Auftragsverarbeitungsvertrag

Geltungsbereich und Rollen

Dieser Auftragsverarbeitungsvertrag („DPA“) ist Bestandteil der Vereinbarung zwischen Fritter Factory Innovation Labs Inc., tätig unter dem Namen Act More Human („Auftragsverarbeiter“, „wir“, „uns“), und dem im Bestellformular benannten Kunden („Verantwortlicher“, „Sie“) über die Erbringung des Dienstes Act More Human (der „Dienst“). Er gilt, wann immer wir in Ihrem Auftrag personenbezogene Daten verarbeiten, und wird Bestandteil Ihrer Vereinbarung, wenn Sie einen Unternehmenstarif erwerben. Benötigt Ihr Beschaffungsprozess eine unterzeichnete Ausfertigung, schreiben Sie an hello@actmorehuman.com, und wir senden Ihnen eine zu.

Mitteilungen nach diesem DPA können per Post gesendet werden an:

Widerspricht dieser DPA den Nutzungsbedingungen, geht dieser DPA vor, jedoch nur für die Verarbeitung personenbezogener Daten.

Sie sind der Verantwortliche für die personenbezogenen Daten, die Sie und Ihre Nutzer an den Dienst übermitteln. Wir sind der Auftragsverarbeiter. Wo wir Daten für eigene Zwecke verarbeiten, nämlich Abrechnungsunterlagen und Analysen zum Dienst selbst, handeln wir als eigenständiger Verantwortlicher, und es gilt unsere Datenschutzerklärung.

Begriffsbestimmungen

„Personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „Unterauftragsverarbeiter“, „betroffene Person“ und „Aufsichtsbehörde“ haben die Bedeutung, die ihnen die UK GDPR und die Verordnung (EU) 2016/679 („GDPR“) geben. „Datenschutzrecht“ bezeichnet alle Datenschutzgesetze, die auf die Verarbeitung nach diesem DPA anwendbar sind, einschließlich der GDPR, der UK GDPR, der kanadischen Datenschutzgesetzgebung des Bundes und der Provinzen und der anwendbaren Datenschutzgesetze der US-Bundesstaaten.

Unsere Weisungen

Wir verarbeiten personenbezogene Daten nur auf Ihre dokumentierten Weisungen, nämlich: diesen DPA, die Nutzungsbedingungen und die Nutzung des Dienstes durch Sie und Ihre Nutzer. Wir informieren Sie, wenn eine Weisung nach unserer Auffassung gegen das Datenschutzrecht verstößt.

Wir verkaufen keine personenbezogenen Daten, geben sie nicht für kontextübergreifende verhaltensbasierte Werbung weiter und behalten, nutzen oder offenbaren sie nicht zu einem anderen Zweck als der Erbringung des Dienstes.

Training. Wir verwenden Ihre personenbezogenen Daten oder von Ihnen übermittelte Inhalte nicht, um ein Modell des maschinellen Lernens zu trainieren, feinabzustimmen oder zu verbessern. Das tun auch unsere KI-Unterauftragsverarbeiter nach unseren Verträgen mit ihnen nicht. Diese Verpflichtung besteht über die Beendigung hinaus fort.

Vertraulichkeit und Sicherheit

Jede Person, die wir zur Verarbeitung personenbezogener Daten ermächtigen, ist vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet und erhält nur insoweit Zugriff, wie es zur Erbringung des Dienstes erforderlich ist.

Wir setzen die in Anhang III beschriebenen technischen und organisatorischen Maßnahmen um und werden sie während der Laufzeit nicht wesentlich verringern.

Unterauftragsverarbeiter

Sie erteilen eine allgemeine Genehmigung für die in Anhang II aufgeführten Unterauftragsverarbeiter. Wir erlegen jedem von ihnen Datenschutzpflichten auf, die nicht weniger schützend sind als dieser DPA, und wir haften weiterhin für ihre Leistung.

Wir veröffentlichen jeden neuen oder ersetzenden Unterauftragsverarbeiter auf dieser Seite und in unserer Datenschutzerklärung mindestens dreißig (30) Tage, bevor er mit der Verarbeitung Ihrer personenbezogenen Daten beginnt. Sie können innerhalb dieser Frist aus vernünftigen datenschutzrechtlichen Gründen widersprechen; können wir den Widerspruch nicht ausräumen, dürfen Sie den betroffenen Teil des Dienstes kündigen und erhalten eine anteilige Erstattung der vorausbezahlten Entgelte.

Rechte betroffener Personen

Der Dienst gibt Ihnen und Ihren Nutzern unmittelbare Kontrolle über die meisten Rechte. Ein Kontoinhaber kann jede Voice und jedes Belegzitat darin einsehen, einzelne Zitate löschen, Agent-Freigaben und API-Schlüssel widerrufen, ein Google-Konto trennen, seine Voice exportieren und sein Konto löschen.

Lässt sich eine Anfrage nicht über den Dienst erfüllen, unterstützen wir Sie unter Berücksichtigung der Art der Verarbeitung. Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage an Sie weiter, statt sie selbst zu beantworten.

Wir leisten außerdem angemessene Unterstützung bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen einer Aufsichtsbehörde, soweit sie unsere Verarbeitung betreffen und die Informationen Ihnen nicht anderweitig zur Verfügung stehen.

Meldung von Verletzungen

Wir informieren Sie unverzüglich, in jedem Fall innerhalb von 48 Stunden, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt wurde, die Ihre personenbezogenen Daten betrifft, mit den uns zu diesem Zeitpunkt verfügbaren Informationen und halten Sie auf dem Laufenden, sobald wir mehr erfahren. Wir unterstützen Sie bei Ihren eigenen Meldepflichten.

Löschung und Rückgabe

Der Aufbewahrungsplan in Anhang I gilt während der gesamten Laufzeit. Nach Beendigung löschen wir Ihre personenbezogenen Daten nach Ihrer Wahl oder geben sie zurück, und zwar innerhalb von 30 Tagen, es sei denn, das Gesetz verlangt die Speicherung, nämlich bei den in Anhang I beschriebenen Abrechnungsunterlagen, die sieben Jahre lang ohne Kontokennungen aufbewahrt werden und keine Inhalte enthalten.

Eine von einem Kontoinhaber ausgelöste Löschung folgt der eigenen Regel des Produkts: Agent-Freigaben, API-Schlüssel und jede Google-Verbindung werden sofort widerrufen; das Konto ist 30 Tage lang durch Anmeldung wiederherstellbar; und das rohe Ausgangsmaterial wird am Ende des Build-Auftrags in jedem Fall gelöscht.

Prüfung

Wir stellen die Informationen bereit, die zum Nachweis der Einhaltung dieses DPA vernünftigerweise erforderlich sind, und wirken an Prüfungen mit, die Sie oder ein von Ihnen beauftragter Prüfer durchführen.

Zunächst beantworten wir einen schriftlichen Sicherheitsfragebogen und stellen unsere aktuellen Bewertungsberichte bereit, darunter die jährliche CASA-Tier-2-Bewertung, die wir für den Google-API-Zugang unterhalten. Prüfungen vor Ort sind auf eine pro zwölf Monate beschränkt, mit einer Ankündigungsfrist von 30 Tagen und auf Ihre Kosten, es sei denn, eine Prüfung deckt wesentliche Verstöße auf.

Internationale Übermittlungen

Unsere Unterauftragsverarbeiter verarbeiten personenbezogene Daten in den Vereinigten Staaten und anderswo. Werden personenbezogene Daten aus dem EWR, dem Vereinigten Königreich oder der Schweiz übermittelt, erfolgt die Übermittlung auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914), des UK-Addendums für internationale Datenübermittlungen und des schweizerischen Gegenstücks, die jeweils durch Verweisung einbezogen sind. Modul Zwei (Verantwortlicher an Auftragsverarbeiter) gilt zwischen Ihnen und uns; Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter) gilt zwischen uns und unseren Unterauftragsverarbeitern.

Für die Zwecke dieser Klauseln gilt: Datenexporteur sind Sie, Datenimporteur sind wir, Anhang I der Klauseln ist unten Anhang I, Anhang II der Klauseln ist unten Anhang III, und die Kopplungsklausel wird nicht verwendet.

Haftung, Laufzeit und anwendbares Recht

Die Haftung jeder Partei aus diesem DPA unterliegt den Beschränkungen der Nutzungsbedingungen.

Dieser DPA tritt in Kraft, sobald Sie ihn annehmen oder den Dienst zu nutzen beginnen, je nachdem, was früher eintritt, und gilt fort, bis wir Ihre personenbezogenen Daten nach Löschung und Rückgabe gelöscht oder zurückgegeben haben.

Auf diesen DPA ist das Recht der Provinz Prinz-Edward-Insel und das dort anwendbare Bundesrecht Kanadas anzuwenden, und die Gerichte der Prinz-Edward-Insel sind ausschließlich zuständig, ohne Rücksicht auf Kollisionsnormen.

Anhang I: Einzelheiten der Verarbeitung

Aufbewahrung

Anhang II: Unterauftragsverarbeiter

Hinzugefügt am 14. Oktober 2026: TypeSafe AI, Inc., für den Stimmen-Check. Hinzugefügt am 16. Oktober 2026: Cloudflare, Inc., für die Bot-Prüfung des Stimmen-Checks.

Anhang III: Technische und organisatorische Maßnahmen

Verschlüsselung

TLS für alle Daten bei der Übertragung. Verschlüsselung ruhender Daten für die Datenbank und den Objektspeicher. OAuth-Token werden vor der Speicherung verschlüsselt; das Google-Refresh-Token wird ein zweites Mal mit einem Schlüssel verschlüsselt, der außerhalb der Datenbank liegt, sodass eine Kompromittierung der Datenbank allein es nicht preisgibt. API-Schlüssel werden nur als SHA-256-Hashes gespeichert: Der Rohschlüssel wird einmal angezeigt und kann von uns nicht wiederhergestellt werden.

Zugriffskontrolle

Row-Level Security ist auf jeder Tabelle aktiviert und erzwungen. Die Anwendung verbindet sich mit einer Datenbankrolle, die nicht berechtigt ist, sie zu umgehen, und jede Anfrage setzt innerhalb der Transaktion den handelnden Nutzer und die Organisation, sodass eine nicht gesetzte Identität den Zugriff verweigert, statt Daten preiszugeben. Sitzungen werden mit einem umgebungsspezifischen Geheimnis signiert. Administrativer Zugriff ist auf namentlich benannte Personen beschränkt und von den Zugangsdaten der Produktionsanwendung getrennt.

Datenminimierung

Ausgangsmaterial wird nie über den Auftrag hinaus aufbewahrt, der es verbraucht. In einen Stimmen-Check eingefügter Text wird nur so aufbewahrt, wie die Organisation es wählt: Im Modus „Transient“ werden sein Text, die zitierten Passagen und die Umformulierung 24 Stunden nach dem Check gelöscht; im Modus „Audit“ werden sie aufbewahrt, bis das Konto der Person gelöscht wird, auch Checks, die die Person aus der Ansicht entfernt hat. Bestehen bleibt die abgeleitete Voice und die Belegzitate, die der Nutzer behalten wollte. Ausschlusslisten werden als undurchsichtige Kennungen statt als Adressen gespeichert. Sitzungsaufzeichnungen maskieren Text standardmäßig. Nutzungsdaten enthalten Zähler und Beträge, keine Inhalte.

Ausfallsicherheit

Verwaltete Datenbank mit automatisierten Backups. Zustandslose Anwendungsebene mit automatischem Failover. Abgerechnete Arbeit läuft über eine dauerhafte Warteschlange mit Prüfpunkten, sodass ein Ausfall zur Wiederaufnahme führt statt zum Neustart.

Überwachung

Fehler- und Leistungsüberwachung, bei der identifizierende Felder entfernt werden. Ratenbegrenzungen pro Konto, pro Freigabe, pro Schlüssel und pro IP. Vom Kunden festgelegte Ausgabenobergrenzen pro Schlüssel. Anomalie-Alarm, wenn die Tagesausgaben eines Schlüssels das Fünffache seines nachlaufenden Durchschnitts übersteigen. Ein nur anfügbares Audit-Protokoll von Anmeldungen, Freigaben, Schlüsseln, Mitgliederänderungen, Tarifänderungen, Erstattungen und Löschungen, das der Kontoinhaber lesen kann.

Umgang mit Schwachstellen

Ein veröffentlichter Sicherheitskontakt und eine Offenlegungspräferenz unter /.well-known/security.txt. Eine jährliche CASA-Tier-2-Bewertung durch einen von Google autorisierten Prüfer, die für unseren Google-API-Zugang erforderlich ist und die Anwendung als Ganzes abdeckt.

Personal

Vertraulichkeitsverpflichtungen für alle mit Zugriff. Kein Mitarbeiter liest im gewöhnlichen Geschäftsgang Kundeninhalte; die oben genannten technischen Kontrollen sorgen dafür, dass das zutrifft, und nicht ein bloßes Versprechen.