Sub-processadores
O Blocks2Work usa os seguintes sub-processadores para fornecer o serviço. Esta lista está alinhada com o artigo 39 da LGPD e o artigo 28 do GDPR — qualquer alteração é notificada com 30 dias de antecedência pelos canais oficiais.
Última actualização: 22 de junho de 2026
- Finalidade
- Hosting da aplicação web (Next.js)
- Localização
- EUA · servidores edge globais
- Dados processados
- Logs de acesso, IPs, headers HTTP. Sem persistência de dados aplicacionais.
- Finalidade
- Base de dados PostgreSQL principal
- Localização
- AWS Europa (Frankfurt — eu-central-1)
- Dados processados
- Todos os dados aplicacionais: contactos, mensagens, agendamentos, utilizadores. Encriptado em trânsito (TLS) e em repouso (AES-256).
- Finalidade
- Processamento de pagamentos para clientes no Brasil e Portugal (arquitectura híbrida)
- Localização
- Brasil (Stripe Brasil) · datacenters AWS Brasil + globais
- Dados processados
- Nome, email, endereço de faturação, últimos 4 dígitos do cartão, dados PIX/Boleto quando aplicável (Stripe armazena dados completos como processador PCI-DSS Level 1; B2W não recebe dados sensíveis de cartão).
- Finalidade
- Processamento de pagamentos e Merchant of Record para clientes fora do Brasil e Portugal (arquitectura híbrida)
- Localização
- Reino Unido · servidores UE
- Dados processados
- Nome, email, endereço de faturação, últimos 4 dígitos do cartão (Paddle armazena dados completos no cartão como MoR; B2W não recebe dados PCI).
- Finalidade
- WhatsApp Business API (envio e recepção de mensagens)
- Localização
- EUA / Irlanda
- Dados processados
- Apenas quando o cliente conecta o WhatsApp: número, nome do perfil, conteúdo das mensagens (encaminhamento via API).
- Finalidade
- Envio de emails transaccionais via Gmail SMTP (temporário até migração para Resend/Postmark)
- Localização
- EUA
- Dados processados
- Email de destinatário, assunto, corpo do email transaccional.
- Finalidade
- Hosting WAHA (gateway WhatsApp QR) para tenants em pré-BSP
- Localização
- Alemanha (Falkenstein/Nuremberg)
- Dados processados
- Sessões WhatsApp (QR-paired). Conteúdo de mensagens flui através mas não é persistido.
cron-job.org (Patrick Stadler)
- Finalidade
- Scheduler de tarefas (cron) externo
- Localização
- Alemanha
- Dados processados
- Apenas URLs e tokens de autenticação dos endpoints chamados. Sem dados de negócio.
Como somos notificados sobre alterações
Antes de adicionar, substituir ou remover qualquer sub-processador, notificamos os clientes activos por email com pelo menos 30 dias de antecedência. Caso não concordes com uma alteração, podes cancelar a subscrição sem penalização (ver Política de Reembolso).