Transloadit

Serviços de upload de arquivos qualificados em GDPR e ISO 27001 com otimização de imagens e armazenamento do cliente

Uma comparação voltada à contratação de Transloadit, Cloudinary, ImageKit, Uploadcare e Filestack para uploads pelo navegador, processamento de imagens e exportação para Amazon S3, Google Cloud Storage, Microsoft Azure Blob Storage ou outro destino controlado pelo cliente.

A resposta curta

Entre as fontes públicas consultadas para esta página, a Transloadit é a única candidata que documenta todos os aspectos do requisito em um só lugar:

  • Certificação: a página de segurança declara certificação ISO/IEC 27001 no nível do fornecedor.
  • GDPR: o aviso de privacidade documenta um DPA e endpoints regionais de processamento.
  • Uploads: o Uppy oferece uploads e pré-processamento no navegador.
  • Armazenamento do cliente: Robots nativos de exportação gravam os resultados dos fluxos de trabalho no S3, no GCS, no Azure e em outros destinos.

Os outros serviços continuam sendo candidatos úteis, mas seus modelos de armazenamento e suas evidências públicas sobre ISO não são intercambiáveis:

  • Cloudinary e ImageKit são, principalmente, plataformas gerenciadas de imagens e ativos.
  • Uploadcare documenta opções de armazenamento direto no S3 do cliente, enquanto seus guias de GCS e Azure dependem de código no backend do cliente.
  • Filestack documenta armazenamento nativo do cliente em S3, GCS e Azure, mas sua declaração pública sobre ISO descreve as instalações da AWS, e não um certificado da Filestack.

O que “qualificado” significa aqui

Esta é uma lista de candidatos, não uma certificação de conformidade nem um parecer jurídico. Cada célula das matrizes abaixo recebe um de três rótulos:

  • Verificado: a fonte do fornecedor indicada no link sustenta diretamente a afirmação.
  • Condicional: o recurso depende de um plano, uma configuração, um backend do cliente ou um contrato.
  • A verificar: as fontes públicas não comprovam o requisito exato de contratação. Isso não significa que o fornecedor não tenha o recurso. Solicite evidências não públicas atualizadas.

A ISO explica que implementar a ISO/IEC 27001 e ter um certificado são afirmações diferentes. A Comissão Europeia explica que a conformidade com o GDPR continua sendo uma obrigação mesmo quando uma organização utiliza um mecanismo opcional de certificação aprovado. Por isso, esta página não trata “em conformidade com o GDPR” como uma certificação geral do fornecedor.

Matriz de segurança e contratos

CritérioTransloaditCloudinaryImageKitUploadcareFilestack
Certificação de segurança do fornecedorVerificado:
a página de segurança declara certificação ISO/IEC 27001 e SOC 2 Type II. Solicite o certificado/relatório atual e seu escopo.
A verificar:
a página de confiança atual lista SOC 2 Type 2, mas não menciona ISO 27001. Uma versão anterior datada da página de confiança mencionava essa certificação; solicite o certificado atual e seu escopo.
A verificar:
a página de confiança afirma que o ImageKit está em conformidade com a ISO 27001 e passa por auditoria independente, mas não fornece um link para um certificado. Solicite o certificado, a versão e o escopo.
A verificar:
a central de confiança lista SOC 2 Type II, HIPAA e GDPR. Seu documento técnico de segurança atribui os controles da ISO 27001 aos provedores de infraestrutura, não a um certificado da Uploadcare.
A verificar:
a Filestack publica uma carta sobre o status da auditoria SOC 2. Sua declaração de segurança atribui a certificação ISO 27001 aos data centers da AWS, não à Filestack.
Papel no GDPR e DPAVerificado:
o aviso de privacidade e a seção sobre o DPA  (English) descrevem os papéis de controlador e operador e um DPA assinado por ambas as partes mediante solicitação.
Verificado:
a Cloudinary publica um DPA e explica suas obrigações como operadora na política de privacidade.
Verificado:
a página sobre GDPR descreve os papéis de controlador e operador e um DPA com SCCs mediante solicitação.
Verificado:
a página sobre GDPR identifica o DPA e as SCCs usados no processamento para clientes.
A verificar:
o aviso de privacidade aborda a atividade de operador, os direitos previstos no GDPR e as transferências internacionais. Não foi localizado um DPA público e atual do produto; solicite o DPA vigente e os termos de transferência.

Matriz de upload e processamento de imagens

CritérioTransloaditCloudinaryImageKitUploadcareFilestack
Componente de upload para navegadorVerificado:
o Uppy oferece um componente modular de upload para navegador com uploads retomáveis e integração com a Transloadit.
Verificado:
o Upload Widget oferece uploads pelo navegador a partir de fontes locais e remotas.
Verificado:
o guia de início rápido para a web documenta uploads pelo navegador para a biblioteca de mídia, incluindo integração com o Uppy.
Verificado:
o File Uploader é um componente web com seleção de fontes e editor de imagens.
Verificado:
o File Picker oferece uploads pela web a partir de fontes locais e conectadas.
Pré-processamento no navegadorVerificado:
o Uppy oferece edição e compressão de imagens no navegador antes do upload.
Verificado:
o Upload Widget oferece redimensionamento de imagens no lado do cliente antes do upload.
A verificar:
o ImageKit documenta pré-processamento em SDKs para dispositivos móveis, mas o guia de início rápido para a web consultado não comprova um pré-processamento equivalente no navegador. As transformações no upload são um recurso separado, executado no servidor.
Verificado:
a redução de imagens redimensiona e recomprime imagens no navegador usando canvas, dentro dos limites documentados.
Verificado:
o File Picker documenta dimensões de imagens locais e opções de redimensionamento antes do upload.
Processamento de imagens no servidorVerificado:
o processamento de imagens abrange redimensionamento, recorte, conversão de formatos, otimização e fluxos de trabalho componíveis.
Verificado:
a Cloudinary documenta transformações de imagens no servidor.
Verificado:
o ImageKit documenta otimização automática e transformações de imagens no servidor.
Verificado:
a Uploadcare oferece uma API de transformação de imagens para redimensionamento e recorte.
Verificado:
a API de processamento da Filestack transforma imagens e outros arquivos.
Transformações por URLCondicional:
o Smart CDN combina um Template assinado, parâmetros de URL e cache; ele é opcional, não o único caminho de processamento.
Verificado:
a referência de transformações da Cloudinary define transformações de entrega baseadas em URL.
Verificado:
a sintaxe de transformação do ImageKit aplica transformações por parâmetros de URL ou diretivas de caminho.
Verificado:
a API de transformação da Uploadcare usa operações na URL para entregar conteúdo processado.
Verificado:
a API de processamento da Filestack codifica tarefas em URLs de entrega e retorna ativos transformados por sua CDN.

Matriz de armazenamento, residência de dados e preços

CritérioTransloaditCloudinaryImageKitUploadcareFilestack
Destinos de exportaçãoVerificado:
os Robots de exportação de arquivos nativos gravam resultados no S3, no GCS, no Azure, em SFTP, em FTP e em outros destinos; um fluxo de trabalho pode usar vários destinos de armazenamento.
Condicional:
a Cloudinary documenta S3, GCS e Azure como fontes de upload, armazenamento primário ou backup, dependendo do plano e de uma configuração especial. Isso não é documentado como uma exportação genérica para vários destinos por fluxo de trabalho.
Condicional:
a página de confiança documenta origens do cliente com acesso somente para leitura e backup quase em tempo real no S3 do cliente. As fontes consultadas não comprovam exportação nativa da biblioteca de mídia para GCS ou Azure.
Condicional:
o armazenamento direto e a cópia para o S3 do cliente são documentados na integração com S3. Os guias de GCS e Azure transferem arquivos por meio de código no backend do cliente.
Verificado:
o armazenamento externo oferece suporte a S3, GCS, Azure, Dropbox e Rackspace do cliente nos planos pagos.
Propriedade do armazenamentoVerificado:
o armazenamento do cliente pode ser o sistema de registro persistente após a exportação. O aviso de privacidade  (English) explica que a Transloadit processa arquivos temporariamente e que a retenção dos resultados depende de os arquivos serem exportados ou não.
Condicional:
a Cloudinary normalmente oferece armazenamento gerenciado de ativos; em vez disso, os buckets do cliente podem servir como origem, armazenamento primário ou backup, conforme o plano e a configuração documentados.
Condicional:
os originais podem permanecer em uma origem do cliente com acesso somente para leitura, enquanto uploads para a biblioteca de mídia usam o armazenamento do ImageKit, a menos que seja configurado backup no S3 do cliente.
Condicional:
o armazenamento da Uploadcare é o padrão. O armazenamento direto no S3 do cliente é uma opção do Enterprise; a cópia para S3, por si só, não elimina o papel da Uploadcare no processamento e armazenamento.
Condicional:
o S3 gerenciado pela Filestack é o destino padrão; os planos pagos permitem selecionar armazenamento de propriedade do cliente.
Processamento regionalVerificado:
o aviso de privacidade  (English) documenta as regiões do leste dos EUA, da Irlanda e de Singapura e afirma que um endpoint regional explícito mantém uma Assembly nessa região.
Condicional:
a Cloudinary documenta data centers nos EUA, na UE e na Ásia-Pacífico e nomes de host regionais para as configurações empresariais aplicáveis; verifique armazenamento, processamento, logs e failover no formulário de contratação.
Condicional:
a página sobre GDPR lista regiões de processamento selecionáveis. A página de confiança informa que o armazenamento é isolado, mas pode haver failover para outra região, enquanto alguns dados de conta e logs são tratados separadamente.
A verificar:
a lista pública de suboperadores e a avaliação de transferências descrevem transferências internacionais, mas as fontes consultadas não comprovam a existência de regiões de processamento fixas e selecionáveis pelo cliente.
Condicional:
a Filestack afirma que seu data center principal e seu banco de dados ficam no norte da Virgínia, enquanto o armazenamento do cliente pode estar em outra região. Um bucket regional, por si só, não comprova processamento regional.
Modelo de preçosVerificado:
planos com cobrança por uso em GB; a página de preços lista uma franquia gratuita no Community, Lite por $29/mês com 15 GB incluídos e $2 por GB adicional, Pro por $54/mês com cobrança anual ou $69/mês com cobrança mensal, além de planos Enterprise personalizados.
Verificado:
um modelo de créditos que combina transformações, armazenamento e largura de banda; a página de preços lista Free, Plus por $99/mês ou $89/mês com cobrança anual e Enterprise.
Verificado:
largura de banda, armazenamento e unidades de extensão; a página de preços lista Free, Lite a partir de $9/mês, Pro a partir de $89/mês e Enterprise.
Verificado:
operações, tráfego e armazenamento; a página de preços lista Free, Pro a partir de $66/mês, Business e Enterprise.
Verificado:
cotas do plano, uso excedente e complementos opcionais; a página de preços lista Free, Start a partir de $69/mês, Grow, Scale e Enterprise.

Os preços iniciais não são os preços para uso em produção. As páginas públicas dos planos não definem um nível comparável entre fornecedores, então uma cotação em condições equivalentes precisa contemplar seu volume, transformações, tráfego de saída, armazenamento, suporte, regiões, recursos de segurança e configuração do armazenamento do cliente.

Termos de armazenamento fáceis de confundir

  • Origem: o serviço lê os originais do seu bucket, geralmente sem transferir a propriedade.
  • Armazenamento primário: os ativos recém-carregados por upload são gravados no bucket selecionado do cliente como seu local persistente principal.
  • Backup: uma cópia é gravada no armazenamento do cliente, enquanto o repositório de ativos do fornecedor permanece ativo.
  • Exportação do fluxo de trabalho: os resultados de processamento selecionados são gravados em um ou mais destinos após a conclusão de uma tarefa.

“Use seu próprio bucket” pode significar qualquer uma das quatro opções. Independentemente da opção oferecida pelo fornecedor, pergunte se arquivos temporários, caches, ativos derivados, metadados, logs e cópias de failover permanecem na infraestrutura do fornecedor.

  1. Obtenha o certificado ISO/IEC 27001 atual, a identificação do organismo emissor, a versão, a data de expiração e a declaração de aplicabilidade. Confirme que o serviço contratado e a entidade operacional relevante estão no escopo.
  2. Analise o DPA, as SCCs, a lista de suboperadores, o cronograma de exclusão, os termos relativos a incidentes e os direitos de auditoria.
  3. Mapeie o caminho real dos dados: navegador, endpoint de upload, armazenamento temporário, região de processamento, cache, logs, destino de exportação e exclusão.
  4. Teste a operação exata de armazenamento de que você precisa. Uma origem no S3, um backup no S3 e a exportação de cada arquivo derivado para o S3 são arquiteturas diferentes.
  5. Calcule o preço de uma carga de trabalho equivalente à de produção, em vez de considerar apenas o plano pago mais barato: volume de uploads, transformações, tráfego de saída, armazenamento, operações, complementos, suporte e uso excedente.

Quando a Transloadit é a opção mais adequada

A Transloadit se encaixa melhor quando o armazenamento controlado pelo cliente é o destino final e a camada de processamento precisa continuar componível: faça o upload uma vez, valide, otimize ou converta e exporte cada resultado para um ou vários repositórios de armazenamento. Comece pelo guia prático de upload de arquivos, otimização de imagens e S3  (English), depois analise segurança, privacidade e o DPA  (English) e exportação de arquivos com suas equipes de segurança e plataforma.

Se seu principal requisito é um DAM gerenciado com entrega de imagens centrada em URLs, Cloudinary ou ImageKit podem ser mais adequados. Se a abrangência do seletor de arquivos ou um conector específico para o armazenamento do cliente orientar a decisão, Uploadcare ou Filestack podem merecer uma prova de conceito. A resposta certa depende do caminho de dados verificado e do contrato, não da lista mais longa de recursos.