Acordo de tratamento de dados do Onboara

Versão: 2026-11-02
Vigente desde: 2026-11-02

Este acordo, também chamado de DPA, diz como a Amplify trata dados pessoais em nome da organização. Ele faz parte dos termos de uso. Em assunto de dado pessoal, ele prevalece sobre os termos.

Operadora: T C VERAS (Amplify - Desenvolvimento de Sistemas), CNPJ 54.177.424/0001-55, com endereço na Rua São Miguel, 1106, Bairro Alto Bonito, Luís Correia/PI, CEP 64220-000, chamada aqui de Amplify.
Controladora: a empresa ou entidade que aceita este acordo no cadastro ou o assina, chamada aqui de organização.

Palavras da lei, em uma linha. Controlador é quem decide por que e como os dados são tratados. Operador é quem trata os dados em nome do controlador. Suboperador é o fornecedor que o operador contrata para esse tratamento. Titular é a pessoa a quem os dados se referem. LGPD é a Lei Geral de Proteção de Dados (Lei nº 13.709/2018). ANPD é a Agência Nacional de Proteção de Dados.

Palavras do produto, em uma linha. Usuário final é quem usa o sistema da organização e vê os fluxos. Membro é quem tem login no painel e na extensão. Conta é a empresa ou filial a que o usuário final pertence dentro do sistema da organização. Aplicativo é o sistema web da organização onde os fluxos rodam, e ambiente é uma instalação dele, com chave própria. Manifesto é o arquivo curto, por ambiente, que diz ao SDK o que vale ali. CDN é a rede que entrega o SDK e os manifestos.

Fases. Este texto descreve o Onboara desde a primeira versão em uso, o MVP. Item que cita BETA, a fase de testes pagos, ou GA, o lançamento geral, vale a partir dela. O assistente dentro do sistema da organização é fase futura e entra por versão nova deste acordo.

1. Papéis e objeto

A Amplify trata dados pessoais para prestar o Onboara: mostrar fluxos aos usuários finais, guardar o progresso deles, medir o uso e entregar as métricas à organização. As categorias de titulares e de dados, e os prazos, estão no Anexo 1.

Tratamento	Controlador	Operador
Id, atributos, conta, progresso e eventos de usuários finais	organização	Amplify
Contagem de MAU para cobrar dentro do contrato, que é instrução contratual	organização	Amplify
Conteúdo dos fluxos: texto, áudio e vídeo	organização	Amplify
Membros, login, registros de acesso ao painel e à API administrativa, cobrança	Amplify, pela política de privacidade	fornecedores da Amplify
Registros de segurança da plataforma	Amplify	Amazon Web Services

2. Instruções

A Amplify trata os dados só pelas instruções da organização (LGPD, art. 39). As instruções são este acordo, os termos de uso, as configurações de privacidade no painel (Anexo 2) e os pedidos escritos do dono da organização.

Cada mudança nas configurações fica registrada: quem mudou, quando e de qual valor para qual. Se uma instrução parecer contrária à lei, a Amplify avisa a organização.

3. O que cabe à organização

Decidir a base legal do tratamento. O painel pede a base legal das métricas antes da primeira publicação em produção.
Informar os usuários finais, inclusive sobre o que o SDK grava no navegador deles e sobre a ida dos dados aos Estados Unidos (seção 9).
Mandar só os atributos necessários, com identificador opaco, como o id interno do sistema dela.
Declarar, por aplicativo, se o público inclui crianças ou adolescentes.
Não usar as métricas do Onboara para avaliar o desempenho de empregados ou de alunos.
Responder aos titulares e comunicar incidentes à ANPD e a eles, como controladora.

A Amplify não dá parecer jurídico. Ela entrega o material: a lista pública do que o SDK grava no navegador, o texto modelo para a política de cookies da organização, o modelo de teste de balanceamento do legítimo interesse e a API de consentimento.

4. Consentimento e modos de privacidade

A organização decide, e o SDK obedece. O tour é serviço necessário e funciona em qualquer decisão.

Dimensão	`granted`	`pending`	`denied`
Fluxos (tour, dica, central de ajuda)	funcionam	funcionam	funcionam
Métricas	enviadas em lote	fila só em memória, até 200 eventos; nada sai do navegador	fila descartada; nada sai
Identificação	`identify` vai ao servidor	`identify` guardado em memória	ignorado; progresso só local

O SDK não guarda a decisão: a organização chama Onboara.consent() a cada carregamento.
O SDK não usa cookie. Ele grava só as chaves onboara:* da lista pública, sem dado pessoal em claro.
No modo sem identificação, o servidor recusa identificar, e as métricas ficam só agregadas.
No perfil “menores”, imposto pelo manifesto, não há identificação nem atributo; os eventos levam só o id de sessão da aba; pesquisas não carregam, e a IA fica desligada.
Da BETA em diante, com a opção ligada no ambiente, o Global Privacy Control, sinal que o navegador manda quando a pessoa se opõe a rastreamento, põe as métricas em denied.

5. Nenhuma finalidade própria

A Amplify não vende dado de usuário final nem conteúdo da organização. Não cruza dados entre organizações. Não os usa para comparação entre organizações, publicidade ou treino de modelo, nem com autorização da organização.

6. Sigilo e acesso humano

Toda pessoa da equipe da Amplify que trata estes dados fica obrigada ao sigilo.

Acesso de suporte. Só com concessão da organização, no painel, pelo dono dela e, da BETA em diante, também por um administrador. É de leitura, vale por até 72 horas, e toda ação fica registrada.
Acesso de emergência. Só quando for indispensável para conter uma falha, pelo menor tempo possível. O uso fica registrado, com relatório do motivo em até 24 horas.
Quem administra a conta da AWS. Por regra, ninguém da equipe acessa dado de produção fora dos dois casos acima. Mesmo assim, enquanto o Onboara estiver na conta da AWS e na instância do PostgreSQL descritas no Anexo 3, quem administra essa conta e quem tem o usuário mestre dessa instância têm meio técnico de alcançar esses dados.

7. Segurança

O Anexo 3 resume as medidas de segurança. O documento completo é entregue sob pedido e sob sigilo.

8. Suboperadores

O Anexo 4 lista os suboperadores, com finalidade, dados, país e mecanismo de transferência. A Amplify contrata cada um por escrito e responde pelo que eles fizerem com estes dados.

Inclusão. Suboperador novo é anunciado com 30 dias de antecedência, contados da publicação do aviso. A organização pode objetar nesse prazo. Se não houver solução, ela pode rescindir sem multa, com devolução proporcional do que pagou adiantado.

Onde fica a lista. Até a página https://onboara.com/legal/suboperadores existir, a lista é o Anexo 4.

Não são suboperadores:

os provedores de vídeo que a organização escolhe (YouTube, Vimeo e Panda), porque o navegador do usuário final fala direto com eles. O SDK força o endereço youtube-nocookie.com;
o agente de código e o modelo dele, que são escolha da organização. O servidor MCP recebe só fluxo, passos, textos, âncoras e metadados da tela, e a Amplify não chama modelo nesse canal;
a plataforma de consentimento da organização.

9. Onde os dados ficam

Todos os dados deste acordo, inclusive os dos seus usuários finais, ficam nos Estados Unidos, na região us-east-1 (Norte da Virgínia) da AWS: S3, DynamoDB, PostgreSQL e Cognito. O e-mail sai pelo SES da AWS, de us-east-1. A CDN é global e guarda só arquivos públicos. O que roda fora dessa região está listado, com o motivo, na página de suboperadores. Até essa página existir, a lista é o Anexo 5.

Não há replicação nem cópia de segurança em outra região.

Transferência internacional. Guardar os dados lá é transferência internacional de dados, a ida de dados pessoais para outro país (LGPD, art. 5º, XV, e art. 33). Ela alcança todos os dados. Ao aceitar este acordo, a organização instrui a Amplify a fazê-la.

Toda transferência é declarada com o mecanismo, no Anexo 4: país com decisão de adequação da ANPD, como a União Europeia (Resolução CD/ANPD nº 32/2026), ou cláusulas-padrão contratuais (Resolução CD/ANPD nº 19/2024, com a retificação de 18/08/2025), quando o suboperador as oferece. Os Estados Unidos não têm decisão de adequação.

O que vale para a AWS. O instrumento é o adendo de tratamento de dados da AWS (AWS Data Processing Addendum), que integra os termos de serviço dela. Por ele, a AWS só tira os dados da região escolhida quando isso é necessário para prestar o serviço ou para cumprir lei ou ordem de autoridade (seção 12.1 do adendo). A AWS declara, em material público, que esse adendo atende ao art. 33, II, da LGPD. Esse material, diz a própria AWS, não faz parte do contrato. O texto do adendo não traz as cláusulas-padrão da ANPD: as que ele cita são as da União Europeia e valem só para dados sujeitos ao GDPR, a lei de dados de lá (seção 12.2 do adendo). Por isso, a Amplify não afirma que esta transferência esteja amparada nas cláusulas-padrão da ANPD.

O que cabe à organização. Como controladora, ela confere se a transferência tem hipótese legal e mecanismo válidos e publica o aviso da transferência, com os Estados Unidos como país de destino (Resolução nº 19/2024, Anexo I, arts. 4º e 17). A Amplify entrega as informações que tiver para isso, como na seção 11.

As cláusulas-padrão valem entre a Amplify e o suboperador em país sem adequação. A coleta feita direto do navegador por um provedor no exterior, como o de vídeo, não é transferência pela Resolução nº 19/2024 (Anexo I, art. 6º), mas continua sujeita à LGPD. A Amplify não usa essa regra para o SDK: o que ele envia a us-east-1 conta como transferência.

10. Direitos dos titulares

A organização pede à Amplify, para um usuário final ou uma conta, em todos os ambientes do aplicativo. O pedido entra pelo painel ou pela API e, onde essas rotas ainda não existirem, por escrito a privacidade-onboara@amplify.tec.br, de um endereço do dono da organização, conferido contra o cadastro antes de qualquer efeito.

Pedido	Prazo
Exportar, em JSON	até 24 horas
Excluir das bases online	até 24 horas
Excluir dos arquivos de eventos	até 15 dias
Comprovante, com data, escopo e contagem de registros	junto com a conclusão

Exportações já geradas não são varridas: elas vencem em 7 dias, dentro do prazo, e o comprovante diz a data.
Na fase em que estiver disponível, “excluir e bloquear” exclui e passa a descartar tudo o que vier identificado com aquele id. O usuário final continua vendo os fluxos, em modo anônimo.
A Amplify não corrige atributo por conta própria: a organização reenvia pelo identify.
Titular que escreve direto à Amplify tem o pedido repassado à organização em até 2 dias úteis.

Se a ANPD regulamentar os direitos dos titulares de outro modo, este acordo ganha versão nova.

11. Relatório de impacto e registro

A Amplify entrega à organização, em até 15 dias do pedido, a descrição técnica do tratamento, as medidas e os caminhos dos dados, para apoiar o relatório de impacto dela. A Amplify mantém o registro das operações de tratamento (LGPD, art. 37).

12. Incidentes

Quem comunica um incidente à ANPD e aos titulares é a organização, como controladora: em 3 dias úteis do conhecimento dela, com complemento em até 20 dias úteis (Resolução CD/ANPD nº 15/2024). Para isso, a Amplify:

avisa em até 24 horas da ciência, mesmo com informação incompleta, e no máximo em 48 horas;
atualiza a cada 24 horas, até o encerramento;
entrega o relatório final em até 10 dias úteis, contados da ciência.

Ciência. As 24 horas contam da hora em que alguém da Amplify lê o alarme de dados de severidade máxima ou o relato externo, ou acha dado pessoal envolvido em outro incidente. O teto de 48 horas conta da emissão do alarme, da chegada do relato à caixa ou do achado. Por isso, uma noite ou um fim de semana sem leitura não empurra o aviso.

Para quem. O aviso vai ao dono da organização, aos administradores (BETA) e ao contato de privacidade, por e-mail e no painel.

O que o aviso traz, conforme o que já se sabe:

descrição do incidente, com a causa principal, se identificada;
natureza e categoria dos dados afetados;
número de titulares afetados, separando crianças, adolescentes e idosos, quando houver, e total de titulares das atividades afetadas;
medidas de segurança que existiam e as adotadas depois;
riscos e possíveis impactos aos titulares;
medidas para reverter ou reduzir os efeitos;
data do incidente, quando for possível saber, e data da ciência;
motivo da demora, se houver;
contato do encarregado da Amplify e identificação dela como operadora.

Todo incidente, comunicado ou não, fica registrado por ao menos 5 anos. A Amplify é microempresa e não usa, com a organização, o prazo em dobro que a regra permite a esse porte.

13. Ordens da ANPD

Ordem de suspensão repassada pela organização é cumprida em até 24 horas do pedido escrito, por uma chave remota, por organização, aplicativo ou ambiente. Com ela:

o servidor de identidade e progresso recusa os pedidos, e a ingestão descarta os eventos;
o manifesto passa a dizer que nada deve ser enviado, e o processamento daquele escopo para;
os fluxos continuam aparecendo, porque são serviço necessário, a menos que a ordem os inclua. Nesse caso, vale a chave de desligamento;
os suboperadores afetados são avisados no mesmo prazo.

Ordem de eliminação é executada como a exclusão da seção 10. O comprovante traz a hora de cada efeito, para a organização anexar à resposta.

14. IA de autoria e voz neural (BETA)

IA de autoria. É parte do serviço, sob instrução da organização, que a liga e a desliga, e roda só quando um membro pede.

O que vai ao modelo: pacote de tela mascarado, textos e glossário da organização e agregados.
O que nunca vai: id de usuário final, id anônimo, id de conta, atributos, evento individual, endereço IP, texto digitado por usuário final, HTML da página e captura de tela. Valores de campo e células de tabela são removidos, e CPF, CNPJ, e-mail, telefone, CEP, placa, cartão e data de nascimento viram [removido]. Regra de texto não acha todo nome próprio: por isso, o mapeamento deve ser feito com dado fictício, e o membro pode ver o pacote exato antes do envio.
Sem treino: nem a Amplify nem o provedor treinam ou ajustam modelo com dado da organização ou de usuário final.
Retenção: em produção, o provedor roda sem retenção e com o registro de invocação desligado. O resultado do trabalho fica 24 horas. O registro de uso fica 25 meses.
Controle: a organização vê o consumo, e todo texto publicado é aceito por um membro dela.

Voz neural. O provedor recebe só o texto de fala dos passos, para gerar o áudio.

15. Retenção

Os prazos padrão estão no Anexo 1 e são aplicados de forma automática. A organização só pode reduzir os que dependem dela, na tela de privacidade.

Dado excluído continua nas cópias de segurança até elas vencerem, em no máximo 35 dias em produção. Uma restauração reaplica as exclusões registradas depois da data da cópia, antes de a base voltar ao ar.

16. Fim do contrato

A organização exporta o que quiser até a data de fim. Em até 30 dias depois dela, tudo o que é de usuário final e todo o conteúdo da organização são excluídos, com comprovante por e-mail ao dono da organização. As cópias de segurança vencem em mais 35 dias.

Ficam só o que a lei ou este acordo mandam guardar, pelos prazos do Anexo 1, e o que é da Amplify como controladora, como faturas e o registro do aceite.

17. Auditoria

A organização pode conferir o cumprimento deste acordo (LGPD, art. 39) pelos meios abaixo:

este acordo, seus anexos e o documento completo de segurança, sob sigilo;
da GA em diante, o relatório do teste de intrusão e, quando existir, o relatório de auditoria SOC 2, sob acordo de confidencialidade;
auditoria presencial, só no plano Corporativo.

18. Responsabilidade

Perante o titular, vale a LGPD (arts. 42 e 43): o operador responde solidariamente quando descumprir a lei ou não seguir as instruções lícitas do controlador. Quem indenizar o titular pode cobrar dos demais o que couber à participação deles no dano.

Entre a Amplify e a organização, vale a seção de responsabilidade dos termos de uso. Ela não reduz direito de titular nem de autoridade.

19. Vigência e mudanças

Este acordo vale enquanto a Amplify tratar dados em nome da organização. Mudança é avisada com 30 dias de antecedência, salvo a de suboperador, que segue a seção 8, e a que a lei exigir antes. A organização que não concordar pode rescindir antes de a nova versão valer, sem multa.

No MVP, o aceite é no cadastro, e a versão aceita fica registrada. Na GA, há versão assinável com as mesmas cláusulas. O plano Corporativo pode negociar outras.

20. Contatos

Encarregado da Amplify: Tyago Costa Veras, privacidade-onboara@amplify.tec.br. Segurança: seguranca-onboara@amplify.tec.br. A organização mantém no painel o contato de privacidade dela.

Anexo 1. Titulares, dados e prazos

Titulares: usuários finais do sistema da organização; membros, na auditoria da organização; e, por resíduo, pessoas citadas em relatos de problema.

Dados: id opaco, id anônimo gerado no navegador e id de sessão da aba; conta do usuário final; atributos que a organização enviar; progresso nos fluxos (visto, concluído, abandonado, silenciado); eventos de uso, com o caminho da página sem consulta. O identificador pseudônimo continua sendo dado pessoal.

O que o Onboara não trata: nome, e-mail, documento, senha e dado sensível como campo de evento; texto digitado e valor de campo da página; HTML da página; gravação de sessão; captura da tela do usuário final; cookie. O endereço IP não é gravado com o evento.

Os atributos passam por duas listas: nomes sempre recusados, como documento, senha, cartão, saúde, biometria, raça e religião, e nomes recusados por padrão, como nome, e-mail, telefone e endereço. Valor com formato de CPF, CNPJ, e-mail ou cartão é descartado, qualquer que seja o nome.

Tudo o que está na tabela fica nos Estados Unidos, na região us-east-1 da AWS (seção 9).

Dado	Onde	Prazo padrão	A organização pode
Eventos de uso	S3, `us-east-1`	13 meses; no plano Grátis, 30 dias	reduzir, de 30 a 395 dias
Eventos como chegaram	S3, `us-east-1`	7 dias depois da compactação	não
Eventos de nome desconhecido e erros de entrega	S3, `us-east-1`	30 dias e 14 dias	não
Estado por usuário final e atributos	DynamoDB	13 meses depois da última atividade	reduzir, de 30 a 395 dias
Ids distintos do mês	DynamoDB	90 dias depois do fechamento do mês; depois, só o número	não
Deduplicação de eventos	DynamoDB	48 horas	não
Contadores agregados, sem id	DynamoDB	enquanto durar o contrato	não
Saúde das âncoras, sem id	DynamoDB	13 meses sem atualização	não
Exportações	S3, `us-east-1`	7 dias	não
Entregas de webhook (BETA)	PostgreSQL	30 dias	não
Relatos e capturas mascaradas	PostgreSQL e S3	180 dias depois de o relato ser fechado	reduzir, de 30 a 180 dias
Pedidos de titular e comprovantes	PostgreSQL	5 anos, com o id em claro apagado na conclusão	não
Auditoria da organização	PostgreSQL	24 meses	não
Registro de incidentes	PostgreSQL	ao menos 5 anos	não
Logs de aplicação, sem dado pessoal por regra	CloudWatch Logs	30 dias	não
Cópias de segurança do PostgreSQL	RDS	7 dias	não
Cópias de segurança do DynamoDB e do S3	DynamoDB e S3	até 35 dias	não

Anexo 2. Instruções preenchidas no painel

Instrução	Valores	Onde vale
Base legal das métricas	legítimo interesse com oposição ou consentimento	ambiente
Consentimento padrão	`granted` ou `pending`	ambiente
Identificação	`pseudonymous` ou `none`	ambiente
Métricas	`events`, `aggregate` ou `off`	ambiente
Global Privacy Control (BETA)	ligado ou desligado	ambiente
Público	`adults` ou `minors`	aplicativo
Retenção	os intervalos do Anexo 1	aplicativo e ambiente

Anexo 3. Medidas de segurança

S3, DynamoDB, KMS, Secrets Manager, CloudWatch e CloudFront são serviços da AWS. PostgreSQL é o banco de dados relacional.

Em trânsito. HTTPS com TLS 1.2 ou superior. As APIs não aceitam HTTP. A conexão com o banco usa TLS, com certificado conferido, e a instância recusa conexão sem TLS.
Em repouso. Cifra com chaves do KMS, por estágio e por finalidade, com rotação anual. A exceção é o PostgreSQL, cifrado com a chave da instância compartilhada. Buckets com bloqueio de acesso público. O bucket da CDN guarda só arquivos públicos e é lido só pela CloudFront.
Isolamento entre organizações. A organização vem do servidor, nunca de parâmetro do navegador. Todo repositório filtra pela organização, e o PostgreSQL aplica segurança por linha como segunda barreira. Objetos ficam sob o prefixo da organização. Toda rota e todo consumidor têm teste com duas organizações.
Segredos. Ficam no Secrets Manager e no KMS, nunca em código, navegador ou log. São mostrados uma vez, e a comparação é em tempo constante.
Membros. Autenticação em dois fatores obrigatória para o dono da organização. Token de acesso de 15 minutos. Sessão encerrada depois de 8 horas sem uso. Remoção de membro vale em até 60 segundos.
Minimização. Identificador opaco; id com formato de e-mail ou CPF é recusado. Campos proibidos são descartados no SDK, no servidor de identidade e na ingestão.
Logs. Por lista de campos permitidos, sem token, cookie, corpo de requisição, senha, assinatura, segredo, atributo, id de usuário final em claro ou endereço IP.
Estágios. dev usa só dado sintético. Dado de produção nunca é copiado para dev.
Conta da AWS. O estágio de produção fica numa conta da AWS da Amplify que também atende outros produtos dela. Cada estágio tem cópia própria de cada recurso de dado, com chaves de cifra e papéis de acesso próprios. A separação é por política de acesso e por nome, não por conta da AWS. A Amplify prevê levar o Onboara para contas próprias quando o projeto crescer, e este anexo muda nessa hora.
PostgreSQL em instância compartilhada. É o único recurso de dado dividido com outros produtos. O Onboara tem banco próprio, numa instância (o servidor de banco de dados) que também atende outros produtos da Amplify. A aplicação entra com usuários próprios, e o banco recusa os usuários dos outros produtos. O usuário mestre da instância é a exceção: ele alcança todos os bancos dela, e outros produtos o usam. Nesse ponto, a separação entre os produtos depende de regra de uso, não de barreira técnica. A instância tem endereço público, e um grupo de segurança limita quem conecta, sem regra aberta a toda a internet.
Construtor. Permissões mínimas, sem código remoto, token de 15 minutos e capturas mascaradas antes de sair do navegador. Do que a extensão lê, sai só uma lista fechada.
Conteúdo. Nenhum HTML livre no balão. Versão publicada não muda. Um verificador compara os arquivos publicados a cada 5 minutos e dispara alarme de severidade máxima se algo mudar.
Cópias de segurança. Recuperação a um ponto no tempo por 7 dias no PostgreSQL e por até 35 dias no DynamoDB, em produção, e ensaio de restauração a cada trimestre, dentro da mesma conta, em instância isolada.
Resposta a incidente. Plano escrito, com papéis, e exercício simulado uma vez por ano.
Testes de segurança. Da BETA em diante, varredura dinâmica a cada release. Antes da GA, teste de intrusão externo, repetido uma vez por ano.
Plantão. No MVP e na BETA, dias úteis, das 8h às 22h, horário de Brasília; da GA em diante, 24 horas. Alarme de dados de severidade máxima é atendido ao ser lido, a qualquer hora.

Anexo 4. Suboperadores

Em uso quando este acordo entra em vigor:

Suboperador	Finalidade	Dados	País e região	Mecanismo
Amazon Web Services, inclusive Cognito	infraestrutura inteira e login de membros	todos os deste acordo	Estados Unidos, `us-east-1`, Norte da Virgínia. O que fica fora de lá está no Anexo 5	adendo de tratamento de dados da AWS, seção 12, que a AWS declara atender ao art. 33, II, da LGPD. Não traz as cláusulas-padrão brasileiras (seção 9)
Microsoft (Microsoft 365)	receber `privacidade-onboara@amplify.tec.br` e `seguranca-onboara@amplify.tec.br`	pedidos de titular, que podem trazer id de usuário final, e relatos de segurança	empresa dos Estados Unidos. A região da caixa não foi confirmada nesta versão. A documentação da Microsoft diz que, em cadastro feito no Brasil, o conteúdo da caixa fica guardado no Brasil	sem transferência, se a região for o Brasil; se for outra, cláusulas-padrão ou o mecanismo que couber, declarado aqui
Amazon Web Services (SES)	enviar convites, alertas, relatórios e comprovantes, de `noreply@mail.onboara.com`	e-mail de membros e conteúdo das mensagens	Estados Unidos, `us-east-1`, Norte da Virgínia	o mesmo instrumento da AWS (seção 9)

Entram só quando a capacidade for ligada, com o aviso da seção 8:

Suboperador	Finalidade	Dados	País e região	Mecanismo
Amazon Bedrock, inferência global, com modelos Claude (BETA)	IA de autoria	pacote de tela mascarado e textos de fluxo, sem dado de usuário final	chamada a partir de `us-east-1`; o processamento pode ocorrer em outro país	por desenho, não é dado pessoal; como serviço da AWS, segue o mesmo adendo da linha da AWS
API da Anthropic, só se escolhida no lugar do Bedrock (BETA)	IA de autoria	o mesmo pacote	processamento global ou nos Estados Unidos	cláusulas-padrão
Microsoft Azure AI Speech (BETA)	áudio pré-gerado da voz neural	texto de fala dos passos	Brasil, região Brazil South, se confirmadas as vozes em português	sem transferência, se confirmada a região; se não, cláusulas-padrão

Fornecedores da Amplify como controladora, listados por transparência. Eles tratam dados da organização e de membros, não de usuários finais:

Fornecedor	Finalidade	Dados	País e região	Mecanismo
Stripe (BETA)	cobrança	dados de cobrança da organização	Stripe, LLC, nos Estados Unidos, com transferência global por afiliadas e suboperadores	cláusulas-padrão brasileiras, pelo adendo de transferências da Stripe
Emissor de nota fiscal (BETA)	NFS-e	dados de cobrança da organização	a definir com a escolha do emissor	a definir com a escolha do emissor

Anexo 5. O que fica fora de `us-east-1`

Esta é a lista fechada. Item novo só entra com a mudança deste anexo e o aviso da seção 8, quando couber.

O quê	Onde roda	O que passa	Desde
Entrega da CloudFront	pontos de presença globais	arquivos públicos do SDK, manifestos, versões e áudio; requisições em trânsito	MVP
Serviços globais da AWS: identidade e acesso, DNS, orçamento e API da CloudFront	globais	metadados da conta da AWS	MVP
Repositórios de código e integração contínua	Azure DevOps (Microsoft), região Brazil South; a execução pode ir aos Estados Unidos quando faltar capacidade	código-fonte do Onboara	MVP
Caixa de entrada	Microsoft 365, na região do Anexo 4	pedidos de titular e relatos de segurança	MVP
IA de autoria	Amazon Bedrock, inferência global	pacote de tela mascarado e textos de fluxo; nunca dado de usuário final	BETA
Voz neural	Azure AI Speech, Brazil South	texto de fala do passo	BETA
Cobrança	Stripe, LLC, Estados Unidos	dados de cobrança da organização	BETA
Nota fiscal	emissor a definir	dados de cobrança da organização	BETA

Quando este texto mudar, a versão anterior continua publicada e listada aqui.