Projeto. Este documento ainda não foi revisto por um advogado. Os campos destacados como {{…}} são dados que ainda faltam indicar.
Subcontratantes do BatchDog
Versão: projeto 3 · Última atualização: {{EFFECTIVE_DATE}}
Empresas que tratam dados pessoais para o BatchDog por nossa conta («subcontratantes» na aceção do art. 28.º do RGPD). Cada uma trabalha ao abrigo de um contrato de tratamento de dados e apenas segundo as nossas instruções. Atualizaremos esta página antes de recorrermos a um novo subcontratante que trate dados pessoais. Se substituirmos um subcontratante (por exemplo, o fornecedor do modelo de IA) e a finalidade, os dados, o contrato de tratamento de dados, o compromisso de não treinar modelos com os dados, o prazo de conservação e o nível de proteção se mantiverem, atualizamos esta página e avisamos com antecedência, na aplicação e no bot, pelo menos 14 dias antes da mudança. Se mudarem o país ou as garantias da transferência, o prazo de conservação ou as condições sobre o treino, pedimos novamente o consentimento antes de enviar dados de saúde ao novo subcontratante. Um subcontratante substituído continua indicado, com as respetivas datas, em Subcontratantes anteriores.
Responsável pelo tratamento: Maksim Paleyeu (Relax Games Studio), Calle Sant Ignasi de Loiola 27, piso 4, puerta 10, 46008 Valencia, Espanha, hello@relaxgames.studio.
Ativos
| Empresa | O que faz para o BatchDog | Dados pessoais | Onde | Garantia para as transferências | Contrato |
|---|---|---|---|---|---|
| Supabase, Inc. | Base de dados e início de sessão (contas, perfis, famílias, despensa, receitas, menus, diário alimentar, dados de saúde com consentimento) | Todos os dados guardados no BatchDog | UE: AWS eu-central-1, Frankfurt, Alemanha. O acesso para efeitos de apoio pode ser feito a partir de fora da UE | Cláusulas contratuais-tipo | Contrato de tratamento de dados (DPA): https://supabase.com/legal/dpa · Os respetivos subcontratantes: https://supabase.com/legal/customer-resources/subprocessor-list |
| Cloudflare, Inc. | Alojamento da aplicação e da API (Workers), entrega através da rede, registos de pedidos conservados de 3 a 7 dias | Dados que circulam entre o seu dispositivo e a base de dados; endereço IP, tipo de dispositivo, registos de pedidos | Rede global, com os dados tratados no centro de dados mais próximo; empresa sediada nos EUA | Quadro de Privacidade de Dados UE-EUA (Data Privacy Framework) e cláusulas contratuais-tipo | Contrato de tratamento de dados (DPA): https://www.cloudflare.com/cloudflare-customer-dpa/ |
| Anthropic (Anthropic Ireland, Ltd. para clientes do EEE; Anthropic, PBC) | Fornecedor do modelo de IA (atual): criação de menus e leitura de receitas a partir de ligações e fotografias (Claude) | Parâmetros do menu, restrições alimentares, produtos da despensa, nomes próprios e objetivos de calorias dos membros da família num menu da família; texto da página da receita ou fotografia. Sem ID do Telegram, peso, diagnósticos nem diário | Estados Unidos | Cláusulas contratuais-tipo. Os dados de entrada e de saída são eliminados no prazo de 30 dias e não são utilizados para treino | Termos comerciais e contrato de tratamento de dados (DPA): https://www.anthropic.com/legal/commercial-terms, https://www.anthropic.com/legal/data-processing-addendum · Os respetivos subcontratantes: https://www.anthropic.com/subprocessors |
| PostHog Inc. | Análise de produto (PostHog EU Cloud) sobre eventos pseudonimizados, só dos utilizadores que ativaram as estatísticas de utilização | Eventos das estatísticas de utilização e do serviço desses utilizadores a partir do consentimento; ID da conta, da família e de objetos substituídos por pseudónimos (HMAC com uma chave que a PostHog não tem). Sem endereço IP, nome, ID do Telegram, pratos, valores nutricionais, peso, diário nem respostas de saúde; sem perfis de pessoas | UE: Frankfurt, Alemanha; empresa sediada nos EUA | Cláusulas contratuais-tipo no contrato de tratamento de dados (Quadro de Privacidade de Dados UE-EUA, se a PostHog estiver certificada) | Contrato de tratamento de dados (DPA): https://posthog.com/dpa |
Previstos
| Empresa | Função | Quando |
|---|---|---|
| Stripe Payments Europe, Ltd. (ou um prestador que atue como merchant of record) | Pagamentos com cartão do BatchDog+ na web | Lançamento na web |
| Apple Distribution International (App Store) | Compras na aplicação em iPhone e iPad. A Apple é um responsável pelo tratamento independente quanto à compra | Lançamento em iOS |
| Google Commerce Ltd (Google Play) | Compras na aplicação em Android. A Google é um responsável pelo tratamento independente quanto à compra | Lançamento em Android |
Subcontratantes anteriores
Quando substituímos um subcontratante, a sua linha passa para aqui com as datas em que o utilizámos, para que esta página indique todos os destinatários a quem os seus dados possam ter chegado (art. 15.º, n.º 1, alínea c), do RGPD; lei My Health My Data do Estado de Washington). Por enquanto, nenhum.
Não são subcontratantes
- O Telegram (Telegram FZ-LLC e entidades afiliadas) gere a plataforma e a API de bots. É um responsável pelo tratamento independente quanto à sua conta e às suas mensagens do Telegram, segundo a sua própria política: https://telegram.org/privacy. Os pagamentos em Telegram Stars são processados pelo Telegram e pelas lojas de aplicações.
- O Google Gemini é utilizado apenas para desenhar ilustrações de pratos para o catálogo partilhado de receitas. Não lhe são enviados quaisquer dados de utilizadores.
- A ExchangeRate-API (open.er-api.com) fornece as taxas de câmbio diárias para os preços convertidos noutra moeda; como alternativa, os ficheiros abertos de fawazahmed0/currency-api no jsDelivr. As taxas são pedidas pelo nosso servidor; não são enviados quaisquer dados de utilizadores. Rates By Exchange Rate API: https://www.exchangerate-api.com