Trust Center – Subprocessadores e página de privacidade

Duas seções do Trust Center tratam de privacidade, e as duas atendem exigências concretas: a lista de subprocessadores e a página de privacidade com o encarregado e o canal de solicitações.

Vale tratá-las juntas, porque um comprador atento olha as duas na mesma visita.

Subprocessadores: quem trata dados em seu nome

A plataforma define a seção com precisão: fornecedores terceiros e serviços em nuvem que processam dados em seu nome.

Publicar essa lista parece contraintuitivo, e é uma das melhores decisões que você pode tomar na página, por três razões:

Compradores vão perguntar de qualquer forma. É item de todo questionário. Publicar responde antes.

Vários regimes de privacidade esperam transparência sobre a cadeia. Quando o seu cliente é controlador dos dados e você é operador, ele precisa saber quem mais toca aquele dado.

Esconder não protege. A lista de ferramentas que uma empresa de tecnologia usa não é segredo competitivo; ela é dedutível.

O que é publicado de cada fornecedor

A lista vem do seu cadastro de fornecedores, e cada um tem campos específicos para exibição pública:

Há também um nível de exibição por fornecedor, entre mostrar apenas o nome, nome e serviços, ou o conjunto completo com categorias e endereço.

A recomendação: use o nível intermediário como padrão. Nome e finalidade respondem a pergunta do comprador sem transformar a página em um mapa detalhado da sua arquitetura.

O campo de país merece atenção especial, porque ele é o que um avaliador de privacidade procura primeiro. Fornecedor fora do país significa transferência internacional, e o comprador vai querer saber se existe mecanismo formal. Preencher esse campo com precisão evita uma pergunta de acompanhamento.

Quais fornecedores listar

Nem todo fornecedor entra. O critério é o da definição: quem trata dados em seu nome.

E mantenha a lista viva. Fornecedor que saiu e continua publicado é uma informação falsa na sua página; fornecedor novo não publicado é uma omissão que um cliente pode questionar contratualmente.

A página de privacidade: o encarregado

Aqui a exigência é direta e legal. A plataforma explica: a lei brasileira de proteção de dados exige a divulgação pública da identidade e do contato do encarregado, preferencialmente no site da empresa.

A configuração pede:

Existe um controle explícito para publicar o encarregado no Trust Center, com o texto de apoio reforçando a exigência legal de divulgação clara.

Duas recomendações práticas:

Use um e-mail de função, não pessoal. Algo como *[email protected]*. Ele sobrevive à troca de pessoa e evita que a página fique desatualizada quando alguém sai.

Publique. Deixar o encarregado configurado e não publicado é uma pendência legal com a solução a um clique de distância.

O canal de solicitações de privacidade

O segundo bloco habilita um formulário público de solicitações, para o titular exercer os direitos dele. A plataforma descreve o efeito: adiciona uma seção de direitos de privacidade com um formulário sem login, e as solicitações chegam ao seu módulo de Privacidade com verificação de identidade e o prazo legal.

A pré-visualização mostra como o visitante vê: um cabeçalho de privacidade e proteção de dados, a identificação do encarregado, o resumo dos direitos, um convite para exercê-los, e a informação de que a resposta sai em até quinze dias e é gratuita.

Existe também a URL pública do canal, com botão de copiar. Vale usá-la: colocar esse endereço na sua política de privacidade e no rodapé do site é o que faz o canal ser encontrado.

A verificação de identidade, e por que manter

Existe um controle para exigir verificação de identidade, descrito como confirmação por e-mail antes de a solicitação se tornar acionável, para evitar que terceiros busquem dados de outra pessoa.

E existe a opção de desabilitar, com um aviso que vale ler inteiro: sem verificação, qualquer um pode enviar uma solicitação em nome de outra pessoa e ela fica acionável imediatamente. A própria tela recomenda desabilitar apenas se você verifica a identidade por outros meios.

A orientação é direta: mantenha a verificação ligada. Atender um pedido falso é entregar dados pessoais a quem não tem direito, ou seja, é um incidente de privacidade causado pelo seu próprio processo de atendimento.

Publicar evidencia controles

Um detalhe que recompensa o trabalho: a plataforma informa que publicar o encarregado e o canal de solicitações evidencia automaticamente controles de privacidade, e que despublicá-los os retorna a pendente.

Ou seja, esta configuração não é apenas conformidade legal: ela move controles no seu programa. Duas obrigações resolvidas com o mesmo gesto.

Problemas comuns

Falha ao salvar as configurações de privacidade. Confira o formato do e-mail de contato.

O encarregado não aparece na página. Ele está configurado e não publicado. Ative a publicação.

O formulário público não aparece. O canal de solicitações não foi habilitado.

Um fornecedor não aparece na lista pública. Confira se ele está ativo e marcado como visível no cadastro. Fornecedor arquivado sai automaticamente.

Desabilitei a verificação e recebi um pedido suspeito. Reative a verificação. Trate o pedido com cuidado antes de entregar qualquer dado.

⚠️ Este tutorial descreve o funcionamento da plataforma e não é orientação jurídica. As obrigações de divulgação, o conteúdo da comunicação ao titular e os prazos aplicáveis devem ser definidos com assessoria jurídica qualificada.