Fornecedores de Infraestrutura e Suboperadores

1. Abrangência e fornecedores informados

Este inventário trata do Lumez, oferecido pela Digital Directive em lumez.digital-directive.com, com mercados iniciais na América do Sul. A Digital Directive informa utilizar Amazon Web Services (AWS), Google Cloud e Vercel, além de infraestrutura que ela própria opera. As entradas abaixo distinguem esses fornecedores de componentes de software e destinatários escolhidos pelos clientes.

Os nomes dos fornecedores foram confirmados pela Digital Directive. Ainda não foram confirmados, para cada entrada, os serviços específicos, as entidades jurídicas contratantes, a distribuição dos dados, os locais de tratamento e backup e os instrumentos contratuais aplicáveis. Identificar um fornecedor não significa que todas as categorias de dados do Lumez sejam enviadas a ele, que todos os serviços que oferece sejam utilizados ou que um acordo específico de tratamento tenha sido aceito.

2. Os papéis dependem da atividade de tratamento

Quando a Digital Directive trata informações do workspace sob instruções de um cliente empresarial, um fornecedor contratado pela Digital Directive para executar parte desse tratamento pode ser suboperador. A mesma empresa pode exercer outro papel em atividade diferente. A análise deve seguir as decisões, instruções e o contrato reais, em vez de um rótulo geral aplicado a todo serviço.

• Prestadores utilizados na administração própria de contas, no relacionamento comercial ou em obrigações legais da Digital Directive podem ser seus operadores ou controladores independentes, conforme a atividade. As informações pertinentes também devem constar da Política de Privacidade.
• Um destinatário escolhido e contratado diretamente pelo cliente não é automaticamente suboperador da Digital Directive. Integrações administradas pelo cliente exigem análise própria de responsabilidades e instruções.

3. Componentes de software e ambiente local

A configuração local examinada utiliza os componentes abaixo. Instalar ou executar um software não demonstra, por si só, que seu desenvolvedor recebe dados pessoais ou presta um serviço hospedado ao Lumez. Componentes de software e empresas contratadas para operar sua infraestrutura são elementos distintos no inventário de tratamento.

• PostgreSQL: software de banco de dados para registros da aplicação. Sua presença não identifica um provedor contratado de hospedagem do banco.
• Redis: software utilizado na infraestrutura de processamento e filas. Sua presença não comprova contratação de um serviço gerenciado em nuvem.
• MinIO: armazenamento local de objetos compatível com a interface S3. Essa compatibilidade não identifica os serviços utilizados da AWS nem estabelece o país em que os dados de produção são armazenados.
• Mailpit e Better Auth: respectivamente, ferramenta local de teste de e-mail e biblioteca de autenticação utilizada pela aplicação. Não comprovam um fornecedor de envio de e-mail em produção nem um provedor externo de identidade hospedada.

4. Fornecedores informados e infraestrutura própria

Os nomes a seguir são os fornecedores de infraestrutura informados pela Digital Directive. O papel e o alcance do acesso de cada fornecedor dependem do serviço e do contrato efetivos. Sua inclusão aqui não estabelece que cada um trate conteúdo de mensagens, credenciais ou todas as demais categorias de dados.

• Amazon Web Services (AWS): fornecedor de nuvem informado. Os serviços AWS utilizados, a entidade jurídica contratante, as categorias pertinentes de dados e as regiões de produção ou backup ainda não foram confirmados neste inventário.
• Google Cloud: fornecedor de nuvem informado. Os serviços utilizados, a entidade jurídica contratante, as categorias pertinentes de dados e os locais de tratamento ainda não foram confirmados neste inventário. Esta entrada não estabelece uso de modelos de IA do Google.
• Vercel: fornecedor informado utilizado na operação do Lumez. Os serviços específicos, a entidade jurídica contratante, as categorias pertinentes de dados e os locais de tratamento ainda não foram confirmados neste inventário.
• Infraestrutura própria: operada pela Digital Directive e, portanto, não constitui um terceiro suboperador separado. Eventual fornecedor externo envolvido nessa infraestrutura deve ser avaliado separadamente conforme seu acesso e papel efetivos; o local e o alcance da infraestrutura própria não foram confirmados aqui.

5. Detalhes do tratamento por serviço

Para cada fornecedor, o registro de tratamento deve identificar as informações abaixo em relação aos serviços efetivamente utilizados. Esse mapeamento abrange eventual hospedagem, bancos de dados, armazenamento, backups, e-mail, monitoramento, suporte ou cobrança que recebam dados pessoais ou possam acessá-los; listar uma categoria não estabelece que determinado fornecedor a preste.

• Entidade jurídica e nome do serviço; parte que o contrata; papel de operador, suboperador ou controlador independente; e finalidades efetivamente autorizadas.
• Categorias pertinentes de dados e titulares; acesso a conteúdo, metadados ou credenciais; países de armazenamento, backup e acesso de suporte; e condições de retenção ou eliminação.
• Acordo de tratamento, compromissos de segurança e mecanismo de transferência aplicáveis; uso obrigatório ou dependente de recurso habilitado pelo cliente; e data de verificação da entrada.

6. Integração com Meta e WhatsApp

O Lumez inclui integração com a WhatsApp Business Platform e APIs da Meta. Quando se utiliza uma conexão real, a operação pode envolver identificadores de empresa e conta, números de telefone, credenciais do canal, conteúdo e mídia de mensagens, informações de entrega e eventos de webhook, conforme as funções habilitadas. Uma simulação local não comprova que esses dados tenham sido transmitidos à Meta.

Meta/WhatsApp é identificado aqui como integração. A entidade contratante aplicável e o papel jurídico dependem do modelo real de conexão e da atividade de tratamento. A entidade pertinente, os contratos aceitos pela Digital Directive e pelo cliente e as responsabilidades por categoria devem ser identificados nessa relação. Os termos de mensagens empresariais e de tratamento devem ser considerados em conjunto; uma atividade de controlador independente não deve ser apresentada como suboperação.

7. Recursos de inteligência artificial

A funcionalidade de agentes de IA examinada permite atualmente publicação apenas com seu ambiente local simulado. Isso não estabelece transmissão a um fornecedor externo de modelos. O uso informado de infraestrutura Google Cloud não significa que um serviço de IA do Google esteja habilitado, e nomes de funcionalidades ou bibliotecas instaladas não comprovam contratação de outro fornecedor externo de modelos.

Antes de ativar um provedor externo de IA, o inventário e a análise contratual devem especificar os dados enviados, finalidades, retenção, acesso por pessoal, uso ou não uso para treinamento, locais de tratamento e controles do cliente. Não se pode inferir do simulador atual uma garantia geral de ausência de treinamento nem autorização para treinar com conversas.

8. Destinos configurados pelo cliente

Automações podem enviar dados a um webhook HTTPS escolhido pelo cliente. O destino e as informações incluídas na ação precisam ser avaliados antes de habilitar a automação. A aceitação técnica de uma URL não verifica o contrato, as práticas de privacidade ou as garantias de transferência internacional do destinatário.

Quando o cliente escolhe e contrata diretamente esse destino, seu responsável não se torna automaticamente suboperador da Digital Directive. Devem ser documentadas as instruções do cliente e as responsabilidades correspondentes, inclusive quais dados podem ser enviados e como interromper o acesso ou os próximos envios. Se a própria Digital Directive contratar o destino para prestar seu serviço, essa relação deverá ser avaliada para inclusão em seu inventário de fornecedores.

9. Países e transferências internacionais

A sede de um fornecedor, a marca de um software, o domínio oficial ou os mercados iniciais na América do Sul não determinam onde os dados pessoais são tratados. Armazenamento, réplicas, backups e acesso remoto de suporte devem ser mapeados separadamente. As regiões utilizadas pela AWS, Google Cloud, Vercel e infraestrutura própria não estão especificadas aqui; este inventário não estabelece compromisso de residência exclusiva dos dados.

Para transferências sujeitas à LGPD brasileira, o fluxo real deve se apoiar em mecanismo jurídico aplicável e atender aos requisitos de transparência. As cláusulas padrão contratuais da ANPD, quando utilizadas, devem observar o texto e as condições oficiais; este documento não as reproduz nem afirma que já foram assinadas.

Quando o GDPR ou as regras britânicas forem aplicáveis, as transferências exigem análise própria sob essas normas. As decisões de adequação de 2026 entre Brasil e União Europeia podem ser pertinentes dentro de seu alcance, mas não abrangem automaticamente transferências posteriores nem estabelecem adequação britânica. Obrigações da Califórnia, inclusive eventuais restrições de prestador de serviços ou contratado, também dependem da incidência legal e da relação efetiva. Disponibilizar traduções não determina, por si só, qual desses regimes se aplica.

10. Aprovação, mudanças e solicitações dos clientes

A avaliação de um suboperador deve abordar necessidade e alcance do acesso, confidencialidade, medidas de segurança, assistência em direitos e incidentes, retenção e eliminação e novas subcontratações. Os contratos aplicáveis devem estabelecer instruções e responsabilidades compatíveis com o papel exercido. Este inventário não certifica um fornecedor, uma auditoria concluída ou um compromisso de nível de serviço.

Inclusões ou substituições relevantes devem observar o acordo de tratamento e as exigências legais aplicáveis, inclusive eventuais direitos de autorização ou objeção do cliente. O prazo específico de aviso e a forma de notificação devem ser estabelecidos na relação pertinente; este documento não afirma existir um mecanismo automatizado de assinatura de avisos.

Pedidos de privacidade, suporte e informações sobre fornecedores podem ser enviados a arthurgfcardozo@gmail.com ou à Digital Directive pelo endereço postal identificado nestes documentos. Identifique o workspace e o serviço pertinentes sem enviar tokens de acesso ou conteúdo desnecessário de conversas. Solicitações de titulares seguem a Política de Privacidade e o documento de Direitos e Exclusão, inclusive os controles autenticados existentes. Remover uma integração não comprova, por si só, a eliminação de todas as cópias mantidas pelos destinatários.