Governação de dados
Como tratamos os dados da sua cadeia.
Esta página é a declaração pública de governação de dados da Tracebud para compradores, parceiros e análises de contratação. Complementa a nossa política de privacidade e a visão geral de dados e segurança.
Âmbito
O que abrange.
A Tracebud AS (Oslo, Noruega) disponibiliza uma aplicação de campo centrada no EUDR, um painel de organização e uma API. Tratamos dados pessoais e operacionais para que agricultores, cooperativas e compradores possam mapear parcelas, guardar evidências e preparar declarações de diligência devida.
Propriedade
Os agricultores e as organizações são donos dos seus registos.
- As parcelas, os documentos e os recibos de entrega de um produtor pertencem ao produtor. Este guarda-os na sua aplicação e pode levá-los para outro comprador.
- As listas de membros, os lotes, as selagens e as submissões pertencem à organização que os criou. A exportação está disponível; sair da Tracebud não significa perder os seus dados.
- A Tracebud é o transportador, não o proprietário. Não vendemos os dados de cadeia dos clientes nem os usamos para definir preços contra si.
Consentimento
A partilha segue o consentimento registado.
Os registos só atravessam as fronteiras entre organizações com o consentimento associado (por exemplo, uma expedição selada ou uma concessão explícita). Os agricultores podem rever e gerir a partilha através da carteira de consentimentos em app.tracebud.com. Os utilizadores da secretária pedem e respeitam essas concessões.
Carteira de consentimentos (agricultores)Subcontratantes
Quem trata dados por nós.
A base de dados principal, a autenticação, a API, o Redis de limitação de pedidos e as Vercel Functions funcionam na UE: Supabase Frankfurt (eu-central-1), Railway EU West para api.tracebud.com, Upstash Redis eu-central-1 e Vercel Functions em Frankfurt (fra1). A ingestão da monitorização de erros usa o Sentry Alemanha. Os subcontratantes residuais fora do EEE incluem a Twilio (OTP por SMS), a Expo/Apple/Google (push e OTA) e o Notion (ferramentas piloto). A CDN Edge da Vercel continua a ser multirregional. Não afirmamos que todos os subcontratantes sejam exclusivamente da UE.
Os subcontratantes ativos incluem a Supabase (base de dados, autenticação, armazenamento), a Railway (alojamento da API), a Vercel (marketing e painel), o Sentry (monitorização de erros com remoção de dados pessoais), a Expo/EAS (compilações móveis e OTA), a Apple APNs e a Google FCM (tokens push) e a Twilio Verify (OTP por telefone). Os subcontratantes opcionais, como a Resend (e-mail) ou a Stripe (faturação), são utilizados quando essas funcionalidades estão ativas.
Mantém-se internamente um registo mais completo para os DPA dos clientes. Questionários de contratação: hello@tracebud.com.
Retenção e apagamento
Guardar o que a lei exige; destruir o que ela permite.
As ferramentas de eliminação de conta e de destruição criptográfica estão implementadas para campos pessoais sempre que a lei de retenção o permita. O EUDR e as retenções conexas podem exigir a conservação de algumas referências de conformidade. Os pedidos de exportação e correção são respeitados. As afirmações absolutas de «certificação RGPD» ficam reservadas até à aprovação do aconselhamento jurídico.
Postura de segurança
Os controlos que aplicamos hoje.
TLS em trânsito, encriptação em repouso do fornecedor, isolamento por inquilino, acesso limitado por função, registos de auditoria das ações de conformidade, limitação de pedidos e CAPTCHA nas superfícies de autenticação. A certificação independente (SOC 2, ISO 27001) está no roteiro — não é uma certificação atual.