DODATAK O OBRADI PODATAKA

Zadnji put ažurirano: 19. lipnja 2026.

Ovaj Dodatak o obradi podataka („DPA") sastavni je dio Uvjeta i odredbi („Ugovor") između Acira AI LLC („Izvršitelj obrade", „mi", „nas") i korisnika Usluga („Voditelj obrade", „vi") te dopunjuje Ugovor u pogledu obrade osobnih podataka.

Ovaj DPA primjenjuje se kada koristite Usluge za izradu, hostanje i objavljivanje web-stranica koje prikupljaju ili obrađuju osobne podatke pojedinaca koji se nalaze u Europskom gospodarskom prostoru („EGP"), Ujedinjenom Kraljevstvu („UK") ili Švicarskoj, ili kada to zahtijevaju primjenjivi zakoni o zaštiti podataka.

Ovaj Dodatak o obradi podataka može biti preveden na druge jezike radi vaše udobnosti. U slučaju sukoba ili nedosljednosti između engleske verzije i bilo koje prevedene verzije, prevladava engleska verzija.

SADRŽAJ

1. DEFINICIJE
2. OPSEG I ULOGE
3. POJEDINOSTI O OBRADI PODATAKA
4. OBVEZE IZVRŠITELJA OBRADE
5. OBVEZE VODITELJA OBRADE
6. PODIZVRŠITELJI OBRADE
7. MEĐUNARODNI PRIJENOSI PODATAKA
8. PRAVA ISPITANIKA
9. SIGURNOST PODATAKA
10. OBAVIJEST O POVREDI PODATAKA
11. REVIZIJE I PROVJERA USKLAĐENOSTI
12. ČUVANJE I BRISANJE PODATAKA
13. TRAJANJE I RASKID
14. OGRANIČENJE ODGOVORNOSTI
15. KONTAKTIRAJTE NAS

1. DEFINICIJE

„Primjenjivi zakon o zaštiti podataka" označava sve zakone i propise koji se primjenjuju na obradu osobnih podataka u okviru ovog DPA-a, uključujući (prema potrebi) Opću uredbu o zaštiti podataka (EU) 2016/679 („GDPR"), UK GDPR, Savezni zakon Švicarske o zaštiti podataka („FADP") i Kalifornijski zakon o privatnosti potrošača („CCPA").

„Voditelj obrade" označava fizičku ili pravnu osobu koja određuje svrhe i sredstva obrade osobnih podataka — u ovom kontekstu vi, korisnik Usluga koji upravlja web-stranicom putem platforme.

„Ispitanik" označava identificiranu ili identifikabilnu fizičku osobu čiji se osobni podaci obrađuju.

„Osobni podaci" označavaju sve informacije koje se odnose na ispitanika, a koje se obrađuju putem Usluga.

„Obrada" označava svaku operaciju koja se provodi na osobnim podacima, uključujući prikupljanje, bilježenje, organiziranje, strukturiranje, pohranu, prilagodbu, dohvaćanje, uvid, upotrebu, otkrivanje, širenje, ograničavanje, brisanje ili uništavanje.

„Izvršitelj obrade" označava fizičku ili pravnu osobu koja obrađuje osobne podatke u ime Voditelja obrade — u ovom kontekstu Acira AI LLC.

„Podizvršitelj obrade" označava svaku treću stranu koju Izvršitelj obrade angažira za obradu osobnih podataka u ime Voditelja obrade.

„Standardne ugovorne klauzule" ili „SCC" označavaju standardne ugovorne klauzule za prijenos osobnih podataka izvršiteljima obrade osnovanima u trećim zemljama, koje je usvojila Europska komisija.

2. OPSEG I ULOGE

2.1 Odnos obrade

Kada koristite Usluge za izradu i upravljanje web-stranicom koja prikuplja osobne podatke vaših posjetitelja (putem obrazaca, korisničkih računa, interakcija s chatbotom, komentara, recenzija ili drugih interaktivnih značajki), vi nastupate kao Voditelj obrade, a mi kao Izvršitelj obrade tih osobnih podataka posjetitelja.

2.2 Naša uloga kao Voditelja obrade

Djelujemo kao neovisni Voditelj obrade za osobne podatke koje prikupljamo za vlastite svrhe, uključujući: podatke o vašem računu, podatke o naplati, analitiku korištenja, opće karakteristike web stranice izvedene iz sadržaja vaše web stranice (kao što su industrija ili vrsta poslovanja) i operativne podatke platforme. Obrada tih podataka regulirana je našom Politikom privatnosti i izvan je opsega ovog DPA.

Pružatelji usluga plaćanja (Merchants of Record). Plaćanja za plaćene Usluge obrađuju treće strane kao pružatelji usluga plaćanja koji za vašu transakciju djeluju kao Merchant of Record — ovlašteni preprodavač i prodavatelj u pravnom smislu —, trenutačno Stripe (putem svojeg povezanog društva Sold through Link, LLC) i Paddle (Paddleov ugovorni subjekt za vašu lokaciju: Paddle.com Inc. u Sjedinjenim Američkim Državama, Paddle.com (Canada) Ltd. u Kanadi ili Paddle.com Market Limited u ostatku svijeta, uključujući EGP i UK). U tom svojstvu ti pružatelji određuju svrhe i sredstva obrade podataka o plaćanju koje dostavljate prilikom plaćanja te stoga djeluju kao zasebni neovisni voditelji obrade u vlastito ime, a ne kao naši podizvršitelji obrade. Njihova je obrada uređena njihovim vlastitim uvjetima i obavijestima o privatnosti te je izvan područja primjene ovog DPA-a. Od njih primamo samo ograničene transakcijske i obračunske podatke koje obrađujemo kao neovisni voditelj obrade kako je opisano gore.

2.3 Analitika platforme

Prikupljamo osnovnu, privatnosti naklonjenu analitiku o posjetiteljima web-stranica (kako je opisano u Ugovoru). Za analitičke podatke nastupamo kao zajednički voditelji obrade s vama. Naša analitika osmišljena je radi minimiziranja prikupljanja osobnih podataka — ne pohranjujemo sirove IP adrese, a identifikatori posjetitelja mijenjaju se svaki dan. Odgovornosti svakog zajedničkog voditelja obrade su sljedeće:

• Acira AI (Izvršitelj obrade/Zajednički voditelj obrade): Određuje tehničke načine prikupljanja analitike, uključujući koje se podatkovne točke prikupljaju, kako se izračunavaju identifikatori posjetitelja (dnevno rotirajući hashovi) i kako se podaci agregiraju. Odgovorni smo za sigurnost i integritet analitičke infrastrukture te za odgovaranje na opće upite o tome kako analitika funkcionira na platformi.
• Vi (Voditelj obrade/Zajednički voditelj obrade): Određujete hoćete li koristiti analitiku na svojoj web-stranici (analitika je prema zadanim postavkama omogućena kao dio Usluga). Odgovorni ste za objavljivanje prikupljanja analitičkih podataka u politici privatnosti vaše web-stranice te za odgovaranje na zahtjeve ispitanika vaših posjetitelja web-stranice u vezi s njihovim analitičkim podacima.
• Kontaktna točka za ispitanike: Ispitanici mogu kontaktirati vas (vlasnika web-stranice) u vezi s analitičkim podacima prikupljenima na vašoj web-stranici. Ako primimo zahtjev od ispitanika u vezi s analitičkim podacima, uputit ćemo ga vama, osim ako nas drugačije ne uputite. Za opće upite o platformi, ispitanici mogu kontaktirati nas na legal@acira.ai.

2.4 Bit aranžmana zajedničkih voditelja obrade

U skladu s člankom 26. stavkom 2. GDPR-a, bit ovog aranžmana zajedničkih voditelja obrade za analitičke podatke je sljedeća: mi (Acira AI) određujemo tehničke načine i podatkovne točke koje se prikupljaju; vi (operater web-stranice) određujete hoće li se analitika koristiti na vašoj web-stranici. Svaki od nas odgovoran je za vlastite obveze prema Primjenjivom zakonu o zaštiti podataka. Vi ste primarna kontaktna točka za posjetitelje vaše web-stranice u vezi s analitičkim podacima. Sažetak ovog aranžmana dostupan je ispitanicima putem ovog DPA-a i na https://www.acira.ai/dpa.

2.5 Oznaka pružatelja usluga prema CCPA-u

U mjeri u kojoj obrađujemo osobne podatke podložne Kalifornijskom zakonu o privatnosti potrošača („CCPA") u vaše ime, mi smo vaš „pružatelj usluga" prema definiciji iz Cal. Civ. Code § 1798.140(ag). Nećemo:

• Prodavati niti dijeliti (kako su ti pojmovi definirani prema CCPA-u) bilo koje osobne podatke koje nam pružite;
• Zadržavati, koristiti niti otkrivati osobne podatke za bilo koju svrhu osim poslovnih svrha navedenih u ovom DPA-u i Ugovoru, ili kako je inače dopušteno CCPA-om;
• Zadržavati, koristiti niti otkrivati osobne podatke izvan izravnog poslovnog odnosa između vas i nas;
• Kombinirati osobne podatke primljene od vas s osobnim podacima koje primamo od ili u ime druge osobe ili koje prikupljamo iz vlastitih interakcija s potrošačima, osim ako je to dopušteno CCPA-om.

Možemo izvoditi opće, neidentificirajuće poslovne karakteristike (kao što je klasifikacija industrije) iz sadržaja vaše web stranice u svrhu pružanja relevantnih preporuka proizvoda, kako je opisano u Odjeljku 2.2. Ova ograničena upotreba ne predstavlja prodaju, dijeljenje ili kombiniranje osobnih podataka u smislu CCPA.

Potvrđujemo da razumijemo ova ograničenja i da ćemo ih se pridržavati.

2.6 Imenovanja predstavnika

Imenujemo predstavnika za zaštitu podataka u svakoj jurisdikciji u kojoj nas mjerodavno pravo na to obvezuje te svakog takvog predstavnika navodimo u našoj Politici privatnosti. Procjenjujemo svoje aktivnosti obrade u odnosu na pragove za imenovanje predstavnika u jurisdikcijama relevantnima za naše Usluge — uključujući članak 14. Saveznog zakona Švicarske o zaštiti podataka (FADP) — te pripadajuću analizu vodimo u našim internim evidencijama o usklađenosti, koje periodički preispitujemo i ažuriramo.

3. POJEDINOSTI O OBRADI PODATAKA

3.1 Predmet i trajanje

Obrada osobnih podataka u okviru ovog DPA-a provodi se u svrhu pružanja Usluga kako je opisano u Ugovoru i nastavlja se za trajanje Ugovora.

3.2 Priroda i svrha obrade

Obrađujemo osobne podatke radi:

• Hostanja i isporuke sadržaja vaše web-stranice
• Pohrane i upravljanja podacima podnesenima putem obrazaca i interaktivnih značajki vaše web-stranice
• Održavanja korisničkih računa i sesija za zaštićena područja vaše web-stranice
• Dostave e-mail komunikacija u vaše ime
• Prosljeđivanja e-mailova primljenih na adrese vaše prilagođene domene
• Pokretanja AI chatbot razgovora s posjetiteljima vaše web-stranice
• Generiranja AI opisa i metapodataka za prenesene datoteke
• Pretvaranja prenesenih datoteka u web-optimizirane formate
• Pružanja analitike posjetitelja
• Izvođenje općih karakteristika web stranice (kao što su industrija ili vrsta poslovanja) za pružanje relevantnih preporuka platforme
• Otkrivanja i sprječavanja spama i zlouporabe (uključujući bot izazove dokaza rada)
• Provođenja moderacije sadržaja prenesenih datoteka
• Pregleda sadržaja web-stranice tijekom objave radi usklađenosti s politikama sadržaja platforme
• Upravljati preferencijama odjave od e-pošte za primatelje e-pošte vaše web stranice
• Omogućavanja komunikacije u realnom vremenu putem WebSocket veza na vašoj web-stranici (poruke su privremene i ne pohranjuju se)
• Održavanja dnevnika grešaka i dijagnostičkih dnevnika za pouzdanost platforme i rješavanje problema (mogu uključivati IP adrese i metapodatke zahtjeva; čuvaju se do trideset (30) dana)

3.3 Vrste osobnih podataka

Vrste osobnih podataka koji se obrađuju ovise o tome što prikupljate putem vaše web-stranice, a mogu uključivati:

• Imena i kontaktne podatke
• E-mail adrese
• Poruke i podnošenja obrazaca
• Prenesene datoteke koje šalju posjetitelji web-stranice (kao što su slike i dokumenti)
• Sadržaj chatbot razgovora (poruke posjetitelja i AI odgovori)
• Vjerodajnice korisničkih računa (pohranjene u hashiranom obliku)
• Podatke sesija
• IP adrese (ne pohranjuju se u analitici — pohranjuje se samo dnevno rotirajući hash; pohranjuju se kao metapodaci uz podnošenja obrazaca i chatbot razgovore; privremeno se koriste i hashiraju za verifikaciju bot izazova; privremeno se pohranjuju za ograničavanje brzine do sedam (7) dana i automatski brišu)
• Informacije o pregledniku i uređaju
• Podatke o lokaciji (razina zemlje i regije, izvedena iz IP-a)
• Zapisi o odjavi od e-pošte (pohranjeni kao kriptografski hashevi adresa e-pošte primatelja; ne pohranjuju se u neobrađenom obliku)
• Rezultate klasifikacije spama (je li podnošenje određeno kao spam)
• Podatke o greškama i dijagnostičkim dnevnicima (IP adrese, putanje zahtjeva i pojedinosti o greškama; čuvaju se do trideset (30) dana i automatski brišu)

3.4 Kategorije ispitanika

• Posjetitelji vaše web-stranice
• Korisnici koji stvaraju račune na vašoj web-stranici
• Korisnici koji šalju obrasce ili komuniciraju s chatbotovima na vašoj web-stranici
• Korisnici koji šalju komentare, recenzije ili druge doprinose na vašoj web-stranici

4. OBVEZE IZVRŠITELJA OBRADE

Mi ćemo:

1. Obrađivati osobne podatke samo prema vašim dokumentiranim uputama, osim ako to zahtijeva primjenjivi zakon (u tom slučaju ćemo vas obavijestiti o toj zakonskoj obvezi prije obrade, osim ako je to zakonom zabranjeno);
2. Osigurati da su osobe ovlaštene za obradu osobnih podataka preuzele obveze povjerljivosti ili su pod odgovarajućom zakonskom obvezom povjerljivosti;
3. Implementirati odgovarajuće tehničke i organizacijske sigurnosne mjere kako je opisano u Odjeljku 9;
4. Poštivati uvjete za angažiranje podizvršitelja obrade kako je utvrđeno u Odjeljku 6;
5. Pomagati vam, uzimajući u obzir prirodu obrade, u odgovaranju na zahtjeve ispitanika koji ostvaruju svoja prava prema Primjenjivom zakonu o zaštiti podataka;
6. Pomagati vam u osiguravanju usklađenosti s vašim obvezama prema člancima 32-36. GDPR-a (sigurnost, obavijest o povredi, procjene učinka zaštite podataka i prethodne konzultacije), uzimajući u obzir prirodu obrade i informacije dostupne nama. Tamo gdje vaše korištenje Usluga uključuje obradu visokog rizika koja može zahtijevati Procjenu učinka zaštite podataka (DPIA), pružit ćemo vam informacije o našim aktivnostima obrade, tehničkim i organizacijskim mjerama te podizvršiteljima obrade kao potporu vašoj procjeni;
7. Pomagati vam u ispunjavanju vaših obveza prema članku 22. GDPR-a (automatizirano donošenje individualnih odluka) pružanjem informacija o svakoj automatiziranoj obradi provedenoj u vaše ime, uključujući moderaciju sadržaja, otkrivanje spama i bot zaštitu, te olakšavanjem ljudskog pregleda automatiziranih odluka na zahtjev;
8. Obavijestiti vas ako je, prema našem mišljenju, vaša uputa kršenje Primjenjivog zakona o zaštiti podataka;
9. Po vašem izboru, izbrisati ili vratiti sve osobne podatke nakon završetka pružanja Usluga, te izbrisati postojeće kopije osim ako je pohrana zahtijevana primjenjivim zakonom;
10. Učiniti vam dostupnim sve informacije potrebne za dokazivanje usklađenosti s obvezama utvrđenim u ovom DPA-u te pridonijeti provjeri usklađenosti kako je opisano u Odjeljku 11.

5. OBVEZE VODITELJA OBRADE

Vi ćete:

1. Osigurati da vaše prikupljanje i obrada osobnih podataka putem vaše web-stranice bude u skladu sa svim Primjenjivim zakonima o zaštiti podataka;
2. Pružiti odgovarajuće obavijesti o privatnosti posjetiteljima vaše web-stranice opisujući vaše prakse prikupljanja podataka, uključujući otkrivanje analitike na razini platforme, AI chatbot interakcija, otkrivanja spama i bot zaštite;
3. Pribaviti sve potrebne suglasnosti ili uspostaviti drugu zakonitu osnovu za obradu osobnih podataka putem vaše web-stranice;
4. Osigurati da su vaše upute nama u pogledu obrade osobnih podataka u skladu s Primjenjivim zakonima o zaštiti podataka;
5. Biti odgovorni za točnost, kvalitetu i zakonitost osobnih podataka koji nam se pružaju putem vaše web-stranice.

Korištenjem Usluga upućujete nas na obavljanje sljedećih aktivnosti obrade u vaše ime kao dio standardnih operacija platforme: moderacija sadržaja prenesenih datoteka, pregled politike sadržaja objavljenog sadržaja web-stranice, otkrivanje spama u podnošenjima obrazaca, bot zaštita putem izazova dokaza rada i AI chatbot interakcije s posjetiteljima vaše web-stranice. Te aktivnosti su dokumentirane upute prema članku 28. stavku 3. točki (a) GDPR-a.

6. PODIZVRŠITELJI OBRADE

6.1 Ovlašteni podizvršitelji obrade

Dajete opće ovlaštenje za angažiranje podizvršitelja obrade radi pomoći u pružanju Usluga. Naši trenutni podizvršitelji obrade navedeni su u nastavku i na https://www.acira.ai/dpa.

6.2 Trenutni popis podizvršitelja obrade

Obradu plaćanja obavljaju naši Merchants of Record (Stripe i Paddle), koji djeluju kao neovisni voditelji obrade, a ne kao podizvršitelji obrade, te stoga nisu navedeni gore; vidjeti Odjeljak 2.2.

6.3 Promjene podizvršitelja obrade

Obavijestit ćemo vas o svim planiranim promjenama popisa podizvršitelja obrade za Usluge koje trenutno koristite ažuriranjem popisa podizvršitelja obrade na https://www.acira.ai/dpa najmanje četrnaest (14) dana prije nego što novi podizvršitelj obrade počne obrađivati osobne podatke. Kada uvodimo nove funkcije ili usluge koje uključuju dodatne podizvršitelje obrade, ti podizvršitelji obrade bit će objavljeni u trenutku kada funkcija ili usluga postane dostupna; vaše korištenje nove funkcije ili usluge predstavlja prihvaćanje njezinih objavljenih podizvršitelja obrade. Vaša je odgovornost periodično pregledavati popis podizvršitelja obrade radi promjena. Ako imate opravdane primjedbe na novog podizvršitelja obrade koji obrađuje podatke za postojeće Usluge, možete nas obavijestiti pisanim putem u roku od četrnaest (14) dana od objave promjene. Radit ćemo s vama u dobroj vjeri kako bismo riješili vaše brige. Ako ne možemo razriješiti primjedbu na vaše razumno zadovoljstvo, možete raskinuti Ugovor pisanom obavijesti.

6.4 Obveze podizvršitelja obrade

Sklopiti ćemo pisane sporazume s svakim podizvršiteljem obrade koji nameće obveze zaštite podataka ne manje zaštitne od onih utvrđenih u ovom DPA-u. Ostajemo odgovorni za postupke i propuste naših podizvršitelja obrade u istoj mjeri u kojoj bismo bili odgovorni da sami izvodimo usluge.

7. MEĐUNARODNI PRIJENOSI PODATAKA

7.1 Mehanizmi prijenosa

Usluge su primarno hostirane u Sjedinjenim Američkim Državama. Osobni podaci obrađeni putem Usluga mogu se prenositi i obrađivati u Sjedinjenim Državama i drugim zemljama u kojima naši podizvršitelji obrade djeluju. Pružatelji AI zaključivanja (Fireworks AI i xAI) obrađuju podatke u Sjedinjenim Državama. BrightData može obrađivati podatke u Izraelu i na drugim lokacijama diljem svijeta. Cloudflare obrađuje podatke na edge lokacijama širom svijeta.

Rezidentnost podataka u EU-u: Za operatere web stranica identificirane kao rezidente EU-a, primjenjujemo sljedeće mjere rezidentnosti podataka kako bismo minimizirali prijenose osobnih podataka posjetitelja izvan Europske unije:

• Pohrana: Podaci posjetitelja u trajnoj rubnoj pohrani — uključujući podneske obrazaca, razgovore s chatbotom, podatke o sesijama i podatke korisničkih tablica — ograničeni su na Europsku uniju. Ti se podaci pohranjuju isključivo u podatkovnim centrima u EU-u.
• Automatizirana obrada usmjerena na posjetitelje: Operacije koje se automatski pokreću aktivnošću posjetitelja — uključujući obavijesti o podnošenju sadržaja i transakcijsku isporuku e-pošte — obrađuju se unutar Europske unije i ne prolaze kroz infrastrukturu SAD-a.
• Pristup upravljanju platformom: Kada pristupate podacima posjetitelja vaše web stranice putem nadzorne ploče platforme ili konverzacijskog sučelja (na primjer, pregledavanje podnesaka obrazaca ili upravljanje korisničkim zapisima), ti podaci mogu biti obrađeni putem naše infrastrukture u SAD-u kako bi se ispunio vaš zahtjev. Ti su prijenosi na zahtjev, pokrenuti od vas (Voditelja obrade), i zaštićeni mehanizmima prijenosa i dopunskim mjerama opisanima u nastavku.
• Ostala obrada u SAD-u: Analitički podaci i podaci koje obrađuje naša infrastruktura u oblaku u SAD-u za moderiranje sadržaja i AI zaključivanje mogu se i dalje prenositi u SAD prema dolje navedenim mehanizmima prijenosa.

Za prijenose osobnih podataka iz EGP-a, UK-a ili Švicarske u zemlje koje nisu prepoznate kao pružatelji odgovarajuće razine zaštite podataka, oslanjamo se na:

1. Standardne ugovorne klauzule (SCC): Ugrađujemo Standardne ugovorne klauzule Europske komisije u ovaj DPA po referenci: Modul Jedan (Voditelj obrade prema Voditelju obrade) za analitičke podatke gdje nastupamo kao zajednički voditelji obrade (vidi Odjeljak 2.3), i Modul Dva (Voditelj obrade prema Izvršitelju obrade) za sve ostale osobne podatke obrađene u vaše ime. SCC su dostupne na https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en.
2. Dodatak za međunarodni prijenos podataka UK: Za prijenose iz UK-a primjenjuje se UK Dodatak EU SCC-ovima.
3. Švicarski mehanizmi prijenosa podataka: Za prijenose iz Švicarske primjenjuju se SCC s izmjenama koje zahtijeva švicarski FADP.

7.2 Dodatne mjere

Implementiramo sljedeće dodatne mjere za zaštitu prenesenih osobnih podataka:

• Enkripcija podataka u tranzitu (TLS/SSL) i u mirovanju
• Kontrole pristupa i mehanizmi autentifikacije
• Redovite sigurnosne procjene
• Prakse minimizacije podataka (npr. dnevno rotirajući hashovi posjetitelja umjesto pohrane sirovih IP-ova)
• Jurisdikcijska rezidentnost podataka za operatere web stranica s prebivalištem u EU-u (trajna pohrana i automatizirana obrada usmjerena na posjetitelje ograničene na EU)
• Računalna i e-poštna infrastruktura u EU-u za automatizirane operacije usmjerene na posjetitelje (obavijesti o podnošenju sadržaja i transakcijska isporuka e-pošte obrađeni u Europskoj uniji za operatere web stranica s prebivalištem u EU-u)

7.3 Procjena učinka prijenosa

Ove dodatne mjere informirane su našom procjenom zakona i praksi odredišnih zemalja, uzimajući u obzir prirodu prenesenih podataka, mehanizam prijenosa na koji se oslanjamo te tehničke i organizacijske zaštitne mjere koje su na snazi. Procijenili smo da opisane dodatne mjere, zajedno s obvezama iz SCC-a, pružaju odgovarajuću razinu zaštite za prenesene osobne podatke. Naša Procjena učinka prijenosa dostupna je na https://www.acira.ai/tia.

7.4 Kanadski prijenosi podataka

Za prijenose osobnih podataka iz Kanade, oslanjamo se na sljedeće zaštitne mjere kako bismo osigurali da osobni podaci preneseni izvan Kanade dobivaju usporedivu razinu zaštite kako se zahtijeva prema Zakonu o zaštiti osobnih podataka i elektroničkim dokumentima (PIPEDA) i primjenjivom provincijskom zakonodavstvu o privatnosti (uključujući PIPA Alberte, PIPA Britanske Kolumbije i Zakon Quebeca o zaštiti osobnih podataka u privatnom sektoru):

1. Ugovorne zaštite: Pisani sporazumi o obradi podataka s svakim podizvršiteljem obrade koji nameću obveze zaštite osobnih podataka na standardu konzistentnom s kanadskim zakonom o privatnosti, uključujući zahtjeve za odgovarajuće sigurnosne zaštitne mjere, ograničenja korištenja, obavijest o povredi i pristup ispitanika.
2. Tehničke zaštitne mjere: Iste mjere enkripcije, pseudonimizacije, kontrole pristupa i minimizacije podataka opisane u Odjeljku 7.2 primjenjuju se na kanadske prijenose podataka.
3. Organizacijske zaštitne mjere: Dužna pažnja podizvršitelja obrade, obveze povjerljivosti za osoblje i dokumentirani postupci odgovora na incidente kako je opisano u ovom DPA-u.

Pratimo razvoj kanadskog zakona o privatnosti, uključujući predloženi Zakon o zaštiti privatnosti potrošača (CPPA), i ažurirat ćemo naše mehanizme prijenosa prema potrebi.

8. PRAVA ISPITANIKA

8.1 Pomoć pri zahtjevima

Pomagat ćemo vam u odgovaranju na zahtjeve ispitanika koji ostvaruju svoja prava prema Primjenjivom zakonu o zaštiti podataka, uključujući prava pristupa, ispravka, brisanja, ograničenja, prenosivosti i prigovora.

8.2 Obavijest

Ako primimo zahtjev ili pritužbu o zaštiti podataka izravno od ispitanika u pogledu osobnih podataka obrađenih u vaše ime, promptno ćemo vam je proslijediti i nećemo odgovoriti na zahtjev ili pritužbu bez vaših uputa, osim ako to zahtijeva primjenjivi zakon. Kao voditelj obrade, vi ste odgovorni za postupanje i odgovaranje na takve pritužbe ispitanika, uključujući bilo koje obveze rješavanja pritužbi koje se na vas primjenjuju prema Primjenjivom zakonu o zaštiti podataka (kao što je Section 164A UK Data Protection Act 2018).

8.3 Alati platforme

Pružamo alate unutar Usluga koji će vam pomoći u ispunjavanju zahtjeva ispitanika, uključujući:

• Pristup podacima pohranjenima u bazama podataka vaše web-stranice i upravljanje njima
• Brisanje pojedinačnih zapisa iz baza podataka vaše web-stranice
• Na zahtjev, možemo pružiti izvoz podataka u ZIP formatu radi pomoći s obvezama prenosivosti podataka

9. SIGURNOST PODATAKA

9.1 Sigurnosne mjere

Implementiramo i održavamo odgovarajuće tehničke i organizacijske mjere za zaštitu osobnih podataka od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja. Ove mjere uključuju:

• Enkripcija: Podaci enkriptirani u tranzitu putem TLS/SSL i u mirovanju korištenjem enkripcije prema industrijskim standardima
• Kontrola pristupa: Kontrole pristupa temeljene na ulogama, višefaktorska autentifikacija za administraciju platforme, politike pristupa minimalnih privilegija
• Sigurnost infrastrukture: Upravljana oblačna infrastruktura s automatiziranim sigurnosnim zakrpama, DDoS zaštita i Web Application Firewall (WAF)
• Izolacija podataka: Izolacija podataka po web-stranici putem namjenskih instanci pohrane
• Nadzor: Automatizirani sigurnosni nadzor, otkrivanje upada i strukturirano bilježenje
• Sigurnost vjerodajnica: Svi API ključevi i tajne pohranjeni su u namjenskim uslugama upravljanja tajnama; korisničke lozinke hashirane korištenjem snažnih kriptografskih algoritama s solima po korisniku
• Bot zaštita: Sustavi izazova dokaza rada za sprječavanje automatiziranih zlouporaba

9.2 Povjerljivost

Osiguravamo da su svi zaposlenici ovlašteni za obradu osobnih podataka vezani obvezama povjerljivosti.

10. OBAVIJEST O POVREDI PODATAKA

10.1 Obavijest Voditelju obrade

Obavijestit ćemo vas bez nepotrebne odgode nakon potvrde povrede osobnih podataka koja utječe na osobne podatke obrađene u vaše ime. Obavijest će biti poslana na kontaktne podatke povezane s vašim računom.

10.2 Sadržaj obavijesti

Naša obavijest o povredi uključivat će, u mjeri u kojoj je dostupno:

1. Opis prirode povrede, uključujući kategorije i okvirni broj ispitanika i zapisa kojih se tiče;
2. Ime i kontaktne podatke naše kontaktne osobe za zaštitu podataka;
3. Opis vjerojatnih posljedica povrede;
4. Opis mjera poduzetih ili predloženih za rješavanje povrede i ublažavanje njenih učinaka.

10.3 Vaše obveze

Odgovorni ste za obavješćivanje nadležnog nadzornog tijela i pogođenih ispitanika o povredi osobnih podataka kako se zahtijeva Primjenjivim zakonom o zaštiti podataka. Surađivat ćemo s vama i pružiti razumnu pomoć kako bismo vam pomogli u ispunjavanju vaših obveza obavješćivanja o povredi.

11. REVIZIJE I PROVJERA USKLAĐENOSTI

11.1 Dokumentacija o usklađenosti

Kako bismo demonstrirali našu usklađenost s ovim DPA-om, na razuman pisani zahtjev (do jednom godišnje) stavit ćemo vam na raspolaganje sljedeće:

1. Relevantna revizorska izvješća trećih strana, certifikate ili sažetke sigurnosnih procjena;
2. Sažetak naših trenutačnih tehničkih i organizacijskih sigurnosnih mjera;
3. Informacije o našim aktivnostima obrade, podizvršiteljima obrade i praksama zaštite podataka.

Kada se oslanjamo na pružatelje infrastrukture trećih strana (poput AWS-a i Cloudflarea), njihovi sigurnosni certifikati i dokumentacija o usklađenosti dostupni su putem njihovih programa povjerenja i usklađenosti.

11.2 Dodatni upiti

Ako dokumentacija pružena prema odjeljku 11.1 razumno ne rješava vaše zabrinutosti u vezi s usklađenošću, možete podnijeti specifična pisana pitanja u vezi s našim praksama zaštite podataka, na koja ćemo odgovoriti u razumnom roku.

12. ČUVANJE I BRISANJE PODATAKA

12.1 Za vrijeme Ugovora

Čuvat ćemo osobne podatke obrađene u vaše ime za trajanje Ugovora i u skladu s vašim uputama putem Usluga. Specifični rokovi čuvanja za podatke posjetitelja uključuju:

• Chatbot razgovori na vašoj web-stranici: Čuvaju se trideset (30) dana od posljednje interakcije u svakom razgovoru. Razgovori se pohranjuju unutar sesija posjetitelja na edge infrastrukturi web-stranice i automatski se brišu kada sesija istekne zbog neaktivnosti.
• Podnošenja obrazaca i korisnički generirani sadržaj na vašoj web-stranici: Čuvaju se za trajanje pridružene web-stranice, osim ako ih ranije ne izbrišete putem alata platforme.
• Podatke sesija za posjetitelje vaše web-stranice: Automatski se brišu nakon 30 dana neaktivnosti.
• Izbrisani sadržaj posjetitelja (podnošenja obrazaca, komentari i drugi korisnički generirani sadržaj na vašoj web-stranici): Kada izbrišete sadržaj posjetitelja putem alata platforme, premješta se u stanje mekog brisanja i čuva do trideset (30) dana radi podrške oporavku. Nakon tog razdoblja, meko izbrisani sadržaj trajno se uklanja. Sadržaj možete trajno izbrisati odmah pročišćavanjem iz reda čekanja za oporavak.
• Zapisi o odjavi od e-pošte na vašoj web stranici: Čuvaju se za trajanje povezane web stranice, osim ako se primatelj ponovno pretplati. Zapisi o odjavi brišu se kada se web stranica uništi.
• Analitički podaci: Čuvaju se za trajanje pridružene web-stranice (podložno ograničenjima čuvanja temeljenim na planu; analitički podaci besplatnog plana čuvaju se devedeset (90) dana).

12.2 Po raskidu

Po raskidu Ugovora ili na vaš zahtjev, izbrišemo osobne podatke obrađene u vaše ime u skladu s praksama zadržavanja podataka opisanima u Ugovoru (uključujući sedmodnevni (7) rok za brisanje računa i web-stranica). Nakon isteka roka, brisanje je trajno i nepovratno.

12.3 Iznimke

Možemo zadržati osobne podatke u mjeri koju zahtijeva primjenjivi zakon, ili tamo gdje su podaci anonimizirani i više se ne mogu povezati s ispitanikom.

13. TRAJANJE I RASKID

Ovaj DPA stupa na snagu na datum kada prihvatite Ugovor i ostaje na snazi sve dok obrađujemo osobne podatke u vaše ime. Obveze povjerljivosti i zaštite podataka utvrđene u ovom DPA-u preživljavaju raskid Ugovora.

14. OGRANIČENJE ODGOVORNOSTI

Odgovornost svake strane prema ovom DPA-u podliježe ograničenjima odgovornosti utvrđenima u Ugovoru.

15. KONTAKTIRAJTE NAS

Za pitanja o ovom DPA-u ili za ostvarivanje vaših prava, kontaktirajte nas na:

Acira AI LLC
Pažnja: Zaštita podataka
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
United States

Telefon: 888-389-1189
E-mail: legal@acira.ai