O que são subprocessadores?
Subprocessadores são terceiros que processam dados pessoais em nome de Vytrix. De acordo com o GDPR, somos obrigados a identificá-los, celebrar um acordo de processamento (DPA) com eles e fazer alterações nesta lista, pelo menos 30 dias antes da data efetiva para anunciar.
Você se opõe a um novo subprocessador por motivos de proteção de dados? Contate-nos em privacy@vytrix.app antes da data de vigência.
Subprocessadores atuais (agosto 2026)
| Subprocessador | Objetivo | Localização | Mecanismo de transferência |
|---|---|---|---|
| Supabase Inc. | Banco de dados, autenticação, armazenamento e funções de backend Edge | Região primária do projeto para banco de dados, autenticação e armazenamento: UE (Irlanda — AWS eu-west-1); outro processamento de acordo com as condições Supabase | APD + SCCs |
| Amazon Web Services (AWS) | Infraestrutura em nuvem (subprocessador de Supabase) | Infraestrutura primária do projeto UE (Irlanda); suporte e outros processamentos de acordo com o DPA Supabase | Via Supabase DPA |
| Google Irlanda limitada (Firebase Crashlytics + Mensagens em Nuvem) | Relatórios de falhas e notificações push | UE + transfronteiriço | DPF+ UE-EUA DPA do Google com SCC |
| RevenueCat Inc. | Gerenciamento de assinaturas e direitos de IAP | EUA | DPF+ UE-EUA RevenueCat DPA com SCC |
| Stripe Pagamentos Europa, Ltd. | Processamento de pagamentos (checkout na web e pagamentos de afiliados) | UE (Irlanda) / EUA | DPF+ UE-EUA Stripe DPA com SCC |
| Google Cloud (Vertex AI) | AI Coach (chat) e análise fotográfica de refeições/produtos | Multirregião da UE (eu) | DPA do Google Cloud + processamento UE configurado |
| OpenAI | Leitura de rótulos nutricionais, ingredientes e fotos opcionais de produtos no scanner de rótulos de produtos | Processamento internacional | DPA + SCCs quando aplicável |
| Apple Inc. (App Store, IAP, faça login com Apple) | Distribuição e autenticação de aplicativos | EUA/UE | Contrato de desenvolvedor DPF + Apple |
| Google LLC (Google Play, Play Faturamento, faça login com o Google) | Distribuição e autenticação de aplicativos | EUA/UE | DPF + Google Play Contrato de distribuição do desenvolvedor |
| Reenviar (Plus Five Five, Inc.) | Dupla confirmação de adesão e, somente após a confirmação, dimensionar as atualizações do produto | EUA (processamento primário e armazenamento) | Reenviar DPA + DPF UE-EUA + SCCs |
| Vercel Inc. | Hospedagem de sites, Vercel Analytics e Speed Insights | UE + infraestrutura internacional | DPA + SCCs quando aplicável |
| PostHog Inc. | Análise opcional do produto do site, somente após permissão explícita | Endpoint de nuvem da UE + provedor de serviços internacional | DPA + SCCs quando aplicável |
Para aumentar o interesse por meio do aplicativo ou site, Supabase armazena o endereço de e-mail, produto individual, intenção, fonte, localidade, país/região opcional, versão de consentimento e metadados de confirmação, cancelamento de assinatura e aceitação do provedor. Reenviar recebe apenas o necessário para o destinatário, conteúdo do e-mail e entrega. Dados de treinamento, saúde, nutrição e ciclo não vão para Reenviar. Somente registros de aceitação dupla preenchidos que não tenham sido cancelados terão permissão para receber atualizações do produto posteriormente.
Quais dados vão para qual subprocessador?
| Categoria | Supabase | Base de fogo | RevenueCat | Vertex AI |
|---|---|---|---|---|
| Conta (nome, e-mail) | Sim | Apenas ID, para push | Somente ID, direitos | Não |
| Datas de treinamento | Sim | Não | Não | Não |
| Datas nutricionais | Sim | Não | Não | Somente via foto AI |
| Sono / corpo / frequência cardíaca | Sim | Não (excluído das chaves do Crashlytics) | Não | Somente se o usuário solicitar |
| Fotos de progresso | Sim (balde privado) | Não | Não | Não |
| Fotos de refeições / fotos de produtos Vertex | Não (curto prazo na memória) | Não | Não | Sim (de curta duração, não mantido - UE) |
| Ciclo menstrual | Sim (região principal do projeto na Irlanda) | Não | Não | Não |
| Conteúdo social | Sim | Não | Não | Não |
| Registros de falhas (sem PII/sem integridade) | Não | Sim | Não | Não |
| Dados transacionais de assinatura | Estado de direito | Não | Sim | Não |
Fora dessa matriz compacta, o scanner de rótulos de produtos pode enviar fotos do rótulo, da lista de ingredientes e da frente da embalagem, além de qualquer código de barras e nome de produto existente, para o OpenAI. A Vercel processa o tráfego do site e dados técnicos de desempenho. PostHog processa apenas eventos de site apagados após permissão explícita; Consultas de URL e snippets não são incluídos e páginas jurídicas são excluídas.
Garantias especiais por subprocessador
Supabase – Art. Dados de saúde 9
- Vytrix obteve/solicitou reconhecimento por escrito de que o processamento do Art. Os dados de saúde 9 estão dentro do escopo acordado
- A principal região do projeto para banco de dados, autenticação e armazenamento é a Irlanda (
eu-west-1). Backups, suporte e outros processamentos estão sujeitos às condições atuais do DPA Supabase e do subprocessador; esta não é uma garantia absoluta exclusiva da UE.
Firebase Crashlytics — exclusão de dados de saúde
- A coleta de IP está desativada
- Contém chaves e registros personalizados geen dados de treinamento pessoal, saúde, nutrição ou ciclo
- Apenas campos técnicos (versão do aplicativo, versão do sistema operacional, modelo do dispositivo) e user_id pseudonimizado
RevenueCat — exclusão do art. 9
- O DPA de RevenueCat proíbe o Art. Dados 9
- Enviamos apenas IDs de atributos e dados transacionais; nenhum link para dados de saúde ou dados de ciclo
Google Vertex AI – residência na UE + faixa de metadados
- Processamento através da multirregião da UE
eu; A Vertex AI não usa prompts ou imagens para treinamento de modelo - Os metadados EXIF são removidos das fotos antes do upload
- Nenhum identificador de conta ou endereço de e-mail nos prompts
- Foto-AI tem sinalizador kill switch para desativação global
OpenAI – scanner de etiquetas de produtos
- Somente as fotos do produto e o contexto necessário escolhido pelo usuário (possivelmente código de barras e nome do produto existente) são enviados para esta digitalização; nenhum ID de conta ou endereço de e-mail.
- O processamento internacional está sujeito ao DPA aplicável e às salvaguardas de transferência subsequente.
Vercel e PostHog — site
- Vercel fornece hospedagem de sites e estatísticas técnicas da web sem cookies; Consultas de URL e snippets são removidos.
- PostHog só é carregado após permissão explícita. DNT e Global Privacy Control contam como uma recusa; páginas jurídicas não usam PostHog.
Reenviar – datas mínimas de correio e transferência nos EUA
- O processamento primário e o armazenamento ocorrem nos EUA; uma região de envio europeia não altera o local de armazenamento.
- As transferências são baseadas no Reenvio DPA, DPF e SCCs.
- Somente registros cancelados e confirmados com aceitação dupla podem receber atualizações. Cada atualização contém um link pessoal de cancelamento de assinatura que revoga imediatamente o consentimento; Inscrever-se novamente requer um novo opt-in duplo.
Como lidamos com as mudanças?
- Novo subprocessador: publicação com pelo menos 30 dias de antecedência nesta página + notificação por e-mail para usuários registrados.
- Objeção: via privacy@vytrix.app. Em caso de oposição fundamentada, procuraremos uma alternativa; Se isso não funcionar, você pode cancelar sua conta com reembolso das taxas de assinatura pré-pagas.
- Mudança de local ou mecanismo de transferência: publicação + e-mail.
- Remoção de um subprocessador: publicação; os dados serão excluídos ou devolvidos pelo processador dentro de dias 90.
Contato
Dúvidas sobre subprocessadores? privacy@vytrix.app