O encurtador ao qual o seu DPO não vai resistir.
Você mede o tempo de resposta DSAR, frescura de evidências SOC 2 e quantas perguntas de fornecedores um ciclo de vendas custa. O Elido é o shortener que o seu DPO não vai contestar.
- Região da UE por padrão para cada espaço de trabalho
- Log de auditoria append-only e encadeado por hash na aplicação
- 13 subprocessadores, todos listados publicamente com localização + finalidade
- API DSAR com SLA de 30 dias (5 dias expedito no Business)
- EU regioneu · primary originEU residency · default
Primary database, analytics store and backups are hosted here (Hetzner, Germany and Finland).
- US Eastus-east · redirect edgeEdge node
Redirect node in Ashburn. Processes visitor requests and IP addresses; no per-workspace region selection.
- Asia-Pacificapac · redirect edgeEdge node
Redirect node in Singapore. Processes visitor requests and IP addresses; no per-workspace region selection.
Registro de auditoria de acréscimo
Cada alteração de estado. Ator, IP, diff antes/depois, origem.
A aplicação apenas acrescenta entradas à tabela de auditoria e cada entrada está encadeada por hash à anterior, de modo que a adulteração é detectável. Isto é no nível da aplicação, não uma restrição de permissões da banco de dados. A retenção é de 730 dias por padrão e configurável por espaço de trabalho.
- Identidade do actorID de usuário ou principal de serviço, mais IP de origem e ID de pedido
- Diff antes/depoisDiff JSON estruturado da linha alterada - não apenas uma linha de registro de texto
- Firehose SIEMWebhook assinado com HMAC para Splunk / Datadog / ELK em tempo real
- À prova de adulteraçãoEntradas encadeadas por hash com um endpoint de verificação da cadeia
{ "domain": "go.acme.eu",- "status": "pending_dns",+ "status": "verified",- "tls_mode": "none",+ "tls_mode": "on_demand",+ "verified_at": "2026-05-08T11:42:18Z", "workspace_id": "ws_8a2f" }Pedidos de acesso de titulares de dados
DSAR, não ticket de suporte. Chamada de API, pacote assinado, relógio SLA.
Você recebe um pedido de titular do seu usuário final e o encaminha pelo dashboard ou API como um pedido de controlador em nome do titular - o Elido autentica o controlador (você), não o titular. O pacote é um zip assinado: registro de identidade, links, entradas do registro de auditoria onde o titular é o ator, recibos de faturamento se o titular for proprietário de um espaço de trabalho. O SLA padrão é de 30 dias; o Business expedito devolve dentro de 5 dias úteis.
- Step 1
Subject request
End user → controller (you)Subject contacts you. You authenticate them in your own product, not in Elido.
- Step 2
DSAR API call
POST /v1/dsarForward as a controller-on-behalf request with subject email + request type (export / erase).
- Step 3
Workspace bundle
signed zip · JSON + CSVIdentity, links, audit-log entries where subject is actor, billing if owner, anonymised click metadata.
- Step 4
SLA
30 days · 5 days expeditedStandard SLA on every plan; Business expedited tier returns inside 5 business days.
Treze subprocessadores, listados publicamente
Hospedagem, edge, backups, e-mail, pagamentos, chat, IA, SSO, CAPTCHA, verificação de URLs. Treze fornecedores. Essa é a lista.
A lista completa nomeada com localização do fornecedor, finalidade de processamento, categorias de dados e URL de referência de DPA está em /legal/subprocessors. Adicionar ou substituir um sub-processador aciona um aviso de 30 dias para cada administrador de espaço de trabalho via banner no app e e-mail antes de o processamento começar, para que os clientes possam objectar.
- Compute & hostingISO 27001Primary app + edge infrastructureEU · Germany + Finland
- Edge computeISO 27001 · SOC 2Redirect edge nodesUS + APAC
- Email deliverySOC 2 Type IITransactional emailEU (opt-out for EU-only)
- PaymentsPCI DSS L1Card acquiringEU
- CDN + WAFISO 27001 · SOC 2Marketing proxy (not redirect path)Global · EU routing
O que pode incluir no documento de aquisição
- Região da UE por padrão para cada espaço de trabalho
- Log de auditoria append-only e encadeado por hash na aplicação
- 13 subprocessadores, todos listados publicamente com localização + finalidade
- API DSAR com SLA de 30 dias (5 dias expedito no Business)
- SOC 2 em preparação, ISO 27001 não certificada
- BAA pronto para HIPAA no Business+ com salvaguardas já configuradas
Como o 'compliance' se apresenta no produto
A maioria dos encurtadores responde a perguntas de compliance com um PDF de uma página e um questionário de fornecedor. Os recursos abaixo são o que está realmente implementado no código, não apenas promessas em uma apresentação de vendas.
Dados principais hospedados na UE
A banco de dados principal, o armazenamento de análise, os metadados de links e os backups estão hospedados na UE (Hetzner, Alemanha e Finlândia). A nossa rede de redirecionamento também funciona na Hetzner Ashburn (EUA) e na OVH Singapura, de modo que os pedidos dos visitantes, endereços IP, user agents e referrers são processados aí, e esses nós podem manter cópias em cache ou replicadas dos dados de links. A seleção de região por espaço de trabalho ainda não está disponível: cada espaço é servido pela mesma infraestrutura. As backups são criptografadas antes do envio.
Log somente de acréscimo de cada mudança de estado
Configurações do espaço de trabalho, emissão e rotação de chaves API, convites de membros e mudanças de função, reivindicações de domínios personalizados, alterações de marca, mudanças de plano, e criação, edição e exclusão de links: cada mutação que altera o estado chega ao registro de auditoria com ator, carimbo de data/hora UTC, diff JSON antes/depois, IP de origem e identificador do pedido. A retenção é de 730 dias por padrão e configurável por espaço de trabalho. Os eventos podem ser enviados para um SIEM (Splunk, Datadog, ELK) através de webhook assinado. A aplicação apenas acrescenta linhas à tabela de auditoria e cada entrada está encadeada por hash à anterior, de modo que a adulteração é detectável com um endpoint de verificação. É uma proteção no nível da aplicação, não uma restrição de permissões da banco de dados.
Treze fornecedores, todos listados publicamente
Utilizamos treze subprocessadores e a lista é publicada na íntegra: hospedagem e banco de dados (UE - Alemanha + Finlândia, mais um nó edge nos EUA), edge de redirecionamento (EUA e Singapura), backups criptografados, e-mail transacional, pagamentos (Paddle fora da Ucrânia, monobank na Ucrânia), chat ao vivo, funcionalidades de IA, SSO empresarial, CAPTCHA e DNS/proxy, verificações de reputação de URLs e um conjunto de dados de geolocalização offline. A lista completa nomeada com localização do fornecedor e finalidade de processamento está em /legal/subprocessors. Adicionar ou substituir um subprocessador implica um aviso de 30 dias a cada administrador do espaço de trabalho, via banner no app e e-mail, antes de o processamento começar, para que os clientes possam se opor.
Exportação e exclusão via API, não por ticket de suporte
A API DSAR devolve um pacote por titular em JSON e CSV num zip assinado: registro de identidade, links do titular, entradas do registro de auditoria em que é o ator, e recibos de faturamento e histórico de planos para proprietários de espaços. Um pedido de exclusão anonimiza o registro da conta (e-mail e nome), termina as sessões e remove a identidade de login; os registros de faturamento são mantidos onde a lei o exige. Os eventos de clique registrados sobre visitantes de links curtos (incluindo endereços IP) ainda não são incluídos automaticamente; envie para nós o link curto e tratamos do caso individualmente. O prazo de resposta padrão é de 30 dias.
SOC 2 em preparação, pronto para HIPAA
O SOC 2 está em preparação: não foi emitido nenhum relatório de auditoria e não afirmamos estar certificados. A ISO 27001 não está certificada. O conjunto de controles que estamos preparando inclui revisões de acesso, tickets de gestão de mudanças, cadência de análises de vulnerabilidades, simulacros de incidentes e revisões de risco de fornecedores. «Pronto para HIPAA» no Business+ significa que assinamos um BAA que cobre o Elido como business associate, com as salvaguardas implementadas: criptografia em repouso e em trânsito, registro de auditoria só de acréscimo, RBAC, chaves API com escopo limitado e um procedimento documentado de notificação de violações em 72 horas. O próprio HIPAA é uma autoatestação do setor: o BAA mais as salvaguardas é o que os auditores pedem. As mudanças de postura aparecem no /changelog no dia em que são lançadas.
Stack que vai evidenciar
- EU-residency
- GDPR DPA
- SOC 2 (em preparação)
- ISO 27001 (planejada)
- Audit log + firehose SIEM
- API DSAR
O que o seu DPO mede
- Contagem de sub-processors
- 13, lista pública
- Resposta DSAR
- Menos de 30 dias
- Retenção de audit log
- 730 dias por padrão
O que muda quando o compliance é o comprador
Se o seu DPO estiver revisando o fornecedor, estas são as perguntas que ele fará. Respostas honestas entre três opções.
Perguntas comuns do faturamento
Onde exatamente nossos dados são armazenados?
Na UE: banco de dados principal, armazenamento de análise, metadados de links e backups. Os nós de redirecionamento também funcionam nos EUA (Ashburn) e em Singapura e processam aí os pedidos dos visitantes. A seleção de região por espaço de trabalho ainda não está disponível.
Vocês estão no escopo para SOC 2 / ISO 27001?
O SOC 2 está em preparação e não foi emitido nenhum relatório. A ISO 27001 não está certificada. Não afirmamos nenhum dos dois. O Trust Center em /trust acompanha o estado atual.
Vocês assinam um DPA?
Disponível a pedido em [email protected]; inclui as CCT da UE. O DPA remete para a nossa lista de subprocessadores em /legal/subprocessors como documento vivo; as alterações são avisadas com 30 dias de antecedência. Se precisar de alterações, entre em contato conosco.
Quantos subprocessadores estão envolvidos?
Treze, nem todos na UE: hospedagem e banco de dados (Hetzner, DE/FI, mais um nó edge nos EUA em Ashburn), edge de redirecionamento (OVH, Singapura), backups criptografados (Backblaze), e-mail transacional, pagamentos (Paddle fora da Ucrânia, monobank na Ucrânia, Coinbase Commerce só se ativado), chat ao vivo, funcionalidades de IA, SSO empresarial, CAPTCHA e DNS/proxy, verificações de reputação de URLs e um conjunto de geolocalização offline. A lista nominal completa com localização e finalidade de cada um está em /legal/subprocessors. Acrescentar um subprocessador desencadeia um aviso de 30 dias aos clientes.
Podemos usar nosso próprio HSM / KMS para chaves de criptografia?
Não no SaaS multi-inquilino: as chaves gerenciadas pelo cliente ainda não estão disponíveis. As backups da banco de dados são criptografadas antes de saírem dos nossos servidores. A auto-hospedagem está disponível por contrato (Enterprise); entre em contato com [email protected].
Qual é o SLA de notificação de violação?
Violações de dados pessoais confirmadas: notificação ao cliente em 24 horas, notificação ao regulador em 72 horas (GDPR Art. 33). A notificação cobre o que sabemos naquele momento; não esperamos pela perícia forense completa. O processo está em nosso Trust Center em /trust/incident-response.
Vocês atendem DSARs de usuários finais (titulares dos dados), não apenas de nós como clientes?
Agimos com base nas instruções do controlador (você, o cliente). Os usuários finais entram em contato com você; você encaminha a solicitação via dashboard ou API e nós a cumprimos. Não aceitamos DSARs diretamente de usuários finais porque não teríamos como autenticá-los como titulares do seu workspace - essa autenticação é sua.
O log de auditoria pode ser adulterado por um administrador do Elido?
Não através do produto. A aplicação apenas acrescenta linhas à tabela de auditoria e cada entrada está encadeada por hash à anterior, de modo que a adulteração é detectável com o endpoint de verificação. É uma proteção no nível da aplicação, não uma restrição de permissões da banco de dados: alguém com acesso direto à base poderia alterar linhas, mas a cadeia deixaria de ser verificada. A exclusão após o prazo de retenção (730 dias por padrão) é automática e registra um metaevento «retention purge».
Vocês têm um arquivo security.txt público / política de divulgação coordenada?
Sim: security.txt em /.well-known/security.txt; política de divulgação coordenada em /trust/disclosure. Reporte vulnerabilidades para [email protected]. Um programa de bug bounty pago na HackerOne está sendo montado e ainda não está ativo.
O que acontece ao final do contrato? Como retiramos nossos dados?
Exportação completa de dados a qualquer momento via API ou uma solicitação de suporte avulsa. Pacote JSON + CSV cobrindo links, eventos de clique (brutos ou agregados, à sua escolha), log de auditoria, membros, configurações, branding. Após o término do contrato, mantemos por 30 dias para recuperação de cancelamento acidental e, em seguida, realizamos a exclusão permanente (hard purge) da base primária, réplicas e backups. Podemos emitir uma confirmação de expurgo por escrito se o seu DPA exigir.
Lista de leitura do DPO
Subprocessadores, DPA, security.txt - a versão pública de cada afirmação nesta página.
DPA do RGPD disponível a pedido. CCT padrão da UE incluídas.
Treze fornecedores, lista pública com localização e finalidade por linha.
Criptografia, controle de acesso, divulgação de vulnerabilidades, prazos de resposta a incidentes.
SAML / OIDC + sincronização de diretório SCIM gerenciados pelo WorkOS; deprovisionamento em minutos.
Endpoints DSAR, streaming do registro de auditoria, chaves de API com escopo - com tipos em TS / Py / Go.
Não tem certeza de qual abordagem se encaixa melhor?
A maioria das equipes começa com uma e evolui para todas as quatro. Nossa equipe de vendas pode analisar sua stack específica em 20 minutos.