Subcontratantes da RUMO

Versão 1.0 · em vigor desde 2026-09-28

Esta página faz parte do Acordo de subcontratação (rumolab.pt/subcontratacao, Anexo III) e dos Termos e Condições (rumolab.pt/termos). Divide-se em três partes:

1. Os subcontratantes ulteriores, que tratam dados do site do Cliente por conta dele.
2. Os fornecedores que tratam só dados da RUMO: conta, pagamentos, faturação, domínios, pedidos feitos no rumolab.pt. Estes tratamentos estão descritos na Política de Privacidade (rumolab.pt/privacidade).
3. O que não está nesta lista, e porquê.

Onde se diz «Quadro de Privacidade de Dados», trata-se da decisão de adequação da Comissão Europeia relativa ao Quadro de Privacidade de Dados UE-EUA. Onde se diz «cláusulas-tipo», trata-se das cláusulas contratuais-tipo da Decisão de Execução (UE) 2021/914 da Comissão.

1. Subcontratantes ulteriores: tratam dados do site do Cliente

Anthropic: inteligência artificial

• Entidade: Anthropic Ireland, Limited (Irlanda). Recorre à Anthropic, PBC (EUA) e a outros subcontratantes dela.
• Morada: 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irlanda. A Anthropic, PBC: 548 Market St, PMB 90375, San Francisco, CA 94104, EUA.
• O que faz: os modelos de inteligência artificial (Claude) que escrevem o site a partir do pedido, o alteram no editor, o traduzem (no plano Completo) e descrevem as fotografias carregadas.
• Que dados recebe: o pedido e os textos do Cliente; as fotografias e os ficheiros carregados, como imagem; em cada alteração, a página inteira e as mensagens mais recentes do editor; o texto da página, para preparar os dados que os motores de pesquisa leem; no plano Completo, o texto das páginas, para as traduzir. Não recebe as mensagens dos formulários.
• Onde trata: fora do Espaço Económico Europeu, nomeadamente nos EUA.
• Garantia de transferência: cláusulas-tipo, incorporadas no acordo de tratamento de dados da Anthropic. A Anthropic não está certificada no Quadro de Privacidade de Dados.
• Prazo: apaga os dados no prazo de 30 dias; até 2 anos, se os seus sistemas de segurança os sinalizarem. Está contratualmente proibida de treinar modelos com eles.
• Acordo de tratamento de dados: anthropic.com/legal/data-processing-addendum
• Subcontratantes da Anthropic: anthropic.com/subprocessors

Fly.io: alojamento

• Entidade: Fly.io, Inc. (EUA).
• Morada: 2261 Market Street #4990, San Francisco, CA 94114, EUA.
• O que faz: aloja o backoffice (app.rumolab.pt), o servidor que faz e publica os sites, e todos os dados do serviço. Faz as cópias de segurança.
• Que dados recebe: todos os dados do serviço: o conteúdo e as fotografias dos sites, as versões, as mensagens do editor, as contas, e os dados técnicos das ligações (endereço IP e navegador).
• Onde trata: os dados ficam guardados em França (Paris), num volume cifrado. Por ser uma empresa dos EUA, pode haver acesso de administração a partir dos EUA.
• Garantia de transferência: Quadro de Privacidade de Dados (Fly.io, Inc. está certificada).
• Prazo: enquanto o serviço guardar os dados; as cópias de segurança diárias são guardadas 5 dias.
• Acordo de tratamento de dados: assinado entre a RUMO e a Fly.io; o modelo pede-se em fly.io/documents
• Subcontratantes da Fly.io: fly.io/legal/sub-processors

Cloudflare: sites publicados e DNS

• Entidade: Cloudflare, Inc. (EUA).
• Morada: 101 Townsend St., San Francisco, CA 94107, EUA.
• O que faz: aloja (no armazenamento R2) e entrega (pelos Workers) os sites publicados dos Clientes, no endereço nome.rumosite.com ou no domínio do Cliente, e entrega as páginas do rumolab.pt. Gere o DNS do rumolab.pt. Guarda também uma cópia diária do registo de casos da RUMO.
• Que dados recebe: as páginas publicadas (textos e imagens) e os dados técnicos de quem as visita (endereço IP e navegador). A cópia do registo de casos tem os pedidos, as denúncias e as violações de dados registados, e guarda-se no máximo 30 dias.
• Onde trata: rede mundial.
• Garantia de transferência: Quadro de Privacidade de Dados (Cloudflare, Inc. está certificada) e cláusulas-tipo.
• Acordo de tratamento de dados: cloudflare.com/cloudflare-customer-dpa
• Subcontratantes da Cloudflare: cloudflare.com/gdpr/subprocessors/cloudflare-services

Google Workspace: correio da RUMO

• Entidade: Google Cloud EMEA Limited (Irlanda). Recorre à Google LLC (EUA), que está certificada no Quadro de Privacidade de Dados, e a outros subcontratantes do grupo Google.
• Morada: 70 Sir John Rogerson's Quay, Dublin 2, Irlanda.
• O que faz: guarda o correio de ola@rumolab.pt, por onde passam o suporte e as respostas aos clientes.
• Que dados recebe: o que o Cliente escreve para ola@rumolab.pt, incluindo textos e fotografias que envie para o site.
• Onde trata: UE e EUA.
• Garantia de transferência: Quadro de Privacidade de Dados e cláusulas-tipo.
• Acordo de tratamento de dados: cloud.google.com/terms/data-processing-addendum
• Subcontratantes do Google: workspace.google.com/terms/subprocessors

Resend: emails do serviço

• Entidade: Plus Five Five, Inc., que opera o serviço Resend (EUA).
• Morada: 2261 Market Street #5039, San Francisco, CA 94114, EUA.
• O que faz: envia os emails automáticos do serviço: os links de entrada e de confirmação do email, a confirmação do contrato, a ligação para o site e os avisos. Envia também ao Cliente, por email, as mensagens dos formulários do site dele que enviam pela RUMO.
• Que dados recebe: o endereço de email da conta, o nome do negócio, a ligação para o site e o texto de cada aviso; e, nas mensagens dos formulários, o que quem escreve lá põe (nome, email, telefone, mensagem).
• Onde trata: EUA.
• Garantia de transferência: Quadro de Privacidade de Dados (Plus Five Five, Inc. está certificada) e cláusulas-tipo.
• Prazo: guarda o conteúdo e os registos dos emails 30 dias.
• Acordo de tratamento de dados: resend.com/legal/dpa
• Subcontratantes da Resend: resend.com/legal/subprocessors

O email com o nome do negócio (plano Completo) ainda não está incluído no serviço. Quando existir, o fornecedor entra aqui com o aviso prévio da cláusula 9 do Acordo de subcontratação.

2. Fornecedores que tratam só dados da RUMO

Tratam dados de que a RUMO é responsável, e não o conteúdo do site do Cliente. Estão aqui porque participam na prestação do serviço.

Stripe: pagamentos

• Entidades: Stripe Payments Europe, Limited (Irlanda), com quem a RUMO tem o contrato e o acordo de tratamento de dados, e, nos serviços de pagamento regulados, a Stripe Technology Europe, Limited (Irlanda). Para o que o Stripe faz por conta própria, atua também a Stripe Technology Company Limited (Irlanda).
• Morada (as três): One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irlanda.
• O que faz: recebe os pagamentos das subscrições, por cartão ou por débito direto SEPA, na página de pagamento para onde o backoffice leva o Cliente, e guarda o meio de pagamento para as cobranças seguintes. O Cliente muda o cartão no portal de cliente do Stripe. Nisto, o Stripe é subcontratante da RUMO. Para prevenir fraude e cumprir as obrigações legais e regulatórias dos pagamentos, é responsável pelo tratamento por conta própria.
• Que dados recebe: o nome e a firma, o email, o NIF e a morada de faturação, os dados do cartão ou da conta bancária, os montantes e as datas, e as declarações feitas na página de pagamento (a de contratar no âmbito da atividade profissional e a aceitação dos Termos e do Acordo de subcontratação).
• Onde trata: UE (Irlanda) e EUA.
• Garantia de transferência: Quadro de Privacidade de Dados (Stripe, LLC está certificada) e cláusulas-tipo.
• Acordo de tratamento de dados: stripe.com/legal/dpa · Política de privacidade: stripe.com/privacy
• Subcontratantes do Stripe: stripe.com/legal/service-providers

InvoiceXpress: faturação

• Entidade: InvoiceXpress, Lda. (Portugal), do grupo Visma. NIPC 508 025 338.
• Morada: Avenida Duque d'Ávila, n.º 46, 3.º A, 1050-083 Lisboa.
• O que faz: é o programa de faturação certificado da RUMO. Emite a fatura-recibo de cada pagamento e a nota de crédito de cada reembolso, guarda-as e comunica-as à Autoridade Tributária. Trata estes dados por conta da RUMO, como subcontratante.
• Que dados recebe: a firma ou o nome, o NIF, a morada, o email, o serviço faturado, os montantes e as datas.
• Onde trata: UE (Irlanda).
• Garantia de transferência: não há transferência para fora do Espaço Económico Europeu. Se um subcontratante do InvoiceXpress estiver fora dele, o acordo de tratamento de dados do InvoiceXpress exige cláusulas-tipo.
• Acordo de tratamento de dados: invoicexpress.com/acordo-tratamento-dados-pessoais

Registo de domínios

• Entidades: Dynadot Inc, Califórnia, EUA, para os domínios .pt; Cloudflare, Inc., pelo Cloudflare Registrar, para os domínios .com (morada na parte 1).
• O que faz: regista e renova, em nome da RUMO, que é a titular, o domínio .pt ou .com com o nome do negócio de cada Cliente, depois do primeiro pagamento (Termos, cláusula 16). Quando o Cliente o pede, transfere o domínio para o nome dele.
• Que dados recebe: os dados da RUMO como titular e o nome de cada domínio. Não recebe o conteúdo dos sites. Numa transferência, o Cliente confirma os seus dados junto da entidade de registo (Termos, cláusula 16.2). Em caso de abuso, de queixa ou de pedido do registador, a RUMO pode dar-lhe a identidade e o contacto do Cliente (Termos, cláusula 16.7).
• Onde trata: a Dynadot, nos EUA; a Cloudflare, como na parte 1. Os dados do titular de um .pt seguem para a Associação DNS.PT, em Portugal, que gere os domínios portugueses (.pt).
• Garantia de transferência: a Dynadot e a Cloudflare recebem os dados de um Cliente só na revelação da cláusula 16.7 dos Termos, ao abrigo do artigo 49.º, n.º 1, alínea e), do RGPD (Política de Privacidade, ponto 11.5).
• Termos: Dynadot, dynadot.com/terms-of-use.

3. O que não está nesta lista, e porquê

• Pexels (fotografias de banco): recebe só palavras de pesquisa genéricas, escritas pelo sistema, e o endereço do servidor da RUMO. Não recebe dados pessoais.
• ntfy.sh e Telegram (avisos internos de pedidos novos): o aviso diz «pedido novo» e o nome do negócio, sem o nome da pessoa nem o contacto. Não tratam dados dos sites dos Clientes.
• Formulários dos sites que abrem o programa de email: a mensagem segue diretamente para o email do Cliente, e não passa pela RUMO nem por nenhum fornecedor desta lista. Os que enviam pela RUMO passam pela Fly.io e pelo Resend (acima).
• Tipos de letra: os sites publicados, o rumolab.pt e o backoffice servem os tipos de letra a partir do próprio endereço, e não os pedem ao Google Fonts. Se uma página ainda os carregar do Google Fonts (por exemplo, a pré-visualização de um site antes de ser publicado), o navegador de quem a vê envia o seu endereço IP à Google LLC (EUA). A Google não é, nisso, subcontratante da RUMO.

Como avisamos alterações

• Antes de acrescentar ou substituir um fornecedor desta lista, a RUMO avisa o Cliente por email, para o endereço da conta, com pelo menos 14 dias de antecedência.
• O aviso diz quem é, o que faz, que dados trata, onde os trata, com que garantia de transferência e a partir de que data.
• O Cliente pode opor-se por escrito, para ola@rumolab.pt. Se a RUMO mantiver a alteração, o Cliente pode cancelar sem custo antes de ela entrar em vigor (Acordo de subcontratação, cláusula 9).
• Cada versão desta lista tem data. As versões anteriores são enviadas a quem as pedir.

Histórico