Subcontratantes e prestadores de serviços
Última atualização: 22 de setembro de 2026
Esta página lista todos os terceiros que tratam dados pessoais no âmbito do serviço ALerta (alerta.com.pt e my.alerta.com.pt). Está organizada segundo o papel que a ALerta desempenha:
- A. Subcontratantes ulteriores ao abrigo do Acordo de Subcontratação — prestadores que tratam dados de anfitriões e hóspedes por conta da ALerta quando esta atua como subcontratante do anfitrião nos termos do Acordo de Subcontratação de Dados (artigo 28.º do RGPD).
- B. Prestadores de serviços para o tratamento próprio da ALerta — prestadores a que a ALerta recorre enquanto responsável pelo tratamento (a sua conta, faturação, marketing, prospeção comercial, operações internas). São listados por transparência; a Política de Privacidade descreve esse tratamento.
- C. Serviços ligados pelo anfitrião — contas de terceiros que pertencem ao anfitrião e às quais a ALerta se liga por sua instrução. A ALerta não é subcontratante desses serviços; aplica-se o contrato do anfitrião com cada um deles.
- D. Destinatários legais — entidades públicas que recebem dados por imposição da lei.
Contratos. A última coluna de cada tabela indica o que está em vigor hoje: um contrato ou adenda de subcontratação de tratamento de dados, celebrado ou incorporado nas condições de serviço do prestador, ou "a confirmar" / "a celebrar" quando ainda o estamos a recolher. Não afirmamos a existência de um contrato assinado onde não exista; as linhas são atualizadas à medida que cada um é concluído.
Alterações e oposição. Atualizamos esta página com, pelo menos, 30 dias de antecedência relativamente ao início do tratamento de dados de anfitriões ou de hóspedes por um novo subcontratante ulterior da lista A, ou por um subcontratante ulterior de substituição (Secção 6 do Acordo; Cláusula 9, alínea a), das Cláusulas Contratuais-Tipo no Anexo 2 do Acordo). Pode opor-se com fundamentos razoáveis de proteção de dados nesse prazo de 30 dias. Os prestadores assinalados como adicionados para o lançamento pago foram listados pela primeira vez a 12 de setembro de 2026 e iniciam o tratamento a 1 de outubro de 2026; as oposições são aceites até 12 de outubro de 2026, e constam como já autorizados no Anexo III do Anexo 2 do Acordo. Para se opor, escreva para privacy@alerta.com.pt.
Registo de alterações. 22 de setembro de 2026 — redação do prazo de oposição alinhada com a Secção 6 do Acordo e com a Cláusula 9, alínea a), das Cláusulas Contratuais-Tipo no Anexo 2 do Acordo (página atualizada com, pelo menos, 30 dias de antecedência); nenhum subcontratante ulterior adicionado ou substituído. 15 de setembro de 2026 — linha da Channex: acrescentadas as Cláusulas Contratuais-Tipo assinadas com a Channex e os subcontratantes da própria Channex (Anexo III), com as opções de alojamento e as bases de transferência da SparkPost, da Sentry e da Cloudflare retiradas da documentação pública desses prestadores; nenhum subcontratante da ALerta foi adicionado ou substituído. 12 de setembro de 2026 — primeira publicação desta versão em quatro listas.
A. Subcontratantes ulteriores ao abrigo do Acordo de Subcontratação (dados de anfitriões e hóspedes)
| Prestador | Finalidade e dados | Local de tratamento | Contrato |
|---|---|---|---|
| Supabase Inc. | Base de dados, tokens de autenticação e armazenamento de ficheiros — todos os dados de anfitriões, imóveis, reservas e hóspedes | UE (Frankfurt, Alemanha) | CSTD da Supabase (supabase.com/legal/dpa) — assinado no painel da Supabase a 12 de setembro de 2026 |
| Vercel Inc. | Alojamento da aplicação e distribuição em edge de my.alerta.com.pt | UE (Frankfurt, Alemanha) para as funções de servidor; edge global para conteúdos estáticos | CSTD da Vercel (vercel.com/legal/dpa) — incorporado nas condições da Vercel para todos os planos |
| Resend (Plus Five Five Inc.) | Email transacional: códigos de início de sessão, confirmações a hóspedes e anfitriões, alertas, emails de conta e de faturação | Região da UE | CSTD da Resend (resend.com/legal/dpa) — incorporado nas condições da Resend |
| Anthropic PBC | Extração por IA dos dados de reserva a partir dos emails de reserva que reencaminha (apenas se ativar a receção de reservas por email); conteúdo tratado de forma transitória e não utilizado para treino de modelos | EUA; Quadro de Privacidade de Dados UE–EUA / Cláusulas Contratuais-Tipo | Adenda de tratamento de dados incorporada nos Termos Comerciais da Anthropic |
| Stripe Payments Europe, Ltd. (com afiliadas Stripe, Inc.) | Pagamentos de hóspedes em reservas diretas (Stripe Connect) e a faturação de subscrições descrita na lista B; os dados do cartão nunca passam pela ALerta — adicionado para o lançamento pago | Irlanda (UE); afiliadas nos EUA ao abrigo de Cláusulas Contratuais-Tipo / Quadro de Privacidade de Dados UE–EUA | Acordo de Tratamento de Dados da Stripe, parte do Stripe Services Agreement (stripe.com/legal/dpa) |
| Channex.io LTD (Inglaterra e País de Gales n.º 09250795, Carmarthen, Reino Unido) | Gestor de canais: disponibilidade, preços e reservas sincronizados com a Booking.com e o Airbnb; nomes de hóspedes, dados de contacto, dados da estadia, pedidos especiais e mensagens de hóspedes. Conservação conforme as Cláusulas assinadas (Anexo I.2): reservas até 2 anos após a partida, dados de cartão 7 dias após a partida (guardados num cofre PCI DSS, nunca na ALerta), dados de conta 30 dias após a cessação; controlos concebidos em linha com a ISO 27001 e o PCI DSS (sem certificação). Subcontratantes da própria Channex (Anexo III, autorizados): Amazon Web Services EMEA SARL (alojamento, regiões da UE), DigitalOcean LLC (alojamento, regiões da UE), Vaultera ehf (cofre e tokenização de cartões, Islândia/EEE, PCI DSS v4.0.1 Nível 1), Stripe Payments Europe Ltd (processamento de pagamentos e tokenização de cartões, Irlanda), SparkPost — Message Systems Inc., hoje Bird.com Inc. (email transacional: um serviço nos EUA ou um serviço UE alojado na Europa Ocidental; a entidade norte-americana está certificada no Quadro de Privacidade de Dados UE–EUA e o CSTD da Bird aplica as Cláusulas Contratuais-Tipo), Sentry — Functional Software Inc. (monitorização de erros: região de dados nos EUA ou na UE (Frankfurt), alguns metadados de conta nos EUA; certificada no Quadro de Privacidade de Dados UE–EUA, Cláusulas Contratuais-Tipo no CSTD da Sentry), Cloudflare Inc. (CDN, DNS e segurança de rede: rede edge global, metadados tratados em centros de dados nos EUA e na UE; certificada no Quadro de Privacidade de Dados UE–EUA, Cláusulas Contratuais-Tipo no CSTD da Cloudflare) — localizações e bases de transferência conforme a documentação pública de cada prestador, 15 de setembro de 2026; a opção utilizada pela Channex não consta do Anexo III — adicionado para o lançamento pago | UE (AWS e DigitalOcean); tokens de cartão na Islândia (EEE); entidade do Reino Unido ao abrigo da decisão de adequação da UE; transferências subsequentes para os seus subcontratantes apenas nos termos das cláusulas 8.8 e 9 das Cláusulas Contratuais-Tipo assinadas | Cláusulas Contratuais-Tipo da UE (Decisão 2021/914 da Comissão), Módulo 2 (responsável pelo tratamento → subcontratante), assinadas por ambas as partes (assinatura da ALerta datada de 15 de setembro de 2026), em conjunto com a Adenda de Proteção de Dados da Secção 21 do Channex Customer Agreement (em vigor desde 17 de agosto de 2026); as Cláusulas prevalecem sobre a Adenda (cláusula 5.ª); a Channex tem de pedir autorização específica com pelo menos 30 dias de antecedência antes de contratar qualquer novo subcontratante (cláusula 9.1); lei aplicável e tribunais: Irlanda (cláusulas 17.ª e 18.ª) |
| Railway Corp. | Alojamento do serviço em segundo plano que executa a sincronização de canais (acesso à base de dados) — adicionado para o lançamento pago | EUA; Cláusulas Contratuais-Tipo | CSTD da Railway (railway.com/legal/dpa) — celebrado via DocuSign a 12 de setembro de 2026 |
| Cloudflare, Inc. | DNS e rede edge de alerta.com.pt; o serviço que recebe os emails de reserva reencaminhados (conteúdo original do email, conservado brevemente) — adicionado para o lançamento pago | Global (UE/EUA); Cláusulas Contratuais-Tipo / Quadro de Privacidade de Dados UE–EUA | Cloudflare Customer DPA (cloudflare.com/cloudflare-customer-dpa) — incorporado nas condições self-service |
| Slack Technologies, LLC | Alertas operacionais internos para a equipa da ALerta: apenas identificadores — nome do anfitrião, nome do imóvel, plano, valores; nunca dados de hóspedes — adicionado para o lançamento pago | EUA; Quadro de Privacidade de Dados UE–EUA | CSTD da Slack (slack.com/terms-of-service/data-processing) — incorporado nas Slack Customer Terms; sem assinatura separada |
B. Prestadores de serviços para o tratamento próprio da ALerta (ALerta como responsável pelo tratamento)
| Prestador | Finalidade e dados | Local de tratamento | Contrato |
|---|---|---|---|
| Google LLC | Início de sessão com o Google (nome, endereço de email, ID de perfil) — apenas se optar por este método | Global; Cláusulas Contratuais-Tipo | Adenda de Tratamento de Dados da Google Cloud — incorporada |
| Stripe Payments Europe, Ltd. | Faturação da subscrição do seu plano ALerta: checkout, guarda de cartões, faturas, portal do cliente, validação do seu NIF junto do VIES | Irlanda (UE); afiliadas nos EUA ao abrigo de Cláusulas Contratuais-Tipo / Quadro de Privacidade de Dados UE–EUA | Acordo de Tratamento de Dados da Stripe (como na lista A) |
| lempire SAS (Lemlist) | Envio e gestão de respostas dos nossos emails de prospeção a empresas de AL constantes do registo público RNAL — ver o Aviso de Privacidade de Contactos Comerciais; sem dados de anfitriões ou hóspedes do Serviço | França (UE) | CSTD da Lemlist — assinado |
| Vercel Inc. (Web Analytics) | Estatísticas de visualização de páginas sem cookies em alerta.com.pt e my.alerta.com.pt: sem cookies, sem rastreio entre sites, sem perfil pessoal | UE / edge global | CSTD da Vercel (como na lista A) |
| Notion Labs, Inc. | Notas internas e planeamento da equipa da ALerta — sem dados pessoais: não são guardados dados de anfitriões nem de potenciais clientes no Notion (listado por transparência) | EUA; Cláusulas Contratuais-Tipo / Quadro de Privacidade de Dados UE–EUA | Adenda de Tratamento de Dados da Notion — incorporada no Notion Master Subscription Agreement; sem assinatura separada |
| Prighter (Prighter EU Rep GmbH; entidade contratante Prighter GmbH) | Representante na UE ao abrigo do art. 27.º do RGPD; subcontratante relativamente aos pedidos que os titulares de dados na UE submetem através do portal da Prighter. Transferências Prighter → ALerta ao abrigo das Cláusulas Contratuais-Tipo da UE, Módulo 4 (Subcontratante-para-Responsável). Subcontratantes da própria Prighter: DigitalOcean LLC (EUA, Quadro de Privacidade de Dados), Microsoft 365 (EUA, Quadro de Privacidade de Dados), Hetzner Online (EEE), Strato (Alemanha) | UE / EUA conforme indicado | Termos de Serviço da Prighter (cdn.prighter.com/legal/Prighter-TermsOfService.pdf) |
C. Serviços ligados pelo anfitrião (contas próprias do anfitrião)
| Serviço | O que a ALerta faz | Quem detém o contrato |
|---|---|---|
| InvoiceXpress | Quando liga a sua conta InvoiceXpress, a ALerta envia-lhe os dados de faturação por sua instrução (faturação certificada aos seus hóspedes). As faturas da própria ALerta ao anfitrião são emitidas através da Stripe, não da InvoiceXpress. | O anfitrião, nos termos das condições da InvoiceXpress |
| Booking.com e Airbnb (através da Channex) | As contas do anfitrião nas plataformas, ligadas através da Channex por sua instrução; as reservas e as mensagens de hóspedes fluem dessas contas para a ALerta | O anfitrião, nos termos das condições de cada plataforma |
D. Destinatários legais
| Destinatário | Finalidade | Fundamento |
|---|---|---|
| SEF / AIMA (SIBA) | Dados de registo de hóspedes comunicados conforme exigido aos anfitriões de AL pela lei portuguesa | Obrigação legal — não é um subcontratante contratual |
Como ser notificado de alterações
Envie um email para privacy@alerta.com.pt com o assunto "Subscrever atualizações de subcontratantes". Receberá um email antes de qualquer alteração à lista A produzir efeitos, e o prazo de oposição de 30 dias previsto no § 6 do Acordo de Subcontratação aplica-se a cada atualização desta página.