გადაცემის გავლენის შეფასება

ბოლო განახლება: 2026 წლის 19 მარტი

ეს გადაცემის გავლენის შეფასება („TIA") მომზადებულია Acira AI LLC-ის მიერ („Acira AI," „ჩვენ") ევროკავშირის მართლმსაჯულების სასამართლოს გადაწყვეტილების Data Protection Commissioner v. Facebook Ireland Limited and Maximillian Schrems (საქმე C-311/18, „Schrems II") მოთხოვნებისა და მონაცემთა დაცვის ევროპული საბჭოს რეკომენდაციების (EDPB-ის 01/2020 რეკომენდაციები დამატებით ზომებზე) შესაბამისად.

ეს TIA აფასებს პირადი მონაცემების დაცვის ადეკვატურობას, რომლებიც გადაეცემა ევროპის ეკონომიკური ზონიდან („EEZ"), გაერთიანებული სამეფოდან („UK"), შვეიცარიდან და კანადიდან შეერთებულ შტატებსა და სხვა მესამე ქვეყნებში ჩვენი სერვისების მიწოდებასთან დაკავშირებით.

ეს TIA შეიძლება თარგმნილ იქნეს სხვა ენებზე თქვენი მოხერხებულობისთვის. ინგლისურ ვერსიასა და ნებისმიერ თარგმნილ ვერსიას შორის წინააღმდეგობის ან შეუსაბამობის შემთხვევაში, ინგლისური ვერსია გაიმარჯვებს.

სარჩევი

1. გადაცემების მიმოხილვა
2. გადაცემული მონაცემების ხასიათი
3. გადაცემის მექანიზმები
4. დანიშნულების ქვეყნის კანონების შეფასება
5. სერვისის პროვაიდერის მიხედვით მონაცემთა ნაკადების შეფასება
6. დამატებითი ზომები
7. რისკის შეფასება
8. დასკვნა
9. განხილვის განრიგი
10. დაგვიკავშირდით

1. გადაცემების მიმოხილვა

1.1 კონტექსტი

Acira AI არის სერვისიანი პროგრამული უზრუნველყოფის (SaaS) პლატფორმა, რომელიც საშუალებას აძლევს ბიზნესსა და ფიზიკურ პირებს შექმნan, მართონ და მასპინძლობდეს AI-ზე მომუშავე ვებსაიტები. როდესაც მომხმარებლები ქმნიან ვებსაიტებს, რომლებზეც შედიან EEZ-ში, UK-ში, შვეიცარიაში ან კანადაში მდებარე ვიზიტორები, ამ ვიზიტორების პირადი მონაცემები შეიძლება გადაეცეს და დამუშავდეს შეერთებულ შტატებსა და სხვა ადგილებში, სადაც ჩვენი ინფრასტრუქტურის პროვაიდერები მუშაობენ.

1.2 მხარეები

• მონაცემთა ექსპორტიორი: ვებსაიტის ოპერატორი (ჩვენი კლიენტი, მოქმედი როგორც კონტროლერი) და ანალიტიკური მონაცემებისთვის Acira AI, როგორც ერთობლივი კონტროლერი.
• მონაცემთა იმპორტიორი: Acira AI LLC, დარეგისტრირებული ნევადაში, შეერთებული შტატები, მოქმედი როგორც პროცესორი (და ანალიტიკისთვის ერთობლივი კონტროლერი).
• ქვეპროცესორები: Acira AI-ის მიერ ჩართული მესამე მხარის სერვისის პროვაიდერები (ჩამოთვლილია მე-5 განყოფილებაში).

1.3 გადაცემის დანიშნულებები

2. გადაცემული მონაცემების ხასიათი

2.1 პირადი მონაცემების კატეგორიები

გადაცემული პირადი მონაცემები დამოკიდებულია ვებსაიტის ოპერატორის მიერ ჩართულ ფუნქციებზე და ვებსაიტის ვიზიტორების ინტერაქციებზე. შემდეგი კატეგორიები შეიძლება გადაეცეს:

2.2 მონაცემთა სუბიექტების კატეგორიები

• Acira AI პლატფორმაზე მასპინძლობული ვებსაიტების ვიზიტორები
• პლატფორმაზე მასპინძლობულ ვებსაიტებზე ანგარიშის შემქმნელი მომხმარებლები
• მასპინძლობულ ვებსაიტებზე ფორმების წარმდგენი, chatbot-თან ინტერაქტიული ან ფაილების ამტვირთველი მომხმარებლები

2.3 გადაუცემელი მონაცემები

• გეოლოკაციის მონაცემები: IP-to-location ძიება ხდება ქსელის კიდეზე ჩვენი ინფრასტრუქტურის პროვაიდერის მიერ. ვიზიტორის IP მისამართები არ გადაეცემა გარე გეოლოკაციის სერვისებს.
• Analytics-ის raw IP მისამართები: ინახება მხოლოდ ყოველდღიური კრიპტოგრაფიული ჰეში; raw IP-ები analytics სისტემებში არ ინახება.
• Plaintext პაროლები: ინახება და გადაეცემა მხოლოდ კრიპტოგრაფიული ჰეშები.

3. გადაცემის მექანიზმები

3.1 ძირითადი მექანიზმი: სტანდარტული სახელშეკრულებო დებულებები

ვეყრდნობით ევროკომისიის სტანდარტული სახელშეკრულებო დებულებებს (SCC), მიღებულს კომისიის განმახორციელებელი გადაწყვეტილებით (EU) 2021/914:

• მოდული 1 (კონტროლერიდან კონტროლერამდე): ანალიტიკური მონაცემების გადაცემისთვის, სადაც Acira AI მოქმედებს, როგორც ვებსაიტის ოპერატორის ერთობლივი კონტროლერი (იხ. DPA განყოფილება 2.3).
• მოდული 2 (კონტროლერიდან პროცესორამდე): ვიზიტორის პირადი მონაცემების გადაცემისთვის ვებსაიტის ოპერატორიდან (კონტროლერი) Acira AI-ამდე (პროცესორი).
• მოდული 3 (პროცესორიდან ქვეპროცესორამდე): Acira AI-იდან ქვეპროცესორებამდე შემდგომი გადაცემებისთვის.

3.2 UK-ის, შვეიცარიისა და კანადის გადაცემები

• UK: გამოიყენება EU SCC-ებისთვის UK საერთაშორისო მონაცემთა გადაცემის დამატება.
• შვეიცარია: SCC-ები გამოიყენება შვეიცარიის ფედერალური მონაცემთა დაცვის აქტის (FADP) მოთხოვნილი ცვლილებებით.
• კანადა: გადაცემა ეყრდნობა სახელშეკრულებო დაცვას თითოეულ ქვეპროცესორთან, რომელიც ავალდებულებს პირადი ინფორმაციის დაცვისა და ელექტრონული დოკუმენტების შესახებ კანონთან (PIPEDA) შეთავსებული ვალდებულებები, 6-ე განყოფილებაში აღწერილ დამატებით ტექნიკურ და ორგანიზაციულ ზომებთან ერთად. დეტალებისთვის იხ. DPA განყოფილება 7.4.

3.3 ქვეპროცესორების გადაცემის მექანიზმები

4. დანიშნულების ქვეყნის კანონების შეფასება

4.1 შეერთებული შტატები

შეერთებული შტატები გადაცემული მონაცემების ძირითადი დანიშნულებაა. შემდეგი აშშ-ის კანონები შეფასებისთვის შესაბამისია:

4.1.1 უცხო სახელმწიფოთა დაზვერვის თვალთვალის კანონი (FISA), 702-ე მუხლი

FISA-ს 702-ე მუხლი ანიჭებს აშშ-ის მთავრობას უფლებამოსილებას, უცხო სახელმწიფოთა დაზვერვის მიზნებისთვის, შეერთებული შტატების გარეთ მდებარე არა-ამერიკელი პირების კომუნიკაციებზე წვდომის უზრუნველყოფის მიზნით ელექტრონული კომუნიკაციების სერვისის პროვაიდერები.

რისკის შეფასება:

• გამოყენებადობა: FISA-ს 702-ე მუხლი ვრცელდება „ელექტრონული კომუნიკაციების სერვისის პროვაიდერებზე", რომლებიც განსაზღვრულია 50 U.S.C. § 1881(b)(4)-ში. Acira AI არის SaaS ვებსაიტის ჰოსტინგის პლატფორმა, არა ტრადიციული სატელეკომუნიკაციო პროვაიდერი. ჩვენი ქვეპროცესორები (AWS, Cloudflare) უფრო მეტად ექვემდებარებიან 702-ე მუხლის მითითებებს.
• საფრთხის ქვეშ მყოფი მონაცემების მასშტაბი: ჩვენ მიერ დამუშავებული პირადი მონაცემები ძირითადად შედგება ვებსაიტის ვიზიტორთა ანალიტიკისგან (ფსევდონიმიზებული), ფორმის წარდგენებისა და chatbot შეტყობინებებისგან. ეს მონაცემები ნაკლებად სავარაუდოა, რომ იყოს უცხო სახელმწიფოთა დაზვერვის ინტერესი.
• პრაქტიკული ალბათობა: ჩვენ არასოდეს მიგვიღია FISA-ს 702-ე მუხლის მითითება და ვაფასებთ ასეთის მიღების პრაქტიკულ ალბათობას ძალიან დაბლად, ჩვენი სერვისების ბუნებისა და ჩვენ მიერ დამუშავებული მონაცემების გათვალისწინებით.

4.1.2 აღმასრულებელი ბრძანება 12333

EO 12333 ანიჭებს აშშ-ის სადაზვერვო სააგენტოებს თვალთვალის საქმიანობის განხორციელებას, მათ შორის სიგნალების სადაზვერვო ინფორმაციის მასობრივ შეგროვებას. ვრცელდება ტრანზიტში მყოფ მონაცემებზე და კერძო კომპანიებს არ აიძულებს თანამშრომლობას.

რისკის შეფასება:

• შემსუბუქება: ტრანზიტში ყველა მონაცემი დაშიფრულია TLS-ის გამოყენებით. ტრანზიტში დაშიფრული მონაცემების მასობრივი ჩარევა plaintext პირად მონაცემებს არ გამოიღებს.
• პრაქტიკული ალბათობა: დაბალი. ჩვენი სერვისების მეშვეობით დამუშავებული მონაცემები ისეთი ბუნებისა არ არის, რომელსაც ჩვეულებრივ სიგნალების სადაზვერვო ინფორმაცია მიმართავს.

4.1.3 აღმასრულებელი ბრძანება 14086 და EU-აშშ მონაცემთა კონფიდენციალურობის ჩარჩო

აღმასრულებელი ბრძანება 14086 (2022 წლის ოქტომბერი) სიგნალების სადაზვერვო საქმიანობებისთვის დამატებითი გარანტიები შემოიტანა:

• სადაზვერვო ინფორმაციის შეგროვებისთვის აუცილებლობის და პროპორციულობის მოთხოვნები
• EU/UK/შვეიცარიელი პირებისთვის ხელმისაწვდომი ორდონიანი საჩივრის მექანიზმი (სამოქალაქო თავისუფლებების დაცვის ოფიცერი + მონაცემთა დაცვის განხილვის სასამართლო)
• მასობრივი შეგროვების შეზღუდვები

ევროკომისიამ 2023 წლის 10 ივლისს მიიღო EU-აშშ მონაცემთა კონფიდენციალურობის ჩარჩოს (DPF) ადეკვატურობის გადაწყვეტილება. მიუხედავად იმისა, რომ Acira AI ამჟამად DPF-ის ფარგლებში თვითსერტიფიცირებული არ არის, EO 14086-ის ქვეშ დაცვა ფართოდ ვრცელდება შეერთებულ შტატებში ყველა მონაცემთა გადაცემაზე და სარგებლობს ყველა მონაცემთა სუბიექტი, გამოყენებული გადაცემის მექანიზმისგან დამოუკიდებლად.

4.1.4 CLOUD კანონი

მონაცემთა კანონიერი საზღვარგარეთული გამოყენების დაზუსტების (CLOUD) კანონი ნებას აძლევს აშშ-ის სამართალდამცავ ორგანოებს, მოქმედი ორდერი ან სასამართლო ბრძანების პირობით, დათანხმდნენ, სად ინახება მონაცემები, განურჩევლად, აშშ-ში დაფუძნებული პროვაიდერები მოათავსებინონ მონაცემები.

რისკის შეფასება:

• გარანტიები: CLOUD კანონი მოითხოვს მოქმედ სამართლებრივ პროცესს (ორდერი, გამოძახება ან სასამართლო ბრძანება). არ ანიჭებს ორდერის გარეშე მასობრივ წვდომას.
• Comity-ის დებულებები: CLOUD კანონი მოიცავს comity ჩარჩოს, რომელიც პროვაიდერებს საშუალებას აძლევს გაასაჩივრონ უცხო კანონთან კონფლიქტური ბრძანებები.
• პრაქტიკული ალბათობა: ვებსაიტის ვიზიტორის მონაცემებისთვის დაბალი. სამართალდამცავ ორგანოთა მოთხოვნები სავარაუდოდ მიმართავს კონკრეტულ ანგარიშებს, რომლებიც სისხლისსამართლებრივი საქმიანობაში არიან ეჭვმიტანილი, არა ვიზიტორების ანალიტიკას ან ფორმის წარდგენებს.

4.2 ისრაელი (BrightData)

BrightData ისრაელში დაფუძნებულია. ისრაელს გააჩნია ევროკომისიის ადეკვატურობის გადაწყვეტილება (2011/61/EU), რაც ნიშნავს, რომ ისრაელში გადაცემები ისევე განიხილება, როგორც EEZ-შიდა გადაცემები. თუმცა, BrightData სხვა გლობალურ ადგილებშიც ამუშავებს მონაცემებს. ვნიშნავთ:

• BrightData-ს დამუშავება ხდება მხოლოდ მომხმარებლის მიმართვისას (კონტენტის იმპორტისთვის ვებსაიტის შექმნისას) ან დაგეგმილი SERP თვალყურისდევნებისას.
• ვებსაიტის ვიზიტორის პირადი მონაცემები BrightData-ს არ გადაეცემა.

4.3 კანადა (კანადიდან შეერთებულ შტატებში გადაცემები)

კანადაში მდებარე ვებსაიტის ვიზიტორების პირადი მონაცემები შეიძლება გადაეცეს შეერთებულ შტატებში დასამუშავებლად. შემდეგი კანადური კანონები შეფასებისთვის შესაბამისია:

4.3.1 პირადი ინფორმაციის დაცვისა და ელექტრონული დოკუმენტების შესახებ კანონი (PIPEDA)

PIPEDA არეგულირებს კერძო სექტორის ორგანიზაციების მიერ კომერციული საქმიანობის დროს პირადი ინფორმაციის შეგროვებას, გამოყენებასა და გამჟღავნებას. PIPEDA-ს პრინციპი 4.1.3 მოითხოვს, რომ ორგანიზაციებმა გამოიყენონ სახელშეკრულებო ან სხვა საშუალებები დამუშავებისთვის მესამე მხარეებზე პირადი ინფორმაციის გადაცემისას, კანადის გარეთ გადაცემათა ჩათვლით, შედარებადი დაცვის დონის უზრუნველსაყოფად.

რისკის შეფასება:

• შედარებადი დაცვა: მე-6 განყოფილებაში (დაშიფვრა, ფსევდონიმიზაცია, წვდომის კონტროლი, მონაცემთა მინიმიზაცია) აღწერილი დამატებითი ზომები PIPEDA-ის მოთხოვნილ დაცვის დონეს შედარებადი დაცვის დონეს უზრუნველყოფს. წერილობითი მონაცემთა დამუშავების ხელშეკრულებები ყველა ქვეპროცესორთან ძალაშია.
• ადეკვატურობის მოთხოვნა არ არის: GDPR-ისგან განსხვავებით, PIPEDA არ კრძალავს „ადეკვატურობის" დასკვნის მქონე ქვეყნებში გადაცემებს. ორგანიზაციებმა სახელშეკრულებო და სხვა საშუალებებით შედარებადი დაცვა უნდა უზრუნველყონ, რაც ჩვენ განვახორციელეთ.

4.3.2 პროვინციული კონფიდენციალურობის კანონმდებლობა

ალბერტის პირადი ინფორმაციის დაცვის კანონი (PIPA), ბრიტანული კოლუმბიის პირადი ინფორმაციის დაცვის კანონი (PIPA) და კვებეკის კერძო სექტორში პირადი ინფორმაციის დაცვის შესახებ კანონი დამატებით მოთხოვნებს ავალდებულებს კონკრეტულ პროვინციებს:

რისკის შეფასება:

• კვებეკის კანონი 25: კვებეკის განახლებული კონფიდენციალურობის კანონი (ძალაში 2023 წლის სექტემბრიდან) მოითხოვს კონფიდენციალურობის გავლენის შეფასებას კვებეკის გარეთ პირადი ინფორმაციის გადაცემამდე და გადამცემი ორგანიზაცია უნდა დარწმუნდეს, რომ ინფორმაცია ადეკვატურ დაცვას მიიღებს. ჩვენი სახელშეკრულებო დაცვა, დამატებითი ტექნიკური ზომები და მონაცემთა ბუნება (ძირითადად ფსევდონიმიზებული ანალიტიკა და მცირე ბიზნესის ვებსაიტის ინტერაქციები) ადეკვატური დაცვის დასკვნას უჭერს მხარს.
• ალბერტა და BC: ალბერტასა და BC-ის PIPA მოითხოვს, რომ ორგანიზაციებმა გადაცემული მონაცემებისთვის შედარებადი დაცვა უზრუნველყონ. ჩვენი სახელშეკრულებო და ტექნიკური გარანტიები ამ მოთხოვნას აკმაყოფილებს.

4.3.3 კანადური პერსპექტივიდან აშშ-ის მთავრობის წვდომა

4.1-ში შეფასებული იგივე აშშ-ის მთავრობის წვდომის რისკები კანადური მონაცემთა გადაცემებზეც ვრცელდება. მთავრობის წვდომის დაბალი ალბათობა (მონაცემთა ბუნებისა და ჩვენი კომპანიის პროფილის გათვალისწინებით), მე-6 განყოფილებაში დამატებით ზომებთან ერთად, უზრუნველყოფს, რომ კანადიდან შეერთებულ შტატებში გადაცემული პირადი მონაცემები კანადის კონფიდენციალურობის კანონმდებლობის მოთხოვნილ დაცვის დონეს შედარებად დაცვას მიიღებს.

4.4 გლობალური Edge Locations (Cloudflare)

Cloudflare მართავს edge locations-ის გლობალურ ქსელს. EU ვიზიტორების მოთხოვნები ჩვეულებრივ მუშავდება ყველაზე ახლო Cloudflare-ის point of presence-ზე, რომელიც EU ვიზიტორებისთვის ჩვეულებრივ EU ლოკაცია იქნება.

• მოთხოვნის მარშრუტიზაცია, TLS შეწყვეტა და bot-ის დაცვა ყველაზე ახლოს edge location-ში ხდება.
• EU რეზიდენტებად განსაზღვრული ვებსაიტების ოპერატორებისთვის, მუდმივი მეხსიერება (ფორმის წარდგენები, chatbot საუბრები და სესიის მონაცემების შემცველი) იურისდიქციულად შეზღუდულია ევროკავშირით Cloudflare-ის jurisdiction API-ის გამოყენებით. არა-EU ვებსაიტების ოპერატორებისთვის, მუდმივი მეხსიერება განლაგებულია ოპერატორის გეოგრაფიული რეგიონის მახლობლად, მაგრამ შეიძლება EU-ს გარეთ განლაგდეს.
• ანალიტიკური მონაცემები მუშავდება Cloudflare-ის მართულ ინფრასტრუქტურაზე.

5. სერვისის პროვაიდერის მიხედვით მონაცემთა ნაკადების შეფასება

5.1 Amazon Web Services (აშშ)

AWS-ის გარანტიები:

• ISO 27001, 27017, 27018 სერტიფიცირებული
• SOC 1/2/3 ანგარიშები ხელმისაწვდომია
• მონაცემები დაშიფრულია მოსვენებულ მდგომარეობაში ინდუსტრიის სტანდარტული დაშიფვრის გამოყენებით
• ტრანზიტში მონაცემები დაშიფრულია (TLS)
• სისტემის კომპონენტის მიხედვით მინიმალური პრივილეგიების წვდომის კონტროლი
• ძირითადი სერვისები განთავსებულია აშშ-ში; ევროკავშირის რეზიდენტი ვებსაიტის ოპერატორებისთვის ავტომატიზირებული ვიზიტორზე ორიენტირებული ოპერაციები (შინაარსის წარდგენის შეტყობინებები და ტრანზაქციული ელ. ფოსტის მიწოდება) მუშავდება ევროკავშირში (სტოკჰოლმი)

5.2 Cloudflare (გლობალური)

Cloudflare-ის გარანტიები:

• ISO 27001 სერტიფიცირებული, SOC 2 Type II
• TLS 1.2+ ყველა კავშირისთვის
• SCC-ებით Cloudflare DPA ხელმისაწვდომია
• Edge დამუშავება ნიშნავს, რომ EU ვიზიტორთა მონაცემები ჩვეულებრივ მოთხოვნის დამუშავებისთვის EU edge locations-ში მუშავდება
• ევროკავშირის რეზიდენტებად იდენტიფიცირებული ვებსაიტის ოპერატორებისთვის, მუდმივი საცავი (რომელიც შეიცავს ფორმის წარდგენებს, ჩატბოტის საუბრებს, სესიის მონაცემებს და მომხმარებლის ცხრილის მონაცემებს) იურისდიქციულად შეზღუდულია ევროკავშირით Cloudflare-ის იურისდიქციის API-ის გამოყენებით, რაც უზრუნველყოფს, რომ ეს მონაცემები ინახება და მუშავდება მხოლოდ ევროკავშირის მონაცემთა ცენტრებში. ბექენდ API ზარები ზღვრიდან (შინაარსის წარდგენის შეტყობინებებისთვის და ტრანზაქციული ელ. ფოსტის მიწოდებისთვის) მიმართულია ევროკავშირში განთავსებული AWS ინფრასტრუქტურისკენ.
• AI დასკვნა არ ინახავს შეყვანის მონაცემებს სწავლებისთვის

5.3 Stripe (აშშ)

შენიშვნა: Stripe ვებსაიტის ვიზიტორთა პირად მონაცემებს არ იღებს. Stripe-ი ამუშავებს მხოლოდ ვებსაიტის ოპერატორის (ჩვენი კლიენტის) billing ინფორმაციას.

Stripe-ის გარანტიები:

• PCI DSS Level 1 სერტიფიცირებული
• ISO 27001 სერტიფიცირებული
• SCC-ებით Stripe DPA ხელმისაწვდომია

5.4 AI Inference პროვაიდერები (აშშ)

Fireworks AI და xAI AI მოდელის inference სერვისებს უზრუნველყოფენ.

შენიშვნა: ეს AI პროვაიდერები ვებსაიტის ვიზიტორთა პირად მონაცემებს არ იღებენ. Chatbot ფუნქცია (ვებსაიტის ვიზიტორებს ემსახურება) Cloudflare Workers AI-ს იყენებს (5.2 განყოფილებაში შეფასებული), არა ამ პროვაიდერებს. თუმცა, პლატფორმის სასაუბრო AI ასისტენტი — ვებსაიტის ოპერატორთა მიერ გამოყენებული — პასუხების გენერაციის ნაწილად ამ პროვაიდერებს პლატფორმის მომხმარებლის პირად მონაცემებს (სახელი, ელ-ფოსტის მისამართი და საუბრის ისტორია) უგზავნის. ამ დამუშავებისთვის, Acira AI კონტროლერის (არა პროცესორის) სახით მოქმედებს, და მონაცემთა სუბიექტები ჩვენი პლატფორმის მომხმარებლები (ვებსაიტის ოპერატორები) არიან, არა მათი ვებსაიტების ვიზიტორები. ეს მონაცემთა ნაკადი ვიზიტორის მონაცემების DPA კონტროლერ-პროცესორის ჩარჩოსთან კი არ, ჩვენი კონფიდენციალურობის პოლიტიკითა და ამ პროვაიდერებთან ჩვენი ხელშეკრულებებით მოწესრიგებულია.

მოდელის ოჯახები: ეს ინფრასტრუქტურის პროვაიდერები მასპინძლობენ და ახორციელებენ სხვადასხვა მესამე მხარის მიერ შემუშავებულ AI მოდელებს. გამოყენებული კონკრეტული მოდელები და მოდელის ოჯახები შეიძლება დროთა განმავლობაში შეიცვალოს. მოდელის შემქმნელები არ იღებენ და არ აქვთ წვდომა მომხმარებლის მონაცემებზე — ყველა მონაცემთა დამუშავება ხდება ექსკლუზიურად ჩამოთვლილი sub-პროცესორების ინფრასტრუქტურის ფარგლებში, მიუხედავად იმისა, სად იყო მოდელი თავდაპირველად შემუშავებული. AI-ს ყველა დასკვნითი დამუშავება რჩება ჩვენი ჩამოთვლილი sub-პროცესორების ინფრასტრუქტურაზე. მომხმარებლის მონაცემები არ გადაეცემა მოდელის შემქმნელებს ან ამ შეფასებაში ჩამოთვლილ sub-პროცესორებს გარეთ არსებულ ინფრასტრუქტურას. გამოყენებული მოდელის ოჯახების მიმდინარე სია ხელმისაწვდომია მოთხოვნით, legal@acira.ai-ზე დაკავშირებით.

5.5 BrightData (ისრაელი / გლობალური)

შენიშვნა: BrightData ვებსაიტის ვიზიტორთა პირად მონაცემებს არ ამუშავებს. ამუშავებს საჯაროდ ხელმისაწვდომ ვებ შინაარსს მომხმარებლის მიმართვისას და მომხმარებლის მიერ განსაზღვრული საძიებო სიტყვებისთვის საძიებო სისტემის რეიტინგებს ადევნებს თვალს.

5.6 EU-ზე დაფუძნებული პროვაიდერები (გადაცემა არ არის)

ეს პროვაიდერები მონაცემებს EU-ში ამუშავებენ და საერთაშორისო გადაცემას არ წარმოადგენს. Black Forest Labs-ი მხოლოდ სურათის გენერაციისთვის ტექსტის prompts-ებს იღებს; პირადი მონაცემები ჩართული არ არის.

6. დამატებითი ზომები

SCC-ების გარდა, გადაცემული პირადი მონაცემების არსებითად ეკვივალენტური დაცვის დონის უზრუნველსაყოფად შემდეგ დამატებით ზომებს ვახორციელებთ:

6.1 ტექნიკური ზომები

6.2 ორგანიზაციული ზომები

6.3 სახელშეკრულებო ზომები

7. რისკის შეფასება

7.1 მთავრობის წვდომის ალბათობა

საერთო ალბათობა: დაბალი

7.2 წვდომის შემთხვევაში გავლენა

საერთო გავლენა: დაბალი-საშუალო (ინდივიდუალური ვებსაიტის ოპერატორების მიერ შეგროვებული მონაცემების მგრძნობელობის მიხედვით)

7.3 ნარჩენი რისკის შეფასება

მთავრობის წვდომის დაბალი ალბათობის, დამატებითი ტექნიკური ზომების (დაშიფვრა, ფსევდონიმიზაცია, მონაცემთა მინიმიზაცია) და EO 14086-ის მიერ შემოღებული დამატებითი გარანტიების გათვალისწინებით, ვაფასებთ, რომ მონაცემთა სუბიექტებისთვის ნარჩენი რისკი დაბალია და რომ დამატებითი ზომები, SCC-ებთან (EEZ/UK/შვეიცარიის გადაცემებისთვის) და სახელშეკრულებო დაცვასთან (კანადის გადაცემებისთვის) ერთად, EEZ-ში გარანტირებული დაცვის დონის არსებითად ეკვივალენტური დაცვის დონეს და კანადის კონფიდენციალურობის კანონმდებლობის მოთხოვნილ შედარებად დაცვის დონეს უზრუნველყოფს.

8. დასკვნა

ამ შეფასების საფუძველზე ვასკვნით:

1. ჩვენი სერვისების მიწოდებასთან დაკავშირებით EEZ/UK/შვეიცარია/კანადიდან შეერთებულ შტატებში გადაცემული პირადი მონაცემები სარგებლობს EU მონაცემთა დაცვის კანონმდებლობის ქვეშ გარანტირებულ არსებითად ეკვივალენტური დაცვის დონით და კანადის კონფიდენციალურობის კანონმდებლობის მოთხოვნილ შედარებადი დაცვის დონით.

2. სტანდარტული სახელშეკრულებო დებულებები, 6-ე განყოფილებაში აღწერილ დამატებით ტექნიკურ, ორგანიზაციულ და სახელშეკრულებო ზომებთან ერთად, ამ შეფასებაში გამოვლენილ რისკებს ადეკვატურად მოგვარებს.

3. მონაცემთა ბუნება (ძირითადად ფსევდონიმიზებული ანალიტიკა და მცირე ბიზნეს ვებსაიტის ვიზიტორთა ინტერაქციები) და მონაცემთა იმპორტიორის პროფილი (მცირე SaaS კომპანია, სატელეკომუნიკაციო პროვაიდერი არ არის) სამთავრობო სათვალთვალოს პრაქტიკულ რისკს მნიშვნელოვნად ამცირებს.

4. აღმასრულებელი ბრძანება 14086 და შესაბამისი საჩივრის მექანიზმის მიერ შემოღებული დაცვა ყველა მონაცემთა სუბიექტს სარგებელს მოაქვს, გამოყენებული კონკრეტული გადაცემის მექანიზმის განურჩევლად.

5. კანადის გადაცემებისთვის, აქ აღწერილი სახელშეკრულებო დაცვა და დამატებითი ზომები PIPEDA-ისა და კვებეკის განახლებული კონფიდენციალურობის კანონის ჩათვლით გამოყენებული პროვინციული კონფიდენციალურობის კანონმდებლობის მოთხოვნილ შედარებადი დაცვის დონეს უზრუნველყოფს.

6. ვაგრძელებთ აშშ-ის სათვალთვალო კანონმდებლობისა და პრაქტიკის განვითარების, ასევე კანადის კონფიდენციალურობის კანონმდებლობის (შემოთავაზებული სამომხმარებლო კონფიდენციალურობის დაცვის კანონის ჩათვლით) განვითარების მონიტორინგს და გარემოებების მნიშვნელოვნად შეცვლის შემთხვევაში ამ TIA-ს ხელახლა შეფასებას.

გადაცემები შეიძლება გაგრძელდეს SCC-ებისა და აქ აღწერილი დამატებითი ზომების გამოყენების გაგრძელების პირობით.

9. განხილვის განრიგი

ეს TIA განხილული და განახლებული იქნება:

• ყოველწლიურად, მინიმუმ, ან
• გამოყენებადი კანონების ან რეგულაციების მნიშვნელოვანი ცვლილებების შემთხვევაში (FISA, CLOUD კანონი, EO 14086, PIPEDA ან კანადის პროვინციული კონფიდენციალურობის კანონმდებლობის ცვლილებების ჩათვლით),
• ჩვენი ქვეპროცესორების ცვლილებების ან გადაცემული მონაცემთა ბუნების ცვლილების შემთხვევაში,
• ნებისმიერი სასამართლო გადაწყვეტილების შემთხვევაში, რომელიც SCC-ების ვალიდობას ან აშშ-ის მონაცემთა დაცვის ადეკვატურობას მნიშვნელოვნად მოხვდება.

10. დაგვიკავშირდით

ამ გადაცემის გავლენის შეფასებასთან დაკავშირებით შეკითხვები გქვთ, გთხოვთ დაგვიკავშირდეთ:

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
United States

ტელეფონი: 888-389-1189
ელ. ფოსტა: legal@acira.ai