TIEDONSIIRRON VAIKUTUSTENARVIOINTI

Viimeksi päivitetty: 6. heinäkuuta 2026

Tämän tiedonsiirron vaikutustenarvioinnin ("TIA") on laatinut Acira AI LLC ("Acira AI", "me", "meitä") Euroopan unionin tuomioistuimen päätöksen vaatimusten mukaisesti asiassa Tietosuojavaltuutettu vastaan Facebook Ireland Limited ja Maximillian Schrems (asia C-311/18, "Schrems II") sekä Euroopan tietosuojaneuvoston suositusten mukaisesti (EDPB-suositukset 01/2020 täydentävistä toimenpiteistä).

Tässä TIA:ssa arvioidaan Euroopan talousalueelta ("ETA"), Yhdistyneestä kuningaskunnasta, Sveitsistä ja Kanadasta Yhdysvaltoihin ja muihin kolmansiin maihin palvelujemme tarjoamisen yhteydessä siirrettävien henkilötietojen suojan riittävyyttä.

Tämä TIA voidaan kääntää muille kielille käytännöllisyytensä vuoksi. Englanninkielisen version ja minkä tahansa käännetyn version välisessä ristiriidassa tai epäjohdonmukaisuudessa englanninkielinen versio on ensisijainen.

SISÄLLYSLUETTELO

1. SIIRTOJEN YLEISKATSAUS
2. SIIRRETTÄVIEN TIETOJEN LUONNE
3. SIIRTOMEKANISMIT
4. KOHDEMAAN LAINSÄÄDÄNNÖN ARVIOINTI
5. TIETOVIRTOJEN ARVIOINTI PALVELUNTARJOAJITTAIN
6. TÄYDENTÄVÄT TOIMENPITEET
7. RISKIARVIOINTI
8. PÄÄTELMÄ
9. TARKISTUSAIKATAULU
10. YHTEYSTIEDOT

1. SIIRTOJEN YLEISKATSAUS

1.1 Tausta

Acira AI on ohjelmisto palveluna -alusta, jonka avulla yritykset ja yksityishenkilöt voivat luoda, hallita ja isännöidä tekoälypohjaisia verkkosivustoja. Kun käyttäjät luovat verkkosivustoja, joita ETA:ssa, Yhdistyneessä kuningaskunnassa, Sveitsissä tai Kanadassa sijaitsevat vierailijat käyttävät, näiden vierailijoiden henkilötietoja voidaan siirtää Yhdysvaltoihin ja muihin sijainteihin, joissa infrastruktuurintarjoajamme toimivat, ja käsitellä siellä.

1.2 Osapuolet

• Tietojen viejä: Verkkosivuston ylläpitäjä (asiakkaamme, joka toimii rekisterinpitäjänä) sekä analytiikkatietojen osalta Acira AI yhteisrekisterinpitäjänä. Kun verkkosivustoa hallinnoidaan Agentuuriohjelmamme kautta, agentuuri ja/tai sen loppuasiakas toimii rekisterinpitäjänä / tietojen viejänä (katso Agentuuriehtomme ja DPA:n jakso 2.7).
• Tietojen tuoja: Acira AI LLC, rekisteröity Nevadassa, Yhdysvalloissa, toimien henkilötietojen käsittelijänä (ja analytiikkatietojen yhteisrekisterinpitäjänä).
• Alihankkijat: Acira AI:n palkkaamat kolmannen osapuolen palveluntarjoajat (lueteltu kohdassa 5).

1.3 Siirtokohteet

2. SIIRRETTÄVIEN TIETOJEN LUONNE

2.1 Henkilötietoryhmät

Siirrettävät henkilötiedot riippuvat verkkosivuston ylläpitäjän käyttöön ottamista ominaisuuksista ja verkkosivuston vierailijoiden vuorovaikutuksista. Seuraavia ryhmiä voidaan siirtää:

2.2 Rekisteröityjen ryhmät

• Acira AI -alustalla isännöityjen verkkosivustojen vierailijat
• Käyttäjät, jotka luovat tilejä alustalla isännöidyille verkkosivustoille
• Käyttäjät, jotka lähettävät lomakkeita, ovat vuorovaikutuksessa chatbotien kanssa tai lataavat tiedostoja isännöidyille verkkosivustoille

2.3 Tiedot, joita ei siirretä

• Paikannustiedot: IP-sijaintihaut suoritetaan verkon reunalla infrastruktuurintarjoajamme toimesta. Yhtään vierailijan IP-osoitetta ei välitetä ulkoiselle paikannuspalvelulle.
• Kävijöiden raa'at IP-osoitteet: Alusta ei tallenna niitä. Analytiikka tallentaa vain päivittäin vaihtuvan avaimella lasketun tiivisteen; nopeusrajoitus tallentaa vain avaimella lasketun tiivisteen; lomakelähetykset ja chatbot-keskustelut tallentavat maan ja alueen, eivät osoitetta. Verkkosivuston ylläpitäjän oma sivukoodi voi lukea kävijän IP-osoitteen, ja kaikki, minkä kyseinen ylläpitäjä päättää tallentaa, on hänen omaa keruutaan hänen oman tietosuojakäytäntönsä nojalla.
• Selväkieliset salasanat: Tallennetaan ja siirretään vain kryptografiset tiivisteet.

3. SIIRTOMEKANISMIT

3.1 Ensisijainen mekanismi: Vakiosopimuslausekkeet

Nojaudumme Euroopan komission vakiosopimuslausekkeisiin (SCC), jotka on hyväksytty komission täytäntöönpanopäätöksellä (EU) 2021/914, erityisesti:

• Moduuli yksi (rekisterinpitäjältä rekisterinpitäjälle): Analytiikkatietojen siirroille, joissa Acira AI toimii yhteisrekisterinpitäjänä verkkosivuston ylläpitäjän kanssa (ks. DPA kohta 2.3).
• Moduuli kaksi (rekisterinpitäjältä käsittelijälle): Verkkosivuston vierailijoiden henkilötietojen siirroille verkkosivuston ylläpitäjältä (rekisterinpitäjä) Acira AI:lle (käsittelijä).
• Moduuli kolme (käsittelijältä alihankkijalle): Jatkosiirroille Acira AI:lta alihankkijoillemme.

3.2 Siirrot Yhdistyneeseen kuningaskuntaan, Sveitsiin ja Kanadaan

• Yhdistynyt kuningaskunta: Yhdistyneen kuningaskunnan kansainvälistä tiedonsiirtoa koskeva lisäliite EU:n SCC-lausekkeisiin sovelletaan.
• Sveitsi: SCC-lausekkeita sovelletaan Sveitsin liittovaltion tietosuojalain (FADP) vaatimilla muutoksilla.
• Kanada: Siirrot perustuvat sopimusjärjestelyihin jokaisen alihankkijan kanssa, jotka asettavat henkilötietojen suojan ja sähköisten asiakirjojen lakia (PIPEDA) ja sovellettavaa provinssien tietosuojalakia noudattavia velvoitteita, yhdistettynä kohdassa 6 kuvattuihin täydentäviin teknisiin ja organisatorisiin toimenpiteisiin. Lisätietoja on DPA-sopimuksen kohdassa 7.4.

3.3 Alihankkijoiden siirtomekanismit

4. KOHDEMAAN LAINSÄÄDÄNNÖN ARVIOINTI

4.1 Yhdysvallat

Yhdysvallat on siirrettyjen tietojen pääasiallinen kohde. Seuraavat Yhdysvaltain lait ovat olennaisia tässä arvioinnissa:

4.1.1 Ulkomaisen tiedustelun valvontalaki (FISA), pykälä 702

FISA:n pykälä 702 valtuuttaa Yhdysvaltain hallituksen pakottamaan sähköisten viestintäpalvelujen tarjoajat antamaan pääsyn Yhdysvaltojen ulkopuolella olevien ei-amerikkalaisten henkilöiden viestintään ulkomaista tiedustelua varten.

Riskiarviointi:

• Sovellettavuus: FISA:n pykälä 702 soveltuu "sähköisten viestintäpalvelujen tarjoajiin" sellaisina kuin ne on määritelty 50 U.S.C. § 1881(b)(4):ssä, ja tämä määritelmä on riittävän laaja ulottuakseen etätietojenkäsittelypalvelujen tarjoajiin, mahdollisesti mukaan lukien Acira AI:n kaltaiset SaaS-alustat sekä infrastruktuurialihankkijamme (AWS, Cloudflare).
• Vaarassa olevien tietojen laajuus: Käsittelemämme henkilötiedot koostuvat pääasiassa verkkosivuston vierailijoiden analytiikasta (pseudonymisoitu), lomakkeiden lähetyksistä ja chatbot-viesteistä. Nämä tiedot eivät todennäköisesti ole ulkomaisen tiedustelun kiinnostuksen kohteena.
• Käytännön todennäköisyys: Arvioimme pykälä 702:n direktiivin saamisen käytännön todennäköisyyden erittäin pieneksi palvelujemme luonteen ja käsittelemiemme tietojen perusteella.

4.1.2 Toimeenpanomääräys 12333

TM 12333 valtuuttaa Yhdysvaltain tiedustelupalvelut harjoittamaan valvontatoimia, mukaan lukien signaalitiedustelun joukkokeruu. Se koskee kauttakulkussa olevia tietoja eikä pakota yksityisiä yrityksiä yhteistyöhön.

Riskiarviointi:

• Lieventäminen: Kaikki kauttakulkussa olevat tiedot on salattu TLS:llä. Salattujen kauttakulkutietojen joukkosieppaus ei tuota selväkielisiä henkilötietoja.
• Käytännön todennäköisyys: Matala. Palvelujemme kautta käsiteltävät tiedot eivät ole signaalitiedustelun tyypillisesti kohdistamaa luonnetta.

4.1.3 Toimeenpanomääräys 14086 ja EU:n ja Yhdysvaltojen tietosuojakehys

Toimeenpanomääräys 14086 (lokakuu 2022) toi käyttöön lisäsuojatoimia signaalitiedustelutoiminnalle, mukaan lukien:

• Tarpeellisuuden ja suhteellisuuden vaatimukset tiedustelutietojen keruulle
• Kaksitasoinen muutoksenhakumekanismi (kansalaisvapauksien suojeluvirkailija + tietosuojan tarkastustuomioistuin), joka on EU:n/Yhdistyneen kuningaskunnan/Sveitsin kansalaisten käytettävissä
• Rajoitukset joukkokeruulle

Euroopan komissio hyväksyi riittävyyttä koskevan päätöksen EU:n ja Yhdysvaltojen tietosuojakehyksestä (DPF) 10. heinäkuuta 2023. Vaikka Acira AI ei ole tällä hetkellä itsesertifioitu DPF:n mukaisesti, TM 14086:n mukaiset suojatoimet koskevat laajasti kaikkia tiedonsiirtoja Yhdysvaltoihin ja hyödyttävät kaikkia rekisteröityjä käytetystä siirtomekanismista riippumatta.

4.1.4 CLOUD-laki

Clarifying Lawful Overseas Use of Data -laki (CLOUD Act) sallii Yhdysvaltain lainvalvontaviranomaisten pakottaa yhdysvaltalaiset palveluntarjoajat tuottamaan tietoja riippumatta siitä, missä ne on tallennettu, edellyttäen voimassa olevaa pidätysmääräystä tai tuomioistuimen päätöstä.

Riskiarviointi:

• Suojatoimet: CLOUD-laki edellyttää voimassa olevaa oikeudellista prosessia (pidätysmääräys, haaste tai tuomioistuimen päätös). Se ei valtuuta luvattomaan joukkomuistin käyttöön.
• Comity-säännökset: CLOUD-laki sisältää comity-kehyksen, joka sallii palveluntarjoajien riitauttaa päätökset, jotka ovat ristiriidassa ulkomaisen oikeuden kanssa.
• Käytännön todennäköisyys: Matala verkkosivuston vierailijoiden tiedoille. Lainvalvontaviranomaiset kohdistaisivat pyyntönsä todennäköisemmin tiettyihin rikostoiminnasta epäiltyihin tileihin, eivät vierailija-analytiikkaan tai lomakkeiden lähetyksiin.

4.2 Israel (BrightData)

BrightData sijaitsee Israelissa. Israelilla on Euroopan komission riittävyyttä koskeva päätös (2011/61/EU), mikä tarkoittaa, että Israeliin tapahtuvia siirtoja käsitellään samoin kuin ETA-sisäisiä siirtoja. BrightData käsittelee kuitenkin tietoja myös muissa globaaleissa sijainneissa. Huomaamme, että:

• BrightData-käsittely tapahtuu vain käyttäjän ohjauksella (verkkosivuston luomisen aikana sisällön tuomiseen) tai ajoitetun SERP-seurannan aikana.
• Yhtään verkkosivuston vierailijan henkilötietoja ei välitetä BrightDatalle.

4.3 Kanada (siirrot Kanadasta Yhdysvaltoihin)

Kanadassa sijaitsevien verkkosivuston vierailijoiden henkilötietoja voidaan siirtää Yhdysvaltoihin käsittelyä varten. Seuraavat Kanadan lait ovat olennaisia tässä arvioinnissa:

4.3.1 Henkilötietojen suojaa ja sähköisiä asiakirjoja koskeva laki (PIPEDA)

PIPEDA säätelee yksityisen sektorin organisaatioiden henkilötietojen keräämistä, käyttöä ja luovuttamista kaupallisessa toiminnassa. PIPEDA:n periaate 4.1.3 edellyttää, että organisaatiot käyttävät sopimuksellisia tai muita keinoja vertailukelpoisen suojan tason varmistamiseksi, kun henkilötietoja siirretään käsittelyä varten kolmansille osapuolille, mukaan lukien siirrot Kanadan ulkopuolelle.

Riskiarviointi:

• Vertailukelpoinen suoja: Kohdassa 6 kuvatut täydentävät toimenpiteet (salaus, pseudonymisointi, pääsynhallinta, tietojen minimointi) tarjoavat PIPEDA:n vaatimaa suojan tasoa vastaavan tason. Kirjalliset tietojenkäsittelysopimukset ovat voimassa kaikkien alihankkijoiden kanssa.
• Ei riittävyysvaatimusta: Toisin kuin GDPR, PIPEDA ei kiellä siirtoja maihin, joilla ei ole "riittävyyttä" koskevaa päätöstä. Organisaatioiden on varmistettava vertailukelpoinen suoja sopimuksellisten ja muiden keinojen avulla, mitä olemme toteuttaneet.

4.3.2 Provinssien tietosuojalaki

Albertan henkilötietojen suojalaki (PIPA), Brittiläisen Kolumbian henkilötietojen suojalaki (PIPA) ja Quebecin yksityisen sektorin henkilötietojen suojaa koskeva laki asettavat tietyille provinsseille lisävaatimuksia:

Riskiarviointi:

• Quebecin laki 25: Quebecin uudistettu tietosuojalaki (voimassa syyskuusta 2023) edellyttää tietosuojan vaikutustenarvioinnin tekemistä ennen henkilötietojen siirtämistä Quebecin ulkopuolelle, ja siirtävän organisaation on varmistuttava, että tiedot saavat riittävän suojan. Sopimukselliset suojatoimemme, täydentävät tekniset toimenpiteet ja tietojen luonne (pääasiassa pseudonymisoidut analytiikkatiedot ja pienten yritysten verkkosivuston vuorovaikutukset) tukevat riittävän suojan toteamista.
• Alberta ja Brittiläinen Kolumbia: Albertan ja Brittiläisen Kolumbian PIPA-lait edellyttävät, että organisaatiot varmistavat siirrettäville tiedoille vertailukelpoisen suojan. Sopimukselliset ja tekniset suojatoimemme täyttävät tämän vaatimuksen.

4.3.3 Yhdysvaltain hallituksen pääsy Kanadan näkökulmasta

Samat kohdassa 4.1 arvioidut Yhdysvaltain hallituksen pääsyriskit koskevat Kanadan tiedonsiirtoja. Matala hallituksen pääsyn todennäköisyys (ottaen huomioon tietojen luonteen ja yrityksemme profiilin) yhdistettynä kohdan 6 täydentäviin toimenpiteisiin varmistaa, että Kanadasta Yhdysvaltoihin siirretyt henkilötiedot saavat Kanadan tietosuojalain edellyttämää vertailukelpoista suojan tasoa.

4.4 Globaalit reunasijainnit (Cloudflare)

Cloudflare ylläpitää maailmanlaajuista reunasijaintiverkostoa. EU-vierailijoiden pyynnöt käsitellään tyypillisesti lähimmässä Cloudflaren läsnäolopisteessä, joka EU-vierailijoille on yleensä EU-sijainti.

• Pyyntöjen reititys, TLS-päätepiste ja bot-suojaus tapahtuvat lähimmässä reunasijannissa.
• EU-asukkaiksi tunnistetuille verkkosivuston operaattoreille pysyvä tallennus (joka sisältää lomakkeiden lähetykset, chatbot-keskustelut ja istuntotiedot) on lainkäyttöalueellisesti rajoitettu Euroopan unioniin Cloudflaren lainkäyttöalue-API:n avulla. EU:n ulkopuolisten verkkosivuston operaattoreiden kohdalla pysyvä tallennus sijaitsee lähellä operaattorin maantieteellistä aluetta, mutta voi sijaita EU:n ulkopuolella.
• Analytiikkatiedot käsitellään Cloudflaren hallinnoimassa infrastruktuurissa.

5. TIETOVIRTOJEN ARVIOINTI PALVELUNTARJOAJITTAIN

5.1 Amazon Web Services (Yhdysvallat)

AWS:n suojatoimet:

• ISO 27001, 27017, 27018 -sertifioitu
• SOC 1/2/3 -raportit saatavilla
• Tiedot salattu levossa käyttäen alan standardisalausta
• Tiedot salattu kauttakulussa (TLS)
• Vähimpien oikeuksien käyttöoikeuksien hallinta järjestelmäkomponenttia kohti
• Ensisijaiset palvelut isännöidään Yhdysvalloissa; EU-asukkaista verkkosivustojen operaattoreille tarkoitetut automaattiset vierailijalle suunnatut toiminnot (sisällön lähettämisen ilmoitukset ja transaktionaalinen sähköpostin toimitus) käsitellään Euroopan unionissa (Tukholma)

5.2 Cloudflare (globaali)

Cloudflaren suojatoimet:

• ISO 27001 -sertifioitu, SOC 2 tyyppi II
• TLS 1.2+ kaikille yhteyksille
• Cloudflaren DPA SCC:n kanssa saatavilla
• Reunakäsittely tarkoittaa, että EU:n vierailijoiden tietoja käsitellään tyypillisesti EU:n reunasijainneissa pyyntöjen käsittelyä varten
• EU-asukkaaksi tunnistettujen verkkosivustojen operaattoreille pysyvä tallennustila (joka sisältää lomakelähetykset, chatbot-keskustelut, istuntotiedot ja käyttäjätaulukon tiedot) on lainkäyttöalueellisesti rajoitettu Euroopan unioniin Cloudflaren lainkäyttöalueen API:n avulla, varmistaen että nämä tiedot tallennetaan ja käsitellään yksinomaan EU:n datakeskuksissa. Reunalta tulevat taustajärjestelmän API-kutsut (sisällön lähettämisen ilmoituksille ja transaktionaaliselle sähköpostin toimitukselle) reititetään EU:ssa sijaitsevaan AWS-infrastruktuuriin.
• Tekoälyn päättely ei säilytä syötetietoja koulutukseen

5.3 Maksupalveluntarjoaja (Merchant of Record)

Maksullisten Palveluiden maksut käsittelee kolmannen osapuolen maksupalveluntarjoaja, joka toimii tapahtuman Merchant of Record -tahona — tällä hetkellä Stripe (sen sidosyrityksen Sold through Link, LLC, Yhdysvallat, kautta). Merchant of Record -tahona tämä palveluntarjoaja toimii kassalla annettujen maksutietojen itsenäisenä rekisterinpitäjänä, ei alikäsittelijänämme; alla olevat siirrot tapahtuvat siten rekisterinpitäjältä rekisterinpitäjälle eikä rekisterinpitäjältä käsittelijälle.

Huomautus: Tämä palveluntarjoaja ei saa verkkosivuston kävijöiden henkilötietoja. Vain verkkosivuston ylläpitäjän (asiakkaamme) laskutustiedot käsitellään.

Siirtoperusteet ja suojatoimet: Stripe / Sold through Link, LLC (US) — rekisterinpitäjältä rekisterinpitäjälle tapahtuvat siirrot Standard Contractual Clauses (Module One) -lausekkeiden nojalla; PCI DSS Level 1- ja ISO 27001 -sertifioitu.

5.4 Tekoälyn päättelyntarjoajat (Yhdysvallat)

Fireworks AI ja xAI tarjoavat tekoälymallien päättelypalveluja.

Huomio: Nämä tekoälyn tarjoajat eivät vastaanota verkkosivuston vierailijoiden henkilötietoja. Chatbot-ominaisuus (verkkosivuston vierailijoille) käyttää Cloudflare Workers AI:ta (arvioitu kohdassa 5.2), ei näitä tarjoajia. Alustan keskusteleva tekoälyavustaja — jota verkkosivuston ylläpitäjät käyttävät verkkosivustojensa hallintaan — lähettää kuitenkin alustan käyttäjien henkilötietoja (nimi, sähköpostiosoite ja keskusteluhistoria) näille tarjoajille osana vastausten luomista. Tässä käsittelyssä Acira AI toimii rekisterinpitäjänä (ei käsittelijänä), ja rekisteröityjä ovat alustan käyttäjämme (verkkosivustojen ylläpitäjät), eivät heidän verkkosivustojensa vierailijat. Tätä tietovirtaa säätelee tietosuojakäytäntömme ja sopimuksemme näiden tarjoajien kanssa, eikä DPA:n rekisterinpitäjä-käsittelijä-kehys vierailijatiedoille.

Malliperheet: Nämä infrastruktuurintarjoajat isännöivät ja suorittavat eri kolmansien osapuolten kehittämiä tekoälymalleja. Käytettävät mallit ja malliperheet voivat muuttua ajan myötä. Mallinkehittäjät eivät vastaanota eivätkä heillä ole pääsyä käyttäjätietoihin — kaikki tietojen käsittely tapahtuu yksinomaan lueteltujen alihankkijoiden infrastruktuurissa riippumatta siitä, missä mallia alun perin kehitettiin. Kaikki tekoälyn päättelykäsittely pysyy lueteltujen alihankkijoidemme infrastruktuurissa. Mitään käyttäjätietoja ei siirretä mallinkehittäjille tai tässä arviossa lueteltujen alihankkijoiden ulkopuoliseen infrastruktuuriin. Ajantasainen luettelo käytössä olevista malliperheistä on saatavilla pyydettäessä ottamalla yhteyttä legal@acira.ai.

5.5 BrightData (Israel / maailmanlaajuinen)

Huomio: BrightData ei käsittele verkkosivuston vierailijoiden henkilötietoja. Se käsittelee julkisesti saatavilla olevaa verkkoaineistoa käyttäjän ohjauksella ja seuraa hakukoneiden sijoituksia käyttäjän määrittelemille avainsanoille.

5.6 EU-pohjaiset tarjoajat (ei siirtoa)

Nämä tarjoajat käsittelevät tietoja EU:ssa, eivätkä ne muodosta kansainvälistä siirtoa. Black Forest Labs vastaanottaa vain tekstikehotuksia kuvien luomiseen; henkilötietoja ei ole mukana.

5.7 Ohjelmallinen pääsy ja paikallinen vienti (CLI / API)

Verkkosivuston ylläpitäjät — mukaan lukien agentuurit, jotka hallinnoivat verkkosivustoja asiakkaidensa puolesta — voivat hakea verkkosivuston sisältöä ja kävijätietoja Aciran komentorivikäyttöliittymän (CLI) ja muiden ohjelmallisten rajapintojen (API) kautta, mukaan lukien sisältörivien vieminen paikalliseen ympäristöön.

• Tämä pääsy on todennettu ja rajattu verkkosivustoihin, joita ylläpitäjällä on valtuudet hallinnoida.
• Kun ylläpitäjä sijaitsee ETA:n/Yhdistyneen kuningaskunnan/Sveitsin/Kanadan ulkopuolella, tällainen hakeminen on pyydettäessä tapahtuva, ylläpitäjän aloittama siirto, joka on rinnastettavissa alustan hallintapaneelin käyttöön (katso DPA:n jakso 7.1).
• Lainkäyttöalueeseen liittyvät sijaintitoimenpiteemme ja tekniset toimenpiteemme koskevat tietoja niin kauan kuin ne pysyvät infrastruktuurissamme. Kun tiedot on viety ylläpitäjän omaan ympäristöön (kuten paikalliseen koneeseen tai kolmannen osapuolen kehitystyökaluun), ylläpitäjä vastaa niiden suojaamisesta, eivätkä toimenpiteemme ulotu niihin. Tästä ilmoitetaan ylläpitäjille DPA:ssa ja Agentuuriehdoissa.

6. TÄYDENTÄVÄT TOIMENPITEET

SCC:n lisäksi toteutamme seuraavat täydentävät toimenpiteet siirrettyjen henkilötietojen olennaisesti vastaavan suojan tason varmistamiseksi:

6.1 Tekniset toimenpiteet

6.2 Organisatoriset toimenpiteet

6.3 Sopimusmääräykset

7. RISKIARVIOINTI

7.1 Hallituksen pääsyn todennäköisyys

Kokonaistodennäköisyys: MATALA

7.2 Vaikutus pääsyn tapahtuessa

Kokonaisvaikutus: MATALA–KESKITASO (riippuen yksittäisten verkkosivustojen ylläpitäjien keräämien tietojen arkaluonteisuudesta)

7.3 Jäännösriskin arviointi

Ottaen huomioon hallituksen pääsyn matalan todennäköisyyden, täydentävät tekniset toimenpiteet (salaus, pseudonymisointi, tietojen minimointi) ja TM 14086:n tuomat lisäsuojatoimet, arvioimme, että rekisteröityihin kohdistuva jäännösriski on matala ja että täydentävät toimenpiteet yhdessä SCC:n (ETA:n/Yhdistyneen kuningaskunnan/Sveitsin siirroille) ja sopimuksellisten suojatoimien (Kanadan siirroille) kanssa tarjoavat suojan tason, joka on olennaisesti vastaava kuin ETA:ssa taattu ja verrattavissa Kanadan tietosuojalain edellyttämään.

8. PÄÄTELMÄ

Tämän arvioinnin perusteella päättelemme, että:

1. ETA:sta/Yhdistyneestä kuningaskunnasta/Sveitsistä/Kanadasta Yhdysvaltoihin palvelujemme tarjoamisen yhteydessä siirretyt henkilötiedot hyötyvät olennaisesti vastaavasta suojan tasosta kuin EU:n tietosuojalainsäädännön takaama ja vertailukelpoisesta suojan tasosta kuin Kanadan tietosuojalain edellyttämä.

2. Vakiosopimuslausekkeet yhdistettynä kohdassa 6 kuvattuihin täydentäviin teknisiin, organisatorisiin ja sopimuksellisiin toimenpiteisiin käsittelevät riittävästi tässä arvioinnissa tunnistettuja riskejä.

3. Tietojen luonne (pääasiassa pseudonymisoitu analytiikka ja pienten yritysten verkkosivuston vierailijoiden vuorovaikutukset) ja tietojen tuojan profiili (pieni SaaS-yritys, ei teleoperaattori) vähentävät merkittävästi hallituksen valvonnan käytännöllistä riskiä.

4. Toimeenpanomääräyksen 14086 tuomat suojatoimet ja siihen liittyvä muutoksenhakumekanismi tarjoavat lisäsuojan, josta kaikki rekisteröidyt hyötyvät käytetystä siirtomekanismista riippumatta.

5. Kanadan siirtojen osalta tässä kuvatut sopimukselliset suojatoimet ja täydentävät toimenpiteet varmistavat vertailukelpoisen suojan tason kuin PIPEDA:n ja sovellettavan provinssin tietosuojalain, mukaan lukien Quebecin uudistetun tietosuojalain, edellyttämä.

6. Jatkamme Yhdysvaltain valvontalainsäädännön ja -käytännön kehityksen sekä Kanadan tietosuojalain kehityksen (mukaan lukien ehdotettu kuluttajien yksityisyydensuojalaki) seuraamista ja arvioimme tämän TIA:n uudelleen, jos olosuhteet muuttuvat olennaisesti.

Siirrot voivat jatkua edellyttäen, että SCC:ä ja tässä kuvattuja täydentäviä toimenpiteitä sovelletaan jatkuvasti.

9. TARKISTUSAIKATAULU

Tätä TIA:ta tarkistetaan ja päivitetään:

• Vuosittain, vähintään, tai
• Sovellettavien lakien tai säädösten olennaisissa muutoksissa (mukaan lukien muutokset FISA:ssa, CLOUD-laissa, TM 14086:ssa, PIPEDA:ssa tai Kanadan provinssien tietosuolainsäädännössä),
• Alihankkijoissamme tai siirrettävien tietojen luonteessa tapahtuvissa muutoksissa,
• Missä tahansa tuomioistuimen päätöksessä, joka olennaisesti vaikuttaa SCC:n pätevyyteen tai Yhdysvaltojen tietosuojan riittävyyteen.

10. YHTEYSTIEDOT

Jos sinulla on kysymyksiä tästä tiedonsiirron vaikutustenarvioinnista, ota meihin yhteyttä:

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
United States

Puhelin: 888-389-1189
Sähköposti: legal@acira.ai