Subprocessadores

Última atualização: 2026-10-30

Sob a LGPD, a sua empresa é a controladora dos dados que indexa no SupaBrain e o SupaBrain é o operador. Sempre que precisamos de um terceiro para funcionar, esse terceiro se torna um suboperador — e você tem interesse legítimo em saber quem é, o que ele recebe e onde processa.

O que é desconfortável, dito primeiro

O SupaBrain envia o conteúdo das suas mensagens de WhatsApp e dos seus documentos para a OpenAI, para a OpenRouter e para a Cohere, e as três processam esse conteúdo fora do Brasil — nos Estados Unidos. É assim que a busca funciona hoje: nenhuma delas consegue gerar um embedding, destilar um texto ou reordenar resultados sem ler o texto. Com o agente SupaLaw, a pergunta e os trechos oficiais recuperados (e qualquer arquivo anexado naquele turno) também vão para o Tinker, nos Estados Unidos.

Você pode achar esse arranjo aceitável — a maioria das empresas acha. O que você não pode é descobrir isso depois. Se a saída de conteúdo do país for inaceitável para o seu caso, fale com a gente antes de indexar.

A lista

  • Railway

    Recebe conteúdo do cliente: Sim
    Finalidade
    Banco de dados PostgreSQL com pgvector, Redis, e hospedagem dos serviços de ingestão, busca, MCP, WhatsApp e do grafo de conhecimento.
    Dados recebidos
    Todo o conteúdo indexado e seus metadados, em repouso e em processamento.
    Local de processamento
    Estados Unidos — região us-east4 (Virgínia). A Railway não oferece região na América do Sul.

  • Vercel

    Recebe conteúdo do cliente: Sim
    Finalidade
    Hospedagem do aplicativo web.
    Dados recebidos
    Requisições HTTP, cookies de sessão, e o HTML renderizado no servidor — que inclui resultados de busca e respostas em trânsito.
    Local de processamento
    Computação em gru1 (São Paulo, Brasil); CDN global.

  • OpenAI

    Recebe conteúdo do cliente: Sim
    Finalidade
    Transcrição de áudio e OCR de imagens, quando essas funções estão ligadas com o provedor OpenAI; e embeddings para busca semântica numa instalação configurada com EMBEDDING_PROVIDER=openai. Na instalação de produção do SupaBrain, desde 30/10/2026, os embeddings passam pela OpenRouter, e não pela OpenAI diretamente.
    Dados recebidos
    O áudio e as imagens enviados para transcrição ou OCR, quando ligados; numa instalação com embeddings pela OpenAI, também o texto de cada item indexado e de cada busca realizada.
    Local de processamento
    Estados Unidos.

  • OpenRouter

    Recebe conteúdo do cliente: Sim
    Finalidade
    Embeddings para busca semântica, destilação dos itens indexados, síntese das respostas e redação do agente SupaLaw.
    Dados recebidos
    O texto de cada item indexado e de cada busca realizada, o conteúdo dos itens em processamento e os trechos recuperados usados para redigir uma resposta.
    Local de processamento
    Estados Unidos. A OpenRouter roteia cada chamada para quem serve o modelo configurado para aquela finalidade: embeddings para a DeepInfra ou a Nebius (qwen/qwen3-embedding-8b), destilação para a OpenAI (openai/gpt-6-luna), e síntese e redação do SupaLaw para o provedor do modelo DeepSeek configurado em SYNTHESIS_MODEL. Numa instalação configurada com EMBEDDING_PROVIDER=openai, os embeddings não passam pela OpenRouter.

  • Cohere

    Recebe conteúdo do cliente: Sim
    Finalidade
    Reordenação (rerank) dos resultados de busca.
    Dados recebidos
    O texto da busca e os trechos candidatos enviados para reordenação.
    Local de processamento
    Estados Unidos.

  • Firecrawl

    Recebe conteúdo do cliente: Sim
    Finalidade
    Captura das páginas do site informado no onboarding.
    Dados recebidos
    As páginas públicas do site que o administrador escolheu analisar.
    Local de processamento
    Estados Unidos.

  • Hyperbrowser

    Recebe conteúdo do cliente: Não
    Finalidade
    Renderização, em um navegador remoto, dos índices oficiais de diários da justiça que recusam um cliente scriptado.
    Dados recebidos
    A URL pública do índice oficial. Nenhum conteúdo de cliente.
    Local de processamento
    Estados Unidos.

  • Bright Data

    Recebe conteúdo do cliente: Não
    Finalidade
    Egress ISP brasileiro nomeado (zona isp_proxy1, país br) para hosts oficiais .jus.br que recusam um endereço estrangeiro ou de datacenter.
    Dados recebidos
    A URL pública do diário ou da API oficial. Nenhum conteúdo de cliente.
    Local de processamento
    Peer ISP no Brasil; plano de controle da Bright Data fora do Brasil.

  • SupaSec GLiNER

    Recebe conteúdo do cliente: Sim
    Finalidade
    Extração de entidades para enriquecer mensagens e documentos.
    Dados recebidos
    Os trechos de texto enviados para extração de entidades.
    Local de processamento
    Railway, Estados Unidos.

  • TypeSafe (Jev)

    Recebe conteúdo do cliente: Sim
    Finalidade
    Julgamentos calibrados sobre texto na esteira de ingestão: decidir se um trecho de conversa vale ser indexado, e uma primeira avaliação de achados do módulo de segurança. O modelo não gera texto — devolve probabilidades.
    Dados recebidos
    O trecho de conversa já renderizado que seria destilado e, no módulo de segurança, a janela mascarada com o valor detectado substituído — o modelo nunca recebe a credencial em si. Nenhum corpo de e-mail bruto e nenhum documento de identidade são enviados.
    Local de processamento
    Estados Unidos.

  • Google

    Recebe conteúdo do cliente: Não
    Finalidade
    Conectores do Google Drive e do Gmail (V2): autenticação OAuth, listagem e leitura de arquivos, Planilhas, Apresentações e mensagens de e-mail.
    Dados recebidos
    Token OAuth do usuário e os identificadores dos arquivos e mensagens solicitados. O conteúdo devolvido — inclusive o das mensagens de e-mail — já está hospedado pela Google para você.
    Local de processamento
    Estados Unidos e infraestrutura global da Google.

  • Meta (WhatsApp)

    Recebe conteúdo do cliente: Não
    Finalidade
    Conector do WhatsApp: pareamento do aparelho e recebimento das mensagens dos grupos selecionados.
    Dados recebidos
    Credenciais de sessão do dispositivo pareado e sinais de presença e entrega. As mensagens já trafegam pela Meta antes de chegarem ao SupaBrain.
    Local de processamento
    Estados Unidos e infraestrutura global da Meta.

  • InfoSimples

    Recebe conteúdo do cliente: Não
    Finalidade
    Consulta a registros públicos brasileiros (CNPJ, CPF, tribunais).
    Dados recebidos
    Somente os parâmetros da consulta: o CNPJ, o CPF ou o número do processo pesquisado. Nenhum conteúdo indexado.
    Local de processamento
    Brasil.

  • Minha Receita

    Recebe conteúdo do cliente: Não
    Finalidade
    Consulta gratuita ao CNPJ informado no onboarding ou atualizado em Configurações → Empresa, sobre os dados abertos do CNPJ publicados pela Receita Federal.
    Dados recebidos
    Somente o CNPJ pesquisado. Nenhum conteúdo indexado. Da resposta, o SupaBrain descarta o quadro societário (nomes e CPF parciais dos sócios), o e-mail e os telefones — nada disso é armazenado.
    Local de processamento
    Brasil.

  • BrasilAPI

    Recebe conteúdo do cliente: Não
    Finalidade
    A mesma consulta gratuita de CNPJ, usada apenas quando a Minha Receita não responde.
    Dados recebidos
    Somente o CNPJ pesquisado. Nenhum conteúdo indexado. O mesmo descarte de quadro societário, e-mail e telefones se aplica.
    Local de processamento
    Brasil (CDN global da Vercel).

  • Resend

    Recebe conteúdo do cliente: Não
    Finalidade
    Envio dos e-mails de convite para novos membros.
    Dados recebidos
    Endereço de e-mail da pessoa convidada, nome de quem convidou, nome da organização e o link do convite.
    Local de processamento
    Estados Unidos.

  • Stripe

    Recebe conteúdo do cliente: Não
    Finalidade
    Cobrança: assinaturas (plano Básico, módulos SupaLaw e SupaTax, fontes de inteligência) e o excedente de créditos de token, reportado como eventos de medição.
    Dados recebidos
    Identificador do cliente Stripe da organização e a quantidade de créditos excedentes a faturar. Nenhum conteúdo indexado, nenhum texto de busca. Os dados de pagamento em si você entrega diretamente à Stripe no checkout, sem passar pelo SupaBrain.
    Local de processamento
    Estados Unidos.

  • Sentry

    Recebe conteúdo do cliente: Não
    Finalidade
    Relatório de erros da aplicação.
    Dados recebidos
    Somente identificadores — organização, conector, job, tipo de fonte e nome da operação. O conteúdo é removido antes do envio.
    Local de processamento
    Estados Unidos.

  • PostHog

    Recebe conteúdo do cliente: Não
    Finalidade
    Métricas de uso do produto.
    Dados recebidos
    Somente eventos de uso — nenhum texto de busca, nenhum nome, nenhum e-mail. Organizações são identificadas por identificador interno e pessoas por UUID.
    Local de processamento
    União Europeia.

  • Slack

    Recebe conteúdo do cliente: Não
    Finalidade
    Conector do Slack (V2): autenticação OAuth do workspace, listagem de canais e leitura das mensagens dos canais selecionados.
    Dados recebidos
    Token OAuth do workspace e os identificadores dos canais solicitados. As mensagens já estão hospedadas pela Slack para você.
    Local de processamento
    Estados Unidos.

  • Microsoft

    Recebe conteúdo do cliente: Não
    Finalidade
    Conector do OneDrive e do SharePoint (V2) via Microsoft Graph: autenticação OAuth, listagem e leitura de arquivos.
    Dados recebidos
    Token OAuth do usuário e os identificadores dos arquivos solicitados. O conteúdo devolvido já está hospedado pela Microsoft para você.
    Local de processamento
    Estados Unidos e infraestrutura global da Microsoft.

  • Notion

    Recebe conteúdo do cliente: Não
    Finalidade
    Conector do Notion (V2): autenticação OAuth, listagem de bases e leitura das páginas selecionadas.
    Dados recebidos
    Token OAuth do workspace e os identificadores das páginas solicitadas. O conteúdo devolvido já está hospedado pela Notion para você.
    Local de processamento
    Estados Unidos.

  • Atlassian (Confluence)

    Recebe conteúdo do cliente: Não
    Finalidade
    Conector do Confluence (V2): autenticação OAuth, listagem de espaços e leitura das páginas selecionadas.
    Dados recebidos
    Token OAuth do site e os identificadores das páginas solicitadas. O conteúdo devolvido já está hospedado pela Atlassian para você.
    Local de processamento
    Estados Unidos e infraestrutura global da Atlassian.

  • Omie

    Recebe conteúdo do cliente: Não
    Finalidade
    Conector do ERP Omie (V2): leitura dos objetos operacionais que o administrador escolheu sincronizar.
    Dados recebidos
    Chave e segredo de aplicativo da sua conta Omie e os parâmetros das consultas. O conteúdo devolvido já é o seu próprio dado no Omie.
    Local de processamento
    Brasil.

  • Lynx

    Recebe conteúdo do cliente: Não
    Finalidade
    Conector do Lynx (V2, varejo): leitura dos objetos operacionais que o administrador escolheu sincronizar.
    Dados recebidos
    Credenciais de aplicativo da sua instalação Lynx e os parâmetros das consultas. Não há host público — cada implantação informa o seu.
    Local de processamento
    Definido pela sua instalação.

  • LexML (Senado/Câmara)

    Recebe conteúdo do cliente: Não
    Finalidade
    Registro oficial de normas brasileiras: resolve uma URN LexML para os endereços em que cada norma é publicada. Usado para montar o corpus jurídico do modelo de domínio.
    Dados recebidos
    Nenhum. Só o identificador público da norma consultada. Nenhum conteúdo indexado, nenhum dado de cliente.
    Local de processamento
    Brasil.

  • Hetzner (Inference API)

    Recebe conteúdo do cliente: Não
    Finalidade
    Modelo professor que gera parte do corpus de treino do modelo de domínio, a partir do texto oficial das leis.
    Dados recebidos
    Nenhum dado de cliente. Só o texto de artigos de leis federais brasileiras, que são públicos. A Hetzner declara não armazenar o conteúdo das requisições nem das respostas.
    Local de processamento
    Alemanha / União Europeia.

  • Tinker (Thinking Machines Lab)

    Recebe conteúdo do cliente: Sim
    Finalidade
    Treino LoRA (SFT) do modelo de domínio brasileiro e, no agente SupaLaw, amostragem desse adaptador para responder perguntas jurídicas.
    Dados recebidos
    No treino: só o texto oficial das leis já selado no corpus. No agente SupaLaw: a pergunta, os trechos oficiais recuperados, e o texto de arquivos anexados naquele turno. WhatsApp, Drive e o restante do acervo da empresa não são enviados a este fornecedor.
    Local de processamento
    Estados Unidos.

  • Câmara dos Deputados

    Recebe conteúdo do cliente: Não
    Finalidade
    Texto oficial atualizado das leis federais, que é a matéria-prima do corpus jurídico do modelo de domínio.
    Dados recebidos
    Nenhum. Só o endereço público da norma buscada. Nenhum conteúdo indexado, nenhum dado de cliente.
    Local de processamento
    Brasil.

  • Superior Tribunal de Justiça — dados abertos

    Recebe conteúdo do cliente: Não
    Finalidade
    Conjunto aberto precedentes-qualificados (temas repetitivos): cada tema vira uma linha do acervo jurídico com a sua chave de citação; o endereço oficial de cada tema é guardado como link.
    Dados recebidos
    Nenhum. Download público do CSV. Nenhum conteúdo de cliente.
    Local de processamento
    Brasil.

  • Tribunal Superior do Trabalho — pesquisa de jurisprudência

    Recebe conteúdo do cliente: Não
    Finalidade
    Lista oficial de súmulas do TST, uma linha do acervo jurídico por súmula.
    Dados recebidos
    Nenhum. A consulta pública "todas as súmulas, por número". Nenhum conteúdo de cliente.
    Local de processamento
    Brasil.

  • CARF — súmulas (gov.br)

    Recebe conteúdo do cliente: Não
    Finalidade
    Página oficial das súmulas consolidadas do CARF, uma linha do acervo tributário por súmula.
    Dados recebidos
    Nenhum. Download público da página. Nenhum conteúdo de cliente.
    Local de processamento
    Brasil.

  • CARF — índice de acórdãos (Ministério da Fazenda)

    Recebe conteúdo do cliente: Não
    Finalidade
    Índice oficial e aberto de acórdãos e resoluções do CARF, com inteiro teor: monta o acervo tributário e as chaves de citação do lookup_citation.
    Dados recebidos
    Nenhum. Consultas públicas ao índice, por cursor e data de registro. Nenhum conteúdo de cliente.
    Local de processamento
    Brasil.

Quem recebe conteúdo e quem não recebe

Fornecedores de IA para os quais o conteúdo é enviado ativamente: OpenAI, OpenRouter, Cohere e, no agente SupaLaw, Tinker.

Recebem conteúdo porque hospedam o produto: Railway e Vercel. Nenhuma das duas recebe o seu conteúdo para analisá-lo — mas dizer que não o recebem seria falso, e um documento de conformidade que arredonda para o lado confortável não serve para nada.

Recebem apenas identificadores: Sentry e PostHog. Não é uma promessa de política de privacidade: os eventos do Sentry passam por uma limpeza antes de sair, os do PostHog não admitem texto livre, e a query string é removida de toda URL — que é a fuga que ninguém lembra de fechar, já que a busca é /search?q=a-sua-pergunta.

Recebem dados, mas no sentido inverso: Google e Meta. Nos dois casos o conteúdo já está com eles — são os seus arquivos no Google Drive e as suas conversas no WhatsApp. O SupaBrain lê de lá; o que envia é o necessário para ler.

Onde os seus dados ficam

O acervo indexado e o grafo de conhecimento ficam no PostgreSQL da Railway, região us-east4, na Virgínia. O aplicativo web roda em São Paulo, mas lê desse banco nos Estados Unidos. Embeddings, destilação e reordenação acontecem nos Estados Unidos em qualquer configuração.

Duas observações honestas: a Railway não oferece região no Brasil — as opções são Califórnia, Virgínia, Amsterdã e Singapura — e mudar a região do banco não muda a saída de conteúdo, porque é onde os fornecedores de IA operam. São duas decisões separadas, e tratá-las como uma só é o erro mais comum na leitura desta página.

O que não é subprocessador

Better Auth
A autenticação é auto-hospedada. Sessões, senhas com hash e credenciais ficam no mesmo PostgreSQL da Railway, e o segredo que assina as sessões é nosso — nenhum fornecedor de identidade recebe as credenciais dos seus usuários. Está dito aqui porque quem revisa esta lista espera encontrar um fornecedor de identidade, e a ausência sem explicação parece omissão.
Cognee (grafo de conhecimento)
É um serviço nosso, rodando na rede privada da Railway, contra o mesmo banco. Não é um SaaS de terceiros.
Redis
Instância da Railway, na rede privada. Guarda estado de fila e de sessão, não conteúdo indexado.

Como esta lista se mantém verdadeira

Uma lista de subprocessadores escrita à mão fica correta exatamente uma vez. Por isso um verificador roda a cada build e reprova nos dois sentidos: um destino de rede que não esteja nesta página quebra o build, e um subprocessador listado aqui que o código não usa mais também — declarar um fornecedor que já não é usado exagera o compartilhamento dos seus dados, e exagerar também é imprecisão.

Vamos avisar os clientes com contrato antes de adicionar um subprocessador que receba conteúdo. Dúvidas, ou um questionário de compliance para preencher: kiko@nobuzz.io.