A informação que o Regulamento dos Dados (Regulamento (UE) 2023/2854) pede a um serviço de cloud que publique: onde está a infraestrutura e que lei se aplica (artigo 28.º), as medidas contra o acesso ilícito por governos de fora da UE (artigos 28.º e 32.º), o que pode levar consigo e em que formatos (artigo 26.º), como funciona a mudança de prestador e os respetivos encargos (artigo 29.º). As cláusulas contratuais estão nos Termos, secção 9.4. A exportação dos seus dados é feita por si, nas Settings → Your data do painel (secção 3); a mudança para outro prestador segue os passos da secção 4.
1. Onde está a infraestrutura e que lei se aplica
| Serviço | Onde funciona | Jurisdição |
|---|---|---|
| O próprio OneActor (a empresa) | Portugal | Portugal e UE |
| Plataforma, espaços de trabalho, funções das suas aplicações, bases de dados, cache, filas e armazenamento de ficheiros | Amazon Web Services, região eu-central-1 (Frankfurt, Alemanha) | UE; o prestador, a Amazon Web Services EMEA SARL (Luxemburgo), pertence a um grupo dos Estados Unidos |
| Os seus sites publicados (distribuição de conteúdos) | Pontos de presença do Amazon CloudFront em todo o mundo, cada visitante servido a partir de um perto dele | UE e, para as cópias guardadas em cache perto de um visitante, o país do ponto de presença (apenas cópias em cache) |
| As compilações para iPhone das suas aplicações para telemóvel | Um Mac dedicado ao OneActor na Scaleway, em Paris (França) | UE |
| Tratamento pelos modelos de IA | Os fornecedores de IA da página de subcontratantes, na maioria nos Estados Unidos | Estados Unidos (e outros, consoante o fornecedor) |
| Pagamentos (a venda de planos e créditos) | Link — Sold through Link, LLC, uma afiliada da Stripe, Estados Unidos; responsável pelo tratamento independente dos seus dados de pagamento, nos termos da sua própria política de privacidade | Estados Unidos e outros países |
2. Medidas contra o acesso ilícito por governos de fora da UE
- Técnicas: dados em repouso na região da UE; chaves e variáveis cifradas com chaves mantidas no serviço de gestão de chaves da região da UE; TLS em trânsito; nenhuma cópia das bases de dados dos clientes fora da região da UE.
- Organizativas: o OneActor é uma empresa da UE sem empresa-mãe nos Estados Unidos; os pedidos de qualquer autoridade são verificados quanto à sua validade legal e ao seu âmbito, contestados quando houver fundamento para isso e respondidos com o mínimo de dados exigido.
- Contratuais: os nossos prestadores estão vinculados por condições de tratamento de dados que os obrigam a contestar os pedidos sempre que possível e a avisar-nos, salvo se isso lhes for proibido.
- Aviso ao cliente: avisamo-lo antes de darmos seguimento a um pedido de uma autoridade de fora da UE relativo aos seus dados não pessoais, salvo se o pedido for legitimamente confidencial (artigo 32.º do Regulamento dos Dados).
Os fornecedores de modelos de IA nos Estados Unidos podem estar sujeitos à lei norte-americana sobre o acesso a dados. Os conteúdos que os agentes lhes enviam são aí tratados; consulte a Política de Privacidade quanto às garantias.
3. O que pode levar consigo
O proprietário de um espaço de trabalho pede uma exportação dele em Settings → Your data, sempre que precisar. Avisamo-lo por email quando estiver pronta, e descarrega-a nas Settings, com sessão iniciada, durante 30 dias. É um único arquivo (.tar.gz) com um README que diz o que está onde e o que não contém, e um manifesto com o tamanho e a soma de verificação de cada ficheiro.
| Dados ou ativo | Formato |
|---|---|
| Código-fonte e histórico git completo de cada projeto | Um bundle git por ramo, com todos os ramos e etiquetas |
| Os documentos do briefing do projeto | Os ficheiros tal como os carregou |
| Tarefas, o quadro e as conversas com os agentes | Fora da exportação: enviamos-lhos a pedido, num formato comum de leitura automática |
| As suas bases de dados (teste e produção) | SQL (estrutura e linhas) e CSV por tabela, com a versão do PostgreSQL |
| Ficheiros no armazenamento das suas aplicações | Os objetos, com as respetivas chaves |
| A configuração das suas aplicações: versões, publicações, variáveis, os domínios que ligou e os registos que usam | JSON e CSV; o valor de uma variável só quando não é secreta |
| Chaves guardadas e outros valores secretos | Apenas os nomes: os valores nunca são exportados nem mostrados, pelo que cria chaves novas no novo prestador |
| As suas aplicações para telemóvel: nomes de pacote, identificadores de bundle, certificados de carregamento, os passos das lojas que marcou como feitos e o registo de cada compilação | JSON e CSV. Os próprios ficheiros das compilações descarrega-os no painel. As chaves que assinam as aplicações nunca são exportadas: o Google Play repõe uma chave de carregamento a seu pedido, e cria um certificado de distribuição próprio para o iPhone |
| A sua conta Apple: os identificadores da chave do App Store Connect, a equipa e os certificados, identificadores e perfis que o OneActor lá criou | JSON; nunca a própria chave, que já tem consigo |
| A sua conta, a organização, os membros, os convites e o registo de auditoria | JSON e CSV |
| Registos de utilização e de faturação, com as compras, as livres resoluções, os reembolsos e as disputas | CSV e JSON |
Uma exportação inclui até 5 GiB dos ficheiros guardados pelas suas aplicações e lista os restantes pela chave. Os ficheiros de um espaço de trabalho que nunca foram registados no repositório do projeto não fazem parte dela. Os registos de utilização com mais de 90 dias ficam no nosso arquivo de faturação, e enviamo-los a pedido.
Não exportáveis (específicos do funcionamento interno do OneActor, ou porque revelariam segredos comerciais): as instruções próprias e a configuração dos agentes, que a exportação de um projeto não inclui; os nossos registos e métricas internos; e o código da própria plataforma.
Esta tabela é o registo de formatos do artigo 26.º e é mantida atualizada; o README de cada exportação indica as normas e versões usadas (por exemplo, a versão principal do PostgreSQL).
4. Como funciona a mudança de prestador
- Avisa-nos por email de que vai mudar de prestador. Pode dar um pré-aviso de até 2 meses, ou menos.
- Transição — no máximo 30 dias após o período de pré-aviso. O Serviço continua a funcionar, exporta tudo o que consta da secção 3 nas Settings sempre que precisar, ajudamo-lo a transferi-lo e informamo-lo de qualquer risco conhecido para a continuidade.
- Recuperação — pelo menos 30 dias após a transição, durante os quais os seus dados continuam disponíveis para descarregar.
- Apagamento. Quando termina a recuperação ou confirma que a mudança está concluída, apagamos os seus dados exportáveis e confirmamo-lo por escrito, exceto o que a lei nos obriga a conservar (por exemplo, as faturas).
Se 30 dias não forem tecnicamente viáveis no seu caso, informamo-lo no prazo de 14 dias úteis, explicamos porquê e propomos um prazo não superior a 7 meses.
5. Encargos
A mudança de prestador e a exportação são gratuitas. Não cobramos qualquer encargo de mudança de prestador nem de saída de dados, nem agora nem depois de 12 de janeiro de 2027, quando a lei os proíbe.