ટ્રાન્સફર ઇમ્પેક્ટ એસેસમેન્ટ

છેલ્લે અપડેટ કર્યું: 6 જુલાઈ, 2026

આ ટ્રાન્સફર ઇમ્પેક્ટ એસેસમેન્ટ ("TIA") Acira AI LLC ("Acira AI," "અમે," "અમને," "અમારો") દ્વારા યુરોપિયન યુનિયનના ન્યાયાલયના Data Protection Commissioner v. Facebook Ireland Limited and Maximillian Schrems (Case C-311/18, "Schrems II") નિર્ણયની આવશ્યકતાઓ તથા યુરોપિયન ડેટા પ્રોટેક્શન બોર્ડની ભલામણો (EDPB Recommendations 01/2020 on supplementary measures) અનુસાર તૈયાર કરવામાં આવ્યું છે.

આ TIA અમારી સેવાઓના પ્રદાન સાથે સંબંધિત રીતે યુરોપિયન આર્થિક વિસ્તાર ("EEA"), યુનાઇટેડ કિંગડમ ("UK"), સ્વિટ્ઝર્લૅન્ડ અને કેનેડાથી યુનાઇટેડ સ્ટેટ્સ અને અન્ય ત્રીજા દેશોમાં ટ્રાન્સફર થતી વ્યક્તિગત માહિતી માટે ઉપલબ્ધ સુરક્ષા પૂરતી છે કે નહીં તેનું મૂલ્યાંકન કરે છે.

આ TIA તમારી સગવડ માટે અન્ય ભાષાઓમાં અનુવાદિત થઈ શકે છે. અંગ્રેજી સંસ્કરણ અને કોઈપણ અનુવાદિત સંસ્કરણ વચ્ચે કોઈ વિરોધાભાસ અથવા અસંગતતા હોય, તો અંગ્રેજી સંસ્કરણ પ્રવર્તશે.

સામગ્રી કોષ્ટક

1. ટ્રાન્સફરોની સમીક્ષા
2. ટ્રાન્સફર થતી માહિતીનું સ્વરૂપ
3. ટ્રાન્સફર મિકેનિઝમ્સ
4. ગંતવ્ય દેશોના કાયદાઓનું મૂલ્યાંકન
5. સેવા પ્રદાતા મુજબ ડેટા પ્રવાહોનું મૂલ્યાંકન
6. પૂરક સુરક્ષા પગલાં
7. જોખમ મૂલ્યાંકન
8. નિષ્કર્ષ
9. સમીક્ષા સમયપત્રક
10. અમારી સાથે સંપર્ક કરો

1. ટ્રાન્સફરોની સમીક્ષા

1.1 પરિપ્રેક્ષ્ય

Acira AI એક સોફ્ટવેર-એઝ-અ-સર્વિસ પ્લેટફોર્મ છે, જે વ્યવસાયો અને વ્યક્તિઓને AI આધારિત વેબસાઇટ્સ બનાવવા, સંચાલિત કરવા અને હોસ્ટ કરવાની સગવડ આપે છે. જ્યારે વપરાશકર્તાઓ એવી વેબસાઇટ્સ બનાવે છે જેને EEA, UK, સ્વિટ્ઝર્લૅન્ડ અથવા કેનેડામાં આવેલા મુલાકાતીઓ ઍક્સેસ કરે છે, ત્યારે એ મુલાકાતીઓની વ્યક્તિગત માહિતી યુનાઇટેડ સ્ટેટ્સ અને અમારા ઇન્ફ્રાસ્ટ્રક્ચર પ્રદાતાઓ કાર્યરત હોય તેવી અન્ય જગ્યાઓ પર ટ્રાન્સફર અને પ્રોસેસ થઈ શકે છે.

1.2 પક્ષકારો

• ડેટા નિકાસકર્તા: વેબસાઇટ ઓપરેટર (અમારો ગ્રાહક, નિયંત્રક તરીકે કાર્યરત) અને એનાલિટિક્સ ડેટા માટે Acira AI, સંયુક્ત નિયંત્રક તરીકે. જ્યાં કોઈ વેબસાઇટ અમારા એજન્સી પ્રોગ્રામ દ્વારા સંચાલિત કરવામાં આવે છે, ત્યાં એજન્સી અને/અથવા તેનો એન્ડ ક્લાઇન્ટ નિયંત્રક/ડેટા નિકાસકર્તા તરીકે કાર્ય કરે છે (અમારી એજન્સી શરતો અને DPA વિભાગ 2.7 જુઓ).
• ડેટા આયાતકર્તા: Acira AI LLC, નેવાડા, યુનાઇટેડ સ્ટેટ્સમાં સ્થાપિત, પ્રોસેસર તરીકે કાર્યરત (અને એનાલિટિક્સ માટે સંયુક્ત નિયંત્રક તરીકે).
• સબ-પ્રોસેસર્સ: Acira AI દ્વારા જોડાયેલા તૃતીય પક્ષના સેવા પ્રદાતાઓ (વિભાગ 5માં સૂચિબદ્ધ).

1.3 ટ્રાન્સફરના ગંતવ્ય

2. ટ્રાન્સફર થતી માહિતીનું સ્વરૂપ

2.1 વ્યક્તિગત માહિતીની કેટેગરીઝ

ટ્રાન્સફર થતી વ્યક્તિગત માહિતી વેબસાઇટ ઓપરેટર દ્વારા સક્ષમ કરાયેલ સુવિધાઓ અને વેબસાઇટ મુલાકાતીઓની ક્રિયાપ્રતિક્રિયાઓ પર આધાર રાખે છે. નીચેની કેટેગરીઝ ટ્રાન્સફર થઈ શકે છે:

2.2 ડેટા વિષયોની કેટેગરીઝ

• Acira AI પ્લેટફોર્મ પર હોસ્ટ કરાયેલી વેબસાઇટોના મુલાકાતીઓ
• પ્લેટફોર્મ પર હોસ્ટ થયેલી વેબસાઇટ્સ પર એકાઉન્ટ બનાવતા વપરાશકર્તાઓ
• હોસ્ટ કરાયેલી વેબસાઇટ્સ પર ફોર્મ સબમિટ કરનાર, ચેટબોટ સાથે ક્રિયાપ્રતિક્રિયા કરનાર, અથવા ફાઇલ અપલોડ કરનાર વપરાશકર્તાઓ

2.3 ટ્રાન્સફર ન થતી માહિતી

• ભૂ-સ્થાન માહિતી: IP-થી-સ્થાન લુકઅપ્સ અમારા ઇન્ફ્રાસ્ટ્રક્ચર પ્રદાતા દ્વારા નેટવર્ક એજ પર કરવામાં આવે છે. કોઈપણ મુલાકાતી IP સરનામાંઓ કોઈ બાહ્ય ભૂ-સ્થાન સેવાએ મોકલવામાં આવતા નથી.
• મુલાકાતીઓના રૉ IP સરનામાંઓ: પ્લેટફોર્મ તેમને સંગ્રહિત કરતું નથી. એનાલિટિક્સ ફક્ત દૈનિક-પરિવર્તિત કી-આધારિત હૅશ સંગ્રહે છે; રેટ લિમિટિંગ ફક્ત કી-આધારિત હૅશ સંગ્રહે છે; ફોર્મ સબમિશન અને ચેટબોટ વાતચીત દેશ અને પ્રદેશ નોંધે છે, સરનામું નહીં. વેબસાઇટ સંચાલકનો પોતાનો પેજ કોડ મુલાકાતીનું IP સરનામું વાંચી શકે છે, અને તે સંચાલક જે કંઈ સંગ્રહવાનું પસંદ કરે તે તેનો પોતાનો સંગ્રહ છે, જે તેની પોતાની ગોપનીયતા નીતિ હેઠળ આવે છે.
• સાદા-લેખિત પાસવર્ડ્સ: માત્ર ક્રિપ્ટોગ્રાફિક હૅશિસ સંગ્રહિત અને ટ્રાન્સફર થાય છે.

3. ટ્રાન્સફર મિકેનિઝમ્સ

3.1 મુખ્ય મિકેનિઝમ: સ્ટાન્ડર્ડ કોન્ટ્રાક્ચુઅલ કલોઝિસ

અમે યુરોપિયન કમિશન દ્વારા Commission Implementing Decision (EU) 2021/914 હેઠળ અપનાવવામાં આવેલા સ્ટાન્ડર્ડ કોન્ટ્રાક્ચુઅલ કલોઝિસ (SCCs) પર આધાર રાખીએ છીએ, ખાસ કરીને:

• મોડ્યુલ એક (નિયંત્રકથી નિયંત્રક): જ્યાં Acira AI વેબસાઇટ ઓપરેટર સાથે સંયુક્ત નિયંત્રક તરીકે કાર્ય કરે છે તેવા એનાલિટિક્સ ડેટાના ટ્રાન્સફર માટે (DPA વિભાગ 2.3 જુઓ).
• મોડ્યુલ બે (નિયંત્રકથી પ્રોસેસર): વેબસાઇટ ઓપરેટર (નિયંત્રક) પાસેથી Acira AI (પ્રોસેસર) તરફ મુલાકાતીઓની વ્યક્તિગત માહિતીના ટ્રાન્સફર માટે.
• મોડ્યુલ ત્રણ (પ્રોસેસરથી સબ-પ્રોસેસર): Acira AI તરફથી અમારા સબ-પ્રોસેસર્સને આગળના ટ્રાન્સફરો માટે.

3.2 UK, સ્વિસ અને કેનેડિયન ટ્રાન્સફરો

• UK: EU SCCs માટેનો UK International Data Transfer Addendum લાગુ પડે છે.
• સ્વિટ્ઝર્લૅન્ડ: Swiss Federal Act on Data Protection (FADP) દ્વારા જરૂરી ફેરફારો સાથે SCCs લાગુ પડે છે.
• કેનેડા: ટ્રાન્સફરો માટે પ્રત્યેક સબ-પ્રોસેસર સાથે કરાર આધારિત સુરક્ષા અપનાવવામાં આવી છે, જે Personal Information Protection and Electronic Documents Act (PIPEDA) તથા લાગુ પડતા પ્રાંતીય ગોપનીયતા કાયદાઓ સાથે સુસંગત બાધ્યતાઓ લાદે છે, અને સાથે જ વિભાગ 6માં વર્ણવાયેલા પૂરક ટેકનિકલ અને સંગઠનાત્મક પગલાં લાગુ પડે છે. વિગતો માટે DPA વિભાગ 7.4 જુઓ.

3.3 સબ-પ્રોસેસર ટ્રાન્સફર મિકેનિઝમ્સ

4. ગંતવ્ય દેશોના કાયદાઓનું મૂલ્યાંકન

4.1 યુનાઇટેડ સ્ટેટ્સ

યુનાઇટેડ સ્ટેટ્સ ટ્રાન્સફર થતી માહિતીનું મુખ્ય ગંતવ્ય છે. આ મૂલ્યાંકન માટે નીચેના અમેરિકન કાયદાઓ સંબંધિત છે:

4.1.1 Foreign Intelligence Surveillance Act (FISA), Section 702

FISA Section 702 અમેરિકી સરકારે વિદેશી ગુપ્તચર હેતુઓ માટે યુનાઇટેડ સ્ટેટ્સ બહાર સ્થિત બિન-અમેરિકન વ્યક્તિઓની સંચાર માહિતી સુધી ઍક્સેસ આપવા માટે ઇલેક્ટ્રોનિક કમ્યુનિકેશન્સ સેવા પ્રદાતાઓને બાધ્ય કરવાની સત્તા આપે છે.

જોખમનું મૂલ્યાંકન:

• લાગુ પડતાપણું: FISA Section 702 50 U.S.C. § 1881(b)(4)માં વ્યાખ્યાયિત "electronic communication service providers" પર લાગુ પડે છે, જે વ્યાખ્યા રિમોટ કમ્પ્યુટિંગ સેવાઓના પ્રદાતાઓ સુધી પહોંચવા માટે પૂરતી વ્યાપક છે, જેમાં સંભવતઃ Acira AI જેવા SaaS પ્લેટફોર્મ્સ તેમજ અમારા ઇન્ફ્રાસ્ટ્રક્ચર સબ-પ્રોસેસર્સ (AWS, Cloudflare) સામેલ છે.
• જોખમ હેઠળનું ડેટા ક્ષેત્ર: અમે જે વ્યક્તિગત માહિતી પ્રોસેસ કરીએ છીએ તે મુખ્યત્વે વેબસાઇટ મુલાકાતી એનાલિટિક્સ (ઉપનામીકૃત), ફોર્મ સબમિશન્સ અને ચેટબોટ સંદેશાઓથી બનેલી છે. આ માહિતી વિદેશી ગુપ્તચર રસ માટે સંભવતઃ મહત્વપૂર્ણ નથી.
• વ્યવહારુ સંભાવના: અમારી સેવાઓ તથા અમે પ્રોસેસ કરતા ડેટાના સ્વરૂપને ધ્યાનમાં લેતાં, Section 702 નિર્દેશ મળવાની વ્યવહારુ સંભાવના અમે અત્યંત ઓછી હોવાનું આકલન કરીએ છીએ.

4.1.2 Executive Order 12333

EO 12333 અમેરિકન ગુપ્તચર એજન્સીઓને દેખરેખ પ્રવૃત્તિઓ ચલાવવાની સત્તા આપે છે, જેમાં સંકેત ગુપ્તચરનું વ્યાપક સંગ્રહ પણ સામેલ છે. તે ટ્રાન્સિટમાં રહેલા ડેટા પર લાગુ પડે છે અને ખાનગી કંપનીઓને સહકાર માટે બાધ્ય કરતું નથી.

જોખમનું મૂલ્યાંકન:

• જોખમ ઘટાડવું: ટ્રાન્સિટમાં રહેલું તમામ ડેટા TLS નો ઉપયોગ કરીને એનક્રિપ્ટ થાય છે. ટ્રાન્સિટમાં એનક્રિપ્ટ થયેલ ડેટાનું વ્યાપક અવરોધન કરવામાં આવે તો પણ સાદા-લેખિત વ્યક્તિગત માહિતી પ્રાપ્ત થતી નથી.
• વ્યવહારુ સંભાવના: ઓછી. અમારી સેવાઓ મારફતે પ્રોસેસ થતું ડેટા સંકેત ગુપ્તચર દ્વારા સામાન્ય રીતે નિશાન બનાવાતી પ્રકારનું નથી.

4.1.3 Executive Order 14086 અને EU-US Data Privacy Framework

Executive Order 14086 (ઓક્ટોબર 2022) એ સંકેત ગુપ્તચર પ્રવૃત્તિઓ માટે વધારાની સુરક્ષા વ્યવસ્થાઓ રજૂ કરી, જેમાં સામેલ છે:

• ગુપ્તચર સંગ્રહ માટે આવશ્યકતા અને સમપ્રમાણિકતા સંબંધિત આવશ્યકતાઓ
• EU/UK/Swiss વ્યક્તિઓ માટે ઉપલબ્ધ બે-સ્તરીય ન્યાયપ્રાપ્તિ મિકેનિઝમ (Civil Liberties Protection Officer + Data Protection Review Court)
• વ્યાપક સંગ્રહ પર મર્યાદાઓ

યુરોપિયન કમિશને 10 જુલાઈ, 2023ના રોજ EU-US Data Privacy Framework (DPF) માટે પર્યાપ્તતા નિર્ણય અપનાવ્યો. Acira AI હાલમાં DPF હેઠળ સ્વ-પ્રમાણિત નથી, છતાં EO 14086 હેઠળની સુરક્ષાઓ વ્યાપક રીતે યુનાઇટેડ સ્ટેટ્સમાં થતા તમામ ડેટા ટ્રાન્સફરો પર લાગુ પડે છે અને ઉપયોગમાં લેવાયેલા ટ્રાન્સફર મિકેનિઝમથી પરવા કર્યા વિના બધા ડેટા વિષયોને લાભ આપે છે.

4.1.4 CLOUD Act

Clarifying Lawful Overseas Use of Data (CLOUD) Act માન્ય વૉરન્ટ અથવા અદાલતી આદેશના આધારે, ડેટા જ્યાં સંગ્રહિત હોય તેની પરવા કર્યા વિના, અમેરિકન કાયદો અમલ એજન્સીઓને અમેરિકન આધારિત પ્રદાતાઓ પાસેથી ડેટા પ્રદાન કરવાની માંગ કરવાની પરવાનગી આપે છે.

જોખમનું મૂલ્યાંકન:

• સુરક્ષા વ્યવસ્થાઓ: CLOUD Act માટે માન્ય કાનૂની પ્રક્રિયા (વૉરન્ટ, સમન્સ અથવા અદાલતી આદેશ) જરૂરી છે. તે વૉરન્ટ વિના વ્યાપક ઍક્સેસની મંજૂરી આપતું નથી.
• સૌજન્ય જોગવાઈઓ: CLOUD Actમાં એવું સૌજન્ય માળખું છે, જે પ્રદાતાઓને વિદેશી કાયદા સાથે ટકરાતા આદેશોને પડકારવાની મંજૂરી આપે છે.
• વ્યવહારુ સંભાવના: વેબસાઇટ મુલાકાતી ડેટા માટે ઓછી. કાયદો અમલ એજન્સીઓની વિનંતીઓ વધુ શક્યતા મુજબ ફોજદારી પ્રવૃત્તિમાં સંકળાયેલા શંકાસ્પદ ચોક્કસ એકાઉન્ટોને નિશાન બનાવશે, મુલાકાતી એનાલિટિક્સ અથવા ફોર્મ સબમિશન્સને નહીં.

4.2 ઇઝરાયેલ (BrightData)

BrightData ઇઝરાયેલમાં સ્થિત છે. ઇઝરાયેલ માટે યુરોપિયન કમિશનનો પર્યાપ્તતા નિર્ણય (2011/61/EU) ઉપલબ્ધ છે, એટલે ઇઝરાયેલ તરફના ટ્રાન્સફરોને EEAની અંદરના ટ્રાન્સફર જેવી જ રીતે જોવામાં આવે છે. તેમ છતાં, BrightData અન્ય વૈશ્વિક સ્થળોએ પણ ડેટા પ્રોસેસ કરે છે. અમે નોંધીએ છીએ કે:

• BrightData પ્રોસેસિંગ માત્ર વપરાશકર્તા-દિશાનિર્દેશિત પરિસ્થિતિઓમાં (વેબસાઇટ રચના દરમિયાન કન્ટેન્ટ ઇમ્પોર્ટ માટે) અથવા સુનિશ્ચિત SERP ટ્રેકિંગ દરમિયાન થાય છે.
• કોઈપણ વેબસાઇટ મુલાકાતીની વ્યક્તિગત માહિતી BrightDataને મોકલવામાં આવતી નથી.

4.3 કેનેડા (કેનેડાથી યુનાઇટેડ સ્ટેટ્સ તરફના ટ્રાન્સફરો)

કેનેડામાં સ્થિત વેબસાઇટ મુલાકાતીઓની વ્યક્તિગત માહિતી પ્રોસેસિંગ માટે યુનાઇટેડ સ્ટેટ્સમાં ટ્રાન્સફર થઈ શકે છે. આ મૂલ્યાંકન માટે નીચેના કેનેડિયન કાયદાઓ સંબંધિત છે:

4.3.1 Personal Information Protection and Electronic Documents Act (PIPEDA)

PIPEDA વ્યાવસાયિક પ્રવૃત્તિઓના સંદર્ભમાં ખાનગી ક્ષેત્રની સંસ્થાઓ દ્વારા વ્યક્તિગત માહિતીનું સંગ્રહ, ઉપયોગ અને જાહેર કરવાનું નિયંત્રિત કરે છે. PIPEDA Principle 4.1.3 અનુસાર, જ્યારે વ્યક્તિગત માહિતી પ્રોસેસિંગ માટે તૃતીય પક્ષોને ટ્રાન્સફર થાય, જેમાં કેનેડાની બહારના ટ્રાન્સફરો પણ સામેલ છે, ત્યારે સંસ્થાઓએ કરાર અથવા અન્ય માધ્યમો દ્વારા તુલનાત્મક સ્તરની સુરક્ષા સુનિશ્ચિત કરવી જરૂરી છે.

જોખમનું મૂલ્યાંકન:

• તુલનાત્મક સુરક્ષા: વિભાગ 6માં વર્ણવાયેલા પૂરક પગલાં (એનક્રિપ્શન, ઉપનામીકરણ, ઍક્સેસ નિયંત્રણો, ડેટા મિનિમાઇઝેશન) PIPEDA હેઠળ જરૂરી સુરક્ષા સમકક્ષ સ્તર પૂરી પાડે છે. બધા સબ-પ્રોસેસર્સ સાથે લખિત ડેટા પ્રોસેસિંગ કરારો અમલમાં છે.
• પર્યાપ્તતાની આવશ્યકતા નથી: GDPRથી વિપરીત, PIPEDA એવો પ્રતિબંધ મૂકતું નથી કે ટ્રાન્સફર ફક્ત "પર્યાપ્તતા" નિષ્કર્ષ ધરાવતા દેશોમાં જ થઈ શકે. સંસ્થાઓએ કરાર અને અન્ય ઉપાયો દ્વારા તુલનાત્મક સુરક્ષા સુનિશ્ચિત કરવી પડે છે, જે અમે અમલમાં મૂકી છે.

4.3.2 પ્રાંતીય ગોપનીયતા કાયદાકીય માળખું

આલ્બર્ટાનો Personal Information Protection Act (PIPA), બ્રિટિશ કોલંબિયાનો Personal Information Protection Act (PIPA), અને ક્વિબેકનો Act respecting the protection of personal information in the private sector ચોક્કસ પ્રાંતો માટે વધારાની આવશ્યકતાઓ લાદે છે:

જોખમનું મૂલ્યાંકન:

• ક્વિબેક Law 25: ક્વિબેકનો આધુનિક ગોપનીયતા કાયદો (સપ્ટેમ્બર 2023થી અમલમાં) ક્વિબેકની બહાર વ્યક્તિગત માહિતી ટ્રાન્સફર કરતા પહેલાં ગોપનીયતા પ્રભાવ મૂલ્યાંકન જરૂરી બનાવે છે, અને ટ્રાન્સફર કરતી સંસ્થાએ સંતોષ માનવો જોઈએ કે માહિતી માટે પૂરતી સુરક્ષા મળશે. અમારી કરાર આધારિત સુરક્ષા, પૂરક ટેકનિકલ પગલાં અને ડેટાનું સ્વરૂપ (મુખ્યત્વે ઉપનામીકૃત એનાલિટિક્સ તથા નાના વ્યવસાયોની વેબસાઇટ ક્રિયાપ્રતિક્રિયાઓ) પૂરતી સુરક્ષાનો નિષ્કર્ષ સમર્થિત કરે છે.
• આલ્બર્ટા અને BC: આલ્બર્ટા અને BCના PIPA કાયદાઓ ટ્રાન્સફર થયેલા ડેટા માટે સંસ્થાઓને તુલનાત્મક સુરક્ષા સુનિશ્ચિત કરવાની માંગ કરે છે. અમારી કરાર આધારિત અને ટેકનિકલ સુરક્ષા વ્યવસ્થાઓ આ આવશ્યકતાને પૂર્ણ કરે છે.

4.3.3 કેનેડિયન દૃષ્ટિકોણથી અમેરિકી સરકારી ઍક્સેસ

વિભાગ 4.1માં મૂલ્યાંકિત સમાન અમેરિકન સરકારી ઍક્સેસ જોખમો કેનેડિયન ડેટા ટ્રાન્સફરો પર પણ લાગુ પડે છે. સરકારી ઍક્સેસની ઓછી સંભાવના (ડેટાના સ્વરૂપ અને અમારી કંપનીના પ્રોફાઇલને ધ્યાનમાં લેતાં), તેમજ વિભાગ 6માં વર્ણવાયેલા પૂરક પગલાં, સાથે મળી એ સુનિશ્ચિત કરે છે કે કેનેડાથી યુનાઇટેડ સ્ટેટ્સમાં ટ્રાન્સફર થતી વ્યક્તિગત માહિતી કેનેડિયન ગોપનીયતા કાયદા હેઠળ જરૂરી તુલનાત્મક સ્તરની સુરક્ષા પ્રાપ્ત કરે છે.

4.4 વૈશ્વિક એજ સ્થાનો (Cloudflare)

Cloudflare વૈશ્વિક એજ સ્થાનોનું નેટવર્ક સંચાલિત કરે છે. EU મુલાકાતીઓની વિનંતીઓ સામાન્ય રીતે સૌથી નજીકના Cloudflare પોઇન્ટ ઓફ પ્રેઝન્સ પર પ્રોસેસ થાય છે, જે EU મુલાકાતીઓ માટે સામાન્ય રીતે EUની અંદરનું સ્થાન હશે.

• વિનંતી રાઉટિંગ, TLS ટર્મિનેશન અને બોટ સુરક્ષા સૌથી નજીકના એજ સ્થાને થાય છે.
• EU નિવાસી તરીકે ઓળખાયેલા વેબસાઇટ ઓપરેટરો માટે, કાયમી સંગ્રહ (જેમાં ફોર્મ સબમિશન, ચેટબોટ વાતચીત અને સેશન ડેટા સામેલ છે) Cloudflareની જ્યુરિસ્ડિક્શન API નો ઉપયોગ કરીને ન્યાયક્ષેત્રીય રીતે યુરોપિયન યુનિયન સુધી મર્યાદિત રાખવામાં આવે છે. ગેર-EU વેબસાઇટ ઓપરેટરો માટે, કાયમી સંગ્રહ ઓપરેટરના ભૌગોલિક વિસ્તાર નજીક સ્થિત હોય છે, પરંતુ EUની બહાર પણ હોઈ શકે છે.
• એનાલિટિક્સ ડેટા Cloudflare દ્વારા સંચાલિત ઇન્ફ્રાસ્ટ્રક્ચર પર પ્રોસેસ થાય છે.

5. સેવા પ્રદાતા મુજબ ડેટા પ્રવાહોનું મૂલ્યાંકન

5.1 Amazon Web Services (US)

AWS સુરક્ષા વ્યવસ્થાઓ:

• ISO 27001, 27017, 27018 પ્રમાણિત
• SOC 1/2/3 અહેવાલો ઉપલબ્ધ
• ઉદ્યોગ ધોરણ મુજબની એનક્રિપ્શન દ્વારા સ્થિર અવસ્થામાં ડેટા એનક્રિપ્ટ થયેલ
• ટ્રાન્સિટમાં ડેટા એનક્રિપ્ટ થયેલ (TLS)
• દરેક સિસ્ટમ ઘટક માટે ન્યૂનતમ-વિશેષાધિકાર ઍક્સેસ નિયંત્રણો
• મુખ્ય સેવાઓ યુનાઇટેડ સ્ટેટ્સમાં હોસ્ટ છે; EU નિવાસી વેબસાઇટ ઓપરેટરો માટે ઓટોમેટેડ મુલાકાતી-લક્ષી કામગીરીઓ (કન્ટેન્ટ સબમિશન સૂચનાઓ અને ટ્રાન્ઝેક્શનલ ઇમેલ ડિલિવરી) યુરોપિયન યુનિયન (સ્ટોકહોમ)માં પ્રક્રિયા થાય છે

5.2 Cloudflare (વૈશ્વિક)

Cloudflare સુરક્ષા વ્યવસ્થાઓ:

• ISO 27001 પ્રમાણિત, SOC 2 Type II
• તમામ કનેક્શન્સ માટે TLS 1.2+
• SCCs સાથે Cloudflare DPA ઉપલબ્ધ
• એજ પ્રોસેસિંગનો અર્થ એ છે કે EU મુલાકાતી ડેટા વિનંતી સંભાળ માટે સામાન્ય રીતે EU એજ સ્થાનો પર જ પ્રોસેસ થાય છે
• EU નિવાસી તરીકે ઓળખાયેલ વેબસાઇટ ઓપરેટરો માટે, કાયમી સ્ટોરેજ (ફોર્મ સબમિશન, ચેટબોટ વાતચીત, સેશન ડેટા અને વપરાશકર્તા ટેબલ ડેટા ધરાવતું) Cloudflare ના જ્યુરિસ્ડિક્શન API નો ઉપયોગ કરીને યુરોપિયન યુનિયનમાં ન્યાયિક રીતે પ્રતિબંધિત છે, જે સુનિશ્ચિત કરે છે કે આ ડેટા ફક્ત EU ડેટા સેન્ટરોમાં સ્ટોર અને પ્રક્રિયા થાય છે. એજ તરફથી બેકએન્ડ API કૉલ્સ (કન્ટેન્ટ સબમિશન સૂચનાઓ અને ટ્રાન્ઝેક્શનલ ઇમેલ ડિલિવરી માટે) EU-આધારિત AWS ઇન્ફ્રાસ્ટ્રક્ચર પર રૂટ થાય છે.
• AI અનુમાન તાલીમ માટે ઇનપુટ ડેટા જાળવી રાખતું નથી

5.3 ચુકવણી પ્રદાતા (Merchant of Record)

ચૂકવેલ સેવાઓ માટેની ચુકવણીઓ તૃતીય-પક્ષ ચુકવણી પ્રદાતા દ્વારા સંભાળવામાં આવે છે જે વ્યવહાર માટે Merchant of Record તરીકે કાર્ય કરે છે — હાલમાં Stripe (તેની સહયોગી Sold through Link, LLC, યુનાઇટેડ સ્ટેટ્સ દ્વારા). Merchant of Record તરીકે, આ પ્રદાતા ચેકઆઉટ વખતે સબમિટ કરેલા ચુકવણી ડેટાના સ્વતંત્ર નિયંત્રક તરીકે કાર્ય કરે છે, અમારા સબ-પ્રોસેસર તરીકે નહીં; તેથી નીચેના ટ્રાન્સફર નિયંત્રક-થી-પ્રોસેસર નહીં પણ નિયંત્રક-થી-નિયંત્રક છે.

નોંધ: આ પ્રદાતા વેબસાઇટ મુલાકાતીઓનો વ્યક્તિગત ડેટા મેળવતો નથી. ફક્ત વેબસાઇટ ઑપરેટર (અમારા ગ્રાહક)ની બિલિંગ માહિતી પ્રક્રિયા કરવામાં આવે છે.

ટ્રાન્સફર આધારો અને સુરક્ષા: Stripe / Sold through Link, LLC (US) — સ્ટાન્ડર્ડ કોન્ટ્રાક્ચુઅલ કલોઝિસ (મોડ્યુલ એક) હેઠળ નિયંત્રક-થી-નિયંત્રક ટ્રાન્સફર; PCI DSS Level 1 અને ISO 27001 પ્રમાણિત.

5.4 AI અનુમાન પ્રદાતાઓ (US)

Fireworks AI અને xAI AI મોડેલ અનુમાન સેવાઓ પ્રદાન કરે છે.

નોંધ: આ AI પ્રદાતાઓને વેબસાઇટ મુલાકાતીઓની વ્યક્તિગત માહિતી મળતી નથી. વેબસાઇટ મુલાકાતીઓને સેવા આપતી ચેટબોટ સુવિધા Cloudflare Workers AI નો ઉપયોગ કરે છે (જેનું મૂલ્યાંકન વિભાગ 5.2માં થયું છે), આ પ્રદાતાઓનો નહીં. પરંતુ વેબસાઇટ ઓપરેટરો દ્વારા પોતાની વેબસાઇટ સંચાલિત કરવા માટે ઉપયોગમાં લેવાતો પ્લેટફોર્મનો સંવાદાત્મક AI સહાયક પ્રતિભાવો જનરેટ કરતી વખતે આ પ્રદાતાઓને પ્લેટફોર્મ વપરાશકર્તાની વ્યક્તિગત માહિતી (નામ, ઇમેઇલ સરનામું અને વાતચીત ઇતિહાસ) મોકલે છે. આ પ્રોસેસિંગ માટે Acira AI નિયંત્રક તરીકે કાર્ય કરે છે (પ્રોસેસર તરીકે નહીં), અને ડેટા વિષયો અમારા પ્લેટફોર્મ વપરાશકર્તાઓ (વેબસાઇટ ઓપરેટરો) છે, તેમના વેબસાઇટ મુલાકાતીઓ નહીં. આ ડેટા પ્રવાહ DPAના મુલાકાતી ડેટા માટેના નિયંત્રક-પ્રોસેસર માળખા કરતાં અમારી ગોપનીયતા નીતિ અને આ પ્રદાતાઓ સાથેના અમારા કરારો દ્વારા નિયંત્રિત થાય છે.

મોડેલ ફેમિલીઝ: આ ઇન્ફ્રાસ્ટ્રક્ચર પ્રદાતાઓ વિવિધ તૃતીય પક્ષો દ્વારા વિકસાવવામાં આવેલા AI મોડેલ્સ હોસ્ટ કરે છે અને અમલમાં મૂકે છે. ઉપયોગમાં લેવાતા ચોક્કસ મોડેલ્સ અને મોડેલ ફેમિલીઝ સમયાંતરે બદલાઈ શકે છે. મોડેલ ડેવલપર્સને કોઈ વપરાશકર્તા ડેટા મળતું નથી કે તેની ઍક્સેસ મળતી નથી; બધા ડેટા પ્રોસેસિંગ માત્ર સૂચિબદ્ધ સબ-પ્રોસેસરના ઇન્ફ્રાસ્ટ્રક્ચર અંદર જ થાય છે, ભલે મોડેલ મૂળ ક્યાં વિકસાવવામાં આવ્યો હોય. તમામ AI અનુમાન પ્રોસેસિંગ અમારા સૂચિબદ્ધ સબ-પ્રોસેસર્સના ઇન્ફ્રાસ્ટ્રક્ચર પર જ રહે છે. આ મૂલ્યાંકનમાં સૂચિબદ્ધ સબ-પ્રોસેસર્સની બહાર મોડેલ ડેવલપર્સ અથવા અન્ય ઇન્ફ્રાસ્ટ્રક્ચરને કોઈ વપરાશકર્તા ડેટા મોકલાતું નથી. હાલમાં ઉપયોગમાં રહેલી મોડેલ ફેમિલીઝની યાદી માટે legal@acira.ai પર સંપર્ક કરીને વિનંતી કરી શકાય છે.

5.5 BrightData (ઇઝરાયેલ / વૈશ્વિક)

નોંધ: BrightData વેબસાઇટ મુલાકાતીઓની વ્યક્તિગત માહિતી પ્રોસેસ કરતું નથી. તે વપરાશકર્તાની દિશા મુજબ જાહેરમાં ઉપલબ્ધ વેબ સામગ્રી પ્રોસેસ કરે છે અને વપરાશકર્તા-નિર્ધારિત કીવર્ડ્સ માટે સર્ચ એન્જિન રેન્કિંગ્સ ટ્રૅક કરે છે.

5.6 EU આધારિત પ્રદાતાઓ (કોઈ ટ્રાન્સફર નથી)

આ પ્રદાતાઓ EUની અંદર ડેટા પ્રોસેસ કરે છે અને આંતરરાષ્ટ્રીય ટ્રાન્સફર ગણાતા નથી. Black Forest Labs ને છબી જનરેશન માટે માત્ર ટેક્સ્ટ પ્રોમ્પ્ટ્સ મળે છે; તેમાં કોઈ વ્યક્તિગત માહિતી સામેલ નથી.

5.7 પ્રોગ્રામેટિક ઍક્સેસ અને સ્થાનિક નિકાસ (CLI / API)

વેબસાઇટ ઓપરેટરો — તેમના ક્લાઇન્ટ્સ વતી વેબસાઇટ્સ સંચાલિત કરતી એજન્સીઓ સહિત — Acira કમાન્ડ-લાઇન ઇન્ટરફેસ (CLI) અને અન્ય પ્રોગ્રામેટિક APIs મારફતે વેબસાઇટ સામગ્રી અને મુલાકાતી ડેટા પુનઃપ્રાપ્ત કરી શકે છે, જેમાં સ્થાનિક વાતાવરણમાં સામગ્રી પંક્તિઓની નિકાસ સામેલ છે.

• આ ઍક્સેસ પ્રમાણિત છે અને ઓપરેટર જે વેબસાઇટ્સ સંચાલિત કરવા માટે અધિકૃત છે તેમના સુધી મર્યાદિત છે.
• જ્યાં ઓપરેટર EEA/UK/સ્વિટ્ઝર્લેન્ડ/કેનેડાની બહાર સ્થિત હોય, ત્યાં આવી પુનઃપ્રાપ્તિ પ્લેટફોર્મ ડેશબોર્ડ ઍક્સેસ સમાન એક માંગ-આધારિત, ઓપરેટર-શરૂ કરેલ ટ્રાન્સફર છે (DPA વિભાગ 7.1 જુઓ).
• ડેટા અમારી ઇન્ફ્રાસ્ટ્રક્ચરમાં રહે ત્યાં સુધી અમારા અધિકારક્ષેત્ર-નિવાસ અને ટેકનિકલ પગલાં લાગુ પડે છે. એકવાર ડેટા ઓપરેટરના પોતાના વાતાવરણ (જેમ કે સ્થાનિક મશીન અથવા તૃતીય-પક્ષ ડેવલપમેન્ટ સાધન)માં નિકાસ થાય, પછી તેની સુરક્ષા માટે ઓપરેટર જવાબદાર છે, અને અમારા પગલાં તેને લાગુ પડતા નથી. આ DPA અને એજન્સી શરતોમાં ઓપરેટરોને પ્રગટ કરવામાં આવે છે.

6. પૂરક સુરક્ષા પગલાં

SCCs ઉપરાંત, ટ્રાન્સફર થતી વ્યક્તિગત માહિતી માટે મૂળભૂત રીતે સમકક્ષ સ્તરની સુરક્ષા સુનિશ્ચિત કરવા અમે નીચેના પૂરક પગલાં અમલમાં મૂકીએ છીએ:

6.1 ટેકનિકલ પગલાં

6.2 સંગઠનાત્મક પગલાં

6.3 કરાર આધારિત પગલાં

7. જોખમ મૂલ્યાંકન

7.1 સરકારી ઍક્સેસની સંભાવના

કુલ સંભાવના: ઓછી

7.2 જો ઍક્સેસ થાય તો અસર

કુલ અસર: ઓછીથી મધ્યમ (વ્યક્તિગત વેબસાઇટ ઓપરેટરો દ્વારા એકત્રિત ડેટાની સંવેદનશીલતા પર આધારિત)

7.3 અવશેષ જોખમનું મૂલ્યાંકન

સરકારી ઍક્સેસની ઓછી સંભાવના, પૂરક ટેકનિકલ પગલાં (એનક્રિપ્શન, ઉપનામીકરણ, ડેટા મિનિમાઇઝેશન), તથા EO 14086 દ્વારા રજૂ કરાયેલ વધારાની સુરક્ષાને ધ્યાનમાં લેતાં, અમે મૂલ્યાંકન કરીએ છીએ કે ડેટા વિષયો માટેનો અવશેષ જોખમ ઓછી સ્તરે છે અને SCCs (EEA/UK/Swiss ટ્રાન્સફરો માટે) તથા કરાર આધારિત સુરક્ષા (કેનેડિયન ટ્રાન્સફરો માટે) સાથેના પૂરક પગલાં મળીને EEAની અંદર ગેરંટી કરાયેલા સુરક્ષા સ્તર સાથે મૂળભૂત રીતે સમકક્ષ અને કેનેડિયન ગોપનીયતા કાયદા હેઠળ જરૂરી સ્તર સાથે તુલનાત્મક સુરક્ષા પૂરી પાડે છે.

8. નિષ્કર્ષ

આ મૂલ્યાંકનના આધારે, અમે આ નિષ્કર્ષ પર પહોંચીએ છીએ કે:

1. અમારી સેવાઓના પ્રદાન સાથે સંબંધિત રીતે EEA/UK/સ્વિટ્ઝર્લૅન્ડ/કેનેડાથી યુનાઇટેડ સ્ટેટ્સ તરફ ટ્રાન્સફર થતી વ્યક્તિગત માહિતી EU ડેટા પ્રોટેક્શન કાયદા હેઠળ ગેરંટી કરાયેલા સ્તર સાથે મૂળભૂત રીતે સમકક્ષ સુરક્ષા અને કેનેડિયન ગોપનીયતા કાયદા હેઠળ જરૂરી સ્તર સાથે તુલનાત્મક સુરક્ષા પ્રાપ્ત કરે છે.

2. સ્ટાન્ડર્ડ કોન્ટ્રાક્ચુઅલ કલોઝિસ, વિભાગ 6માં વર્ણવાયેલા પૂરક ટેકનિકલ, સંગઠનાત્મક અને કરાર આધારિત પગલાંઓ સાથે મળીને, આ મૂલ્યાંકનમાં ઓળખાયેલ જોખમોને પૂરતા પ્રમાણમાં ઉકેલે છે.

3. ડેટાનું સ્વરૂપ (મુખ્યત્વે ઉપનામીકૃત એનાલિટિક્સ અને નાના વ્યવસાયોની વેબસાઇટ મુલાકાતી ક્રિયાપ્રતિક્રિયાઓ) અને ડેટા આયાતકર્તાનું પ્રોફાઇલ (નાની SaaS કંપની, ટેલિકોમ્યુનિકેશન પ્રદાતા નહીં) સરકારી દેખરેખના વ્યવહારુ જોખમને નોંધપાત્ર રીતે ઘટાડે છે.

4. Executive Order 14086 દ્વારા રજૂ કરાયેલ સુરક્ષાઓ અને સંબંધિત ન્યાયપ્રાપ્તિ મિકેનિઝમ, ઉપયોગમાં લેવાયેલા ચોક્કસ ટ્રાન્સફર મિકેનિઝમથી પરવા કર્યા વિના, બધા ડેટા વિષયો માટે વધારાની સુરક્ષા પૂરી પાડે છે.

5. કેનેડિયન ટ્રાન્સફરો માટે, અહીં વર્ણવાયેલ કરાર આધારિત સુરક્ષા અને પૂરક પગલાં PIPEDA તથા લાગુ પડતા પ્રાંતીય ગોપનીયતા કાયદાઓ, જેમાં Quebec નો આધુનિક ગોપનીયતા કાયદો પણ સામેલ છે, હેઠળ જરૂરી તુલનાત્મક સુરક્ષા સ્તર સુનિશ્ચિત કરે છે.

6. અમે અમેરિકી દેખરેખ કાયદા અને પ્રથાઓમાં થતા વિકાસ, તેમજ કેનેડિયન ગોપનીયતા કાયદામાં થતા વિકાસ (પ્રસ્તાવિત Consumer Privacy Protection Act સહિત) પર નજર રાખતા રહીશું, અને પરિસ્થિતિઓમાં મહત્વપૂર્ણ ફેરફાર થાય તો આ TIA નું પુનર્મૂલ્યાંકન કરીશું.

અહીં વર્ણવાયેલા SCCs અને પૂરક પગલાંઓના સતત અમલને આધિન રહીને આ ટ્રાન્સફરો આગળ વધી શકે છે.

9. સમીક્ષા સમયપત્રક

આ TIA ની સમીક્ષા અને અપડેટ કરવામાં આવશે:

• ઓછામાં ઓછું દર વર્ષે, અથવા
• લાગુ પડતા કાયદા અથવા નિયમોમાં મહત્વપૂર્ણ ફેરફારો થાય ત્યારે (FISA, CLOUD Act, EO 14086, PIPEDA, અથવા કેનેડિયન પ્રાંતીય ગોપનીયતા કાયદાકીય માળખામાં ફેરફારો સહિત),
• અમારા સબ-પ્રોસેસર્સમાં અથવા ટ્રાન્સફર થતી માહિતીના સ્વરૂપમાં ફેરફારો થાય ત્યારે,
• કોઈપણ એવા અદાલતી નિર્ણય પછી જે SCCs ની માન્યતા અથવા અમેરિકન ડેટા સુરક્ષાની પૂરતાપણાને મહત્વપૂર્ણ રીતે અસર કરે.

10. અમારી સાથે સંપર્ક કરો

જો તમને આ ટ્રાન્સફર ઇમ્પેક્ટ એસેસમેન્ટ વિશે પ્રશ્નો હોય, તો કૃપા કરીને અમારો સંપર્ક કરો:

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
United States

ફોન: 888-389-1189
ઇમેઇલ: legal@acira.ai