Subprocessadores
Última atualização: 2026-09-19
A Lefia utiliza os subprocessadores listados abaixo para operar a plataforma. Cada um publica um DPA (link na tabela) e mantém suas próprias certificações. Atualizamos esta lista quando adicionamos ou removemos um fornecedor.
Versão desta lista: 1.2.0
| Nome | Finalidade | Localização dos dados | Certificações | DPA |
|---|---|---|---|---|
| Vercel Inc. | Hosting da aplicação web, Functions, Edge Network e Routing Middleware. | EUA · iad1 (Washington, D.C.) · edge global | SOC2 Type 2ISO 27001GDPR | DPA |
| Supabase Inc. | Banco de dados Postgres gerenciado, autenticação, storage e Row-Level Security. | EUA · AWS us-east-1 (Virgínia do Norte) | SOC2 Type 2HIPAA | DPA |
| Resend Inc. | Envio de emails transacionais (notificações, convites, recuperação de senha). | EUA | SOC2 Type 2GDPR | DPA |
| Functional Software, Inc. (Sentry) | Captura e agregação de erros de aplicação para monitoramento e debug. | UE · Alemanha | SOC2 Type 2ISO 27001GDPR | DPA |
| Anthropic PBC | Funcionalidades de IA usando Anthropic AI (agentes de análise e geração). | EUA | SOC2 Type 2 | DPA |
| Voyage AI, Inc. | Embeddings (vetores semânticos) usados na sugestão de mapping pra match de campos sem precisar invocar LLM. Não armazena conteúdo do cliente. | EUA | SOC2 Type 2 | DPA |
| GitHub, Inc. | Hospedagem de código-fonte e CI/CD. | EUA | SOC2 Type 2ISO 27001 | DPA |
| Google LLC (Google Workspace) | E-mail das caixas institucionais (dpo@, legal@, security@), que recebem pedidos de titulares e contatos jurídicos e de segurança. | Global · EUA | SOC2 Type 2ISO 27001GDPR | DPA |
Onde os dados ficam e o que isso significa
A produção da Lefia roda nos Estados Unidos: banco de dados, autenticação e arquivos no Supabase sobre AWS us-east-1 (Virgínia do Norte); a aplicação na Vercel, com functions em iad1 (Washington, D.C.) e conteúdo estático na edge global; e-mail transacional no Resend e recursos de IA na Anthropic, também nos EUA. O Sentry, que recebe erro de aplicação, fica na União Europeia (Alemanha). Para um cliente no Brasil, guardar dado pessoal fora do país é transferência internacional sob a LGPD (Art. 33); o instrumento contratual que a ampara faz parte do DPA, e o registro da operação fica no nosso Registro de Operações de Tratamento.
Mudanças nesta lista
Notificamos clientes ativos com 30 dias de antecedência antes de adicionar novo subprocessador para tratamento de dados pessoais. Mudanças menores (regiões, planos) são publicadas aqui sem notificação prévia.
- v1.2.02026-09-19
Supabase passa a declarar a infraestrutura subjacente: AWS us-east-1 (Virgínia do Norte). Nenhum fornecedor entrou ou saiu — a hospedagem sempre foi essa; a lista é que não dizia.
- v1.1.02026-09-17clientes ativos avisados
Google Workspace incluído (caixas institucionais que recebem pedidos de titulares). Cloudflare removida — não está em uso. Sentry corrigido para a UE (Alemanha), região real do serviço, e Vercel passou a declarar a região das functions (iad1).
- v1.0.12026-05-18
Revisão periódica sem mudança de fornecedor.
- v1.0.02026-05-14
Primeira publicação da lista.
Dúvidas sobre subprocessadores
Para DPA assinado, lista detalhada de fluxo de dados ou auditoria, contate legal@lefia.ai.