Subprocessadores

Subprocessadores do ARPI-IMOB

Este documento lista fornecedores que tratam, poderao tratar ou estao provisionados para tratar dados pessoais para viabilizar a plataforma gerenciada. O estado de cada item importa: infraestrutura configurada nao comprova, por si so, que dados reais de assinantes ja trafegaram por ela. Ele permanece `status: draft` enquanto nao houver decisao de publicacao.

Identificacao do prestador

Rafael Silva Marinheiro de Souza, pessoa natural inscrita no CPF sob o numero 086.568.954-78, com endereco profissional em Rua Maestro Luis, casa 207, Radir Pereira, Currais Novos/RN, CEP 59380-000, Brasil, e o Prestador responsavel pela plataforma ARPI-IMOB. Nesta fase, os fornecedores abaixo sao contratados pelo Prestador para viabilizar a plataforma; ARPI-IMOB identifica o software, e nao uma pessoa juridica autonoma.

Lista

Functions executam em `gru1` (Sao Paulo, Brasil), regiao fixada em `vercel.json` e confirmada no cabecalho `X-Vercel-Id` das respostas de producao. A Vercel Inc. e empresa norte-americana e opera rede de entrega global: a execucao no Brasil nao afasta, por si so, tratamento no exterior para roteamento de borda, suporte, administracao e registros de plataforma. Dados potencialmente alcancados: requisicoes web, metadados tecnicos e conteudo renderizado no frontend. Nada disso prova, isoladamente, que dado real de assinante ja tenha sido submetido no beta.

`aws-sa-east-1` (Sao Paulo, Brasil); o contrato e com Databricks, empresa americana, e o servico pode usar subprocessadores fora do Brasil. Dados potencialmente alcancados: dados de conta, operacao imobiliaria, auditoria, assinaturas e metadados.

Brasil). Dados potencialmente alcancados: fotos, documentos, anexos e arquivos `.docx`.

endpoint em `sa-east-1` (Sao Paulo, Brasil). Dados potencialmente alcancados: endereco de e-mail, conteudo de redefinicao de senha, confirmacao de conta e outras notificacoes automaticas.

revendida pela HostGator Brasil LTDA, CNPJ 15.754.475/0001-40, empresa brasileira; controladora do grupo Newfold). O inventario tecnico de subprocessadores (`subprocessors`, codigo `HOSTGATOR_NEWFOLD`) registra status `APROVADO_PARA_PRODUCAO` desde 02/09/2026, com o boot da aplicacao em profile `prod` recusando subir enquanto esse status nao estiver aprovado (`SubprocessorProductionGate`). Substituiu a AWS Lightsail, cogitada anteriormente e descartada em 27/08/2026 sem chegar a ser contratada ou cobrada.

dominio e dados administrativos da conta; proxy reverso ativo em `api.arpi-imob.com.br` (verificado em 15/09/2026 pelo cabecalho `Server: cloudflare` e pelo ponto de entrega `GRU` nas respostas - a descricao anterior, "somente DNS", estava errada), o que faz a Cloudflare receber endereco IP, URL, cabecalhos e o trafego das chamadas do navegador a API. O site em `www` e o dominio raiz respondem direto da Vercel, sem esse proxy. Nao ha Workers confirmados. Cloudflare Turnstile faz a verificacao anti-robo do envio de contato pelo assistente de duvidas da pagina inicial, tratando IP e sinais tecnicos do navegador; o ARPI-IMOB recebe so o resultado. A rede e global: o ponto de entrega observado em Sao Paulo nao garante tratamento apenas no Brasil.

assistente de duvidas, ou clica no botao de contato comercial, a conversa ocorre no aplicativo. Dados potencialmente alcancados: numero de telefone, nome de perfil e conteudo da conversa, sob os termos e a infraestrutura internacional da Meta.

entrada, operando em estado negado ate o aceite, e importacao diaria dos identificadores de clique (gclid) de cadastros originados de anuncio. Nao recebe campos de cadastro, CRM ou conteudo de assinante. Detalhes na Politica de Privacidade.

dominio Zoho Mail `.com`, que a documentacao oficial do fornecedor associa ao datacenter dos EUA. Dados potencialmente alcancados: endereco de e-mail, conteudo das comunicacoes e metadados de atendimento. O servico ja foi usado no teste funcional do canal de suporte. No inventario tecnico, o codigo `ZOHO` permanece `PENDENTE_DE_REVISAO` (nao integra o gate de boot de producao) enquanto o DPA solicitado ao fornecedor nao for aprovado e assinado.

financeiros e de seguranca explicitos (sem Pay-as-you-go, sem Profiling, sem Session Replay pago). No backend, amostragem de traces configuravel por variavel de ambiente (`SENTRY_TRACES_SAMPLE_RATE`, default seguro em producao) sem coleta de PII e com isolamento multi-tenant na telemetria. No frontend, coleta de metricas de performance (Web Vitals) restrita a usuarios autenticados na area logada da aplicacao - a vitrine publica nao carrega o rastreamento. Dados potencialmente alcancados: stack traces, contexto tecnico, ambiente, rota e metadados reduzidos para investigacao. Pais/regiao: conforme infraestrutura Sentry contratada no momento da ativacao (NAO VERIFICADO nesta execucao qual regiao especifica do provider esta em uso).

• Vercel — contratada/configurada: hospedagem do frontend e entrega da aplicacao web. As
• Neon (Databricks) — contratada/configurada: banco Postgres gerenciado. O compute esta em
• AWS S3 — contratada/configurada: armazenamento de arquivos em `sa-east-1` (Sao Paulo,
• Amazon SES — configurado, sem fluxo produtivo demonstrado: e-mail transacional por
• HostGator/Newfold (VPS) — aprovado para producao: backend em Sao Paulo (infraestrutura
• Cloudflare — ativo para DNS, proxy da API e verificacao anti-robo: gestao da zona DNS do
• WhatsApp (Meta) — usado para responder contatos: quando a pessoa informa WhatsApp no
• Google Ads — ativo para medicao de campanha: tag de anuncio na pagina inicial e na tela de
• Zoho Mail — ativo para atendimento: caixa de suporte e canal de titulares. A conta usa o
• Sentry — implementado e em uso: diagnostico de erros e desempenho, dentro de limites

Instrumentos e transferencia internacional

AWS, Vercel e Neon/Databricks publicam instrumentos de protecao de dados incorporados aos termos usados nos planos atuais. Para Cloudflare, existe DPA integrado ao contrato principal, mas o aceite especifico desta conta nao foi verificado - NAO VERIFICADO. O Zoho informa que seu DPA deve ser solicitado pelo administrador da organizacao, passa por aprovacao e e concluido com assinatura. A solicitacao foi aceita pelo formulario em 26/08/2026; resposta do time juridico do fornecedor em 01/09/2026 confirma que o pedido segue em analise, sem prazo - a aprovacao e a assinatura permanecem pendentes (NAO VERIFICADO o resultado final). Para a HostGator/Newfold, o Data Processing Addendum do grupo Newfold (`legal.newfold.com/DataProcessingAddendum.pdf`, datado de 26/09/2024) e incorporado por referencia ao ToS da HostGator (secao 6) e cobre explicitamente o GDPR, adotando Clausulas-Padrao Contratuais (SCCs) europeias como mecanismo de transferencia; nao menciona a LGPD - e evidencia de mecanismo comparavel, nao decide sozinha a suficiencia para o art. 33 da LGPD, mesma ressalva ja registrada para AWS/Vercel/Neon.

Esses instrumentos nao substituem, por si so, a definicao do mecanismo de transferencia internacional aplicavel pela ARPI-IMOB nos termos do art. 33 da LGPD e da Resolucao CD/ANPD nº 19/2024. Antes de submeter dados pessoais reais ao beta, o fluxo, o pais, a finalidade e o mecanismo aplicavel devem ser registrados para cada fornecedor que tratar dados fora do Brasil.

Fontes consultadas em 26/08/2026: AWS Service Terms, secao 1.14; Vercel Data Processing Addendum; Databricks Master Cloud Services Agreement; Product Specific Schedule (Neon); Cloudflare Customer Data Processing Addendum; Zoho Mail - GDPR Readiness, Data Hosting; Zoho Accounts - Data Processing Addendum.

Mudancas

Novos subprocessadores relevantes serao adicionados a esta pagina antes de uso em producao quando forem necessarios para tratar dados pessoais. Alteracoes materiais tambem devem aparecer na Politica de Privacidade.