Acordo de Processamento de Dados

Escopo e papéis

Este Acordo de Processamento de Dados (“DPA”) faz parte do contrato entre a Fritter Factory Innovation Labs Inc., que atua sob o nome Act More Human (“Operador”, “nós”), e o cliente identificado no formulário de pedido (“Controlador”, “você”) para a prestação do serviço Act More Human (o “Serviço”). Ele se aplica sempre que tratamos dados pessoais em seu nome e é incorporado ao seu contrato quando você adquire um plano empresarial. Se o seu processo de compras exigir uma via assinada, envie um e-mail para hello@actmorehuman.com e enviaremos uma.

As notificações previstas neste DPA podem ser enviadas por correio para:

Se este DPA conflitar com os Termos de Serviço, prevalece este DPA, mas apenas quanto ao tratamento de dados pessoais.

Você é o controlador dos dados pessoais que você e seus usuários enviam ao Serviço. Nós somos o operador. Quando tratamos dados para fins próprios, como registros de cobrança e análises sobre o próprio Serviço, atuamos como controlador independente, e a nossa Política de Privacidade se aplica.

Definições

“Dados pessoais”, “tratamento”, “controlador”, “operador”, “suboperador”, “titular dos dados” e “autoridade de supervisão” têm os significados dados no UK GDPR e no Regulamento (UE) 2016/679 (“GDPR”). “Lei de Proteção de Dados” significa todas as leis de privacidade e de proteção de dados aplicáveis ao tratamento previsto neste DPA, incluindo o GDPR, o UK GDPR, a legislação de privacidade federal e provincial do Canadá e as leis estaduais de privacidade dos EUA aplicáveis.

Nossas instruções

Tratamos dados pessoais somente segundo as suas instruções documentadas, que são: este DPA, os Termos de Serviço e o uso do Serviço por você e por seus usuários. Avisaremos você se, na nossa opinião, uma instrução violar a Lei de Proteção de Dados.

Não venderemos dados pessoais, não os compartilharemos para publicidade comportamental entre contextos, nem os reteremos, usaremos ou divulgaremos para qualquer finalidade que não seja a prestação do Serviço.

Treinamento. Não usamos os seus dados pessoais, nem qualquer conteúdo que você envie, para treinar, ajustar ou aprimorar qualquer modelo de aprendizado de máquina. Nossos suboperadores de IA também não o fazem, nos termos dos nossos contratos com eles. Esta obrigação subsiste após o término.

Confidencialidade e segurança

Todas as pessoas que autorizamos a tratar dados pessoais estão sujeitas a obrigações de confidencialidade, contratuais ou legais, e recebem acesso apenas na medida necessária para prestar o Serviço.

Implementamos as medidas técnicas e organizacionais descritas no Anexo III e não as reduziremos de forma substancial durante a vigência.

Suboperadores

Você concede autorização geral para os suboperadores listados no Anexo II. Impomos a cada um deles obrigações de proteção de dados não menos protetoras do que este DPA e continuamos responsáveis pelo seu desempenho.

Publicaremos qualquer suboperador novo ou substituto nesta página e na nossa Política de Privacidade com pelo menos trinta (30) dias de antecedência em relação ao início do tratamento dos seus dados pessoais. Você pode se opor, por motivos razoáveis de proteção de dados, dentro desse prazo; se não conseguirmos resolver a objeção, você pode rescindir a parte afetada do Serviço e receber um reembolso proporcional das taxas pagas antecipadamente.

Direitos dos titulares dos dados

O Serviço dá a você e a seus usuários controle direto sobre a maioria dos direitos. O titular de uma conta pode ver todas as vozes e todas as citações de evidência nela contidas, excluir citações individuais, revogar concessões de agentes e chaves de API, desconectar uma conta do Google, exportar a sua voz e excluir a sua conta.

Quando uma solicitação não puder ser atendida por meio do Serviço, ajudaremos você, levando em conta a natureza do tratamento. Se um titular dos dados entrar em contato diretamente conosco, encaminharemos a solicitação a você em vez de respondê-la nós mesmos.

Também prestaremos assistência razoável em avaliações de impacto sobre a proteção de dados e em consultas prévias a uma autoridade de supervisão, na medida em que se relacionem ao nosso tratamento e a informação não esteja de outro modo disponível para você.

Notificação de violação

Notificaremos você sem demora injustificada e, em qualquer caso, em até 48 horas após tomarmos conhecimento de uma violação de dados pessoais que afete os seus dados pessoais, com as informações de que dispusermos naquele momento, e manteremos você atualizado à medida que soubermos mais. Ajudaremos você com as suas próprias obrigações de notificação.

Exclusão e devolução

O cronograma de retenção do Anexo I se aplica durante toda a vigência. No término, e à sua escolha, excluiremos ou devolveremos os seus dados pessoais em até 30 dias, exceto quando o armazenamento for exigido por lei, especificamente os registros de cobrança descritos no Anexo I, que são mantidos por sete anos com os identificadores de conta removidos e que não contêm nenhum conteúdo.

A exclusão iniciada pelo titular de uma conta segue a regra do próprio produto: as concessões de agentes, as chaves de API e qualquer conexão com o Google são revogadas imediatamente; a conta pode ser recuperada fazendo login por 30 dias; e o material-fonte bruto é excluído ao final do trabalho de construção, de qualquer modo.

Auditoria

Disponibilizaremos as informações razoavelmente necessárias para demonstrar a conformidade com este DPA e contribuiremos para auditorias conduzidas por você ou por um auditor que você designar.

Em primeiro lugar, responderemos a um questionário de segurança por escrito e forneceremos os nossos relatórios de avaliação atuais, incluindo a avaliação anual CASA Tier 2 que mantemos para o acesso à API do Google. As auditorias presenciais ficam limitadas a uma a cada doze meses, com aviso prévio de 30 dias, por sua conta, a menos que uma auditoria revele descumprimento relevante.

Transferências internacionais

Os nossos suboperadores tratam dados pessoais nos Estados Unidos e em outros lugares. Quando dados pessoais são transferidos para fora do EEE, do Reino Unido ou da Suíça, a transferência é feita com base nas cláusulas contratuais padrão da Comissão Europeia (Decisão 2021/914), no Adendo de Transferência Internacional de Dados do Reino Unido e no equivalente suíço, cada um incorporado por referência. O Módulo Dois (de controlador para operador) se aplica entre você e nós; o Módulo Três (de operador para operador) se aplica entre nós e nossos suboperadores.

Para os fins dessas Cláusulas: o exportador de dados é você, o importador de dados somos nós, o Anexo I das Cláusulas é o Anexo I abaixo, o Anexo II das Cláusulas é o Anexo III abaixo, e a cláusula de acoplamento não é utilizada.

Responsabilidade, vigência e lei aplicável

A responsabilidade de cada parte nos termos deste DPA está sujeita às limitações dos Termos de Serviço.

Este DPA entra em vigor quando você o aceita ou começa a usar o Serviço, o que ocorrer primeiro, e continua até que tenhamos excluído ou devolvido os seus dados pessoais conforme Exclusão e devolução.

Este DPA é regido pelas leis da Província da Ilha do Príncipe Eduardo e pelas leis federais do Canadá aplicáveis nela, e os tribunais da Ilha do Príncipe Eduardo têm jurisdição exclusiva, sem consideração às regras de conflito de leis.

Anexo I: Detalhes do tratamento

Retenção

Anexo II: Suboperadores

Adicionado em 14 de outubro de 2026: TypeSafe AI, Inc., para a verificação de voz. Adicionado em 16 de outubro de 2026: Cloudflare, Inc., para a verificação anti-bot da verificação de voz.

Anexo III: Medidas técnicas e organizacionais

Criptografia

TLS para todos os dados em trânsito. Criptografia em repouso para o banco de dados e o armazenamento de objetos. Tokens OAuth criptografados antes do armazenamento; o token de atualização do Google é criptografado uma segunda vez com uma chave mantida fora do banco de dados, de modo que o comprometimento do banco de dados, por si só, não o revela. As chaves de API são armazenadas apenas como hashes SHA-256: a chave bruta é exibida uma única vez e não pode ser recuperada por nós.

Controle de acesso

A segurança em nível de linha está habilitada e forçada em todas as tabelas. A aplicação se conecta com um papel de banco de dados sem o privilégio de contorná-la, e cada requisição define o usuário e a organização atuantes dentro da transação, de modo que uma identidade não definida nega o acesso em vez de vazar. As sessões são assinadas com um segredo por ambiente. O acesso administrativo é limitado a pessoas nomeadas e separado das credenciais da aplicação em produção.

Minimização

O material-fonte nunca é retido além do trabalho que o consome. O texto colado em uma verificação de voz é mantido apenas conforme a organização escolher: no modo “Transient”, o seu texto, os trechos citados e a reescrita são excluídos 24 horas após a verificação; no modo “Audit”, eles são mantidos até que a conta da pessoa seja excluída, incluindo as verificações que a pessoa removeu da visualização. O que persiste é a voz derivada e as citações de evidência que o usuário optou por manter. As listas de exclusão são armazenadas como identificadores opacos, e não como endereços. Os replays de sessão mascaram o texto por padrão. Os registros de uso contêm contagens e valores, não conteúdo.

Resiliência

Banco de dados gerenciado com backups automatizados. Camada de aplicação sem estado com failover automático. O trabalho medido passa por uma fila durável com pontos de verificação, de modo que uma falha retoma o trabalho em vez de reiniciá-lo.

Monitoramento

Monitoramento de erros e de desempenho com campos de identificação removidos. Limites de taxa por conta, por concessão, por chave e por IP. Limites de gasto por chave definidos pelo cliente. Alertas de anomalia quando o gasto diário de uma chave excede cinco vezes a sua média recente. Um log de auditoria somente de acréscimo com logins, concessões, chaves, mudanças de membros, mudanças de plano, reembolsos e exclusões, legível pelo proprietário da conta.

Tratamento de vulnerabilidades

Um contato de segurança publicado e a preferência de divulgação em /.well-known/security.txt. Uma avaliação anual CASA Tier 2 por um avaliador autorizado pelo Google, exigida para o nosso acesso à API do Google e que abrange a aplicação como um todo.

Pessoal

Obrigações de confidencialidade para todos que têm acesso. Nenhum funcionário lê o conteúdo do cliente no curso normal das atividades; os controles técnicos acima é que tornam isso verdade, e não uma promessa.