English
Italiano
Español
Français
Deutsch
Português
ไทย
日本語
Última atualização: 25 de outubro de 2026 (versão 1.1).
1. Finalidade
Este documento identifica os subcontratantes terceiros contratados pela GlobeID Limited
(«GlobeID») para tratar Dados Pessoais em nome dos Clientes no âmbito dos
serviços PassportScan Cloud, em conformidade com o artigo 28.º, n.os 2 e 4, do RGPD.
Esta Lista de Subcontratantes constitui parte integrante do Acordo de Tratamento de Dados (DPA).
2. Princípios Gerais
- Os subcontratantes são contratados apenas quando estritamente necessário para a prestação dos Serviços
- Todos os subcontratantes estão vinculados por acordos escritos de proteção de dados que impõem obrigações não menos protetoras do que as estabelecidas no DPA
- A GlobeID permanece plenamente responsável pelos atos e omissões dos seus subcontratantes, em conformidade com o artigo 28.º, n.º 4, do RGPD
- As bases de dados principais da plataforma estão alojadas exclusivamente na União Europeia (AWS eu-west-1 – Irlanda)
- Quando o armazenamento regional S3 está ativado, as imagens de documentos são armazenadas na região AWS correspondente à jurisdição operacional do hotel
- Não está configurada qualquer replicação entre regiões das bases de dados principais
- O PassportScan Cloud não mantém um Ambiente de Dados de Titulares de Cartões (CDE)
3. Subcontratantes Autorizados (Tabela Unificada)
| Subcontratante | Categoria de Serviço | Finalidade / Função | Categorias de Dados Tratados | Localização do Tratamento |
|---|---|---|---|---|
| Amazon Web Services, Inc. (AWS) | Infraestrutura de Nuvem e Alojamento | Alojamento de serviços aplicacionais, bases de dados, armazenamento encriptado de objetos (S3), cópias de segurança, segurança da infraestrutura | Dados de identidade, dados de reserva, registos (logs), imagens de documentos (quando ativado) | Principal: UE (Irlanda – eu-west-1). S3: região alinhada com a jurisdição do hotel — atualmente UE (Irlanda), Estados Unidos (us-east-1), Brasil (sa-east-1), Singapura (ap-southeast-1) e Austrália (ap-southeast-2) |
| Clerk, Inc. | Identidade e Autenticação | Autenticação de utilizadores, verificação de identidade, gestão do ciclo de vida das sessões | Endereço de e-mail, endereço IP, metadados do dispositivo, tokens de sessão | Conforme divulgado na documentação da Clerk |
| Datadog, Inc. | Registo e Monitorização | Monitorização da infraestrutura, monitorização do desempenho das aplicações, registo de segurança, deteção de anomalias | Registos (logs) de aplicações e infraestrutura: metadados de pedidos e, quando capturado, conteúdo de pedidos e respostas; endereços IP; eventos de autenticação; diagnósticos técnicos. Os dados pessoais e os segredos são mascarados nos serviços antes de os registos serem enviados para a Datadog | UE (site Datadog UE – datadoghq.eu) |
| Google LLC (reCAPTCHA Enterprise) | Proteção contra Bots e Prevenção de Abusos | Proteção contra bots e abusos na aplicação de self-check-in destinada aos hóspedes | Endereços IP dos hóspedes, sinais do dispositivo e do navegador | Conforme divulgado pela Google |
| Google LLC (Google Workspace) | Comunicações Empresariais | E-mail e documentos utilizados na correspondência de apoio ao cliente; quaisquer Dados Pessoais do Cliente são incidentais a essa correspondência | Dados de contacto e conteúdo da correspondência de apoio (incidental) | Conforme divulgado pela Google |
| Stripe, Inc. | Processamento de Pagamentos | Transações de compra de créditos e ativação de contas | Tratados pela Stripe: dados de cartões de pagamento, dados de faturação, identificadores de transação. Recebidos pelo PassportScan Cloud: ID da transação, estado do pagamento, montante, moeda, e-mail de faturação (se fornecido) | Conforme divulgado na documentação da Stripe |
4. Exclusões Explícitas
- O OCR de documentos de identidade é realizado por um motor operado integralmente no ambiente AWS da própria GlobeID: as imagens de documentos nunca são enviadas para um fornecedor externo de OCR
- As ferramentas internas operadas pela GlobeID (plataforma de operações, CI/CD, VPN) não constituem um subcontratante terceiro; o alojamento subjacente está abrangido pela entrada AWS acima
- As ferramentas de engenharia de software utilizadas internamente, incluindo ferramentas de desenvolvimento assistidas por IA, não têm acesso a Dados Pessoais dos Clientes e, por conseguinte, não são subcontratantes
- Os ambientes de desenvolvimento e teste não contêm Dados Pessoais dos Clientes
- Nenhum subcontratante, para além da AWS, que, na qualidade de fornecedor de alojamento, gere a encriptação em repouso do lado do servidor, tem acesso a dados de documentos de identidade
- O PassportScan Cloud não armazena nem trata números de cartões de pagamento em bruto, códigos CVV ou datas de validade
- A Stripe trata os dados dos titulares de cartões dentro da sua infraestrutura em conformidade com o PCI-DSS
- Não está ativada qualquer replicação entre regiões das bases de dados de produção primárias
5. Transferências Internacionais de Dados
Quando os subcontratantes tratam dados fora do Espaço Económico Europeu (EEE),
a GlobeID assegura a implementação de garantias adequadas, incluindo Cláusulas
Contratuais-Tipo (CCT) ou outros mecanismos lícitos de transferência, em conformidade com o Capítulo V do RGPD.
Para o armazenamento regional S3 fora do EEE, as transferências baseiam-se no Adendo de Tratamento de Dados da AWS e nas CCT aplicáveis.
6. Atualizações e Notificações
A GlobeID poderá atualizar esta Lista de Subcontratantes periodicamente.
Em conformidade com o Artigo 28.º, n.º 2 do RGPD e com o mecanismo de notificação e o prazo de aviso prévio estabelecidos no DPA, a GlobeID informará os Clientes com antecedência sobre qualquer adição ou substituição pretendida de subcontratantes, dando aos Clientes a oportunidade de se oporem, e publicará uma versão atualizada da
Lista de Subcontratantes.
Quando exigido pela legislação aplicável ou pelo DPA, os Clientes poderão opor-se em conformidade com
o procedimento contratual estabelecido no DPA.
A versão mais recente deste documento será sempre publicada com a data atualizada.
