Lista de Sub-Operadores

⚠️ DRAFT — REVISÃO JURÍDICA OBRIGATÓRIA Documento gerado como rascunho inicial para revisão por advogado brasileiro especializado em SaaS/direito digital. Não usar em produção sem revisão legal completa. Versão: DRAFT-0.1. Data: 2026-04-17.

Índice

1. Objeto e Base Legal
2. Critérios de Seleção de Sub-Operadores
3. Relação de Sub-Operadores Vigentes
4. Detalhamento por Sub-Operador
5. Notificação Prévia de Alterações
6. Direito de Objeção do CLIENTE
7. Responsabilidade e Cadeia de Subprocessamento
8. Atualização e Versionamento
9. Disposições Gerais

1. Objeto e Base Legal

1.1. O presente documento consubstancia a Lista de Sub-Operadores adotada pela FLUEN ([A PREENCHER PELO ADVOGADO — razão social completa], CNPJ [A PREENCHER PELO ADVOGADO]), em cumprimento aos deveres de transparência e rastreabilidade da cadeia de subprocessamento de dados pessoais, nos termos:

1.1.1. Do art. 39 da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados — LGPD), que disciplina a figura do suboperador e impõe ao operador o dever de garantir que terceiros por ele subcontratados observem as mesmas garantias contratuais de proteção de dados;

1.1.2. Das disposições do Data Processing Agreement (DPA) celebrado entre a FLUEN (na qualidade de operadora) e o CLIENTE (na qualidade de controlador);

1.1.3. Do princípio da transparência, previsto no art. 6º, VI, da LGPD.

1.2. Sub-Operador (ou suboperador, nos termos do art. 39, LGPD) é a pessoa jurídica, privada ou pública, contratada pela FLUEN para, em caráter auxiliar e complementar, realizar tratamento de dados pessoais sob as instruções do controlador (CLIENTE) transmitidas por intermédio da FLUEN.

1.3. A presente lista integra o DPA e a Política de Privacidade da FLUEN, sendo atualizada periodicamente conforme item 8.

2. Critérios de Seleção de Sub-Operadores

2.1. A FLUEN seleciona seus Sub-Operadores mediante processo de due diligence informado pelos seguintes critérios:

2.1.1. Segurança da informação: adoção de padrões reconhecidos internacionalmente (p.ex., ISO 27001, ISO 27017, ISO 27018, SOC 2 Type II, PCI-DSS), com certificações válidas emitidas por organismos independentes;

2.1.2. Conformidade com a LGPD: compromisso documental explícito com a observância da LGPD, normativas da ANPD e, conforme aplicável, de arcabouços estrangeiros compatíveis (GDPR, CCPA);

2.1.3. Instrumentos de adequação para transferência internacional: existência de cláusulas contratuais padrão (CCPs), acordos específicos, selos ou certificados que sustentem a licitude de transferências internacionais, nos termos dos arts. 33 a 36 da LGPD;

2.1.4. SLA e disponibilidade: disponibilidade operacional comprovada, com métricas publicadas e histórico verificável;

2.1.5. Capacidade de resposta a incidentes: canais formais de notificação de incidentes, com prazos compatíveis com os exigidos pela LGPD;

2.1.6. Reputação de mercado e ausência de sanções administrativas relevantes por autoridades de proteção de dados;

2.1.7. Territorialidade: preferência, quando tecnicamente viável, por fornecedores com operação ou representação no Brasil ou em jurisdições com nível adequado de proteção.

2.2. A FLUEN mantém registro interno da análise de seleção de cada Sub-Operador, podendo disponibilizá-lo ao CLIENTE, sob sigilo, em caso de auditoria justificada e com prévia assinatura de termo de confidencialidade.

3. Relação de Sub-Operadores Vigentes

3.1. A tabela abaixo apresenta os Sub-Operadores vigentes para o serviço FLUEN, com a respectiva finalidade, categoria de dados, localização e mecanismo de adequação:

4. Detalhamento por Sub-Operador

4.1. Anthropic PBC

4.1.1. Denominação completa: Anthropic PBC (public benefit corporation).

4.1.2. Localização: Estados Unidos da América, sede em San Francisco, Califórnia.

4.1.3. Finalidade do tratamento: processamento dos prompts submetidos pelos AGENTES IA, geração das respostas em linguagem natural e, acessoriamente, logs de diagnóstico para aferição de qualidade do serviço prestado à FLUEN.

4.1.4. Categorias de dados tratados:

4.1.4.1. Conteúdo textual das conversas mantidas pelos AGENTES IA do CLIENTE com os CONTATOS;

4.1.4.2. Metadados mínimos necessários à chamada da API (tokens de uso, identificadores anônimos);

4.1.4.3. Dados sensíveis NÃO são transmitidos, por obrigação contratual do CLIENTE e filtros técnicos preventivos da FLUEN.

4.1.5. Instrumento de adequação:

4.1.5.1. Cláusulas contratuais padrão entre FLUEN e Anthropic;

4.1.5.2. Data Processing Agreement (DPA) específico, conforme termos da Anthropic disponíveis em documentação comercial;

4.1.5.3. Compromisso da Anthropic de não utilizar os dados processados para treinamento de modelos.

4.1.6. Particularidade BYOK: na modalidade Bring Your Own Key (BYOK), o CLIENTE é diretamente parte contratual com a Anthropic, aceitando seus Termos Comerciais, AUP e DPA de forma autônoma. Ver documento específico ("Termo Aditivo BYOK").

4.2. Meta Platforms, Inc. / WhatsApp Business API (via Evolution API)

4.2.1. Denominação completa: Meta Platforms, Inc., por meio do serviço WhatsApp Business API. Integração técnica efetuada via Evolution API.

4.2.2. Localização: Estados Unidos da América (sede da Meta) / Irlanda (infraestrutura europeia).

4.2.3. Finalidade do tratamento: envio e recebimento de mensagens entre o AGENTE IA do CLIENTE e os CONTATOS, incluindo texto, mídia permitida, metadados de entrega e leitura.

4.2.4. Categorias de dados tratados:

4.2.4.1. Número de telefone do CONTATO;

4.2.4.2. Nome do CONTATO (quando disponibilizado pelo aplicativo);

4.2.4.3. Conteúdo integral das mensagens (texto, mídia);

4.2.4.4. Metadados de entrega (timestamp, status de leitura, confirmações).

4.2.5. Instrumento de adequação:

4.2.5.1. Conformidade com a WhatsApp Business Policy e correlatas;

4.2.5.2. Cláusulas contratuais padrão da Meta aplicáveis a transferências internacionais;

4.2.5.3. Termos de uso do WhatsApp Business aceitos pelo CLIENTE ao cadastrar seu número.

4.2.6. Advertência: políticas da Meta são atualizadas unilateralmente e sua violação pode ensejar suspensão do número do CLIENTE, conforme descrito na AUP e nos Termos de Uso.

4.3. Stripe, Inc.

4.3.1. Denominação completa: Stripe, Inc.

4.3.2. Localização: Estados Unidos da América.

4.3.3. Finalidade do tratamento: processamento de pagamentos das mensalidades e demais valores devidos pelo CLIENTE à FLUEN.

4.3.4. Importante: a Stripe não processa dados dos CONTATOS, apenas dados do próprio CLIENTE.

4.3.5. Categorias de dados tratados:

4.3.5.1. Razão social do CLIENTE;

4.3.5.2. CNPJ;

4.3.5.3. E-mail de cobrança;

4.3.5.4. Dados de cartão de crédito em formato tokenizado (nunca armazenados em claro pela FLUEN);

4.3.5.5. Histórico de transações.

4.3.6. Instrumento de adequação:

4.3.6.1. PCI-DSS Level 1, mais alto nível de certificação do setor de pagamentos;

4.3.6.2. Cláusulas contratuais padrão da Stripe para transferências internacionais;

4.3.6.3. Conformidade com normas do Banco Central do Brasil, quando aplicável via parcerias locais.

4.4. Hostinger International Ltd.

4.4.1. Denominação completa: Hostinger International Ltd.

4.4.2. Localização: sede na Lituânia, com datacenter no Brasil para cargas da FLUEN, sempre que tecnicamente viável.

4.4.3. Finalidade do tratamento: hospedagem da infraestrutura computacional completa da plataforma FLUEN, incluindo servidor de aplicação, banco de dados relacional, sistemas de fila, cache e armazenamento de arquivos.

4.4.4. Categorias de dados tratados: todos os dados em repouso, em especial:

4.4.4.1. Tabelas do banco de dados (tenants, usuários, agentes, contatos, conversas);

4.4.4.2. Logs aplicacionais e de auditoria;

4.4.4.3. Backups cifrados;

4.4.4.4. Arquivos de mídia recebidos em conversas (conforme retenção definida em DPA).

4.4.5. Instrumento de adequação:

4.4.5.1. ISO/IEC 27001 — Sistema de Gestão de Segurança da Informação;

4.4.5.2. ISO/IEC 27017 — Controles de segurança para serviços em nuvem;

4.4.5.3. ISO/IEC 27018 — Proteção de dados pessoais em nuvem pública;

4.4.5.4. Cláusulas contratuais padrão para transferência internacional.

4.4.6. Criptografia: dados em repouso são cifrados conforme padrões da indústria (AES-256); dados em trânsito utilizam TLS 1.2 ou superior.

4.5. Easypanel (Control Plane)

4.5.1. Denominação completa: Easypanel (empresa responsável a ser formalmente verificada — [A PREENCHER PELO ADVOGADO]).

4.5.2. Localização: EUA / Espaço Econômico Europeu (EEE), conforme infraestrutura do control plane.

4.5.3. Finalidade do tratamento: orquestração de contêineres e gestão do ciclo de vida das aplicações que compõem a plataforma FLUEN (deploy, escala, rollback).

4.5.4. Categorias de dados tratados:

4.5.4.1. Não acessa dados de produção;

4.5.4.2. Apenas metadados operacionais — nomes de serviços, configurações de deploy, variáveis de ambiente sem dados pessoais, logs de sistema (sem conteúdo de mensagens).

4.5.5. Instrumento de adequação: acordo contratual padrão + cláusulas contratuais padrão, quando aplicáveis.

4.6. Sentry, Inc.

4.6.1. Denominação completa: Sentry, Inc.

4.6.2. Localização: Estados Unidos da América.

4.6.3. Finalidade do tratamento: observabilidade, rastreamento e diagnóstico de erros e exceções ocorridos na plataforma FLUEN, com o objetivo de manutenção, correção e melhoria contínua.

4.6.4. Categorias de dados tratados:

4.6.4.1. Stacktraces e informações de depuração (código, arquivo, linha);

4.6.4.2. URLs acessadas, com parâmetros sanitizados para remoção de PII;

4.6.4.3. Identificadores técnicos de tenant e de requisição (UUID, sem PII);

4.6.4.4. Logs sanitizados — a FLUEN configura regras de redação ("scrubbing") para remover, antes da transmissão, quaisquer dados pessoais sensíveis, número de cartão, e-mail, telefone ou conteúdo de mensagens.

4.6.5. Instrumento de adequação:

4.6.5.1. DPA Sentry com cláusulas para transferência internacional;

4.6.5.2. Configurações restritivas de coleta configuradas pela FLUEN.

4.7. n8n (auto-hospedado)

4.7.1. Denominação: n8n, software de automação open-source auto-hospedado na infraestrutura da FLUEN.

4.7.2. Localização: infraestrutura própria da FLUEN (VPS no Brasil/Lituânia via Hostinger — ver item 4.4).

4.7.3. Finalidade do tratamento: automações internas da FLUEN, incluindo fluxos administrativos, integrações internas, processamento batch, alertas operacionais e orquestração de tarefas auxiliares.

4.7.4. Categorias de dados tratados: variáveis conforme cada fluxo de automação configurado, sempre observados os princípios de minimização e finalidade.

4.7.5. Instrumento de adequação:

4.7.5.1. Por ser auto-hospedado, não há transferência adicional a terceiro;

4.7.5.2. Controle direto pela FLUEN, com as mesmas garantias aplicáveis à infraestrutura principal.

4.7.6. Natureza jurídica: trata-se, rigorosamente, de componente técnico interno, não configurando suboperador em sentido estrito, mas listado nesta relação em homenagem ao princípio da transparência.

4.8. GitHub, Inc.

4.8.1. Denominação completa: GitHub, Inc. (subsidiária da Microsoft Corporation).

4.8.2. Localização: Estados Unidos da América.

4.8.3. Finalidade do tratamento: armazenamento, versionamento e gestão colaborativa do código-fonte da plataforma FLUEN, bem como fluxos de revisão de código e automação de integração contínua.

4.8.4. Categorias de dados tratados:

4.8.4.1. Código-fonte da aplicação (que não inclui dados pessoais de CONTATOS ou CLIENTES de produção);

4.8.4.2. Issues, pull requests e discussões técnicas internas.

4.8.5. Instrumento de adequação:

4.8.5.1. DPA GitHub;

4.8.5.2. Cláusulas contratuais padrão para transferência internacional;

4.8.5.3. Compromisso do GitHub com conformidade GDPR e frameworks internacionais.

4.8.6. Observação de segregação: a FLUEN mantém separação estrita entre código-fonte e dados de produção; secrets, chaves e credenciais não são versionados no código.

5. Notificação Prévia de Alterações

5.1. A FLUEN notificará o CLIENTE, com antecedência mínima de 30 (trinta) dias, sobre:

5.1.1. Inclusão de novo Sub-Operador;

5.1.2. Substituição de Sub-Operador existente;

5.1.3. Alteração relevante de finalidade ou de categorias de dados tratados por Sub-Operador listado.

5.2. A notificação será realizada, cumulativamente, por meio dos seguintes canais:

5.2.1. E-mail institucional ao endereço cadastrado no painel do CLIENTE;

5.2.2. Banner destacado no painel administrativo da plataforma FLUEN, com link para a nova versão deste documento;

5.2.3. Atualização da versão publicada deste documento, com indicação da nova data e alterações.

5.3. A notificação indicará, no mínimo:

5.3.1. Denominação do Sub-Operador (ou novo/substituto);

5.3.2. Finalidade do tratamento;

5.3.3. Categorias de dados tratados;

5.3.4. Localização;

5.3.5. Mecanismo de adequação;

5.3.6. Data de início da vigência.

5.4. Em hipóteses excepcionais, decorrentes de (i) encerramento imediato das atividades do Sub-Operador anterior; (ii) incidente grave de segurança; ou (iii) imposição legal ou administrativa, a FLUEN poderá reduzir o prazo de notificação para 7 (sete) dias, justificando a urgência na própria comunicação.

6. Direito de Objeção do CLIENTE

6.1. O CLIENTE dispõe do direito de objeção quanto à inclusão ou substituição de Sub-Operadores, a ser exercido por escrito, via e-mail ao endereço dpo@fluen.ia.br, no prazo de 15 (quinze) dias contados do recebimento da notificação.

6.2. A objeção deve ser fundamentada, apresentando razões específicas ligadas a:

6.2.1. Insuficiência de garantias de proteção de dados;

6.2.2. Incompatibilidade com compliance setorial específico do CLIENTE;

6.2.3. Riscos reputacionais, éticos ou contratuais com terceiros;

6.2.4. Objeção, pela autoridade competente, ao Sub-Operador mencionado.

6.3. Recebida a objeção, a FLUEN poderá:

6.3.1. Manter o Sub-Operador anterior para o CLIENTE específico, quando tecnicamente viável;

6.3.2. Apresentar alternativas de configuração que mitiguem a objeção;

6.3.3. Aceitar a rescisão sem multa, caso o CLIENTE opte por encerrar o contrato, com reembolso pro rata temporis dos valores pagos e não utilizados.

6.4. A inércia do CLIENTE no prazo de 15 (quinze) dias configura aceitação tácita do novo Sub-Operador.

6.5. O direito de objeção não se aplica a alterações tão somente formais (mudança de razão social, fusão societária que não altere garantias, etc.), nem a sub-operadores que apresentem garantias equivalentes ou superiores ao anterior, a critério motivado da FLUEN.

7. Responsabilidade e Cadeia de Subprocessamento

7.1. A FLUEN assume responsabilidade perante o CLIENTE pelo cumprimento, pelos Sub-Operadores, das obrigações contratuais e legais de proteção de dados, nos termos do art. 39, §1º, da LGPD.

7.2. A responsabilidade da FLUEN limita-se, contudo, aos atos praticados pelos Sub-Operadores no âmbito da prestação do serviço contratado e nos termos das instruções transmitidas, sendo excluída em casos de:

7.2.1. Desvio de finalidade deliberado do Sub-Operador contra as instruções expressas;

7.2.2. Fato de terceiro alheio à cadeia;

7.2.3. Força maior ou caso fortuito, nos termos do art. 393 do Código Civil.

7.3. Cada Sub-Operador é contratualmente vinculado a:

7.3.1. Tratar dados apenas conforme instruções documentadas pela FLUEN;

7.3.2. Implementar medidas técnicas e organizacionais de segurança adequadas;

7.3.3. Manter confidencialidade das informações;

7.3.4. Colaborar com auditorias e solicitações de titulares e autoridades;

7.3.5. Notificar incidentes em prazo compatível com as obrigações da FLUEN perante o CLIENTE.

7.4. A FLUEN mantém, internamente, registros documentais dos contratos, DPAs e comprovantes de conformidade de cada Sub-Operador, disponibilizáveis para auditoria do CLIENTE mediante solicitação justificada, observado o sigilo comercial.

8. Atualização e Versionamento

8.1. Este documento é revisado e atualizado com periodicidade mínima semestral, ou sempre que:

8.1.1. Houver inclusão ou substituição de Sub-Operador;

8.1.2. Alterações regulatórias exigirem esclarecimentos adicionais;

8.1.3. Evoluções técnicas modificarem categorias de dados ou finalidades.

8.2. Cada versão publicada contém:

8.2.1. Indicação da versão (formato AAAA-MM-DD-vN);

8.2.2. Data de publicação;

8.2.3. Descrição sumária das alterações em relação à versão anterior (changelog).

8.3. O histórico de versões anteriores é mantido disponível por prazo mínimo de 5 (cinco) anos, para fins de auditoria e exercício do direito de transparência pelos titulares.

9. Disposições Gerais

9.1. Integralidade: este documento integra a base contratual da relação entre FLUEN e CLIENTE, em conjunto com os Termos de Uso, Política de Privacidade, DPA, AUP, Aditivo de IA e, quando aplicável, Aditivo BYOK.

9.2. Interpretação: na dúvida, prevalece a interpretação mais favorável à proteção dos titulares de dados.

9.3. Comunicações: manifestações relativas a este documento devem ser encaminhadas ao Encarregado de Proteção de Dados (DPO) da FLUEN, Sr(a). [A PREENCHER PELO ADVOGADO — nome do DPO], e-mail dpo@fluen.ia.br.

9.4. Lei aplicável: aplicam-se as leis da República Federativa do Brasil, em especial a LGPD.

9.5. Foro ou arbitragem: conforme disposto nos Termos de Uso principais.

9.6. Idioma prevalente: em caso de tradução, prevalece a versão em português brasileiro.

Versão: 2026-04-17-v1 — DRAFT-0.1 — 2026-04-17