← Voltar para central legal
Documento Jurídico

Mapeamento de Suboperadores

Vigência atual. Atualizações são publicadas com 30 dias de antecedência via e-mail e no painel administrativo.

📌 Versão 1.0 📅 Vigente desde abril/2026 📧 dpo@cataloga.ai

Mapeamento de Sub-operadores — Cataloga-ai

Anexo I ao Contrato de Operador (Doc. 5)

Última atualização: [DATA]

1. Introdução

Este documento identifica e mapeia todos os sub-operadores contratados pela [NOME DA EMPRESA] (Cataloga-ai) para auxiliar no tratamento de dados pessoais realizado em nome dos lojistas (controladores), conforme art. 39 da LGPD e Cláusula 6 do Contrato de Operador (Doc. 5).

Definição de Sub-operador

Sub-operador é qualquer terceiro contratado pela Cataloga-ai (operador) para realizar atividades de tratamento de dados pessoais em nome do lojista (controlador), nos termos do § 1º do art. 42 da LGPD.

2. Lista de Sub-operadores Autorizados

A Cataloga-ai utiliza os seguintes sub-operadores no contexto da plataforma SaaS:

# Sub-operador Finalidade País/Região DPA disponível?
1 Supabase Hospedagem de banco de dados (PostgreSQL) Brasil (self-hosted) ✅ Sim
2 Vercel Inc. Hospedagem da aplicação web (frontend) EUA (California) ✅ Sim
3 Asaas Gestão Financeira LTDA Processamento de pagamentos via PIX Brasil (São Paulo) ✅ Sim
4 GPTMaker Automação de mensageria (chatbots WhatsApp) Brasil ⚠️ Consultar
5 Meta Platforms Inc. (WhatsApp Cloud API) Envio de mensagens WhatsApp EUA/Global ✅ Sim

3. Detalhamento de Sub-operadores

3.1. Supabase (self-hosted)

Razão Social: [Nome da entidade de hospedagem, se aplicável; ou "infraestrutura própria"]

Tipo: Banco de dados PostgreSQL (open-source)

País/Localização: Brasil (servidor self-hosted em datacenter brasileiro)

Finalidade:

Dados pessoais processados:

Medidas de segurança:

Transferência internacional: ❌ Não aplicável (dados permanecem no Brasil)

DPA/Contrato:

Link de referência: https://supabase.com/docs/guides/platform/security

Política de Privacidade: [link se aplicável]

3.2. Vercel Inc.

Razão Social: Vercel Inc.

Tipo: Plataforma de hospedagem de aplicação web (PaaS)

País/Localização: EUA (California) — servidores distribuídos globalmente (edge network)

Finalidade:

Dados pessoais processados:

Medidas de segurança:

Transferência internacional: ✅ Sim (EUA)

Salvaguardas adotadas (art. 33, LGPD):

DPA/Contrato:

✅ Vercel Data Processing Addendum (DPA)

Link: https://vercel.com/legal/dpa

Política de Privacidade: https://vercel.com/legal/privacy-policy

Segurança: https://vercel.com/security

3.3. Asaas Gestão Financeira LTDA

Razão Social: ASAAS GESTÃO FINANCEIRA LTDA

CNPJ: [CNPJ do Asaas]

Tipo: Facilitador de pagamentos (PIX, boleto, cartão)

País/Localização: Brasil (São Paulo, SP)

Finalidade:

Dados pessoais processados:

Medidas de segurança:

Transferência internacional: ❌ Não (dados processados exclusivamente no Brasil)

DPA/Contrato:

✅ Asaas — Termos de Uso e Política de Privacidade incluem cláusulas de operador de dados

Link: https://www.asaas.com/termos-de-uso

DPA específico: [solicitar ao Asaas se disponível]

Política de Privacidade: https://www.asaas.com/politica-de-privacidade

Segurança: https://www.asaas.com/seguranca

Observação: O Asaas é regulado pelo Banco Central do Brasil como Instituição de Pagamento (IP), estando sujeito a requisitos adicionais de segurança e conformidade.

3.4. GPTMaker

Razão Social: [Razão social do GPTMaker — PREENCHER]

Tipo: Plataforma de automação de mensageria (chatbot WhatsApp)

País/Localização: Brasil

Finalidade:

Dados pessoais processados:

Medidas de segurança:

Transferência internacional: ❌ Não (processamento local no Brasil)

DPA/Contrato:

⚠️ AÇÃO NECESSÁRIA: Solicitar DPA formal ao GPTMaker.

Caso não disponibilizem DPA, incluir cláusula de proteção de dados no contrato de prestação de serviço.

Política de Privacidade: [PREENCHER — link para política do GPTMaker]

Documentação de Segurança: [PREENCHER]

Observação: Como sub-operador de dados pessoais de consumidores finais, é essencial que o GPTMaker forneça garantias contratuais de conformidade com a LGPD. Caso não forneçam, avaliar substituição ou formalização de termos customizados.

3.5. Meta Platforms Inc. (WhatsApp Cloud API)

Razão Social: Meta Platforms, Inc. (anteriormente Facebook, Inc.)

Tipo: Plataforma de mensageria (WhatsApp Business Cloud API)

País/Localização: EUA (California) — servidores globais

Finalidade:

Dados pessoais processados:

Medidas de segurança:

Transferência internacional: ✅ Sim (EUA e outros países onde Meta opera servidores)

Salvaguardas adotadas (art. 33, LGPD):

DPA/Contrato:

✅ WhatsApp Business Terms of Service + Data Processing Addendum

Link: https://www.whatsapp.com/legal/business-terms

DPA (GDPR-compliant): https://www.whatsapp.com/legal/business-data-processing-terms

Política de Privacidade: https://www.whatsapp.com/legal/privacy-policy-eea

Segurança: https://www.whatsapp.com/security

Observação: A Meta oferece WhatsApp Business Cloud API e On-Premises API. Verificar qual está sendo utilizada:

4. Fluxo de Dados: Mapeamento por Tipo de Dado

Esta tabela mapeia quais dados pessoais são compartilhados com quais sub-operadores:

Categoria de Dado Supabase Vercel Asaas GPTMaker WhatsApp (Meta)
Nome completo ✅ ❌ ✅ ✅ ✅
CPF ✅ ❌ ✅ ❌ ❌
Telefone ✅ ❌ ❌ ✅ ✅
E-mail ✅ ❌ ⚠️ (opcional) ❌ ❌
Endereço de entrega ✅ ❌ ❌ ❌ ⚠️ (se enviado em mensagem)
Dados de pagamento (PIX) ❌ ❌ ✅ ❌ ❌
Histórico de pedidos ✅ ❌ ⚠️ (transações) ❌ ❌
Conteúdo de mensagens ✅ (log) ❌ ❌ ✅ ✅
Logs de acesso (IP, user-agent) ⚠️ (se coletado) ✅ ❌ ❌ ❌
Dados de sessão (cookies) ❌ ✅ ❌ ❌ ❌

Legenda:

5. Modelo de Cláusula de Sub-operação

Para novos sub-operadores, a Cataloga-ai incluirá cláusula contratual no seguinte formato mínimo:

Cláusula de Proteção de Dados (Sub-operador)

O SUB-OPERADOR reconhece e concorda que:

(i) Atuará como operador de dados pessoais em nome da Cataloga-ai, que atua como operador em nome dos lojistas (controladores finais);

(ii) Tratará dados pessoais exclusivamente conforme instruções documentadas da Cataloga-ai, não os utilizando para finalidades próprias;

(iii) Implementará medidas técnicas e administrativas apropriadas para proteger dados pessoais contra acesso não autorizado, perda, destruição ou alteração (art. 46, LGPD);

(iv) Garantirá confidencialidade de todos os colaboradores autorizados a tratar dados pessoais;

(v) Auxiliará a Cataloga-ai no atendimento a direitos de titulares (arts. 17-22, LGPD) e na resposta a incidentes de segurança (art. 48, LGPD);

(vi) Notificará a Cataloga-ai em até 48 horas sobre qualquer incidente de segurança que afete dados pessoais;

(vii) Não contratará sub-sub-operadores sem autorização prévia e por escrito da Cataloga-ai;

(viii) Ao término do contrato, eliminará ou devolverá todos os dados pessoais, salvo quando a retenção for exigida por lei;

(ix) Disponibilizará informações necessárias para auditorias de conformidade com a LGPD, mediante solicitação razoável e com aviso prévio.

Responsabilidade: O Sub-operador será responsável por danos causados a titulares de dados em decorrência de violação das obrigações acima, nos termos do art. 42, § 1º, da LGPD.

Lei aplicável: Lei nº 13.709/2018 (LGPD) e legislação brasileira de proteção de dados.

6. Processo de Aprovação de Novos Sub-operadores

Conforme Cláusula 6 do Contrato de Operador (Doc. 5), a Cataloga-ai seguirá o seguinte procedimento ao contratar, substituir ou remover sub-operadores:

Passo 1 — Due Diligence

Avaliação interna do sub-operador candidato:

Passo 2 — Notificação aos Lojistas

A Cataloga-ai notificará os lojistas (controladores) com antecedência mínima de 30 dias, informando:

Passo 3 — Período de Objeção

Os lojistas terão 15 dias para objetar, fundamentando a objeção em motivos razoáveis relacionados à proteção de dados.

Passo 4 — Resolução

Passo 5 — Atualização deste Documento

Após aprovação, este Mapeamento de Sub-operadores é atualizado e a nova versão é disponibilizada aos lojistas.

7. Atualização e Transparência

7.1. Este documento é atualizado sempre que houver:

7.2. A versão atualizada é disponibilizada:

7.3. Lojistas podem solicitar informações adicionais sobre sub-operadores específicos mediante contato com o DPO: [EMAIL DPO].

8. Referências e Links Úteis

Controle de Versões

Versão Data Alterações
1.0 [DATA] Versão inicial — lista completa de sub-operadores da plataforma Cataloga-ai

Nota de Revisão Jurídica

IMPORTANTE: Este mapeamento foi elaborado como modelo base e deve ser obrigatoriamente revisado por advogado especializado em proteção de dados antes de sua utilização. A revisão jurídica é essencial para:

A utilização deste documento sem revisão jurídica adequada é de responsabilidade exclusiva do usuário.

Próximos passos recomendados:

  1. Solicitar DPAs formais de todos os sub-operadores (especialmente GPTMaker)
  2. Validar cláusulas de transferência internacional com Vercel e Meta/WhatsApp
  3. Atualizar links de políticas de privacidade e documentação de segurança
  4. Preencher informações faltantes (CNPJs, razões sociais, contatos)
  5. Estabelecer processo de revisão anual deste mapeamento