הערכת השפעת העברה

עודכן לאחרונה: 19 במרץ 2026

הערכת השפעת העברה זו ("TIA") הוכנה על ידי Acira AI LLC ("Acira AI", "אנחנו", "אותנו") בהתאם לדרישות פסיקת בית הדין לצדק של האיחוד האירופי בעניין נציב הגנת המידע נ' Facebook Ireland Limited ו-Maximillian Schrems (תיק C-311/18, "Schrems II") והמלצות המועצה האירופית להגנת מידע (המלצות EDPB 01/2020 לגבי אמצעים משלימים).

TIA זו מעריכה את הנאותות של ההגנות על נתונים אישיים המועברים מהאזור הכלכלי האירופי ("EEA"), הממלכה המאוחדת, שוויץ וקנדה לארצות הברית ולמדינות שלישיות אחרות בקשר למתן שירותינו.

ניתן לתרגם TIA זו לשפות אחרות לנוחיותכם. במקרה של כל סתירה או אי-עקביות בין הגרסה האנגלית לכל גרסה מתורגמת, תגבר הגרסה האנגלית.

תוכן העניינים

1. סקירה כללית של העברות
2. אופי הנתונים המועברים
3. מנגנוני העברה
4. הערכת חוקי מדינת היעד
5. הערכת זרימות נתונים לפי ספק שירות
6. אמצעים משלימים
7. הערכת סיכונים
8. מסקנה
9. לוח זמנים לבחינה
10. צרו קשר

1. סקירה כללית של העברות

1.1 הקשר

Acira AI היא פלטפורמת תוכנה כשירות המאפשרת לעסקים ולאנשים פרטיים ליצור, לנהל ולאחסן אתרי אינטרנט מבוססי בינה מלאכותית. כאשר משתמשים יוצרים אתרים שאליהם ניגשים מבקרים הממוקמים ב-EEA, בממלכה המאוחדת, בשוויץ או בקנדה, ייתכן שנתונים אישיים של מבקרים אלה יועברו ויעובדו בארצות הברית ובמיקומים אחרים שבהם פועלים ספקי התשתית שלנו.

1.2 הצדדים

• יצואן הנתונים: מפעיל האתר (הלקוח שלנו, הפועל כבעל שליטה) ולגבי נתוני ניתוח, Acira AI כבעל שליטה משותף.
• יבואן הנתונים: Acira AI LLC, מאוגדת בנבדה, ארצות הברית, הפועלת כמעבד (ובעל שליטה משותף לנתוני ניתוח).
• מעבדי משנה: ספקי שירות צד שלישי המועסקים על ידי Acira AI (מפורטים בסעיף 5).

1.3 יעדי העברה

2. אופי הנתונים המועברים

2.1 קטגוריות נתונים אישיים

הנתונים האישיים המועברים תלויים בתכונות שהופעלו על ידי מפעיל האתר ובאינטראקציות של מבקרי האתר. הקטגוריות הבאות עשויות להיות מועברות:

2.2 קטגוריות נושאי הנתונים

• מבקרים באתרים המתארחים בפלטפורמת Acira AI
• משתמשים שיוצרים חשבונות באתרים המתארחים בפלטפורמה
• משתמשים שמגישים טפסים, מתקשרים עם צ'אטבוטים, או מעלים קבצים באתרים המתארחים

2.3 נתונים שאינם מועברים

• נתוני מיקום גיאוגרפי: חיפושי IP לפי מיקום מתבצעים בשולי הרשת על ידי ספק התשתית שלנו. שום כתובת IP של מבקר אינה מועברת לשירות מיקום גיאוגרפי חיצוני.
• כתובות IP גולמיות של ניתוח: מאוחסן רק גיבוב קריפטוגרפי המתחלף יומית; כתובות IP גולמיות אינן נמשכות במערכות ניתוח.
• סיסמאות בטקסט ברור: רק גיבובים קריפטוגרפיים מאוחסנים ומועברים.

3. מנגנוני העברה

3.1 המנגנון העיקרי: סעיפים חוזיים סטנדרטיים

אנו מסתמכים על סעיפים חוזיים סטנדרטיים (SCC) של הנציבות האירופית שאומצו בהחלטת יישום הנציבות (EU) 2021/914, ספציפית:

• מודול אחד (בעל שליטה לבעל שליטה): להעברת נתוני ניתוח שבהן Acira AI פועלת כבעל שליטה משותף עם מפעיל האתר (ראה DPA סעיף 2.3).
• מודול שניים (בעל שליטה למעבד): להעברת נתונים אישיים של מבקרים ממפעיל האתר (בעל שליטה) ל-Acira AI (מעבד).
• מודול שלוש (מעבד למעבד משנה): להעברות נוספות מ-Acira AI למעבדי המשנה שלנו.

3.2 העברות לממלכה המאוחדת, שוויץ וקנדה

• ממלכה המאוחדת: תוספת העברת הנתונים הבינלאומית של הממלכה המאוחדת ל-SCC של האיחוד האירופי חלה.
• שוויץ: ה-SCC חלים עם השינויים הנדרשים על פי חוק הגנת הנתונים הפדרלי השוויצרי (FADP).
• קנדה: ההעברות מסתמכות על הגנות חוזיות עם כל מעבד משנה המטילות התחייבויות עקביות עם חוק הגנת המידע האישי ומסמכים אלקטרוניים (PIPEDA) וחקיקת הפרטיות הפרובינציאלית הרלוונטית, בשילוב עם אמצעים טכניים וארגוניים משלימים המתוארים בסעיף 6. ראה DPA סעיף 7.4 לפרטים.

3.3 מנגנוני העברה של מעבדי משנה

4. הערכת חוקי מדינת היעד

4.1 ארצות הברית

ארצות הברית היא היעד העיקרי לנתונים המועברים. החוקים האמריקאיים הבאים רלוונטיים להערכה זו:

4.1.1 חוק פיקוח על מודיעין חוץ (FISA), סעיף 702

סעיף 702 ל-FISA מסמיך את ממשלת ארצות הברית לכפות על ספקי שירותי תקשורת אלקטרונית לספק גישה לתקשורת של אנשים שאינם אמריקאים הממוקמים מחוץ לארצות הברית למטרות מודיעין זר.

הערכת סיכון:

• ישימות: סעיף 702 ל-FISA חל על "ספקי שירותי תקשורת אלקטרונית" כהגדרתם ב-50 U.S.C. § 1881(b)(4). Acira AI היא פלטפורמת אירוח אתרים SaaS, לא ספק טלקומוניקציה מסורתי. מעבדי המשנה שלנו (AWS, Cloudflare) נוטים יותר להיות כפופים להנחיות סעיף 702.
• היקף הנתונים בסיכון: הנתונים האישיים שאנו מעבדים מורכבים בעיקר מניתוח מבקרי אתרים (מוכנה פסאודונימית), הגשות טפסים והודעות צ'אטבוט. נתונים אלה לא צפויים להיות בעלי עניין מודיעיני חוץ.
• סבירות מעשית: מעולם לא קיבלנו הנחיית סעיף 702 ל-FISA ואנו מעריכים את הסבירות המעשית לקבלת כזו כנמוכה מאוד, בהתחשב באופי שירותינו והנתונים שאנו מעבדים.

4.1.2 צו ביצוע 12333

EO 12333 מסמיך את סוכנויות המודיעין האמריקאיות לנהל פעילויות מעקב, כולל איסוף המוני של מודיעין אותות. הוא חל על נתונים בתנועה ואינו מחייב חברות פרטיות לשתף פעולה.

הערכת סיכון:

• הפחתה: כל הנתונים בתנועה מוצפנים באמצעות TLS. יירוט המוני של נתונים מוצפנים בתנועה לא יניב נתונים אישיים בטקסט ברור.
• סבירות מעשית: נמוכה. הנתונים המעובדים דרך שירותינו אינם בעלי אופי שמודיעין האותות מכוון אליו בדרך כלל.

4.1.3 צו ביצוע 14086 ומסגרת הפרטיות של הנתונים בין האיחוד האירופי לארצות הברית

צו ביצוע 14086 (אוקטובר 2022) הציג ערבויות נוספות לפעילויות מודיעין אותות, כולל:

• דרישות נחיצות ומידתיות לאיסוף מודיעין
• מנגנון ערעור דו-שלבי (קצין הגנת חירויות אזרחיות + בית משפט לבחינת הגנת מידע) הזמין לאנשים מהאיחוד האירופי/ממלכה המאוחדת/שוויץ
• הגבלות על איסוף המוני

הנציבות האירופית אימצה החלטת נאותות למסגרת הפרטיות של הנתונים בין האיחוד האירופי לארצות הברית (DPF) ב-10 ביולי 2023. אמנם Acira AI אינה מוסמכת עצמאית כיום במסגרת ה-DPF, ההגנות תחת EO 14086 חלות באופן רחב על כל העברות הנתונים לארצות הברית ומועילות לכל נושאי הנתונים ללא קשר למנגנון ההעברה שנעשה בו שימוש.

4.1.4 חוק CLOUD

חוק CLOUD (Clarifying Lawful Overseas Use of Data) מאפשר לרשויות אכיפת חוק אמריקאיות לכפות על ספקים מבוססי ארצות הברית להפיק נתונים ללא קשר למקום אחסונם, בכפוף לצו תפיסה תקף או צו בית משפט.

הערכת סיכון:

• ערבויות: חוק CLOUD דורש הליך משפטי תקף (צו, זימון או צו בית משפט). הוא אינו מסמיך גישה המונית ללא צו.
• הוראות כבוד הדדי: חוק CLOUD כולל מסגרת כבוד הדדי המאפשרת לספקים לערער על צווים העומדים בסתירה לחוק זר.
• סבירות מעשית: נמוכה לנתוני מבקרי אתרים. בקשות אכיפת חוק ישכפלו יותר חשבונות ספציפיים החשודים בפעילות עבריינית, לא ניתוח מבקרים או הגשות טפסים.

4.2 ישראל (BrightData)

BrightData ממוקמת בישראל. לישראל יש החלטת נאותות מהנציבות האירופית (2011/61/EU), כלומר העברות לישראל מטופלות באופן דומה להעברות פנים-EEA. עם זאת, BrightData מעבדת נתונים גם במיקומים גלובליים אחרים. אנו מציינים כי:

• עיבוד BrightData מתרחש רק על פי הוראת משתמש (במהלך יצירת אתר לייבוא תוכן) או במהלך מעקב SERP מתוזמן.
• שום נתון אישי של מבקר אתר אינו מועבר ל-BrightData.

4.3 קנדה (העברות מקנדה לארצות הברית)

נתונים אישיים של מבקרי אתרים הממוקמים בקנדה עשויים להיות מועברים לארצות הברית לעיבוד. החוקים הקנדיים הבאים רלוונטיים להערכה זו:

4.3.1 חוק הגנת המידע האישי ומסמכים אלקטרוניים (PIPEDA)

PIPEDA מסדיר את איסוף, שימוש וחשיפת מידע אישי על ידי ארגוני המגזר הפרטי במסגרת פעילויות מסחריות. עקרון 4.1.3 של PIPEDA דורש מארגונים להשתמש באמצעים חוזיים או אחרים כדי להבטיח רמת הגנה דומה כאשר מידע אישי מועבר לצדדים שלישיים לעיבוד, כולל העברות מחוץ לקנדה.

הערכת סיכון:

• הגנה דומה: האמצעים המשלימים המתוארים בסעיף 6 (הצפנה, פסאודונימיזציה, בקרות גישה, מזעור נתונים) מספקים רמת הגנה דומה לזו הנדרשת תחת PIPEDA. הסכמי עיבוד נתונים כתובים קיימים עם כל מעבדי המשנה.
• אין דרישת נאותות: בניגוד ל-GDPR, PIPEDA אינו אוסר על העברות למדינות ללא ממצא "נאותות". ארגונים חייבים להבטיח הגנה דומה באמצעים חוזיים ואחרים, שיישמנו.

4.3.2 חקיקת פרטיות פרובינציאלית

חוק הגנת המידע האישי (PIPA) של אלברטה, חוק הגנת המידע האישי (PIPA) של קולומביה הבריטית וחוק קוויבק הנוגע להגנת מידע אישי במגזר הפרטי מטילים דרישות נוספות לפרובינציות מסוימות:

הערכת סיכון:

• חוק 25 של קוויבק: חוק הפרטיות המודרני של קוויבק (בתוקף מספטמבר 2023) דורש הערכת השפעה על הפרטיות לפני העברת מידע אישי מחוץ לקוויבק, ועל הארגון המעביר להיות מסופק שהמידע יקבל הגנה נאותה. ההגנות החוזיות שלנו, האמצעים הטכניים המשלימים ואופי הנתונים (בעיקר ניתוח מוכנה פסאודונימי ואינטראקציות אתרי עסקים קטנים) תומכים במציאת הגנה נאותה.
• אלברטה וקולומביה הבריטית: ה-PIPA של אלברטה וקולומביה הבריטית דורשים מארגונים להבטיח הגנה דומה לנתונים המועברים. ערבויות החוזיות והטכניות שלנו עומדות בדרישה זו.

4.3.3 גישת ממשלת ארצות הברית מנקודת מבט קנדית

אותם סיכוני גישה של ממשלת ארצות הברית שהוערכו בסעיף 4.1 חלים על העברות נתונים קנדיות. הסבירות הנמוכה לגישת ממשלה (בהתחשב באופי הנתונים ובפרופיל החברה שלנו), בשילוב עם האמצעים המשלימים בסעיף 6, מבטיחה שנתונים אישיים המועברים מקנדה לארצות הברית יקבלו רמת הגנה דומה לזו הנדרשת תחת חוק הפרטיות הקנדי.

4.4 מיקומי קצה גלובליים (Cloudflare)

Cloudflare מפעילה רשת עולמית של מיקומי קצה. בקשות מבקרים מהאיחוד האירופי מעובדות בדרך כלל בנקודת הנוכחות הקרובה ביותר של Cloudflare, שעבור מבקרים מהאיחוד האירופי תהיה בדרך כלל מיקום בתוך האיחוד האירופי.

• ניתוב בקשות, סיום TLS והגנה מפני בוטים מתרחשים במיקום הקצה הקרוב ביותר.
• עבור מפעילי אתרים המזוהים כתושבי האיחוד האירופי, האחסון הקבוע (המכיל הגשות טפסים, שיחות צ'אטבוט ונתוני הפעלה) מוגבל מבחינה שיפוטית לאיחוד האירופי תוך שימוש ב-API שיפוטי של Cloudflare. עבור מפעילי אתרים שאינם מהאיחוד האירופי, האחסון הקבוע ממוקם קרוב לאזור הגיאוגרפי של המפעיל אך עשוי להיות ממוקם מחוץ לאיחוד האירופי.
• נתוני ניתוח מעובדים בתשתית המנוהלת על ידי Cloudflare.

5. הערכת זרימות נתונים לפי ספק שירות

5.1 Amazon Web Services (ארצות הברית)

ערבויות AWS:

• מוסמך ISO 27001‏, 27017‏, 27018
• דוחות SOC 1/2/3 זמינים
• נתונים מוצפנים במנוחה תוך שימוש בהצפנה תקנית בתעשייה
• נתונים מוצפנים בתנועה (TLS)
• בקרות גישה עם הרשאות מינימליות לכל רכיב מערכת
• שירותים ראשיים מתארחים בארצות הברית; פעולות אוטומטיות מכוונות מבקרים (התראות הגשת תוכן ומסירת דוא"ל עסקאי) עבור מפעילי אתרים תושבי האיחוד האירופי מעובדות באיחוד האירופי (שטוקהולם)

5.2 Cloudflare (גלובלי)

ערבויות Cloudflare:

• מוסמך ISO 27001‏, SOC 2 סוג II
• TLS 1.2+ לכל החיבורים
• DPA של Cloudflare עם SCC זמין
• עיבוד קצה פירושו שנתוני מבקרי האיחוד האירופי מעובדים בדרך כלל במיקומי קצה של האיחוד האירופי לטיפול בבקשות
• עבור מפעילי אתרים שזוהו כתושבי האיחוד האירופי, האחסון הקבוע (המכיל הגשות טפסים, שיחות צ'אטבוט, נתוני סשן ונתוני טבלאות משתמש) מוגבל מבחינה משפטית לאיחוד האירופי באמצעות ממשק ה-API של Cloudflare לתחום שיפוט, ומבטיח שנתונים אלו מאוחסנים ומעובדים אך ורק במרכזי נתונים של האיחוד האירופי. קריאות API של הצד האחורי מהקצה (להתראות הגשת תוכן ומסירת דוא"ל עסקאי) מנותבות לתשתית AWS הממוקמת באיחוד האירופי.
• הסקת בינה מלאכותית אינה שומרת נתוני קלט לצורך אימון

5.3 Stripe (ארצות הברית)

הערה: Stripe אינה מקבלת נתונים אישיים של מבקרי אתרים. רק פרטי החיוב של מפעיל האתר (הלקוח שלנו) מעובדים על ידי Stripe.

ערבויות Stripe:

• מוסמך PCI DSS רמה 1
• מוסמך ISO 27001
• DPA של Stripe עם SCC זמין

5.4 ספקי היסק בינה מלאכותית (ארצות הברית)

Fireworks AI ו-xAI מספקות שירותי היסק מודל בינה מלאכותית.

הערה: ספקי הבינה המלאכותית הללו אינם מקבלים נתונים אישיים של מבקרי אתרים. תכונת הצ'אטבוט (המשרתת מבקרי אתרים) משתמשת ב-Cloudflare Workers AI (הוערך בסעיף 5.2), לא בספקים אלה. עם זאת, עוזר הבינה המלאכותית השיחתי של הפלטפורמה — בשימוש מפעילי אתרים לניהול אתריהם — שולח נתונים אישיים של משתמשי פלטפורמה (שם, כתובת דוא"ל והיסטוריית שיחה) לספקים אלה כחלק מיצירת תגובות. לעיבוד זה, Acira AI פועלת כבעל שליטה (לא מעבד), ונושאי הנתונים הם משתמשי הפלטפורמה שלנו (מפעילי אתרים), לא מבקרי אתריהם. זרימת נתונים זו כפופה למדיניות הפרטיות שלנו ולהסכמים שלנו עם ספקים אלה, ולא למסגרת בעל שליטה-מעבד של DPA לנתוני מבקרים.

משפחות מודלים: ספקי תשתית אלה מארחים ומבצעים מודלים של בינה מלאכותית שפותחו על ידי צדדים שלישיים שונים. המודלים הספציפיים ומשפחות המודלים בשימוש עשויים להשתנות עם הזמן. מפתחי המודלים אינם מקבלים ואינם יכולים לגשת לנתוני משתמשים — כל עיבוד הנתונים מתרחש אך ורק בתוך התשתית של הקבלני משנה הרשומים, ללא קשר למקום שבו פותח מודל במקור. כל עיבוד ההסקה של בינה מלאכותית נשאר על תשתית קבלני המשנה הרשומים שלנו. שום נתוני משתמש אינם מועברים למפתחי מודלים או לתשתית מחוץ לקבלני המשנה הרשומים בהערכה זו. רשימה עדכנית של משפחות המודלים בשימוש זמינה על פי בקשה על ידי פנייה אל legal@acira.ai.

5.5 BrightData (ישראל / גלובלי)

הערה: BrightData אינה מעבדת נתונים אישיים של מבקרי אתרים. היא מעבדת תוכן אינטרנט זמין לציבור כאשר המשתמש מנחה ועוקבת אחר דירוגי מנועי חיפוש עבור מילות מפתח שהוגדרו על ידי המשתמש.

5.6 ספקים מבוססי האיחוד האירופי (ללא העברה)

ספקים אלה מעבדים נתונים בתוך האיחוד האירופי ואינם מהווים העברה בינלאומית. Black Forest Labs מקבלת רק הנחיות טקסט ליצירת תמונות; לא מעורבים נתונים אישיים.

6. אמצעים משלימים

בנוסף ל-SCC, אנו מיישמים את האמצעים המשלימים הבאים כדי להבטיח רמת הגנה שווה ערך במהותה לנתונים אישיים המועברים:

6.1 אמצעים טכניים

6.2 אמצעים ארגוניים

6.3 אמצעים חוזיים

7. הערכת סיכונים

7.1 סבירות גישת ממשלה

סבירות כוללת: נמוכה

7.2 השפעה אם מתרחשת גישה

ההשפעה הכוללת: נמוכה עד בינונית (בהתאם לרגישות הנתונים שנאספים על ידי מפעילי האתרים השונים)

7.3 הערכת סיכון שיורי

בהתחשב בסבירות הנמוכה לגישת ממשלה, האמצעים הטכניים המשלימים (הצפנה, פסאודונימיזציה, מזעור נתונים) וערבויות הנוספות שהוצגו על ידי EO 14086, אנו מעריכים כי הסיכון השיורי לנושאי הנתונים הוא נמוך וכי האמצעים המשלימים, יחד עם ה-SCC (להעברות EEA/ממלכה המאוחדת/שוויץ) והגנות חוזיות (להעברות קנדיות), מספקים רמת הגנה שווה ערך במהותה לזו המובטחת בתוך ה-EEA ודומה לזו הנדרשת תחת חוק הפרטיות הקנדי.

8. מסקנה

בהתבסס על הערכה זו, אנו מסיקים כי:

1. הנתונים האישיים המועברים מהEEA/ממלכה המאוחדת/שוויץ/קנדה לארצות הברית בקשר למתן שירותינו נהנים מרמת הגנה שווה ערך במהותה לזו המובטחת על פי דיני הגנת המידע של האיחוד האירופי ורמת הגנה דומה לזו הנדרשת על פי חוק הפרטיות הקנדי.

2. הסעיפים החוזיים הסטנדרטיים, בשילוב עם האמצעים הטכניים, הארגוניים והחוזיים המשלימים המתוארים בסעיף 6, מטפלים כראוי בסיכונים שזוהו בהערכה זו.

3. אופי הנתונים (בעיקר ניתוח מוכנה פסאודונימי ואינטראקציות מבקרי אתרי עסקים קטנים) ופרופיל יבואן הנתונים (חברת SaaS קטנה, לא ספק טלקומוניקציה) מפחיתים באופן משמעותי את הסיכון המעשי למעקב ממשלתי.

4. ההגנות שהוצגו על ידי צו ביצוע 14086 ומנגנון הערעור הנלווה מספקות ערבויות נוספות המועילות לכל נושאי הנתונים, ללא קשר למנגנון ההעברה הספציפי שנעשה בו שימוש.

5. להעברות קנדיות, ההגנות החוזיות והאמצעים המשלימים המתוארים כאן מבטיחים רמת הגנה דומה לזו הנדרשת תחת PIPEDA וחקיקת הפרטיות הפרובינציאלית הרלוונטית, כולל חוק הפרטיות המודרני של קוויבק.

6. אנו נמשיך לנטר התפתחויות בחוק ובפרקטיקה האמריקאית של מעקב, כמו גם התפתחויות בחוק הפרטיות הקנדי (כולל חוק הגנת הפרטיות של הצרכן המוצע), ונעריך מחדש TIA זו אם הנסיבות ישתנו באופן מהותי.

ניתן להמשיך בהעברות בכפוף להמשך יישום ה-SCC והאמצעים המשלימים המתוארים כאן.

9. לוח זמנים לבחינה

TIA זו תיבחן ותתעדכן:

• מדי שנה, לכל הפחות, או
• עם שינויים מהותיים בחוקים או תקנות חלות (כולל שינויים ב-FISA, חוק CLOUD‏, EO 14086‏, PIPEDA, או חקיקת פרטיות פרובינציאלית קנדית),
• עם שינויים במעבדי המשנה שלנו או באופי הנתונים המועברים,
• עם כל החלטת בית משפט המשפיעה באופן מהותי על תוקף ה-SCC או הנאותות של הגנת מידע אמריקאית.

10. צרו קשר

אם יש לכם שאלות בנוגע להערכת השפעת העברה זו, אנא צרו איתנו קשר:

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
United States

טלפון: 888-389-1189
דוא"ל: legal@acira.ai