Subprocessadores

Última atualização: 1º de novembro de 2026

Esta página relaciona todos os terceiros que podem ter acesso a dados pessoais mantidos pela Axiospec, o que cada um deles recebe e por quê. Ela é derivada do código que roda em produção, e não de um modelo, e é mantida atualizada junto com o site.

A Axiospec é desenvolvida pela CaliTech LLC d/b/a Axiospec, sociedade de responsabilidade limitada (limited liability company) constituída no Tennessee, 116 Agnes Rd. Ste 200, Knoxville, TN 37919, Estados Unidos. Dúvidas devem ser enviadas para support@axiospec.com. Procuramos responder em até dois dias úteis.

Leia esta página em conjunto com a Política de Privacidade, que explica quando Nós somos o controlador dos dados pessoais e quando a Sua própria organização o é.

Onde o serviço é executado

A Axiospec é executada na Amazon Web Services, na região us-east-1, Norte da Virgínia, Estados Unidos. O banco de dados, os arquivos de evidência enviados, os segredos da aplicação e a própria aplicação estão todos nessa única região. Os subprocessadores abaixo tratam dados em suas próprias localidades, o que, para a maioria deles, significa vários países.

Parte	O que faz por Nós	Dados pessoais que recebe	Onde trata os dados	Base da transferência
Amazon Web Services us-east-1, Estados Unidos	Hospedagem, o banco de dados PostgreSQL, armazenamento de arquivos, segredos, logs da aplicação, a fila de mensagens, a rede de distribuição de conteúdo e o envio de e-mails	Todos eles. Cada registro da Axiospec está na AWS, e cada e-mail que Nós enviamos sai pelo Amazon Simple Email Service. A rede de distribuição de conteúdo é uma rede global de pontos de presença, de modo que ela faz a terminação das conexões em pontos de presença que podem estar fora dos Estados Unidos antes de encaminhá-las para us-east-1. As respostas da API não são armazenadas em cache nesses pontos.	Estados Unidos (us-east-1). Pontos de presença da rede de distribuição de conteúdo no mundo todo.	Data Privacy Framework
Stripe	Processamento de pagamentos dos planos pagos	O endereço de e-mail de cobrança, um identificador do espaço de trabalho, e o nome do titular do cartão e o endereço de cobrança que Você digita no formulário da própria Stripe. Os números de cartão vão diretamente para a Stripe e nunca chegam aos servidores da Axiospec. Encerrar um espaço de trabalho cancela a assinatura. Isso não exclui o registro de cliente mantido pela Stripe. O Link, um serviço da Stripe, vende o plano como vendedor (merchant of record) para um endereço de cobrança no México e para compradores na Índia sem GSTIN. O Link então guarda os dados do comprador conforme a própria política de privacidade, como controlador próprio, e não como Nosso suboperador.	Estados Unidos, e os países dos prestadores de serviços que a Stripe lista em stripe.com/legal/service-providers	Data Privacy Framework
Sentry	Monitoramento de erros da aplicação, no site, no app e nos dois aplicativos móveis. As versões do app para Android anteriores à 1.8.6 também enviam rastreamentos de desempenho.	Relatórios de erro com o stack trace e o caminho da página ou da requisição. Seu endereço IP chega com um relatório que o Seu navegador ou o Seu telefone envia, e o Sentry está configurado para não armazená-lo. Os relatórios recebidos até 7 de outubro de 2026 (inclusive) ainda podem conter um endereço IP, a identificação do navegador e, vindos dos Nossos servidores, um nome ou um endereço de e-mail, até serem excluídos no início de novembro de 2026. Os relatórios são mantidos por 30 dias. O site envia o Seu identificador interno de usuário quando Você está conectado, e nenhum campo de nome ou de e-mail, embora um endereço de e-mail possa aparecer em uma mensagem de erro ou no endereço de uma página. Nossos servidores enviam o Seu identificador interno de usuário e o identificador do Seu espaço de trabalho quando Você está conectado. Eles não enviam corpos de requisição, variáveis locais, rastreamentos de desempenho nem o Seu endereço IP, e substituem os endereços de e-mail por um código. A partir da versão 1.8.6, os aplicativos móveis não enviam rastreamento de sessões nem rastreamentos de desempenho, substituem antes os endereços de e-mail e qualquer valor guardado sob um campo de nome ou de e-mail, e têm uma chave de relatórios de falhas nas configurações. Em um iPhone, removem o código que o Sentry gera a partir do identifierForVendor do telefone. As versões anteriores também avisam cada início do app, enviam um identificador aleatório da instalação, em um iPhone um código gerado a partir do identifierForVendor do telefone e, no Android, cerca de um em cada cinco rastreamentos de desempenho, sem essa depuração. A Política de Privacidade explica isso em detalhes.	Estados Unidos (a região de dados do Sentry nos Estados Unidos)	Data Privacy Framework
Google Firebase Cloud Messaging	Entrega de notificações push aos aplicativos móveis	O token push do dispositivo e o texto da notificação. Esse texto nomeia um instrumento e informa que ele está para vencer, vencido ou em quarentena. Ele não nomeia a pessoa que o colocou em quarentena. A partir da versão 1.8.6, os aplicativos só iniciam o Firebase Cloud Messaging depois que Você faz login. Em um iPhone, a mensagem passa depois ao Apple Push Notification service, descrito abaixo.	Qualquer local do Google Cloud, conforme a lista do Google em cloud.google.com/about/locations	Data Privacy Framework
Google Firebase Analytics	Análise de uso do produto somente dentro do aplicativo Android	A partir da versão 1.8.3 do aplicativo Android a coleta está desativada e nada é enviado. As versões anteriores enviam eventos de uso do app, como visualizações de tela e calibrações registradas, até serem atualizadas. Elas também enviam o Seu identificador interno de usuário, que é definido quando Você entra e apagado quando Você sai. O aplicativo iOS não vincula esse SDK e não envia nada. Desde 7 de outubro de 2026 a versão mínima do app é a 1.8.6, por isso uma versão mais antiga pede atualização antes de poder ser usada. Em outubro de 2026 excluímos as propriedades do Google Analytics do app.	Data centers do Google, conforme a lista do Google abaixo da tabela	Data Privacy Framework
Google Google Analytics 4	Análise de uso do site e do produto na web	Caminhos de página, eventos de interação, um identificador de cliente que o Google atribui ao navegador e o Seu endereço IP. Nada é enviado ao Google, e nenhuma tag é solicitada ao Google, até que Você aceite no banner de cookies. O Seu endereço IP só chega ao Google depois que Você aceitou e a tag foi carregada. Recusar, ou não responder, significa que nenhuma requisição é feita. Nenhuma leitura de calibração ou dado de instrumento é enviado. Depois que Você aceita, o Google Analytics pode compartilhar medições de conversão com Nossa conta vinculada do Google Ads.	Data centers do Google, conforme a lista do Google abaixo da tabela	Data Privacy Framework
Google Google Identity Services	O botão de login com o Google nas páginas de login e de cadastro	O Google cuida apenas da etapa de autenticação. O Seu token de sessão da Axiospec é emitido pela Nossa própria API e permanece Conosco. O script do botão só é carregado do Google quando Você clica no botão do Google. Esse carregamento revela o Seu endereço IP ao Google.	Data centers do Google, conforme a lista do Google abaixo da tabela	Data Privacy Framework
GitHub	Controle de versão e pipeline de implantação	Código-fonte e logs de build. Nenhum dado de cliente.	Estados Unidos	Data Privacy Framework
Google Google Workspace	E-mail da Nossa caixa de suporte, support@axiospec.com, e da caixa do proprietário	O que Você Nos envia por e-mail. Nossos servidores também enviam alertas para a caixa do proprietário. O formulário de feedback do produto envia Seu nome, endereço de e-mail, nome do espaço de trabalho e mensagem. Um novo cadastro envia o nome, o endereço de e-mail e o espaço de trabalho de quem se cadastra, com o plano escolhido e a forma de login. Um formulário de interesse, como o pedido da lista de verificação, envia uma referência e um código do endereço de e-mail, não o endereço em si, com o formulário de origem e a norma escolhida, se houver. Quando um espaço de trabalho Nos envia arquivos para migrar, o alerta traz o endereço de e-mail de quem os enviou, o nome do espaço de trabalho, os nomes dos arquivos e qualquer observação. Quando um espaço de trabalho é suspenso nos termos da legislação dos EUA de controle de exportações e sanções, o alerta traz o nome do espaço de trabalho, o seu país e a sua referência de cliente na Stripe. Quando os arquivos armazenados por um espaço de trabalho passam de um tamanho que acompanhamos, o alerta traz o nome do espaço de trabalho.	Data centers do Google, conforme a lista do Google abaixo da tabela	Data Privacy Framework
Mercury	Serviços bancários e pagamento de comissões a parceiros de indicação	Somente para parceiros de indicação nos Estados Unidos: o nome e o endereço de e-mail do parceiro, e os dados bancários e fiscais que o parceiro informa no próprio formulário da Mercury. Nenhum dado de cliente ou de calibração. Um parceiro fora dos Estados Unidos é pago por transferência bancária internacional.	Estados Unidos	Não é necessária: nenhum dado sobre pessoas fora dos Estados Unidos

Onde o Google processa dados: o Google lista os seus data centers em datacenters.google/locations. Em 5 de outubro de 2026, essa lista nomeava os Estados Unidos, a Áustria, a Bélgica, o Chile, a Dinamarca, a Finlândia, a Alemanha, a Índia, a Irlanda, o Japão, a Malásia, os Países Baixos, a Noruega, Singapura, a Suécia, Taiwan, a Tailândia, o Reino Unido e o Uruguai.

Base da transferência

Para os dados pelos quais somos responsáveis, uma transferência para uma empresa da tabela a partir do Espaço Econômico Europeu, do Reino Unido ou da Suíça se baseia no EU-US Data Privacy Framework (Decisão de Execução (UE) 2023/1795 da Comissão), na sua extensão para o Reino Unido (SI 2023/1028) e no Swiss-US Data Privacy Framework (Anexo 1 da Portaria suíça de proteção de dados). É isso que "Data Privacy Framework" significa na tabela. Em 5 de outubro de 2026, consultamos cada empresa na Data Privacy Framework List: Amazon.com, Inc., cuja inscrição abrange a Amazon Web Services, Inc.; Stripe, LLC; Sentry.io, que é a Functional Software, Inc.; Google LLC; e GitHub. Todas estavam ativas nos três. Para os dados que o Seu espaço de trabalho insere no Axiospec, também se aplicam o Nosso Acordo de Processamento de Dados e as Cláusulas Contratuais-Tipo que ele contém.

Serviços que pertencem ao telefone

Dois serviços que recebem dados quando Você usa os aplicativos móveis vêm com o telefone, e não de Nós. Eles não são Nossos subprocessadores, e não temos termos de proteção de dados com eles.

Apple Push Notification service (Apple Inc.). Todo app para iPhone precisa entregar notificações push por meio dele. Quando enviamos um alerta a um iPhone, o Firebase Cloud Messaging o passa à Apple, por isso a Apple recebe o token do dispositivo e o texto do alerta. Esse texto nomeia um instrumento e informa que ele está para vencer, vencido ou em quarentena, e não nomeia a pessoa que o colocou em quarentena. A Apple não está no Data Privacy Framework. Para que os alertas deixem de chegar à Apple, desative Notificações push nas Configurações de notificação do app.
O reconhecimento de fala do Seu telefone. Quando Você pressiona o microfone para ditar uma leitura, o app entrega o áudio ao serviço de fala definido no Seu telefone. Na maioria dos telefones Android, é o do Google, e no iPhone é o da Apple. Esse serviço pode enviar o áudio ao seu fornecedor para convertê-lo em texto, nos termos acordados entre Você e esse fornecedor. Nós nunca recebemos o áudio, apenas o texto que retorna. A partir da versão 1.8.6, o app informa isso a Você na primeira vez que Você pressiona o microfone.

Google ML Kit em versões antigas do Android

As versões do app para Android anteriores à 1.8.6 contêm o ML Kit do Google, que lê o código QR ou o código de barras da etiqueta de um instrumento. Ele lê o código no telefone, mas também envia ao Google dados do dispositivo e do app e um identificador dessa instalação, para os diagnósticos e as estatísticas de uso do próprio Google. O Google decide como usa esses dados. A partir da versão 1.8.6, o app para Android lê os códigos com o decodificador de código aberto ZXing, e a leitura não envia nada ao Google.

Destinatários que são Seus, não Nossos

Três destinos recebem dados pessoais porque Você os escolheu. Eles não são Nossos subprocessadores e Nós não temos contrato com eles em Seu nome.

Webhooks de saída. Se o Seu espaço de trabalho configurar um webhook, a Axiospec envia os eventos de calibração para o endereço que Você Nos informou. Essa carga útil inclui o nome completo do técnico que realizou a calibração e quaisquer observações em texto livre do registro. A entrega é repetida por cerca de três dias. Escolha esse destino com cuidado, porque, depois que a carga útil chega, ela fica fora do Nosso controle.
O Seu próprio provedor de identidade. Se o Seu espaço de trabalho ativar o login único, a etapa de autenticação é executada junto ao provedor OIDC ou SAML que Você configurou. O Seu token de sessão da Axiospec continua sendo emitido pela Nossa própria API.
Qualquer pessoa a quem Você envie uma exportação. O arquivo de auditoria é Seu para gerar e Seu para compartilhar. Ele contém os nomes de todos os registros de calibração no escopo.

O que não está aqui

Algumas ausências merecem ser declaradas, porque, do contrário, o leitor ficará em dúvida.

Não há fornecedor de publicidade no site nem no app. Mantemos uma pequena campanha no Google Ads com o nome da marca Axiospec, e nenhuma tag de anúncio, pixel de conversão ou tag de remarketing é carregada no site ou no app. O vínculo entre o Google Analytics e essa conta do Google Ads está descrito na linha do Google Analytics 4 acima.
Não há central de suporte ao cliente, ferramenta de chat ao vivo nem ferramenta de gravação de sessão. O suporte funciona por e-mail.
Não há plataforma terceirizada de e-mail marketing. Os e-mails de marketing saem pelo Amazon Simple Email Service, o mesmo remetente de todo o restante.
Nenhum provedor de identidade detém a Sua sessão da Axiospec. Esse token é emitido pela Nossa própria API.
O login social com a Microsoft já foi desenvolvido, mas está desativado em produção, portanto a Microsoft não recebe nada hoje. Se isso mudar, esta página muda primeiro.

Onde fica a infraestrutura, e pedidos de acesso de autoridades públicas

Esta seção é Nossa declaração nos termos do artigo 28 do Regulamento de Dados da UE (Regulamento (UE) 2023/2854).

A CaliTech LLC é uma empresa do Tennessee e, por isso, está sujeita à lei dos Estados Unidos. Toda a infraestrutura própria da Axiospec fica na AWS us-east-1, no norte da Virgínia, Estados Unidos. A única parte fora dessa região é a rede de distribuição de conteúdo, cujos pontos de presença pelo mundo não guardam registros de clientes. Os subprocessadores acima tratam os dados nos lugares indicados na tabela.

É assim que tratamos um pedido juridicamente vinculante de dados de clientes de uma autoridade pública, nos Estados Unidos ou em outro lugar:

Só divulgamos dados quando uma ordem válida e juridicamente vinculante exige. Não divulgamos dados em resposta a um pedido informal.
Analisamos se o pedido é lícito, em especial se está dentro dos poderes da autoridade que o faz. Nós o contestamos se, após uma avaliação cuidadosa, concluirmos que há motivos razoáveis para considerá-lo ilícito segundo as leis do país de destino, as obrigações aplicáveis do direito internacional e os princípios da cortesia internacional. É o que prevê a Cláusula 15.2 das Cláusulas Contratuais-Tipo.
Divulgamos apenas o mínimo que a ordem exige.
Quando a lei permite, avisamos o cliente afetado antes de divulgar qualquer coisa, para que ele possa se opor.

Os dados são criptografados em trânsito e em repouso, e o banco de dados não aceita conexões da internet pública.

Interpretação da tradução

Esta lista de Subprocessadores pode ter sido traduzida se Nós a tivermos disponibilizado a Você em nosso Serviço. Você concorda que o texto original em inglês prevalecerá em caso de controvérsia.

Alterações nesta lista

Pelo menos 30 dias antes de um novo subprocessador começar a tratar dados pessoais que os Nossos clientes inserem no Axiospec, enviamos um e-mail aos administradores de cada espaço de trabalho e atualizamos esta página. As demais alterações aparecem aqui quando acontecem. Se Você também quiser receber um e-mail sobre elas, escreva para support@axiospec.com e peça. O Nosso Acordo de Processamento de Dados explica como um cliente pode se opor a um novo subprocessador.

Situação contratual

O Nosso Acordo de Processamento de Dados rege os dados pessoais que os Nossos clientes inserem no Axiospec. Ele faz parte dos Nossos Termos e Condições. Ele incorpora as Cláusulas Contratuais-Tipo da UE (Módulo Dois, e Módulo Três para um cliente que seja ele próprio operador), o International Data Transfer Addendum do Reino Unido e as adaptações exigidas pela autoridade suíça de proteção de dados. Para esses dados, Nós agimos apenas segundo as instruções do cliente, por isso o GDPR se aplica ao cliente como controlador. Esse é o caso para o qual essas cláusulas foram escritas. Para os dados pelos quais Nós mesmos somos responsáveis, o GDPR se aplica diretamente a Nós e essas cláusulas não são usadas. A CaliTech LLC não é certificada no âmbito do EU-US Data Privacy Framework e não oferece região de dados na UE ou no Reino Unido. Os contratos com os subprocessadores acima são os termos padrão que cada um deles publica. O Data Processing Addendum do Sentry foi aceito para a Nossa conta em 5 de outubro de 2026. Os Google Ads Data Processing Terms, que abrangem a Nossa conta do Google Analytics, foram aceitos em 28 de abril de 2026. Os Firebase Data Processing and Security Terms fazem parte dos Termos de Serviço do Firebase.