VURDERING AF OVERFØRSELSVIRKNING

Sidst opdateret: 19. marts 2026

Denne Vurdering af Overførselsvirkning ("VOV") er udarbejdet af Acira AI LLC ("Acira AI", "vi", "os") i overensstemmelse med kravene i Den Europæiske Unions Domstols afgørelse i sagen Databeskyttelseskommissær mod Facebook Ireland Limited og Maximillian Schrems (Sag C-311/18, "Schrems II") og anbefalingerne fra Det Europæiske Databeskyttelsesråd (EDPB-anbefalinger 01/2020 om supplerende foranstaltninger).

Denne VOV vurderer tilstrækkeligheden af beskyttelsen for personoplysninger, der overføres fra Det Europæiske Økonomiske Samarbejdsområde ("EØS"), Det Forenede Kongerige, Schweiz og Canada til USA og andre tredjelande i forbindelse med levering af vores Tjenester.

Denne VOV kan oversættes til andre sprog for din bekvemmelighed. I tilfælde af konflikt eller uoverensstemmelse mellem den engelske version og en oversat version, vil den engelske version have forrang.

INDHOLDSFORTEGNELSE

1. OVERSIGT OVER OVERFØRSLER
2. ARTEN AF DE OVERFØRTE DATA
3. OVERFØRSELSMEKANISMER
4. VURDERING AF DESTINATIONSLANDETS LOVGIVNING
5. VURDERING AF DATASTRØMME PR. TJENESTEUDBYDER
6. SUPPLERENDE FORANSTALTNINGER
7. RISIKOVURDERING
8. KONKLUSION
9. REVISIONSPLAN
10. KONTAKT OS

1. OVERSIGT OVER OVERFØRSLER

1.1 Kontekst

Acira AI er en Software-as-a-Service-platform, der giver virksomheder og enkeltpersoner mulighed for at oprette, administrere og hoste AI-drevne websteder. Når brugere opretter websteder, som besøgende fra EØS, Det Forenede Kongerige, Schweiz eller Canada tilgår, kan personoplysninger om disse besøgende overføres til og behandles i USA og andre steder, hvor vores infrastrukturudbydere opererer.

1.2 Parter

• Dataeksportør: Webstedsoperatøren (vores kunde, der handler som Dataansvarlig) og for analysedata Acira AI som Fælles dataansvarlig.
• Dataimportør: Acira AI LLC, registreret i Nevada, USA, der handler som Databehandler (og Fælles dataansvarlig for analyser).
• Underdatabehandlere: Tredjepartsudbydere engageret af Acira AI (angivet i Afsnit 5).

1.3 Overførselsdestinationer

2. ARTEN AF DE OVERFØRTE DATA

2.1 Kategorier af personoplysninger

De overførte personoplysninger afhænger af de funktioner, som webstedsoperatøren aktiverer, og af webstedsbesøgendes interaktioner. Følgende kategorier kan overføres:

2.2 Kategorier af registrerede

• Besøgende på websteder hostet på Acira AI-platformen
• Brugere, der opretter konti på websteder hostet på platformen
• Brugere, der indsender formularer, interagerer med chatbots eller uploader filer på hostede websteder

2.3 Data, der ikke overføres

• Geolokationsdata: IP-til-placering-opslag udføres ved netværkskanten af vores infrastrukturudbyder. Ingen besøgendes IP-adresser transmitteres til nogen ekstern geolokationstjeneste.
• Rå analytiske IP-adresser: Kun en dagligt roterende kryptografisk hash gemmes; rå IP'er bevares ikke i analysesystemer.
• Adgangskoder i klartekst: Kun kryptografiske hashes gemmes og overføres.

3. OVERFØRSELSMEKANISMER

3.1 Primær mekanisme: Standardkontraktbestemmelser

Vi baserer os på Europa-Kommissionens Standardkontraktbestemmelser (SKB) vedtaget ved Kommissionens gennemførelsesafgørelse (EU) 2021/914, specifikt:

• Modul et (Dataansvarlig til Dataansvarlig): For overførsler af analysedata, hvor Acira AI handler som fælles dataansvarlig med webstedsoperatøren (se DPA afsnit 2.3).
• Modul to (Dataansvarlig til Databehandler): For overførsler af besøgendes personoplysninger fra webstedsoperatøren (Dataansvarlig) til Acira AI (Databehandler).
• Modul tre (Databehandler til Underdatabehandler): For videreoverførsler fra Acira AI til vores underdatabehandlere.

3.2 UK-, schweiziske og canadiske overførsler

• UK: UK International Data Transfer Addendum til EU SKB finder anvendelse.
• Schweiz: SKB finder anvendelse med de ændringer, der kræves af den schweiziske forbundslov om databeskyttelse (FADP).
• Canada: Overførsler baserer sig på kontraktlige beskyttelsesforanstaltninger med hver underdatabehandler, der pålægger forpligtelser i overensstemmelse med loven om beskyttelse af personlige oplysninger og elektroniske dokumenter (PIPEDA) og gældende provincial privatlivslovgivning kombineret med de supplerende tekniske og organisatoriske foranstaltninger beskrevet i Afsnit 6.

3.3 Underdatabehandleres overførselsmekanismer

4. VURDERING AF DESTINATIONSLANDETS LOVGIVNING

4.1 USA

USA er den primære destination for overførte data. Følgende amerikanske love er relevante for denne vurdering:

4.1.1 Foreign Intelligence Surveillance Act (FISA), § 702

FISA § 702 bemyndiger den amerikanske regering til at pålægge udbydere af elektroniske kommunikationstjenester at give adgang til kommunikation fra ikke-amerikanske personer, der befinder sig uden for USA, til efterretningsformål.

Risikovurdering:

• Anvendelighed: FISA § 702 finder anvendelse på "udbydere af elektroniske kommunikationstjenester" som defineret i 50 U.S.C. § 1881(b)(4). Acira AI er en SaaS-platform til webhosting, ikke en traditionel telekommunikationsudbyder. Vores underdatabehandlere (AWS, Cloudflare) er mere tilbøjelige til at være underlagt § 702-direktiver.
• Omfanget af data i fare: De personoplysninger, vi behandler, består primært af webstedsbesøgendes analyser (pseudonymiserede), formularindsendelser og chatbot-beskeder. Det er usandsynligt, at disse data er af udenlandsk efterretningsinteresse.
• Praktisk sandsynlighed: Vi har aldrig modtaget et FISA § 702-direktiv og vurderer den praktiske sandsynlighed for at modtage et som meget lav i betragtning af vores tjenester og de data, vi behandler.

4.1.2 Præsidentielt dekret 12333

EO 12333 bemyndiger amerikanske efterretningsbureauer til at udføre overvågningsaktiviteter, herunder masseindsamling af signaleftretning. Det finder anvendelse på data under transit og forpligter ikke private virksomheder til at samarbejde.

Risikovurdering:

• Afbødning: Alle data under transit er krypteret med TLS. Masseafskæring af krypterede data under transit ville ikke give klartekst personoplysninger.
• Praktisk sandsynlighed: Lav. De data, der behandles via vores tjenester, er ikke af den type, der typisk er målrettet af signaleftretning.

4.1.3 Præsidentielt dekret 14086 og EU-USA Data Privacy Framework

EO 14086 (oktober 2022) indførte yderligere beskyttelsesforanstaltninger for signalefterretningsaktiviteter, herunder:

• Krav om nødvendighed og proportionalitet for efterretningsindsamling
• En to-niveaus klagemekanisme (Civil Liberties Protection Officer + Data Protection Review Court) tilgængelig for EU/UK/schweiziske borgere
• Begrænsninger på masseindsamling

Europa-Kommissionen vedtog en adækvansafgørelse for EU-USA Data Privacy Framework (DPF) den 10. juli 2023. Selvom Acira AI i øjeblikket ikke er selvcertificeret under DPF, finder beskyttelserne under EO 14086 bredt anvendelse på alle dataoverførsler til USA og gavner alle registrerede uanset den anvendte overførselsmekanisme.

4.1.4 CLOUD Act

CLOUD Act (Clarifying Lawful Overseas Use of Data Act) tillader amerikansk retshåndhævelse at pålægge amerikanske udbydere at frembringe data uanset hvor de er gemt, underlagt en gyldig kendelse eller retskendelse.

Risikovurdering:

• Beskyttelsesforanstaltninger: CLOUD Act kræver en gyldig juridisk proces (kendelse, stævning eller retskendelse). Den bemyndiger ikke masseadgang uden kendelse.
• Høflighedsbestemmelser: CLOUD Act indeholder en høflighedsramme, der giver udbydere mulighed for at anfægte kendelser, der er i strid med udenlandsk lovgivning.
• Praktisk sandsynlighed: Lav for webstedsbesøgendes data. Retshåndhævelsesanmodninger ville sandsynligvis målrette specifikke konti mistænkt for kriminel aktivitet, ikke besøgsanalyser eller formularindsendelser.

4.2 Israel (BrightData)

BrightData er baseret i Israel. Israel har en adækvansafgørelse fra Europa-Kommissionen (2011/61/EU), hvilket betyder, at overførsler til Israel behandles på samme måde som intra-EØS-overførsler. BrightData behandler dog også data på andre globale steder. Vi bemærker, at:

• BrightData-behandling sker kun når brugerstyret (under oprettelse af websted til indholdimport) eller under planlagt SERP-sporing.
• Ingen personoplysninger om webstedsbesøgende overføres til BrightData.

4.3 Canada (Overførsler fra Canada til USA)

Personoplysninger om webstedsbesøgende i Canada kan overføres til USA til behandling. Følgende canadiske love er relevante for denne vurdering:

4.3.1 Personal Information Protection and Electronic Documents Act (PIPEDA)

PIPEDA regulerer indsamling, brug og videregivelse af personoplysninger af private organisationer i forbindelse med kommercielle aktiviteter. PIPEDA Princip 4.1.3 kræver, at organisationer anvender kontraktlige eller andre midler til at sikre et sammenligneligt beskyttelsesniveau, når personoplysninger overføres til tredjeparter til behandling, herunder overførsler uden for Canada.

Risikovurdering:

• Sammenlignelig beskyttelse: De supplerende foranstaltninger beskrevet i Afsnit 6 (kryptering, pseudonymisering, adgangskontroller, dataminimering) giver et beskyttelsesniveau sammenligneligt med det, der kræves under PIPEDA. Skriftlige databehandleraftaler er indgået med alle underdatabehandlere.
• Intet adækvansekrav: I modsætning til GDPR forbyder PIPEDA ikke overførsler til lande, der mangler en "adækvans"-konstatering. Organisationer skal sikre sammenlignelig beskyttelse via kontraktlige og andre midler, hvilket vi har implementeret.

4.3.2 Provincial privatlivslovgivning

Albertas Personal Information Protection Act (PIPA), British Columbias Personal Information Protection Act (PIPA) og Québecs lov om beskyttelse af personoplysninger i den private sektor stiller yderligere krav til visse provinser:

Risikovurdering:

• Québec Lov 25: Québecs moderniserede privatlivslov (i kraft siden september 2023) kræver en privatlivskonsekvensvurdering inden overførsel af personoplysninger uden for Québec, og den overførende organisation skal være tilfreds med, at oplysningerne vil modtage tilstrækkelig beskyttelse. Vores kontraktlige beskyttelse, supplerende tekniske foranstaltninger og arten af data (primært pseudonymiserede analyser og interaktioner med besøgende på websteder for små virksomheder) understøtter en konstatering af tilstrækkelig beskyttelse.
• Alberta og BC: Albertas og BC's PIPA kræver, at organisationer sikrer sammenlignelig beskyttelse for overførte data. Vores kontraktlige og tekniske beskyttelsesforanstaltninger opfylder dette krav.

4.3.3 Amerikansk myndighedsadgang fra et canadisk perspektiv

De samme risici for amerikansk myndighedsadgang, der er vurderet i Afsnit 4.1, gælder for canadiske dataoverførsler. Den lave sandsynlighed for myndighedsadgang (i betragtning af datatypen og vores virksomhedsprofil), kombineret med de supplerende foranstaltninger i Afsnit 6, sikrer, at personoplysninger overført fra Canada til USA modtager et sammenligneligt beskyttelsesniveau som krævet i henhold til canadisk privatlivsret.

4.4 Globale edge-lokationer (Cloudflare)

Cloudflare driver et globalt netværk af edge-lokationer. EU-besøgendes anmodninger behandles typisk på det nærmeste Cloudflare-tilstedeværelsespunkt, som for EU-besøgende normalt vil være en EU-lokation.

• Anmodningsdirigering, TLS-terminering og botbeskyttelse sker på den nærmeste edge-lokation.
• For webstedsoperatører identificeret som EU-borgere er vedvarende lagring (der indeholder formularindsendelser, chatbot-samtaler og sessionsdata) jurisdiktionsmæssigt begrænset til Den Europæiske Union ved hjælp af Cloudflares jurisdiktion-API. For ikke-EU-webstedsoperatører er vedvarende lagring placeret nær operatørens geografiske region, men kan være placeret uden for EU.
• Analysedata behandles på Cloudflare-administreret infrastruktur.

5. VURDERING AF DATASTRØMME PR. TJENESTEUDBYDER

5.1 Amazon Web Services (USA)

AWS-sikkerhedsforanstaltninger:

• ISO 27001, 27017, 27018-certificeret
• SOC 1/2/3-rapporter tilgængelige
• Data krypteret i hvile med industristandard kryptering
• Data krypteret under transit (TLS)
• Mindst privilegium-adgangskontroller pr. systemkomponent
• Primære tjenester hostet i USA; automatiserede besøgsrettede operationer (notifikationer om indsendelse af indhold og transaktionel e-mail-levering) for EU-hjemmehørende webstedsoperatører behandles i Den Europæiske Union (Stockholm)

5.2 Cloudflare (Global)

Cloudflare-sikkerhedsforanstaltninger:

• ISO 27001-certificeret, SOC 2 Type II
• TLS 1.2+ for alle forbindelser
• Cloudflare DPA med tilgængelige SKB
• Edge-behandling betyder, at EU-besøgendes data typisk behandles på EU-edge-lokationer
• For webstedsoperatører identificeret som EU-hjemmehørende er vedvarende lagring (indeholdende formularindsendelser, chatbotsamtaler, sessionsdata og brugertabeldata) jurisdiktionsmæssigt begrænset til Den Europæiske Union ved hjælp af Cloudflares jurisdiktions-API, hvilket sikrer, at disse data udelukkende lagres og behandles i EU-datacentre. Backend API-kald fra kanten (til notifikationer om indsendelse af indhold og transaktionel e-mail-levering) dirigeres til AWS-infrastruktur i EU.
• AI-inferens bevarer ikke inputdata til træning

5.3 Stripe (USA)

Bemærk: Stripe modtager ikke webstedsbesøgendes personoplysninger. Kun webstedsoperatørens (vores kundes) faktureringsoplysninger behandles af Stripe.

Stripe-sikkerhedsforanstaltninger:

• PCI DSS Level 1-certificeret
• ISO 27001-certificeret
• Stripe DPA med tilgængelige SKB

5.4 AI-inferensudbydere (USA)

Fireworks AI og xAI leverer AI-modelinferenstjenester.

Bemærk: Disse AI-udbydere modtager ikke webstedsbesøgendes personoplysninger. Chatbot-funktionen (der betjener webstedsbesøgende) bruger Cloudflare Workers AI (vurderet i Afsnit 5.2), ikke disse udbydere. Platformens samtale-AI-assistent — brugt af webstedsoperatører til at administrere deres websteder — sender dog platformsbrugeres personoplysninger (navn, e-mailadresse og samtalehistorik) til disse udbydere som en del af generering af svar. For denne behandling fungerer Acira AI som den dataansvarlige (ikke databehandler), og de registrerede er vores platformsbrugere (webstedsoperatører), ikke deres webstedsbesøgende. Denne datastrøm er reguleret af vores privatlivspolitik og vores aftaler med disse udbydere, snarere end DPA'ens dataansvarlig-databehandler-ramme for besøgsdata.

Modelfamilier: Disse infrastrukturudbydere hoster og udfører AI-modeller udviklet af forskellige tredjeparter. De specifikke modeller og modelfamilier, der anvendes, kan ændre sig over tid. Modeludviklere modtager ikke og har ikke adgang til brugerdata — al databehandling foregår udelukkende inden for de angivne underdatabehandleres infrastruktur uanset hvor en model oprindeligt blev udviklet. Al AI-inferensbehandling forbliver i vores angivne underdatabehandleres infrastruktur. Ingen brugerdata overføres til modeludviklere eller til infrastruktur uden for de underdatabehandlere, der er angivet i denne vurdering. En aktuel liste over modelfamilier i brug er tilgængelig på anmodning ved at kontakte legal@acira.ai.

5.5 BrightData (Israel / Global)

Bemærk: BrightData behandler ikke webstedsbesøgendes personoplysninger. Det behandler offentligt tilgængeligt webindhold efter brugerens anvisning og sporer søgemaskinerangeringer for brugerdefinerede søgeord.

5.6 EU-baserede udbydere (Ingen overførsel)

Disse udbydere behandler data inden for EU og udgør ikke en international overførsel. Black Forest Labs modtager kun tekstprompter til billedgenerering; der er ingen personoplysninger involveret.

6. SUPPLERENDE FORANSTALTNINGER

Ud over SKB implementerer vi følgende supplerende foranstaltninger for at sikre et i det væsentlige tilsvarende beskyttelsesniveau for overførte personoplysninger:

6.1 Tekniske foranstaltninger

6.2 Organisatoriske foranstaltninger

6.3 Kontraktlige foranstaltninger

7. RISIKOVURDERING

7.1 Sandsynlighed for myndighedsadgang

Samlet sandsynlighed: LAV

7.2 Konsekvenser ved adgang

Samlet konsekvens: LAV TIL MIDDEL (afhængigt af følsomheden af data indsamlet af de enkelte webstedsoperatører)

7.3 Vurdering af restrisiko

Under hensyntagen til den lave sandsynlighed for myndighedsadgang, de supplerende tekniske foranstaltninger (kryptering, pseudonymisering, dataminimering) og de yderligere beskyttelsesforanstaltninger indført af EO 14086, vurderer vi, at restrisikoen for registrerede er lav og at de supplerende foranstaltninger, sammen med SKB (for EØS/UK/Schweiz-overførsler) og kontraktlige beskyttelsesforanstaltninger (for canadiske overførsler), giver et beskyttelsesniveau, der er i det væsentlige tilsvarende det, der er garanteret inden for EØS og sammenligneligt med det, der kræves af canadisk privatlivsret.

8. KONKLUSION

Baseret på denne vurdering konkluderer vi, at:

1. De personoplysninger, der overføres fra EØS/UK/Schweiz/Canada til USA i forbindelse med levering af vores Tjenester, nyder godt af et i det væsentlige tilsvarende beskyttelsesniveau som det, der er garanteret i henhold til EU's databeskyttelseslovgivning, og et sammenligneligt beskyttelsesniveau som det, der kræves i henhold til canadisk privatlivsret.

2. Standardkontraktbestemmelserne kombineret med de supplerende tekniske, organisatoriske og kontraktlige foranstaltninger beskrevet i Afsnit 6 adresserer tilstrækkeligt de risici, der er identificeret i denne vurdering.

3. Datatypen (primært pseudonymiserede analyser og webstedsbesøgendes interaktioner på websteder for små virksomheder) og dataimportørens profil (en lille SaaS-virksomhed) reducerer markant den praktiske risiko for myndighedsovervågning.

4. De beskyttelsesforanstaltninger indført ved Præsidentielt dekret 14086 og den tilhørende klagemekanisme giver yderligere sikkerhedsforanstaltninger, der gavner alle registrerede uanset den specifikke overførselsmekanisme, der anvendes.

5. For canadiske overførsler sikrer de kontraktlige beskyttelsesforanstaltninger og supplerende foranstaltninger beskrevet heri et sammenligneligt beskyttelsesniveau som krævet i henhold til PIPEDA og gældende provincial privatlivslovgivning, herunder Québecs moderniserede privatlivslov.

6. Vi vil fortsætte med at overvåge udviklinger i amerikansk overvågningsret og -praksis samt udviklinger i canadisk privatlivsret (herunder den foreslåede Consumer Privacy Protection Act), og vil revurdere denne VOV, hvis omstændighederne ændrer sig væsentligt.

Overførslerne kan fortsætte under forudsætning af fortsat anvendelse af SKB og de supplerende foranstaltninger beskrevet heri.

9. REVISIONSPLAN

Denne VOV vil blive revideret og opdateret:

• Årligt, som minimum, eller
• Ved væsentlige ændringer af gældende love eller forordninger,
• Ved ændringer til vores underdatabehandlere eller arten af overførte data,
• Ved enhver retsafgørelse, der væsentligt påvirker gyldigheden af SKB eller tilstrækkeligheden af amerikansk databeskyttelse.

10. KONTAKT OS

Hvis du har spørgsmål om denne Vurdering af Overførselsvirkning, bedes du kontakte os på:

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
USA

Telefon: 888-389-1189
E-mail: legal@acira.ai