Segurança
Seus dados continuam sendo seus.
Echo lê respostas da IA sobre sua marca, não os dados privados dos seus clientes. O que você fornece fica armazenado na Europa Ocidental, separado dos demais espaços de trabalho, e só é enviado aos serviços necessários para executar o trabalho. Veja exatamente como.
- Stored in Western EuropeDatabase and files in Cloudflare's Western Europe region.
- No passwordsSign in with Google or a one-time email link.
- GDPR compliantRun from Berlin, with a public data processing agreement.
- EU AI Act compliantAI writes drafts; a person approves before anything goes live.
Hospedagem e dados.
Echo funciona inteiramente na Cloudflare, com seus dados armazenados na Europa Ocidental.
- Cloudflare, de ponta a pontaO aplicativo roda no Cloudflare Workers, o banco de dados no Cloudflare D1 e os arquivos no Cloudflare R2. Nenhuma outra hospedagem.
- Armazenado na Europa OcidentalO banco de dados e os arquivos ficam na região da Europa Ocidental da Cloudflare. As solicitações são atendidas pelo data center mais próximo, sob o acordo de tratamento de dados da Cloudflare.
- Criptografado em trânsito e em repousoTodas as conexões usam apenas HTTPS. A Cloudflare criptografa o banco de dados e os arquivos em repouso.
- Chaves protegidas por duas camadasAs chaves e os tokens que você conecta são criptografados novamente pelo Echo com AES-256-GCM e nunca mais são exibidos. As chaves de API da própria API do Echo são armazenadas apenas como uma impressão digital.
- Backups por 30 diasO banco de dados mantém backups automáticos de pontos no tempo por 30 dias, permitindo a restauração após um erro ou uma falha.
Acesso.
Só as pessoas certas veem um espaço de trabalho, e ninguém precisa de senha.
- Sem senhasEntre com o Google ou com um link de uso único enviado ao seu email. Não há senha para vazar ou reutilizar.
- Sessões que terminamAs sessões terminam após 7 dias sem uso. Links de acesso e convites expiram, e os emails de acesso têm limite de frequência.
- Proprietários e membrosSó proprietários gerenciam cobranças, chaves de API, webhooks e a exclusão do espaço de trabalho. Convidados em Ativos da marca veem apenas o que foi compartilhado com eles.
- Espaços de trabalho separadosCada solicitação verifica se o recurso solicitado pertence ao espaço de trabalho da pessoa conectada, e testes automatizados conferem isso a cada alteração.
- Sua própria chave da OpenAIUm espaço de trabalho pode executar rascunhos e o agente usando sua própria conta OpenAI. A chave é criptografada; removê-la a exclui imediatamente.
- Sem precisar procurar emNinguém no Echo acessa seu espaço de trabalho, a menos que você peça suporte, que seja necessário por segurança ou que a lei exija.
IA e a Lei de IA da UE.
O Echo está em conformidade com a Lei de IA da UE: a IA cria rascunhos, uma pessoa decide.
- Apenas APIs de IA BusinessEcho usa modelos da OpenAI, Anthropic, Google, Perplexity e xAI por meio das APIs empresariais dessas empresas. Nenhuma delas pode treinar seus modelos com o que Echo envia.
- Não é um sistema de alto riscoEcho lê respostas públicas da IA e escreve rascunhos de marketing. Não toma decisões sobre pessoas.
- Rascunhos, claramente identificadosTudo o que o Echo escreve começa em revisão, mostra a origem das informações e marca como "Confira isto" os números que não consegue verificar nos seus dados.
- Uma pessoa aprovaAs páginas entram como rascunhos na sua plataforma de criação de sites, e a prospecção é feita por você. O Echo nunca publica, posta ou envia emails fora do seu espaço de trabalho por conta própria.
- Cada chamada de IA registradaO agente e os recursos de IA se identificam como IA, e cada chamada à IA é registrada com seu custo para você ver o que foi executado.
GDPR.
O Echo está em conformidade com o GDPR e opera a partir de Berlim, sob as leis de proteção de dados da UE.
- Funções clarasPara sua conta, Echo é o controlador. Para os dados que seu espaço de trabalho adiciona sobre outras pessoas (leads, contatos, visitantes), sua empresa é a controladora e Echo é o operador.
- Um DPA públicoO acordo de tratamento de dados (Art. 28 do GDPR) se aplica a todos os espaços de trabalho sem precisar assinar nada.
- Exportar e excluirExporte a maioria das tabelas como CSV. Exclua sua conta em Configurações → Conta; os espaços de trabalho usados apenas por você também serão excluídos imediatamente.
- O mínimo possívelSem endereços IP coletados pela tag do Echo, sem cookies para seus visitantes e sem dados pessoais nas visitas dos rastreadores de IA.
- Seus direitos, por e-mailPeça acesso, correção ou exclusão a qualquer momento. Você também pode apresentar uma reclamação a uma autoridade de proteção de dados.
Serviços usados pelo Echo.
Esses fornecedores processam dados para o Echo sob contratos de processamento de dados. As ferramentas que você conecta por conta própria (Google Analytics, HubSpot, Attio, Framer, Webflow, WordPress, Slack, Claude ou ChatGPT) só recebem dados depois que você as conecta, conforme os termos que você tem com elas.
| Provider | What for | What it receives | Where |
|---|---|---|---|
| CloudflareCloudflare, Inc., USA | Hosting, database, file storage, email forwarding, protection against attacks | Everything stored in Echo: accounts, workspaces and their data, files | Worldwide network; EU-US Data Privacy Framework and Standard Contractual Clauses |
| ResendResend, Inc., USA | Sending Echo's emails (sign-in links, reports, alerts, invites) | Recipient's email address and the email's content | USA; Standard Contractual Clauses |
| OpenAIOpenAI, L.L.C., USA | ChatGPT's answers, analysis of answers and websites, drafts, the Echo agent | Brand details, prompts, website text; for the agent, the chat and members' names (never email addresses). Not used for training | USA; Standard Contractual Clauses |
| AnthropicAnthropic PBC, USA | Claude's answers to the prompts | The prompts and the country they're asked from, nothing about people | USA; Standard Contractual Clauses |
| PerplexityPerplexity AI, Inc., USA | Perplexity's answers to the prompts | The prompts and the country they're asked from, nothing about people | USA; Standard Contractual Clauses |
| GoogleGoogle Ireland Ltd., Ireland | Gemini's answers (paid Gemini API); Sign in with Google | The prompts and their country; for sign-in, name, email address and profile picture | EU and USA; EU-US Data Privacy Framework |
| xAIX.AI LLC, USA | Grok's answers to the prompts | The prompts, nothing about people | USA; Standard Contractual Clauses |
| DataForSEODataForSEO (dataforseo.com) | Google's AI Overviews and AI Mode, SEO data, competitors' Google ads, Google searches for Mentions, Google listings and reviews | Prompts, keywords, website addresses and their country and language, nothing about people | Standard Contractual Clauses where data leaves the EU |
| Brave SearchBrave Software, Inc., USA | Whether Brave's search has the brand's pages, and where the brand ranks there for its tracked keywords | Website addresses, page titles and tracked keywords; nothing about people | USA; Standard Contractual Clauses |
| StripeStripe Payments Europe, Ltd., Ireland | Payments, invoices and VAT | Billing name, email and address, VAT ID; card details go straight to Stripe | EU and USA; EU-US Data Privacy Framework and Standard Contractual Clauses |
- CloudflareCloudflare, Inc., USA
- What for
- Hosting, database, file storage, email forwarding, protection against attacks
- What it receives
- Everything stored in Echo: accounts, workspaces and their data, files
- Where
- Worldwide network; EU-US Data Privacy Framework and Standard Contractual Clauses
- ResendResend, Inc., USA
- What for
- Sending Echo's emails (sign-in links, reports, alerts, invites)
- What it receives
- Recipient's email address and the email's content
- Where
- USA; Standard Contractual Clauses
- OpenAIOpenAI, L.L.C., USA
- What for
- ChatGPT's answers, analysis of answers and websites, drafts, the Echo agent
- What it receives
- Brand details, prompts, website text; for the agent, the chat and members' names (never email addresses). Not used for training
- Where
- USA; Standard Contractual Clauses
- AnthropicAnthropic PBC, USA
- What for
- Claude's answers to the prompts
- What it receives
- The prompts and the country they're asked from, nothing about people
- Where
- USA; Standard Contractual Clauses
- PerplexityPerplexity AI, Inc., USA
- What for
- Perplexity's answers to the prompts
- What it receives
- The prompts and the country they're asked from, nothing about people
- Where
- USA; Standard Contractual Clauses
- GoogleGoogle Ireland Ltd., Ireland
- What for
- Gemini's answers (paid Gemini API); Sign in with Google
- What it receives
- The prompts and their country; for sign-in, name, email address and profile picture
- Where
- EU and USA; EU-US Data Privacy Framework
- xAIX.AI LLC, USA
- What for
- Grok's answers to the prompts
- What it receives
- The prompts, nothing about people
- Where
- USA; Standard Contractual Clauses
- DataForSEODataForSEO (dataforseo.com)
- What for
- Google's AI Overviews and AI Mode, SEO data, competitors' Google ads, Google searches for Mentions, Google listings and reviews
- What it receives
- Prompts, keywords, website addresses and their country and language, nothing about people
- Where
- Standard Contractual Clauses where data leaves the EU
- Brave SearchBrave Software, Inc., USA
- What for
- Whether Brave's search has the brand's pages, and where the brand ranks there for its tracked keywords
- What it receives
- Website addresses, page titles and tracked keywords; nothing about people
- Where
- USA; Standard Contractual Clauses
- StripeStripe Payments Europe, Ltd., Ireland
- What for
- Payments, invoices and VAT
- What it receives
- Billing name, email and address, VAT ID; card details go straight to Stripe
- Where
- EU and USA; EU-US Data Privacy Framework and Standard Contractual Clauses
Todos os detalhes, incluindo por quanto tempo cada item é mantido, estão na política de privacidade.
Informe um problema.
Found a security problem? Write to security@echo-aeo.com with what you found and how to see it. We answer within two working days, fix what's real and credit you if you like. Please give us time to fix it before telling others, and don't access other people's data or disrupt the service while testing.
FAQ
Questions.
O Echo tem certificação SOC 2 ou ISO 27001?
Ainda não. O Echo é uma empresa jovem e não afirma ter certificações que não possui. Esta página descreve o que o Echo realmente faz. Escreva para nós se quiser enviar um questionário de segurança ou marcar uma conversa.
Onde meus dados são armazenados?
Na região da Cloudflare na Europa Ocidental (banco de dados e arquivos). A Cloudflare responde às solicitações pelo data center mais próximo, e os provedores de IA que respondem aos prompts ficam nos EUA, sob as Cláusulas Contratuais Padrão da UE e, quando certificados, o Quadro de Privacidade de Dados UE-EUA.
Os provedores de IA treinam modelos com nossos dados?
Não. O Echo usa APIs comerciais cujos termos impedem o uso dos dados da API para treinamento. Os prompts enviados pelo Echo não contêm dados pessoais, e o agente nunca envia endereços de e-mail.
Podemos assinar um acordo de tratamento de dados?
Sim. O acordo de processamento de dados do Echo está disponível publicamente em /dpa e se aplica a todos os espaços de trabalho sem precisar assinar nada. Fale com a gente se precisar de uma cópia assinada.
O Echo pode publicar no nosso site?
Só quando um membro do seu espaço de trabalho clica em Publicar e confirma. Todo o resto entra como rascunho na sua plataforma de criação de sites.