数据处理协议
我们如何处理你托付给我们的个人数据，以及我们以书面形式作出的承诺。
最后更新于 2026年10月18日
适用范围与角色
本数据处理协议（“DPA”）构成 Fritter Factory Innovation Labs Inc.（以 Act More Human 名义经营，简称“处理者”或“我们”）与订单中载明的客户（简称“控制者”或“你”）之间就提供 Act More Human 服务（简称“服务”）所订立协议的一部分。凡我们代表你处理个人数据，均适用本协议；当你购买公司套餐时，本协议即并入你的协议。如果你的采购流程需要已签署的副本，请发邮件到 hello@actmorehuman.com，我们会寄送一份。
本 DPA 项下的通知可邮寄至：
Fritter Factory Innovation Labs Inc.1 Stan MacPherson Way, Unit 303
Charlottetown, PE C1A 0B4
Canada
如本 DPA 与服务条款相冲突，以本 DPA 为准，但仅限于个人数据的处理。
你是你及你的用户提交至服务的个人数据的控制者。我们是处理者。对于我们为自身目的处理的数据，即账单记录和有关服务本身的分析数据，我们作为独立的控制者行事，适用我们的隐私政策。
定义
“个人数据”“处理”“控制者”“处理者”“子处理者”“数据主体”和“监管机构”的含义，以 UK GDPR 和条例 (EU) 2016/679（“GDPR”）中所给出的为准。“数据保护法”是指适用于本 DPA 项下处理活动的所有隐私和数据保护法律，包括 GDPR、UK GDPR、加拿大联邦和各省的隐私立法，以及适用的美国各州隐私法。
我们的指示依据
我们仅依据你的书面指示处理个人数据，这些指示包括：本 DPA、服务条款，以及你和你的用户对服务的使用。如果我们认为某项指示违反数据保护法，我们会告知你。
我们不会出售个人数据，不会为跨情境行为广告而共享个人数据，也不会为履行服务以外的任何目的保留、使用或披露个人数据。
训练。我们不会使用你的个人数据或你提交的任何内容来训练、微调或改进任何机器学习模型。依据我们与 AI 子处理者订立的合同，它们同样不会这样做。该义务在协议终止后继续有效。
保密与安全
每一位经我们授权处理个人数据的人员，均受合同或法定保密义务的约束，并且仅在履行服务所需的范围内获得访问权限。
我们采取附件三所述的技术和组织措施，并且在协议期限内不会实质性降低这些措施。
子处理者
你对附件二所列的子处理者给予一般授权。我们对每一家子处理者施加的数据保护义务，其保护程度不低于本 DPA，并且我们对其履行行为承担责任。
我们会在任何新增或替换的子处理者开始处理你的个人数据之前，至少三十（30）天在本页以及我们的隐私政策中公布。你可以在该期限内基于合理的数据保护理由提出异议；如果我们无法解决该异议，你可以终止服务中受影响的部分，并按比例收到预付费用的退款。
数据主体权利
服务让你和你的用户可以直接控制大多数权利。账户持有人可以查看其中的每一个写作风格和每一条证据引文，删除单条引文，撤销代理授权和 API 密钥，断开 Google 账户的连接，导出其写作风格，并删除其账户。
如果某项请求无法通过服务得到满足，我们会考虑处理的性质，向你提供协助。如果数据主体直接联系我们，我们会把请求转交给你，而不是自行答复。
对于数据保护影响评估以及事先与监管机构进行的咨询，只要与我们的处理活动有关，且你无法通过其他途径获得相关信息，我们也会提供合理的协助。
数据泄露通知
我们在获知影响你的个人数据的个人数据泄露后，会在不无故拖延的情况下，且无论如何在 48 小时内通知你，提供我们当时掌握的信息，并在了解更多情况后持续向你更新。我们会协助你履行你自己的通知义务。
删除与返还
附件一中的保存期限表在整个协议期限内适用。协议终止时，按你的选择，我们会在 30 天内删除或返还你的个人数据，但法律要求存储的除外，具体是附件一所述的账单记录：这些记录会在去除账户标识符后保存七年，并且不包含任何内容。
由账户持有人发起的删除遵循产品自身的规则：代理授权、API 密钥和任何 Google 连接会立即被撤销；账户可在 30 天内通过登录恢复；原始来源材料则无论如何都会在构建任务结束时被删除。
审计
我们会提供合理必要的信息以证明遵守本 DPA，并配合由你或你委托的审计人员进行的审计。
首先，我们会回答书面的安全问卷，并提供我们现行的评估报告，包括我们为获取 Google API 访问权限而每年维持的 CASA Tier 2 评估。现场审计限于每十二个月一次，须提前 30 天通知，费用由你承担，但审计发现重大不合规的除外。
国际传输
我们的子处理者在美国及其他地方处理个人数据。凡个人数据从 EEA、英国或瑞士传出时，传输依据欧盟委员会的标准合同条款（决定 2021/914）、英国国际数据传输附录以及瑞士的对应文件进行，上述文件均以引用方式并入。你与我们之间适用模块二（控制者至处理者）；我们与我们的子处理者之间适用模块三（处理者至处理者）。
就这些条款而言：数据输出方是你，数据输入方是我们，条款的附件一即下文附件一，条款的附件二即下文附件三，且不使用加入条款。
责任、期限与适用法律
各方在本 DPA 项下的责任受服务条款中的限制约束。
本 DPA 自你接受之日或你开始使用服务之日（以较早者为准）起生效，并持续至我们依据删除与返还删除或返还你的个人数据为止。
本 DPA 受爱德华王子岛省的法律以及在该省适用的加拿大联邦法律管辖，爱德华王子岛省的法院拥有专属管辖权，不考虑法律冲突规则。
附件一：处理详情
| 标的事项 | 提供 Act More Human 服务：依据数据主体提供的写作内容，构建、存储并提供写作风格档案。 |
|---|---|
| 持续时间 | 协议期限，加上上述删除期限。 |
| 性质与目的 | 收集、规范化、分类、分析、存储、检索和删除，目的是生成并提供风格档案，以及对照风格档案检查提交的文本。 |
| 数据主体类别 | 你的人员以及服务的其他获授权用户；以及附带涉及的，用户选择提交的往来信件的收件人。 |
| 个人数据类别 | 账户标识符（邮箱地址、姓名、头像）。为构建而提交的内容：已发送的邮件、粘贴的文本，以及为风格检查提交的文本。衍生数据：风格档案及其证据引文。使用记录：任务状态、工具调用、额度和账单记录。 |
| 特殊类别数据 | 我们不索取，也不需要。用户提交的往来信件可能附带包含此类数据。服务会对被标记为敏感或私人的邮件进行分类，并默认取消勾选，用户在任何构建运行之前会复核所选内容。 |
| 频率 | 在协议期间持续进行。写作风格的来源材料仅在构建任务期间被处理。粘贴到风格检查中的文本在检查运行时被处理，并按下文所述组织的保留选择进行保存。 |
保存期限
| 内容 | 保存多久 | 由谁删除 |
|---|---|---|
| 为构建而收集的邮件和文档文本 | 构建结束为止；失败或被取消的构建：两小时内；未付款的构建：最后一次活动后 24 小时，且最迟不超过开始后 7 天 | 任务结束时由工作进程删除，另加每小时一次的清扫 |
| Google 刷新令牌 | 任务存续期间 | 在 Google 处撤销，并在任务结束时删除 |
| 写作风格、版本、证据引文、排除项、偏移报告 | 直到用户删除 | 用户，或在账户删除后 T+30 天 |
| 选择“不保留文字”时，为风格检查提交的文本及其引文和改写 | 检查后 24 小时 | 每十分钟运行一次的清扫 |
| 选择“保留”时的同类内容 | 直到账户删除，包括用户移除的检查 | 在账户删除后 T+30 天 |
| 风格检查的结论、分数和各规则结果 | 直到用户移除该检查，或直到账户删除 | 用户，或在账户删除后 T+30 天 |
| 注册前在网站上粘贴的文本，以及与之关联的邮箱哈希 | 7 天，关联到账户后为 30 天；如果用户检查或忽略它，则更早删除 | 每十分钟运行一次的清扫，或用户 |
| 构建任务记录：状态、阶段、计数、错误代码 | 完成后 90 天 | 自动清扫 |
| API 和 Connector 调用日志 | 180 天 | 自动清扫 |
| 账单和使用记录 | 7 年，依税法要求 | 去除账户标识符后保留；其中只有计数和金额，绝无内容 |
| 发送给 AI 子处理者的提示词 | 30 天 | Anthropic |
| AI 网关处的请求元数据：令牌数量和耗时，不含内容 | 网关自身的期限 | OpenRouter |
附件二：子处理者
2026 年 10 月 14 日新增：TypeSafe AI, Inc.，用于风格检查。2026 年 10 月 16 日新增：Cloudflare, Inc.，用于风格检查的机器人验证。
| 子处理者 | 用途 | 所在地 |
|---|---|---|
| Supabase | 数据库、文件存储、后台任务 | 美国（us-east-1） |
| Anthropic | 构建和使用写作风格的 AI 模型。保存 30 天，不用于训练 | 美国 |
| OpenRouter | 将每个 AI 请求路由至 Anthropic、将风格检查的判定请求路由至 TypeSafe 的网关。存储请求元数据，不存储内容；不用于训练 | 美国 |
| TypeSafe AI, Inc.（通过 OpenRouter） | 对照写作风格的规则检查提交文本的判定模型。零数据保留，不用于训练 | 美国 |
| Cloudflare, Inc. | 公开风格检查页面上的机器人验证（Turnstile）。不接收粘贴的文字 | 美国；Cloudflare 全球网络 |
| Vercel | 应用托管和无服务器函数 | 美国（iad1） |
| Stripe | 支付、订阅、开具发票 | 美国、爱尔兰 |
| Resend | 事务性邮件 | 美国 |
| Sentry | 错误和性能监控 | 美国 |
| PostHog | 产品分析 | 美国 |
附件三：技术和组织措施
加密
所有传输中的数据均使用 TLS。数据库和对象存储均采用静态加密。OAuth 令牌在存储前加密；Google 刷新令牌再用存放在数据库之外的密钥加密一次，因此仅攻破数据库并不能得到它。API 密钥仅以 SHA-256 哈希形式存储，原始密钥只显示一次，我们无法恢复。
访问控制
每张表都启用并强制执行行级安全。应用使用不具备绕过该机制权限的数据库角色连接，并且每个请求都在事务内设置执行操作的用户和组织，因此身份未设置时会拒绝访问，而不是造成泄露。会话使用各环境独立的密钥签名。管理访问仅限于指名的个人，并与生产应用的凭据相分离。
最小化
来源材料从不会保留超过使用它的任务的存续期间。粘贴到风格检查中的文本仅按组织的选择保存：在 Transient 模式下，其文本、被引用的段落和改写会在检查 24 小时后删除；在 Audit 模式下，它们会一直保存，直到本人的账户被删除，包括本人已从视图中移除的检查。留存下来的是衍生出的写作风格以及用户选择保留的证据引文。排除列表以不透明标识符而非地址的形式存储。会话回放默认遮蔽文本。使用记录保存的是计数和金额，而不是内容。
韧性
托管数据库，带自动备份。无状态的应用层，带自动故障转移。计量的工作通过带检查点的持久队列运行，因此出现故障时会续跑，而不是重新开始。
监控
错误和性能监控，识别字段已被清除。按账户、按授权、按密钥以及按 IP 设置速率限制。由客户设置的单个密钥支出上限。当某个密钥的当日支出超过其近期平均值的五倍时发出异常告警。仅可追加的审计日志，记录登录、授权、密钥、成员变更、套餐变更、退款和删除，账户所有者可以查阅。
漏洞处理
在 /.well-known/security.txt 公布安全联系方式和披露偏好。每年由 Google 授权的评估机构进行一次 CASA Tier 2 评估，这是我们获取 Google API 访问权限所要求的，涵盖整个应用。
人员
所有有权访问的人员均负有保密义务。在日常情况下，没有员工会阅读客户内容；使这一点成为事实的是上述技术控制措施，而不仅仅是一句承诺。