Em resumo
O resumo ajuda a ler; o que vale é o texto completo.- 11 subprocessadores ativos: Stripe, Mercado Pago, Evolution/WhatsApp, AWS, Resend, Cloudflare, Supabase, Google (FCM e Gemini), Apple (APNs) e OpenStreetMap.
- Dados hospedados no Brasil (AWS/Supabase sa-east-1); Stripe, Resend, Cloudflare, Supabase, Google e Apple operam dos EUA sob cláusulas-padrão (art. 33, LGPD).
- Mudança de subprocessador é comunicada com 30 dias de antecedência; você pode se opor e, se inviabilizar o serviço, rescindir sem ônus (§3).
- Todos assumem contratualmente: finalidade específica, confidencialidade, segurança e apagamento ao fim do tratamento.
1. O que é um subprocessador
Subprocessador é qualquer terceiro contratado pela MODOPAG FINTECH LTDA para tratar dados pessoais em nome do modo Gestor. Em conformidade com o art. 39 da LGPD, mantemos esta lista pública e atualizada, com transparência total sobre quem participa do tratamento.
Todos os subprocessadores listados estão sujeitos a obrigações contratuais de proteção de dados equivalentes às nossas, incluindo confidencialidade, segurança técnica e devolução/eliminação dos dados ao término do contrato.
2. Lista atual de subprocessadores
| Subprocessador | Finalidade | Categoria de dados | Localização | Em vigor desde |
|---|---|---|---|---|
| Stripe, Inc. | Cobrança recorrente da assinatura modo Gestor (cartão de crédito do Contratante) | Nome, e-mail, token de cartão | EUA · cláusulas-padrão | Lançamento |
| Mercado Pago (Mercado Livre, Inc.) | Processamento de pagamentos dos Clientes Finais via modelo marketplace (PIX, débito, crédito) | Nome, CPF, e-mail, telefone, token de cartão, valor da transação | Brasil | Lançamento |
| Evolution API | Envio e recebimento de mensagens via WhatsApp (conexão por QR Code) | Telefone, conteúdo das mensagens transacionais | Brasil | Lançamento |
| Amazon Web Services (AWS) | Hospedagem da plataforma, banco de dados e backups | Todos os dados da plataforma — criptografados em trânsito (TLS 1.3) e em repouso (AES-256) | Brasil — região sa-east-1 (São Paulo) | Lançamento |
| Resend, Inc. | Envio de e-mails transacionais (recibos, lembretes, notificações, recuperação de senha) | Nome, e-mail, conteúdo da mensagem | EUA · cláusulas-padrão (SOC 2 Type II) | Lançamento |
| Cloudflare, Inc. | Entrega de conteúdo, proteção de rede e hospedagem das páginas públicas | Dados em trânsito (terminação TLS), endereço IP, dados de navegação | EUA · cláusulas-padrão | Lançamento |
| Supabase, Inc. | Banco de dados gerenciado, autenticação e armazenamento de arquivos | Todos os dados da plataforma — em infraestrutura AWS, região sa-east-1 | EUA (operação em Brasil) · cláusulas-padrão | Lançamento |
| Google LLC (FCM e Gemini) | Geração assistida de descrição do estabelecimento para o diretório, quando solicitada pelo Contratante | Nome, serviços, preços, horários, bairro e cidade do estabelecimento | EUA · cláusulas-padrão | 31/08/2026 |
| Apple Inc. (APNs) | Entrega de notificações push no aplicativo iOS | Token de push do dispositivo, conteúdo das notificações transacionais | EUA · cláusulas-padrão de proteção (art. 33, LGPD) | |
| Fundação OpenStreetMap (Nominatim) | Conversão de endereço em coordenadas geográficas para exibição no mapa | Endereço do estabelecimento | União Europeia | 2026 |
3. Notificação de mudanças
4. Garantias contratuais
Todo subprocessador é contratado com cláusulas contratuais que garantem:
a) Tratamento de dados apenas para a finalidade especificada.
b) Confidencialidade e medidas técnicas adequadas de segurança.
c) Cooperação em solicitações de titulares e auditorias.
d) Notificação imediata em caso de incidente de segurança.
e) Devolução ou eliminação certificada de dados ao término do contrato.
f) Não utilização para fins próprios.
5. Subprocessadores nos EUA
O Stripe (cobrança da assinatura), o Resend (envio de e-mails transacionais), a Cloudflare (entrega e proteção das páginas), a Supabase (banco de dados e armazenamento) e a Google (geração assistida de descrição) estão sediadas nos Estados Unidos. A transferência internacional de dados para esses fornecedores segue as bases do art. 33 da LGPD, em especial mediante cláusulas-padrão de proteção aprovadas pela ANPD, garantindo nível de proteção equivalente ao brasileiro. Ambos atendem certificações de segurança (Stripe: PCI DSS Level 1; Resend: SOC 2 Type II).
A maior parte dos dados da plataforma (banco de dados, backups, mensagens WhatsApp, pagamentos de Clientes Finais) permanece no Brasil.
6. Suas opções
Se você não concorda com algum subprocessador específico, suas opções são:
a) Não utilizar a funcionalidade dependente daquele subprocessador (ex: não ativar cobrança online se discorda do Mercado Pago).
b) Optar por cancelamento da assinatura conforme nossa Política de Reembolso.
c) Entrar em contato com nosso Encarregado de Dados para discutir alternativas, quando possíveis.
7. Contato
Encarregado de Dados (DPO): contato@modogestor.com.br