Accord de traitement des données

Objet et rôles

Le présent accord de traitement des données (« DPA ») fait partie de l’accord conclu entre Fritter Factory Innovation Labs Inc., exerçant sous le nom Act More Human (le « sous-traitant », « nous »), et le client identifié dans le bon de commande (le « responsable du traitement », « vous ») pour la fourniture du service Act More Human (le « Service »). Il s’applique chaque fois que nous traitons des données à caractère personnel pour votre compte, et il est intégré à votre accord lorsque vous souscrivez une offre entreprise. Si votre processus d’achat exige un exemplaire signé, écrivez à hello@actmorehuman.com et nous vous en enverrons un.

Les notifications au titre du présent DPA peuvent être envoyées par voie postale à l’adresse suivante :

En cas de conflit entre le présent DPA et les Conditions d’utilisation, le présent DPA prévaut, mais uniquement pour le traitement des données à caractère personnel.

Vous êtes le responsable du traitement des données à caractère personnel que vous et vos utilisateurs soumettez au Service. Nous sommes le sous-traitant. Lorsque nous traitons des données pour nos propres besoins (relevés de facturation et analyse du Service lui-même), nous agissons en tant que responsable du traitement indépendant, et c’est notre Politique de confidentialité qui s’applique.

Définitions

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « sous-traitant ultérieur », « personne concernée » et « autorité de contrôle » ont le sens que leur donnent le UK GDPR et le règlement (UE) 2016/679 (« RGPD » ou « GDPR »). Le terme « Droit de la protection des données » désigne toutes les lois sur la vie privée et la protection des données applicables au traitement visé par le présent DPA, y compris le GDPR, le UK GDPR, la législation fédérale et provinciale canadienne sur la vie privée, et les lois américaines applicables des États sur la vie privée.

Nos instructions

Nous ne traitons les données à caractère personnel que sur vos instructions documentées, à savoir : le présent DPA, les Conditions d’utilisation, et l’usage du Service par vous et vos utilisateurs. Nous vous informerons si, à notre avis, une instruction enfreint le Droit de la protection des données.

Nous ne vendrons pas les données à caractère personnel, ne les partagerons pas à des fins de publicité comportementale intercontextuelle, et ne les conserverons, n’utiliserons ni ne divulguerons à aucune fin autre que l’exécution du Service.

Entraînement. Nous n’utilisons pas vos données à caractère personnel, ni aucun contenu que vous soumettez, pour entraîner, affiner ou améliorer un modèle d’apprentissage automatique. Nos sous-traitants ultérieurs d’IA ne le font pas non plus, en vertu des contrats que nous avons conclus avec eux. Cette obligation survit à la résiliation.

Confidentialité et sécurité

Toute personne que nous autorisons à traiter des données à caractère personnel est tenue par des obligations de confidentialité, contractuelles ou légales, et n’y a accès que dans la mesure nécessaire à l’exécution du Service.

Nous mettons en œuvre les mesures techniques et organisationnelles décrites à l’Annexe III et ne les réduirons pas de manière substantielle pendant la durée de l’accord.

Sous-traitants ultérieurs

Vous donnez une autorisation générale pour les sous-traitants ultérieurs énumérés à l’Annexe II. Nous imposons à chacun d’eux des obligations de protection des données au moins aussi protectrices que le présent DPA, et nous demeurons responsables de leur exécution.

Nous publierons tout sous-traitant ultérieur nouveau ou de remplacement sur cette page et dans notre Politique de confidentialité au moins trente (30) jours avant qu’il ne commence à traiter vos données à caractère personnel. Vous pouvez vous y opposer pour des motifs raisonnables de protection des données pendant ce délai ; si nous ne parvenons pas à résoudre l’objection, vous pouvez résilier la partie concernée du Service et obtenir un remboursement au prorata des frais prépayés.

Droits des personnes concernées

Le Service vous donne, ainsi qu’à vos utilisateurs, un contrôle direct sur la plupart des droits. Un titulaire de compte peut voir chaque voix et chaque citation de preuve qu’elle contient, supprimer des citations individuelles, révoquer les autorisations d’agent et les clés d’API, déconnecter un compte Google, exporter sa voix et supprimer son compte.

Lorsqu’une demande ne peut pas être satisfaite par le Service, nous vous aiderons, compte tenu de la nature du traitement. Si une personne concernée nous contacte directement, nous vous transmettons la demande au lieu d’y répondre nous-mêmes.

Nous apporterons également une aide raisonnable pour les analyses d’impact relatives à la protection des données et les consultations préalables d’une autorité de contrôle, dans la mesure où elles concernent notre traitement et où l’information ne vous est pas disponible par ailleurs.

Notification des violations

Nous vous notifierons dans les meilleurs délais, et en tout état de cause dans les 48 heures après avoir pris connaissance d’une violation de données à caractère personnel affectant vos données à caractère personnel, avec les informations dont nous disposons à ce moment-là, et nous vous tiendrons informé à mesure que nous en apprendrons davantage. Nous vous aiderons à remplir vos propres obligations de notification.

Suppression et restitution

Le calendrier de conservation de l’Annexe I s’applique pendant toute la durée de l’accord. À la résiliation, et selon votre choix, nous supprimerons ou vous restituerons vos données à caractère personnel dans un délai de 30 jours, sauf lorsque la loi exige leur conservation, en particulier les relevés de facturation décrits à l’Annexe I, qui sont conservés pendant sept ans, identifiants de compte retirés, et qui ne contiennent aucun contenu.

La suppression initiée par un titulaire de compte suit la règle propre au produit : les autorisations d’agent, les clés d’API et toute connexion Google sont révoquées immédiatement ; le compte peut être récupéré en vous connectant pendant 30 jours ; et le matériel source brut est supprimé à la fin de la tâche de construction dans tous les cas.

Audit

Nous mettrons à votre disposition les informations raisonnablement nécessaires pour démontrer le respect du présent DPA, et nous contribuerons aux audits réalisés par vous ou par un auditeur que vous mandatez.

Dans un premier temps, nous répondrons à un questionnaire de sécurité écrit et fournirons nos rapports d’évaluation actuels, y compris l’évaluation annuelle CASA Tier 2 que nous maintenons pour l’accès aux API de Google. Les audits sur site sont limités à un par période de douze mois, moyennant un préavis de 30 jours, à vos frais, sauf si un audit révèle un manquement substantiel.

Transferts internationaux

Nos sous-traitants ultérieurs traitent des données à caractère personnel aux États-Unis et ailleurs. Lorsque des données à caractère personnel sont transférées hors de l’EEE, du Royaume-Uni ou de la Suisse, le transfert est effectué au titre des clauses contractuelles types de la Commission européenne (décision 2021/914), de l’addendum britannique sur les transferts internationaux de données et de son équivalent suisse, chacun étant incorporé par référence. Le module deux (de responsable du traitement à sous-traitant) s’applique entre vous et nous ; le module trois (de sous-traitant à sous-traitant) s’applique entre nous et nos sous-traitants ultérieurs.

Aux fins de ces clauses : l’exportateur de données est vous, l’importateur de données est nous, l’annexe I des clauses est l’Annexe I ci-dessous, l’annexe II des clauses est l’Annexe III ci-dessous, et la clause d’adhésion n’est pas utilisée.

Responsabilité, durée et droit applicable

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations prévues dans les Conditions d’utilisation.

Le présent DPA prend effet lorsque vous l’acceptez ou commencez à utiliser le Service, selon la première de ces dates, et se poursuit jusqu’à ce que nous ayons supprimé ou restitué vos données à caractère personnel conformément à la section Suppression et restitution.

Le présent DPA est régi par les lois de la province de l’Île-du-Prince-Édouard et par les lois fédérales du Canada qui y sont applicables, et les tribunaux de l’Île-du-Prince-Édouard ont compétence exclusive, sans égard aux règles de conflit de lois.

Annexe I : Détails du traitement

Conservation

Annexe II : Sous-traitants ultérieurs

Ajouté le 14 octobre 2026 : TypeSafe AI, Inc., pour la vérification de voix. Ajouté le 16 octobre 2026 : Cloudflare, Inc., pour la vérification anti-robots de la vérification de voix.

Annexe III : Mesures techniques et organisationnelles

Chiffrement

TLS pour toutes les données en transit. Chiffrement au repos pour la base de données et le stockage d’objets. Jetons OAuth chiffrés avant leur conservation ; le jeton d’actualisation Google est chiffré une seconde fois avec une clé détenue en dehors de la base de données, de sorte qu’une compromission de la base de données seule ne le livre pas. Clés d’API conservées uniquement sous forme de hachages SHA-256 : la clé brute est affichée une seule fois et nous ne pouvons pas la récupérer.

Contrôle d’accès

La sécurité au niveau des lignes est activée et imposée sur chaque table. L’application se connecte avec un rôle de base de données qui n’a pas le privilège de la contourner, et chaque requête définit l’utilisateur et l’organisation agissants à l’intérieur de la transaction, de sorte qu’une identité non définie refuse l’accès au lieu de fuiter. Les sessions sont signées avec un secret propre à chaque environnement. L’accès administratif est limité à des personnes nommément désignées et séparé des identifiants de l’application de production.

Minimisation

Le matériel source n’est jamais conservé au-delà de la tâche qui le consomme. Le texte collé dans une vérification de voix n’est conservé que selon le choix de l’organisation : en mode « Transient », son texte, les passages cités et la réécriture sont supprimés 24 heures après la vérification ; en mode « Audit », ils sont conservés jusqu’à la suppression du compte de la personne, y compris les vérifications qu’elle a retirées de l’affichage. Ce qui persiste est la voix dérivée et les citations de preuve que l’utilisateur a choisi de garder. Les listes d’exclusion sont conservées sous forme d’identifiants opaques plutôt que d’adresses. Les relectures de session masquent le texte par défaut. Les relevés d’usage contiennent des décomptes et des montants, pas de contenu.

Résilience

Base de données gérée avec sauvegardes automatiques. Niveau applicatif sans état avec basculement automatique. Le travail mesuré passe par une file d’attente durable avec points de reprise, de sorte qu’une défaillance reprend au lieu de repartir de zéro.

Surveillance

Suivi des erreurs et des performances avec champs identifiants effacés. Limites de débit par compte, par autorisation, par clé et par IP. Plafonds de dépense par clé fixés par le client. Alertes d’anomalie lorsque la dépense quotidienne d’une clé dépasse cinq fois sa moyenne glissante. Un journal d’audit en ajout seul des connexions, autorisations, clés, changements de membres, changements d’offre, remboursements et suppressions, consultable par le propriétaire du compte.

Gestion des vulnérabilités

Un contact de sécurité publié et une préférence de divulgation à l’adresse /.well-known/security.txt. Une évaluation annuelle CASA Tier 2 par un évaluateur agréé par Google, requise pour notre accès aux API de Google et couvrant l’application dans son ensemble.

Personnel

Obligations de confidentialité pour toute personne ayant accès. Aucun employé ne lit le contenu des clients dans le cours normal des choses ; ce sont les contrôles techniques ci-dessus qui rendent cela vrai, et non une simple promesse.