O que são subprocessadores?
Os subprocessadores são terceiros que processam dados pessoais em nome de Vytrix. De acordo com o RGPD, somos obrigados a identificá-los, celebrar um acordo de processamento (DPA) com eles e fazer alterações a esta lista, pelo 30 dias antes da data de entrada em vigor para anunciar.
Opõe-se a um novo subprocessador por motivos de proteção de dados? Contacte-nos em privacy@vytrix.app antes da data de entrada em vigor.
Subprocessadores atuais (Agosto 2026)
| Subprocessador | Objetivo | Localização | Mecanismo de transferência |
|---|---|---|---|
| Supabase Inc. | Base de dados, autenticação, armazenamento e funções de backend Edge | Região primária do projeto para base de dados, autenticação e armazenamento: UE (Irlanda — AWS eu-west-1); outro processamento de acordo com as condições Supabase | APD + SCCs |
| Amazon Web Services (AWS) | Infraestrutura na nuvem (subprocessador de Supabase) | Infraestrutura primária do projeto UE (Irlanda); suporte e outros processamentos de acordo com o DPA Supabase | Via Supabase DPA |
| Google Irlanda limitada (Firebase Crashlytics + Mensagens na Nuvem) | Relatórios de falhas e notificações push | UE + transfronteiriço | DPF+ UE-EUA DPA da Google com SCC |
| RevenueCat Inc. | Gestão de assinaturas e direitos de IAP | EUA | DPF+ UE-EUA RevenueCat DPA com SCC |
| Stripe Pagamentos Europa, Lda. | Processamento de pagamentos (checkout web e pagamentos de afiliados) | UE (Irlanda) / EUA | DPF+ UE-EUA Stripe DPA com SCC |
| Google Cloud (Vertex AI) | AI Coach (chat) e análise fotográfica de refeições/produtos | Multirregião da UE (eu) | DPA da Google Cloud + processamento UE configurado |
| OpenAI | Leitura de rótulos nutricionais, ingredientes e fotografias opcionais de produtos no scanner de rótulos de produtos | Processamento internacional | DPA + SCCs quando aplicável |
| Apple Inc. (App Store, IAP, iniciar sessão com Apple) | Distribuição e autenticação de aplicações | EUA/UE | Contrato de DPF Developer + Apple |
| Google LLC (Google Play, Reproduzir Faturação, iniciar sessão com o Google) | Distribuição e autenticação de aplicações | EUA/UE | DPF + Google Play Contrato de distribuição do desenvolvedor |
| Reenviar (Plus Five Five, Inc.) | Dupla confirmação de adesão e, só após confirmação, dimensionar as atualizações do produto | EUA (processamento primário e armazenamento) | Reenviar DPA + DPF UE-EUA + SCCs |
| Vercel, Lda. | Alojamento de sites, Vercel Analytics e Speed Insights | UE + infraestruturas internacionais | DPA + SCCs quando aplicável |
| PostHog, Lda. | Análise opcional do produto do site, apenas após permissão explícita | Endpoint de cloud da UE + fornecedor de serviços internacional | DPA + SCCs quando aplicável |
Para aumentar o interesse através da aplicação ou website, o Supabase armazena o endereço de e-mail, produto individual, intenção, fonte, localidade, país/região opcional, versão de consentimento e metadados de confirmação, cancelamento de subscrição e aceitação do fornecedor. Reenviar recebe apenas o necessário para o destinatário, conteúdo do e-mail e entrega. Os dados de treino, saúde, nutrição e ciclo não vão para Reenviar. Apenas os registos de aceitação dupla preenchidos que não tenham sido cancelados terão permissão para receber atualizações do produto posteriormente.
Que dados vão para qual subprocessador?
| Categoria | Supabase | Base de fogo | RevenueCat | Vertex AI |
|---|---|---|---|---|
| Conta (nome, e-mail) | Sim | Apenas ID, para push | Apenas ID, direitos | Não |
| Datas de formação | Sim | Não | Não | Não |
| Datas nutricionais | Sim | Não | Não | Apenas via foto AI |
| Sono/corpo/frequência cardíaca | Sim | Não (excluído das chaves Crashlytics) | Não | Somente se o utilizador solicitar |
| Fotos de progresso | Sim (balde privado) | Não | Não | Não |
| Fotos de refeições / fotos de produtos Vertex | Não (curto prazo na memória) | Não | Não | Sim (de curta duração, não mantido - UE) |
| Ciclo menstrual | Sim (região principal do projeto na Irlanda) | Não | Não | Não |
| Conteúdo social | Sim | Não | Não | Não |
| Registos de avarias (sem PII/sem integridade) | Não | Sim | Não | Não |
| Dados transacionais de assinatura | Estado de direito | Não | Sim | Não |
Fora desta matriz compacta, o scanner de rótulos de produtos pode enviar fotografias do rótulo, da lista de ingredientes e da frente da embalagem, para além de qualquer código de barras e nome de produto existente, para o OpenAI. A Vercel processa o tráfego do site e os dados técnicos de desempenho. O PostHog apenas processa eventos de site apagados após permissão explícita; As consultas de URL e os snippets não são incluídos e as páginas jurídicas são eliminadas.
Garantias especiais por subprocessador
Supabase – Art. Dados de saúde 9
- Vytrix obteve/solicitou o reconhecimento por escrito de que o tratamento do Art. Os dados de saúde 9 estão dentro do âmbito acordado
- A principal região do projeto para base de dados, autenticação e armazenamento é a Irlanda (
eu-west-1). Os backups, suporte e outros processamentos estão sujeitos às condições atuais do DPA Supabase e do subprocessador; não se trata de uma garantia absoluta exclusiva da UE.
Firebase Crashlytics — eliminação de dados de saúde
- A recolha de IP está desativada
- Contém chaves e registos personalizados geen dados de treino pessoal, saúde, nutrição ou ciclo
- Apenas os campos técnicos (versão da aplicação, versão do sistema operativo, modelo do dispositivo) e user_id pseudonimizado
RevenueCat — exclusão do art. 9
- O DPA de RevenueCat proíbe o Art. Dados 9
- Enviamos apenas IDs de atributos e dados transacionais; sem ligação para dados de saúde ou dados de ciclo
Google Vertex AI – residência na UE + faixa de metadados
- Processamento através da multirregião da UE
eu; A Vertex AI não utiliza prompts ou imagens para o treino de modelos - Os metadados EXIF são removidos das fotografias antes do carregamento
- Sem identificador de conta ou endereço de e-mail nos avisos
- Foto-AI tem sinalizador kill switch para desativação global
OpenAI – scanner de etiquetas de produtos
- Apenas as fotos do produto e o contexto necessário escolhido pelo utilizador (possivelmente código de barras e nome do produto existente) são enviados para esta digitalização; sem ID de conta ou endereço de e-mail.
- O tratamento internacional está sujeito ao DPA aplicável e às salvaguardas de transferência subsequentes.
Vercel e PostHog — site
- O Vercel fornece alojamento de sites e estatísticas técnicas da web sem cookies; As consultas de URL e os snippets são removidos.
- O PostHog só é carregado após permissão explícita. O DNT e o Global Privacy Control contam como uma recusa; páginas jurídicas não utilizam o PostHog.
Reenviar – datas mínimas de correio e transferência nos EUA
- O processamento primário e o armazenamento ocorrem nos EUA; uma região de expedição europeia não altera o local de armazenamento.
- As transferências são baseadas no Reenvio DPA, DPF e SCCs.
- Apenas os registos cancelados e confirmados com aceitação dupla podem receber atualizações. Cada atualização contém um link pessoal de cancelamento de subscrição que revoga imediatamente o consentimento; A inscrição novamente requer um novo opt-in duplo.
Como lidamos com as mudanças?
- Novo subprocessador: publicação com pelo menos 30 dias de antecedência nesta página + notificação por e-mail para utilizadores registados.
- Objeção: via privacy@vytrix.app. Em caso de oposição fundamentada, procuraremos uma alternativa; Se isto não funcionar, pode cancelar a sua conta com reembolso das taxas de subscrição pré-pagas.
- Mudança de local ou mecanismo de transferência: publicação + e-mail.
- Remoção de um subprocessador: publicação; os dados serão eliminados ou devolvidos pelo processador no prazo de dias 90.
Contato
Dúvidas sobre subprocessadores? privacy@vytrix.app