Sub-operadores | Marcalle

1.O que é esta lista

Sub-operador é o fornecedor que trata dados pessoais por nossa conta e sob nossas instruções para que a plataforma funcione, o servidor onde o banco de dados roda, o serviço que entrega a mensagem no WhatsApp, o provedor que envia o e-mail de confirmação.

Publicamos esta lista porque a autorização da profissional (controladora) ao nosso uso de sub-operadores é uma autorização geral, prevista na cláusula 7 do Acordo de Tratamento de Dados. Para que essa autorização seja informada, ela precisa poder ver, a qualquer momento, quem são esses fornecedores, o que cada um trata e onde.

Cada sub-operador tem contrato escrito com obrigações de proteção de dados equivalentes às do nosso DPA;
Permanecemos integralmente responsáveis perante a controladora pelos atos dos nossos sub-operadores;
Nenhum deles pode usar os dados para finalidade própria;
Escolhemos, sempre que disponível, a região de processamento no Brasil.

Esta lista é a arquitetura de produção

A tabela abaixo descreve os fornecedores da operação em produção, e cada linha registra o dado que chega de verdade à infraestrutura do fornecedor. Situação por fornecedor: Cloudflare (borda), Hostinger e Locaweb (hospedagem), Resend (e-mail), Sentry (observabilidade), Meta (WhatsApp) e Google (entrar com o Google) estão conectados e recebem dado real. O Asaas (cobrança e conta de recebimento) está conectado nos dois caminhos: quem pede para assinar envia nome, CPF ou CNPJ, e-mail e telefone, e quem pede a conta de recebimento do studio envia, além desses, data de nascimento, endereço completo e o faturamento mensal que a profissional declarar. O que continua desligado é a cobrança do atendimento pela plataforma, e por isso nenhum dado de cliente final chega ao Asaas.

2.Sub-operadores em uso

A tabela abaixo é a versão resumida, feita para leitura rápida. O detalhamento por fornecedor vem logo em seguida.

Sub-operadores ativos nesta versão do documento.
Sub-operador	Finalidade	País de processamento	Salvaguarda
Hostinger International Ltd.	Hospedagem da aplicação, do banco de dados e das imagens (servidor primário)	Lituânia (processamento contratado em São Paulo, Brasil)	Transferência internacional em regularização: vigora hoje o acordo de tratamento de dados do próprio fornecedor. As cláusulas-padrão contratuais da ANPD (Res. CD/ANPD 19/2024, Anexo II) ainda não foram firmadas.
Locaweb Serviços de Internet S.A.	Hospedagem da aplicação e das imagens (servidor espelho)	Brasil (São Paulo)	Sem transferência internacional, sociedade brasileira e tratamento em território nacional
Cloudflare, Inc.	Borda de rede, DNS, proteção e cópia de segurança fora do país	Estados Unidos (rede global, com atendimento pelo ponto de presença de São Paulo)	Transferência internacional em regularização: vigora hoje o acordo de tratamento de dados do próprio fornecedor. As cláusulas-padrão contratuais da ANPD (Res. CD/ANPD 19/2024, Anexo II) ainda não foram firmadas.
Meta Platforms Ireland Ltd. / WhatsApp Business Platform	Envio de mensagens pelo WhatsApp	Irlanda e Estados Unidos	Transferência internacional em regularização: vigora hoje o acordo de tratamento de dados do próprio fornecedor. As cláusulas-padrão contratuais da ANPD (Res. CD/ANPD 19/2024, Anexo II) ainda não foram firmadas.
Google LLC (Entrar com o Google)	Autenticação da profissional	Estados Unidos	Transferência internacional em regularização: vigora hoje o acordo de tratamento de dados do próprio fornecedor. As cláusulas-padrão contratuais da ANPD (Res. CD/ANPD 19/2024, Anexo II) ainda não foram firmadas.
Asaas Gestão Financeira Instituição de Pagamento S.A.	Cobrança da assinatura e conta de recebimento do studio	Brasil	Sem transferência internacional, tratamento em território nacional
Resend (Plus Five Five, Inc.)	E-mail transacional	Estados Unidos (entrega pela infraestrutura da Amazon SES, região sa-east-1, São Paulo/BR)	Transferência internacional em regularização: vigora hoje o acordo de tratamento de dados do próprio fornecedor. As cláusulas-padrão contratuais da ANPD (Res. CD/ANPD 19/2024, Anexo II) ainda não foram firmadas.
Functional Software, Inc. (Sentry)	Observabilidade e diagnóstico de falhas	Estados Unidos	Transferência internacional em regularização: vigora hoje o acordo de tratamento de dados do próprio fornecedor. As cláusulas-padrão contratuais da ANPD (Res. CD/ANPD 19/2024, Anexo II) ainda não foram firmadas.

Detalhamento por fornecedor

Hostinger International Ltd.

Hospedagem da aplicação, do banco de dados e das imagens (servidor primário)

Finalidade: Rodar a landing, o painel da profissional, a página pública de agendamento e a API que processa agendamentos, mensagens e relatórios financeiros; e, em servidor dedicado da mesma fornecedora em São Paulo, guardar o banco de dados e as imagens enviadas pela profissional.
Categorias de dados: Todos os dados em trânsito no processamento das funcionalidades contratadas, e todos os dados armazenados: cadastro e movimentação da profissional e das clientes dela, incluindo as respostas da ficha de anamnese, que podem conter dado pessoal sensível. Cada conta só enxerga os próprios dados (política de segurança em nível de linha). As imagens são guardadas em duas áreas separadas, e o endereço do arquivo diz em qual delas ele está. A área pública guarda o que existe para ser visto sem login: foto de capa, logo, foto de serviço e portfólio. A área privada guarda a foto de atendimento, que é dado de saúde: ela só é entregue a quem está com a sessão aberta na conta dona do arquivo, e o pedido de qualquer outra conta é recusado, sem passar por cache compartilhado.
País de processamento: Lituânia (processamento contratado em São Paulo, Brasil)
Salvaguarda da transferência: Transferência internacional em regularização: vigora hoje o acordo de tratamento de dados do próprio fornecedor. As cláusulas-padrão contratuais da ANPD (Res. CD/ANPD 19/2024, Anexo II) ainda não foram firmadas.

Locaweb Serviços de Internet S.A.

Hospedagem da aplicação e das imagens (servidor espelho)

Finalidade: Servir as mesmas funcionalidades do servidor primário quando ele fica indisponível, mantendo o produto no ar.
Categorias de dados: Os mesmos dados do servidor primário, em trânsito no processamento das funcionalidades contratadas.
País de processamento: Brasil (São Paulo)
Salvaguarda da transferência: Sem transferência internacional, sociedade brasileira e tratamento em território nacional

Cloudflare, Inc.

Borda de rede, DNS, proteção e cópia de segurança fora do país

Finalidade: Resolver os endereços do produto, encerrar a conexão segura (TLS), filtrar ataque automatizado, entregar o tráfego até os servidores e guardar a cópia de segurança dos dados, para o caso de perda dos servidores.
Categorias de dados: Na borda: endereço IP de quem acessa, user-agent, endereço solicitado, data e hora, sem armazenar o conteúdo das telas. No armazenamento de cópia de segurança (Cloudflare R2): a cópia do banco de dados e das fotos de atendimento, o que inclui dado pessoal das clientes e dado de saúde da ficha de anamnese. A cópia é o espelho do que está nos servidores no Brasil, existe para o caso de perda deles, e segue a mesma retenção descrita nesta política.
País de processamento: Estados Unidos (rede global, com atendimento pelo ponto de presença de São Paulo)
Salvaguarda da transferência: Transferência internacional em regularização: vigora hoje o acordo de tratamento de dados do próprio fornecedor. As cláusulas-padrão contratuais da ANPD (Res. CD/ANPD 19/2024, Anexo II) ainda não foram firmadas.

Meta Platforms Ireland Ltd. / WhatsApp Business Platform

Envio de mensagens pelo WhatsApp

Finalidade: Entregar confirmação de horário, lembrete de véspera, aviso de lista de espera, mensagem de aniversário e campanhas autorizadas.
Categorias de dados: Nome e telefone da cliente final, e as variáveis do agendamento contidas no modelo de mensagem (serviço, data, hora, endereço).
País de processamento: Irlanda e Estados Unidos
Salvaguarda da transferência: Transferência internacional em regularização: vigora hoje o acordo de tratamento de dados do próprio fornecedor. As cláusulas-padrão contratuais da ANPD (Res. CD/ANPD 19/2024, Anexo II) ainda não foram firmadas.

Google LLC (Entrar com o Google)

Autenticação da profissional

Finalidade: Permitir que a profissional entre no painel com a conta Google dela, sem criar uma senha nova.
Categorias de dados: Somente de quem escolhe esse caminho de entrada: nome, endereço de e-mail, confirmação de que o e-mail é verificado e o identificador da conta Google. Não recebe nenhum dado das clientes finais, nem agenda, nem ficha de anamnese.
País de processamento: Estados Unidos
Salvaguarda da transferência: Transferência internacional em regularização: vigora hoje o acordo de tratamento de dados do próprio fornecedor. As cláusulas-padrão contratuais da ANPD (Res. CD/ANPD 19/2024, Anexo II) ainda não foram firmadas.

Asaas Gestão Financeira Instituição de Pagamento S.A.

Cobrança da assinatura e conta de recebimento do studio

Finalidade: Processar a mensalidade do plano pago (cartão de crédito) e emitir os recibos correspondentes; e abrir, a pedido da profissional, a conta de recebimento em nome dela no Asaas, que é a conta pela qual ela recebe, dela mesma, o dinheiro do studio dela.
Categorias de dados: Quando a profissional pede para assinar, chegam ao Asaas nome, CPF/CNPJ, e-mail, telefone e dados da transação. A abertura da conta de recebimento do studio está no ar, e quando a profissional a pede são enviados, além desses, data de nascimento, endereço completo (logradouro, número, bairro e CEP) e o faturamento mensal que ela declarar. Não recebe dados das clientes finais: a cobrança do atendimento pela plataforma continua desligada, e enquanto estiver assim nenhum dado de cliente final é enviado ao Asaas.
País de processamento: Brasil
Salvaguarda da transferência: Sem transferência internacional, tratamento em território nacional

Resend (Plus Five Five, Inc.)

E-mail transacional

Finalidade: Enviar confirmação de conta, redefinição de senha, avisos de cobrança e a cópia por e-mail da reserva quando a cliente informa o endereço.
Categorias de dados: Nome e e-mail do destinatário, assunto e conteúdo da mensagem transacional.
País de processamento: Estados Unidos (entrega pela infraestrutura da Amazon SES, região sa-east-1, São Paulo/BR)
Salvaguarda da transferência: Transferência internacional em regularização: vigora hoje o acordo de tratamento de dados do próprio fornecedor. As cláusulas-padrão contratuais da ANPD (Res. CD/ANPD 19/2024, Anexo II) ainda não foram firmadas.

Functional Software, Inc. (Sentry)

Observabilidade e diagnóstico de falhas

Finalidade: Receber logs, métricas e rastros de erro da aplicação para detectar e corrigir incidentes técnicos.
Categorias de dados: Identificadores técnicos e internos (ID de conta, ID de agendamento), endereço IP e mensagens de erro. Não recebe conteúdo de anamnese nem corpo de mensagens de clientes.
País de processamento: Estados Unidos
Salvaguarda da transferência: Transferência internacional em regularização: vigora hoje o acordo de tratamento de dados do próprio fornecedor. As cláusulas-padrão contratuais da ANPD (Res. CD/ANPD 19/2024, Anexo II) ainda não foram firmadas.

3.Como a transferência internacional está amparada hoje

A LGPD não exige que os dados fiquem hospedados no Brasil. Exige que, havendo transferência internacional, ela tenha amparo em um dos mecanismos do Capítulo V.

Nossos fornecedores de nuvem processam em regiões brasileiras (São Paulo), mas são empresas constituídas fora do Brasil e, portanto, sujeitas a legislações estrangeiras de acesso a dados. Tratamos isso como transferência internacional, e informamos aqui, fornecedor por fornecedor, qual é o instrumento em vigor: a coluna Salvaguarda da transferência da lista acima diz exatamente isso para cada um.

O instrumento em vigor hoje, para os fornecedores sediados no exterior, é o acordo de tratamento de dados publicado pelo próprio fornecedor, que passa a valer com a contratação do serviço, sem assinatura separada, e que incorpora as cláusulas-padrão da jurisdição dele. Esse acordo é publicado pelo próprio fornecedor: a Controladora que quiser lê-lo pode pedir o endereço pelo canal de privacidade, e nós indicamos onde ele está.

O que ainda não está firmado, e o que isso significa

As cláusulas-padrão contratuais brasileiras aprovadas pela Resolução CD/ANPD nº 19/2024 (Anexo II) ainda não foram firmadas com esses fornecedores. Elas são norma brasileira, e mais recente que boa parte dos acordos publicados por empresas estrangeiras: um acordo que incorpora cláusula-padrão europeia não é, por si só, o instrumento do Anexo II.

Não escondemos isso atrás de uma frase genérica porque a Controladora precisa saber, para a própria prestação de contas dela, qual mecanismo do Capítulo V está sustentando a transferência hoje. Firmar o Anexo II com cada fornecedor é compromisso desta Operadora e está em andamento; quando cada um for firmado, a linha correspondente da lista acima muda e a mudança entra no histórico de versões deste documento.

4.Como avisamos sobre mudanças

Antes de incluir um novo sub-operador que trate dados das clientes finais, comunicamos as controladoras com 30 dias de antecedência, por e-mail e por aviso dentro do painel.

A controladora pode se opor de forma fundamentada dentro do prazo;
Não havendo alternativa técnica, ela pode rescindir sem ônus, com devolução proporcional de valores pagos antecipadamente;
A remoção de um sub-operador ou a mudança de região de processamento também é refletida aqui;
O aviso é enviado por nós, automaticamente, para o e-mail cadastrado na conta e por aviso dentro do painel. Você não precisa se inscrever em lista nenhuma para recebê-lo.

Dúvidas sobre esta lista: pedro.bertoluchi@outlook.com.

Esta lista é publicada por Pedro Silva Bertoluchi Desenvolvimento de Software Ltda, CNPJ 66.416.999/0001-62, com sede em Rua Pais Leme, 215, conj. 1713, Pinheiros, São Paulo/SP, CEP 05424-150.

5.Histórico de versões

Versão 1.3— 8 de setembro de 2026: Duas afirmações que descreviam o sistema ao contrário foram corrigidas. A primeira era sobre as fotos de atendimento, que o texto tratava como se fossem do mesmo tipo da foto de capa e do portfólio. Não são: a foto de atendimento é dado de saúde, fica em área separada do armazenamento e é servida por uma rota que exige sessão aberta e recusa o pedido quando a conta da sessão não é a dona do arquivo, sem passar por cache compartilhado. O texto passou a separar os dois casos em vez de descrever toda imagem igual. A segunda era sobre o Asaas: a abertura da conta de recebimento do studio já está disponível no painel, e data de nascimento, endereço completo e faturamento mensal declarado já são enviados quando a profissional pede essa conta; o texto anterior os contava como envio futuro. O que continua desligado, e passou a estar escrito com essas palavras, é a cobrança do atendimento pela plataforma, e é por isso que nenhum dado de cliente final chega ao Asaas. Nesta versão também entrou o canal de suporte no corpo dos Termos, em vez de aparecer só no rodapé, e a definição de hora útil ficou junto dele.
Versão 1.2— 3 de setembro de 2026: Correção dos números de backup e das afirmações de criptografia, que ainda descreviam o provedor de banco anterior. A janela de recuperação a ponto no tempo era declarada como 6 horas 'oferecida pelo provedor'; o banco passou a ser próprio em 25 de agosto de 2026, a recuperação é mantida por nós com arquivamento contínuo do log de transações, e a janela real é de cerca de três semanas. A afirmação de que o banco é 'cifrado em repouso pelo provedor' foi retirada dos quatro documentos: o disco do servidor não é cifrado, e o que é cifrado por nós são as cópias de segurança, antes de saírem da máquina, e as credenciais de integração dentro da aplicação. E a cópia externa e o teste de restauração deixaram de ser descritos como promessa: os dois estão ativos, a cópia de hora em hora e o teste semanalmente.
Versão 1.1— 2 de setembro de 2026: Correção da entrada do Asaas na lista de sub-operadores. O texto anterior dizia que a integração rodava no ambiente de testes do Asaas; essa afirmação foi retirada, e a entrada passou a descrever apenas o dado que chega lá. A finalidade passou a incluir a abertura da conta de recebimento do studio, e a lista de dados passou a nomear a data de nascimento, o endereço completo e o faturamento mensal declarado, que não constavam. Nesta data esses três eram descritos como envio futuro; a versão 1.3 corrigiu essa parte.
Versão 1.0— 25 de agosto de 2026: Primeira versão publicada como documento da empresa. Até aqui as páginas traziam um aviso de que eram minuta. A numeração recomeça em 1.0 porque as versões anteriores (“Minuta 1.0” e “Minuta 1.1”) eram rascunho declarado, e não versões deste documento. Nesta versão também foram corrigidos: a janela de recuperação do banco, que constava como 7 dias e naquela data era de 6 horas; a descrição da transferência internacional, que passou a dizer qual instrumento está em vigor hoje em vez de citar cláusulas ainda não firmadas; e o que acontece com o arquivo das fotos quando os dados de uma cliente são apagados, que o texto anterior descrevia ao contrário do que o sistema faz.

Documentos relacionados