Infraestrutura
Tratam a totalidade dos dados e sustentam a operação do produto. É onde os dados ficam em repouso.
| Suboperador | Finalidade | Dados tratados | Onde processa |
|---|---|---|---|
| Supabase | Banco de dados, autenticação e armazenamento de arquivos | Todas as categorias, incluindo dados sensíveis | Brasil |
| Vercel | Execução e entrega da aplicação | Todas as categorias, em trânsito; registros de requisição | Brasil (borda global) |
Funcionalidades com transferência internacional
Serviços que processam dados fora do Brasil. Cada transferência observa o art. 33 da LGPD e é amparada por instrumento contratual que assegura proteção compatível com a legislação brasileira.
| Suboperador | Finalidade | Dados tratados | Onde processa |
|---|---|---|---|
| Render (reconhecimento facial) | Extração do vetor facial para identificação no controle de acesso | Dado biométrico | Estados Unidos |
| Render (mensageria não oficial) | Canal de WhatsApp não oficial | Telefone e conteúdo das mensagens | Estados Unidos |
| Meta Platforms | Canal de WhatsApp oficial | Telefone, conteúdo e mídia | Estados Unidos / Irlanda |
| Resend | E-mail transacional e de marketing | Nome, e-mail e conteúdo da mensagem | Estados Unidos |
| Sentry | Monitoramento de erros da aplicação | Identificadores técnicos — transmissão de dado pessoal desabilitada | Estados Unidos |
| PostHog | Análise de uso do produto | Eventos de uso e identificadores | Estados Unidos |
| OpenAI | Recursos de IA, incluindo transcrição de mensagem de voz | Conteúdo submetido à funcionalidade | Estados Unidos |
| Google (IA) | Recursos de inteligência artificial | Conteúdo submetido à funcionalidade | Estados Unidos |
| DeepSeek | Recursos de inteligência artificial | Conteúdo submetido à funcionalidade | Chinaver nota |
| Voyage AI | Vetorização de imagem de produto para busca no catálogo | Imagem de catálogo | Estados Unidos |
| Expo | Distribuição do aplicativo e notificações | Identificador de dispositivo | Estados Unidos |
| Google (Mapas e Perfil da Empresa) | Endereços e perfil do estabelecimento | Endereço e dados públicos do estabelecimento | Estados Unidos |
| Arcjet | Limitação de requisições e detecção de automação | Endereço IP | Estados Unidos |
| IPinfo / ipapi | Geolocalização aproximada por IP na assinatura eletrônica | Endereço IP | Estados Unidos |
Meios de pagamento e serviços
Processam cobrança, conciliação e convênio corporativo. A escolha do meio de pagamento é da Empresa contratante.
| Suboperador | Finalidade | Dados tratados | Onde processa |
|---|---|---|---|
| Pagar.me | Adquirência e assinatura | Nome, CPF e dados de cartão | Brasil |
| Stone | Pagamento presencial e adquirência | Transação e dados de cartão | Brasil |
| Vindi | Assinatura (legado) | Nome e CPF | Brasil |
| Paggo | Conciliação e pagamento de títulos | Título, transação e favorecido | Brasil |
| Stripe | Adquirência e assinatura | Nome, e-mail e cartão tokenizado | Estados Unidos / Irlanda |
| Colmeia | Atendimento por webchat | Identificação e conteúdo da conversa | Brasil |
| Wellhub, TotalPass | Convênio corporativo | Identificação e registro de utilização | Brasil / Estados Unidos |
Consulta cadastral
Acionada por usuário autorizado da Empresa contratante, a quem cabe definir a base legal e a finalidade do uso.
| Suboperador | Finalidade | Dados tratados | Onde processa |
|---|---|---|---|
| CheckTudo | Preenchimento assistido de cadastro a partir do CPF | Envia CPF; recebe nome, nascimento, documento, contato e endereço | Brasil |
Provedor de IA sediado na China
O provedor DeepSeek processa as requisições em território chinês. A transferência observa o art. 33, II, da LGPD, é amparada por cláusulas contratuais específicas e se limita ao conteúdo submetido à funcionalidade que o utiliza.
A Empresa contratante pode, a qualquer tempo e sem custo, solicitar que os recursos de IA contratados por ela não sejam roteados a esse provedor — hipótese em que passam a ser direcionados exclusivamente a provedores nos Estados Unidos ou no Brasil. O pedido é atendido em até 5 dias úteis pelo canal indicado ao final desta página.
Destinatários que não são suboperadores
Publicados por transparência. Nestes casos a transmissão decorre de instrução da própria Empresa contratante ou de dever legal, e não de contratação feita pela Octalab.
- Sistema de gestão anterior ou paralelo da EmpresaImportação ou espelhamento de dados por instrução da Empresa contratante — por exemplo Pacto, EVO ou CloudGym.
- Administrações tributárias federal, estaduais e municipaisCumprimento de obrigação legal na emissão de documento fiscal.
- Serviços públicos de consultaEndereço postal e Banco Central — consulta a dado público, sem transmissão de dado pessoal identificável.
Histórico de alterações
- Publicado em 09/09/2026, vigente desde 09/09/2026Publicação inicial da lista. Nenhum suboperador foi incluído nesta data — a lista descreve os serviços já em uso, e o prazo de aviso prévio passa a valer para as inclusões seguintes.
Dúvidas sobre tratamento de dados?
Fale com nosso Encarregado de Proteção de Dados. Pedidos relativos ao Adendo de Tratamento de Dados, inclusive objeção a suboperador, entram por este canal.