Lista nominal de fornecedores que processam dados em nome da SignDocs Brasil, países envolvidos e mecanismos legais de transferência.
Versão 1.4 — Última atualização: 8 de Setembro de 2026 · v1.3 (20/08/2026) arquivada (correção da referência normativa de transferência internacional para a Res. CD/ANPD nº 19/2024 e inclusão do fluxo Sessão de Confiança, com dado sensível de saúde na telemedicina) · v1.2 (12/05/2026) arquivada · v1.1 (02/05/2026) arquivada
Mudanças materiais nesta lista são notificadas com pelo menos 30 dias de antecedência, conforme DPA §7. Inscreva-se para receber avisos.
Modelo B — API via Integrador SaaS. No Modelo B, a SignDocs é sub-operadora do Integrador. Os sub-operadores listados abaixo são, nessa configuração, sub-sub-operadores na cadeia LGPD. O Integrador deve obter de seus clientes finais (controladores) autorização geral ou específica para o uso de todos os agentes desta cadeia. Ver o DPA B2B — Modalidade Sub-operador.
Um sub-operador é qualquer terceiro que trate Dados Pessoais em nome da SignDocs Brasil, conforme art. 39 da LGPD. Sub-operadores são contratualmente obrigados a respeitar o mesmo nível de proteção de dados oferecido pela SignDocs Brasil aos seus Clientes Controladores.
A tabela abaixo lista os sub-operadores nominais por categoria de tratamento, com país principal de processamento e mecanismo de transferência internacional aplicável. Esta lista é mantida atualizada e mudanças materiais são comunicadas com 30 dias de antecedência conforme DPA §7 (ver §3 abaixo para inscrição em notificações).
| Categoria | Função | País principal de processamento | Fornecedor nominal | Mecanismo de transferência |
|---|---|---|---|---|
| Cloud / Infraestrutura | Hospedagem de aplicação, banco de dados, armazenamento de documentos, autenticação (Cognito), observabilidade (CloudWatch) | Estados Unidos (us-east-1) — região principal; Brasil (sa-east-1) — região de backup ativo (failover) | Amazon Web Services, Inc. (AWS) | Cláusulas-padrão ANPD Res. 19/2024 (processamento principal nos EUA; replicação local no Brasil) |
| E-mail transacional | Envio de convites, notificações, alertas, OTP por e-mail; e-mails de autenticação (recuperação de senha, confirmação de cadastro, login) | Estados Unidos | Mailgun (Sinch) — principal, para envios transacionais de produto; Amazon Web Services — secundário, para e-mails de autenticação via Cognito | Cláusulas-padrão ANPD Res. 19/2024 |
| SMS Gateway | OTP por SMS, alertas transacionais | Brasil + Estados Unidos (orquestração) | Amazon Web Services (Amazon SNS — somente SMS; WhatsApp não está integrado em produção) | Cláusulas-padrão ANPD Res. 19/2024 (componente de orquestração nos EUA) |
| Gateway de Pagamento | Cobrança de assinaturas, processamento de cartões, prevenção a fraude transacional | União Europeia (Irlanda) + Estados Unidos | Stripe Payments Europe, Ltd. / Stripe, Inc. — pagamentos no painel B2B; Apple Inc. — assinaturas In-App Purchase no aplicativo iOS | Decisão de adequação (UE) + cláusulas-padrão ANPD Res. 19/2024 (componente EUA) |
| SERPRO / DataValid | Validação biométrica e documental contra base governamental | Brasil | SERPRO — Serviço Federal de Processamento de Dados | Tratamento doméstico |
| Autoridade Certificadora ICP-Brasil | Emissão e validação de certificados digitais A1/A3 | Brasil (ITI/ICP-Brasil) | Conforme ICP-Brasil credenciada do Cliente | Tratamento doméstico |
| Analytics de marketing | Mensuração de tráfego e conversões no site institucional, sob consentimento granular do visitante (categoria "Analíticos") | Estados Unidos | Google LLC (Google Analytics 4 via Google Tag Manager — container GTM-MDZXPTVQ) | Cláusulas-padrão ANPD Res. 19/2024 |
| Formulários de contato | Recebimento e roteamento de mensagens enviadas via formulários do site institucional (nome, e-mail, empresa, mensagem) | Estados Unidos | FormSubmit.co | Cláusulas-padrão ANPD Res. 19/2024 |
| Antifraude (não-biométrico) | Scoring de risco, detecção de anomalias, mitigação de abuso (AWS WAF managed rules, lógica interna de scoring) | Estados Unidos (us-east-1) | Amazon Web Services, Inc. | Cláusulas-padrão ANPD Res. 19/2024 (componente já coberto pela linha "Cloud / Infraestrutura"; replicação local no Brasil) |
| Biometria / Liveness | Verificação de prova de vida e comparação facial em fluxos de autenticação biométrica | Estados Unidos (us-east-1) | Amazon Web Services, Inc. (AWS Rekognition) | Cláusulas-padrão ANPD Res. 19/2024 — dado sensível LGPD art. 5º II |
| Sessão de Confiança (trust-sessions) | Autenticação verificável de ação digital sem documento: coleta biométrica com prova de vida, cross-check SERPRO conforme o perfil e emissão do pacote de evidências (PKCS#7, ICP-Brasil A1). Nos fluxos de telemedicina, a descrição da ação pode conter dado pessoal de saúde (LGPD art. 11) | Estados Unidos (us-east-1) — região principal; Brasil (sa-east-1) — região de backup ativo | Amazon Web Services, Inc. (infraestrutura e Rekognition); SERPRO (validação doméstica) | Cláusulas-padrão ANPD Res. 19/2024 — dado sensível LGPD arts. 5º II e 11; salvaguarda reforçada nos fluxos com dado de saúde |
Quando há transferência internacional, a SignDocs Brasil utiliza apenas mecanismos previstos no art. 33 da LGPD e operacionalizados pela ANPD Res. 19/2024:
Não realizamos transferências baseadas exclusivamente em consentimento, salvo em situações pontuais relacionadas a Cliente Enterprise específico, sempre com transparência ao Titular.
Dados sensíveis. As transferências que envolvem dado sensível — biometria e prova de vida em qualquer perfil, e dado pessoal de saúde nos fluxos de telemedicina da Sessão de Confiança — observam o regime mais restritivo dos arts. 11 e 33 da LGPD, com cláusulas-padrão da ANPD e salvaguarda reforçada. A minimização da descrição da ação nesses fluxos é obrigação do Cliente, conforme a AUP cl. 9-B e a cláusula 3-A dos Termos de Uso.
Conforme DPA §7, o Cliente Controlador pode objetar por escrito a um novo sub-operador em até 15 dias após o aviso de 30 dias. Mantida a divergência, o Cliente pode rescindir sem penalidade dentro da janela de portabilidade aplicável (30/90 dias).
Alterações materiais são registradas com data, descrição e link para a notificação enviada. Histórico ainda em construção — primeiro registro será adicionado na próxima atualização da lista.
Inscreva-se para receber e-mail automático sempre que esta lista for atualizada. Você poderá cancelar a qualquer momento.
Dúvidas sobre sub-operadores ou transferências internacionais: dpo@signdocs.com.br. Encarregado de Proteção de Dados conforme LGPD art. 41.
Quando o Cliente conecta à Plataforma SignDocs Brasil sua própria conta em serviços de Storage Externo (Nextcloud, Dropbox, Box, Google Drive, Microsoft OneDrive/SharePoint) ou Mensageria (Telegram), tais serviços não são Sub-operadores da SignDocs Brasil. Cada um é Operador do próprio Cliente, regido pelos termos contratuais entre Cliente e Provedor.
A SignDocs Brasil apenas faz chamadas de API com o token OAuth fornecido pelo Cliente, durante o tempo estritamente necessário ao ato de assinatura. Para detalhamento das responsabilidades aplicáveis, consulte a cláusula 7-B da AUP.
| Categoria | Provedores reconhecidos | Papel | Mecanismo |
|---|---|---|---|
| Storage Externo soberano | Nextcloud (Stuttgart/DE) | Operador do Cliente | Não aplicável à SignDocs |
| Storage Externo comercial | Dropbox (EUA), Box (EUA), Google Drive (EUA), Microsoft OneDrive/SharePoint (EUA) | Operador do Cliente | Cliente é responsável pelas CCPs ANPD com o Provedor |
| Mensageria — bot SignDocs | Telegram Messenger Inc. (Dubai) | Sub-operador da SignDocs (bot operado pela SignDocs em seu próprio nome) | Cláusulas-Padrão ANPD Res. 19/2024 |
Páginas técnicas detalhando cada integração: Nextcloud, Dropbox, Box, Zapier.
A Extensão Desktop para LibreOffice é distribuída por dois canais: (a) o catálogo oficial de extensões da The Document Foundation (extensions.libreoffice.org) e (b) o CDN da SignDocs Brasil (cdn.signdocs.com.br).
| Canal | Entidade | Papel | Natureza |
|---|---|---|---|
| Catálogo LibreOffice | The Document Foundation (Berlim/DE) | Hospedeiro do catálogo de extensões | Não é Sub-operador — distribui o arquivo .oxt sem acesso a dados pessoais tratados pela SignDocs Brasil |
| CDN SignDocs Brasil | Amazon Web Services, Inc. (CloudFront) | Entrega do arquivo .oxt |
Já listado como Sub-operador na categoria Cloud/Infraestrutura |
A Extensão executa inteiramente na estação de trabalho do Usuário e se comunica exclusivamente com a API da SignDocs Brasil (libreoffice-api.signdocs.com.br). Nenhum sub-operador adicional é introduzido pela Extensão Desktop na cadeia de tratamento de dados. Os dados transmitidos à API seguem o mesmo fluxo — e passam pelos mesmos sub-operadores — de qualquer outro canal de acesso à Plataforma.
Regras específicas de uso aceitável para extensões desktop e clientes nativos constam da cláusula 7-D da AUP.
