데이터 이전 영향 평가

최종 업데이트: 2026년 3월 19일

---

이 데이터 이전 영향 평가("TIA")는 유럽연합 사법재판소의 Data Protection Commissioner v. Facebook Ireland Limited and Maximillian Schrems (사건 C-311/18, "Schrems II") 결정 및 유럽 데이터 보호 위원회(EDPB 권고사항 01/2020 보완 조치에 관한)의 요건에 따라 Acira AI LLC("Acira AI", "당사", "우리")가 작성하였습니다.

이 TIA는 당사 서비스 제공과 관련하여 유럽경제지역("EEA"), 영국("UK"), 스위스 및 캐나다에서 미국 및 기타 제3국으로 이전되는 개인정보에 대한 보호의 적절성을 평가합니다.

이 TIA는 편의를 위해 다른 언어로 번역될 수 있습니다. 영어 버전과 번역 버전 간에 충돌 또는 불일치가 있는 경우 영어 버전이 우선합니다.

---

목차

1. 이전 개요
2. 이전되는 데이터의 성격
3. 이전 메커니즘
4. 목적지 국가 법률 평가
5. 서비스 제공자별 데이터 흐름 평가
6. 보완 조치
7. 위험 평가
8. 결론
9. 검토 일정
10. 문의하기

---

1. 이전 개요

1.1 맥락

Acira AI는 기업 및 개인이 AI 기반 웹사이트를 생성, 관리 및 호스팅할 수 있는 서비스형 소프트웨어 플랫폼입니다. 사용자가 EEA, UK, 스위스 또는 캐나다에 위치한 방문자가 접근하는 웹사이트를 생성하는 경우, 해당 방문자의 개인정보가 미국 및 당사 인프라 제공업체가 운영하는 기타 위치로 이전되어 처리될 수 있습니다.

1.2 당사자

• 데이터 수출자: 웹사이트 운영자(관리자 역할을 하는 당사 고객) 및 분석 데이터의 경우 공동 관리자로서의 Acira AI.
• 데이터 수입자: Acira AI LLC, 미국 네바다주에 설립, 처리자(및 분석 공동 관리자) 역할.
• 하위 처리자: Acira AI가 고용한 제3자 서비스 제공업체(섹션 5에 나열됨).

1.3 이전 목적지

목적지	제공업체	근거
미국 및 유럽연합(스톡홀름)	AWS	SCCs + 보충 조치(미국); EU 거주자 자동화된 방문자 대면 작업을 위한 EEA 역내
미국	Stripe, Fireworks AI, xAI	SCCs + 보충 조치
전 세계 (엣지 위치)	Cloudflare	SCC + 보완 조치
이스라엘	BrightData (사용자 지시 시에만)	SCC + 보완 조치
유럽연합	Black Forest Labs, ScreenshotOne, CloudConvert	EEA 내부 (이전 메커니즘 불필요)

---

2. 이전되는 데이터의 성격

2.1 개인정보 범주

이전되는 개인정보는 웹사이트 운영자가 활성화한 기능과 웹사이트 방문자의 상호작용에 따라 달라집니다. 다음 범주가 이전될 수 있습니다:

데이터 범주	설명	민감도	볼륨
분석 식별자	IP + 사용자 에이전트 + 날짜의 일일 교체 암호화 해시 (익명화)	낮음	높음 (모든 페이지 조회)
방문자 메타데이터	국가, 지역, 언어, 기기 유형, 브라우저, OS, 리퍼러 도메인, UTM 파라미터	낮음	높음 (모든 페이지 조회)
IP 주소	양식 제출 및 챗봇 대화와 함께 메타데이터로 저장; 분석을 위해 해시됨; 봇 도전 검증을 위해 일시적으로 사용; 속도 제한을 위해 일시적으로 저장 (최대 7일)	중간	중간
양식 제출 내용	방문자가 제출한 자유 텍스트 필드 (이름, 이메일, 메시지 등)	가변 (양식에 따라 다름)	낮음~중간
챗봇 메시지	방문자 메시지 및 AI 생성 응답 (메시지당 최대 2,000자)	낮음~중간	낮음
파일 업로드	방문자가 웹사이트 양식을 통해 업로드한 파일 (이미지, 문서)	가변	낮음
세션 식별자	서버 측 세션 ID 및 클라이언트 측 세션 쿠키	낮음	높음
인증 자격증명	웹사이트 보호 영역의 비밀번호 (해시 형태로만 저장)	높음 (그러나 해시됨)	낮음

2.2 데이터 주체 범주

• Acira AI 플랫폼에서 호스팅되는 웹사이트 방문자
• 플랫폼에서 호스팅되는 웹사이트에 계정을 생성한 사용자
• 호스팅된 웹사이트에서 양식을 제출하거나 챗봇과 상호작용하거나 파일을 업로드한 사용자

2.3 이전되지 않는 데이터

• 지리적 위치 데이터: IP-위치 조회는 당사 인프라 제공업체에 의해 네트워크 엣지에서 수행됩니다. 방문자 IP 주소는 외부 지리적 위치 서비스로 전송되지 않습니다.
• 원시 분석 IP 주소: 일일 교체 암호화 해시만 저장되며, 원시 IP는 분석 시스템에 저장되지 않습니다.
• 평문 비밀번호: 암호화 해시만 저장 및 이전됩니다.

---

3. 이전 메커니즘

3.1 주요 메커니즘: 표준 계약 조항

당사는 유럽 집행위원회 시행 결정 (EU) 2021/914에 의해 채택된 표준 계약 조항(SCC)에 의존하며, 구체적으로:

• 모듈 1 (관리자 간): Acira AI가 웹사이트 운영자와 공동 관리자로 역할을 하는 분석 데이터 이전의 경우 (DPA 섹션 2.3 참조).
• 모듈 2 (관리자에서 처리자로): 웹사이트 운영자(관리자)에서 Acira AI(처리자)로의 방문자 개인정보 이전의 경우.
• 모듈 3 (처리자에서 하위 처리자로): Acira AI에서 당사 하위 처리자로의 후속 이전의 경우.

3.2 영국, 스위스 및 캐나다 이전

• 영국: EU SCC에 대한 영국 국제 데이터 이전 부록이 적용됩니다.
• 스위스: SCC는 스위스 연방 데이터 보호법(FADP)의 요건에 따른 수정과 함께 적용됩니다.
• 캐나다: 이전은 개인정보 보호 및 전자문서법(PIPEDA) 및 적용 가능한 주 개인정보 보호 법률과 일관된 의무를 각 하위 처리자에게 부과하는 계약적 보호와 함께, 섹션 6에 설명된 보완적 기술 및 조직적 조치와 결합됩니다. 자세한 내용은 DPA 섹션 7.4를 참조하세요.

3.3 하위 처리자 이전 메커니즘

하위 처리자	이전 메커니즘
Amazon Web Services	SCC (AWS DPA), ISO 27001/27017/27018 인증
Cloudflare	SCC (Cloudflare DPA), ISO 27001 인증
Stripe	SCC (Stripe DPA), PCI DSS Level 1 인증
Fireworks AI	SCC (Fireworks AI DPA), SOC 2 Type II, ISO 27001/27701/42001 인증
xAI	SCC (EU SCC를 포함한 xAI DPA)
BrightData	SCC (BrightData DPA)

---

4. 목적지 국가 법률 평가

4.1 미국

미국은 이전 데이터의 주요 목적지입니다. 다음 미국 법률이 이 평가와 관련이 있습니다:

4.1.1 해외정보감시법(FISA) 제702조

FISA 제702조는 미국 정부가 외국 정보 목적을 위해 미국 외부에 위치한 비미국 국민의 통신에 대한 접근을 전자 통신 서비스 제공업체에 강제할 수 있도록 승인합니다.

위험 평가:

• 적용 가능성: FISA 제702조는 50 U.S.C. § 1881(b)(4)에 정의된 "전자 통신 서비스 제공업체"에 적용됩니다. Acira AI는 SaaS 웹사이트 호스팅 플랫폼으로 전통적인 통신 제공업체가 아닙니다. 당사의 하위 처리자(AWS, Cloudflare)가 제702조 지시에 더 많이 적용될 수 있습니다.
• 위험에 처한 데이터 범위: 당사가 처리하는 개인정보는 주로 웹사이트 방문자 분석(익명화), 양식 제출 및 챗봇 메시지로 구성됩니다. 이 데이터는 외국 정보 관심의 대상이 될 가능성이 낮습니다.
• 실질적 가능성: 당사는 FISA 제702조 지시를 받은 적이 없으며, 당사 서비스의 특성과 처리하는 데이터를 감안할 때 이를 수령할 실질적 가능성은 매우 낮다고 평가합니다.

4.1.2 행정명령 12333

행정명령 12333은 미국 정보기관이 신호 정보의 대량 수집을 포함한 감시 활동을 수행하도록 승인합니다. 이는 전송 중인 데이터에 적용되며 민간 기업에 협력을 강요하지 않습니다.

위험 평가:

• 완화: 전송 중인 모든 데이터는 TLS를 사용하여 암호화됩니다. 전송 중인 암호화된 데이터의 대량 인터셉트는 평문 개인정보를 산출하지 않습니다.
• 실질적 가능성: 낮음. 당사 서비스를 통해 처리되는 데이터는 신호 정보의 일반적 표적이 되는 성격이 아닙니다.

4.1.3 행정명령 14086 및 EU-미국 데이터 프라이버시 프레임워크

행정명령 14086 (2022년 10월)은 다음을 포함하여 신호 정보 활동에 대한 추가 보호 장치를 도입했습니다:

• 정보 수집에 대한 필요성 및 비례성 요건
• EU/UK/스위스 개인이 이용할 수 있는 2단계 구제 메커니즘 (시민 자유 보호관 + 데이터 보호 검토 법원)
• 대량 수집 제한

유럽 집행위원회는 2023년 7월 10일 EU-미국 데이터 프라이버시 프레임워크(DPF)에 대한 적절성 결정을 채택했습니다. Acira AI는 현재 DPF 하에 자체 인증되지 않지만, 행정명령 14086의 보호는 미국으로의 모든 데이터 이전에 광범위하게 적용되며 사용된 이전 메커니즘에 관계없이 모든 데이터 주체에게 혜택을 줍니다.

4.1.4 CLOUD법

해외에서의 데이터 합법적 사용 명확화(CLOUD) 법은 미국 법 집행 기관이 유효한 영장 또는 법원 명령에 따라 데이터가 저장된 위치에 관계없이 미국 기반 제공업체에 데이터 제출을 강제할 수 있도록 허용합니다.

위험 평가:

• 보호 장치: CLOUD법은 유효한 법적 절차(영장, 소환장 또는 법원 명령)를 요구합니다. 영장 없는 대량 접근을 승인하지 않습니다.
• 국제예양 조항: CLOUD법에는 제공업체가 외국 법률과 충돌하는 명령에 이의를 제기할 수 있도록 하는 국제예양 프레임워크가 포함되어 있습니다.
• 실질적 가능성: 웹사이트 방문자 데이터에 대해서는 낮음. 법 집행 요청은 방문자 분석이나 양식 제출보다 범죄 활동이 의심되는 특정 계정을 표적으로 할 가능성이 높습니다.

4.2 이스라엘 (BrightData)

BrightData는 이스라엘에 기반을 두고 있습니다. 이스라엘은 유럽 집행위원회로부터 적절성 결정(2011/61/EU)을 받았으며, 이는 이스라엘로의 이전이 EEA 내부 이전과 유사하게 처리됨을 의미합니다. 그러나 BrightData는 다른 글로벌 위치에서도 데이터를 처리합니다. 당사는 다음을 언급합니다:

• BrightData 처리는 사용자 지시 시에만 발생합니다 (콘텐츠 가져오기를 위한 웹사이트 생성 중) 또는 예약된 SERP 추적 중.
• 웹사이트 방문자 개인정보는 BrightData로 전송되지 않습니다.

4.3 캐나다 (캐나다에서 미국으로의 이전)

캐나다에 위치한 웹사이트 방문자의 개인정보는 처리를 위해 미국으로 이전될 수 있습니다. 다음 캐나다 법률이 이 평가와 관련이 있습니다:

4.3.1 개인정보 보호 및 전자문서법(PIPEDA)

PIPEDA는 상업 활동 과정에서 민간 부문 조직에 의한 개인정보의 수집, 사용 및 공개를 규율합니다. PIPEDA 원칙 4.1.3은 캐나다 외부 이전을 포함하여 처리를 위해 개인정보가 제3자에게 이전될 때 조직이 계약 또는 기타 수단을 통해 비교 가능한 수준의 보호를 보장하도록 요구합니다.

위험 평가:

• 비교 가능한 보호: 섹션 6에 설명된 보완 조치(암호화, 익명화, 접근 통제, 데이터 최소화)는 PIPEDA에서 요구하는 수준과 비교 가능한 수준의 보호를 제공합니다. 서면 데이터 처리 계약은 모든 하위 처리자와 체결되어 있습니다.
• 적절성 요건 없음: GDPR과 달리 PIPEDA는 "적절성" 결정이 없는 국가로의 이전을 금지하지 않습니다. 조직은 계약 및 기타 수단을 통해 비교 가능한 보호를 보장해야 하며, 당사는 이를 구현했습니다.

4.3.2 주 개인정보 보호 법률

앨버타 주의 개인정보 보호법(PIPA), 브리티시 컬럼비아의 개인정보 보호법(PIPA), 퀘벡의 민간 부문 개인정보 보호에 관한 법률은 특정 주에 대한 추가 요건을 부과합니다:

위험 평가:

• 퀘벡 법률 25: 퀘벡의 현대화된 개인정보 보호법(2023년 9월부터 시행)은 퀘벡 외부로 개인정보를 이전하기 전에 개인정보 영향 평가를 요구하며, 이전하는 조직은 정보가 적절한 보호를 받을 것이라고 확신해야 합니다. 당사의 계약적 보호, 보완적 기술 조치 및 데이터의 성격(주로 익명화된 분석 및 소규모 사업체 웹사이트 상호작용)은 적절한 보호에 대한 결론을 지지합니다.
• 앨버타 및 BC: 앨버타 및 BC의 PIPA는 이전된 데이터에 대한 비교 가능한 보호를 보장하도록 조직에 요구합니다. 당사의 계약 및 기술적 보호 장치는 이 요건을 충족합니다.

4.3.3 캐나다 관점에서의 미국 정부 접근

섹션 4.1에서 평가된 동일한 미국 정부 접근 위험이 캐나다 데이터 이전에도 적용됩니다. 정부 접근의 낮은 가능성(데이터의 특성 및 당사 회사 프로필을 감안할 때)과 섹션 6의 보완 조치를 결합하면, 캐나다에서 미국으로 이전된 개인정보가 캐나다 개인정보 보호법에서 요구하는 수준과 비교 가능한 수준의 보호를 받습니다.

4.4 전 세계 엣지 위치 (Cloudflare)

Cloudflare는 전 세계 엣지 위치 네트워크를 운영합니다. EU 방문자 요청은 일반적으로 가장 가까운 Cloudflare 접속 지점에서 처리되며, EU 방문자의 경우 보통 EU 위치가 됩니다.

• 요청 라우팅, TLS 종료 및 봇 보호는 가장 가까운 엣지 위치에서 발생합니다.
• EU 거주자로 식별된 웹사이트 운영자의 경우, 영구 저장소(양식 제출, 챗봇 대화 및 세션 데이터 포함)는 Cloudflare의 관할 API를 사용하여 유럽연합에 관할권적으로 제한됩니다. EU 외 웹사이트 운영자의 경우, 영구 저장소는 운영자의 지리적 지역 근처에 위치하지만 EU 외부에 있을 수 있습니다.
• 분석 데이터는 Cloudflare 관리 인프라에서 처리됩니다.

---

5. 서비스 제공자별 데이터 흐름 평가

5.1 Amazon Web Services (미국)

데이터 흐름	관련 개인정보	목적
데이터베이스 저장	양식 제출 메타데이터 (IP, 국가, 지역), 챗봇 대화 기록, 파일 메타데이터, 세션 기록	웹사이트 방문자 데이터의 영구 저장
파일 저장	업로드된 파일 (이미지, 문서), 배포 스냅샷	파일 저장
AI 추론	파일 내용 (AI 설명을 위한), 이메일 내용 (스팸 탐지를 위한)	AI 기반 설명 및 스팸 분류
콘텐츠 조정	업로드된 이미지	콘텐츠 조정 (노출/명시적 콘텐츠 탐지)
이메일 전송	이메일 주소, 메시지 내용	거래 이메일 전송 및 콘텐츠 제출 알림. EU 거주 웹사이트 운영자의 경우 이러한 작업은 유럽연합(스톡홀름)에서 처리됩니다.
언어 감지	이메일 메시지 텍스트	언어 감지

AWS 보호 장치:

• ISO 27001, 27017, 27018 인증
• SOC 1/2/3 보고서 제공
• 업계 표준 암호화를 사용하여 미사용 데이터 암호화
• 전송 중 데이터 암호화 (TLS)
• 시스템 구성 요소별 최소 권한 액세스 제어
• 주요 서비스는 미국에서 호스팅; EU 거주 웹사이트 운영자를 위한 자동화된 방문자 대면 작업(콘텐츠 제출 알림 및 거래 이메일 전송)은 유럽연합(스톡홀름)에서 처리

5.2 Cloudflare (전 세계)

데이터 흐름	관련 개인정보	목적
엣지 라우팅	IP 주소, HTTP 헤더, 요청 URL	요청 라우팅, DDoS 보호, TLS 종료
웹사이트 호스팅	페이지 내용, 방문자 메타데이터	웹사이트 호스팅 및 전송
영구 저장	양식 제출, 챗봇 대화, 세션 데이터, 사용자 테이블 데이터	웹사이트별 상태 저장
분석	익명화된 방문자 해시, 국가, 기기, 브라우저, 리퍼러, UTM	개인정보 친화적 방문자 분석
AI 추론	챗봇 메시지, 양식 필드 요약	AI 챗봇 응답, 스팸 탐지
자산 저장	웹사이트 자산 (이미지, 파일)	정적 자산 저장 및 CDN 전송

Cloudflare 보호 장치:

• ISO 27001 인증, SOC 2 Type II
• 모든 연결에 TLS 1.2+
• SCC가 포함된 Cloudflare DPA 제공
• 엣지 처리는 EU 방문자 데이터가 요청 처리를 위해 일반적으로 EU 엣지 위치에서 처리됨을 의미
• EU 거주자로 식별된 웹사이트 운영자의 경우, 영구 스토리지(양식 제출, 챗봇 대화, 세션 데이터 및 사용자 테이블 데이터 포함)는 Cloudflare의 관할권 API를 사용하여 유럽연합으로 관할권적으로 제한되며, 이 데이터가 EU 데이터 센터에서만 저장 및 처리되도록 보장합니다. 엣지로부터의 백엔드 API 호출(콘텐츠 제출 알림 및 거래 이메일 전송용)은 EU 기반 AWS 인프라로 라우팅됩니다.
• AI 추론은 훈련을 위해 입력 데이터를 보유하지 않습니다

5.3 Stripe (미국)

데이터 흐름	관련 개인정보	목적
결제 처리	웹사이트 운영자 청구 데이터 (이름, 이메일, 결제 수단)	구독 및 도메인 결제 처리

참고: Stripe는 웹사이트 방문자 개인정보를 수신하지 않습니다. 웹사이트 운영자(당사 고객)의 청구 정보만 Stripe에서 처리됩니다.

Stripe 보호 장치:

• PCI DSS Level 1 인증
• ISO 27001 인증
• SCC가 포함된 Stripe DPA 제공

5.4 AI 추론 제공업체 (미국)

Fireworks AI와 xAI는 AI 모델 추론 서비스를 제공합니다.

데이터 흐름	관련 개인정보	목적
텍스트 생성 (웹사이트 콘텐츠)	웹사이트 콘텐츠 (방문자 데이터 아님)	웹사이트 콘텐츠 생성 및 편집
이미지 생성	텍스트 프롬프트 (방문자 데이터 아님)	웹사이트용 이미지 생성
대화형 AI (채팅 에이전트)	플랫폼 사용자 이름, 이메일, 언어 설정 및 대화 기록	플랫폼 사용자(웹사이트 운영자)를 위한 AI 기반 어시스턴트

참고: 이러한 AI 제공업체는 웹사이트 방문자 개인정보를 수신하지 않습니다. 챗봇 기능(웹사이트 방문자 서비스)은 이러한 제공업체가 아닌 Cloudflare Workers AI(섹션 5.2에서 평가됨)를 사용합니다. 그러나 웹사이트 운영자가 웹사이트를 관리하는 데 사용하는 플랫폼의 대화형 AI 어시스턴트는 응답 생성의 일부로 플랫폼 사용자 개인정보(이름, 이메일 주소 및 대화 기록)를 이러한 제공업체에 전송합니다. 이 처리의 경우 Acira AI는 관리자 (처리자 아님) 역할을 하며, 데이터 주체는 당사의 플랫폼 사용자(웹사이트 운영자)이지 그들의 웹사이트 방문자가 아닙니다. 이 데이터 흐름은 방문자 데이터에 대한 DPA의 관리자-처리자 프레임워크가 아닌 당사의 개인정보 처리방침 및 이러한 제공업체와의 계약에 의해 규율됩니다.

모델 계열: 이러한 인프라 제공업체는 다양한 제3자가 개발한 AI 모델을 호스팅하고 실행합니다. 사용되는 특정 모델과 모델 계열은 시간이 지남에 따라 변경될 수 있습니다. 모델 개발자는 사용자 데이터를 수신하거나 접근할 수 없습니다 — 모든 데이터 처리는 모델이 원래 개발된 위치에 관계없이 나열된 하위 처리자의 인프라 내에서만 이루어집니다. 모든 AI 추론 처리는 나열된 하위 처리자의 인프라에 남아 있습니다. 사용자 데이터는 모델 개발자나 이 평가에 나열된 하위 처리자 외부의 인프라로 전송되지 않습니다. 현재 사용 중인 모델 계열의 최신 목록은 legal@acira.ai로 문의하여 요청 시 제공됩니다.

5.5 BrightData (이스라엘 / 전 세계)

데이터 흐름	관련 개인정보	목적
웹 데이터 수집	공개적으로 이용 가능한 웹 콘텐츠 (방문자 데이터 아님)	웹사이트 생성 중 콘텐츠 가져오기 (사용자 지시)
SERP 추적	검색 키워드 (방문자 데이터 아님)	키워드 순위 모니터링

참고: BrightData는 웹사이트 방문자 개인정보를 처리하지 않습니다. 사용자가 지시할 때 공개적으로 이용 가능한 웹 콘텐츠를 처리하고, 사용자 정의 키워드에 대한 검색 엔진 순위를 추적합니다.

5.6 EU 기반 제공업체 (이전 없음)

제공업체	위치	목적
Black Forest Labs	독일 (EU)	AI 이미지 생성 (Flux 모델)
ScreenshotOne	유럽연합	웹사이트 스크린샷 캡처
CloudConvert	독일 (EU)	파일 형식 변환

이러한 제공업체는 EU 내에서 데이터를 처리하며 국제 이전을 구성하지 않습니다. Black Forest Labs는 이미지 생성을 위한 텍스트 프롬프트만 수신하며, 개인정보가 포함되지 않습니다.

---

6. 보완 조치

SCC에 추가하여 당사는 이전된 개인정보에 본질적으로 동등한 수준의 보호를 보장하기 위해 다음 보완 조치를 구현합니다:

6.1 기술적 조치

조치	설명
전송 중 암호화	방문자, 엣지 네트워크 및 백엔드 서비스 간에 전송되는 모든 데이터는 TLS(최소 TLS 1.2)를 사용하여 암호화됩니다. 내부 서비스 간 통신은 암호화된 채널을 사용합니다.
미사용 시 암호화	모든 데이터베이스 레코드, 파일 저장 및 엣지 호스팅 영구 저장소는 각 인프라 제공업체가 관리하는 업계 표준 암호화를 사용하여 미사용 시 암호화됩니다.
익명화	방문자 분석은 원시 IP 주소를 저장하는 대신 일일 교체 암호화 해시(IP + 사용자 에이전트 + 날짜)를 사용합니다. 이 해시는 역산할 수 없으며 24시간마다 교체되어 교차 일자 추적을 방지합니다.
데이터 최소화	분석은 집계 수준 메타데이터(국가, 기기 유형, 브라우저)만 수집합니다. 분석에는 원시 IP 주소가 저장되지 않습니다. 챗봇 메시지는 2,000자로 제한됩니다.
비밀번호 해싱	모든 방문자 비밀번호(웹사이트 보호 영역용)는 저장 전에 사용자별 무작위 솔트를 사용하는 강력한 암호화 알고리즘으로 해시됩니다. 평문 비밀번호는 저장되거나 전송되지 않습니다.
액세스 제어	최소 권한 액세스 정책이 각 시스템 구성 요소를 필요한 리소스로만 제한합니다. 웹사이트별 API 토큰이 개별 웹사이트에 대한 액세스를 범위 지정합니다.
네트워크 격리	백엔드 서비스는 내부 네트워크를 통해 통신합니다. 웹사이트 호스팅은 격리된 실행 샌드박스에서 실행됩니다. 사용자 코드 실행은 WebAssembly 기반 샌드박싱을 사용합니다.
관할권 데이터 레지던시	EU 거주자로 식별된 웹사이트 운영자의 경우, 방문자 데이터(양식 제출, 챗봇 대화, 세션 데이터 및 사용자 테이블 데이터)를 포함하는 영구 스토리지는 유럽연합으로 관할권적으로 제한되며, 이 데이터가 EU 데이터 센터에서만 저장 및 처리되도록 보장합니다. 자동화된 방문자 대면 작업(콘텐츠 제출 알림 및 거래 이메일 전송)도 EU 기반 인프라 내에서 처리됩니다.
자동 삭제	세션 데이터는 비활성 30일 후 만료됩니다. 임시 파일은 24시간 내에 삭제됩니다. 봇 도전 데이터는 일시적이며 저장되지 않습니다.

6.2 조직적 조치

조치	설명
직원 기밀 유지	개인정보에 접근하는 모든 직원은 기밀 유지 의무에 구속됩니다.
하위 처리자 실사	하위 처리자는 고용 전에 보안 관행 및 데이터 보호 준수 여부를 평가받습니다. 서면 DPA는 모든 하위 처리자와 체결됩니다.
사고 대응	침해 통보 절차는 개인정보 침해 확인 후 72시간 내에 관리자에게 통보하도록 보장합니다.
데이터 보존 정책	자동화된 적용(TTL 기반 삭제, 수명 주기 정책)을 통한 문서화된 보존 기간.
보안 모니터링	구조화된 로깅, 자동화된 보안 모니터링 및 침입 탐지. 오류 및 진단 로그는 최대 30일 동안 보존됩니다.

6.3 계약적 조치

조치	설명
표준 계약 조항	SCC(모듈 1, 모듈 2 및 모듈 3)는 참조로 당사 DPA에 통합됩니다.
하위 처리자 SCC	각 하위 처리자와의 서면 계약은 당사 DPA의 조항보다 덜 보호적이지 않은 데이터 보호 의무를 부과합니다.
정부 접근 통보	당사는 법적으로 허용되는 경우 당사 이용 약관에 설명된 바와 같이 정부 접근 요청을 관리자에게 통보할 것을 약속합니다.
이의 제기 약속	당사는 과도하거나 불법적이라고 판단되는 정부 접근 요청에 이의를 제기할 것을 약속합니다.

---

7. 위험 평가

7.1 정부 접근 가능성

요인	평가
데이터의 특성	주로 소규모 사업체 웹사이트의 익명화된 분석, 양식 제출 및 챗봇 메시지. 이 데이터는 정보 가치가 낮습니다.
데이터 볼륨	낮음~중간. 각 웹사이트는 자체 방문자 기반을 서비스하며, 감시 목적으로 웹사이트 전반에 걸쳐 데이터가 집계되지 않습니다.
회사 프로필	Acira AI는 소규모 사업체 웹사이트를 호스팅하는 소규모 SaaS 회사입니다. 당사는 통신 제공업체나 고프로파일 감시 표적이 아닙니다.
과거 요청	이 평가 날짜 기준으로 Acira AI는 FISA 제702조 지시, 국가 보안 서한 또는 고객 데이터에 대한 대량 접근을 위한 정부 요청을 받은 적이 없습니다.
하위 처리자 프로필	AWS 및 Cloudflare는 투명성 보고서를 발행하는 대규모 인프라 제공업체입니다. 그들의 투명성 보고서는 정부 요청이 호스팅된 콘텐츠에 대한 대량 접근이 아닌 특정 계정을 표적으로 함을 나타냅니다.

전반적 가능성: 낮음

7.2 접근이 발생한 경우의 영향

요인	평가
데이터 민감도	이전된 데이터의 대부분은 낮은 민감도입니다(익명화된 분석, 웹사이트 방문자 메타데이터). 양식 제출은 웹사이트에 따라 중간 민감도 데이터(이름, 이메일 주소, 메시지)를 포함할 수 있습니다.
익명화 효과	분석 데이터는 저장되지 않는 일일 교체 해시 구성 요소(IP + 사용자 에이전트 + 날짜)에 접근하지 않고는 개인과 연결할 수 없습니다.
노출 범위	정부 접근은 전체 플랫폼이 아닌 특정 계정 또는 웹사이트로 제한됩니다. 전용 스토리지 인스턴스를 통한 웹사이트별 데이터 격리는 잠재적 침해 범위를 제한합니다. EU 거주 웹사이트 운영자의 경우, 영구 스토리지 및 자동화된 방문자 대면 처리(콘텐츠 제출 알림 및 거래 이메일 전송)는 EU로 제한되어 이 데이터에 대한 미국 정부 접근 노출을 더욱 제한합니다.

전반적 영향: 낮음~중간 (개별 웹사이트 운영자가 수집하는 데이터의 민감도에 따라 다름)

7.3 잔여 위험 평가

낮은 정부 접근 가능성, 보완적 기술 조치(암호화, 익명화, 데이터 최소화) 및 행정명령 14086에 의해 도입된 추가 보호 장치를 고려할 때, 당사는 데이터 주체에 대한 잔여 위험이 낮다고 평가하며, 보완 조치는 SCC(EEA/UK/스위스 이전의 경우)와 계약적 보호(캐나다 이전의 경우)와 함께 EEA 내에서 보장되는 수준과 본질적으로 동등한 보호 수준과 캐나다 개인정보 보호법에서 요구하는 수준과 비교 가능한 보호 수준을 제공한다고 평가합니다.

---

8. 결론

이 평가를 바탕으로 당사는 다음과 같이 결론짓습니다:

1. 당사 서비스 제공과 관련하여 EEA/UK/스위스/캐나다에서 미국으로 이전된 개인정보는 EU 데이터 보호법에 따라 보장되는 수준과 본질적으로 동등한 수준의 보호와 캐나다 개인정보 보호법에서 요구하는 수준과 비교 가능한 수준의 보호를 받습니다.

2. 표준 계약 조항은 섹션 6에 설명된 보완적 기술, 조직 및 계약적 조치와 결합하여 이 평가에서 확인된 위험을 적절히 해결합니다.

3. 데이터의 성격(주로 익명화된 분석 및 소규모 사업체 웹사이트 방문자 상호작용)과 데이터 수입자의 프로필(소규모 SaaS 회사, 통신 제공업체 아님)은 정부 감시의 실질적 위험을 크게 줄입니다.

4. 행정명령 14086 및 관련 구제 메커니즘에 의해 도입된 보호는 사용된 특정 이전 메커니즘에 관계없이 모든 데이터 주체에게 혜택을 주는 추가 보호 장치를 제공합니다.

5. 캐나다 이전의 경우, 여기에 설명된 계약적 보호 및 보완 조치는 PIPEDA 및 퀘벡의 현대화된 개인정보 보호법을 포함한 적용 가능한 주 개인정보 보호 법률에서 요구하는 수준과 비교 가능한 수준의 보호를 보장합니다.

6. 당사는 미국 감시법과 관행의 발전 및 캐나다 개인정보 보호법의 발전(제안된 소비자 개인정보 보호법 포함)을 계속 모니터링하고, 상황이 물질적으로 변경되면 이 TIA를 재평가할 것입니다.

이전은 여기에 설명된 SCC 및 보완 조치의 지속적인 적용을 조건으로 진행될 수 있습니다.

---

9. 검토 일정

이 TIA는 다음 경우에 검토 및 업데이트됩니다:

• 연간, 최소한, 또는
• 적용 가능한 법률 또는 규정의 중요한 변경 시 (FISA, CLOUD법, 행정명령 14086, PIPEDA 또는 캐나다 주 개인정보 보호 법률의 변경 포함),
• 하위 처리자 변경 또는 이전되는 데이터의 성격 변경 시,
• SCC의 유효성 또는 미국 데이터 보호의 적절성에 물질적으로 영향을 미치는 법원 결정 시.

---

10. 문의하기

이 데이터 이전 영향 평가에 대한 질문이 있으시면 다음 주소로 연락하십시오:

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
미국

전화: 888-389-1189
이메일: legal@acira.ai