Lista de subprocessadores

A estrutura abaixo segue o entendimento da ANPD de que o suboperador é o terceiro contratado pelo operador para auxiliar no tratamento de dados, embora o termo não esteja definido expressamente na LGPD. Também contempla a possibilidade de transferência internacional conforme as regras da ANPD. (Guia da ANPD, Resolução CD/ANPD nº 19/2024)

Responsável: BOLHA COMUNICAÇÃO LTDA.
Data de vigência: 31/12/2029
Última atualização: 03/09/2026 às 16:16

1. Escopo

1.1. Esta página apresenta os provedores de tecnologia e serviços que podem tratar dados pessoais em apoio às atividades da BOLHA COMUNICAÇÃO LTDA. (“Bolha”).

1.2. A lista se aplica, conforme o caso:

ao site institucional da Bolha;
aos sistemas, plataformas, sites, aplicativos e experiências digitais desenvolvidos pela Bolha;
aos serviços prestados pela Bolha a seus clientes; e
aos tratamentos realizados por terceiros contratados pela Bolha para executar esses serviços.

1.3. Nem todos os provedores listados são utilizados em todos os projetos. A utilização depende do escopo, da arquitetura, das configurações e das necessidades de cada projeto.

2. Definições e papéis

2.1. Para os fins desta página, subprocessador ou suboperador é o terceiro contratado pela Bolha para auxiliar no tratamento de dados pessoais realizado em nome da Bolha ou de um cliente.

2.2. A Bolha poderá atuar em diferentes posições, conforme o contexto:

como controladora dos dados tratados em suas próprias atividades, como o relacionamento comercial, o site institucional e seus canais de contato;
como operadora, quando tratar dados pessoais em nome de um cliente; ou
como prestadora de serviços que utiliza fornecedores independentes para atividades específicas.

2.3. Quando a Bolha tratar dados pessoais em nome de um cliente, o cliente normalmente será o controlador, a Bolha será a operadora e os provedores listados nesta página poderão atuar como subprocessadores.

2.4. A definição da função de cada parte depende da atividade realizada, do contrato aplicável, das instruções recebidas e da legislação vigente.

3. Projetos desenvolvidos para clientes

3.1. Nos projetos desenvolvidos para clientes, a Bolha poderá tratar dados de usuários finais, funcionários, clientes, fornecedores ou outros titulares conforme as instruções do cliente.

3.2. Os usuários finais desses projetos são regidos pelos termos de uso, políticas de privacidade e políticas de cookies do respectivo projeto.

3.3. Esta página não substitui os documentos de privacidade de cada projeto e não altera as responsabilidades atribuídas ao cliente, à Bolha ou a qualquer outro agente de tratamento.

3.4. Alguns projetos podem utilizar contas de nuvem, bancos de dados ou provedores contratados diretamente pelo cliente. Nesses casos, o provedor poderá não ser um subprocessador da Bolha, mas um fornecedor contratado ou controlado diretamente pelo cliente.

4. Provedores de tecnologia e serviços

4.1. Amazon Web Services (AWS)

Finalidade: hospedagem, armazenamento, processamento, bancos de dados, backups, distribuição de conteúdo, registros técnicos e infraestrutura de nuvem.
Dados que podem ser tratados: dados de cadastro, dados de contato, conteúdo inserido no sistema, arquivos, imagens, vídeos, registros de acesso, endereços IP e informações técnicas.
Aplicabilidade: projetos hospedados ou que utilizem serviços da AWS.
A região de armazenamento e processamento depende da configuração de cada projeto. Alguns serviços podem envolver acesso ou processamento internacional.

4.2. Cloudflare

Finalidade: DNS, CDN, proteção contra ataques, firewall de aplicações, controle de tráfego, segurança, disponibilidade e distribuição de conteúdo.
Dados que podem ser tratados: endereço IP, informações do navegador e do dispositivo, cabeçalhos de requisição, registros de segurança, informações de acesso e conteúdo transmitido pela rede.
Aplicabilidade: projetos que utilizem serviços de rede, segurança, distribuição ou computação da Cloudflare.
Alguns dados podem ser processados em servidores localizados fora do Brasil, conforme o serviço e a configuração utilizados.

4.3. Vercel

Finalidade: hospedagem, publicação, distribuição de conteúdo, ambientes de teste, execução de aplicações e registros de implantação.
Dados que podem ser tratados: conteúdo do site ou aplicação, dados técnicos, registros de acesso, informações de implantação e dados relacionados aos usuários autorizados.
Aplicabilidade: projetos publicados ou operados na infraestrutura da Vercel.

4.4. Google Cloud e Firebase

Finalidade: hospedagem, bancos de dados, autenticação, armazenamento de arquivos, funções de aplicação, notificações, relatórios técnicos e monitoramento.
Dados que podem ser tratados: dados de cadastro, dados de autenticação, conteúdo de usuários, arquivos, identificadores de dispositivos, registros de uso, informações de diagnóstico e dados técnicos.
Aplicabilidade: projetos que utilizem Google Cloud, Firebase ou serviços relacionados.
A utilização de cada serviço depende da configuração e do escopo do projeto. Os dados poderão ser processados no Brasil ou em outros países.

4.5. Supabase

Finalidade: bancos de dados, autenticação, armazenamento de arquivos, funções de aplicação e serviços de backend.
Dados que podem ser tratados: dados de cadastro, credenciais, dados de perfil, conteúdo inserido no sistema, arquivos, registros de acesso e informações técnicas.
Aplicabilidade: projetos que utilizem a infraestrutura ou os serviços do Supabase.

4.6. OpenAI

Finalidade: processamento de linguagem, inteligência artificial, geração e análise de textos, imagens, áudio, documentos ou outros conteúdos, conforme o projeto.
Dados que podem ser tratados: comandos, perguntas, textos, imagens, arquivos, áudios, transcrições, respostas geradas, identificadores técnicos e informações necessárias à operação do serviço.
Aplicabilidade: somente nos projetos que utilizem serviços de inteligência artificial da OpenAI.
A Bolha deverá limitar o envio de dados ao necessário para a finalidade do projeto e às configurações contratadas.

4.7. Twilio e SendGrid

Finalidade: envio de e-mails, mensagens, notificações, comunicações automatizadas, chamadas ou outros canais de comunicação.
Dados que podem ser tratados: nome, endereço de e-mail, número de telefone, conteúdo das mensagens, status de entrega, registros de comunicação e informações técnicas.
Aplicabilidade: projetos que utilizem Twilio, SendGrid ou serviços relacionados.
O conteúdo das comunicações será tratado de acordo com a finalidade do projeto e com as instruções do cliente, quando aplicável.

4.8. GitHub

Finalidade: hospedagem de código, controle de versões, colaboração, revisão de código, automação e integração contínua.
Dados que podem ser tratados: dados de desenvolvedores, identificadores de usuários, código-fonte, registros de alterações, solicitações de alteração, registros de execução e artefatos técnicos.
Os ambientes de desenvolvimento não são destinados ao armazenamento de dados pessoais de usuários finais, salvo quando isso ocorrer de forma necessária, acidental ou autorizada no contexto do projeto.

4.9. GitLab

Finalidade: hospedagem de código, controle de versões, colaboração, integração e entrega contínuas, automação e execução de pipelines.
Dados que podem ser tratados: dados de desenvolvedores, código-fonte, registros de alterações, variáveis de configuração, logs, artefatos e informações técnicas.
A utilização dependerá da estrutura de desenvolvimento e publicação adotada em cada projeto.

4.10. SonarQube e SonarCloud

Finalidade: análise de código, identificação de vulnerabilidades, avaliação de qualidade e apoio aos processos de segurança e integração contínua.
Dados que podem ser tratados: código-fonte, resultados de análise, registros de execução, informações técnicas e dados relacionados aos desenvolvedores.
O SonarQube instalado e operado diretamente pela Bolha ou pelo cliente não será considerado um subprocessador externo. O SonarCloud ou outro serviço hospedado por terceiro poderá ser considerado subprocessador quando tratar dados em nome da Bolha ou do cliente.

4.11. Google Analytics

Finalidade: análise de audiência, navegação, desempenho e utilização do site ou aplicação.
Dados que podem ser tratados: identificadores online, informações do navegador e dispositivo, páginas visitadas, eventos de navegação, dados aproximados de localização e informações técnicas, conforme a configuração adotada.
No site da Bolha, o Google Analytics poderá atuar como fornecedor independente de análise, sujeito à Política de Cookies e às políticas do próprio Google.
Quando utilizado em um projeto de cliente, poderá ser tratado como subprocessador, fornecedor independente ou outro agente de tratamento, conforme a configuração, o contrato e a finalidade definida pelo cliente.

4.12. Outros provedores

A Bolha poderá utilizar outros provedores de hospedagem, armazenamento, comunicação, monitoramento, análise, inteligência artificial, processamento audiovisual, suporte ou segurança.
Esses provedores somente deverão ser utilizados quando forem necessários para a execução do projeto e estiverem sujeitos a obrigações compatíveis de confidencialidade, segurança e proteção de dados.
Quando exigido pelo contrato, pelo acordo de tratamento de dados ou pela legislação aplicável, os novos provedores serão comunicados ao cliente antes ou no momento de sua utilização.

5. Compromissos aplicáveis aos subprocessadores

5.1. A Bolha deverá utilizar subprocessadores apenas quando necessário para executar suas atividades ou os serviços contratados.

5.2. O acesso aos dados deverá ser limitado ao mínimo necessário para a prestação do serviço.

5.3. Os subprocessadores deverão assumir obrigações de confidencialidade, segurança e proteção de dados compatíveis com a atividade realizada.

5.4. Os subprocessadores não deverão utilizar os dados pessoais para finalidade incompatível com aquela definida pela Bolha ou pelo cliente, salvo quando atuarem como controladores independentes para finalidades próprias e legítimas, como cumprimento de obrigação legal, segurança, prevenção a fraudes ou faturamento.

5.5. A Bolha não autoriza a venda de dados pessoais de clientes ou usuários finais pelos subprocessadores.

5.6. O armazenamento, a retenção, a devolução e a eliminação dos dados observarão o contrato, as configurações do serviço, as políticas aplicáveis e as obrigações legais.

6. Inclusão, substituição e remoção de subprocessadores

6.1. A Bolha poderá incluir, substituir ou remover subprocessadores sempre que isso for necessário para manter, aprimorar ou viabilizar seus serviços.

6.2. A Bolha deverá manter esta página atualizada de acordo com os provedores efetivamente utilizados.

6.3. Quando houver previsão contratual de comunicação prévia ou direito de objeção, serão observados os procedimentos e prazos definidos no contrato ou no acordo de tratamento de dados.

6.4. O cliente poderá solicitar informações adicionais sobre os subprocessadores aplicáveis ao seu projeto pelo canal indicado nesta página.

7. Transferência internacional de dados

7.1. Alguns provedores utilizados pela Bolha possuem infraestrutura, equipes ou operações localizadas fora do Brasil. Por esse motivo, determinados dados poderão ser armazenados, acessados ou processados internacionalmente.

7.2. Quando houver transferência internacional de dados, a Bolha deverá adotar, conforme aplicável, os mecanismos e as salvaguardas exigidos pela LGPD e pelas normas da ANPD.

7.3. A localização efetiva dos dados poderá depender do provedor contratado, da região selecionada, da arquitetura do projeto e das configurações definidas pela Bolha ou pelo cliente.

7.4. A Bolha poderá fornecer informações adicionais sobre a transferência internacional quando isso for necessário para o cumprimento das obrigações legais ou contratuais aplicáveis.

8. Solicitações dos titulares

8.1. Os usuários finais de um projeto deverão utilizar os canais indicados na política de privacidade ou nos termos de uso do respectivo projeto.

8.2. Quando a Bolha atuar como operadora, ela deverá auxiliar o cliente no atendimento às solicitações dos titulares, dentro dos limites do contrato e das informações disponíveis.

8.3. Solicitações relacionadas aos dados tratados diretamente pela Bolha poderão ser encaminhadas pelo canal: privacy@bolha.com.br.

8.4. A Bolha poderá encaminhar uma solicitação ao cliente ou ao provedor responsável quando ele for o controlador ou o responsável direto pelo tratamento solicitado.

9. Relação com outros documentos

9.1. Esta página complementa a Política de Privacidade, a Política de Cookies, a Política de Segurança e o Canal de Contato para Privacidade, Segurança e Vulnerabilidades da Bolha.

9.2. Em caso de conflito entre esta página e um contrato, acordo de tratamento de dados ou documento específico de um projeto, prevalecerá o documento contratual aplicável.

9.3. A lista não significa que todos os provedores nela indicados terão acesso a todos os dados tratados pela Bolha.

9.4. A Bolha poderá atualizar esta página sempre que houver alteração relevante em seus provedores, serviços, operações ou obrigações legais.