Acordo de Tratamento de Dados

O presente Acordo de Tratamento de Dados («Acordo») faz parte dos Termos de Serviço celebrados entre a ONE ACTOR- SOFTWARE DEVELOPMENT, UNIPESSOAL LDA., Rua dos Barreiros, n.º 26 A, 9060-397 Funchal, Portugal, NIPC 519278267 («OneActor», o subcontratante), e a organização cliente que aceita os Termos («Cliente», o responsável pelo tratamento). Aplica-se quando o OneActor trata dados pessoais por conta do Cliente ao prestar a plataforma OneActor (o «Serviço»). Aplica-se automaticamente; não é necessária assinatura. A pedido, o OneActor envia ao Cliente uma cópia assinada por ambas as partes.

1. Definições

Expressões como dados pessoais, tratamento, responsável pelo tratamento, subcontratante, titular dos dados, violação de dados pessoais e autoridade de controlo têm o significado que lhes é dado pelo Regulamento (UE) 2016/679 («RGPD»). «Dados do Cliente» são os dados pessoais contidos nos conteúdos que o Cliente, os seus utilizadores e os seus agentes introduzem no Serviço, ou que as aplicações publicadas do Cliente recolhem: código-fonte e ficheiros do projeto, conversas com os agentes, tarefas e designs, variáveis e chaves guardadas, e os dados mantidos nas bases de dados, caches, filas e armazenamento de ficheiros do Cliente. «Subcontratante ulterior» é um subcontratante que o OneActor contrata para tratar Dados do Cliente.

2. Papéis e âmbito

2.1 O Cliente é o responsável pelo tratamento (ou um subcontratante que atua por conta do seu próprio responsável pelo tratamento) dos Dados do Cliente, e o OneActor é o seu subcontratante. Os pormenores do tratamento constam do Anexo 1.

2.2 O OneActor é responsável pelo tratamento, e não subcontratante, quanto aos dados de que precisa para gerir a sua própria atividade: contas, início de sessão, faturação, segurança e prevenção de abusos, apoio e a utilização agregada a partir da qual fatura. Esse tratamento está descrito na Política de Privacidade, não neste Acordo.

2.3 Se o próprio Cliente for subcontratante, garante que o seu responsável pelo tratamento autorizou este Acordo, incluindo os subcontratantes ulteriores do Anexo 3.

3. Instruções

3.1 O OneActor só trata os Dados do Cliente mediante instruções documentadas do Cliente, incluindo no que respeita a transferências para fora do EEE, salvo se o direito da União ou o direito português o obrigar a proceder de outra forma; nesse caso, o OneActor informa o Cliente antes do tratamento, salvo se esse direito o proibir.

3.2 Os Termos, este Acordo, a configuração do Serviço feita pelo Cliente e os pedidos do Cliente aos agentes (por exemplo, pedir-lhes que construam uma funcionalidade, publiquem uma versão ou apaguem um projeto) constituem as instruções completas do Cliente. Outras instruções exigem acordo escrito.

3.3 O OneActor informa o Cliente sem demora se considerar que uma instrução viola o RGPD ou outra legislação da União ou portuguesa em matéria de proteção de dados, e pode suspender a instrução até que seja confirmada ou alterada.

3.4 Os agentes atuam segundo as instruções do Cliente. O Cliente decide o que os agentes constroem e o que as suas aplicações fazem com dados pessoais. Os resultados dos agentes — código, esquemas de bases de dados, emails que uma aplicação envia — cabe ao Cliente rever; o OneActor não decide as finalidades das aplicações do Cliente.

4. Confidencialidade

O OneActor garante que todas as pessoas que autoriza a tratar Dados do Cliente estão sujeitas a um dever de confidencialidade, por contrato ou por lei. À data deste Acordo, essa pessoa é o gerente do OneActor e mais ninguém.

5. Segurança

5.1 O OneActor aplica as medidas técnicas e organizativas do Anexo 2, adequadas ao risco, como exige o artigo 32.º do RGPD, e pode alterá-las desde que o nível global de proteção não diminua.

5.2 Responsabilidade partilhada. O Cliente é responsável pela segurança do que as suas aplicações fazem: o seu código e as suas dependências (que os agentes escrevem segundo as instruções do Cliente), o seu controlo de acessos, as chaves que guarda, as pessoas que convida para a sua organização e as credenciais de acesso da sua própria conta. O OneActor é responsável pela plataforma subjacente.

6. Subcontratantes ulteriores

6.1 O Cliente dá ao OneActor autorização geral por escrito para contratar os subcontratantes ulteriores indicados no Anexo 3 e em oneactor.com/legal/subprocessors.

6.2 O OneActor informa o Cliente de qualquer aditamento ou substituição previstos pelo menos 30 dias antes de produzirem efeitos, por email aos proprietários da organização e na página de subcontratantes (onde qualquer pessoa pode pedir para ser avisada). O Cliente pode opor-se, por motivos razoáveis de proteção de dados, dentro desse prazo. Se as partes não conseguirem resolver a oposição, o Cliente pode pôr termo à parte do Serviço afetada e recebe o reembolso proporcional dos montantes pré-pagos e não utilizados correspondentes.

6.3 O OneActor impõe a cada subcontratante ulterior, por contrato, obrigações de proteção de dados que garantem pelo menos a proteção deste Acordo, em especial garantias suficientes quanto às medidas do artigo 32.º. O OneActor continua a ser responsável perante o Cliente pelo cumprimento dessas obrigações pelos seus subcontratantes ulteriores.

6.4 Fornecedores de modelos de IA. O Serviço envia os conteúdos em que um agente está a trabalhar (prompts, que podem incluir código-fonte, conversas e dados do espaço de trabalho do Cliente) ao fornecedor de modelos de IA que serve o modelo nesse momento. Os fornecedores constam do Anexo 3. O OneActor escolhe que fornecedor serve cada modelo e pode alterá-lo a qualquer momento entre os fornecedores indicados; o produto não mostra qual deles serviu um pedido. A conta de IA da própria organização é a exceção: quando os proprietários do Cliente ligam uma conta que o Cliente detém junto de um fornecedor de modelos de IA (cláusula 5.6 dos Termos), os modelos que escolheram são servidos por essa conta. Esse fornecedor atua ao abrigo do contrato do próprio Cliente com ele e não é um subcontratante ulterior do OneActor; o OneActor envia-lhe os conteúdos por instrução do Cliente, e o produto mostra essa conta ao Cliente.

6.5 Lojas de aplicações. A Apple e a Google, onde o Cliente publica as suas aplicações para telemóvel a partir das suas próprias contas de programador (cláusula 5.7 dos Termos), atuam ao abrigo dos contratos do próprio Cliente com elas e não são subcontratantes ulteriores do OneActor. O OneActor envia as versões para iPhone das aplicações do Cliente para a conta do App Store Connect do Cliente, por instrução do Cliente.

7. Transferências internacionais

7.1 O OneActor aloja o Serviço na União Europeia (região eu-central-1 da AWS, Frankfurt). Alguns subcontratantes ulteriores, nomeadamente os fornecedores de modelos de IA, tratam Dados do Cliente nos Estados Unidos ou noutros locais fora do EEE, como o Anexo 3 indica para cada um.

7.2 O OneActor só transfere Dados do Cliente para fora do EEE ao abrigo de um mecanismo do capítulo V do RGPD: uma decisão de adequação (incluindo o Quadro de Privacidade de Dados UE-EUA, para um destinatário certificado) ou as cláusulas contratuais-tipo da Decisão de Execução (UE) 2021/914 da Comissão (Módulo 3, de subcontratante para subcontratante), com uma avaliação do impacto da transferência e medidas suplementares quando necessário. Quando o OneActor contrata com a entidade do EEE de um subcontratante ulterior (por exemplo, a OpenAI Ireland Ltd ou a Amazon Web Services EMEA SARL), o próprio OneActor não faz qualquer transferência, e as transferências ulteriores do subcontratante estão abrangidas pelas garantias deste, que o OneActor verificou. O mecanismo de cada subcontratante ulterior consta do Anexo 3.

7.3 O OneActor não envia Dados do Cliente a fornecedores nem a endpoints situados na República Popular da China. Os modelos desenvolvidos por laboratórios chineses só são usados quando alojados por um fornecedor indicado situado fora da China.

7.4 Quando o Cliente estiver estabelecido fora do EEE, a devolução dos Dados do Cliente pelo OneActor ao Cliente é uma transferência de um subcontratante para um responsável pelo tratamento; as partes acordam o Módulo 4 das cláusulas contratuais-tipo quando a lei do Cliente exigir um mecanismo de transferência.

8. Assistência

8.1 Titulares dos dados. Tendo em conta a natureza do tratamento, o OneActor presta assistência ao Cliente, através de medidas técnicas e organizativas adequadas, para responder aos pedidos de exercício dos direitos dos titulares dos dados. A maior parte dos Dados do Cliente está nas próprias aplicações e bases de dados do Cliente, que este controla através do Serviço. Se o OneActor receber um pedido destinado ao Cliente, reencaminha-o sem lhe responder diretamente.

8.2 Segurança, violações, avaliações. O OneActor presta assistência ao Cliente no cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD, tendo em conta a informação de que o OneActor dispõe.

9. Violações de dados pessoais

9.1 O OneActor notifica o Cliente sem demora injustificada, e no máximo em 48 horas, depois de tomar conhecimento de uma violação de dados pessoais que afete Dados do Cliente, por email aos proprietários da organização, com a informação que o artigo 33.º, n.º 3, do RGPD exige, na medida em que esteja disponível, e com mais informação à medida que for ficando disponível.

9.2 A notificação de uma violação não constitui reconhecimento de culpa ou de responsabilidade.

10. Devolução e apagamento

10.1 Durante o Serviço, o Cliente pode apagar um projeto; os respetivos recursos de cloud, bases de dados e chaves guardadas são apagados de imediato, e o espaço de trabalho e o repositório git são mantidos durante 10 dias, para que o projeto possa ser restaurado, sendo depois apagados.

10.2 No fim do Serviço, o OneActor apaga os Dados do Cliente no prazo de 30 dias a contar do último dos seguintes momentos: o fim do período de recuperação previsto nos Termos, o fim da janela de restauro de 10 dias e o fim da conservação de 30 dias dos registos das aplicações, salvo se o direito da União ou o direito português exigir a sua conservação.

10.3 Antes do apagamento, o Cliente pode recuperar os Dados do Cliente diretamente, com uma exportação feita nas Settings do painel, como descrito nos Termos (localização dos dados e mudança de prestador).

11. Demonstração do cumprimento e auditorias

11.1 O OneActor disponibiliza ao Cliente a informação necessária para demonstrar o cumprimento do artigo 28.º: este Acordo, o Anexo 2, a lista de subcontratantes ulteriores e respostas a questionários escritos razoáveis, uma vez por ano.

11.2 Quando isso não for suficiente, ou uma autoridade de controlo o exigir, o Cliente pode auditar o OneActor, diretamente ou através de um auditor independente sujeito a confidencialidade, com um pré-aviso de 30 dias, durante o horário de expediente, a expensas do Cliente, no máximo uma vez por ano, salvo se uma violação justificar mais. As auditorias aos subcontratantes ulteriores consideram-se satisfeitas pelas respetivas certificações e relatórios, quando existam.

12. Responsabilidade e prevalência

A responsabilidade de cada parte ao abrigo deste Acordo está sujeita aos limites dos Termos, salvo quando o RGPD ou outra lei não permitam um limite. Se este Acordo contradisser os Termos em matéria de dados pessoais, prevalece este Acordo.

13. Duração

Este Acordo vigora enquanto o OneActor tratar Dados do Cliente e subsiste após o fim dos Termos até ao apagamento previsto na secção 10.

Anexo 1 — Pormenores do tratamento

Anexo 2 — Medidas técnicas e organizativas

Separação entre clientes

• O espaço de trabalho de cada projeto corre no seu próprio namespace e pod Kubernetes, com o seu próprio volume de armazenamento.
• A base de dados de cada projeto é um esquema PostgreSQL separado, com o seu próprio utilizador de acesso em cada ambiente (desenvolvimento, teste, produção), num cluster partilhado; a titularidade é verificada em cada pedido a partir da credencial de execução do projeto, e nenhum cliente pode criar objetos no esquema public partilhado.
• O acesso de cada projeto à cache é um utilizador ACL separado, restrito a um prefixo de chaves; as filas e o armazenamento de ficheiros são próprios de cada projeto e só são acessíveis à função (role) desse projeto.
• Os recursos de cloud do Cliente só são criados e apagados através da plataforma, que recusa tipos de recursos fora de um catálogo fechado.

Segredos

• As chaves e as variáveis são guardadas numa base de dados separada, cifradas com um esquema de cifragem de chaves (envelope) que usa chaves do AWS KMS associadas ao projeto e ao ambiente. Os valores de teste e de produção nunca são devolvidos a ninguém, incluindo a equipa do OneActor, e são injetados diretamente nas funções do Cliente.
• As palavras-passe das bases de dados são geradas pela plataforma, são diferentes em cada ambiente e nunca são mostradas.
• Uma conta de IA que o Cliente liga é acedida por federação de identidade de cargas de trabalho, sem que se guarde nenhuma chave dela: o gateway de IA troca um token de identidade de curta duração seu, que identifica a organização do Cliente, por um token de acesso de curta duração que guarda apenas em memória, nunca num espaço de trabalho, e que oculta nos seus registos.

Controlo de acessos

• As organizações dos clientes têm funções (proprietário, administrador, membro) e funções por projeto (leitor, programador, gestor); só um proprietário pode autorizar a produção.
• Cada publicação exige a ação de uma pessoa no painel; os agentes não podem autorizar a produção.
• As ferramentas de operação do OneActor funcionam separadamente da API usada pelos clientes, com o seu próprio início de sessão, funções e registo de auditoria.

Cifragem

• Em trânsito: HTTPS no site, no painel, na API e nos sites publicados.
• Em repouso: o armazenamento de ficheiros (Amazon S3) e as tabelas da plataforma no Amazon DynamoDB são cifrados pela AWS.

Contas

• Palavras-passe de 8 a 128 caracteres, verificadas contra palavras-passe comuns e fáceis de adivinhar, guardadas como hash bcrypt; ligações de reposição da palavra-passe de utilização única, válidas durante uma hora; sessões revogadas na reposição.
• As tentativas falhadas de início de sessão são limitadas por endereço e por cliente, e 100 tentativas falhadas seguidas bloqueiam a palavra-passe até ser reposta; a autenticação de dois fatores não é oferecida.
• O endereço de email de uma conta nova é confirmado com uma ligação de utilização única, válida durante 24 horas, antes de a conta poder criar projetos, pagar ou convidar alguém. É possível iniciar sessão com uma conta Google (OpenID Connect, apenas identidade, endereço e nome); uma conta sem palavra-passe confirma a sua eliminação, e a de um projeto com recursos de produção, iniciando de novo sessão na Google.

Operações

• Os registos das aplicações das funções do Cliente são conservados durante 30 dias. Os rastos dos pedidos de IA, que contêm prompts, estão desligados em produção.
• As versões são analisadas à procura de segredos expostos antes da publicação (a título indicativo); um agente de revisão de segurança, só de leitura, verifica as alterações arriscadas.
• Pessoal: uma pessoa, sujeita a confidencialidade.
• Resposta a incidentes: uma violação de dados pessoais é notificada ao Cliente como descreve a secção 9.

Apagamento

• Apagamento de projetos como na secção 10; os registos das aplicações expiram ao fim de 30 dias; os segredos são apagados com o projeto.

Anexo 3 — Subcontratantes ulteriores

A lista atual, com o papel, a localização e o mecanismo de transferência de cada subcontratante ulterior, é mantida em Subcontratantes e faz parte deste Anexo.