Lista de Subprocessadores
Fornecedores que podem processar dados para operar a Growth Station e integrações opcionais ativadas pelos clientes.
Growth Station — Lista de Subprocessadores (Subprocessors)
Última atualização: 1º de outubro de 2026
Responsável: Petro Liporace Cardoso de Souza
Este documento é parte integrante do DPA (Acordo de Processamento de Dados) e da Política de Privacidade. Disponível publicamente para consulta por Controladores (Projetos clientes).
A lista abrange a plataforma Growth Station / GS Engage e suas funcionalidades, incluindo a Prospct.AI. Todos os clientes estão sujeitos a transferências internacionais de dados na operação da plataforma; os fornecedores envolvidos em cada fluxo dependem das funcionalidades e integrações utilizadas.
Os países e regiões abaixo descrevem os ambientes de processamento previstos e não representam garantia de residência exclusiva dos dados. O alcance de cada DPA depende do serviço e do contrato aplicáveis. Certificações de segurança e a existência de um DPA não comprovam, por si só, a adoção das cláusulas-padrão da ANPD; consulte a seção 1.12.
Empresas abrangidas
Este documento aplica-se às duas pessoas jurídicas abaixo, denominadas "Growth Machine", no âmbito de suas atividades relacionadas à plataforma:
- Growth Machine Editora e Aceleração Ltda. — CNPJ 26.324.112/0001-91.
- Growth Machine Serviços e Editora Ltda. — CNPJ 41.485.584/0001-10.
Nas relações com clientes, a prestadora é a pessoa jurídica identificada no contrato, na proposta comercial aceita ou na ordem de serviço. Cada empresa cumpre as obrigações deste documento nas atividades que executar, conforme seu papel no tratamento dos dados e a legislação aplicável.
1. Subprocessadores Atuais
1.1 Infraestrutura e Armazenamento
| Subprocessador | País/Região | Finalidade | Dados processados | DPA/Certificações |
|---|---|---|---|---|
| Amazon Web Services (AWS) | EUA (us-east-1, us-east-2) / Brasil (sa-east-1) | Hospedagem serverless (Lambda), armazenamento (S3), filas (SQS), cache (Redis/ElastiCache), CDN e firewall de aplicação (CloudFront, WAF) | Todos os dados da Plataforma | DPA AWS; SOC 1/2/3; ISO 27001; CSA STAR |
| MongoDB Atlas | Conforme plano (EUA/Brasil) | Banco de dados principal | Todos os dados persistidos (leads, usuários, projetos, comunicações, integrações) | DPA MongoDB; SOC 2; ISO 27001; HIPAA |
1.2 Comunicação — E-mail e Calendário
| Subprocessador | País/Região | Finalidade | Dados processados | DPA/Certificações |
|---|---|---|---|---|
| Nylas | EUA | Envio, recebimento e sincronização de e-mails; gestão de calendário | Endereços de e-mail, conteúdo de e-mails, assinatura, anexos, eventos de calendário, tracking (abertura/clique) | DPA Nylas; SOC 2 |
1.3 Comunicação — WhatsApp
| Subprocessador | País/Região | Finalidade | Dados processados | DPA/Certificações |
|---|---|---|---|---|
| Twilio | EUA | Envio e recebimento de mensagens WhatsApp; callbacks de status | Números de telefone, conteúdo de mensagens (texto, mídia), status de entrega | DPA Twilio; SOC 2; ISO 27001; CSA STAR |
1.4 Comunicação — VoIP
| Subprocessador | País/Região | Finalidade | Dados processados | DPA/Certificações |
|---|---|---|---|---|
| TIM | Brasil | Realização de chamadas telefônicas | Números de telefone, metadados de chamada, gravações | Regulada ANATEL; DPO designado; Novo Mercado B3 |
| Twilio (voz) | EUA | Realização e recebimento de chamadas de voz, quando utilizada como provedora de telefonia | Números de telefone, áudio das chamadas, metadados e status das ligações; gravações quando habilitadas | DPA Twilio; SOC 2; ISO 27001; CSA STAR |
1.5 Inteligência Artificial
| Subprocessador | País/Região | Finalidade | Dados processados | DPA/Certificações |
|---|---|---|---|---|
| OpenAI | EUA | Agente de prospecção por IA, agente de voz, análise de chamadas, transcrição e geração de mensagens | Dados de leads (nome, cargo, empresa), mensagens, áudio, transcrições e histórico de interações, conforme a funcionalidade | DPA OpenAI; SOC 2; dados de API não usados para treinamento por padrão |
| Groq | EUA | Processamento de linguagem natural (fallback) | Dados de leads, conteúdo de mensagens, transcrições e histórico de interações, quando acionado como fallback | DPA Groq; SOC 2 Type II |
| DeepInfra | EUA | Interpretação de documentos e descrição de imagens recebidas por WhatsApp | Imagens, vCards e documentos enviados por Leads em conversas de WhatsApp | Verificar DPA vigente |
| ElevenLabs (voz) | EUA | Processamento de voz em chamadas com agente de IA e síntese de fala, quando utilizados | Áudio das conversas, transcrições, instruções do agente e dados de leads disponibilizados para a chamada | DPA ElevenLabs; aplicabilidade conforme o contrato do serviço |
Langfuse — auto-hospedado (self-hosted) na AWS, Ohio, EUA (us-east-2): a Growth opera sua própria instância para registrar prompts, respostas e metadados das interações com IA. A AWS é o subprocessador responsável pela hospedagem desses registros; esse processamento e as transferências internacionais correspondentes integram o escopo da AWS descrito na seção 1.1.
1.6 Analytics e Monitoramento
| Subprocessador | País/Região | Finalidade | Dados processados | DPA/Certificações |
|---|---|---|---|---|
| PostHog | EUA | Analytics de produto e comportamento de uso | Eventos de uso, identificadores de sessão, dados técnicos do navegador | DPA PostHog; SOC 2 |
| Sentry | EUA | Monitoramento de erros e performance | Logs de erro, stack traces, dados técnicos de requisições, IP | DPA Sentry; SOC 2; ISO 27001 |
1.7 Suporte
| Subprocessador | País/Região | Finalidade | Dados processados | DPA/Certificações |
|---|---|---|---|---|
| Atlassian (Jira) | EUA/Austrália | Sistema de tickets de suporte | Descrição do problema, anexos enviados pelo Usuário | DPA Atlassian; SOC 2; ISO 27001 |
1.8 Google — Workspace e Autenticação
| Subprocessador | País/Região | Finalidade | Dados processados | DPA/Certificações |
|---|---|---|---|---|
| Google (Drive) | EUA | Armazenamento e compartilhamento de materiais e playbooks | Arquivos de materiais, permissões de acesso, metadados de arquivos | DPA Google Workspace; SOC 2; ISO 27001 |
| Google (Admin Directory) | EUA | Gestão de contas e diretórios organizacionais | Dados de usuários organizacionais (nome, e-mail corporativo) | DPA Google Workspace |
| Google (SSO / OAuth 2.0) | EUA | Autenticação de Usuários via Single Sign-On | Dados do perfil Google (nome, e-mail, foto), token de autenticação | Termos do serviço de autenticação utilizado; cobertura pelo DPA do Workspace não é automática |
O Cloud Data Processing Addendum (CDPA) se aplica aos serviços abrangidos pelo contrato correspondente. A existência de uma conta Google, de acesso via OAuth ou de uma conta pessoal do Gmail não comprova a cobertura pelo CDPA do Google Workspace ou Google Cloud.
1.9 Microsoft
| Subprocessador | País/Região | Finalidade | Dados processados | DPA/Certificações |
|---|---|---|---|---|
| Microsoft (SSO / Azure AD) | EUA | Autenticação de Usuários via Single Sign-On | Dados do perfil Microsoft (nome, e-mail), token de autenticação | DPA Microsoft; SOC 2; ISO 27001 |
1.10 Cache e Estado
| Subprocessador | País/Região | Finalidade | Dados processados | DPA/Certificações |
|---|---|---|---|---|
| Redis (AWS ElastiCache) | Conforme região AWS | Cache de sessões, estado de conexões WebSocket, dados voláteis | Identificadores de sessão, estado de conexão, cache de permissões | Gerenciado pela AWS; SOC 2; ISO 27001 |
1.11 Notificações
| Subprocessador | País/Região | Finalidade | Dados processados | DPA/Certificações |
|---|---|---|---|---|
| AWS SNS | Conforme região AWS | Envio de notificações por e-mail (convites, alertas, códigos 2FA) | Endereço de e-mail destino, conteúdo do e-mail | DPA AWS; SOC 2; ISO 27001 |
Redis/ElastiCache e SNS são serviços da AWS, não subprocessadores adicionais.
1.12 Transferência Internacional — Cláusulas-padrão da ANPD
Revisão documental: 1º de outubro de 2026. A tabela informa se os documentos públicos consultados incluem as cláusulas-padrão da ANPD (Resolução CD/ANPD nº 19/2024), também chamadas de Brazil SCCs.
“Previstas” significa que há previsão expressa no documento público, sujeita às condições nele estabelecidas. Não equivale a um comprovante de aceite da conta da Growth. “Não identificadas” significa que essas cláusulas não foram encontradas nos documentos consultados, sem afirmar que o fornecedor não possa disponibilizar um aditivo separado. “Não comprovadas” indica que a documentação acessível não permite concluir pela inclusão.
| Fornecedor | Status das cláusulas da ANPD | Justificativa e documento de referência |
|---|---|---|
| AWS | Não identificadas | Os Service Terms, seção 1.14, incorporam o DPA e cláusulas europeias, britânicas e suíças. Não foi identificada incorporação das cláusulas da ANPD nesses documentos. |
| MongoDB Atlas | Não identificadas | O DPA, seção 9.3 e Schedule 1, trata dos mecanismos da União Europeia, Reino Unido e Suíça, sem previsão expressa das cláusulas da ANPD. |
| Twilio | Previstas | O DPA, Schedule 3, seção 2.7, prevê as Brazil SCCs e sua incorporação por referência para as transferências abrangidas. |
| OpenAI | Não identificadas | O DPA define SCCs como as cláusulas europeias. Não foi identificada previsão expressa das cláusulas da ANPD. |
| ElevenLabs | Previstas | O DPA, seções 11.1 e 11.5, inclui as Brazil SCCs. Sua aplicação depende de esse DPA integrar o contrato do serviço; contratos empresariais podem ter condições próprias. |
| Groq | Não identificadas | O DPA, seção 8, prevê mecanismos internacionais, mas não incorpora expressamente as cláusulas da ANPD. |
| Nylas | Não comprovadas | A orientação oficial sobre o DPA remete ao contrato e à ordem de serviço. Essa orientação não comprova a inclusão das Brazil SCCs no instrumento contratado. |
| PostHog | Não identificadas | O DPA público não contém previsão expressa das cláusulas da ANPD. |
| Sentry | Não identificadas | O DPA público trata de mecanismos europeus, britânicos e suíços, sem previsão expressa das cláusulas da ANPD. |
| Atlassian (Jira) | Previstas | O DPA, Schedule 2, seção 4 — Brazil, incorpora as cláusulas brasileiras e considera as partes signatárias nas hipóteses previstas. |
| Previstas | O CDPA, Appendix 3 — Brazil, seção 3, prevê as BR SCCs conforme a entidade contratante, o papel das partes e o fluxo da transferência. A cobertura depende do produto e do contrato aplicáveis. |
A comprovação de cobertura contratual exige identificar o contrato aplicável à conta e ao serviço, a versão do DPA e sua forma de incorporação ou aceite, além de eventual aditivo com as cláusulas-padrão da ANPD. Esta lista não substitui esses instrumentos nem declara comprovada a cobertura de todas as contas. A análise acima se limita aos onze fornecedores indicados; ela não atribui cobertura das cláusulas da ANPD a DeepInfra, Microsoft ou às integrações da seção 2.
Cobertura dos dois CNPJs: a verificação dos contratos com fornecedores deve identificar qual empresa da Growth Machine está abrangida. A inclusão de ambas nesta lista não estende automaticamente à outra empresa um DPA ou cláusulas de transferência firmados por apenas uma delas; essa cobertura deve decorrer do contrato aplicável, de previsão de afiliadas ou de instrumento correspondente.
Cláusulas europeias, certificações de segurança e referências genéricas à LGPD não equivalem automaticamente às cláusulas-padrão da ANPD. Outros mecanismos de transferência exigem enquadramento próprio conforme a orientação da ANPD sobre transferências internacionais.
2. Integrações Ativadas pelo Controlador
Os seguintes serviços de terceiros são configurados opcionalmente pelo Projeto (Controlador) e processam dados de Leads quando ativados. A Growth Machine atua como intermediária técnica; o Controlador é responsável pela relação contratual com cada provedor.
| Serviço | País/Região | Finalidade | Dados compartilhados |
|---|---|---|---|
| Pipedrive | UE/EUA | CRM — sincronização de contatos, empresas, negócios, atividades | Nome, e-mail(s), telefone(s), empresa, cargo, notas de atividade |
| RD Station CRM | Brasil | CRM — sincronização de contatos, empresas, negócios, tarefas | Nome, e-mail(s), telefone(s), empresa, cargo, notas |
| RD Station Marketing | Brasil | Automação de marketing — ingestão de leads via webhook | Nome, e-mail, telefone, empresa, campos mapeados |
| HubSpot | EUA | CRM — sincronização de contatos, empresas, negócios, atividades | Nome, e-mail(s), telefone(s), empresa, cargo, notas |
| Kommo (amoCRM) | EUA/UE | CRM — sincronização de contatos, leads, tarefas, notas | Nome, e-mail(s), telefone(s), empresa, cargo, notas |
| Salesforce | EUA | CRM — sincronização de contatos, contas, oportunidades, atividades | Nome, e-mail(s), telefone(s), empresa, cargo, notas |
| Bitrix24 | UE | CRM — sincronização de contatos, empresas, negócios, atividades | Nome, e-mail(s), telefone(s), empresa, cargo, notas |
| Go2Sell | Brasil | Importação de leads de parceiros | Nome, e-mail, telefone, empresa, dados mapeados |
| Meetime | Brasil | Integração de cadências e métricas comerciais | Métricas de performance, dados de cadências, atividades de prospecção |
3. Procedimento de Adição de Novos Subprocessadores
- A Growth Machine avalia as práticas de segurança e privacidade do potencial subprocessador.
- Um DPA é celebrado com o novo subprocessador.
- Este documento é atualizado com o novo subprocessador.
- Os Controladores são notificados com antecedência mínima de 30 (trinta) dias antes da ativação.
- O Controlador poderá apresentar objeção fundamentada dentro de 15 dias.
4. Procedimento de Objeção
Se o Controlador tiver objeção fundamentada à adição de um novo subprocessador:
- O Controlador deve comunicar a objeção por escrito em até 15 (quinze) dias após a notificação.
- A Growth Machine buscará alternativa razoável ou medida mitigatória.
- Caso não seja possível resolver a objeção, o Controlador poderá rescindir o Contrato Principal e o DPA sem penalidade, com período de transição de 30 dias.
5. Contato
Para dúvidas sobre subprocessadores:
- E-mail: privacidade@growthedge.com.br
- DPO: Natália Caroline Batista
Documento parte integrante do DPA e da Política de Privacidade da Growth Station.
Sua opinião importa
Este guia resolveu sua dúvida?
Leva poucos segundos e ajuda a manter a KB realmente útil.