POSOUZENÍ DOPADU PŘENOSU

Poslední aktualizace: 19. března 2026

Toto Posouzení dopadu přenosu („PDP") bylo připraveno společností Acira AI LLC („Acira AI", „my", „nás") v souladu s požadavky rozsudku Soudního dvora Evropské unie ve věci Komisař pro ochranu osobních údajů v. Facebook Ireland Limited a Maximillian Schrems (věc C-311/18, „Schrems II") a doporučeními Evropského sboru pro ochranu osobních údajů (Doporučení EDPB 01/2020 o doplňkových opatřeních).

Toto PDP hodnotí přiměřenost ochrany osobních údajů přenášených z Evropského hospodářského prostoru („EHP"), Spojeného království, Švýcarska a Kanady do Spojených států amerických a dalších třetích zemí v souvislosti s poskytováním našich Služeb.

Toto PDP může být přeloženo do jiných jazyků pro vaše pohodlí. V případě jakéhokoli rozporu nebo nesouladu mezi anglickou verzí a jakoukoli přeloženou verzí bude mít anglická verze přednost.

OBSAH

1. PŘEHLED PŘENOSŮ
2. POVAHA PŘENÁŠENÝCH ÚDAJŮ
3. MECHANISMY PŘENOSU
4. POSOUZENÍ PRÁVNÍCH PŘEDPISŮ CÍLOVÉ ZEMĚ
5. POSOUZENÍ TOKŮ DAT PODLE POSKYTOVATELE SLUŽEB
6. DOPLŇKOVÁ OPATŘENÍ
7. POSOUZENÍ RIZIK
8. ZÁVĚR
9. HARMONOGRAM PŘEZKUMU
10. KONTAKTUJTE NÁS

1. PŘEHLED PŘENOSŮ

1.1 Kontext

Acira AI je platforma softwaru jako služby (SaaS), která umožňuje podnikům a jednotlivcům vytvářet, spravovat a hostovat webové stránky poháněné umělou inteligencí. Když uživatelé vytvářejí webové stránky, ke kterým přistupují návštěvníci nacházející se v EHP, Spojeném království, Švýcarsku nebo Kanadě, osobní údaje těchto návštěvníků mohou být přeneseny a zpracovávány ve Spojených státech amerických a na jiných místech, kde působí naši poskytovatelé infrastruktury.

1.2 Strany

• Vývozce údajů: Provozovatel webových stránek (náš zákazník, jednající jako Správce) a pro analytické údaje Acira AI jako Společný správce.
• Dovozce údajů: Acira AI LLC, zapsaná v Nevadě, USA, jednající jako Zpracovatel (a Společný správce pro analytiku).
• Dílčí zpracovatelé: Poskytovatelé služeb třetích stran zapojení společností Acira AI (uvedeni v Oddílu 5).

1.3 Destinace přenosů

2. POVAHA PŘENÁŠENÝCH ÚDAJŮ

2.1 Kategorie osobních údajů

Přenášené osobní údaje závisí na funkcích povolených provozovatelem webových stránek a na interakcích návštěvníků webových stránek. Mohou být přenášeny následující kategorie:

2.2 Kategorie subjektů údajů

• Návštěvníci webových stránek hostovaných na platformě Acira AI
• Uživatelé, kteří si vytvářejí účty na webových stránkách hostovaných na platformě
• Uživatelé, kteří odesílají formuláře, interagují s chatboty nebo nahrávají soubory na hostovaných webových stránkách

2.3 Nepřenášené údaje

• Geolokační data: Vyhledávání z IP na polohu provádí náš poskytovatel infrastruktury na okraji sítě. Žádné IP adresy návštěvníků nejsou předávány žádné externí geolokační službě.
• Nezpracované IP adresy analytiky: Ukládá se pouze každodenně rotující kryptografický hash; nezpracované IP adresy nejsou uchovávány v analytických systémech.
• Hesla v prostém textu: Ukládají a přenášejí se pouze kryptografické hashe.

3. MECHANISMY PŘENOSU

3.1 Primární mechanismus: Standardní smluvní doložky

Spoléháme se na Standardní smluvní doložky (SSD) Evropské komise přijaté prováděcím rozhodnutím Komise (EU) 2021/914, konkrétně:

• Modul jedna (Správce ke Správci): Pro přenosy analytických údajů, kde Acira AI jedná jako společný správce s provozovatelem webových stránek (viz oddíl 2.3 DPA).
• Modul dva (Správce ke Zpracovateli): Pro přenosy osobních údajů návštěvníků od provozovatele webových stránek (Správce) k Acira AI (Zpracovateli).
• Modul tři (Zpracovatel k Dílčímu zpracovateli): Pro následné přenosy z Acira AI k našim dílčím zpracovatelům.

3.2 Přenosy ze Spojeného království, Švýcarska a Kanady

• Spojené království: Platí adendum Spojeného království k mezinárodním přenosům dat k EU SSD.
• Švýcarsko: SSD se uplatňují s modifikacemi požadovanými švýcarským federálním zákonem o ochraně dat (FADP).
• Kanada: Přenosy se opírají o smluvní ochranu s každým dílčím zpracovatelem ukládající povinnosti v souladu se zákonem o ochraně osobních informací a elektronických dokumentech (PIPEDA) a příslušnými provinčními právními předpisy o ochraně soukromí, v kombinaci s doplňkovými technickými a organizačními opatřeními popsanými v Oddílu 6.

3.3 Mechanismy přenosu dílčích zpracovatelů

4. POSOUZENÍ PRÁVNÍCH PŘEDPISŮ CÍLOVÉ ZEMĚ

4.1 Spojené státy americké

Spojené státy americké jsou primárním místem určení pro přenášené údaje. Pro toto posouzení jsou relevantní následující americké právní předpisy:

4.1.1 Zákon o dozoru nad zahraniční zpravodajskou činností (FISA), oddíl 702

Oddíl 702 FISA opravňuje americkou vládu přinutit poskytovatele elektronických komunikačních služeb k poskytnutí přístupu ke komunikacím neamerických osob nacházejících se mimo Spojené státy americké pro účely zahraniční zpravodajské činnosti.

Posouzení rizika:

• Použitelnost: Oddíl 702 FISA se vztahuje na „poskytovatele elektronických komunikačních služeb" ve smyslu 50 U.S.C. § 1881(b)(4). Acira AI je platforma SaaS pro hostování webových stránek, nikoli tradiční poskytovatel telekomunikačních služeb. Naši dílčí zpracovatelé (AWS, Cloudflare) s větší pravděpodobností podléhají direktivám oddílu 702.
• Rozsah ohrožených údajů: Osobní údaje, které zpracováváme, sestávají především z analytiky návštěvníků webových stránek (pseudonymizované), odeslaných formulářů a chatbotových zpráv. Je nepravděpodobné, že by tyto údaje byly předmětem zájmu zahraniční zpravodajské činnosti.
• Praktická pravděpodobnost: Nikdy jsme neobdrželi direktivu oddílu 702 FISA a hodnotíme praktickou pravděpodobnost jejího obdržení jako velmi nízkou, vzhledem k povaze našich Služeb a údajů, které zpracováváme.

4.1.2 Výkonný příkaz 12333

Výkonný příkaz 12333 opravňuje americké zpravodajské agentury k provádění dohledových aktivit, včetně hromadného sběru zpravodajských informací ze signálů. Vztahuje se na data při přenosu a nenutí soukromé společnosti ke spolupráci.

Posouzení rizika:

• Zmírnění: Všechna data při přenosu jsou šifrována pomocí TLS. Hromadné zachycení šifrovaných dat při přenosu by nevydalo osobní údaje v prostém textu.
• Praktická pravděpodobnost: Nízká. Data zpracovávaná prostřednictvím našich Služeb nejsou povahy typicky zaměřované zpravodajstvím ze signálů.

4.1.3 Výkonný příkaz 14086 a rámec ochrany osobních údajů EU-USA

Výkonný příkaz 14086 (říjen 2022) zavedl další záruky pro aktivity zpravodajství ze signálů, včetně:

• Požadavků na nezbytnost a přiměřenost pro sběr zpravodajských informací
• Dvoustupňového mechanismu nápravy (Úředník pro ochranu občanských svobod + Soud pro přezkum ochrany údajů) dostupného pro osoby z EU/UK/Švýcarska
• Omezení hromadného sběru

Evropská komise přijala rozhodnutí o přiměřenosti pro rámec ochrany osobních údajů EU-USA (DPF) dne 10. července 2023. Ačkoli Acira AI v současné době není v rámci DPF samocertifikována, ochrany podle výkonného příkazu 14086 se vztahují obecně na všechny přenosy dat do Spojených států amerických a prospívají všem subjektům údajů bez ohledu na použitý mechanismus přenosu.

4.1.4 Zákon CLOUD

Zákon CLOUD (Clarifying Lawful Overseas Use of Data Act) umožňuje americkým orgánům činným v trestním řízení přinutit poskytovatele se sídlem v USA k předložení dat bez ohledu na to, kde jsou uložena, na základě platného příkazu nebo soudního příkazu.

Posouzení rizika:

• Záruky: Zákon CLOUD vyžaduje platný právní proces (příkaz, předvolání nebo soudní příkaz). Nepovoluje hromadný přístup bez příkazu.
• Ustanovení o zdvořilosti: Zákon CLOUD zahrnuje rámec zdvořilosti, který umožňuje poskytovatelům napadnout příkazy, které jsou v rozporu s cizím právem.
• Praktická pravděpodobnost: Nízká pro data návštěvníků webových stránek. Žádosti orgánů činných v trestním řízení by se s větší pravděpodobností zaměřily na konkrétní účty podezřelé z trestné činnosti, nikoli na analytiku návštěvníků nebo odeslaná formuláře.

4.2 Izrael (BrightData)

BrightData sídlí v Izraeli. Izrael má rozhodnutí o přiměřenosti od Evropské komise (2011/61/EU), což znamená, že přenosy do Izraele jsou zacházeny podobně jako přenosy v rámci EHP. BrightData však zpracovává data také v jiných globálních lokalitách. Uvádíme, že:

• Zpracování BrightData probíhá pouze na pokyn uživatele (při vytváření webových stránek pro import obsahu) nebo při plánovaném sledování SERP.
• Do BrightData nejsou přenášeny žádné osobní údaje návštěvníků webových stránek.

4.3 Kanada (Přenosy z Kanady do Spojených států amerických)

Osobní údaje návštěvníků webových stránek nacházejících se v Kanadě mohou být přeneseny do Spojených států amerických ke zpracování. Pro toto posouzení jsou relevantní následující kanadské právní předpisy:

4.3.1 Zákon o ochraně osobních informací a elektronických dokumentech (PIPEDA)

PIPEDA upravuje shromažďování, používání a zveřejňování osobních informací soukromými organizacemi v průběhu komerčních aktivit. Zásada 4.1.3 PIPEDA vyžaduje, aby organizace používaly smluvní nebo jiné prostředky k zajištění srovnatelné úrovně ochrany, když jsou osobní informace přenášeny třetím stranám ke zpracování, včetně přenosů mimo Kanadu.

Posouzení rizika:

• Srovnatelná ochrana: Doplňková opatření popsaná v Oddílu 6 (šifrování, pseudonymizace, kontroly přístupu, minimalizace dat) poskytují úroveň ochrany srovnatelnou s požadovanou podle PIPEDA. Se všemi dílčími zpracovateli jsou uzavřeny písemné smlouvy o zpracování dat.
• Žádný požadavek na přiměřenost: Na rozdíl od GDPR PIPEDA nezakazuje přenosy do zemí, které nemají zjištění o „přiměřenosti". Organizace musí zajistit srovnatelnou ochranu prostřednictvím smluvních a jiných prostředků, což jsme zavedli.

4.3.2 Provinční právní předpisy o ochraně soukromí

Zákon o ochraně osobních informací (PIPA) Alberty, Zákon o ochraně osobních informací (PIPA) Britské Kolumbie a québecký Zákon o ochraně osobních informací v soukromém sektoru ukládají další požadavky pro určité provincie:

Posouzení rizika:

• Zákon 25 Québecu: Modernizovaný zákon o ochraně soukromí Québecu (v platnosti od září 2023) vyžaduje posouzení dopadu na soukromí před přenosem osobních informací mimo Québec a přenášející organizace musí být spokojena s tím, že informace obdrží přiměřenou ochranu. Naše smluvní ochrany, doplňková technická opatření a povaha údajů (převážně pseudonymizovaná analytika a interakce návštěvníků webových stránek malých podniků) podporují zjištění přiměřené ochrany.
• Alberta a BC: PIPA Alberty a BC vyžaduje, aby organizace zajistily srovnatelnou ochranu přenášených údajů. Naše smluvní a technické záruky splňují tento požadavek.

4.3.3 Přístup vlády USA z kanadské perspektivy

Stejná rizika přístupu vlády USA posouzená v Oddílu 4.1 se vztahují na kanadské přenosy dat. Nízká pravděpodobnost vládního přístupu (vzhledem k povaze dat a profilu naší společnosti), v kombinaci s doplňkovými opatřeními v Oddílu 6, zajišťuje, že osobní údaje přenášené z Kanady do Spojených států amerických obdrží srovnatelnou úroveň ochrany s požadovanou podle kanadského práva na ochranu soukromí.

4.4 Globální edge lokality (Cloudflare)

Cloudflare provozuje globální síť hraničních lokalit. Požadavky návštěvníků z EU jsou obvykle zpracovávány v nejbližším místě přítomnosti Cloudflare, které bude pro návštěvníky z EU obvykle lokací v EU.

• Směrování požadavků, ukončení TLS a ochrana před boty probíhají v nejbližší edge lokalitě.
• Pro provozovatele webových stránek identifikované jako obyvatele EU je trvalé úložiště (obsahující odeslané formuláře, konverzace chatbota a data relací) jurisdikčně omezeno na Evropskou unii pomocí rozhraní API jurisdikce Cloudflare. Pro provozovatele webových stránek mimo EU se trvalé úložiště nachází blízko geografického regionu provozovatele, ale může být mimo EU.
• Analytická data jsou zpracovávána na infrastruktuře spravované Cloudflare.

5. POSOUZENÍ TOKŮ DAT PODLE POSKYTOVATELE SLUŽEB

5.1 Amazon Web Services (USA)

Záruky AWS:

• Certifikovaný ISO 27001, 27017, 27018
• K dispozici zprávy SOC 1/2/3
• Data šifrovaná v klidu pomocí průmyslově standardního šifrování
• Data šifrována při přenosu (TLS)
• Přístupové kontroly s nejmenšími oprávněními pro každou komponentu systému
• Hlavní služby jsou hostovány ve Spojených státech; automatizované operace zaměřené na návštěvníky (oznámení o odeslání obsahu a transakční doručování e-mailů) pro provozovatele webových stránek s bydlištěm v EU jsou zpracovávány v Evropské unii (Stockholm)

5.2 Cloudflare (Globální)

Záruky Cloudflare:

• Certifikovaný ISO 27001, SOC 2 typ II
• TLS 1.2+ pro všechna připojení
• K dispozici Cloudflare DPA se SSD
• Edge zpracování znamená, že data návštěvníků z EU jsou pro zpracování požadavků obvykle zpracovávána v edge lokalitách v EU
• Pro provozovatele webových stránek identifikované jako rezidenty EU je trvalé úložiště (obsahující odeslané formuláře, konverzace chatbotů, data relací a data uživatelských tabulek) jurisdikčně omezeno na Evropskou unii pomocí jurisdikčního API Cloudflare, což zajišťuje, že tato data jsou ukládána a zpracovávána výhradně v datových centrech EU. Backendová volání API z okraje (pro oznámení o odeslání obsahu a transakční doručování e-mailů) jsou směrována na infrastrukturu AWS v EU.
• Inference AI neuchovává vstupní data pro trénování

5.3 Stripe (USA)

Poznámka: Stripe neobdrží osobní údaje návštěvníků webových stránek. Stripe zpracovává pouze fakturační informace provozovatele webových stránek (našeho zákazníka).

Záruky Stripe:

• Certifikovaný PCI DSS úroveň 1
• Certifikovaný ISO 27001
• K dispozici Stripe DPA se SSD

5.4 Poskytovatelé inference AI (USA)

Fireworks AI a xAI poskytují služby inference modelů AI.

Poznámka: Tito poskytovatelé AI neobdrží osobní údaje návštěvníků webových stránek. Funkce chatbotu (obsluhující návštěvníky webových stránek) používá Cloudflare Workers AI (posouzeno v Oddílu 5.2), nikoli tyto poskytovatele. Konverzační AI asistent platformy však — používaný provozovateli webových stránek ke správě jejich webových stránek — zasílá těmto poskytovatelům osobní údaje uživatelů platformy (jméno, e-mailovou adresu a historii konverzací) jako součást generování odpovědí.

Rodiny modelů: Tito poskytovatelé infrastruktury hostují a spouštějí modely AI vyvinuté různými třetími stranami. Konkrétní modely a rodiny modelů, které jsou používány, se mohou v průběhu času měnit. Vývojáři modelů neobdrží uživatelská data ani k nim nemají přístup — veškeré zpracování dat probíhá výhradně v infrastruktuře uvedených subzpracovatelů, bez ohledu na to, kde byl model původně vyvinut. Veškeré zpracování inference AI zůstává v infrastruktuře našich uvedených subzpracovatelů. Žádná uživatelská data nejsou předávána vývojářům modelů ani infrastruktuře mimo subzpracovatele uvedené v tomto hodnocení. Aktuální seznam používaných rodin modelů je k dispozici na vyžádání kontaktováním legal@acira.ai.

5.5 BrightData (Izrael / Globální)

Poznámka: BrightData nezpracovává osobní údaje návštěvníků webových stránek.

5.6 Poskytovatelé v EU (Bez přenosu)

Tito poskytovatelé zpracovávají data v rámci EU a nepředstavují mezinárodní přenos.

6. DOPLŇKOVÁ OPATŘENÍ

Kromě SSD zavádíme následující doplňková opatření k zajištění v podstatě rovnocenné úrovně ochrany přenášených osobních údajů:

6.1 Technická opatření

6.2 Organizační opatření

6.3 Smluvní opatření

7. POSOUZENÍ RIZIK

7.1 Pravděpodobnost vládního přístupu

Celková pravděpodobnost: NÍZKÁ

7.2 Dopad v případě přístupu

Celkový dopad: NÍZKÝ AŽ STŘEDNÍ (v závislosti na citlivosti dat shromážděných jednotlivými provozovateli webových stránek)

7.3 Posouzení zbytkového rizika

Vzhledem k nízké pravděpodobnosti vládního přístupu, doplňkovým technickým opatřením (šifrování, pseudonymizace, minimalizace dat) a dalším zárukám zavedeným výkonným příkazem 14086 hodnotíme, že zbytkové riziko pro subjekty údajů je nízké a že doplňková opatření spolu se SSD (pro přenosy z EHP/UK/Švýcarska) a smluvními ochranami (pro kanadské přenosy) poskytují úroveň ochrany v podstatě rovnocennou té zaručené v rámci EHP a srovnatelnou s požadavky kanadského práva na ochranu soukromí.

8. ZÁVĚR

Na základě tohoto posouzení dospíváme k závěru, že:

1. Osobní údaje přenášené z EHP/UK/Švýcarska/Kanady do Spojených států amerických v souvislosti s poskytováním našich Služeb požívají v podstatě rovnocenné úrovně ochrany zaručené právem EU o ochraně osobních údajů a srovnatelné úrovně ochrany požadované kanadským právem na ochranu soukromí.

2. Standardní smluvní doložky v kombinaci s doplňkovými technickými, organizačními a smluvními opatřeními popsanými v Oddílu 6 přiměřeně řeší rizika identifikovaná v tomto posouzení.

3. Povaha dat (převážně pseudonymizovaná analytika a interakce návštěvníků webových stránek malých podniků) a profil dovozce dat (malá společnost SaaS) výrazně snižují praktické riziko vládního dohledu.

4. Ochrany zavedené výkonným příkazem 14086 a přidruženým mechanismem nápravy poskytují další záruky, z nichž těží všechny subjekty údajů bez ohledu na použitý konkrétní mechanismus přenosu.

5. Pro kanadské přenosy smluvní ochrany a doplňková opatření popsaná v tomto dokumentu zajišťují srovnatelnou úroveň ochrany s požadovanou podle PIPEDA a příslušných provinčních právních předpisů o ochraně soukromí, včetně modernizovaného québeckého zákona o ochraně soukromí.

6. Budeme nadále sledovat vývoj v americkém právu a praxi dohledu, jakož i vývoj v kanadském právu na ochranu soukromí (včetně navrhovaného zákona o ochraně soukromí spotřebitelů), a přehodnotíme toto PDP, pokud se okolnosti materiálně změní.

Přenosy mohou pokračovat za podmínky dalšího uplatňování SSD a doplňkových opatření popsaných v tomto dokumentu.

9. HARMONOGRAM PŘEZKUMU

Toto PDP bude přezkoumáno a aktualizováno:

• Každoročně, minimálně, nebo
• Při materiálních změnách příslušných zákonů nebo předpisů,
• Při změnách našich dílčích zpracovatelů nebo povahy přenášených dat,
• Při jakémkoli soudním rozhodnutí, které materiálně ovlivní platnost SSD nebo přiměřenost americké ochrany dat.

10. KONTAKTUJTE NÁS

Máte-li dotazy týkající se tohoto Posouzení dopadu přenosu, kontaktujte nás na:

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
Spojené státy americké

Telefon: 888-389-1189
E-mail: legal@acira.ai