do seu próprio acordo com o comerciante, reencaminha os pedidos do proxy da aplicação (app proxy) e os webhooks, aloja os scripts da loja online (storefront) na sua CDN e fatura a aplicação. Por instrução do comerciante, transmitimos dados à Shopify enquanto plataforma do próprio comerciante (oposições (opt-out) à venda ou partilha, pedidos de apagamento reencaminhados, configuração publicada do banner); não contratamos a Shopify para tratar dados por nossa conta. |
| Plataformas de sites (WordPress, Shopware, PrestaShop, Magento, criadores de sites, Google Tag Manager) | Sites | A plataforma do próprio cliente. Os nossos plugins e modelos funcionam nela e não armazenam dados de visitantes; não contratamos a plataforma. |
| Stripe (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irlanda) | Sites (faturação) | Trata os dados de faturação e de pagamento dos nossos clientes (e-mail da conta, nome, dados de pagamento, endereço de faturação, número de identificação fiscal) por nossa conta e, para efeitos de prevenção da fraude e de cumprimento das suas obrigações regulamentares, na qualidade de responsável pelo tratamento independente. Não recebe dados de visitantes. Descrita na política de privacidade para sites. |
| DB-IP (db-ip.com) | Sites | Editor da base de dados de países DB-IP Lite (CC BY 4.0). Uma cópia está integrada nos nossos servidores e a determinação do país é efetuada aí, na memória; a DB-IP não recebe dados nossos. |
| Google (Google Ireland Limited, Dublin, Irlanda; Google LLC, EUA) | Apenas o nosso próprio site consentl.com | O Google Analytics 4 funciona apenas em consentl.com e apenas depois de o visitante aceitar os cookies analíticos. Trata dados dos visitantes do nosso site na qualidade de nosso subcontratante; nunca recebe dados das lojas, dos sites ou dos visitantes dos nossos clientes. Descrito no aviso de privacidade do site consentl.com. |
| GitHub, Inc., San Francisco, EUA | Desenvolvimento | Aloja o código-fonte e a integração contínua (CI). Não são colocados dados pessoais de produção no repositório, nos tickets (issues), nos pedidos de integração (pull requests), nos registos de CI, nos dados de teste (test fixtures) nem nas capturas de ecrã. |
| Assistentes de programação com inteligência artificial (por exemplo, Claude, da Anthropic PBC, EUA) | Desenvolvimento | Utilizados pelo nosso pessoal apenas sobre código-fonte e dados de teste; não lhes são facultadas bases de dados de produção, registos de produção nem dados pessoais de clientes. Se alguma vez for dado a uma ferramenta de IA acesso a dados ou registos de produção, o respetivo fornecedor é acrescentado à tabela acima, mediante pré-aviso de 30 dias. |
Mecanismo de notificação de alterações
- Notificação prévia. Pelo menos 30 dias antes de um novo subcontratante ulterior começar a
tratar dados pessoais dos clientes (ou de um subcontratante ulterior existente ser utilizado para uma
nova finalidade ou num novo local), nós:
- acrescentamos uma entrada ao histórico de alterações abaixo, com a data prevista de entrada em vigor;
- enviamos um e-mail para o Endereço para notificações de cada cliente: no caso do Consentl para Shopify, o contacto de privacidade que o comerciante definiu na aplicação ou, na falta deste, o endereço de e-mail do proprietário da loja; no caso do Consentl para sites, o endereço para notificações definido na página «Conta» ou, se nenhum estiver confirmado, os proprietários e os administradores da conta. Assunto: «Consentl: planned sub-processor change» («Consentl: alteração prevista de subcontratante ulterior»).
- Oposição. O cliente pode opor-se por escrito, através de [email protected], dentro do prazo de pré-aviso, por motivos razoáveis relacionados com a proteção de dados. Respondemos no prazo de 14 dias e procuramos resolver a oposição (por exemplo, não utilizando o subcontratante ulterior para esse cliente). Se a oposição não for resolvida no prazo de 30 dias, o cliente pode denunciar o contrato antes de a alteração lhe ser aplicável; as quantias pagas antecipadamente relativas ao período não utilizado são reembolsadas (cláusulas 6.3 e 6.4 do DPA: através da Shopify, sob a forma de reembolso ou de crédito na aplicação, ou através da Stripe).
- Substituição de emergência. Se um subcontratante ulterior tiver de ser substituído com urgência (incidente de segurança, insolvência, cessação do contrato por iniciativa do subcontratante ulterior), podemos efetuar a alteração com um pré-aviso mais curto e informamos os clientes o mais rapidamente possível. O direito de oposição continua a aplicar-se e o reembolso é calculado a partir da data da alteração.
- Outros endereços. Os clientes que pretendam receber as notificações noutro endereço podem indicá-lo através de [email protected].
Histórico de alterações
| Data | Alteração | Notificação enviada | Entrada em vigor |
|---|---|---|---|
| 2026-10-20 | Lista inicial (DigitalOcean, Cloudflare através da DigitalOcean, Brevo). | — (antes do lançamento) | no lançamento |
| 2026-10-21 | Versão 2: a lista abrange também o Consentl para sites; entrada da Cloudflare corrigida (função, anfitriões, sem determinação do país); denominação da entidade Brevo atualizada; Proton AG acrescentada para as caixas de correio consentl.com; Stripe, Google, plataformas de sites e assistentes de programação com inteligência artificial indicados como não sendo subcontratantes ulteriores. | — (antes do lançamento) | no lançamento; Proton a partir da data em que as respetivas caixas de correio entram em funcionamento |
| 2026-10-22 | Entrada da Proton AG alargada: aloja ambos os endereços públicos, [email protected] e [email protected], incluindo a correspondência de apoio e os pedidos que os clientes reencaminham. Não é utilizado nenhum outro fornecedor de caixas de correio. | — (antes do lançamento) | 2026-10-22 (caixas de correio ativas) |
| 2026-10-22 | Revisão prévia à publicação: entrada da Cloudflare atualizada (proteção contra bots e cookie __cf_bm, anfitrião consentl.com; a determinação do país é efetuada nos nossos próprios servidores com a base de dados DB-IP Lite); DB-IP indicada como não sendo subcontratante ulterior; Stripe em modo de produção (live), entidade contratante Stripe Payments Europe, Limited; os destinatários das notificações seguem as definições do endereço para notificações de ambos os serviços. |
— (antes do lançamento) | no lançamento |
| 2026-10-23 | Versão 3, primeira versão publicada: a lista acima, com as confirmações do proprietário (os assistentes de programação com inteligência artificial nunca recebem dados nem registos de produção; Brevo com rastreio de aberturas e cliques anonimizado). Nenhum novo subcontratante ulterior. | — (primeira publicação) | 2026-10-23 |
Fonte: docs/legal/pt/SUBPROCESSORS.md no repositório do Consentl.