1. Escopo
Esta lista informa subprocessadores e provedores confirmados por código, configuração ou documentação atual da DASTIA. Fornecedores hipotéticos ou não confirmados ficam em registros internos até validação.
| Provedor | Serviço | Categoria de dados | Finalidade | Localização provável | Transferência internacional | Status | Risco | Observação |
|---|---|---|---|---|---|---|---|---|
| OpenAI | Modelos de IA e Responses API | Prompts, contexto, outputs, arquivos quando usados, metadados de uso | Gerar respostas, documentos, análises e recursos de agente | Internacional | Sim | Confirmado por código | Alto | Código usa Responses API e store=true em fluxos relevantes; sem promessa de retenção zero. |
| Supabase | Postgres, Auth, Storage, Edge Functions, logs | Dados de conta, workspace, arquivos, auth, logs e dados operacionais | Backend, autenticação, banco, storage e funções server-side | Internacional/provedor-dependente | Sim | Confirmado por código | Alto | RLS e grants existem em áreas materializadas; cobertura deve ser verificada por tabela. |
| Vercel | Hospedagem e deploy web | Metadados técnicos, logs de request, app frontend | Hospedagem, build e entrega da aplicação | Internacional/provedor-dependente | Sim | Confirmado por repo/processo | Médio | Target staging deve ser confirmado antes de deploy. |
| Stripe | Pagamentos, checkout, portal, webhooks | Billing, assinatura, faturas, identificadores de cliente e pagamento | Cobrar planos, Energia e top-ups | Internacional | Sim | Confirmado por código | Médio | Dados completos de cartão ficam com o provedor de pagamento quando aplicável. |
| Google APIs | Drive, Gmail, Calendar, OAuth | Arquivos autorizados, e-mails, eventos, metadados e tokens OAuth criptografados | Integrações visíveis autorizadas pelo usuário | Internacional | Sim | Confirmado por código | Alto | Sujeito à Google API Services User Data Policy e Limited Use Requirements. |
| Resend | E-mail transacional/workspace | E-mails, destinatários, conteúdo de mensagens e logs de entrega | Envio de e-mails transacionais ou operacionais | Internacional | Sim | Confirmado por código | Médio | Usado por email-api e funções de notificação. |
| Sentry | Monitoramento de erros | Eventos técnicos, erros, metadados e dados minimizados por scrubber | Estabilidade e diagnóstico | Internacional | Sim | Confirmado por dependência/código | Médio | Scrubber remove ou reduz PII em áreas configuradas. |
| Google Analytics | Analytics | Eventos, páginas, dispositivo, metadados | Medição de visitas e performance | Internacional | Sim | Condicionado a consentimento | Médio | Carregado apenas após consentimento analytics. |
| Meta Pixel | Marketing analytics | Eventos de campanha, páginas, identificadores | Mensuração de campanhas | Internacional | Sim | Condicionado a consentimento | Médio | Carregado apenas após consentimento marketing. |
| Microsoft Clarity | Analytics de experiência | Eventos de página e interação | Análise agregada de experiência | Internacional | Sim | Condicionado a consentimento | Médio | Carregado apenas após consentimento analytics. |
2. Fornecedores não confirmados
Ferramenta de suporte dedicada, provedor fiscal/NF-e, SIEM externo, status page, DPA individual por subprocessador e certificações de terceiros permanecem como verificações internas até evidência objetiva.