Suboperadores

O Taggor usa estas empresas para operar o serviço. Para cada uma: o que faz por nós, que dados trata, onde, e as páginas do próprio fornecedor (contrato de tratamento de dados, segurança, lista de suboperadores), abertas na data indicada.

Tradução do texto em inglês, que é o principal. Em caso de diferença, vale o inglês.

Rascunho para revisão: não aprovado pelo dono nem por advogado, e não vigente. Um texto marcado [NÃO CONFIRMADO] não pôde ser conferido na página oficial do fornecedor; [A CONFIRMAR] espera uma decisão.

Versão da lista: draft-2026-11-10

Cloudflare, Inc.

O que faz

Executa o serviço: Workers (API, edge, builder, site), R2 (pacotes dos componentes publicados), KV (manifestos dos sites), Queues, Analytics Engine, Workers Logs, Turnstile e a CDN que entrega o loader e os componentes.

Dados que trata

Toda requisição ao Taggor e ao loader, incluindo o que um visitante envia por um componente a caminho do armazenamento (o IP do visitante não é guardado pelo Taggor)
Pacotes dos componentes publicados e manifestos dos sites (código e configurações do cliente)
Logs da aplicação e métricas de carregamento sem e-mail, IP completo nem conteúdo de envios

Onde

Rede global: a requisição é processada no data center da Cloudflare que a atende, que pode ficar fora do Brasil, do EEE e do Reino Unido (cláusula 6.1 do DPA). Os buckets R2 do Taggor usam a dica de localização enam, que a Cloudflare documenta como melhor esforço e sem garantia. [NÃO CONFIRMADO: o local de processamento e de armazenamento de Workers Logs, KV, Queues e Analytics Engine; nenhuma página oficial que o diga foi encontrada em 2026-11-10]

Certificações e frameworks

Certificação Global CBPR e Global PRP (cláusula 3.2 do DPA)
Data Privacy Framework (cláusula 6.4 do DPA: a Cloudflare afirma que cumpre)
[NÃO CONFIRMADO: ISO 27001, SOC 2 ou PCI DSS; as páginas de conformidade abertas em 2026-11-10 não citaram nenhuma certificação no texto lido]

Transferência internacional

DPA versão 6.4 (vigente desde 2026-04-03): vale a partir da data de vigência do DPA, quando o cliente o assina ou concorda com ele (não é automático). Inclui o adendo do Reino Unido (versão B1.0). As cláusulas contratuais padrão da UE (Decisão 2021/914) só se aplicam a transferências restritas que o Data Privacy Framework não cobre; a Cloudflare afirma que cumpre o Data Privacy Framework.

Aviso de mudanças pelo fornecedor

O DPA (cláusula 4.4) se compromete a listar novos suboperadores pelo menos 30 dias antes de começarem, com 10 dias para objetar. A página da lista oferece um feed RSS.

Páginas oficiais abertas em

2026-11-10

Neon, LLC (a Databricks company) [NOT CONFIRMED: the contracting entity may be Databricks, Inc.]

O que faz

Banco PostgreSQL gerenciado: contas, workspaces, sites, versões de componentes, dados coletados (envios de formulários) e registros de auditoria.

Dados que trata

Dados de conta (e-mail, nome), dados do workspace, hashes de chaves de API, registros de auditoria
O que os visitantes enviam pelos componentes do cliente (o cliente é o controlador)

Onde

AWS US East (N. Virginia), aws-us-east-1. A região de um projeto Neon não muda depois de criado (página de regiões da Neon, atualizada em 2026-10-14). Entre os suboperadores da Neon estão AWS, Google, Microsoft e Oracle com local de processamento 'escolhido pelo cliente' (lista da Databricks, atualizada em 2026-06-09).

Certificações e frameworks

SOC 2 Tipo 1 e Tipo 2, ISO 27001 e ISO 27701 (página de conformidade da Neon, atualizada em 2026-10-30; sem datas de auditoria)
A Neon declara que não é compatível com PCI DSS (o Taggor não guarda dado de cartão: pagamentos vão para a Stripe)

Transferência internacional

Um DPA faz parte dos termos da Neon para todo cliente (post da Neon sobre GDPR, lido em 2026-11-12). A Neon declara ali que se apoia no Data Privacy Framework. [NÃO CONFIRMADO: cláusulas contratuais padrão ou adendo do Reino Unido nesse DPA; o PDF do DPA não pôde ser lido] [NÃO CONFIRMADO: se a entidade contratante é a Neon, LLC ou a Databricks, Inc.] [A CONFIRMAR: qual DPA o dono assina ou aceita]

Aviso de mudanças pelo fornecedor

[NÃO CONFIRMADO: um prazo de aviso; a página de suboperadores da Databricks só oferece uma assinatura para ser avisado de novos suboperadores]

Páginas oficiais abertas em

2026-11-10

WorkOS, Inc.

O que faz

Dados que trata

E-mail, nome e dados de login do titular da conta

Onde

Estados Unidos, para dados do EEE, da Suíça e do Reino Unido: o DPA (Anexo B) cita os Estados Unidos como onde os dados transferidos são guardados ou acessados. [NÃO CONFIRMADO: onde ficam os dados do AuthKit em geral] A página de segurança não faz declaração de residência de dados.

Certificações e frameworks

SOC 2 Tipo 2 certificada; em conformidade com GDPR e CCPA (como a página de segurança escreve). ISO 27001 não é citada ali.

Transferência internacional

DPA (atualizado em 2023-06-27): cláusulas contratuais padrão da UE, módulos dois e três (Anexo C), e adendo do Reino Unido (versão B1.0). O Data Privacy Framework não é citado no DPA.

Aviso de mudanças pelo fornecedor

O DPA (seção 3(d)) avisa atualizando a página de suboperadores e dá 14 dias corridos para objetar. [NÃO CONFIRMADO: a lista em si; workos.com/legal/subprocessors redireciona para o trust center da WorkOS e o conteúdo não pôde ser lido em 2026-11-10]

Páginas oficiais abertas em

2026-11-10

Resend (Plus Five Five, Inc.)

O que faz

Envia e-mail: convites, avisos de envios para destinatários que o cliente indica, avisos de retenção, alertas de uso e avisos de mudança de suboperadores.

Dados que trata

Endereço do destinatário, assunto e corpo de cada mensagem (um aviso de envio pode levar o que um visitante enviou)

Onde

Estados Unidos: 'Stored data is held in the United States' (página de segurança); o processamento principal é nos Estados Unidos (seção 6.1 do DPA). A região escolhida para um domínio de envio define de onde o e-mail sai, não onde fica guardado.

Certificações e frameworks

SOC 2 Tipo II (a Resend afirma estar em conformidade); GDPR (a Resend afirma cumprir todos os artigos). A Resend declara que não tem certificado ISO 27001.

Transferência internacional

DPA (atualizado em 2025-12-31): cláusulas contratuais padrão da UE (seção 6.2), cláusulas do Reino Unido (6.4), ajustes para a Suíça (6.5) e EU-U.S. Data Privacy Framework com a extensão do Reino Unido (11.1).

Aviso de mudanças pelo fornecedor

O DPA (seção 4.2) se compromete a aviso por escrito com pelo menos 14 dias de antecedência, com essa janela para objetar (4.3 e 4.4). A lista da própria Resend tem 22 suboperadores, todos listados nos EUA (atualizada em 2026-11-05).

Páginas oficiais abertas em

2026-11-10

Stripe, Inc.

Ainda não está em uso

O que faz

Pagamentos e cobrança de assinaturas. Nos pagamentos das assinaturas do próprio Taggor a Stripe atua como controladora (prestadora independente); NÃO é suboperadora do que visitantes enviam pelos componentes dos clientes. Ainda não está em uso: é construído no modo de teste da Stripe e nada é cobrado até o dono ligar (decisão 67).

Dados que trata

Identidade do pagador, dados de cobrança e fiscais e dados de cartão, que a Stripe coleta ela mesma e o Taggor nunca guarda

Onde

Estados Unidos: a versão do DPA aberta (Brasil, em português) diz que os usuários transferem dados pessoais à Stripe, LLC nos Estados Unidos (seção 6.1). [NÃO CONFIRMADO: a versão do DPA que a conta do dono vai assinar e os países dos suboperadores da própria Stripe; a lista do Brasil lida em 2026-11-10 mostra 'atualizada em 2023-07-21' e 20 entradas nos EUA, Reino Unido, Irlanda, Espanha, Colômbia, Malásia, Filipinas, Canadá e Austrália]

Certificações e frameworks

Provedor de serviços PCI DSS nível 1; relatórios SOC 1 e SOC 2 Tipo II todo ano, sob pedido; relatório SOC 3 público (página de segurança da Stripe)
EU-U.S. Data Privacy Framework, a extensão do Reino Unido e o framework Suíça-EUA; certificações CBPR e PRP (página de segurança da Stripe)

Transferência internacional

DPA (atualizado em 2026-09-28): cláusulas contratuais padrão da UE (módulos um, dois e três), adendo do Reino Unido e Data Privacy Framework. A Stripe atua como operadora no tratamento feito em nome do usuário e como controladora nas suas próprias finalidades (prevenção a fraude, obrigações legais, melhoria dos produtos).

Aviso de mudanças pelo fornecedor

O DPA (seção 3.2(a)) se compromete a aviso por e-mail 30 dias antes só aos usuários que assinaram as atualizações da lista no painel da Stripe, com 30 dias para objetar.

Páginas oficiais abertas em

2026-11-10

Mudanças nesta lista

Assine para receber um e-mail quando esta lista mudar. Você recebe um e-mail para confirmar o endereço e só recebe avisos depois de confirmar. Todo aviso traz um link para cancelar.

A assinatura ainda não está aberta.