DODATAK O OBRADI PODATAKA

Posljednje ažuriranje: 6. listopada 2026.

Ovaj Dodatak o obradi podataka (dalje: „DPA“) čini dio Uvjeta korištenja (dalje: „Ugovor“) između društva Acira AI LLC (dalje: „Izvršitelj obrade“, „mi“, „nas“) i korisnika Usluga (dalje: „Voditelj obrade“, „Vi“) te dopunjuje Ugovor u pogledu obrade osobnih podataka.

Ovaj DPA primjenjuje se kada Usluge koristite za izradu, smještaj i objavu web-stranica koje prikupljaju ili obrađuju osobne podatke pojedinaca koji se nalaze u Europskom gospodarskom prostoru (dalje: „EGP“), Ujedinjenoj Kraljevini (dalje: „UK“) ili Švicarskoj, ili kada to na drugi način zahtijevaju primjenjivi propisi o zaštiti podataka.

Ovaj DPA može biti preveden na druge jezike radi Vaše praktičnosti. U slučaju bilo kakvog sukoba ili neusklađenosti između engleske verzije i bilo koje prevedene verzije, prednost ima engleska verzija, osim ako mjerodavno pravo zahtijeva da se primjenjuje ili ima prednost prevedena verzija, ili da se neusklađenost riješi u Vašu korist. Za korisnike koji se nalaze u Québecu mjerodavna je francuska verzija.

SADRŽAJ

1. DEFINICIJE
2. OPSEG I ULOGE
3. POJEDINOSTI O OBRADI PODATAKA
4. OBVEZE IZVRŠITELJA OBRADE
5. OBVEZE VODITELJA OBRADE
6. PODIZVRŠITELJI OBRADE
7. MEĐUNARODNI PRIJENOSI PODATAKA
8. PRAVA ISPITANIKA
9. SIGURNOST PODATAKA
10. OBAVIJEST O POVREDI PODATAKA
11. REVIZIJE I PROVJERA USKLAĐENOSTI
12. ČUVANJE I BRISANJE PODATAKA
13. TRAJANJE I RASKID
14. OGRANIČENJE ODGOVORNOSTI
15. KONTAKTIRAJTE NAS

1. DEFINICIJE

„Primjenjivi propisi o zaštiti podataka“ znači svi zakoni i propisi koji se primjenjuju na obradu osobnih podataka na temelju ovog DPA-a, uključujući (ovisno o slučaju) Uredbu (EU) 2016/679 (Opća uredba o zaštiti podataka, dalje: „GDPR“), UK GDPR, švicarski Savezni zakon o zaštiti podataka (dalje: „FADP“) i kalifornijski zakon California Consumer Privacy Act (dalje: „CCPA“).

„Voditelj obrade“ znači fizička ili pravna osoba koja određuje svrhe i sredstva obrade osobnih podataka — u ovom kontekstu Vi, korisnik Usluga koji putem platforme vodi web-stranicu.

„Ispitanik“ znači pojedinac čiji je identitet utvrđen ili se može utvrditi, a čiji se osobni podaci obrađuju.

„Osobni podaci“ znači svi podaci koji se odnose na Ispitanika, a obrađuju se putem Usluga.

„Obrada“ znači svaki postupak koji se obavlja nad osobnim podacima, uključujući prikupljanje, bilježenje, organizaciju, strukturiranje, pohranu, prilagodbu, pronalaženje, obavljanje uvida, uporabu, otkrivanje, širenje, ograničavanje, brisanje ili uništavanje.

„Izvršitelj obrade“ znači fizička ili pravna osoba koja obrađuje osobne podatke u ime Voditelja obrade — u ovom kontekstu Acira AI LLC.

„Podizvršitelj obrade“ znači svaka treća strana koju Izvršitelj obrade angažira za obradu osobnih podataka u ime Voditelja obrade.

„Standardne ugovorne klauzule“ ili „SCC“ znači standardne ugovorne klauzule za prijenos osobnih podataka u treće zemlje koje je donijela Europska komisija, u modulima koji se primjenjuju na temelju ovog DPA-a (vidi odjeljke 2.7. i 7.1.).

2. OPSEG I ULOGE

2.1 Odnos obrade

Kada Usluge koristite za izradu i vođenje web-stranice koja prikuplja osobne podatke od posjetitelja Vaše web-stranice (putem obrazaca, korisničkih računa, komentara, recenzija ili drugih interaktivnih značajki), Vi djelujete kao Voditelj obrade, a mi kao Izvršitelj obrade tih osobnih podataka posjetitelja.

2.2 Naša uloga voditelja obrade

Djelujemo kao neovisni Voditelj obrade za osobne podatke koje prikupljamo u vlastite svrhe, uključujući: podatke o Vašem računu, podatke o naplati, analitiku korištenja, opća obilježja web-stranice izvedena iz sadržaja Vaše web-stranice (kao što su djelatnost ili vrsta poslovanja) i podatke o radu platforme. Obrada takvih podataka uređena je našim Pravilima o privatnosti i izvan je opsega ovog DPA-a.

Pružatelj usluge plaćanja (službeni prodavatelj). Plaćanja za plaćene Usluge obrađuje pružatelj usluge plaćanja treće strane koji za Vašu transakciju djeluje kao službeni prodavatelj (Merchant of Record) — prodavatelj evidentiran u transakciji — trenutačno Sold through Link, LLC (dalje: „Link“), povezano društvo Stripea. U tom svojstvu pružatelj određuje svrhe i sredstva obrade podataka o plaćanju koje podnesete pri plaćanju te stoga djeluje kao neovisni voditelj obrade u vlastito ime, a ne kao naš podizvršitelj obrade. Njegova obrada uređena je njegovim vlastitim uvjetima i obaviješću o privatnosti i izvan je opsega ovog DPA-a. Od njega primamo samo ograničene podatke o transakciji i naplati, koje obrađujemo kao neovisni Voditelj obrade kako je opisano gore.

2.3 Analitika platforme

Prikupljamo osnovnu analitiku o posjetiteljima web-stranica koja poštuje privatnost (kako je opisano u Ugovoru). Za analitičke podatke Vi i mi djelujemo kao zajednički voditelji obrade. Našu smo analitiku osmislili tako da se prikupljanje osobnih podataka svede na najmanju mjeru — ne pohranjujemo neobrađene IP adrese, a identifikatori posjetitelja pseudonimni su (vidi odjeljak 3.3). Odgovornosti svakog zajedničkog voditelja obrade su sljedeće:

• Acira AI (zajednički voditelj obrade): Određuje tehnička sredstva prikupljanja analitike, uključujući koje se podatkovne točke prikupljaju, kako se izračunavaju identifikatori posjetitelja i kako se podaci agregiraju. Odgovorni smo za sigurnost i cjelovitost analitičke infrastrukture i za odgovaranje na opće upite o tome kako analitika funkcionira na platformi.
• Vi (zajednički voditelj obrade): Vodite web-stranicu na kojoj se prikupljaju analitički podaci (analitika se pruža kao sastavni dio Usluga na svim smještenim web-stranicama). Odgovorni ste za objavu prikupljanja analitičkih podataka u pravilima o privatnosti svoje web-stranice i za odgovaranje na zahtjeve Ispitanika — posjetitelja Vaše web-stranice u vezi s njihovim analitičkim podacima.
• Kontaktna točka za Ispitanike: Ispitanici Vam se (kao vlasniku web-stranice) mogu obratiti u vezi s analitičkim podacima prikupljenima na Vašoj web-stranici. Ako primimo zahtjev Ispitanika u vezi s analitičkim podacima, uputit ćemo ga Vama, osim ako nam date drukčiju uputu. Za opće upite o platformi Ispitanici nam se mogu obratiti na legal@acira.ai.

2.4 Bit aranžmana zajedničkih voditelja obrade

U skladu s člankom 26. stavkom 2. GDPR-a, bit ovog aranžmana zajedničkih voditelja obrade za analitičke podatke je sljedeća: mi (Acira AI) određujemo tehnička sredstva i podatkovne točke koje se prikupljaju; Vi (operater web-stranice) vodite web-stranicu na kojoj se prikupljaju analitički podaci i odgovorni ste za objavu tog prikupljanja svojim posjetiteljima. Svatko od nas odgovoran je za svoje obveze na temelju Primjenjivih propisa o zaštiti podataka. Vi ste primarna kontaktna točka za posjetitelje svoje web-stranice u vezi s analitičkim podacima. Sažetak ovog aranžmana stavlja se na raspolaganje Ispitanicima putem ovog DPA-a i na https://www.acira.ai/dpa.

2.5 Određenje kao pružatelja usluga na temelju CCPA-a

U mjeri u kojoj u Vaše ime obrađujemo osobne podatke na koje se primjenjuje kalifornijski zakon California Consumer Privacy Act (dalje: „CCPA“), mi smo Vaš „pružatelj usluga“ („service provider“) kako je definirano u Cal. Civ. Code § 1798.140(ag). Nećemo:

• Prodavati ili dijeliti (kako su ti pojmovi definirani u CCPA-u) bilo koje osobne podatke koje nam pružite;
• Zadržavati, koristiti ili otkrivati osobne podatke u bilo koju svrhu osim poslovnih svrha navedenih u ovom DPA-u i Ugovoru ili kako to na drugi način dopušta CCPA;
• Zadržavati, koristiti ili otkrivati osobne podatke izvan izravnog poslovnog odnosa između Vas i nas;
• Kombinirati osobne podatke primljene od Vas s osobnim podacima koje primamo od druge osobe ili u njezino ime ili koje prikupljamo iz vlastitih interakcija s potrošačima, osim kako to dopušta CCPA.

Iz sadržaja Vaše web-stranice možemo izvesti opća poslovna obilježja koja ne omogućuju identifikaciju (kao što je klasifikacija djelatnosti) u svrhu pružanja relevantnih preporuka proizvoda, kako je opisano u odjeljku 2.2. Ova ograničena uporaba ne predstavlja prodaju, dijeljenje ni kombiniranje osobnih podataka u smislu CCPA-a.

Potvrđujemo da razumijemo ova ograničenja i da ćemo ih poštovati.

2.6 Imenovanje predstavnika

Imenujemo predstavnika za zaštitu podataka u svakoj jurisdikciji u kojoj nas mjerodavno pravo na to obvezuje te svakog takvog predstavnika navodimo u našim Pravilima o privatnosti. Svoje aktivnosti obrade ocjenjujemo u odnosu na pragove za imenovanje predstavnika u jurisdikcijama relevantnima za naše Usluge — uključujući članak 14. švicarskog Saveznog zakona o zaštiti podataka (FADP).

2.7 Web-stranice kojima upravljaju agencije

Ako je web-stranica izrađena ili se vodi putem našeg Programa za agencije, agencija (dalje: „Agencija“) koristi Usluge za izradu web-stranice i upravljanje njome u ime vlastitog klijenta (dalje: „Krajnji klijent“). U takvom aranžmanu:

• Krajnji klijent (ili, ako Agencija vodi web-stranicu u vlastite svrhe, Agencija) je Voditelj obrade osobnih podataka posjetitelja prikupljenih putem upravljane web-stranice.
• Ako Agencija djeluje kao izvršitelj obrade za svojeg Krajnjeg klijenta, mi djelujemo kao podizvršitelj obrade kojeg je angažirala Agencija, a na tu se vezu, uz module opisane u odjeljku 7., primjenjuju standardne ugovorne klauzule za prijenos od izvršitelja obrade podizvršitelju obrade (Modul tri). Ako je Agencija sama Voditelj obrade, mi djelujemo kao njezin Izvršitelj obrade kako je opisano u ovom DPA-u.
• Agencija je odgovorna za sklapanje ugovora o obradi podataka sa svakim Krajnjim klijentom pod uvjetima u skladu s ovim DPA-om te za osiguravanje da je ovlaštena davati nam upute u ime Krajnjeg klijenta.
• Osoblje Agencije kojem je dodijeljen pristup upravljanoj web-stranici može pristupati osobnim podacima posjetitelja pohranjenima za tu web-stranicu (uključujući podnesene obrasce, podatke sesija i zapise korisničkih tablica) radi izrade, upravljanja i vođenja web-stranice. Agencija je odgovorna za ograničavanje i nadzor takvog pristupa u skladu s Primjenjivim propisima o zaštiti podataka.

Uvjeti Programa za agencije, uključujući obveze Agencije, utvrđeni su u Uvjetima za agencije Acira AI na https://www.acira.ai/agency-terms.

3. POJEDINOSTI O OBRADI PODATAKA

3.1 Predmet i trajanje

Obrada osobnih podataka na temelju ovog DPA-a provodi se u svrhu pružanja Usluga kako je opisano u Ugovoru i trajat će za vrijeme trajanja Ugovora.

3.2 Priroda i svrha obrade

Osobne podatke obrađujemo radi:

• Smještaja i posluživanja sadržaja Vaše web-stranice
• Pohrane podataka podnesenih putem obrazaca i interaktivnih značajki Vaše web-stranice i upravljanja njima
• Održavanja korisničkih računa i sesija za zaštićena područja Vaše web-stranice
• Dostave komunikacije e-poštom u Vaše ime
• Prosljeđivanja e-poruka primljenih na adrese e-pošte Vaše vlastite domene
• Provedbe AI inferencije koju zatraži vlastiti kod Vaše web-stranice (zahtjevi i odgovori se ne pohranjuju)
• Generiranja opisa i metapodataka za učitane datoteke pomoću umjetne inteligencije
• Pretvorbe učitanih datoteka u formate optimizirane za web
• Pružanja analitike posjetitelja
• Obrade zapisa Vaše web-stranice pomoću AI asistenta kada od njega zatražite da ih pročita ili da na temelju njih poduzme radnje
• Generiranja PDF dokumenata iz predložaka Vaše web-stranice
• Izvođenja pozadinskih poslova, zakazanih zadataka i automatizacija koje konfigurirate
• Upućivanja odlaznih mrežnih zahtjeva koje pokreće vlastiti kod Vaše web-stranice (kao što su webhookovi i pozivi vanjskih API-ja)
• Izrade snimki zaslona stranica Vaše web-stranice radi pregleda dizajna i provedbe pravila o sadržaju
• Otkrivanja i sprječavanja neželjenog sadržaja i zlouporabe (uključujući automatiziranu zaštitu od botova)
• Moderiranja sadržaja učitanih datoteka
• Pregleda sadržaja web-stranice tijekom objave radi usklađenosti s pravilima platforme o sadržaju
• Upravljanja postavkama odjave od e-pošte za primatelje e-pošte Vaše web-stranice
• Omogućavanja komunikacije putem kanala u stvarnom vremenu na Vašoj web-stranici putem WebSocket veza (poruke su prolazne i ne pohranjuju se trajno)
• Pružanja programskog pristupa sadržaju i podacima Vaše web-stranice putem sučelja naredbenog retka (CLI) i drugih programskih sučelja (API-ja), prema Vašim uputama (uključujući dohvaćanje i izvoz sadržaja u Vaše lokalno okruženje)
• Vođenja zapisnika pogrešaka i dijagnostičkih zapisnika radi pouzdanosti platforme i otklanjanja poteškoća (zapisnici pogrešaka platforme mogu uključivati IP adrese i metapodatke zahtjeva; razdoblje čuvanja navedeno je u odjeljku 12.1)

3.3 Vrste osobnih podataka

Vrste osobnih podataka koji se obrađuju ovise o tome što prikupljate putem svoje web-stranice, a mogu uključivati:

• Imena i kontaktne podatke
• Adrese e-pošte
• Poruke i podnesene obrasce
• Datoteke koje učitaju posjetitelji web-stranice (kao što su slike i dokumenti)
• Vjerodajnice korisničkih računa (pohranjene u sažetom obliku)
• Podatke sesija
• IP adrese (ne pohranjuju se: adresa se koristi tijekom prijenosa za usmjeravanje zahtjeva, određivanje zemlje i regije te za zaštitu od botova. Kada identifikator mora biti trajan — za analitiku i ograničavanje učestalosti zahtjeva — čuva se samo sažetak (hash) s ključem specifičnim za svaku web-stranicu, a analitički identifikatori mijenjaju se svakodnevno. Podneseni obrasci bilježe zemlju i regiju, a ne adresu. Kod Vaše vlastite stranice može očitati IP adresu posjetitelja; sve što odlučite pohraniti Vaše je vlastito prikupljanje, za koje ste Vi voditelj obrade)
• Podatke o pregledniku i uređaju
• Podatke o lokaciji (na razini zemlje i regije, izvedene iz IP adrese)
• Evidenciju odjava od e-pošte (adresa e-pošte primatelja i ono od čega se odjavio, dostupna Vama kako biste mogli poštovati popis odjava svoje web-stranice i upravljati njime)
• Rezultate klasifikacije neželjenog sadržaja (je li podnesak ocijenjen kao neželjeni sadržaj)
• Podatke zapisnika pogrešaka i dijagnostičkih zapisnika (putanje zahtjeva, pojedinosti o pogreškama te, u zapisnicima pogrešaka platforme, IP adrese; razdoblje čuvanja navedeno je u odjeljku 12.1)

3.4 Kategorije ispitanika

• Posjetitelji Vaše web-stranice
• Korisnici koji izrađuju račune na Vašoj web-stranici
• Korisnici koji podnose obrasce na Vašoj web-stranici
• Korisnici koji podnose komentare, recenzije ili druge doprinose na Vašoj web-stranici

4. OBVEZE IZVRŠITELJA OBRADE

Mi ćemo:

1. Obrađivati osobne podatke samo prema Vašim zabilježenim uputama, osim ako to od nas zahtijeva mjerodavno pravo (u kojem ćemo Vas slučaju prije obrade obavijestiti o tom pravnom zahtjevu, osim ako je to zakonom zabranjeno);
2. Osigurati da su se osobe ovlaštene za obradu osobnih podataka obvezale na povjerljivost ili da podliježu odgovarajućoj zakonskoj obvezi povjerljivosti;
3. Provoditi odgovarajuće tehničke i organizacijske sigurnosne mjere kako je opisano u odjeljku 9.;
4. Poštovati uvjete za angažiranje podizvršitelja obrade kako je utvrđeno u odjeljku 6.;
5. Pomagati Vam, uzimajući u obzir prirodu obrade, u odgovaranju na zahtjeve Ispitanika koji ostvaruju svoja prava na temelju Primjenjivih propisa o zaštiti podataka;
6. Pomagati Vam u osiguravanju poštivanja Vaših obveza na temelju članaka 32. – 36. GDPR-a (sigurnost, obavješćivanje o povredi, procjene učinka na zaštitu podataka i prethodno savjetovanje), uzimajući u obzir prirodu obrade i informacije koje su nam dostupne. Ako Vaše korištenje Usluga uključuje visokorizičnu obradu koja može zahtijevati procjenu učinka na zaštitu podataka (DPIA), pružit ćemo Vam informacije o našim aktivnostima obrade, tehničkim i organizacijskim mjerama i podizvršiteljima obrade kao potporu Vašoj procjeni;
7. Pomagati Vam u ispunjavanju Vaših obveza na temelju članka 22. GDPR-a (automatizirano pojedinačno donošenje odluka) pružanjem informacija o svakoj automatiziranoj obradi koja se provodi u Vaše ime, uključujući moderiranje sadržaja, otkrivanje neželjenog sadržaja i zaštitu od botova, te omogućavanjem ljudske provjere automatiziranih odluka na zahtjev;
8. Obavijestiti Vas ako, prema našem mišljenju, Vaša uputa krši Primjenjive propise o zaštiti podataka;
9. Prema Vašem izboru, izbrisati ili vratiti sve osobne podatke nakon završetka pružanja Usluga te izbrisati postojeće kopije, osim ako mjerodavno pravo zahtijeva njihovu pohranu;
10. Staviti Vam na raspolaganje sve informacije potrebne za dokazivanje poštivanja obveza utvrđenih u ovom DPA-u te omogućiti revizije, uključujući inspekcije, i doprinositi im, kako je opisano u odjeljku 11.

5. OBVEZE VODITELJA OBRADE

Vi ćete:

1. Osigurati da Vaše prikupljanje i obrada osobnih podataka putem Vaše web-stranice budu u skladu s Primjenjivim propisima o zaštiti podataka;
2. Pružiti posjetiteljima svoje web-stranice odgovarajuće obavijesti o privatnosti u kojima se opisuju Vaše prakse prikupljanja podataka, uključujući objavu analitike na razini platforme, otkrivanja neželjenog sadržaja i zaštite od botova;
3. Pribaviti sve potrebne privole ili utvrditi drugu zakonitu osnovu za obradu osobnih podataka putem svoje web-stranice;
4. Osigurati da Vaše upute nama u vezi s obradom osobnih podataka budu u skladu s Primjenjivim propisima o zaštiti podataka;
5. Biti odgovorni za točnost, kvalitetu i zakonitost osobnih podataka koji nam se pružaju putem Vaše web-stranice.

Korištenjem Usluga dajete nam uputu da u Vaše ime, u sklopu standardnog rada platforme, provodimo sljedeće aktivnosti obrade: moderiranje sadržaja učitanih datoteka, pregled objavljenog sadržaja web-stranice u odnosu na pravila o sadržaju, otkrivanje neželjenog sadržaja u podnesenim obrascima (uključujući provjeru njihova sadržaja pomoću umjetne inteligencije, osim ako je isključite) i automatiziranu zaštitu od botova. Te su aktivnosti zabilježene upute u smislu članka 28. stavka 3. točke (a) GDPR-a.

6. PODIZVRŠITELJI OBRADE

6.1 Ovlašteni podizvršitelji obrade

Dajete nam opće odobrenje za angažiranje podizvršitelja obrade radi pomoći u pružanju Usluga. Naši trenutačni podizvršitelji obrade navedeni su u nastavku i na https://www.acira.ai/dpa.

6.2 Aktualni popis podizvršitelja obrade

Obradu plaćanja provodi naš službeni prodavatelj (Link, povezano društvo Stripea), koji djeluje kao neovisni voditelj obrade, a ne kao podizvršitelj obrade, te stoga nije naveden gore; vidi odjeljak 2.2.

6.3 Promjene podizvršitelja obrade

Promjene popisa podizvršitelja obrade provode se isključivo na temelju ovog odjeljka 6.3; one nisu izmjene ovog DPA-a na temelju odjeljka 13. O svim namjeravanim promjenama popisa podizvršitelja obrade za Usluge koje trenutačno koristite obavijestit ćemo Vas najmanje petnaest (15) dana prije nego što novi podizvršitelj obrade počne obrađivati osobne podatke, ažuriranjem popisa podizvršitelja obrade na https://www.acira.ai/dpa i, ako ste se pretplatili na obavijesti o podizvršiteljima obrade, e-poštom. Na primanje obavijesti o promjenama podizvršitelja obrade možete se pretplatiti slanjem e-poruke na legal@acira.ai s naslovom predmeta „Subprocessor Notifications“. Kada uvedemo nove značajke ili usluge koje uključuju dodatne podizvršitelje obrade, ti će podizvršitelji obrade biti objavljeni u trenutku kada značajka ili usluga postane dostupna; Vaše korištenje nove značajke ili usluge predstavlja prihvaćanje njezinih objavljenih podizvršitelja obrade. Ako podizvršitelja obrade moramo hitno zamijeniti iz sigurnosnih razloga ili razloga kontinuiteta, obavijestit ćemo Vas čim to bude izvedivo. Ako imate opravdan prigovor na novog podizvršitelja obrade koji obrađuje podatke za postojeće Usluge, možete nas o tome pisano obavijestiti u roku od petnaest (15) dana od obavijesti. S Vama ćemo u dobroj vjeri raditi na rješavanju Vaših nedoumica. Ako prigovor ne možemo riješiti na Vaše razumno zadovoljstvo, možete raskinuti Ugovor pisanom obaviješću.

6.4 Obveze podizvršitelja obrade

Sa svakim podizvršiteljem obrade sklopit ćemo pisani ugovor kojim se nameću obveze zaštite podataka koje nisu manje zaštitne od onih utvrđenih u ovom DPA-u. Ostajemo odgovorni za radnje i propuste naših podizvršitelja obrade u istoj mjeri u kojoj bismo bili odgovorni da sami izravno pružamo usluge.

7. MEĐUNARODNI PRIJENOSI PODATAKA

7.1 Mehanizmi prijenosa

Usluge se primarno smještaju u Sjedinjenim Američkim Državama. Osobni podaci obrađeni putem Usluga mogu se prenositi u Sjedinjene Američke Države i druge zemlje u kojima posluju naši podizvršitelji obrade te se ondje obrađivati. Naši pružatelji AI inferencije (Fireworks AI i xAI) i naš pružatelj pretvorbe datoteka (CloudConvert) obrađuju podatke u Sjedinjenim Američkim Državama, a naši pružatelji AI inferencije mogu obrađivati podatke i na drugim lokacijama na kojima posluju. BrightData može obrađivati podatke u Izraelu i na drugim lokacijama diljem svijeta. Cloudflare obrađuje podatke na rubnim lokacijama diljem svijeta.

Rezidentnost podataka u EU-u: Za web-stranice čija je zemlja poslovanja, određena pri izradi web-stranice i prije nego što ona počne s radom, država članica Europske unije (dalje: „operateri web-stranica sa sjedištem u EU-u“; druge zemlje EGP-a, Ujedinjena Kraljevina i Švicarska nisu uključene), primjenjujemo sljedeće mjere rezidentnosti podataka kako bismo na najmanju mjeru sveli prijenose osobnih podataka posjetitelja izvan Europske unije:

• Pohrana: Podaci posjetitelja u trajnoj rubnoj pohrani — uključujući podnesene obrasce, podatke sesija i podatke korisničkih tablica — jurisdikcijski su ograničeni na Europsku uniju i ondje pohranjeni.
• Automatizirana obrada usmjerena na posjetitelje: Postupci koje automatski pokreće aktivnost posjetitelja — uključujući obavijesti o novim zapisima u bazi podataka web-stranice, dostavu transakcijske e-pošte i strojno prevođenje sadržaja baze podataka web-stranice na dodatne jezike web-stranice — obrađuju se u Europskoj uniji (Stockholm).
• Pristup za upravljanje platformom: Kada pristupate podacima posjetitelja svoje web-stranice putem nadzorne ploče platforme, konverzacijskog sučelja (uključujući kada od AI asistenta zatražite da pročita zapise Vaše web-stranice ili da na temelju njih poduzme radnje, pri čemu ih zatim obrađuje naš pružatelj AI inferencije, Fireworks AI, u Sjedinjenim Američkim Državama) ili sučelja naredbenog retka (CLI) ili drugih programskih sučelja (primjerice pregled podnesenih obrazaca, upravljanje korisničkim zapisima ili izvoz sadržaja u Vaše lokalno okruženje), ti se podaci mogu obrađivati putem naše infrastrukture u SAD-u radi ispunjenja Vašeg zahtjeva te se — kada koristite CLI ili programsko sučelje — mogu prenijeti u okruženje u kojem pokrećete te alate i ondje pohraniti. Ti su prijenosi na zahtjev, pokrećete ih Vi (Voditelj obrade) i zaštićeni su mehanizmima prijenosa i dodatnim mjerama opisanima u nastavku u mjeri u kojoj podaci ostaju unutar naše infrastrukture. Nakon što osobne podatke izvezete ili dohvatite u vlastito okruženje (kao što je lokalno računalo ili razvojni alat treće strane), Vi ste odgovorni za njihovu sigurnost i zakonito postupanje s njima; naše mjere jurisdikcijske rezidentnosti i druge tehničke mjere ne protežu se na osobne podatke nakon što napuste našu infrastrukturu.
• Dijagnostički zapisnici: Zapisnici pogrešaka i konzole koje proizvodi Vaša web-stranica — dijagnostički izlaz koji Vam se prikazuje na stranici Zapisnici na platformi — čuvaju se na našoj infrastrukturi u SAD-u tijekom razdoblja navedenog u odjeljku 12.1. To su operativni zapisi koji se vode radi Vašeg vlastitog pregleda i nisu namijenjeni sadržavanju osobnih podataka posjetitelja; Vi kontrolirate što vlastiti kod Vaše web-stranice u njih upisuje.
• AI inferencija koju zatraži Vaša web-stranica: Kada vlastiti kod Vaše web-stranice zatraži AI inferenciju, zahtjev prolazi kroz našu infrastrukturu u Europskoj uniji (Stockholm) i obrađuje ga naš pružatelj AI inferencije, Fireworks AI, u Sjedinjenim Američkim Državama; obrada ograničena na EU nije dostupna za ovu značajku. Vi kontrolirate što kod Vaše web-stranice šalje, uključujući sve osobne podatke posjetitelja, a ti prijenosi podliježu mehanizmima prijenosa opisanima u nastavku.
• Ostala obrada izvan EU-a: Analitički podaci i podaci koje obrađuje naša infrastruktura u oblaku sa sjedištem u SAD-u radi moderiranja sadržaja i AI inferencije i dalje se mogu prenositi u Sjedinjene Američke Države, a pretvorba datoteka provodi se u Sjedinjenim Američkim Državama. Klasifikacija neželjenog sadržaja u podnesenim obrascima pomoću umjetne inteligencije izvodi se na Cloudflareovoj globalnoj mreži i nije ograničena na EU. Ti prijenosi podliježu mehanizmima prijenosa opisanima u nastavku.

Za prijenose osobnih podataka iz EGP-a, Ujedinjene Kraljevine ili Švicarske u zemlje za koje nije priznato da pružaju odgovarajuću razinu zaštite podataka oslanjamo se na:

1. Standardne ugovorne klauzule (SCC): Standardne ugovorne klauzule Europske komisije upućivanjem uključujemo u ovaj DPA: Modul jedan (od voditelja obrade voditelju obrade) za analitičke podatke za koje djelujemo kao zajednički voditelj obrade (vidi odjeljak 2.3) i Modul dva (od voditelja obrade izvršitelju obrade) za sve ostale osobne podatke koji se obrađuju u Vaše ime. SCC su dostupne na https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en.
2. Dodatak Ujedinjene Kraljevine o međunarodnom prijenosu podataka: Za prijenose iz Ujedinjene Kraljevine primjenjuje se Dodatak Ujedinjene Kraljevine uz SCC EU-a (UK Addendum).
3. Švicarski mehanizmi prijenosa podataka: Za prijenose iz Švicarske primjenjuju se SCC uz izmjene koje zahtijeva švicarski FADP.

Za potrebe SCC-a strane su suglasne da: (a) je izvoznik podataka Vi, a uvoznik podataka Acira AI LLC; (b) je Prilog I.B (opis prijenosa) ispunjen odjeljkom 3. ovog DPA-a; (c) je Prilog II. (tehničke i organizacijske mjere) ispunjen odjeljcima 7.2 i 9. ovog DPA-a; (d) se za klauzulu 9. primjenjuje opcija 2 (opće pisano odobrenje), s rokom za obavijest utvrđenim u odjeljku 6.3; (e) se neobvezna klauzula o pristupanju (klauzula 7.) ne koristi; (f) su za klauzulu 17. (mjerodavno pravo) i klauzulu 18. (izbor suda) SCC uređene pravom Irske, a sporovi koji iz njih proizlaze rješavaju se pred sudovima Irske; i (g) se nadležno nadzorno tijelo iz Priloga I.C određuje u skladu s klauzulom 13. SCC-a. Za potrebe Dodatka Ujedinjene Kraljevine o međunarodnom prijenosu podataka, tablice 1. do 3. smatraju se ispunjenima odgovarajućim informacijama utvrđenima u ovom DPA-u i gore navedenim odabirima u vezi sa SCC-om, a za tablicu 4. nijedna strana ne može raskinuti Dodatak Ujedinjene Kraljevine kako je utvrđeno u odjeljku 19. Dodatka Ujedinjene Kraljevine.

7.2 Dodatne mjere

Provodimo sljedeće dodatne mjere za zaštitu prenesenih osobnih podataka:

• Šifriranje podataka u prijenosu (TLS/SSL) i pohranjenih podataka
• Mehanizmi kontrole pristupa i autentifikacije
• Periodični pregled naših sigurnosnih mjera i sigurnosne dokumentacije naših pružatelja
• Prakse smanjenja količine podataka (npr. pseudonimni identifikatori posjetitelja umjesto pohrane neobrađenih IP adresa)
• Jurisdikcijska rezidentnost podataka za operatere web-stranica sa sjedištem u EU-u (trajna pohrana i automatizirana obrada usmjerena na posjetitelje ograničene na EU)
• Računalna infrastruktura i infrastruktura e-pošte sa sjedištem u EU-u za automatizirane postupke usmjerene na posjetitelje (obavijesti o novim zapisima u bazi podataka web-stranice i dostava transakcijske e-pošte obrađuju se u Europskoj uniji za operatere web-stranica sa sjedištem u EU-u)

7.3 Procjena učinka prijenosa

Ove dodatne mjere temelje se na našoj procjeni zakona i praksi odredišnih zemalja, uzimajući u obzir prirodu prenesenih podataka, mehanizam prijenosa na koji se oslanjamo te uspostavljene tehničke i organizacijske zaštitne mjere. Procijenili smo da gore opisane dodatne mjere, zajedno s obvezama iz SCC-a, pružaju odgovarajuću razinu zaštite prenesenih osobnih podataka. Naša procjena učinka prijenosa dostupna je na zahtjev upućen na legal@acira.ai, a na zahtjev ćemo je staviti na raspolaganje i nadležnom nadzornom tijelu.

7.4 Prijenosi podataka iz Kanade

Za prijenose osobnih podataka iz Kanade oslanjamo se na sljedeće zaštitne mjere kako bismo osigurali da osobni podaci preneseni izvan Kanade uživaju usporedivu razinu zaštite kako to zahtijevaju zakon Personal Information Protection and Electronic Documents Act (PIPEDA) i primjenjivo pokrajinsko zakonodavstvo o privatnosti (uključujući PIPA pokrajine Alberte, PIPA Britanske Kolumbije i quebečki Zakon o zaštiti osobnih podataka u privatnom sektoru (Act respecting the protection of personal information in the private sector)):

1. Ugovorna zaštita: Pisani ugovori o obradi podataka sa svakim podizvršiteljem obrade kojima se nameću obveze zaštite osobnih podataka prema standardu koji je u skladu s kanadskim propisima o privatnosti, uključujući zahtjeve za odgovarajuće sigurnosne zaštitne mjere, ograničenja uporabe, obavješćivanje o povredi i pristup ispitanika podacima.
2. Tehničke zaštitne mjere: Na prijenose podataka iz Kanade primjenjuju se iste mjere šifriranja, pseudonimizacije, kontrole pristupa i smanjenja količine podataka opisane u odjeljku 7.2.
3. Organizacijske zaštitne mjere: Dubinska provjera podizvršitelja obrade, obveze povjerljivosti za osoblje i dokumentirani postupci odgovora na incidente kako je opisano u ovom DPA-u.

8. PRAVA ISPITANIKA

8.1 Pomoć pri zahtjevima

Pomoći ćemo Vam u odgovaranju na zahtjeve Ispitanika koji ostvaruju svoja prava na temelju Primjenjivih propisa o zaštiti podataka, uključujući pravo na pristup, ispravak, brisanje, ograničenje, prenosivost i prigovor.

8.2 Obavješćivanje

Ako izravno od Ispitanika primimo zahtjev ili pritužbu u vezi sa zaštitom podataka koji se odnose na osobne podatke obrađene u Vaše ime, odmah ćemo ih proslijediti Vama i nećemo odgovoriti na zahtjev ili pritužbu bez Vaših uputa, osim ako to zahtijeva mjerodavno pravo. Kao Voditelj obrade odgovorni ste za rješavanje takvih pritužbi Ispitanika i odgovaranje na njih, uključujući sve obveze postupanja s pritužbama koje se na Vas primjenjuju na temelju Primjenjivih propisa o zaštiti podataka (kao što je odjeljak 164A zakona UK Data Protection Act 2018).

8.3 Alati platforme

U okviru Usluga pružamo alate koji Vam pomažu ispuniti zahtjeve Ispitanika, uključujući:

• Pristup podacima pohranjenima u bazama podataka Vaše web-stranice i upravljanje njima
• Brisanje pojedinačnih zapisa iz baza podataka Vaše web-stranice
• Na zahtjev možemo pružiti izvoz podataka u strukturiranom, strojno čitljivom formatu kao pomoć u ispunjavanju obveza u vezi s prenosivošću podataka

9. SIGURNOST PODATAKA

9.1 Sigurnosne mjere

Provodimo i održavamo odgovarajuće tehničke i organizacijske mjere za zaštitu osobnih podataka od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja. Te mjere uključuju:

• Šifriranje: Podaci su šifrirani u prijenosu putem TLS-a/SSL-a i u pohrani pomoću šifriranja prema industrijskom standardu
• Kontrola pristupa: Kontrole pristupa temeljene na ulogama, pravila pristupa na temelju najmanjih ovlasti i obvezna autentifikacija za svaki pristup računu i administrativni pristup
• Sigurnost infrastrukture: Upravljana infrastruktura u oblaku s automatiziranim sigurnosnim zakrpama i zaštitom od DDoS napada na rubu mreže
• Izolacija podataka: Izolacija podataka svake web-stranice putem namjenskih instanci pohrane
• Nadzor: Automatizirani nadzor i upozoravanje uz strukturirano bilježenje
• Sigurnost vjerodajnica: Svi API ključevi i tajne pohranjeni su u namjenskim uslugama za upravljanje tajnama; korisničke lozinke sažimaju se (hash) snažnim kriptografskim algoritmima uz zasebnu sol za svakog korisnika
• Zaštita od botova: Automatizirana zaštita od botova radi sprječavanja automatizirane zlouporabe

9.2 Povjerljivost

Osiguravamo da je sve osoblje ovlašteno za obradu osobnih podataka vezano obvezama povjerljivosti.

10. OBAVIJEST O POVREDI PODATAKA

10.1 Obavijest Voditelju obrade

Obavijestit ćemo Vas bez nepotrebnog odgađanja nakon što saznamo za povredu osobnih podataka koja utječe na osobne podatke obrađene u Vaše ime. Obavijest će biti poslana na kontaktne podatke povezane s Vašim računom.

10.2 Sadržaj obavijesti

Naša obavijest o povredi uključivat će, u mjeri u kojoj su dostupni:

1. Opis prirode povrede, uključujući kategorije i približan broj dotičnih Ispitanika i zapisa;
2. Ime i kontaktne podatke naše kontaktne osobe za zaštitu podataka;
3. Opis vjerojatnih posljedica povrede;
4. Opis mjera poduzetih ili predloženih za rješavanje povrede i ublažavanje njezinih učinaka.

10.3 Vaše obveze

Odgovorni ste za obavješćivanje nadležnog nadzornog tijela i pogođenih Ispitanika o povredi osobnih podataka kako to zahtijevaju Primjenjivi propisi o zaštiti podataka. Surađivat ćemo s Vama i pružiti Vam razumnu pomoć kako biste ispunili svoje obveze obavješćivanja o povredi.

11. REVIZIJE I PROVJERA USKLAĐENOSTI

11.1 Dokumentacija o usklađenosti

Kako bismo dokazali svoju usklađenost s ovim DPA-om, na razuman pisani zahtjev (najviše jednom godišnje) stavit ćemo Vam na raspolaganje sljedeće:

1. Relevantna izvješća o revizijama trećih strana, certifikate ili sažetke procjena sigurnosti;
2. Sažetak naših trenutačnih tehničkih i organizacijskih sigurnosnih mjera;
3. Informacije o našim aktivnostima obrade, podizvršiteljima obrade i praksama zaštite podataka.

Kada se oslanjamo na pružatelje infrastrukture trećih strana (kao što su AWS i Cloudflare), njihovi sigurnosni certifikati i dokumentacija o usklađenosti dostupni su putem njihovih programa povjerenja i usklađenosti.

11.2 Dodatni upiti

Ako dokumentacija pružena na temelju odjeljka 11.1 razumno ne odgovara na Vaše nedoumice u vezi s usklađenošću, možete podnijeti konkretna pisana pitanja o našim praksama zaštite podataka, na koja ćemo odgovoriti u razumnom roku.

11.3 Revizije i inspekcije

Ako dokumentacija pružena na temelju odjeljaka 11.1 i 11.2 nije dovoljna za dokazivanje naše usklađenosti s ovim DPA-om, ili ako reviziju zahtijeva nadzorno tijelo ili Primjenjivi propisi o zaštiti podataka, Vi (ili neovisni revizor koji je obvezan na povjerljivost i nije naš konkurent) možete provesti reviziju naše usklađenosti s ovim DPA-om, uključujući inspekcijom. Za revizije je potrebna prethodna pisana obavijest najmanje trideset (30) dana unaprijed, mogu se provoditi najviše jednom godišnje (osim ako to zahtijeva nadzorno tijelo ili nakon povrede osobnih podataka koja utječe na Vaše podatke), provode se o Vašem trošku tijekom uobičajenog radnog vremena na način koji na najmanju mjeru svodi ometanje te ne uključuju pristup podacima drugih korisnika ni objektima naših podizvršitelja obrade, za koje ćemo umjesto toga pružiti vlastita izvješća o reviziji i certifikate podizvršitelja obrade.

12. ČUVANJE I BRISANJE PODATAKA

12.1 Tijekom trajanja Ugovora

Osobne podatke obrađene u Vaše ime čuvat ćemo za vrijeme trajanja Ugovora i u skladu s Vašim uputama danima putem Usluga. Posebna razdoblja čuvanja podataka posjetitelja uključuju:

• Zapisi u bazi podataka web-stranice (kao što su podneseni obrasci i drugi sadržaj koji stvaraju korisnici): Čuvaju se za vrijeme trajanja povezane web-stranice, osim ako ih ranije izbrišete putem alata platforme.
• Podaci sesija posjetitelja Vaše web-stranice: Automatski se brišu nakon 30 dana neaktivnosti.
• Izbrisani sadržaj posjetitelja (zapisi u bazi podataka web-stranice, kao što su podneseni obrasci, komentari i drugi sadržaj koji stvaraju korisnici): Kada izbrišete sadržaj posjetitelja putem alata platforme, on se premješta u stanje privremenog brisanja i čuva do trideset (30) dana radi omogućavanja oporavka. Nakon tog razdoblja privremeno izbrisani sadržaj uklanja se iz podataka Vaše web-stranice.
• Povijest oporavka do određene točke u vremenu: Promjene pohranjenih podataka Vaše web-stranice, uključujući brisanja, čuvaju se u povijesti oporavka web-stranice do određene točke u vremenu do trideset (30) dana. Vraćanje Vaše web-stranice na raniju točku ponovno uspostavlja podatke kakvi su bili u toj točki, uključujući zapise izbrisane nakon nje; odjave od e-pošte zadržavaju se pri svakom vraćanju.
• Povijest obavijesti: Kada Vas Usluge obavijeste o novim zapisima u bazama podataka Vaše web-stranice, obavijest se čuva i u Vašoj povijesti obavijesti unutar aplikacije do šest (6) mjeseci. Za operatere web-stranica sa sjedištem u EU-u ona sadrži sažetak bez sadržaja zapisa.
• Zapisi o ograničavanju učestalosti zahtjeva za Vašu web-stranicu: Sažeci s ključem za pojedinog posjetitelja opisani u odjeljku 3.3, koji se čuvaju do tri (3) dana, a zatim se automatski brišu.
• Zapisnici pogrešaka i dijagnostički zapisnici: Zapisnici pogrešaka platforme (koji mogu uključivati IP adrese) i vlastiti dijagnostički zapisnik Vaše web-stranice, prikazan na njezinoj stranici Zapisnici, čuvaju se do devedeset (90) dana, uključujući nakon brisanja web-stranice, a zatim se automatski brišu.
• Evidencija odjava od e-pošte na Vašoj web-stranici: Čuva se za vrijeme trajanja povezane web-stranice, osim ako se primatelj ponovno pretplati. Evidencija odjava briše se kada se web-stranica izbriše.
• Analitički podaci: Čuvaju se za vrijeme trajanja povezane web-stranice. Ograničenja čuvanja ovisna o planu, opisana na našoj stranici s cijenama, određuju koliko povijesnih analitičkih podataka ostaje prikazano i dostupno.

12.2 Nakon raskida

Nakon raskida Ugovora ili na Vaš zahtjev izbrisat ćemo osobne podatke obrađene u Vaše ime u skladu s praksama čuvanja podataka opisanima u Ugovoru (uključujući ondje opisano razdoblje odgode za brisanje računa i web-stranica). Nakon isteka razdoblja odgode brisanje je trajno i nepovratno.

12.3 Iznimke

Osobne podatke možemo zadržati u mjeri u kojoj to zahtijeva mjerodavno pravo ili ako su podaci anonimizirani i više se ne mogu povezati s Ispitanikom.

13. TRAJANJE I RASKID

Ovaj DPA stupa na snagu na datum kada prihvatite Ugovor i ostaje na snazi sve dok obrađujemo osobne podatke u Vaše ime. Obveze povjerljivosti i zaštite podataka utvrđene u ovom DPA-u ostaju na snazi i nakon raskida Ugovora.

Izmjene ovog DPA-a. Ovaj DPA možemo mijenjati na isti način kao i Ugovor (vidi „Izmjene ovih Uvjeta korištenja“ u Ugovoru): sažetak bitne izmjene šaljemo e-poštom na adresu povezanu s Vašim računom najmanje trideset (30) dana prije njezina stupanja na snagu, osim ako je izmjena propisana zakonom ili je hitno potrebna iz razloga sigurnosti, sprječavanja prijevare ili zlouporabe, a izmjene koje nisu bitne stupaju na snagu objavom. Promjene popisa podizvršitelja obrade umjesto toga provode se prema odjeljku 6.3. Nijedna izmjena ovog DPA-a ne mijenja standardne ugovorne klauzule, koje su uključene bez izmjena, niti umanjuje zaštitu koju one pružaju.

Potpisani primjerak ovog DPA-a (s potpisima obiju strana), uključujući standardne ugovorne klauzule uključene upućivanjem, dostupan je na pisani zahtjev upućen na legal@acira.ai.

14. OGRANIČENJE ODGOVORNOSTI

Odgovornost svake strane na temelju ovog DPA-a podliježe ograničenjima odgovornosti utvrđenima u Ugovoru.

15. KONTAKTIRAJTE NAS

Za pitanja o ovom DPA-u ili radi ostvarivanja svojih prava obratite nam se na:

Acira AI LLC
Attn: Data Protection
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
United States

Telefon: 888-389-1189
E-pošta: legal@acira.ai