1. Identificação e propósito

Esta Lista de Subprocessadores identifica os fornecedores que tratam dados pessoais por conta da WLabs na operação das plataformas WBudget e WPages. Ela cumpre o dever de transparência sobre o tratamento de dados pessoais (Art. 9º da Lei nº 13.709/2018 — LGPD) e sobre as transferências internacionais de dados (Capítulo V da LGPD, Arts. 33 a 36).

A Lista é o documento público ao qual remetem o Adendo de Tratamento de Dados Pessoais (DPA — Data Processing Agreement) e a Política de Privacidade da WLabs. O DPA, ao disciplinar o regime de subprocessadores, refere esta página como a relação atualizada dos Subprocessadores essenciais; a Política de Privacidade, ao tratar de compartilhamento e de transferência internacional, remete a esta Lista como sua materialização estruturada.

Em relação à maioria dos dados tratados nas plataformas, a WLabs atua como Operadora — trata dados pessoais por conta do Cliente, que é o Controlador. Os Subprocessadores aqui relacionados apoiam essa operação.

2. Definições

Para os fins desta Lista:

• Subprocessador: fornecedor terceiro que trata dados pessoais por conta da WLabs, em apoio à operação das plataformas WBudget e WPages. Diferencia-se do fornecedor administrativo comum (item 7), que não toca o fluxo de dados pessoais dos produtos.

• Categoria: natureza da função desempenhada pelo Subprocessador (por exemplo, infraestrutura, inteligência artificial, e-mail transacional, pagamento).

• País-sede: país onde está sediada a pessoa jurídica fornecedora.

• Região de tratamento: localização efetiva em que o tratamento dos dados ocorre, que pode diferir do país-sede.

• Transferência internacional: tratamento de dados pessoais fora do território brasileiro, ainda que o armazenamento primário permaneça no Brasil, nos termos do Capítulo V da LGPD.

• Base de adequação: hipótese legal que autoriza a transferência internacional de dados, conforme o Capítulo V da LGPD e a Resolução CD/ANPD nº 19/2024 (ver item 4).

• Mudança: inclusão de novo Subprocessador, substituição de um Subprocessador por outro, ou exclusão de Subprocessador da Lista.

3. Regime de mudanças

A WLabs pode alterar a relação de Subprocessadores para atender à evolução técnica e operacional das plataformas. Toda mudança observa o regime previsto no DPA:

• A inclusão de novo Subprocessador é comunicada ao Cliente com 30 (trinta) dias corridos de antecedência, por e-mail ao endereço cadastrado e por atualização desta página, com identificação da nova versão.

• Dentro desse prazo, o Cliente, na qualidade de Controlador, pode apresentar objeção fundamentada em razões objetivas de proteção de dados (por exemplo, inadequação do novo Subprocessador às obrigações do DPA ou risco concreto à conformidade do tratamento). A WLabs envida esforços para apresentar solução alternativa que preserve a funcionalidade contratada. Persistindo a objeção fundamentada e não havendo solução alternativa, o Cliente tem direito de rescindir o contrato sem multa. A objeção que não se fundamente em razão objetiva de proteção de dados não enseja, por si só, a rescisão sem multa.

Este resumo existe para que o Cliente que consulte esta Lista compreenda o mecanismo de mudança sem precisar recorrer ao DPA. Em caso de divergência, prevalece o regime de subprocessadores e de transferência internacional previsto no DPA.

4. Bases de adequação aplicáveis

Os dados em produção e em backup da WLabs ficam armazenados integralmente no Brasil (Amazon Web Services, região sa-east-1, em São Paulo). Algumas funcionalidades, porém, dependem de integração com serviços globais, o que caracteriza transferência internacional de dados pessoais nos termos do Capítulo V da LGPD (Arts. 33 a 36) e da Resolução CD/ANPD nº 19/2024.

Cada transferência internacional opera sob uma das hipóteses de adequação previstas nessas normas:

• Cláusulas-padrão internacionais (modelo aprovado pela ANPD) — base aplicável à generalidade das transferências, especialmente para fornecedores nos Estados Unidos.

• Decisão de adequação emitida pela ANPD — aplicável a destinos que a ANPD venha a reconhecer como detentores de grau equivalente de proteção. À data desta Lista, não há decisão de adequação publicada pela ANPD; a hipótese é mencionada para completude.

• Garantias específicas — aplicáveis a Subprocessadores que operem sob arcabouço próprio reconhecido, avaliadas caso a caso.

A base de adequação aplicável a cada Subprocessador é mantida pela WLabs em registro próprio, disponibilizado ao Cliente conforme o regime de transferência internacional previsto no DPA. No momento, predomina o regime de cláusulas-padrão internacionais.

5. Lista de Subprocessadores essenciais

A tabela abaixo relaciona os Subprocessadores essenciais utilizados na operação das plataformas WBudget e WPages. A indicação de transferência internacional considera a região efetiva de tratamento, e não o país-sede do fornecedor.

¹ Anthropic — previsto, ainda não em produção. A Anthropic consta desta Lista por transparência, mas ainda não trata dados pessoais por conta da WLabs. Sua ativação efetiva será comunicada conforme o regime de mudanças (item 3), com 30 dias de antecedência, momento em que esta Lista passará a identificá-la como Subprocessador ativo.

Legenda dos termos técnicos: CDN (Content Delivery Network, rede de distribuição de conteúdo); WAF (Web Application Firewall, firewall de aplicação web); DDoS (Distributed Denial of Service, negação de serviço distribuída); TLS (Transport Layer Security, protocolo de segurança da comunicação); OTP (One-Time Password, código de uso único); SDR (módulo de prospecção com agente automatizado do WBudget); EC2, RDS e S3 (serviços da AWS de computação, banco de dados e armazenamento); Multi-AZ (réplica em múltiplas zonas de disponibilidade da mesma região).

6. Canais técnicos sem subprocessador externo

O canal WhatsApp do WBudget admite, como alternativa à modalidade oficial (item 5), a modalidade WAHA (WhatsApp HTTP API) — biblioteca de código aberto executada em infraestrutura própria da WLabs, sem intermediação de fornecedor terceiro. Nessa modalidade não há subprocessador externo: o tratamento que envolve terceiro se dá diretamente com a Meta, pelo próprio canal WhatsApp, conforme a escolha e a contratação do Cliente. Por essa razão, a modalidade WAHA não figura como entrada própria na tabela acima.

7. Fornecedores administrativos

Fornecedores administrativos — como contadores, advogados externos, auditores e prestadores de marketing institucional — não são Subprocessadores: não tratam dados pessoais no fluxo das plataformas, mas apoiam a WLabs em sua própria atividade. O regime aplicável a esses fornecedores está descrito na Política de Privacidade, na seção sobre compartilhamento com terceiros.

8. Atualização e versionamento

Esta Lista é identificada por versão no formato ANO.SEQUENCIAL; a versão vigente é a 2026.01. A cada mudança de Subprocessador, a WLabs publica nova versão, com identificação da data e do conteúdo da mudança, e comunica os Clientes ativos conforme o regime de mudanças (item 3). As versões anteriores são mantidas para consulta.

9. Canal para dúvidas

Dúvidas sobre esta Lista ou sobre o tratamento de dados pessoais pela WLabs podem ser dirigidas ao Encarregado de Dados (DPO — Data Protection Officer): Bruno Filardi — dpo@wlabs.com.br.

10. Vigência

Esta Lista de Subprocessadores entra em vigor na data de sua publicação e permanece vigente até a publicação de versão posterior.

Versão 2026.01.