DODATAK O OBRADI PODATAKA

Zadnji put ažurirano: 6. srpnja 2026.

Ovaj Dodatak o obradi podataka („DPA") sastavni je dio Uvjeta i odredbi („Ugovor") između Acira AI LLC („Izvršitelj obrade", „mi", „nas") i korisnika Usluga („Voditelj obrade", „vi") te dopunjuje Ugovor u pogledu obrade osobnih podataka.

Ovaj DPA primjenjuje se kada koristite Usluge za izradu, hostanje i objavljivanje web-stranica koje prikupljaju ili obrađuju osobne podatke pojedinaca koji se nalaze u Europskom gospodarskom prostoru („EGP"), Ujedinjenom Kraljevstvu („UK") ili Švicarskoj, ili kada to zahtijevaju primjenjivi zakoni o zaštiti podataka.

Ovaj Dodatak o obradi podataka može biti preveden na druge jezike radi vaše udobnosti. U slučaju sukoba ili nedosljednosti između engleske verzije i bilo koje prevedene verzije, prevladava engleska verzija.

SADRŽAJ

1. DEFINICIJE
2. OPSEG I ULOGE
3. POJEDINOSTI O OBRADI PODATAKA
4. OBVEZE IZVRŠITELJA OBRADE
5. OBVEZE VODITELJA OBRADE
6. PODIZVRŠITELJI OBRADE
7. MEĐUNARODNI PRIJENOSI PODATAKA
8. PRAVA ISPITANIKA
9. SIGURNOST PODATAKA
10. OBAVIJEST O POVREDI PODATAKA
11. REVIZIJE I PROVJERA USKLAĐENOSTI
12. ČUVANJE I BRISANJE PODATAKA
13. TRAJANJE I RASKID
14. OGRANIČENJE ODGOVORNOSTI
15. KONTAKTIRAJTE NAS

1. DEFINICIJE

„Primjenjivi zakon o zaštiti podataka" označava sve zakone i propise koji se primjenjuju na obradu osobnih podataka u okviru ovog DPA-a, uključujući (prema potrebi) Opću uredbu o zaštiti podataka (EU) 2016/679 („GDPR"), UK GDPR, Savezni zakon Švicarske o zaštiti podataka („FADP") i Kalifornijski zakon o privatnosti potrošača („CCPA").

„Voditelj obrade" označava fizičku ili pravnu osobu koja određuje svrhe i sredstva obrade osobnih podataka — u ovom kontekstu vi, korisnik Usluga koji upravlja web-stranicom putem platforme.

„Ispitanik" označava identificiranu ili identifikabilnu fizičku osobu čiji se osobni podaci obrađuju.

„Osobni podaci" označavaju sve informacije koje se odnose na ispitanika, a koje se obrađuju putem Usluga.

„Obrada" označava svaku operaciju koja se provodi na osobnim podacima, uključujući prikupljanje, bilježenje, organiziranje, strukturiranje, pohranu, prilagodbu, dohvaćanje, uvid, upotrebu, otkrivanje, širenje, ograničavanje, brisanje ili uništavanje.

„Izvršitelj obrade" označava fizičku ili pravnu osobu koja obrađuje osobne podatke u ime Voditelja obrade — u ovom kontekstu Acira AI LLC.

„Podizvršitelj obrade" označava svaku treću stranu koju Izvršitelj obrade angažira za obradu osobnih podataka u ime Voditelja obrade.

„Standardne ugovorne klauzule" ili „SCC" označavaju standardne ugovorne klauzule za prijenos osobnih podataka izvršiteljima obrade osnovanima u trećim zemljama, koje je usvojila Europska komisija.

2. OPSEG I ULOGE

2.1 Odnos obrade

Kada koristite Usluge za izradu i upravljanje web-stranicom koja prikuplja osobne podatke vaših posjetitelja (putem obrazaca, korisničkih računa, interakcija s chatbotom, komentara, recenzija ili drugih interaktivnih značajki), vi nastupate kao Voditelj obrade, a mi kao Izvršitelj obrade tih osobnih podataka posjetitelja.

2.2 Naša uloga kao Voditelja obrade

Djelujemo kao neovisni Voditelj obrade za osobne podatke koje prikupljamo za vlastite svrhe, uključujući: podatke o vašem računu, podatke o naplati, analitiku korištenja, opće karakteristike web stranice izvedene iz sadržaja vaše web stranice (kao što su industrija ili vrsta poslovanja) i operativne podatke platforme. Obrada tih podataka regulirana je našom Politikom privatnosti i izvan je opsega ovog DPA.

Pružatelj usluga plaćanja (Merchant of Record). Plaćanja za plaćene Usluge obrađuje treća strana kao pružatelj usluga plaćanja koji za vašu transakciju djeluje kao Merchant of Record — ovlašteni preprodavač i prodavatelj u pravnom smislu —, trenutačno Stripe (putem svojeg povezanog društva Sold through Link, LLC). U tom svojstvu taj pružatelj određuje svrhe i sredstva obrade podataka o plaćanju koje dostavljate prilikom plaćanja te stoga djeluje kao neovisni voditelj obrade u vlastito ime, a ne kao naš podizvršitelj obrade. Njegova je obrada uređena njegovim vlastitim uvjetima i obaviješću o privatnosti te je izvan područja primjene ovog DPA-a. Od njega primamo samo ograničene transakcijske i obračunske podatke koje obrađujemo kao neovisni voditelj obrade kako je opisano gore.

2.3 Analitika platforme

Prikupljamo osnovnu, privatnosti naklonjenu analitiku o posjetiteljima web-stranica (kako je opisano u Ugovoru). Za analitičke podatke nastupamo kao zajednički voditelji obrade s vama. Naša analitika osmišljena je radi minimiziranja prikupljanja osobnih podataka — ne pohranjujemo sirove IP adrese, a identifikatori posjetitelja su hashevi s ključem koji se mijenjaju svaki dan i razlikuju se za svako web-mjesto. Odgovornosti svakog zajedničkog voditelja obrade su sljedeće:

• Acira AI (Izvršitelj obrade/Zajednički voditelj obrade): Određuje tehničke načine prikupljanja analitike, uključujući koje se podatkovne točke prikupljaju, kako se izračunavaju identifikatori posjetitelja (dnevno rotirajući hashovi) i kako se podaci agregiraju. Odgovorni smo za sigurnost i integritet analitičke infrastrukture te za odgovaranje na opće upite o tome kako analitika funkcionira na platformi.
• Vi (Voditelj obrade/Zajednički voditelj obrade): Upravljate web-stranicom na kojoj se prikupljaju analitički podaci (analitika se pruža kao sastavni dio Usluga na svim hostiranim web-stranicama). Odgovorni ste za objavljivanje prikupljanja analitičkih podataka u politici privatnosti vaše web-stranice te za odgovaranje na zahtjeve ispitanika vaših posjetitelja web-stranice u vezi s njihovim analitičkim podacima.
• Kontaktna točka za ispitanike: Ispitanici mogu kontaktirati vas (vlasnika web-stranice) u vezi s analitičkim podacima prikupljenima na vašoj web-stranici. Ako primimo zahtjev od ispitanika u vezi s analitičkim podacima, uputit ćemo ga vama, osim ako nas drugačije ne uputite. Za opće upite o platformi, ispitanici mogu kontaktirati nas na legal@acira.ai.

2.4 Bit aranžmana zajedničkih voditelja obrade

U skladu s člankom 26. stavkom 2. GDPR-a, bit ovog aranžmana zajedničkih voditelja obrade za analitičke podatke je sljedeća: mi (Acira AI) određujemo tehničke načine i podatkovne točke koje se prikupljaju; vi (operater web-stranice) upravljate web-stranicom na kojoj se prikupljaju analitički podaci i odgovorni ste za objavljivanje tog prikupljanja svojim posjetiteljima. Svaki od nas odgovoran je za vlastite obveze prema Primjenjivom zakonu o zaštiti podataka. Vi ste primarna kontaktna točka za posjetitelje vaše web-stranice u vezi s analitičkim podacima. Sažetak ovog aranžmana dostupan je ispitanicima putem ovog DPA-a i na https://www.acira.ai/dpa.

2.5 Oznaka pružatelja usluga prema CCPA-u

U mjeri u kojoj obrađujemo osobne podatke podložne Kalifornijskom zakonu o privatnosti potrošača („CCPA") u vaše ime, mi smo vaš „pružatelj usluga" prema definiciji iz Cal. Civ. Code § 1798.140(ag). Nećemo:

• Prodavati niti dijeliti (kako su ti pojmovi definirani prema CCPA-u) bilo koje osobne podatke koje nam pružite;
• Zadržavati, koristiti niti otkrivati osobne podatke za bilo koju svrhu osim poslovnih svrha navedenih u ovom DPA-u i Ugovoru, ili kako je inače dopušteno CCPA-om;
• Zadržavati, koristiti niti otkrivati osobne podatke izvan izravnog poslovnog odnosa između vas i nas;
• Kombinirati osobne podatke primljene od vas s osobnim podacima koje primamo od ili u ime druge osobe ili koje prikupljamo iz vlastitih interakcija s potrošačima, osim ako je to dopušteno CCPA-om.

Možemo izvoditi opće, neidentificirajuće poslovne karakteristike (kao što je klasifikacija industrije) iz sadržaja vaše web stranice u svrhu pružanja relevantnih preporuka proizvoda, kako je opisano u Odjeljku 2.2. Ova ograničena upotreba ne predstavlja prodaju, dijeljenje ili kombiniranje osobnih podataka u smislu CCPA.

Potvrđujemo da razumijemo ova ograničenja i da ćemo ih se pridržavati.

2.6 Imenovanja predstavnika

Imenujemo predstavnika za zaštitu podataka u svakoj jurisdikciji u kojoj nas mjerodavno pravo na to obvezuje te svakog takvog predstavnika navodimo u našoj Politici privatnosti. Procjenjujemo svoje aktivnosti obrade u odnosu na pragove za imenovanje predstavnika u jurisdikcijama relevantnima za naše Usluge — uključujući članak 14. Saveznog zakona Švicarske o zaštiti podataka (FADP) — te pripadajuću analizu vodimo u našim internim evidencijama o usklađenosti, koje periodički preispitujemo i ažuriramo.

2.7 Web stranice kojima upravljaju agencije

Kada je web stranica izrađena ili se njome upravlja putem našeg Programa za agencije, agencija („Agencija") koristi Usluge za izradu web stranice i upravljanje njome u ime svog vlastitog klijenta („Krajnji klijent"). U tom aranžmanu:

• Krajnji klijent (ili, kada Agencija upravlja web stranicom za vlastite svrhe, Agencija) je Voditelj obrade osobnih podataka posjetitelja prikupljenih putem upravljane web stranice.
• Kada Agencija djeluje kao izvršitelj obrade za svog Krajnjeg klijenta, mi djelujemo kao podizvršitelj obrade kojeg angažira Agencija, a Standardne ugovorne klauzule od izvršitelja obrade prema podizvršitelju obrade (Modul tri) primjenjuju se na tu vezu uz module opisane u Odjeljku 7. Kada je sama Agencija Voditelj obrade, mi djelujemo kao njezin Izvršitelj obrade kako je opisano u ovom DPA-u.
• Agencija je odgovorna za sklapanje ugovora o obradi podataka sa svakim Krajnjim klijentom pod uvjetima usklađenima s ovim DPA-om te za osiguravanje da ima ovlast davati nam upute u ime Krajnjeg klijenta.
• Osoblje Agencije kojemu je odobren pristup upravljanoj web stranici može pristupiti osobnim podacima posjetitelja pohranjenima za tu web stranicu (uključujući podnošenja obrazaca, chatbot razgovore, podatke sesija i zapise korisničkih tablica) radi izrade web stranice, upravljanja njome i njezina rada. Agencija je odgovorna za ograničavanje i nadzor takvog pristupa u skladu s Primjenjivim pravom o zaštiti podataka.

Uvjeti Programa za agencije, uključujući obveze Agencije, utvrđeni su u Uvjetima za agencije tvrtke Acira AI na https://www.acira.ai/agency-terms.

3. POJEDINOSTI O OBRADI PODATAKA

3.1 Predmet i trajanje

Obrada osobnih podataka u okviru ovog DPA-a provodi se u svrhu pružanja Usluga kako je opisano u Ugovoru i nastavlja se za trajanje Ugovora.

3.2 Priroda i svrha obrade

Obrađujemo osobne podatke radi:

• Hostanja i isporuke sadržaja vaše web-stranice
• Pohrane i upravljanja podacima podnesenima putem obrazaca i interaktivnih značajki vaše web-stranice
• Održavanja korisničkih računa i sesija za zaštićena područja vaše web-stranice
• Dostave e-mail komunikacija u vaše ime
• Prosljeđivanja e-mailova primljenih na adrese vaše prilagođene domene
• Pokretanja AI chatbot razgovora s posjetiteljima vaše web-stranice
• Generiranja AI opisa i metapodataka za prenesene datoteke
• Pretvaranja prenesenih datoteka u web-optimizirane formate
• Pružanja analitike posjetitelja
• Izvođenje općih karakteristika web stranice (kao što su industrija ili vrsta poslovanja) za pružanje relevantnih preporuka platforme
• Otkrivanja i sprječavanja spama i zlouporabe (uključujući bot izazove dokaza rada)
• Provođenja moderacije sadržaja prenesenih datoteka
• Pregleda sadržaja web-stranice tijekom objave radi usklađenosti s politikama sadržaja platforme
• Upravljati preferencijama odjave od e-pošte za primatelje e-pošte vaše web stranice
• Omogućavanja komunikacije u realnom vremenu putem WebSocket veza na vašoj web-stranici (poruke su privremene i ne pohranjuju se)
• Pružanja programskog pristupa sadržaju i podacima vaše web stranice putem sučelja naredbenog retka (CLI) i drugih programskih API-ja, prema vašim uputama (uključujući dohvat i izvoz sadržaja u vaše lokalno okruženje)
• Održavanja dnevnika grešaka i dijagnostičkih dnevnika za pouzdanost platforme i rješavanje problema (mogu uključivati IP adrese i metapodatke zahtjeva; čuvaju se do trideset (30) dana)

3.3 Vrste osobnih podataka

Vrste osobnih podataka koji se obrađuju ovise o tome što prikupljate putem vaše web-stranice, a mogu uključivati:

• Imena i kontaktne podatke
• E-mail adrese
• Poruke i podnošenja obrazaca
• Prenesene datoteke koje šalju posjetitelji web-stranice (kao što su slike i dokumenti)
• Sadržaj chatbot razgovora (poruke posjetitelja i AI odgovori)
• Vjerodajnice korisničkih računa (pohranjene u hashiranom obliku)
• Podatke sesija
• IP adrese (ne pohranjuju se u sirovom obliku: adresa se koristi tijekom prijenosa radi usmjeravanja zahtjeva, utvrđivanja države i regije te provjere bot izazova. Ondje gdje identifikator mora ostati pohranjen — analitika i ograničavanje brzine — pohranjuje se samo kriptografski hash izračunat tajnim ključem, koji se bez tajne koju držimo ne može pretvoriti natrag u adresu i koji je za istog posjetitelja različit na svakom web-mjestu. Hashevi za ograničavanje brzine automatski se brišu u roku od četrdeset i osam (48) sati; analitički identifikatori mijenjaju se svaka dvadeset i četiri (24) sata. Podnošenja obrazaca i chatbot razgovori bilježe državu i regiju, a ne adresu. Kod vaših vlastitih stranica može čitati IP adresu posjetitelja; sve što odlučite pohraniti vaše je vlastito prikupljanje za koje ste vi voditelj obrade)
• Informacije o pregledniku i uređaju
• Podatke o lokaciji (razina zemlje i regije, izvedena iz IP-a)
• Zapisi o odjavi od e-pošte (adresa e-pošte primatelja i ono od čega se odjavio; dostupni su vam kako biste mogli poštovati popis odjava svoje web-stranice i njime upravljati)
• Rezultate klasifikacije spama (je li podnošenje određeno kao spam)
• Podatke o greškama i dijagnostičkim dnevnicima (IP adrese, putanje zahtjeva i pojedinosti o greškama; čuvaju se do trideset (30) dana i automatski brišu)

3.4 Kategorije ispitanika

• Posjetitelji vaše web-stranice
• Korisnici koji stvaraju račune na vašoj web-stranici
• Korisnici koji šalju obrasce ili komuniciraju s chatbotovima na vašoj web-stranici
• Korisnici koji šalju komentare, recenzije ili druge doprinose na vašoj web-stranici

4. OBVEZE IZVRŠITELJA OBRADE

Mi ćemo:

1. Obrađivati osobne podatke samo prema vašim dokumentiranim uputama, osim ako to zahtijeva primjenjivi zakon (u tom slučaju ćemo vas obavijestiti o toj zakonskoj obvezi prije obrade, osim ako je to zakonom zabranjeno);
2. Osigurati da su osobe ovlaštene za obradu osobnih podataka preuzele obveze povjerljivosti ili su pod odgovarajućom zakonskom obvezom povjerljivosti;
3. Implementirati odgovarajuće tehničke i organizacijske sigurnosne mjere kako je opisano u Odjeljku 9;
4. Poštivati uvjete za angažiranje podizvršitelja obrade kako je utvrđeno u Odjeljku 6;
5. Pomagati vam, uzimajući u obzir prirodu obrade, u odgovaranju na zahtjeve ispitanika koji ostvaruju svoja prava prema Primjenjivom zakonu o zaštiti podataka;
6. Pomagati vam u osiguravanju usklađenosti s vašim obvezama prema člancima 32-36. GDPR-a (sigurnost, obavijest o povredi, procjene učinka zaštite podataka i prethodne konzultacije), uzimajući u obzir prirodu obrade i informacije dostupne nama. Tamo gdje vaše korištenje Usluga uključuje obradu visokog rizika koja može zahtijevati Procjenu učinka zaštite podataka (DPIA), pružit ćemo vam informacije o našim aktivnostima obrade, tehničkim i organizacijskim mjerama te podizvršiteljima obrade kao potporu vašoj procjeni;
7. Pomagati vam u ispunjavanju vaših obveza prema članku 22. GDPR-a (automatizirano donošenje individualnih odluka) pružanjem informacija o svakoj automatiziranoj obradi provedenoj u vaše ime, uključujući moderaciju sadržaja, otkrivanje spama i bot zaštitu, te olakšavanjem ljudskog pregleda automatiziranih odluka na zahtjev;
8. Obavijestiti vas ako je, prema našem mišljenju, vaša uputa kršenje Primjenjivog zakona o zaštiti podataka;
9. Po vašem izboru, izbrisati ili vratiti sve osobne podatke nakon završetka pružanja Usluga, te izbrisati postojeće kopije osim ako je pohrana zahtijevana primjenjivim zakonom;
10. Učiniti vam dostupnim sve informacije potrebne za dokazivanje usklađenosti s obvezama utvrđenim u ovom DPA-u te pridonijeti provjeri usklađenosti kako je opisano u Odjeljku 11.

5. OBVEZE VODITELJA OBRADE

Vi ćete:

1. Osigurati da vaše prikupljanje i obrada osobnih podataka putem vaše web-stranice bude u skladu sa svim Primjenjivim zakonima o zaštiti podataka;
2. Pružiti odgovarajuće obavijesti o privatnosti posjetiteljima vaše web-stranice opisujući vaše prakse prikupljanja podataka, uključujući otkrivanje analitike na razini platforme, AI chatbot interakcija, otkrivanja spama i bot zaštite;
3. Pribaviti sve potrebne suglasnosti ili uspostaviti drugu zakonitu osnovu za obradu osobnih podataka putem vaše web-stranice;
4. Osigurati da su vaše upute nama u pogledu obrade osobnih podataka u skladu s Primjenjivim zakonima o zaštiti podataka;
5. Biti odgovorni za točnost, kvalitetu i zakonitost osobnih podataka koji nam se pružaju putem vaše web-stranice.

Korištenjem Usluga upućujete nas na obavljanje sljedećih aktivnosti obrade u vaše ime kao dio standardnih operacija platforme: moderacija sadržaja prenesenih datoteka, pregled politike sadržaja objavljenog sadržaja web-stranice, otkrivanje spama u podnošenjima obrazaca, bot zaštita putem izazova dokaza rada i AI chatbot interakcije s posjetiteljima vaše web-stranice. Te aktivnosti su dokumentirane upute prema članku 28. stavku 3. točki (a) GDPR-a.

6. PODIZVRŠITELJI OBRADE

6.1 Ovlašteni podizvršitelji obrade

Dajete opće ovlaštenje za angažiranje podizvršitelja obrade radi pomoći u pružanju Usluga. Naši trenutni podizvršitelji obrade navedeni su u nastavku i na https://www.acira.ai/dpa.

6.2 Trenutni popis podizvršitelja obrade

Obradu plaćanja obavlja naš Merchant of Record (Stripe), koji djeluje kao neovisni voditelj obrade, a ne kao podizvršitelj obrade, te stoga nije naveden gore; vidjeti Odjeljak 2.2.

6.3 Promjene podizvršitelja obrade

Pružit ćemo obavijest o svim planiranim promjenama popisa podizvršitelja obrade za Usluge koje trenutno koristite najmanje trideset (30) dana prije nego što novi podizvršitelj obrade počne obrađivati osobne podatke, ažuriranjem popisa podizvršitelja obrade na https://www.acira.ai/dpa i, ako ste se pretplatili na obavijesti o podizvršiteljima obrade, e-poštom. Možete se pretplatiti na primanje obavijesti o promjenama podizvršitelja obrade slanjem e-pošte na legal@acira.ai s predmetom "Subprocessor Notifications". Kada uvodimo nove funkcije ili usluge koje uključuju dodatne podizvršitelje obrade, ti podizvršitelji obrade bit će objavljeni u trenutku kada funkcija ili usluga postane dostupna; vaše korištenje nove funkcije ili usluge predstavlja prihvaćanje njezinih objavljenih podizvršitelja obrade. Ako imate opravdane primjedbe na novog podizvršitelja obrade koji obrađuje podatke za postojeće Usluge, možete nas obavijestiti pisanim putem u roku od trideset (30) dana od obavijesti. Radit ćemo s vama u dobroj vjeri kako bismo riješili vaše brige. Ako ne možemo razriješiti primjedbu na vaše razumno zadovoljstvo, možete raskinuti Ugovor pisanom obavijesti.

6.4 Obveze podizvršitelja obrade

Sklopiti ćemo pisane sporazume s svakim podizvršiteljem obrade koji nameće obveze zaštite podataka ne manje zaštitne od onih utvrđenih u ovom DPA-u. Ostajemo odgovorni za postupke i propuste naših podizvršitelja obrade u istoj mjeri u kojoj bismo bili odgovorni da sami izvodimo usluge.

7. MEĐUNARODNI PRIJENOSI PODATAKA

7.1 Mehanizmi prijenosa

Usluge su primarno hostirane u Sjedinjenim Američkim Državama. Osobni podaci obrađeni putem Usluga mogu se prenositi i obrađivati u Sjedinjenim Državama i drugim zemljama u kojima naši podizvršitelji obrade djeluju. Pružatelji AI zaključivanja (Fireworks AI i xAI) obrađuju podatke u Sjedinjenim Državama. BrightData može obrađivati podatke u Izraelu i na drugim lokacijama diljem svijeta. Cloudflare obrađuje podatke na edge lokacijama širom svijeta.

Rezidentnost podataka u EU-u: Za operatere web stranica identificirane kao rezidente EU-a, primjenjujemo sljedeće mjere rezidentnosti podataka kako bismo minimizirali prijenose osobnih podataka posjetitelja izvan Europske unije:

• Pohrana: Podaci posjetitelja u trajnoj rubnoj pohrani — uključujući podneske obrazaca, razgovore s chatbotom, podatke o sesijama i podatke korisničkih tablica — ograničeni su na Europsku uniju. Ti se podaci pohranjuju isključivo u podatkovnim centrima u EU-u.
• Automatizirana obrada usmjerena na posjetitelje: Operacije koje se automatski pokreću aktivnošću posjetitelja — uključujući obavijesti o podnošenju sadržaja, transakcijsku isporuku e-pošte i strojno prevođenje sadržaja baze podataka web stranice na dodatne jezike stranice — obrađuju se unutar Europske unije i ne prolaze kroz infrastrukturu SAD-a.
• Pristup upravljanju platformom: Kada pristupate podacima posjetitelja vaše web stranice putem nadzorne ploče platforme, konverzacijskog sučelja ili sučelja naredbenog retka (CLI) ili drugih programskih API-ja (na primjer, pregledavanje podnesaka obrazaca, upravljanje korisničkim zapisima ili izvoz sadržaja u vaše lokalno okruženje), ti podaci mogu biti obrađeni putem naše infrastrukture u SAD-u kako bi se ispunio vaš zahtjev te — kada koristite CLI ili programsko sučelje — mogu biti preneseni u okruženje u kojem pokrećete te alate i ondje pohranjeni. Ti su prijenosi na zahtjev, pokrenuti od vas (Voditelja obrade), i zaštićeni mehanizmima prijenosa i dopunskim mjerama opisanima u nastavku u mjeri u kojoj podaci ostaju unutar naše infrastrukture. Nakon što izvezete ili dohvatite osobne podatke u vlastito okruženje (poput lokalnog računala ili razvojnog alata treće strane), vi ste odgovorni za njihovu sigurnost i zakonito postupanje s njima; naše mjere jurisdikcijske rezidentnosti i druge tehničke mjere ne protežu se na osobne podatke nakon što napuste našu infrastrukturu.
• Dijagnostički zapisi: Zapisi pogrešaka i konzolni zapisi koje proizvodi Vaša web-stranica — dijagnostički ispis koji Vam se prikazuje na stranici Zapisi u platformi — čuvaju se na našoj infrastrukturi u SAD-u. Riječ je o operativnim evidencijama koje se čuvaju za Vaš vlastiti uvid i nije predviđeno da sadrže osobne podatke posjetitelja; Vi upravljate time što u njih upisuje kôd Vaše web-stranice.
• Ostala obrada u SAD-u: Analitički podaci i podaci koje obrađuje naša infrastruktura u oblaku u SAD-u za moderiranje sadržaja i AI zaključivanje mogu se i dalje prenositi u SAD prema dolje navedenim mehanizmima prijenosa.

Za prijenose osobnih podataka iz EGP-a, UK-a ili Švicarske u zemlje koje nisu prepoznate kao pružatelji odgovarajuće razine zaštite podataka, oslanjamo se na:

1. Standardne ugovorne klauzule (SCC): Ugrađujemo Standardne ugovorne klauzule Europske komisije u ovaj DPA po referenci: Modul Jedan (Voditelj obrade prema Voditelju obrade) za analitičke podatke gdje nastupamo kao zajednički voditelji obrade (vidi Odjeljak 2.3), i Modul Dva (Voditelj obrade prema Izvršitelju obrade) za sve ostale osobne podatke obrađene u vaše ime. SCC su dostupne na https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en.
2. Dodatak za međunarodni prijenos podataka UK: Za prijenose iz UK-a primjenjuje se UK Dodatak EU SCC-ovima.
3. Švicarski mehanizmi prijenosa podataka: Za prijenose iz Švicarske primjenjuju se SCC s izmjenama koje zahtijeva švicarski FADP.

Za potrebe SCC-ova, strane su suglasne da: (a) izvoznik podataka ste vi, a uvoznik podataka je Acira AI LLC; (b) Aneks I.B (opis prijenosa) popunjava se Odjeljkom 3. ovog DPA-a; (c) Aneks II (tehničke i organizacijske mjere) popunjava se Odjeljcima 7.2 i 9. ovog DPA-a; (d) za Klauzulu 9. primjenjuje se Opcija 2 (opće pisano odobrenje), uz razdoblje obavijesti utvrđeno u Odjeljku 6.3; (e) neobvezna klauzula o pristupanju (Klauzula 7.) ne primjenjuje se; (f) za Klauzulu 17. (mjerodavno pravo) i Klauzulu 18. (izbor nadležnosti), SCC-ovi se uređuju pravom Irske, a sporovi koji iz njih proizlaze rješavaju se pred sudovima Irske; i (g) nadležno nadzorno tijelo u Aneksu I.C utvrđuje se u skladu s Klauzulom 13. SCC-ova. Za potrebe UK International Data Transfer Addenduma, Tablice 1 do 3 smatraju se popunjenima odgovarajućim informacijama navedenima u ovom DPA-u i gornjim SCC odabirima, a za Tablicu 4 nijedna strana ne može raskinuti UK Addendum kako je navedeno u Odjeljku 19. UK Addenduma.

7.2 Dodatne mjere

Implementiramo sljedeće dodatne mjere za zaštitu prenesenih osobnih podataka:

• Enkripcija podataka u tranzitu (TLS/SSL) i u mirovanju
• Kontrole pristupa i mehanizmi autentifikacije
• Redovite sigurnosne procjene
• Prakse minimizacije podataka (npr. dnevno rotirajući hashovi posjetitelja umjesto pohrane sirovih IP-ova)
• Jurisdikcijska rezidentnost podataka za operatere web stranica s prebivalištem u EU-u (trajna pohrana i automatizirana obrada usmjerena na posjetitelje ograničene na EU)
• Računalna i e-poštna infrastruktura u EU-u za automatizirane operacije usmjerene na posjetitelje (obavijesti o podnošenju sadržaja i transakcijska isporuka e-pošte obrađeni u Europskoj uniji za operatere web stranica s prebivalištem u EU-u)

7.3 Procjena učinka prijenosa

Ove dodatne mjere informirane su našom procjenom zakona i praksi odredišnih zemalja, uzimajući u obzir prirodu prenesenih podataka, mehanizam prijenosa na koji se oslanjamo te tehničke i organizacijske zaštitne mjere koje su na snazi. Procijenili smo da opisane dodatne mjere, zajedno s obvezama iz SCC-a, pružaju odgovarajuću razinu zaštite za prenesene osobne podatke. Naša Procjena učinka prijenosa dostupna je na https://www.acira.ai/tia.

7.4 Kanadski prijenosi podataka

Za prijenose osobnih podataka iz Kanade, oslanjamo se na sljedeće zaštitne mjere kako bismo osigurali da osobni podaci preneseni izvan Kanade dobivaju usporedivu razinu zaštite kako se zahtijeva prema Zakonu o zaštiti osobnih podataka i elektroničkim dokumentima (PIPEDA) i primjenjivom provincijskom zakonodavstvu o privatnosti (uključujući PIPA Alberte, PIPA Britanske Kolumbije i Zakon Quebeca o zaštiti osobnih podataka u privatnom sektoru):

1. Ugovorne zaštite: Pisani sporazumi o obradi podataka s svakim podizvršiteljem obrade koji nameću obveze zaštite osobnih podataka na standardu konzistentnom s kanadskim zakonom o privatnosti, uključujući zahtjeve za odgovarajuće sigurnosne zaštitne mjere, ograničenja korištenja, obavijest o povredi i pristup ispitanika.
2. Tehničke zaštitne mjere: Iste mjere enkripcije, pseudonimizacije, kontrole pristupa i minimizacije podataka opisane u Odjeljku 7.2 primjenjuju se na kanadske prijenose podataka.
3. Organizacijske zaštitne mjere: Dužna pažnja podizvršitelja obrade, obveze povjerljivosti za osoblje i dokumentirani postupci odgovora na incidente kako je opisano u ovom DPA-u.

Pratimo razvoj kanadskog zakona o privatnosti, uključujući predloženi Zakon o zaštiti privatnosti potrošača (CPPA), i ažurirat ćemo naše mehanizme prijenosa prema potrebi.

8. PRAVA ISPITANIKA

8.1 Pomoć pri zahtjevima

Pomagat ćemo vam u odgovaranju na zahtjeve ispitanika koji ostvaruju svoja prava prema Primjenjivom zakonu o zaštiti podataka, uključujući prava pristupa, ispravka, brisanja, ograničenja, prenosivosti i prigovora.

8.2 Obavijest

Ako primimo zahtjev ili pritužbu o zaštiti podataka izravno od ispitanika u pogledu osobnih podataka obrađenih u vaše ime, promptno ćemo vam je proslijediti i nećemo odgovoriti na zahtjev ili pritužbu bez vaših uputa, osim ako to zahtijeva primjenjivi zakon. Kao voditelj obrade, vi ste odgovorni za postupanje i odgovaranje na takve pritužbe ispitanika, uključujući bilo koje obveze rješavanja pritužbi koje se na vas primjenjuju prema Primjenjivom zakonu o zaštiti podataka (kao što je Section 164A UK Data Protection Act 2018).

8.3 Alati platforme

Pružamo alate unutar Usluga koji će vam pomoći u ispunjavanju zahtjeva ispitanika, uključujući:

• Pristup podacima pohranjenima u bazama podataka vaše web-stranice i upravljanje njima
• Brisanje pojedinačnih zapisa iz baza podataka vaše web-stranice
• Na zahtjev, možemo pružiti izvoz podataka u ZIP formatu radi pomoći s obvezama prenosivosti podataka

9. SIGURNOST PODATAKA

9.1 Sigurnosne mjere

Implementiramo i održavamo odgovarajuće tehničke i organizacijske mjere za zaštitu osobnih podataka od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja. Ove mjere uključuju:

• Enkripcija: Podaci enkriptirani u tranzitu putem TLS/SSL i u mirovanju korištenjem enkripcije prema industrijskim standardima
• Kontrola pristupa: Kontrole pristupa temeljene na ulogama, politike pristupa minimalnih privilegija te jednokratni verifikacijski kodovi s istekom za autentifikaciju računa i administrativnu autentifikaciju
• Sigurnost infrastrukture: Upravljana oblačna infrastruktura s automatiziranim sigurnosnim zakrpama i DDoS zaštitom na rubu mreže
• Izolacija podataka: Izolacija podataka po web-stranici putem namjenskih instanci pohrane
• Nadzor: Automatizirani nadzor i upozoravanje sa strukturiranim bilježenjem
• Sigurnost vjerodajnica: Svi API ključevi i tajne pohranjeni su u namjenskim uslugama upravljanja tajnama; korisničke lozinke hashirane korištenjem snažnih kriptografskih algoritama s solima po korisniku
• Bot zaštita: Sustavi izazova dokaza rada za sprječavanje automatiziranih zlouporaba

9.2 Povjerljivost

Osiguravamo da su svi zaposlenici ovlašteni za obradu osobnih podataka vezani obvezama povjerljivosti.

10. OBAVIJEST O POVREDI PODATAKA

10.1 Obavijest Voditelju obrade

Obavijestit ćemo vas bez nepotrebne odgode nakon potvrde povrede osobnih podataka koja utječe na osobne podatke obrađene u vaše ime. Obavijest će biti poslana na kontaktne podatke povezane s vašim računom.

10.2 Sadržaj obavijesti

Naša obavijest o povredi uključivat će, u mjeri u kojoj je dostupno:

1. Opis prirode povrede, uključujući kategorije i okvirni broj ispitanika i zapisa kojih se tiče;
2. Ime i kontaktne podatke naše kontaktne osobe za zaštitu podataka;
3. Opis vjerojatnih posljedica povrede;
4. Opis mjera poduzetih ili predloženih za rješavanje povrede i ublažavanje njenih učinaka.

10.3 Vaše obveze

Odgovorni ste za obavješćivanje nadležnog nadzornog tijela i pogođenih ispitanika o povredi osobnih podataka kako se zahtijeva Primjenjivim zakonom o zaštiti podataka. Surađivat ćemo s vama i pružiti razumnu pomoć kako bismo vam pomogli u ispunjavanju vaših obveza obavješćivanja o povredi.

11. REVIZIJE I PROVJERA USKLAĐENOSTI

11.1 Dokumentacija o usklađenosti

Kako bismo demonstrirali našu usklađenost s ovim DPA-om, na razuman pisani zahtjev (do jednom godišnje) stavit ćemo vam na raspolaganje sljedeće:

1. Relevantna revizorska izvješća trećih strana, certifikate ili sažetke sigurnosnih procjena;
2. Sažetak naših trenutačnih tehničkih i organizacijskih sigurnosnih mjera;
3. Informacije o našim aktivnostima obrade, podizvršiteljima obrade i praksama zaštite podataka.

Kada se oslanjamo na pružatelje infrastrukture trećih strana (poput AWS-a i Cloudflarea), njihovi sigurnosni certifikati i dokumentacija o usklađenosti dostupni su putem njihovih programa povjerenja i usklađenosti.

11.2 Dodatni upiti

Ako dokumentacija pružena prema odjeljku 11.1 razumno ne rješava vaše zabrinutosti u vezi s usklađenošću, možete podnijeti specifična pisana pitanja u vezi s našim praksama zaštite podataka, na koja ćemo odgovoriti u razumnom roku.

12. ČUVANJE I BRISANJE PODATAKA

12.1 Za vrijeme Ugovora

Čuvat ćemo osobne podatke obrađene u vaše ime za trajanje Ugovora i u skladu s vašim uputama putem Usluga. Specifični rokovi čuvanja za podatke posjetitelja uključuju:

• Chatbot razgovori na vašoj web-stranici: Čuvaju se trideset (30) dana od posljednje interakcije u svakom razgovoru, nakon čega se automatski brišu iz edge pohrane web-stranice.
• Podnošenja obrazaca i korisnički generirani sadržaj na vašoj web-stranici: Čuvaju se za trajanje pridružene web-stranice, osim ako ih ranije ne izbrišete putem alata platforme.
• Podatke sesija za posjetitelje vaše web-stranice: Automatski se brišu nakon 30 dana neaktivnosti.
• Izbrisani sadržaj posjetitelja (podnošenja obrazaca, komentari i drugi korisnički generirani sadržaj na vašoj web-stranici): Kada izbrišete sadržaj posjetitelja putem alata platforme, premješta se u stanje mekog brisanja i čuva do trideset (30) dana radi podrške oporavku. Nakon tog razdoblja, meko izbrisani sadržaj trajno se uklanja.
• Zapisi o ograničavanju brzine za vaše web-mjesto: Hashevi po posjetitelju s ključem opisani u Odjeljku 3.3, čuvaju se do četrdeset i osam (48) sati, a zatim se automatski brišu.
• Zapisi o odjavi od e-pošte na vašoj web stranici: Čuvaju se za trajanje povezane web stranice, osim ako se primatelj ponovno pretplati. Zapisi o odjavi brišu se kada se web stranica uništi.
• Analitički podaci: Čuvaju se za trajanje pridružene web-stranice. Ograničenja čuvanja temeljena na planu određuju koliko povijesnih analitičkih podataka ostaje prikazano i dostupno (devedeset (90) dana na besplatnom planu).

12.2 Po raskidu

Po raskidu Ugovora ili na vaš zahtjev, izbrišemo osobne podatke obrađene u vaše ime u skladu s praksama zadržavanja podataka opisanima u Ugovoru (uključujući sedmodnevni (7) rok za brisanje računa i web-stranica). Nakon isteka roka, brisanje je trajno i nepovratno.

12.3 Iznimke

Možemo zadržati osobne podatke u mjeri koju zahtijeva primjenjivi zakon, ili tamo gdje su podaci anonimizirani i više se ne mogu povezati s ispitanikom.

13. TRAJANJE I RASKID

Ovaj DPA stupa na snagu na datum kada prihvatite Ugovor i ostaje na snazi sve dok obrađujemo osobne podatke u vaše ime. Obveze povjerljivosti i zaštite podataka utvrđene u ovom DPA-u preživljavaju raskid Ugovora.

Potpisani (obostrano potpisani) primjerak ovog DPA-a, uključujući Standardne ugovorne klauzule uključene upućivanjem, dostupan je na pisani zahtjev poslan na legal@acira.ai.

14. OGRANIČENJE ODGOVORNOSTI

Odgovornost svake strane prema ovom DPA-u podliježe ograničenjima odgovornosti utvrđenima u Ugovoru.

15. KONTAKTIRAJTE NAS

Za pitanja o ovom DPA-u ili za ostvarivanje vaših prava, kontaktirajte nas na:

Acira AI LLC
Pažnja: Zaštita podataka
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
United States

Telefon: 888-389-1189
E-mail: legal@acira.ai