Subprocessadores

Última atualização: 28 de outubro de 2026

Versão 1.10

A Coleira trata os dados dos donos dos cães por conta de cada creche: a creche é a responsável pelo tratamento e a Coleira é a subcontratante. Para prestar o serviço, a Coleira recorre a outras empresas — os subprocessadores. Esta página diz quem são, o que fazem, que dados lhes chegam e em que país os tratam.

A tabela seguinte identifica os fornecedores que tratam dados por conta das creches e que constam do Anexo II do contrato de subcontratação ao abrigo do artigo 28.º do RGPD. Uma nota separada identifica os fornecedores do correio próprio da Coleira, em que esta atua como responsável pelo tratamento. As Política de Privacidade e os Termos e Condições remetem para aqui.

1. Quem trata dados por conta da Coleira

Hetzner Online GmbH

• Serviço prestado: alojamento do servidor da aplicação e da base de dados.
• Dados a que acede: todos os dados pessoais que estão na base de dados — donos dos cães, pessoas autorizadas a levantá-los, cães, marcações, registos do dia e contas de quem trabalha na creche, conta corrente, pedidos e lista de espera; e, fora da base de dados, os registos de acessos e de erros do servidor.
• País: Finlândia (Helsínquia).
• Base para a transferência: União Europeia. Não há transferência internacional. A conta lista o DPA de 10-10-2026; o Apêndice 1 identifica categorias de dados pessoais, comunicação, contrato, registos e faturação/pagamento, e titulares clientes/interessados e trabalhadores. A cópia descarregável fica nos registos contratuais da Coleira.

Scaleway SAS

• Serviço prestado: armazenamento dos ficheiros (espaço coleira-fotos) e das cópias de segurança (espaço coleira-copias), na região fr-par.
• Dados a que acede: fotografias e vídeos dos cães e as miniaturas que a aplicação faz das fotografias, logótipos, contratos e autorizações assinadas, comprovativos de vacinação, incluindo os que o dono carrega na página dele; e, nas cópias de segurança, a totalidade dos dados da base de dados, cifrados antes de saírem do servidor.
• País: França.
• Base para a transferência: União Europeia. Não há transferência internacional.

Resend

• Serviço prestado: envio de emails da plataforma. A conta tem um endereço inbound do correio próprio; o prestador confirmou receção testada em 11-10-2026.
• Dados a que acede: o endereço de quem recebe e o conteúdo integral das mensagens — incluindo o resumo da semana, enviado à sexta, ao sábado ou ao domingo, com as fotografias do cão anexadas, os avisos de incidente, de doença e de marcação dirigidos aos donos, o aviso de que uma vacina do cão caduca nos 30 dias seguintes, o lembrete de pagamento, com o valor em dívida, o IBAN e o MB Way da creche, o pedido de pagamento online, com o valor, a descrição que a creche escreveu, o link de pagamento e, se a creche os tiver, o IBAN e o MB Way, o link para o dono escolher a palavra-passe da conta dele, válido por 60 minutos, o aviso de lista de espera a quem fez um pedido na página pública, os convites e recuperações de palavra-passe dirigidos a quem trabalha na creche, e os emails que vão para a própria creche: o reporte de doença escrito por um dono; a lista semanal das vacinas que caducam nos 14 dias seguintes, com o cão, a vacina, a data e o nome do dono; o aviso de vaga, com o nome e o telefone de quem está à espera; e o aviso de pedido novo, com o nome de quem pediu, o cão, o serviço, os dias pedidos e, quando aplicável, o estado e o motivo pelo qual o pedido não foi aceite. O aviso de doença enviado aos donos contactantes contém uma mensagem genérica e os dias de presença do cão de cada destinatário na creche; não inclui o título, a descrição nem identificadores diretos do cão doente ou do dono que reportou. A combinação dos dias com outras informações que o destinatário conheça pode permitir inferências. Nos emails aos donos, o nome da creche vai como remetente e o email da creche como endereço de resposta; no reporte de doença enviado à creche, o endereço de resposta é o do dono que o escreveu, quando a ficha dele tem email.
• País: a região configurada para envio é eu-west-1, na Irlanda; a Resend declara que os dados da conta, o conteúdo das mensagens, os anexos e os logs são armazenados nos Estados Unidos da América. No plano Free, email e logs são retidos por 30 dias; os dados remanescentes após encerramento são apagados em até 90 dias e as cópias de segurança duram 7 dias. A documentação diz que emails inbound e anexos são armazenados mesmo sem webhook; não publica um prazo de expiração separado para os ficheiros de anexos inbound.
• Base para a transferência: a Resend publica um DPA com Cláusulas Contratuais-Tipo e refere o EU-US Data Privacy Framework quando aplicável. A página Documents da conta informa que o DPA pré-assinado pelo fornecedor fica plenamente executado no registo; não exige assinatura separada. O DPA contém SCCs e a Resend declara que estas continuam a valer independentemente do DPF. Na consulta de 10 de outubro de 2026, o perfil oficial identificava Plus Five Five, sem outras entidades abrangidas, e mostrava a participação ativa para dados não laborais, com a recertificação em análise e prazo seguinte em 3 de março de 2027. Ver perfil oficial da Resend.

Cloudflare, Inc. — DNS da plataforma

• Serviço prestado: DNS autoritativo e desafio DNS-01 usado para obter o certificado TLS. Os registos A são “DNS only”; o tráfego HTTP da aplicação vai diretamente à Hetzner e a Let's Encrypt emite o certificado.
• Dados técnicos: pedidos de resolução dos domínios da plataforma e metadados técnicos que acompanham esses pedidos. A plataforma não envia à Cloudflare o conteúdo das páginas nem os dados das creches pelo proxy HTTP.
• País e transferência: a entidade é dos Estados Unidos. O perfil DPF identifica Cloudflare, Inc., sem outras entidades abrangidas, e mostra participação para dados não laborais, com certificação DPF ativa (verificada a 28 de outubro de 2026; próxima recertificação até 15 de setembro de 2027; ID 5666). A Cloudflare declara que o DPA standard v6.4 integra o contrato Self-Serve e prevê SCCs se necessários; o contrato concreto da conta, a identidade contratante e o âmbito da função têm de ser confirmados antes de afirmar cobertura. Ver perfil oficial da Cloudflare.

Fluxos de correio recebido pela Coleira

A Coleira utiliza Cloudflare Email Routing/Worker e Resend inbound no percurso documentado do correio. O prestador confirmou em 11 de outubro de 2026 receção repetidamente testada dos emails. Isso não equivale a vigilância permanente ou a garantia de entrega de toda a mensagem. Nos contactos comerciais e administrativos próprios, a Coleira é responsável pelo tratamento. Se uma mensagem de suporte contiver dados operacionais de uma creche, trata esses dados por conta da creche e aplicam-se as obrigações do contrato de proteção de dados.

• Dados: remetente, destinatário, mensagem integral, anexos e metadados.
• Localização: entidades dos EUA; a Resend declara armazenamento nos EUA. A região de envio na Irlanda não altera essa localização.
• Contratos: o DPA Resend é executado no registo da conta. A Cloudflare publica incorporação do DPA standard no contrato Self-Serve; a prova da conta concreta e da cobertura de Email Routing deve ser conservada. Os mecanismos de transferência aplicáveis devem cobrir os dados e o fluxo utilizado; uma inscrição DPF não comprova tudo.
• Conservação do fornecedor: a Resend publica 30 dias para emails e logs, até 90 dias para eliminação após encerramento e sete dias para cópias; não publica prazo autónomo para anexos inbound. Estes limites não substituem a política própria de arquivo.
• Dados operacionais: não enviar por email. Acordar previamente um canal seguro com cobertura contratual documentada para os prestadores envolvidos.

2. O que não é verdade dizer

Não fica tudo alojado na União Europeia. O servidor está em Helsínquia, na Finlândia, e os buckets estão em França. O envio transacional da Resend usa a região eu-west-1, na Irlanda, enquanto a Resend declara armazenamento de conteúdo e registos nos Estados Unidos. A Cloudflare fornece DNS e encaminhamento; a Let's Encrypt emite o certificado TLS. O correio próprio utiliza Cloudflare e Resend inbound; a receção foi confirmada pelo prestador em 11-10-2026. O DPA da Resend está executado no registo da conta; email e logs ficam 30 dias no plano Free, mas não há prazo separado publicado para anexos inbound. A Cloudflare incorpora o DPA standard no contrato Self-Serve, mas falta confirmar o contrato concreto e o âmbito do Email Routing. Um perfil DPF da entidade não prova, por si só, que cada conta e fluxo está coberto.

Não há ferramentas de estatísticas de visitantes, não há rastreio de erros com envio para terceiros e não há publicidade.

A plataforma não incorpora mapas. Nas definições e na página pública da creche, a Coleira mostra uma ligação externa. Uma morada escrita é convertida numa pesquisa Google Maps; um URL colado conserva o destino que a creche indicou. O navegador só pede o mapa quando a pessoa segue a ligação. O destino recebe os dados normais da navegação e a URL, que pode incluir a localização, e aplica a sua própria política. A ligação não envia a página da Coleira como referência. A entidade jurídica e os países do destino não se deduzem do código da ligação.

Um serviço que não é subprocessador. Quando alguém escolhe uma palavra-passe, a aplicação confirma se ela aparece em fugas de dados conhecidas, no serviço Pwned Passwords. Só sai do servidor o início de um resumo criptográfico da palavra-passe (5 caracteres), que não identifica nem a palavra-passe nem a pessoa; a comparação faz-se no servidor da Coleira.

O WhatsApp não é subprocessador da Coleira. A aplicação não envia mensagens pelo WhatsApp nem lhe transmite dados: abre o WhatsApp no telemóvel ou no computador de quem trabalha na creche, com o texto já escrito, e é essa pessoa que decide enviar, no serviço que a creche usa. A Coleira guarda só os textos-modelo da creche e o registo de que a conversa foi aberta, com o cliente, quem a abriu, a mensagem escolhida e a hora.

O Stripe não é subprocessador da Coleira. Os pagamentos online são uma função opcional. Só funcionam se a creche ligar a sua própria conta Stripe, que contrata diretamente com o Stripe, em nome próprio e nas condições do Stripe, incluindo o acordo de tratamento de dados que o Stripe celebra com quem usa o serviço. Para o pagamento, o Stripe trata os dados por conta da creche; para as finalidades próprias que esse acordo declara, como a prevenção de fraude e o cumprimento de obrigações legais, é responsável pelo tratamento. A Coleira não escolhe nem contrata o Stripe em nome da creche e, por isso, não o inclui na lista acima.

Quando o dono do cão carrega em «Pagar» no link que a creche lhe mandou, a Coleira, por instrução da creche, envia à conta Stripe da creche o valor e a moeda, uma descrição com o nome da creche, o email do dono se a ficha o tiver, um identificador aleatório e os endereços de regresso à página do link. Não envia o nome do cão, as datas nem o detalhe da dívida. Do Stripe, a Coleira recebe avisos automáticos sobre o pagamento, o reembolso e a disputa, e guarda apenas os identificadores do Stripe, os valores, a moeda, o estado e as datas. O número do cartão e o código de segurança nunca passam pela Coleira. O dinheiro entra na conta Stripe da creche: a Coleira não é parte no pagamento, não cobra comissão e não movimenta dinheiro. A conta corrente continua a não emitir faturas.

3. O que a Coleira exige a cada um

• Contrato escrito com obrigações de proteção de dados equivalentes às que a Coleira assume perante a creche — instruções, confidencialidade, segurança, assistência e apagamento.
• A Coleira continua integralmente responsável perante a creche pelo que os seus subprocessadores fizerem.
• A lista é revista anualmente, e cada empresa é avaliada quanto às garantias que oferece antes de ser contratada.

4. Antes de mudar esta lista

Para acrescentar ou substituir um subprocessador, a Coleira avisa cada creche por email, com pelo menos 10 dias de antecedência em relação ao dia em que o novo subprocessador começa a tratar seja o que for. O aviso diz quem é, que serviço vai prestar, a que dados terá acesso, em que país os trata e qual a base para a transferência. A Coleira envia o aviso sem demora depois de receber a notificação do fornecedor.

A creche pode opor-se, por escrito e com fundamento em motivos de proteção de dados, durante os 10 dias de calendário, contados da entrega comprovada do aviso. O novo subprocessador não trata dados antes de o prazo integral terminar. O RGPD exige que seja dada oportunidade de oposição, mas não fixa um número de dias; os 10 dias são a margem contratual escolhida pela Coleira e não um prazo legal seguro universal. Se o prazo do fornecedor for inferior, ou não permitir dar estes 10 dias, a Coleira pede uma extensão, mantém o fornecedor anterior ou suspende a funcionalidade afetada até poder cumprir o aviso. A falta de oposição só vale depois de decorridos os 10 dias. Havendo oposição, o novo fornecedor fica sem acesso enquanto se procura uma solução alternativa durante 30 dias; não se chegando a acordo, a creche pode pôr termo ao contrato sem penalização nem indemnização, com efeitos no fim do mês em curso.

Não há exceção ao pré-aviso nem ao prazo de oposição. Se uma falha de segurança, cessação de atividade ou incumprimento grave tornar urgente a substituição e não for possível aguardar, a Coleira suspende o tratamento ou a funcionalidade afetada, salvo se puder continuar com um subprocessador já autorizado. O novo subprocessador só começa a tratar dados depois da notificação e do prazo integral de oposição.

5. Dúvidas

Sobre esta lista, ou sobre qualquer matéria de proteção de dados, escreva para privacidade@coleira.pt.