ટ્રાન્સફર ઇમ્પેક્ટ એસેસમેન્ટ

છેલ્લે અપડેટ કર્યું: માર્ચ 19, 2026

આ ટ્રાન્સફર ઇમ્પેક્ટ એસેસમેન્ટ ("TIA") Acira AI LLC ("Acira AI," "અમે," "અમને," "અમારો") દ્વારા યુરોપિયન યુનિયનના ન્યાયાલયના Data Protection Commissioner v. Facebook Ireland Limited and Maximillian Schrems (Case C-311/18, "Schrems II") નિર્ણયની આવશ્યકતાઓ તથા યુરોપિયન ડેટા પ્રોટેક્શન બોર્ડની ભલામણો (EDPB Recommendations 01/2020 on supplementary measures) અનુસાર તૈયાર કરવામાં આવ્યું છે.

આ TIA અમારી સેવાઓના પ્રદાન સાથે સંબંધિત રીતે યુરોપિયન આર્થિક વિસ્તાર ("EEA"), યુનાઇટેડ કિંગડમ ("UK"), સ્વિટ્ઝર્લૅન્ડ અને કેનેડાથી યુનાઇટેડ સ્ટેટ્સ અને અન્ય ત્રીજા દેશોમાં ટ્રાન્સફર થતી વ્યક્તિગત માહિતી માટે ઉપલબ્ધ સુરક્ષા પૂરતી છે કે નહીં તેનું મૂલ્યાંકન કરે છે.

આ TIA તમારી સગવડ માટે અન્ય ભાષાઓમાં અનુવાદિત થઈ શકે છે. અંગ્રેજી સંસ્કરણ અને કોઈપણ અનુવાદિત સંસ્કરણ વચ્ચે કોઈ વિરોધાભાસ અથવા અસંગતતા હોય, તો અંગ્રેજી સંસ્કરણ પ્રવર્તશે.

સામગ્રી કોષ્ટક

1. ટ્રાન્સફરોની સમીક્ષા
2. ટ્રાન્સફર થતી માહિતીનું સ્વરૂપ
3. ટ્રાન્સફર મિકેનિઝમ્સ
4. ગંતવ્ય દેશોના કાયદાઓનું મૂલ્યાંકન
5. સેવા પ્રદાતા મુજબ ડેટા પ્રવાહોનું મૂલ્યાંકન
6. પૂરક સુરક્ષા પગલાં
7. જોખમ મૂલ્યાંકન
8. નિષ્કર્ષ
9. સમીક્ષા સમયપત્રક
10. અમારી સાથે સંપર્ક કરો

1. ટ્રાન્સફરોની સમીક્ષા

1.1 પરિપ્રેક્ષ્ય

Acira AI એક software-as-a-service પ્લેટફોર્મ છે, જે વ્યવસાયો અને વ્યક્તિઓને AI આધારિત વેબસાઇટ્સ બનાવવા, સંચાલિત કરવા અને હોસ્ટ કરવાની સગવડ આપે છે. જ્યારે વપરાશકર્તાઓ એવી વેબસાઇટ્સ બનાવે છે જેને EEA, UK, સ્વિટ્ઝર્લૅન્ડ અથવા કેનેડામાં આવેલા મુલાકાતીઓ ઍક્સેસ કરે છે, ત્યારે એ મુલાકાતીઓની વ્યક્તિગત માહિતી યુનાઇટેડ સ્ટેટ્સ અને અમારા ઇન્ફ્રાસ્ટ્રક્ચર પ્રદાતાઓ કાર્યરત હોય તેવી અન્ય જગ્યાઓ પર ટ્રાન્સફર અને પ્રોસેસ થઈ શકે છે.

1.2 પક્ષકારો

• ડેટા નિકાસકર્તા: વેબસાઇટ ઓપરેટર (અમારો ગ્રાહક, નિયંત્રક તરીકે કાર્યરત) અને એનાલિટિક્સ ડેટા માટે Acira AI, સંયુક્ત નિયંત્રક તરીકે.
• ડેટા આયાતકર્તા: Acira AI LLC, નેવાડા, યુનાઇટેડ સ્ટેટ્સમાં સ્થાપિત, પ્રોસેસર તરીકે કાર્યરત (અને એનાલિટિક્સ માટે સંયુક્ત નિયંત્રક તરીકે).
• સબ-પ્રોસેસર્સ: Acira AI દ્વારા જોડાયેલા તૃતીય પક્ષના સેવા પ્રદાતાઓ (વિભાગ 5માં સૂચિબદ્ધ).

1.3 ટ્રાન્સફરના ગંતવ્ય

2. ટ્રાન્સફર થતી માહિતીનું સ્વરૂપ

2.1 વ્યક્તિગત માહિતીની કેટેગરીઝ

ટ્રાન્સફર થતી વ્યક્તિગત માહિતી વેબસાઇટ ઓપરેટર દ્વારા સક્ષમ કરાયેલ સુવિધાઓ અને વેબસાઇટ મુલાકાતીઓની ક્રિયાપ્રતિક્રિયાઓ પર આધાર રાખે છે. નીચેની કેટેગરીઝ ટ્રાન્સફર થઈ શકે છે:

2.2 ડેટા વિષયોની કેટેગરીઝ

• Acira AI પ્લેટફોર્મ પર હોસ્ટ કરાયેલી વેબસાઇટોના મુલાકાતીઓ
• પ્લેટફોર્મ પર હોસ્ટ થયેલી વેબસાઇટ્સ પર એકાઉન્ટ બનાવતા વપરાશકર્તાઓ
• હોસ્ટ કરાયેલી વેબસાઇટ્સ પર ફોર્મ સબમિટ કરનાર, ચેટબોટ સાથે ક્રિયાપ્રતિક્રિયા કરનાર, અથવા ફાઇલ અપલોડ કરનાર વપરાશકર્તાઓ

2.3 ટ્રાન્સફર ન થતી માહિતી

• ભૂ-સ્થાન માહિતી: IP-થી-સ્થાન લુકઅપ્સ અમારા ઇન્ફ્રાસ્ટ્રક્ચર પ્રદાતા દ્વારા નેટવર્ક એજ પર કરવામાં આવે છે. કોઈપણ મુલાકાતી IP સરનામાંઓ કોઈ બાહ્ય ભૂ-સ્થાન સેવાએ મોકલવામાં આવતા નથી.
• રૉ એનાલિટિક્સ IP સરનામાંઓ: માત્ર દૈનિક-પરિવર્તિત ક્રિપ્ટોગ્રાફિક હૅશ સંગ્રહિત થાય છે; રૉ IPs એનાલિટિક્સ સિસ્ટમ્સમાં કાયમી સંગ્રહિત થતા નથી.
• સાદા-લેખિત પાસવર્ડ્સ: માત્ર ક્રિપ્ટોગ્રાફિક હૅશિસ સંગ્રહિત અને ટ્રાન્સફર થાય છે.

3. ટ્રાન્સફર મિકેનિઝમ્સ

3.1 મુખ્ય મિકેનિઝમ: સ્ટાન્ડર્ડ કોન્ટ્રાક્ચુઅલ કલોઝિસ

અમે યુરોપિયન કમિશન દ્વારા Commission Implementing Decision (EU) 2021/914 હેઠળ અપનાવવામાં આવેલા Standard Contractual Clauses (SCCs) પર આધાર રાખીએ છીએ, ખાસ કરીને:

• મોડ્યુલ એક (નિયંત્રકથી નિયંત્રક): જ્યાં Acira AI વેબસાઇટ ઓપરેટર સાથે સંયુક્ત નિયંત્રક તરીકે કાર્ય કરે છે તેવા એનાલિટિક્સ ડેટાના ટ્રાન્સફર માટે (DPA વિભાગ 2.3 જુઓ).
• મોડ્યુલ બે (નિયંત્રકથી પ્રોસેસર): વેબસાઇટ ઓપરેટર (નિયંત્રક) પાસેથી Acira AI (પ્રોસેસર) તરફ મુલાકાતીઓની વ્યક્તિગત માહિતીના ટ્રાન્સફર માટે.
• મોડ્યુલ ત્રણ (પ્રોસેસરથી સબ-પ્રોસેસર): Acira AI તરફથી અમારા સબ-પ્રોસેસર્સને આગળના ટ્રાન્સફરો માટે.

3.2 UK, સ્વિસ અને કેનેડિયન ટ્રાન્સફરો

• UK: EU SCCs માટેનો UK International Data Transfer Addendum લાગુ પડે છે.
• સ્વિટ્ઝર્લૅન્ડ: Swiss Federal Act on Data Protection (FADP) દ્વારા જરૂરી ફેરફારો સાથે SCCs લાગુ પડે છે.
• કેનેડા: ટ્રાન્સફરો માટે પ્રત્યેક સબ-પ્રોસેસર સાથે કરાર આધારિત સુરક્ષા અપનાવવામાં આવી છે, જે Personal Information Protection and Electronic Documents Act (PIPEDA) તથા લાગુ પડતા પ્રાંતીય ગોપનીયતા કાયદાઓ સાથે સુસંગત બાધ્યતાઓ લાદે છે, અને સાથે જ વિભાગ 6માં વર્ણવાયેલા પૂરક ટેકનિકલ અને સંગઠનાત્મક પગલાં લાગુ પડે છે. વિગતો માટે DPA વિભાગ 7.4 જુઓ.

3.3 સબ-પ્રોસેસર ટ્રાન્સફર મિકેનિઝમ્સ

4. ગંતવ્ય દેશોના કાયદાઓનું મૂલ્યાંકન

4.1 યુનાઇટેડ સ્ટેટ્સ

યુનાઇટેડ સ્ટેટ્સ ટ્રાન્સફર થતી માહિતીનું મુખ્ય ગંતવ્ય છે. આ મૂલ્યાંકન માટે નીચેના અમેરિકન કાયદાઓ સંબંધિત છે:

4.1.1 Foreign Intelligence Surveillance Act (FISA), Section 702

FISA Section 702 અમેરિકી સરકારે વિદેશી ગુપ્તચર હેતુઓ માટે યુનાઇટેડ સ્ટેટ્સ બહાર સ્થિત બિન-અમેરિકન વ્યક્તિઓની સંચાર માહિતી સુધી ઍક્સેસ આપવા માટે electronic communications service providers ને બાધ્ય કરવાની સત્તા આપે છે.

જોખમનું મૂલ્યાંકન:

• લાગુ પડતાપણું: FISA Section 702 50 U.S.C. § 1881(b)(4)માં વ્યાખ્યાયિત "electronic communication service providers" પર લાગુ પડે છે. Acira AI એક SaaS વેબસાઇટ હોસ્ટિંગ પ્લેટફોર્મ છે, પરંપરાગત ટેલિકોમ્યુનિકેશન પ્રદાતા નથી. અમારા સબ-પ્રોસેસર્સ (AWS, Cloudflare) પર Section 702ના નિર્દેશો લાગુ પડવાની શક્યતા વધુ છે.
• જોખમ હેઠળનું ડેટા ક્ષેત્ર: અમે જે વ્યક્તિગત માહિતી પ્રોસેસ કરીએ છીએ તે મુખ્યત્વે વેબસાઇટ મુલાકાતી એનાલિટિક્સ (pseudonymized), ફોર્મ સબમિશન્સ અને ચેટબોટ સંદેશાઓથી બનેલી છે. આ માહિતી વિદેશી ગુપ્તચર રસ માટે સંભવતઃ મહત્વપૂર્ણ નથી.
• વ્યવહારુ સંભાવના: અમને ક્યારેય FISA Section 702નો કોઈ નિર્દેશ મળ્યો નથી, અને અમારી સેવાઓ તથા અમે પ્રોસેસ કરતા ડેટાના સ્વરૂપને ધ્યાનમાં લેતાં આવો નિર્દેશ મળવાની વ્યવહારુ સંભાવના અત્યંત ઓછી છે.

4.1.2 Executive Order 12333

EO 12333 અમેરિકન ગુપ્તચર એજન્સીઓને દેખરેખ પ્રવૃત્તિઓ ચલાવવાની સત્તા આપે છે, જેમાં signals intelligence નું વ્યાપક સંગ્રહ પણ સામેલ છે. તે ટ્રાન્સિટમાં રહેલા ડેટા પર લાગુ પડે છે અને ખાનગી કંપનીઓને સહકાર માટે બાધ્ય કરતું નથી.

જોખમનું મૂલ્યાંકન:

• જોખમ ઘટાડવું: ટ્રાન્સિટમાં રહેલું તમામ ડેટા TLS નો ઉપયોગ કરીને એનક્રિપ્ટ થાય છે. ટ્રાન્સિટમાં એનક્રિપ્ટ થયેલ ડેટાનું વ્યાપક અવરોધન કરવામાં આવે તો પણ સાદા-લેખિત વ્યક્તિગત માહિતી પ્રાપ્ત થતી નથી.
• વ્યવહારુ સંભાવના: ઓછી. અમારી સેવાઓ મારફતે પ્રોસેસ થતું ડેટા signals intelligence દ્વારા સામાન્ય રીતે નિશાન બનાવાતી પ્રકારનું નથી.

4.1.3 Executive Order 14086 અને EU-US Data Privacy Framework

Executive Order 14086 (October 2022) એ signals intelligence પ્રવૃત્તિઓ માટે વધારાની સુરક્ષા વ્યવસ્થાઓ રજૂ કરી, જેમાં સામેલ છે:

• ગુપ્તચર સંગ્રહ માટે આવશ્યકતા અને સમપ્રમાણિકતા સંબંધિત આવશ્યકતાઓ
• EU/UK/Swiss વ્યક્તિઓ માટે ઉપલબ્ધ બે-સ્તરીય ન્યાયપ્રાપ્તિ મિકેનિઝમ (Civil Liberties Protection Officer + Data Protection Review Court)
• વ્યાપક સંગ્રહ પર મર્યાદાઓ

યુરોપિયન કમિશને July 10, 2023ના રોજ EU-US Data Privacy Framework (DPF) માટે adequacy decision અપનાવ્યો. Acira AI હાલમાં DPF હેઠળ self-certified નથી, છતાં EO 14086 હેઠળની સુરક્ષાઓ વ્યાપક રીતે યુનાઇટેડ સ્ટેટ્સમાં થતા તમામ ડેટા ટ્રાન્સફરો પર લાગુ પડે છે અને ઉપયોગમાં લેવાયેલા ટ્રાન્સફર મિકેનિઝમથી પરવા કર્યા વિના બધા ડેટા વિષયોને લાભ આપે છે.

4.1.4 CLOUD Act

Clarifying Lawful Overseas Use of Data (CLOUD) Act માન્ય વૉરન્ટ અથવા અદાલતી આદેશના આધારે, ડેટા જ્યાં સંગ્રહિત હોય તેની પરવા કર્યા વિના, અમેરિકન કાયદો અમલ એજન્સીઓને અમેરિકન આધારિત પ્રદાતાઓ પાસેથી ડેટા પ્રદાન કરવાની માંગ કરવાની પરવાનગી આપે છે.

જોખમનું મૂલ્યાંકન:

• સુરક્ષા વ્યવસ્થાઓ: CLOUD Act માટે માન્ય કાનૂની પ્રક્રિયા (વૉરન્ટ, સમન્સ અથવા અદાલતી આદેશ) જરૂરી છે. તે વૉરન્ટ વિના વ્યાપક ઍક્સેસની મંજૂરી આપતું નથી.
• Comity જોગવાઈઓ: CLOUD Actમાં એવો comity framework છે, જે પ્રદાતાઓને વિદેશી કાયદા સાથે ટકરાતા આદેશોને પડકારવાની મંજૂરી આપે છે.
• વ્યવહારુ સંભાવના: વેબસાઇટ મુલાકાતી ડેટા માટે ઓછી. કાયદો અમલ એજન્સીઓની વિનંતીઓ વધુ શક્યતા મુજબ ફોજદારી પ્રવૃત્તિમાં સંકળાયેલા શંકાસ્પદ ચોક્કસ એકાઉન્ટોને નિશાન બનાવશે, મુલાકાતી એનાલિટિક્સ અથવા ફોર્મ સબમિશન્સને નહીં.

4.2 ઇઝરાયેલ (BrightData)

BrightData ઇઝરાયેલમાં સ્થિત છે. ઇઝરાયેલ માટે યુરોપિયન કમિશનનું adequacy decision (2011/61/EU) ઉપલબ્ધ છે, એટલે ઇઝરાયેલ તરફના ટ્રાન્સફરોને EEAની અંદરના ટ્રાન્સફર જેવી જ રીતે જોવામાં આવે છે. તેમ છતાં, BrightData અન્ય વૈશ્વિક સ્થળોએ પણ ડેટા પ્રોસેસ કરે છે. અમે નોંધીએ છીએ કે:

• BrightData પ્રોસેસિંગ માત્ર વપરાશકર્તા-દિશાનિર્દેશિત પરિસ્થિતિઓમાં (વેબસાઇટ રચના દરમિયાન કન્ટેન્ટ ઇમ્પોર્ટ માટે) અથવા સુનિશ્ચિત SERP ટ્રેકિંગ દરમિયાન થાય છે.
• કોઈપણ વેબસાઇટ મુલાકાતીની વ્યક્તિગત માહિતી BrightDataને મોકલવામાં આવતી નથી.

4.3 કેનેડા (કેનેડાથી યુનાઇટેડ સ્ટેટ્સ તરફના ટ્રાન્સફરો)

કેનેડામાં સ્થિત વેબસાઇટ મુલાકાતીઓની વ્યક્તિગત માહિતી પ્રોસેસિંગ માટે યુનાઇટેડ સ્ટેટ્સમાં ટ્રાન્સફર થઈ શકે છે. આ મૂલ્યાંકન માટે નીચેના કેનેડિયન કાયદાઓ સંબંધિત છે:

4.3.1 Personal Information Protection and Electronic Documents Act (PIPEDA)

PIPEDA વ્યાવસાયિક પ્રવૃત્તિઓના સંદર્ભમાં ખાનગી ક્ષેત્રની સંસ્થાઓ દ્વારા વ્યક્તિગત માહિતીનું સંગ્રહ, ઉપયોગ અને જાહેર કરવાનું નિયંત્રિત કરે છે. PIPEDA Principle 4.1.3 અનુસાર, જ્યારે વ્યક્તિગત માહિતી પ્રોસેસિંગ માટે તૃતીય પક્ષોને ટ્રાન્સફર થાય, જેમાં કેનેડાની બહારના ટ્રાન્સફરો પણ સામેલ છે, ત્યારે સંસ્થાઓએ કરાર અથવા અન્ય માધ્યમો દ્વારા તુલનાત્મક સ્તરની સુરક્ષા સુનિશ્ચિત કરવી જરૂરી છે.

જોખમનું મૂલ્યાંકન:

• તુલનાત્મક સુરક્ષા: વિભાગ 6માં વર્ણવાયેલા પૂરક પગલાં (એનક્રિપ્શન, pseudonymization, access controls, data minimization) PIPEDA હેઠળ જરૂરી સુરક્ષા સમકક્ષ સ્તર પૂરી પાડે છે. બધા સબ-પ્રોસેસર્સ સાથે લખિત data processing agreements અમલમાં છે.
• Adequacy આવશ્યકતા નથી: GDPRથી વિપરીત, PIPEDA એવો પ્રતિબંધ મૂકતું નથી કે ટ્રાન્સફર ફક્ત "adequacy" નિષ્કર્ષ ધરાવતા દેશોમાં જ થઈ શકે. સંસ્થાઓએ કરાર અને અન્ય ઉપાયો દ્વારા તુલનાત્મક સુરક્ષા સુનિશ્ચિત કરવી પડે છે, જે અમે અમલમાં મૂકી છે.

4.3.2 પ્રાંતીય ગોપનીયતા કાયદાકીય માળખું

Alberta નો Personal Information Protection Act (PIPA), British Columbia નો Personal Information Protection Act (PIPA), અને Quebec નો Act respecting the protection of personal information in the private sector ચોક્કસ પ્રાંતો માટે વધારાની આવશ્યકતાઓ લાદે છે:

જોખમનું મૂલ્યાંકન:

• Quebec Law 25: Quebec નો આધુનિક ગોપનીયતા કાયદો (September 2023થી અમલમાં) Quebecની બહાર વ્યક્તિગત માહિતી ટ્રાન્સફર કરતા પહેલાં privacy impact assessment જરૂરી બનાવે છે, અને ટ્રાન્સફર કરતી સંસ્થાએ સંતોષ માનવો જોઈએ કે માહિતી માટે પૂરતી સુરક્ષા મળશે. અમારી કરાર આધારિત સુરક્ષા, પૂરક ટેકનિકલ પગલાં અને ડેટાનું સ્વરૂપ (મુખ્યત્વે pseudonymized analytics તથા નાના વ્યવસાયોની વેબસાઇટ ક્રિયાપ્રતિક્રિયાઓ) પૂરતી સુરક્ષાનો નિષ્કર્ષ સમર્થિત કરે છે.
• Alberta અને BC: Alberta અને BCના PIPA કાયદાઓ ટ્રાન્સફર થયેલા ડેટા માટે સંસ્થાઓને તુલનાત્મક સુરક્ષા સુનિશ્ચિત કરવાની માંગ કરે છે. અમારી કરાર આધારિત અને ટેકનિકલ સુરક્ષા વ્યવસ્થાઓ આ આવશ્યકતાને પૂર્ણ કરે છે.

4.3.3 કેનેડિયન દૃષ્ટિકોણથી અમેરિકી સરકારી ઍક્સેસ

વિભાગ 4.1માં મૂલ્યાંકિત સમાન અમેરિકન સરકારી ઍક્સેસ જોખમો કેનેડિયન ડેટા ટ્રાન્સફરો પર પણ લાગુ પડે છે. સરકારી ઍક્સેસની ઓછી સંભાવના (ડેટાના સ્વરૂપ અને અમારી કંપનીના પ્રોફાઇલને ધ્યાનમાં લેતાં), તેમજ વિભાગ 6માં વર્ણવાયેલા પૂરક પગલાં, સાથે મળી એ સુનિશ્ચિત કરે છે કે કેનેડાથી યુનાઇટેડ સ્ટેટ્સમાં ટ્રાન્સફર થતી વ્યક્તિગત માહિતી કેનેડિયન ગોપનીયતા કાયદા હેઠળ જરૂરી તુલનાત્મક સ્તરની સુરક્ષા પ્રાપ્ત કરે છે.

4.4 વૈશ્વિક એજ સ્થાનો (Cloudflare)

Cloudflare વૈશ્વિક એજ સ્થાનોનું નેટવર્ક સંચાલિત કરે છે. EU મુલાકાતીઓની વિનંતીઓ સામાન્ય રીતે સૌથી નજીકના Cloudflare point of presence પર પ્રોસેસ થાય છે, જે EU મુલાકાતીઓ માટે સામાન્ય રીતે EUની અંદરનું સ્થાન હશે.

• વિનંતી રાઉટિંગ, TLS termination અને બોટ સુરક્ષા સૌથી નજીકના એજ સ્થાને થાય છે.
• EU નિવાસી તરીકે ઓળખાયેલા વેબસાઇટ ઓપરેટરો માટે, કાયમી સંગ્રહ (જેમાં ફોર્મ સબમિશન, ચેટબોટ વાતચીત અને સેશન ડેટા સામેલ છે) Cloudflareની jurisdiction API નો ઉપયોગ કરીને ન્યાયક્ષેત્રીય રીતે યુરોપિયન યુનિયન સુધી મર્યાદિત રાખવામાં આવે છે. ગેર-EU વેબસાઇટ ઓપરેટરો માટે, કાયમી સંગ્રહ ઓપરેટરના ભૌગોલિક વિસ્તાર નજીક સ્થિત હોય છે, પરંતુ EUની બહાર પણ હોઈ શકે છે.
• એનાલિટિક્સ ડેટા Cloudflare દ્વારા સંચાલિત ઇન્ફ્રાસ્ટ્રક્ચર પર પ્રોસેસ થાય છે.

5. સેવા પ્રદાતા મુજબ ડેટા પ્રવાહોનું મૂલ્યાંકન

5.1 Amazon Web Services (US)

AWS સુરક્ષા વ્યવસ્થાઓ:

• ISO 27001, 27017, 27018 પ્રમાણિત
• SOC 1/2/3 અહેવાલો ઉપલબ્ધ
• ઉદ્યોગ ધોરણ મુજબની એનક્રિપ્શન દ્વારા સ્થિર અવસ્થામાં ડેટા એનક્રિપ્ટ થયેલ
• ટ્રાન્સિટમાં ડેટા એનક્રિપ્ટ થયેલ (TLS)
• દરેક સિસ્ટમ ઘટક માટે least-privilege access controls
• મુખ્ય સેવાઓ યુનાઇટેડ સ્ટેટ્સમાં હોસ્ટ છે; EU નિવાસી વેબસાઇટ ઓપરેટરો માટે ઓટોમેટેડ મુલાકાતી-લક્ષી કામગીરીઓ (કન્ટેન્ટ સબમિશન સૂચનાઓ અને ટ્રાન્ઝેક્શનલ ઈમેલ ડિલિવરી) યુરોપિયન યુનિયન (સ્ટોકહોમ)માં પ્રક્રિયા થાય છે

5.2 Cloudflare (વૈશ્વિક)

Cloudflare સુરક્ષા વ્યવસ્થાઓ:

• ISO 27001 પ્રમાણિત, SOC 2 Type II
• તમામ કનેક્શન્સ માટે TLS 1.2+
• SCCs સાથે Cloudflare DPA ઉપલબ્ધ
• એજ પ્રોસેસિંગનો અર્થ એ છે કે EU મુલાકાતી ડેટા વિનંતી સંભાળ માટે સામાન્ય રીતે EU એજ સ્થાનો પર જ પ્રોસેસ થાય છે
• EU નિવાસી તરીકે ઓળખાયેલ વેબસાઇટ ઓપરેટરો માટે, કાયમી સ્ટોરેજ (ફોર્મ સબમિશન, ચેટબોટ વાતચીત, સેશન ડેટા અને વપરાશકર્તા ટેબલ ડેટા ધરાવતું) Cloudflare ના જ્યુરિસ્ડિક્શન API નો ઉપયોગ કરીને યુરોપિયન યુનિયનમાં ન્યાયિક રીતે પ્રતિબંધિત છે, જે સુનિશ્ચિત કરે છે કે આ ડેટા ફક્ત EU ડેટા સેન્ટરોમાં સ્ટોર અને પ્રક્રિયા થાય છે. એજ તરફથી બેકએન્ડ API કૉલ્સ (કન્ટેન્ટ સબમિશન સૂચનાઓ અને ટ્રાન્ઝેક્શનલ ઈમેલ ડિલિવરી માટે) EU-આધારિત AWS ઇન્ફ્રાસ્ટ્રક્ચર પર રૂટ થાય છે.
• AI inference તાલીમ માટે input data જાળવી રાખતું નથી

5.3 Stripe (US)

નોંધ: Stripe ને વેબસાઇટ મુલાકાતીઓની વ્યક્તિગત માહિતી મળતી નથી. Stripe ફક્ત વેબસાઇટ ઓપરેટર (અમારા ગ્રાહક) ની billing માહિતી પ્રોસેસ કરે છે.

Stripe સુરક્ષા વ્યવસ્થાઓ:

• PCI DSS Level 1 પ્રમાણિત
• ISO 27001 પ્રમાણિત
• SCCs સાથે Stripe DPA ઉપલબ્ધ

5.4 AI inference પ્રદાતાઓ (US)

Fireworks AI અને xAI AI model inference સેવાઓ પ્રદાન કરે છે.

નોંધ: આ AI પ્રદાતાઓને વેબસાઇટ મુલાકાતીઓની વ્યક્તિગત માહિતી મળતી નથી. વેબસાઇટ મુલાકાતીઓને સેવા આપતી ચેટબોટ સુવિધા Cloudflare Workers AI નો ઉપયોગ કરે છે (જેનું મૂલ્યાંકન વિભાગ 5.2માં થયું છે), આ પ્રદાતાઓનો નહીં. પરંતુ વેબસાઇટ ઓપરેટરો દ્વારા પોતાની વેબસાઇટ સંચાલિત કરવા માટે ઉપયોગમાં લેવાતો પ્લેટફોર્મનો conversational AI assistant પ્રતિભાવો જનરેટ કરતી વખતે આ પ્રદાતાઓને પ્લેટફોર્મ વપરાશકર્તાની વ્યક્તિગત માહિતી (નામ, ઇમેઇલ સરનામું અને વાતચીત ઇતિહાસ) મોકલે છે. આ પ્રોસેસિંગ માટે Acira AI નિયંત્રક તરીકે કાર્ય કરે છે (પ્રોસેસર તરીકે નહીં), અને ડેટા વિષયો અમારા પ્લેટફોર્મ વપરાશકર્તાઓ (વેબસાઇટ ઓપરેટરો) છે, તેમના વેબસાઇટ મુલાકાતીઓ નહીં. આ ડેટા પ્રવાહ DPAના મુલાકાતી ડેટા માટેના controller-processor માળખા કરતાં અમારી Privacy Policy અને આ પ્રદાતાઓ સાથેના અમારા કરારો દ્વારા નિયંત્રિત થાય છે.

Model Families: આ ઇન્ફ્રાસ્ટ્રક્ચર પ્રદાતાઓ વિવિધ તૃતીય પક્ષો દ્વારા વિકસાવવામાં આવેલા AI models હોસ્ટ કરે છે અને અમલમાં મૂકે છે. ઉપયોગમાં લેવાતા ચોક્કસ models અને model families સમયાંતરે બદલાઈ શકે છે. model developers ને કોઈ વપરાશકર્તા ડેટા મળતું નથી કે તેની ઍક્સેસ મળતી નથી; બધા ડેટા પ્રોસેસિંગ માત્ર સૂચિબદ્ધ subprocessor ના ઇન્ફ્રાસ્ટ્રક્ચર અંદર જ થાય છે, ભલે model મૂળ ક્યાં વિકસાવવામાં આવ્યો હોય. તમામ AI inference પ્રોસેસિંગ અમારા સૂચિબદ્ધ subprocessors ના ઇન્ફ્રાસ્ટ્રક્ચર પર જ રહે છે. આ મૂલ્યાંકનમાં સૂચિબદ્ધ subprocessors ની બહાર model developers અથવા અન્ય ઇન્ફ્રાસ્ટ્રક્ચરને કોઈ વપરાશકર્તા ડેટા મોકલાતું નથી. હાલમાં ઉપયોગમાં રહેલી model families ની યાદી માટે legal@acira.ai પર સંપર્ક કરીને વિનંતી કરી શકાય છે.

5.5 BrightData (ઇઝરાયેલ / વૈશ્વિક)

નોંધ: BrightData વેબસાઇટ મુલાકાતીઓની વ્યક્તિગત માહિતી પ્રોસેસ કરતું નથી. તે વપરાશકર્તાની દિશા મુજબ જાહેરમાં ઉપલબ્ધ વેબ સામગ્રી પ્રોસેસ કરે છે અને વપરાશકર્તા-નિર્ધારિત કીવર્ડ્સ માટે search engine rankings ટ્રૅક કરે છે.

5.6 EU આધારિત પ્રદાતાઓ (કોઈ ટ્રાન્સફર નથી)

આ પ્રદાતાઓ EUની અંદર ડેટા પ્રોસેસ કરે છે અને આંતરરાષ્ટ્રીય ટ્રાન્સફર ગણાતા નથી. Black Forest Labs ને image generation માટે માત્ર ટેક્સ્ટ prompts મળે છે; તેમાં કોઈ વ્યક્તિગત માહિતી સામેલ નથી.

6. પૂરક સુરક્ષા પગલાં

SCCs ઉપરાંત, ટ્રાન્સફર થતી વ્યક્તિગત માહિતી માટે મૂળભૂત રીતે સમકક્ષ સ્તરની સુરક્ષા સુનિશ્ચિત કરવા અમે નીચેના પૂરક પગલાં અમલમાં મૂકીએ છીએ:

6.1 ટેકનિકલ પગલાં

6.2 સંગઠનાત્મક પગલાં

6.3 કરાર આધારિત પગલાં

7. જોખમ મૂલ્યાંકન

7.1 સરકારી ઍક્સેસની સંભાવના

કુલ સંભાવના: ઓછી

7.2 જો ઍક્સેસ થાય તો અસર

કુલ અસર: ઓછીથી મધ્યમ (વ્યક્તિગત વેબસાઇટ ઓપરેટરો દ્વારા એકત્રિત ડેટાની સંવેદનશીલતા પર આધારિત)

7.3 અવશેષ જોખમનું મૂલ્યાંકન

સરકારી ઍક્સેસની ઓછી સંભાવના, પૂરક ટેકનિકલ પગલાં (એનક્રિપ્શન, pseudonymization, data minimization), તથા EO 14086 દ્વારા રજૂ કરાયેલ વધારાની સુરક્ષાને ધ્યાનમાં લેતાં, અમે મૂલ્યાંકન કરીએ છીએ કે ડેટા વિષયો માટેનો અવશેષ જોખમ ઓછી સ્તરે છે અને SCCs (EEA/UK/Swiss ટ્રાન્સફરો માટે) તથા કરાર આધારિત સુરક્ષા (કેનેડિયન ટ્રાન્સફરો માટે) સાથેના પૂરક પગલાં મળીને EEAની અંદર ગેરંટી કરાયેલા સુરક્ષા સ્તર સાથે મૂળભૂત રીતે સમકક્ષ અને કેનેડિયન ગોપનીયતા કાયદા હેઠળ જરૂરી સ્તર સાથે તુલનાત્મક સુરક્ષા પૂરી પાડે છે.

8. નિષ્કર્ષ

આ મૂલ્યાંકનના આધારે, અમે આ નિષ્કર્ષ પર પહોંચીએ છીએ કે:

1. અમારી સેવાઓના પ્રદાન સાથે સંબંધિત રીતે EEA/UK/સ્વિટ્ઝર્લૅન્ડ/કેનેડાથી યુનાઇટેડ સ્ટેટ્સ તરફ ટ્રાન્સફર થતી વ્યક્તિગત માહિતી EU ડેટા પ્રોટેક્શન કાયદા હેઠળ ગેરંટી કરાયેલા સ્તર સાથે મૂળભૂત રીતે સમકક્ષ સુરક્ષા અને કેનેડિયન ગોપનીયતા કાયદા હેઠળ જરૂરી સ્તર સાથે તુલનાત્મક સુરક્ષા પ્રાપ્ત કરે છે.

2. સ્ટાન્ડર્ડ કોન્ટ્રાક્ચુઅલ કલોઝિસ, વિભાગ 6માં વર્ણવાયેલા પૂરક ટેકનિકલ, સંગઠનાત્મક અને કરાર આધારિત પગલાંઓ સાથે મળીને, આ મૂલ્યાંકનમાં ઓળખાયેલ જોખમોને પૂરતા પ્રમાણમાં ઉકેલે છે.

3. ડેટાનું સ્વરૂપ (મુખ્યત્વે pseudonymized analytics અને નાના વ્યવસાયોની વેબસાઇટ મુલાકાતી ક્રિયાપ્રતિક્રિયાઓ) અને ડેટા આયાતકર્તાનું પ્રોફાઇલ (નાની SaaS કંપની, ટેલિકોમ્યુનિકેશન પ્રદાતા નહીં) સરકારી દેખરેખના વ્યવહારુ જોખમને નોંધપાત્ર રીતે ઘટાડે છે.

4. Executive Order 14086 દ્વારા રજૂ કરાયેલ સુરક્ષાઓ અને સંબંધિત ન્યાયપ્રાપ્તિ મિકેનિઝમ, ઉપયોગમાં લેવાયેલા ચોક્કસ ટ્રાન્સફર મિકેનિઝમથી પરવા કર્યા વિના, બધા ડેટા વિષયો માટે વધારાની સુરક્ષા પૂરી પાડે છે.

5. કેનેડિયન ટ્રાન્સફરો માટે, અહીં વર્ણવાયેલ કરાર આધારિત સુરક્ષા અને પૂરક પગલાં PIPEDA તથા લાગુ પડતા પ્રાંતીય ગોપનીયતા કાયદાઓ, જેમાં Quebec નો આધુનિક ગોપનીયતા કાયદો પણ સામેલ છે, હેઠળ જરૂરી તુલનાત્મક સુરક્ષા સ્તર સુનિશ્ચિત કરે છે.

6. અમે અમેરિકી દેખરેખ કાયદા અને પ્રથાઓમાં થતા વિકાસ, તેમજ કેનેડિયન ગોપનીયતા કાયદામાં થતા વિકાસ (પ્રસ્તાવિત Consumer Privacy Protection Act સહિત) પર નજર રાખતા રહીશું, અને પરિસ્થિતિઓમાં મહત્વપૂર્ણ ફેરફાર થાય તો આ TIA નું પુનર્મૂલ્યાંકન કરીશું.

અહીં વર્ણવાયેલા SCCs અને પૂરક પગલાંઓના સતત અમલને આધિન રહીને આ ટ્રાન્સફરો આગળ વધી શકે છે.

9. સમીક્ષા સમયપત્રક

આ TIA ની સમીક્ષા અને અપડેટ કરવામાં આવશે:

• ઓછામાં ઓછું દર વર્ષે, અથવા
• લાગુ પડતા કાયદા અથવા નિયમોમાં મહત્વપૂર્ણ ફેરફારો થાય ત્યારે (FISA, CLOUD Act, EO 14086, PIPEDA, અથવા કેનેડિયન પ્રાંતીય ગોપનીયતા કાયદાકીય માળખામાં ફેરફારો સહિત),
• અમારા સબ-પ્રોસેસર્સમાં અથવા ટ્રાન્સફર થતી માહિતીના સ્વરૂપમાં ફેરફારો થાય ત્યારે,
• કોઈપણ એવા અદાલતી નિર્ણય પછી જે SCCs ની માન્યતા અથવા અમેરિકન ડેટા સુરક્ષાની પૂરતાપણાને મહત્વપૂર્ણ રીતે અસર કરે.

10. અમારી સાથે સંપર્ક કરો

જો તમને આ ટ્રાન્સફર ઇમ્પેક્ટ એસેસમેન્ટ વિશે પ્રશ્નો હોય, તો કૃપા કરીને અમારો સંપર્ક કરો:

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
United States

ફોન: 888-389-1189
ઇમેઇલ: legal@acira.ai