Transferência internacional de dados

Os dados saem do Taggor, no Brasil, para o fornecedor listado abaixo, que os trata no país ou na região indicados, apenas para a finalidade descrita, sob o mecanismo de transferência indicado.

Enquanto durar o tratamento para a finalidade de cada fornecedor e pelos prazos de retenção de cada categoria de dados descritos na Política de Privacidade (seção 8).

Haftware Sistemas de Internet Ltda., que opera o Taggor. Nos dados que os clientes coletam por meio de seus componentes, o controlador é, em regra, o cliente, e a Haftware atua como operadora (Política de Privacidade, seção 1, e DPA).

As medidas de segurança estão descritas no Anexo B do DPA.

Os direitos e como exercê-los estão na seção 9 da Política de Privacidade. O titular pode pedir o texto integral das cláusulas do mecanismo de transferência escrevendo para privacidade@taggor.dev; o pedido é respondido em até 15 dias.

Uso compartilhado de dados: cada fornecedor abaixo recebe os dados descritos para a sua finalidade e nenhum outro uso.

Cloudflare, Inc.

Finalidade

Executa o serviço: Workers (API, edge, builder, site), R2 (pacotes dos componentes publicados), KV (manifestos dos sites), Queues, Analytics Engine, Workers Logs, Turnstile e a CDN que entrega o loader e os componentes.

Dados tratados

• Toda requisição ao Taggor e ao loader, incluindo o que um visitante envia por um componente a caminho do armazenamento (o IP do visitante não é guardado pelo Taggor)
• Pacotes dos componentes publicados e manifestos dos sites (código e configurações do cliente)
• Logs da aplicação e métricas de carregamento sem e-mail, IP completo nem conteúdo de envios

País de destino e regiões

Rede global: a requisição é processada no data center da Cloudflare que a atende, que pode ficar fora do Brasil, do EEE e do Reino Unido (cláusula 6.1 do DPA). Os buckets R2 do Taggor usam a dica de localização enam, que a Cloudflare documenta como melhor esforço e sem garantia. [NÃO CONFIRMADO: o local de processamento e de armazenamento de Workers Logs, KV, Queues e Analytics Engine; nenhuma página oficial que o diga foi encontrada em 2026-11-10]

Mecanismo de transferência

DPA versão 6.4 (vigente desde 2026-04-03): vale a partir da data de vigência do DPA, quando o cliente o assina ou concorda com ele (não é automático). Inclui o adendo do Reino Unido (versão B1.0). As cláusulas contratuais padrão da UE (Decisão 2021/914) só se aplicam a transferências restritas que o Data Privacy Framework não cobre; a Cloudflare afirma que cumpre o Data Privacy Framework.

Neon, LLC (a Databricks company) [NOT CONFIRMED: the contracting entity may be Databricks, Inc.]

Finalidade

Banco PostgreSQL gerenciado: contas, workspaces, sites, versões de componentes, dados coletados (envios de formulários) e registros de auditoria.

Dados tratados

• Dados de conta (e-mail, nome), dados do workspace, hashes de chaves de API, registros de auditoria
• O que os visitantes enviam pelos componentes do cliente (o cliente é o controlador)

País de destino e regiões

AWS US East (N. Virginia), aws-us-east-1. A região de um projeto Neon não muda depois de criado (página de regiões da Neon, atualizada em 2026-10-14). Entre os suboperadores da Neon estão AWS, Google, Microsoft e Oracle com local de processamento 'escolhido pelo cliente' (lista da Databricks, atualizada em 2026-06-09).

Mecanismo de transferência

Um DPA faz parte dos termos da Neon para todo cliente (post da Neon sobre GDPR, lido em 2026-11-12). A Neon declara ali que se apoia no Data Privacy Framework. [NÃO CONFIRMADO: cláusulas contratuais padrão ou adendo do Reino Unido nesse DPA; o PDF do DPA não pôde ser lido] [NÃO CONFIRMADO: se a entidade contratante é a Neon, LLC ou a Databricks, Inc.] [A CONFIRMAR: qual DPA o dono assina ou aceita]

WorkOS, Inc.

Finalidade

Login e identidade das pessoas que usam o Taggor (AuthKit).

Dados tratados

• E-mail, nome e dados de login do titular da conta

País de destino e regiões

Estados Unidos, para dados do EEE, da Suíça e do Reino Unido: o DPA (Anexo B) cita os Estados Unidos como onde os dados transferidos são guardados ou acessados. [NÃO CONFIRMADO: onde ficam os dados do AuthKit em geral] A página de segurança não faz declaração de residência de dados.

Mecanismo de transferência

DPA (atualizado em 2023-06-27): cláusulas contratuais padrão da UE, módulos dois e três (Anexo C), e adendo do Reino Unido (versão B1.0). O Data Privacy Framework não é citado no DPA.

Resend (Plus Five Five, Inc.)

Finalidade

Envia e-mail: convites, avisos de envios para destinatários que o cliente indica, avisos de retenção, alertas de uso e avisos de mudança de suboperadores.

Dados tratados

• Endereço do destinatário, assunto e corpo de cada mensagem (um aviso de envio pode levar o que um visitante enviou)

País de destino e regiões

Estados Unidos: 'Stored data is held in the United States' (página de segurança); o processamento principal é nos Estados Unidos (seção 6.1 do DPA). A região escolhida para um domínio de envio define de onde o e-mail sai, não onde fica guardado.

Mecanismo de transferência

DPA (atualizado em 2025-12-31): cláusulas contratuais padrão da UE (seção 6.2), cláusulas do Reino Unido (6.4), ajustes para a Suíça (6.5) e EU-U.S. Data Privacy Framework com a extensão do Reino Unido (11.1).