Accordo sul trattamento dei dati

Ambito e ruoli

Il presente accordo sul trattamento dei dati («DPA») fa parte dell’accordo tra Fritter Factory Innovation Labs Inc., che opera con il nome commerciale Act More Human («Responsabile», «noi», «ci»), e il cliente indicato nel modulo d’ordine («Titolare», «tu») per la fornitura del servizio Act More Human (il «Servizio»). Si applica ogni volta che trattiamo dati personali per tuo conto ed è incorporato nel tuo accordo quando acquisti un piano aziendale. Se il tuo processo di approvvigionamento richiede una copia firmata, scrivi a hello@actmorehuman.com e te ne invieremo una.

Le comunicazioni ai sensi del presente DPA possono essere inviate per posta a:

In caso di conflitto tra il presente DPA e i Termini di servizio, prevale il presente DPA, ma solo per il trattamento dei dati personali.

Tu sei il titolare del trattamento dei dati personali che tu e i tuoi utenti inviate al Servizio. Noi siamo il responsabile del trattamento. Quando trattiamo dati per finalità nostre, come i registri di fatturazione e le analisi sul Servizio stesso, agiamo come titolare del trattamento autonomo, e si applica la nostra Informativa sulla privacy.

Definizioni

«Dati personali», «trattamento», «titolare del trattamento», «responsabile del trattamento», «sub-responsabile», «interessato» e «autorità di controllo» hanno il significato loro attribuito nel UK GDPR e nel Regolamento (UE) 2016/679 («GDPR»). «Normativa sulla protezione dei dati» indica tutte le leggi sulla privacy e sulla protezione dei dati applicabili al trattamento ai sensi del presente DPA, tra cui il GDPR, il UK GDPR, la legislazione canadese federale e provinciale sulla privacy e le leggi statali statunitensi sulla privacy applicabili.

Le nostre istruzioni

Trattiamo i dati personali solo su tue istruzioni documentate, che sono: il presente DPA, i Termini di servizio e l’uso del Servizio da parte tua e dei tuoi utenti. Ti informeremo se, a nostro avviso, un’istruzione viola la Normativa sulla protezione dei dati.

Non venderemo i dati personali, non li condivideremo per la pubblicità comportamentale cross-context e non li conserveremo, useremo o divulgheremo per alcuna finalità diversa dall’esecuzione del Servizio.

Addestramento. Non usiamo i tuoi dati personali, né alcun contenuto che invii, per addestrare, perfezionare o migliorare alcun modello di apprendimento automatico. Non lo fanno nemmeno i nostri sub-responsabili di intelligenza artificiale, in base ai nostri contratti con loro. Questo obbligo sopravvive alla cessazione.

Riservatezza e sicurezza

Chiunque autorizziamo a trattare dati personali è vincolato da obblighi di riservatezza, contrattuali o di legge, e riceve l’accesso solo nella misura necessaria all’esecuzione del Servizio.

Attuiamo le misure tecniche e organizzative descritte nell’Allegato III e non le ridurremo in modo sostanziale durante la durata dell’accordo.

Sub-responsabili

Dai un’autorizzazione generale per i sub-responsabili elencati nell’Allegato II. Imponiamo a ciascuno obblighi di protezione dei dati non meno protettivi del presente DPA, e restiamo responsabili del loro adempimento.

Pubblicheremo qualsiasi sub-responsabile nuovo o sostitutivo su questa pagina e nella nostra Informativa sulla privacy almeno trenta (30) giorni prima che inizi a trattare i tuoi dati personali. Puoi opporti per ragionevoli motivi di protezione dei dati entro tale termine; se non riusciamo a risolvere l’opposizione, puoi risolvere la parte interessata del Servizio e ricevere un rimborso proporzionale delle tariffe prepagate.

Diritti degli interessati

Il Servizio dà a te e ai tuoi utenti il controllo diretto sulla maggior parte dei diritti. Il titolare di un account può vedere ogni voce e ogni citazione di evidenza al suo interno, eliminare singole citazioni, revocare le autorizzazioni agli agenti e le chiavi API, scollegare un account Google, esportare la propria voce ed eliminare il proprio account.

Quando una richiesta non può essere soddisfatta tramite il Servizio, ti assisteremo tenendo conto della natura del trattamento. Se un interessato ci contatta direttamente, inoltriamo la richiesta a te anziché rispondere noi stessi.

Forniremo inoltre un’assistenza ragionevole per le valutazioni d’impatto sulla protezione dei dati e per le consultazioni preventive con un’autorità di controllo, nella misura in cui riguardano il nostro trattamento e le informazioni non siano altrimenti disponibili per te.

Notifica delle violazioni

Ti informeremo senza ingiustificato ritardo e in ogni caso entro 48 ore da quando veniamo a conoscenza di una violazione dei dati personali che riguardi i tuoi dati personali, con le informazioni di cui disponiamo in quel momento, e ti terremo aggiornato man mano che ne sapremo di più. Ti assisteremo negli obblighi di notifica che hai tu.

Cancellazione e restituzione

Il calendario di conservazione dell’Allegato I si applica per tutta la durata dell’accordo. Alla cessazione, e a tua scelta, cancelleremo o restituiremo i tuoi dati personali entro 30 giorni, salvo quando la conservazione è imposta dalla legge, in particolare i registri di fatturazione descritti nell’Allegato I, che sono conservati per sette anni con gli identificativi dell’account rimossi e che non contengono alcun contenuto.

La cancellazione avviata dal titolare di un account segue la regola propria del prodotto: le autorizzazioni agli agenti, le chiavi API e qualsiasi collegamento Google sono revocati immediatamente; l’account è recuperabile accedendo per 30 giorni; e il materiale di origine grezzo è comunque cancellato al termine del processo di costruzione.

Audit

Metteremo a disposizione le informazioni ragionevolmente necessarie per dimostrare la conformità al presente DPA e contribuiremo agli audit condotti da te o da un revisore da te incaricato.

In prima istanza risponderemo a un questionario di sicurezza scritto e forniremo le nostre valutazioni correnti, compresa la valutazione annuale CASA Tier 2 che manteniamo per l’accesso alle API di Google. Gli audit in loco sono limitati a uno ogni dodici mesi, con un preavviso di 30 giorni, a tue spese, salvo che un audit riveli una non conformità sostanziale.

Trasferimenti internazionali

I nostri sub-responsabili trattano dati personali negli Stati Uniti e altrove. Quando i dati personali sono trasferiti fuori dal SEE, dal Regno Unito o dalla Svizzera, il trasferimento avviene in base alle clausole contrattuali tipo della Commissione europea (Decisione 2021/914), all’Addendum per il trasferimento internazionale di dati del Regno Unito e all’equivalente svizzero, ciascuno incorporato per riferimento. Il Modulo Due (da titolare a responsabile) si applica tra te e noi; il Modulo Tre (da responsabile a responsabile) si applica tra noi e i nostri sub-responsabili.

Ai fini di tali clausole: l’esportatore dei dati sei tu, l’importatore dei dati siamo noi, l’Allegato I delle clausole è l’Allegato I qui sotto, l’Allegato II delle clausole è l’Allegato III qui sotto, e la clausola di adesione non è utilizzata.

Responsabilità, durata e legge applicabile

La responsabilità di ciascuna parte ai sensi del presente DPA è soggetta alle limitazioni previste nei Termini di servizio.

Il presente DPA ha effetto quando lo accetti o inizi a usare il Servizio, a seconda di quale evento si verifichi per primo, e prosegue finché non abbiamo cancellato o restituito i tuoi dati personali ai sensi di Cancellazione e restituzione.

Il presente DPA è regolato dalle leggi della Provincia dell’Isola del Principe Edoardo e dalle leggi federali del Canada ivi applicabili, e i tribunali dell’Isola del Principe Edoardo hanno giurisdizione esclusiva, a prescindere dalle norme sul conflitto di leggi.

Allegato I: Dettagli del trattamento

Conservazione

Allegato II: Sub-responsabili

Aggiunto il 14 ottobre 2026: TypeSafe AI, Inc., per il controllo della voce. Aggiunto il 16 ottobre 2026: Cloudflare, Inc., per il controllo anti-bot del controllo della voce.

Allegato III: Misure tecniche e organizzative

Crittografia

TLS per tutti i dati in transito. Crittografia a riposo per il database e l’archiviazione di oggetti. Token OAuth crittografati prima della conservazione; il token di aggiornamento di Google è crittografato una seconda volta con una chiave custodita fuori dal database, così che la sola compromissione del database non lo restituisca. Chiavi API conservate solo come hash SHA-256: la chiave in chiaro viene mostrata una sola volta e non può essere recuperata da noi.

Controllo degli accessi

La sicurezza a livello di riga è attivata e imposta su ogni tabella. L’applicazione si connette con un ruolo del database che non ha il privilegio di aggirarla, e ogni richiesta imposta l’utente e l’organizzazione che agiscono all’interno della transazione, così che un’identità non impostata neghi l’accesso anziché far trapelare dati. Le sessioni sono firmate con un segreto specifico per ambiente. L’accesso amministrativo è limitato a persone nominate e separato dalle credenziali dell’applicazione di produzione.

Minimizzazione

Il materiale di origine non è mai conservato oltre il processo che lo consuma. Il testo incollato in un controllo della voce è conservato solo come sceglie l’organizzazione: in modalità «Transient», il suo testo, i passaggi citati e la riscrittura sono cancellati 24 ore dopo il controllo; in modalità «Audit», sono conservati fino all’eliminazione dell’account della persona, compresi i controlli che la persona ha rimosso dalla vista. Ciò che persiste è la voce derivata e le citazioni di evidenza che l’utente ha scelto di conservare. Gli elenchi di esclusione sono conservati come identificativi opachi anziché come indirizzi. Le riproduzioni di sessione mascherano il testo per impostazione predefinita. I registri di utilizzo contengono conteggi e importi, non contenuti.

Resilienza

Database gestito con backup automatici. Livello applicativo senza stato con failover automatico. Il lavoro misurato passa attraverso una coda durevole con punti di controllo, così che un guasto riprenda anziché ricominciare.

Monitoraggio

Monitoraggio di errori e prestazioni con i campi identificativi rimossi. Limiti di frequenza per account, per autorizzazione, per chiave e per IP. Limiti di spesa per chiave impostati dal cliente. Avvisi di anomalia quando la spesa giornaliera di una chiave supera di cinque volte la sua media mobile. Un registro di audit di sola aggiunta di accessi, autorizzazioni, chiavi, modifiche dei membri, modifiche del piano, rimborsi e cancellazioni, consultabile dal proprietario dell’account.

Gestione delle vulnerabilità

Un contatto di sicurezza pubblicato e una preferenza di divulgazione in /.well-known/security.txt. Una valutazione annuale CASA Tier 2 da parte di un valutatore autorizzato da Google, richiesta per il nostro accesso alle API di Google e che copre l’applicazione nel suo complesso.

Personale

Obblighi di riservatezza per chiunque abbia accesso. Nessun dipendente legge i contenuti dei clienti nel normale svolgimento dell’attività; i controlli tecnici sopra descritti sono ciò che rende vero questo fatto, anziché una promessa.