Fornecedores que processam dados pessoais em nome da Noria, ao abrigo do artigo 28.º do RGPD
Um Subprocessador é uma entidade externa contratada pela Noria para tratar dados pessoais em nome dos nossos Contratantes (Responsáveis pelo Tratamento). Cada subprocessador está vinculado a um contrato escrito que cumpre os requisitos do artigo 28.º, n.º 4 do RGPD, incluindo confidencialidade, segurança técnica e organizativa, e auditabilidade.
Sempre que possível, privilegiamos fornecedores com infraestrutura e tratamento exclusivamente no Espaço Económico Europeu (EEE). Quando isso não é viável, garantimos uma das salvaguardas previstas no Capítulo V do RGPD:
| Subprocessador | Finalidade | Categorias de Dados | Localização | Base de Transferência |
|---|---|---|---|---|
| Meta Platforms Ireland Ltd. WhatsApp Business API | Envio e receção de mensagens, gestão de templates aprovados, autenticação de números | Número de telefone, nome do contacto, conteúdo das mensagens, metadados de entrega | Irlanda (EEE) | SCC + DPF |
| Google Ireland Ltd. Google Calendar API + OAuth 2.0 | Sincronização de eventos, agendamento de reuniões, autenticação OAuth | Email, eventos de calendário, tokens de acesso (cifrados) | Irlanda (EEE) + EUA | SCC + DPF |
| OpenAI Ireland Ltd. API gpt-4o-mini | Processamento de linguagem natural para os agentes de IA configurados pelo Contratante | Conteúdo das mensagens (apenas o necessário para a resposta), guardrails do tenant | Irlanda (EEE) + EUA | SCC + DPF |
| __PROVIDER_HOSTING__ Infraestrutura cloud e bases de dados | Hospedagem da plataforma, bases de dados PostgreSQL, armazenamento de ficheiros | Todos os dados da Plataforma (cifrados em repouso AES-256 e em trânsito TLS 1.2+) | __REGIAO_HOSTING__ (UE) | UE/EEE |
| __PROVIDER_EMAIL__ Email transacional | Envio de notificações, alertas de segurança, recuperação de password | Email, conteúdo das notificações | __REGIAO_EMAIL__ | UE/EEE |
Para além dos subprocessadores acima, o Contratante pode ativar integrações adicionais (CRM, gateway de pagamento, gestão financeira, etc.) através do menu de Integrações. Nestes casos, o Contratante torna-se responsável pela base legal e pelo Acordo de Tratamento de Dados com esses fornecedores externos. A Noria atua apenas como intermediário técnico para a transmissão dos dados configurados.
Comprometemo-nos a notificar todos os Contratantes com pelo menos 30 dias de antecedência antes de adicionar, substituir ou remover qualquer subprocessador desta lista, conforme o artigo 28.º, n.º 2 do RGPD. A notificação é feita por:
O Contratante tem o direito de se opor à utilização de um novo subprocessador em prazo razoável. Caso a oposição não seja resolvida, qualquer parte pode resolver o contrato sem penalização.
Os contratos de subprocessamento, certificações de segurança, relatórios SOC 2/ISO 27001 e Avaliações de Impacto de Transferência (TIA) podem ser disponibilizados a Contratantes Enterprise mediante NDA, através de pedido a contacto@noria.pt com o assunto “Auditoria — Subprocessadores”.