Resposta curta: seus dados de analytics ficam na UE. O banco de dados primário é hospedado pela Supabase em Frankfurt (eu-central-1), e as solicitações na borda são atendidas pela rede globalmente distribuída da Cloudflare, com pontos de presença europeus assumindo o salto mais próximo para visitantes europeus.
Armazenamento primário: UE (Frankfurt)
O banco de dados Postgres da Supabase que guarda seus eventos de analytics, registros de visitantes, sites, dados de equipe e log de auditoria roda em eu-central-1 (Frankfurt, Alemanha). Isso vale para todos os clientes do Zenovay independentemente do plano.
Dados gravados no Postgres permanecem na UE. Backups são criptografados em repouso e armazenados na mesma região.
Edge: distribuído globalmente, persistência residente na UE
As requisições de rastreamento são atendidas por Cloudflare Workers, que rodam no ponto de presença mais próximo disponível para baixa latência. Os Workers não persistem dados — eles validam eventos e os encaminham para o armazenamento primário na UE. Os POPs de Frankfurt, Amsterdã, Paris e Londres são os saltos típicos para tráfego europeu.
KV (contadores de rate-limit, contagens de visitantes em tempo real) é replicado geograficamente, mas tratado como cache efêmero — qualquer coisa sensível é hasheada antes de ir para o KV, e as entradas KV expiram com TTL curto.
Transferências internacionais
Alguns dos nossos suboperadores são baseados nos EUA e processam pequenas porções dos seus dados:
- Stripe (pagamentos) — e-mail de cobrança, metadados do método de pagamento. Certificado PCI DSS Nível 1.
- Resend (e-mails transacionais) — seu endereço de e-mail e o conteúdo da mensagem.
- OpenAI via Cloudflare AI Gateway (os recursos de AI Insights e chat, quando você os usa) — a consulta em linguagem natural que você envia e um recorte redatado da analytics necessária para responder.
Para essas transferências, contamos com:
- O EU-US Data Privacy Framework (DPF) quando o destinatário é certificado pelo DPF.
- Cláusulas Contratuais Padrão (CCPs) com medidas técnicas adicionais como mecanismo de respaldo.
A lista completa de suboperadores e o mecanismo de transferência internacional para cada um estão publicados em nossa página de DPA / legal.
E os próprios eventos de analytics?
Eventos de visitantes (pageviews, eventos personalizados, geolocalização, IDs hasheados) nunca saem do armazenamento primário da UE exceto em dois casos:
- Quando você os exporta via painel ou API — então você controla onde a exportação reside.
- Quando você opta pelo recurso AI Insights — um agregado redatado é enviado ao OpenAI para gerar a explicação, e não é retido para treinamento.