Este Acordo de Tratamento de Dados ("DPA") faz parte do contrato entre a RENVAR INC ("Elai", "subcontratante") e um cliente comercial ou empresarial ("cliente", "responsável pelo tratamento") que utiliza o Elai Marketplace para gerir Agentes de IA, Colaboradores digitais ou frotas de robôs físicos em nome dos seus próprios utilizadores finais ou trabalhadores. Aplica-se quando o cliente atua na qualidade de responsável pelo tratamento e a Elai trata dados pessoais em nome e de acordo com as instruções do cliente.
1. Funções
Relativamente aos dados pessoais que o cliente submete à Plataforma ou através dela em nome dos seus próprios utilizadores (por exemplo, os dados de entrada de tarefas enviados a um Agente instalado, ou os registos das instalações dos seus trabalhadores), o cliente é o responsável pelo tratamento e a Elai é a subcontratante. Relativamente à relação de conta/faturação da própria Elai com o cliente, a Elai atua como responsável pelo tratamento independente — consulte a nossa Política de Privacidade.
2. Objeto e duração
O tratamento abrange os dados pessoais submetidos através da Plataforma durante a vigência da subscrição ativa do cliente, acrescida de qualquer período de conservação após a cessação descrito na Secção 7.
3. Natureza e finalidade do tratamento
- Operar as instalações de Agentes, os limites de despesa e os Agent Passports em nome do cliente;
- Encaminhar os dados de entrada de tarefas para o fornecedor de modelo de IA configurado através do AI Gateway da Plataforma para gerar as saídas do Agente;
- Manter o registo de auditoria das ações realizadas sob a conta do cliente;
- Faturação e medição da utilização.
4. Subcontratantes subsequentes
Atualmente, a Elai recorre aos seguintes subcontratantes subsequentes designados:
- Stripe (Estados Unidos) — processamento de cartões de pagamento e armazenamento de cartões guardados.
- YooKassa (Rússia) — processamento de pagamentos para transações em rublos russos.
- SendGrid (Estados Unidos) — entrega de e-mails transacionais (notificações de conta, encomendas e litígios).
- Twilio (Estados Unidos) — entrega de SMS, apenas para utilizadores que tenham consentido em receber notificações por SMS.
- Sentry (Estados Unidos) — monitorização de erros e falhas da aplicação, que pode captar incidentalmente um identificador de conta ou um endereço de e-mail num relatório de falha.
- Um fornecedor de modelo de IA (por exemplo, OpenAI), acedido através do AI Gateway autoalojado da Elai — recebe o texto da tarefa com o qual um Agente instalado do cliente é invocado, a fim de gerar a saída do Agente. A Elai não envia ao fornecedor do modelo credenciais de conta nem dados de pagamento.
Esta lista reflete as integrações ativadas numa determinada implementação; um operador de implementação que não tenha configurado as credenciais de um determinado fornecedor não utiliza esse subcontratante subsequente. Atualizaremos esta lista caso adicionemos uma nova categoria de subcontratante subsequente.
5. Medidas de segurança
A Elai mantém as seguintes medidas técnicas e organizativas:
- As palavras-passe são cifradas com uma derivação scrypt com sal; a Elai nunca armazena uma palavra-passe em texto simples.
- Autenticação de dois fatores opcional (TOTP) com códigos de recuperação de utilização única.
- Controlo de acesso baseado em funções (funções de comprador/programador/administrador) aplicado em cada rota de API autenticada, além de credenciais de API de âmbito restrito (Agent Passports) com limites de despesa configuráveis para as instalações de Agentes de IA.
- Um registo de auditoria apenas de adição que regista o ator, a ação e o resultado das ações de conta e de administração.
- Limitação de taxa nos pontos de extremidade de autenticação e de API, suportada pelo Redis quando disponível.
- Cifragem TLS em trânsito para todo o tráfego para a Plataforma (aprovisionada automaticamente através do Let's Encrypt).
- Análise automática do conteúdo dos anúncios em busca de padrões conhecidos de injeção de prompt e de comandos maliciosos.
- Ferramentas de autosserviço para exportação de dados e eliminação de conta (consulte a nossa Política de Privacidade).
Atualmente, a Elai não cifra os dados em repouso ao nível da aplicação e não obteve uma certificação de segurança de terceiros (por exemplo, SOC 2, ISO 27001). Se qualquer uma destas questões for importante para o seu caso de utilização, contacte-nos através dos dados da Secção 10 antes de confiar na Plataforma para esse fim.
6. Transferências internacionais
A Plataforma é executada num servidor autoalojado cuja região de alojamento é escolhida pelo operador de implementação e não está fixada a um país ou região de nuvem específicos ao abrigo do presente Acordo. Atualmente, a Elai não recorre a um mecanismo formal de transferência transfronteiriça (como as Cláusulas Contratuais-Tipo), uma vez que aqui não é garantido qualquer corredor de transferência fixo. Se a sua utilização da Plataforma exigir que os dados permaneçam dentro de uma determinada jurisdição, ou sejam transferidos ao abrigo de uma garantia específica para esta, contacte-nos através dos dados da Secção 10 antes de confiar na Plataforma para esse requisito.
7. Eliminação e devolução de dados
Na cessação da subscrição do cliente, a Elai, a pedido do cliente, eliminará ou devolverá os dados pessoais tratados em nome do cliente, sem prejuízo de qualquer conservação exigida por lei.
8. Assistência com pedidos dos titulares dos dados
A Elai prestará ao cliente assistência razoável na resposta aos pedidos dos titulares dos dados (acesso, retificação, eliminação, portabilidade) relativos aos dados pessoais tratados ao abrigo do presente DPA.
9. Direitos de auditoria
Mediante pedido escrito razoável, não mais do que uma vez por período de doze meses, a Elai facultará ao cliente as informações de segurança e de tratamento razoavelmente necessárias para confirmar o cumprimento pela Elai do presente DPA (por exemplo, uma descrição escrita das medidas da Secção 5). Atualmente, a Elai não dispõe de uma certificação de segurança de terceiros para oferecer em vez de uma auditoria direta e, de momento, não oferece auditorias no local.
10. Contacto
Questões sobre o tratamento de dados / o DPA: renvar.inc@gmail.com.