ÉVALUATION D'IMPACT DES TRANSFERTS

Dernière mise à jour : 19 mars 2026

La présente Évaluation d'Impact des Transferts (« EIT ») a été préparée par Acira AI LLC (« Acira AI », « nous », « notre ») conformément aux exigences de la décision de la Cour de justice de l'Union européenne dans l'affaire Commissaire à la protection des données contre Facebook Ireland Limited et Maximillian Schrems (affaire C-311/18, « Schrems II ») et aux recommandations du Comité européen de la protection des données (Recommandations CEPD 01/2020 sur les mesures supplémentaires).

La présente EIT évalue l'adéquation des protections pour les données personnelles transférées de l'Espace économique européen (« EEE »), du Royaume-Uni, de la Suisse et du Canada vers les États-Unis et d'autres pays tiers dans le cadre de la fourniture de nos Services.

La présente EIT peut être traduite dans d'autres langues pour votre commodité. En cas de conflit ou d'incohérence entre la version anglaise et toute version traduite, la version anglaise prévaudra.

TABLE DES MATIÈRES

1. APERÇU DES TRANSFERTS
2. NATURE DES DONNÉES TRANSFÉRÉES
3. MÉCANISMES DE TRANSFERT
4. ÉVALUATION DES LOIS DU PAYS DE DESTINATION
5. ÉVALUATION DES FLUX DE DONNÉES PAR PRESTATAIRE DE SERVICES
6. MESURES SUPPLÉMENTAIRES
7. ÉVALUATION DES RISQUES
8. CONCLUSION
9. CALENDRIER DE RÉVISION
10. NOUS CONTACTER

1. APERÇU DES TRANSFERTS

1.1 Contexte

Acira AI est une plateforme de logiciel en tant que service qui permet aux entreprises et aux particuliers de créer, de gérer et d'héberger des sites web propulsés par l'intelligence artificielle. Lorsque les utilisateurs créent des sites web auxquels accèdent des visiteurs situés dans l'EEE, au Royaume-Uni, en Suisse ou au Canada, les données personnelles de ces visiteurs peuvent être transférées et traitées aux États-Unis et dans d'autres lieux où nos fournisseurs d'infrastructure opèrent.

1.2 Parties

• Exportateur de données : L'opérateur du site web (notre client, agissant en tant que Responsable du traitement) et, pour les données analytiques, Acira AI en tant que Coresponsable du traitement.
• Importateur de données : Acira AI LLC, constituée dans le Nevada, États-Unis, agissant en tant que Sous-traitant (et Coresponsable du traitement pour les données analytiques).
• Sous-traitants ultérieurs : Prestataires de services tiers engagés par Acira AI (répertoriés à la Section 5).

1.3 Destinations des transferts

2. NATURE DES DONNÉES TRANSFÉRÉES

2.1 Catégories de données personnelles

Les données personnelles transférées dépendent des fonctionnalités activées par l'opérateur du site web et des interactions des visiteurs du site web. Les catégories suivantes peuvent être transférées :

2.2 Catégories de personnes concernées

• Visiteurs de sites web hébergés sur la plateforme Acira AI
• Utilisateurs qui créent des comptes sur des sites web hébergés sur la plateforme
• Utilisateurs qui soumettent des formulaires, interagissent avec des chatbots ou téléchargent des fichiers sur des sites web hébergés

2.3 Données non transférées

• Données de géolocalisation : Les recherches IP vers emplacement sont effectuées à la périphérie du réseau par notre fournisseur d'infrastructure. Aucune adresse IP de visiteur n'est transmise à un service de géolocalisation externe.
• Adresses IP analytiques brutes : Seul un hachage cryptographique à rotation quotidienne est stocké ; les IP brutes ne sont pas persistées dans les systèmes analytiques.
• Mots de passe en clair : Seuls les hachages cryptographiques sont stockés et transférés.

3. MÉCANISMES DE TRANSFERT

3.1 Mécanisme principal : Clauses contractuelles types

Nous nous appuyons sur les clauses contractuelles types (CCT) de la Commission européenne adoptées par la décision d'exécution de la Commission (UE) 2021/914, spécifiquement :

• Module Un (Responsable du traitement à Responsable du traitement) : Pour les transferts de données analytiques où Acira AI agit en tant que coresponsable du traitement avec l'opérateur du site web (voir DPA Section 2.3).
• Module Deux (Responsable du traitement à Sous-traitant) : Pour les transferts de données personnelles des visiteurs depuis l'opérateur du site web (Responsable du traitement) vers Acira AI (Sous-traitant).
• Module Trois (Sous-traitant à Sous-traitant ultérieur) : Pour les transferts ultérieurs d'Acira AI vers nos sous-traitants ultérieurs.

3.2 Transferts vers le Royaume-Uni, la Suisse et le Canada

• Royaume-Uni : L'Addendum de transfert international de données du Royaume-Uni aux CCT de l'UE s'applique.
• Suisse : Les CCT s'appliquent avec les modifications requises par la Loi fédérale suisse sur la protection des données (LPD).
• Canada : Les transferts s'appuient sur des protections contractuelles avec chaque sous-traitant ultérieur imposant des obligations compatibles avec la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) et la législation provinciale applicable sur la vie privée, combinées avec les mesures techniques et organisationnelles supplémentaires décrites à la Section 6. Voir DPA Section 7.4 pour les détails.

3.3 Mécanismes de transfert des sous-traitants ultérieurs

4. ÉVALUATION DES LOIS DU PAYS DE DESTINATION

4.1 États-Unis

Les États-Unis sont la principale destination des données transférées. Les lois américaines suivantes sont pertinentes pour cette évaluation :

4.1.1 Foreign Intelligence Surveillance Act (FISA), Section 702

La Section 702 du FISA autorise le gouvernement américain à contraindre les fournisseurs de services de communications électroniques à fournir l'accès aux communications de personnes non américaines situées en dehors des États-Unis à des fins de renseignement étranger.

Évaluation du risque :

• Applicabilité : La Section 702 du FISA s'applique aux « fournisseurs de services de communications électroniques » tels que définis au 50 U.S.C. § 1881(b)(4). Acira AI est une plateforme SaaS d'hébergement de sites web, pas un opérateur de télécommunications traditionnel. Nos sous-traitants ultérieurs (AWS, Cloudflare) sont plus susceptibles d'être soumis à des directives de la Section 702.
• Portée des données à risque : Les données personnelles que nous traitons consistent principalement en des données analytiques des visiteurs du site web (pseudonymisées), des soumissions de formulaires et des messages chatbot. Ces données sont peu susceptibles d'être d'intérêt pour le renseignement étranger.
• Probabilité pratique : Nous n'avons jamais reçu de directive de la Section 702 du FISA et nous évaluons la probabilité pratique d'en recevoir une comme très faible, compte tenu de la nature de nos Services et des données que nous traitons.

4.1.2 Executive Order 12333

L'EO 12333 autorise les agences de renseignement américaines à mener des activités de surveillance, y compris la collecte en masse de renseignements d'origine électromagnétique. Il s'applique aux données en transit et ne contraint pas les entreprises privées à coopérer.

Évaluation du risque :

• Atténuation : Toutes les données en transit sont chiffrées avec TLS. L'interception en masse de données chiffrées en transit ne produirait pas de données personnelles en clair.
• Probabilité pratique : Faible. Les données traitées via nos Services ne sont pas de la nature typiquement ciblée par le renseignement d'origine électromagnétique.

4.1.3 Executive Order 14086 et le Cadre de protection des données UE-États-Unis

L'Executive Order 14086 (octobre 2022) a introduit des garanties supplémentaires pour les activités de renseignement d'origine électromagnétique, notamment :

• Des exigences de nécessité et de proportionnalité pour la collecte de renseignements
• Un mécanisme de recours à deux niveaux (Officier de protection des libertés civiles + Tribunal d'examen de la protection des données) disponible pour les personnes de l'UE/Royaume-Uni/Suisse
• Des limitations à la collecte en masse

La Commission européenne a adopté une décision d'adéquation pour le Cadre de protection des données UE-États-Unis (DPF) le 10 juillet 2023. Bien qu'Acira AI ne soit pas actuellement autocertifiée dans le cadre du DPF, les protections prévues par l'EO 14086 s'appliquent largement à tous les transferts de données vers les États-Unis et bénéficient à toutes les personnes concernées, quel que soit le mécanisme de transfert utilisé.

4.1.4 Loi CLOUD

La Clarifying Lawful Overseas Use of Data Act (loi CLOUD) permet aux forces de l'ordre américaines de contraindre les fournisseurs basés aux États-Unis à produire des données, quel que soit le lieu de stockage, sous réserve d'un mandat ou d'une ordonnance judiciaire valide.

Évaluation du risque :

• Garanties : La loi CLOUD requiert un processus juridique valide (mandat, assignation ou ordonnance judiciaire). Elle n'autorise pas l'accès en masse sans mandat.
• Dispositions de courtoisie : La loi CLOUD comprend un cadre de courtoisie qui permet aux fournisseurs de contester les ordonnances contraires au droit étranger.
• Probabilité pratique : Faible pour les données des visiteurs du site web. Les demandes des forces de l'ordre cibleraient plus probablement des comptes spécifiques soupçonnés d'activité criminelle, et non des données analytiques des visiteurs ou des soumissions de formulaires.

4.2 Israël (BrightData)

BrightData est basée en Israël. Israël dispose d'une décision d'adéquation de la Commission européenne (2011/61/UE), ce qui signifie que les transferts vers Israël sont traités de manière similaire aux transferts intra-EEE. Cependant, BrightData traite également des données dans d'autres sites mondiaux. Nous notons que :

• Le traitement BrightData n'intervient que sur instruction de l'utilisateur (lors de la création du site web pour l'importation de contenu) ou lors du suivi SERP planifié.
• Aucune donnée personnelle des visiteurs du site web n'est transmise à BrightData.

4.3 Canada (transferts du Canada vers les États-Unis)

Les données personnelles des visiteurs de sites web situés au Canada peuvent être transférées aux États-Unis pour traitement. Les lois canadiennes suivantes sont pertinentes pour cette évaluation :

4.3.1 Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE)

La LPRPDE régit la collecte, l'utilisation et la divulgation de renseignements personnels par les organisations du secteur privé dans le cadre d'activités commerciales. Le principe 4.1.3 de la LPRPDE exige que les organisations utilisent des moyens contractuels ou autres pour assurer un niveau de protection comparable lorsque des renseignements personnels sont transférés à des tiers pour traitement, y compris les transferts en dehors du Canada.

Évaluation du risque :

• Protection comparable : Les mesures supplémentaires décrites à la Section 6 (chiffrement, pseudonymisation, contrôles d'accès, minimisation des données) offrent un niveau de protection comparable à celui requis sous la LPRPDE. Des accords de traitement des données écrits sont en place avec tous les sous-traitants ultérieurs.
• Pas d'exigence d'adéquation : Contrairement au RGPD, la LPRPDE n'interdit pas les transferts vers des pays sans décision d'« adéquation ». Les organisations doivent assurer une protection comparable par des moyens contractuels et autres, ce que nous avons mis en place.

4.3.2 Législation provinciale sur la vie privée

La Loi sur la protection des renseignements personnels (LPRP) de l'Alberta, la Loi sur la protection des renseignements personnels (LPRP) de la Colombie-Britannique et la Loi québécoise relative à la protection des renseignements personnels dans le secteur privé imposent des exigences supplémentaires pour certaines provinces :

Évaluation du risque :

• Loi 25 du Québec : La loi modernisée sur la vie privée du Québec (en vigueur depuis septembre 2023) exige une évaluation des facteurs relatifs à la vie privée avant de transférer des renseignements personnels en dehors du Québec, et l'organisation transférante doit s'assurer que les informations recevront une protection adéquate. Nos protections contractuelles, mesures techniques supplémentaires et la nature des données (principalement des données analytiques pseudonymisées et des interactions de sites web de petites entreprises) appuient une conclusion de protection adéquate.
• Alberta et Colombie-Britannique : Les LPRP de l'Alberta et de la Colombie-Britannique exigent que les organisations assurent une protection comparable pour les données transférées. Nos protections contractuelles et techniques satisfont à cette exigence.

4.3.3 Accès du gouvernement américain d'un point de vue canadien

Les mêmes risques d'accès du gouvernement américain évalués à la Section 4.1 s'appliquent aux transferts de données canadiennes. La faible probabilité d'accès gouvernemental (compte tenu de la nature des données et du profil de notre entreprise), combinée aux mesures supplémentaires de la Section 6, garantit que les données personnelles transférées du Canada aux États-Unis reçoivent un niveau de protection comparable à celui requis en vertu de la législation canadienne sur la vie privée.

4.4 Emplacements de périphérie mondiaux (Cloudflare)

Cloudflare exploite un réseau mondial d'emplacements de périphérie. Les demandes des visiteurs de l'UE sont généralement traitées au point de présence Cloudflare le plus proche, qui pour les visiteurs de l'UE sera généralement un emplacement de l'UE.

• Le routage des demandes, la terminaison TLS et la protection contre les bots se produisent à l'emplacement de périphérie le plus proche.
• Pour les opérateurs de sites web identifiés comme résidents de l'UE, le stockage persistant (contenant les soumissions de formulaires, les conversations chatbot et les données de session) est jurisdictionnellement restreint à l'Union européenne en utilisant l'API de juridiction de Cloudflare. Pour les opérateurs de sites web non-UE, le stockage persistant est situé près de la région géographique de l'opérateur mais peut être situé en dehors de l'UE.
• Les données analytiques sont traitées sur l'infrastructure gérée par Cloudflare.

5. ÉVALUATION DES FLUX DE DONNÉES PAR PRESTATAIRE DE SERVICES

5.1 Amazon Web Services (États-Unis)

Garanties AWS :

• Certifié ISO 27001, 27017, 27018
• Rapports SOC 1/2/3 disponibles
• Données chiffrées au repos en utilisant un chiffrement standard de l'industrie
• Données chiffrées en transit (TLS)
• Contrôles d'accès au moindre privilège par composant système
• Services principaux hébergés aux États-Unis ; les opérations automatisées orientées visiteurs (notifications de soumission de contenu et livraison d'e-mails transactionnels) pour les opérateurs de sites web résidents de l'UE sont traitées dans l'Union européenne (Stockholm)

5.2 Cloudflare (Mondial)

Garanties Cloudflare :

• Certifié ISO 27001, SOC 2 Type II
• TLS 1.2+ pour toutes les connexions
• DPA Cloudflare avec CCT disponible
• Le traitement en périphérie signifie que les données des visiteurs UE sont généralement traitées aux emplacements de périphérie de l'UE pour le traitement des demandes
• Pour les opérateurs de sites web identifiés comme résidents de l'UE, le stockage persistant (contenant les soumissions de formulaires, les conversations chatbot, les données de session et les données de tables utilisateur) est jurisdictionnellement restreint à l'Union européenne en utilisant l'API de juridiction de Cloudflare, garantissant que ces données sont stockées et traitées exclusivement dans les centres de données de l'UE. Les appels API backend depuis la périphérie (pour les notifications de soumission de contenu et la livraison d'e-mails transactionnels) sont acheminés vers l'infrastructure AWS basée dans l'UE.
• L'inférence IA ne conserve pas les données d'entrée pour l'entraînement

5.3 Stripe (États-Unis)

Remarque : Stripe ne reçoit pas de données personnelles des visiteurs du site web. Seules les informations de facturation de l'opérateur du site web (notre client) sont traitées par Stripe.

Garanties Stripe :

• Certifié PCI DSS Niveau 1
• Certifié ISO 27001
• DPA Stripe avec CCT disponible

5.4 Fournisseurs d'inférence IA (États-Unis)

Fireworks AI et xAI fournissent des services d'inférence de modèles IA.

Remarque : Ces fournisseurs d'IA ne reçoivent pas de données personnelles des visiteurs du site web. La fonctionnalité chatbot (servant les visiteurs du site web) utilise Cloudflare Workers AI (évalué à la Section 5.2), et non ces fournisseurs. Cependant, l'assistant IA conversationnel de la plateforme — utilisé par les opérateurs de sites web pour gérer leurs sites — envoie des données personnelles des utilisateurs de la plateforme (nom, adresse e-mail et historique de conversation) à ces fournisseurs dans le cadre de la génération de réponses. Pour ce traitement, Acira AI agit en tant que responsable du traitement (et non sous-traitant), et les personnes concernées sont nos utilisateurs de la plateforme (opérateurs de sites web), et non leurs visiteurs de sites web. Ce flux de données est régi par notre Politique de confidentialité et nos accords avec ces fournisseurs, et non par le cadre responsable-sous-traitant du DPA pour les données des visiteurs.

Familles de modèles : Ces fournisseurs d'infrastructure hébergent et exécutent des modèles IA développés par divers tiers. Les modèles spécifiques et les familles de modèles utilisés peuvent changer au fil du temps. Les développeurs de modèles ne reçoivent pas et n'ont pas accès aux données des utilisateurs — tout le traitement des données se produit exclusivement au sein de l'infrastructure des sous-traitants listés, quel que soit l'endroit où un modèle a été initialement développé. Tout le traitement d'inférence IA reste sur l'infrastructure de nos sous-traitants listés. Aucune donnée d'utilisateur n'est transmise aux développeurs de modèles ou à une infrastructure en dehors des sous-traitants listés dans cette évaluation. Une liste actuelle des familles de modèles utilisées est disponible sur demande en contactant legal@acira.ai.

5.5 BrightData (Israël / Mondial)

Remarque : BrightData ne traite pas de données personnelles des visiteurs du site web. Elle traite le contenu web accessible au public lorsqu'il est dirigé par l'utilisateur et suit les classements des moteurs de recherche pour les mots-clés définis par l'utilisateur.

5.6 Prestataires basés dans l'UE (Pas de transfert)

Ces prestataires traitent les données au sein de l'UE et ne constituent pas un transfert international. Black Forest Labs ne reçoit que des invites textuelles pour la génération d'images ; aucune donnée personnelle n'est impliquée.

6. MESURES SUPPLÉMENTAIRES

En plus des CCT, nous mettons en œuvre les mesures supplémentaires suivantes pour assurer un niveau de protection essentiellement équivalent pour les données personnelles transférées :

6.1 Mesures techniques

6.2 Mesures organisationnelles

6.3 Mesures contractuelles

7. ÉVALUATION DES RISQUES

7.1 Probabilité d'accès gouvernemental

Probabilité globale : FAIBLE

7.2 Impact en cas d'accès

Impact global : FAIBLE à MOYEN (selon la sensibilité des données collectées par les différents opérateurs de sites web)

7.3 Évaluation du risque résiduel

Compte tenu de la faible probabilité d'accès gouvernemental, des mesures techniques supplémentaires (chiffrement, pseudonymisation, minimisation des données) et des garanties supplémentaires introduites par l'EO 14086, nous évaluons que le risque résiduel pour les personnes concernées est faible et que les mesures supplémentaires, combinées aux CCT (pour les transferts EEE/Royaume-Uni/Suisse) et aux protections contractuelles (pour les transferts canadiens), offrent un niveau de protection essentiellement équivalent à celui garanti au sein de l'EEE et comparable à celui requis en vertu de la législation canadienne sur la vie privée.

8. CONCLUSION

Sur la base de cette évaluation, nous concluons que :

1. Les données personnelles transférées de l'EEE/Royaume-Uni/Suisse/Canada vers les États-Unis dans le cadre de la fourniture de nos Services bénéficient d'un niveau de protection essentiellement équivalent à celui garanti par le droit européen de la protection des données et d'un niveau de protection comparable à celui requis en vertu de la législation canadienne sur la vie privée.

2. Les Clauses contractuelles types, combinées aux mesures techniques, organisationnelles et contractuelles supplémentaires décrites à la Section 6, traitent adéquatement les risques identifiés dans cette évaluation.

3. La nature des données (principalement des données analytiques pseudonymisées et des interactions de visiteurs de sites web de petites entreprises) et le profil de l'importateur de données (une petite entreprise SaaS, non un opérateur de télécommunications) réduisent considérablement le risque pratique de surveillance gouvernementale.

4. Les protections introduites par l'Executive Order 14086 et le mécanisme de recours associé fournissent des garanties supplémentaires dont bénéficient toutes les personnes concernées, quel que soit le mécanisme de transfert spécifique utilisé.

5. Pour les transferts canadiens, les protections contractuelles et les mesures supplémentaires décrites ici garantissent un niveau de protection comparable à celui requis en vertu de la LPRPDE et de la législation provinciale applicable sur la vie privée, y compris la loi modernisée sur la vie privée du Québec.

6. Nous continuerons à surveiller les évolutions du droit et des pratiques américains en matière de surveillance, ainsi que les évolutions du droit canadien sur la vie privée (y compris la proposée Loi sur la protection de la vie privée des consommateurs), et nous réévaluerons la présente EIT si les circonstances changent de manière substantielle.

Les transferts peuvent se poursuivre sous réserve de l'application continue des CCT et des mesures supplémentaires décrites ici.

9. CALENDRIER DE RÉVISION

La présente EIT sera révisée et mise à jour :

• Annuellement, au minimum, ou
• En cas de modifications substantielles des lois ou réglementations applicables (y compris les modifications du FISA, de la loi CLOUD, de l'EO 14086, de la LPRPDE ou de la législation provinciale canadienne sur la vie privée),
• En cas de modifications de nos sous-traitants ultérieurs ou de la nature des données transférées,
• En cas de décision de justice qui affecte substantiellement la validité des CCT ou l'adéquation de la protection des données américaine.

10. NOUS CONTACTER

Si vous avez des questions concernant la présente Évaluation d'Impact des Transferts, veuillez nous contacter à :

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
United States

Téléphone : 888-389-1189
E-mail : legal@acira.ai