Subprocessadores — 7 Pro Labs / Rito

Última atualização: 6 de novembro de 2026

O Rito utiliza subprocessadores para alojamento, autenticação, comunicações, pagamentos, suporte técnico e funcionalidades opcionais. Cada fornecedor deve tratar dados apenas na medida necessária para prestar o serviço contratado.

Lista atual

Subprocessador	Finalidade	Localização principal	Salvaguardas e notas
Supabase Inc.	Base de dados, autenticação e armazenamento	Frankfurt, Alemanha	Infraestrutura principal do produto; certificações de segurança do fornecedor
Hostinger International Ltd.	Alojamento do servidor (VPS) onde corre a aplicação Rito e as suas tarefas assíncronas	Manchester, Reino Unido	O Reino Unido beneficia de decisão de adequação da Comissão Europeia (art. 45.º do RGPD), em vigor até 27 de dezembro de 2031. A base de dados e os ficheiros ficam na Supabase, em Frankfurt; neste servidor ficam registos técnicos e o histórico das tarefas assíncronas, apagado quando tem mais de 14 dias
Cloudflare, Inc.	Proxy, CDN e proteção contra ataques: todo o tráfego do site passa pela Cloudflare antes de chegar ao servidor	Rede global, conforme a localização de quem acede; sede nos EUA	Cifra o tráfego em trânsito e decifra-o na sua rede para o encaminhar ao servidor; não é usada para guardar o conteúdo dos processos nem dos documentos. Termos de tratamento de dados da Cloudflare, com SCCs e, quando aplicável, o EU-U.S. Data Privacy Framework
Stripe Inc.	Pagamentos, faturação e prevenção de fraude	EUA e regiões operacionais da Stripe	PCI DSS; SCCs quando aplicável
Resend Inc.	Emails transacionais e notificações	EUA	SCCs quando aplicável
Anthropic PBC	Assistente de WhatsApp (Luca) com o modelo Claude, nos escritórios que o utilizam, e como modelo de reserva quando o principal não responde; leitura de ficheiros recebidos pelo assistente, extração de dados de documentos carregados, redação de minutas e de resumos, análise de atualizações de processo, triagem de leads e dos seguimentos automáticos, e aprendizagem a partir das correções da equipa	EUA	Ao abrigo dos termos comerciais do fornecedor, os dados enviados pela API não são usados para treinar modelos; SCCs quando aplicável
OpenAI, L.L.C.	Assistente de WhatsApp (Luca) com o modelo GPT-6 Luna, nos escritórios que o utilizam, incluindo as fotografias e os documentos enviados na conversa; transcrição de mensagens de voz recebidas por WhatsApp ou Instagram, geração de embeddings para pesquisa na base de conhecimento, e classificação e resumo	EUA	Ao abrigo dos termos de API do fornecedor, os dados enviados não são usados para treinar modelos; SCCs quando aplicável
Groq LLC	Transcrição de mensagens de voz recebidas por WhatsApp ou Instagram, apenas quando o fornecedor principal (OpenAI) não responde	EUA	Ao abrigo dos termos do fornecedor, os dados não são usados para treinar modelos e não são guardados por omissão (registos de diagnóstico até 30 dias); SCCs
PostHog Inc.	Analytics de produto, apenas com consentimento	EUA	Carregado só depois de o utilizador aceitar os cookies de analytics; gravação de sessões desligada; SCCs quando aplicável
Google Ireland Limited	Google Tag Manager, medição de campanhas publicitárias e analytics de marketing nas páginas públicas	Irlanda, com tratamento pela Google LLC nos EUA	Carregado apenas nas páginas públicas e apenas após consentimento; não é carregado nas áreas autenticadas nem em páginas com token de acesso; SCCs e Consent Mode v2
Meta Platforms Ireland Ltd.	Meta Pixel: medição de campanhas no Facebook e no Instagram nas páginas públicas	Irlanda, com tratamento pela Meta Platforms, Inc. nos EUA	Carregado apenas nas páginas públicas e apenas após consentimento; não é carregado nas áreas autenticadas nem em páginas com token de acesso; SCCs. Não recebe dados de clientes dos escritórios
Sentry Inc.	Monitorização de erros e estabilidade	Frankfurt, Alemanha	Região de dados da UE do Sentry; logs técnicos e diagnósticos; SCCs quando aplicável
Pusher Ltd.	Notificações em tempo real	União Europeia	Eventos de aplicação em tempo real
Google LLC	Notificações push: entrega dos avisos às aplicações do Rito para iPhone e Android (Firebase Cloud Messaging), com o título e o texto de cada aviso; e, nos navegadores Chrome, Brave e Opera, entrega de avisos cifrados de ponta a ponta, de que vê apenas metadados	EUA e infraestrutura global da Google	Projeto Firebase do próprio Rito. Nas aplicações, vê o título e o texto do aviso (por exemplo o nome de um cliente, o início de uma mensagem ou o título de uma tarefa) e o identificador do dispositivo. Nos navegadores, o conteúdo segue cifrado de ponta a ponta (RFC 8291) e só vê o endereço de entrega, o tamanho e a hora. Só recebe avisos de quem ativa as notificações num dispositivo. Termos de tratamento de dados do Firebase: EU-U.S. Data Privacy Framework e, na falta deste, SCCs
Apple Inc.	Notificações push: entrega dos avisos à aplicação do Rito no iPhone (Apple Push Notification service, que os recebe da Firebase Cloud Messaging), com o título e o texto de cada aviso; e, no Safari, entrega de avisos cifrados de ponta a ponta, de que vê apenas metadados	EUA	Na aplicação, vê o título e o texto do aviso e o identificador do dispositivo. No Safari (no Mac, ou no iPhone e no iPad com o Rito no ecrã principal), o conteúdo segue cifrado de ponta a ponta (RFC 8291) e só vê o endereço de entrega, o tamanho e a hora. Só recebe avisos de quem ativa as notificações num dispositivo. Nos termos do Apple Developer Program, a Apple não acede ao conteúdo das notificações fora das exceções aí previstas (por exemplo, exigência legal ou segurança); segundo a política de privacidade da Apple, as transferências de dados do EEE assentam em SCCs
Mozilla Corporation	Notificações no navegador Firefox (Mozilla Push Service): entrega de avisos cifrados de ponta a ponta, de que vê apenas metadados	EUA	O conteúdo segue cifrado de ponta a ponta (RFC 8291): só vê o endereço de entrega, o tamanho e a hora. É o serviço que o próprio Firefox usa; só recebe avisos de quem ativa as notificações nesse navegador
Microsoft Corporation	Notificações no navegador Microsoft Edge (Windows Push Notification Services): entrega de avisos cifrados de ponta a ponta, de que vê apenas metadados	EUA e infraestrutura global da Microsoft	O conteúdo segue cifrado de ponta a ponta (RFC 8291): só vê o endereço de entrega, o tamanho e a hora. É o serviço que o próprio Edge usa; só recebe avisos de quem ativa as notificações nesse navegador

O orquestrador de tarefas assíncronas (Inngest) corre, desde 18 de setembro de 2026, no próprio servidor do Rito, alojado pela Hostinger. A Inngest Inc. deixou de receber dados e saiu desta lista.

O Nexo, o CRM da própria 7 Pro Labs, guarda os contactos comerciais de quem ainda não é cliente do Rito — por exemplo, quem responde a um anúncio do Rito no Facebook ou no Instagram (Política de Privacidade, secção 9). Para esses dados, a 7 Pro Labs é responsável pelo tratamento. O Nexo não recebe os dados que os escritórios tratam no Rito (os seus clientes, processos, documentos e conversas), pelo que não é um subprocessador e não consta da tabela acima. A aplicação do Nexo é alojada pela Hostinger (Manchester, Reino Unido) e a sua base de dados pela Supabase, na União Europeia (Irlanda).

As assinaturas eletrónicas são geradas e guardadas no próprio Rito, sem prestador externo. Se vier a ser ativado um prestador externo de assinatura (por exemplo DocuSign ou Adobe Acrobat Sign), esse prestador deve ser acrescentado a esta lista antes da ativação em produção para clientes.

Sistemas de IA ligados pelo cliente

O Rito permite que um escritório ligue ao produto um sistema de inteligência artificial que o próprio escritório contratou — por exemplo Claude ou ChatGPT — através da funcionalidade de conector, disponível nas definições e desativada por omissão.

Esses fornecedores não constam desta lista, e não devem constar. Não são subprocessadores do Rito: não os selecionamos, não os contratamos, não os pagamos e não lhes enviamos dados por nossa iniciativa. Quando um escritório ativa a ligação, é ele que atua como responsável pelo tratamento perante o fornecedor que escolheu, e é entre os dois que o acordo de tratamento de dados tem de existir.

Se, no futuro, o Rito passar a encaminhar dados através de uma conta de IA sua — em vez de abrir a porta para a conta do cliente — esse fornecedor passa a ser subprocessador e é acrescentado a esta lista com a antecedência prevista na secção seguinte. Não é o caso hoje.

A funcionalidade de assistente WhatsApp (Luca) é distinta: aí o fornecedor de IA é subprocessador do Rito e está listado acima.

Alterações à lista

Alterações materiais à lista de subprocessadores serão comunicadas aos clientes com antecedência razoável, normalmente 30 dias, salvo quando a alteração for necessária por segurança, continuidade operacional ou exigência legal.

Clientes podem apresentar objeção fundamentada a um novo subprocessador através de [email protected].

Transferências para fora do EEE

Para subprocessadores localizados fora do Espaço Económico Europeu, a transferência assenta numa decisão de adequação da Comissão Europeia, quando exista — é o caso do Reino Unido —, ou em salvaguardas adequadas, incluindo Cláusulas Contratuais-Tipo da Comissão Europeia.

Histórico de alterações

6 de novembro de 2026 — Entra a Cloudflare, Inc., pela qual passa o tráfego do site desde 31 de outubro de 2026, e que não constava da lista. Entra a Meta Platforms Ireland Ltd., para a medição de campanhas nas páginas públicas, apenas com consentimento.
2 de novembro de 2026 — Entram os serviços que entregam as notificações push do Rito fora da aplicação aberta. Nas aplicações do Rito para iPhone e Android, a Google LLC (Firebase Cloud Messaging) e, no iPhone, a Apple Inc. (Apple Push Notification service) recebem o título e o texto de cada aviso. Nos navegadores, cada aviso segue pelo serviço do próprio navegador — Google LLC (Chrome, Brave, Opera), Apple Inc. (Safari), Mozilla Corporation (Firefox) e Microsoft Corporation (Edge) — cifrado de ponta a ponta, e esses serviços veem apenas metadados. Nenhum deles recebe avisos de quem não ativa as notificações num dispositivo. A Pusher Ltd. continua a levar as atualizações em tempo real com o Rito aberto.
12 de outubro de 2026 — A transcrição de mensagens de voz (OpenAI, L.L.C., e Groq LLC como reserva) passa a nomear também as mensagens recebidas por Instagram, nos escritórios que liguem a sua conta profissional de Instagram ao Rito. Nenhum subprocessador entrou nem saiu. A Meta Platforms, dona do WhatsApp e do Instagram, não é subprocessador: é a plataforma que o próprio escritório escolhe e liga, ao abrigo dos termos que tem com ela.
7 de outubro de 2026 — O assistente de WhatsApp (Luca) passa a poder funcionar com o modelo GPT-6 Luna, da OpenAI, L.L.C., que já constava da lista: é o modelo dos escritórios que entram a partir desta data, e os restantes passam a ele após o pré-aviso de 30 dias. A Anthropic PBC mantém o assistente nos escritórios que ainda usam o Claude, serve de modelo de reserva e continua a ler ficheiros e a extrair dados de documentos; a sua linha passa também a nomear a redação de minutas e de resumos, a triagem dos seguimentos automáticos e a aprendizagem a partir das correções da equipa, que já fazia.
23 de setembro de 2026 — Correção: o servidor da aplicação sempre foi alojado pela Hostinger; a Hetzner, que constava da lista, nunca foi utilizada. Esteve em São Paulo, Brasil, até 17 de setembro de 2026 (o Brasil beneficia de decisão de adequação da Comissão Europeia desde 27 de janeiro de 2026) e está desde então em Manchester, Reino Unido. Entrou a Groq LLC, fornecedor de reserva da transcrição de voz desde 17 de agosto de 2026, que não constava da lista. Saiu a Inngest Inc. (18 de setembro de 2026). A PostHog passa a indicar os EUA e o Sentry Frankfurt, onde os dados de cada um sempre estiveram.
2 de setembro de 2026 — Saiu a referência ao Documenso: as assinaturas eletrónicas são geradas no próprio Rito.
24 de agosto de 2026 — Correção: entrou a Anthropic PBC, que tratava dados desde julho de 2026 sem constar da lista; a descrição da OpenAI passou a dizer o que ela faz.
20 de agosto de 2026 — Entrou a Google Ireland Limited, apenas nas páginas públicas e com consentimento.

Contacto

Questões sobre subprocessadores, segurança ou tratamento de dados podem ser enviadas para [email protected].