Aviso de suboperadores e terceiros

11. Conceito e finalidade

Suboperadores e terceiros apoiam funções específicas do SaaS. A contratação de terceiro não amplia a finalidade original do tratamento nem autoriza uso irrestrito dos dados.

22. Categorias previstas

• Hospedagem, infraestrutura de aplicação, armazenamento e banco de dados — disponibilidade, processamento, backup e segurança.
• Mercado Pago — tokenização, cobrança, conciliação e eventos exclusivamente da assinatura do Uai Agendei. Não existe OAuth/checkout financeiro do estabelecimento para cliente final na arquitetura vigente.
• WAME/Meta/WhatsApp — envio, recebimento e eventos técnicos de mensagens quando o canal é habilitado.
• SMTP/e-mail — entrega de comunicações transacionais e, quando autorizado, marketing.
• Web Push — entrega técnica de notificações autorizadas pelo navegador.
• Google/Meta para métricas/tagueamento — somente quando configurados e, para tecnologias não essenciais, após consentimento da categoria correspondente.
• Ferramentas técnicas de observabilidade/segurança, se habilitadas — diagnóstico, disponibilidade e prevenção de incidentes, com minimização de dados.

33. Critérios de contratação

A seleção deve considerar segurança, confidencialidade, controles de acesso, localização de tratamento, resposta a incidentes, subcontratação, exclusão/retorno de dados, continuidade e compromissos de proteção compatíveis com o risco.

44. Transferência internacional

Quando houver transferência internacional, deve ser identificado o mecanismo aplicável nos termos dos arts. 33 a 36 da LGPD e da Resolução CD/ANPD nº 19/2024. A mera existência de contrato comercial com fornecedor estrangeiro não substitui o mecanismo jurídico exigido.

55. Mudanças

Alterações materiais de fornecedor ou finalidade devem ser refletidas neste aviso ou em registro interno equivalente. Quando necessário pelo DPA ou pela lei, o controlador será informado de forma adequada.

66. Informações adicionais

Dúvidas sobre fornecedores, categorias de dados e transferências podem ser encaminhadas para o canal de privacidade/suporte. Informações que revelem segredo comercial, arquitetura de segurança ou credenciais podem ser fornecidas apenas em nível compatível com a finalidade da solicitação.