DUOMENŲ PERDAVIMO POVEIKIO VERTINIMAS

Paskutinį kartą atnaujinta: 2026 m. kovo 19 d.

Šį Duomenų perdavimo poveikio vertinimą („TIA") parengė Acira AI LLC („Acira AI", „mes") vadovaudamasi Europos Sąjungos Teisingumo Teismo sprendimo byloje Data Protection Commissioner prieš Facebook Ireland Limited ir Maximillian Schrems (byla C-311/18, „Schrems II") reikalavimais ir Europos duomenų apsaugos valdybos rekomendacijomis (EDPB rekomendacijos 01/2020 dėl papildomų priemonių).

Šis TIA vertina asmens duomenų, perduodamų iš Europos ekonominės erdvės („EEE"), Jungtinės Karalystės („JK"), Šveicarijos ir Kanados į Jungtines Valstijas ir kitas trečiąsias šalis teikiant mūsų Paslaugas, apsaugos pakankamumą.

Šis TIA gali būti išverstas į kitas kalbas jūsų patogumui. Kilus bet kokiam prieštaravimui ar neatitikimui tarp anglų kalbos versijos ir bet kurios išverstos versijos, pirmenybę turi anglų kalbos versija.

TURINYS

1. PERDAVIMŲ APŽVALGA
2. PERDUODAMŲ DUOMENŲ POBŪDIS
3. PERDAVIMO MECHANIZMAI
4. PASKIRTIES ŠALIES ĮSTATYMŲ VERTINIMAS
5. DUOMENŲ SRAUTŲ VERTINIMAS PAGAL PASLAUGŲ TEIKĖJĄ
6. PAPILDOMOS PRIEMONĖS
7. RIZIKOS VERTINIMAS
8. IŠVADA
9. PERŽIŪROS GRAFIKAS
10. SUSISIEKITE SU MUMIS

1. PERDAVIMŲ APŽVALGA

1.1 Kontekstas

Acira AI yra programinės įrangos kaip paslaugos platforma, leidžianti įmonėms ir asmenims kurti, valdyti ir talpinti DI pagrindu veikiančias svetaines. Kai naudotojai sukuria svetaines, kurias pasiekia EEE, JK, Šveicarijoje ar Kanadoje esantys lankytojai, tų lankytojų asmens duomenys gali būti perduodami į Jungtines Valstijas ir kitas vietas, kuriose veikia mūsų infrastruktūros tiekėjai.

1.2 Šalys

• Duomenų eksportuotojas: Svetainės operatorius (mūsų klientas, veikiantis kaip Valdytojas) ir analitikos duomenims – Acira AI kaip bendrasis valdytojas.
• Duomenų importuotojas: Acira AI LLC, įregistruota Nevadoje, Jungtinėse Valstijose, veikianti kaip Tvarkytojas (ir bendrasis valdytojas analitikai).
• Papildomi tvarkytojai: Trečiųjų šalių paslaugų teikėjai, su kuriais bendradarbiauja Acira AI (nurodyti 5 skirsnyje).

1.3 Perdavimo paskirties vietos

2. PERDUODAMŲ DUOMENŲ POBŪDIS

2.1 Asmens duomenų kategorijos

Perduodami asmens duomenys priklauso nuo svetainės operatoriaus įjungtų funkcijų ir svetainės lankytojų sąveikos. Gali būti perduotos šios kategorijos:

2.2 Duomenų subjektų kategorijos

• Acira AI platformoje talpinamos svetainės lankytojai
• Naudotojai, kurie sukuria paskyras platformoje talpintose svetainėse
• Naudotojai, kurie pateikia formas, bendrauja su pokalbių robotais ar įkelia failus talpintose svetainėse

2.3 Neperduodami duomenys

• Geografinės vietos duomenys: IP-į-vietą paieška atliekama tinklo krašte mūsų infrastruktūros teikėjo. Joks lankytojų IP adresas neperduodamas jokiai išorinei geografinės vietos paslaugai.
• Neapdoroti analitikos IP adresai: Saugomas tik kasdien besikeičiantis kriptografinis maišos kodas; neapdoroti IP adresai nėra išlaikomi analitikos sistemose.
• Slaptažodžiai atviruoju tekstu: Saugomi ir perduodami tik kriptografiniai maišos kodai.

3. PERDAVIMO MECHANIZMAI

3.1 Pagrindinis mechanizmas: Standartinės sutarčių sąlygos

Mes remiamės Europos Komisijos standartinėmis sutarčių sąlygomis (SSS), priimtomis Komisijos įgyvendinimo sprendimu (ES) 2021/914, konkrečiai:

• 1 modulis (Valdytojas valdytojui): Analitikos duomenų perdavimui, kai Acira AI veikia kaip bendrasis valdytojas su svetainės operatoriumi (žr. DPS 2.3 skirsnį).
• 2 modulis (Valdytojas tvarkytojui): Lankytojų asmens duomenų perdavimui iš svetainės operatoriaus (Valdytojo) Acira AI (Tvarkytojui).
• 3 modulis (Tvarkytojas papildomam tvarkytojui): Tolesniems perdavimams iš Acira AI mūsų papildomiems tvarkytojams.

3.2 JK, Šveicarijos ir Kanados perdavimai

• JK: Taikomas JK tarptautinis duomenų perdavimo priedas prie ES SSS.
• Šveicarija: SSS taikomos su pakeitimais, kurių reikalauja Šveicarijos federalinis duomenų apsaugos įstatymas (FADP).
• Kanada: Perdavimai remiasi sutartinėmis apsaugos priemonėmis su kiekvienu papildomu tvarkytoju, nustatančiomis pareigas, suderinamas su Kanados asmeninės informacijos apsaugos ir elektroninių dokumentų įstatymu (PIPEDA) ir taikytinais provincijų privatumo teisės aktais, kartu su 6 skirsnyje aprašytomis papildomomis techninėmis ir organizacinėmis priemonėmis. Išsamiau žr. DPS 7.4 skirsnį.

3.3 Papildomų tvarkytojų perdavimo mechanizmai

4. PASKIRTIES ŠALIES ĮSTATYMŲ VERTINIMAS

4.1 Jungtinės Valstijos

Jungtinės Valstijos yra pagrindinė perduodamų duomenų paskirties vieta. Šiam vertinimui aktualūs šie JAV įstatymai:

4.1.1 Užsienio žvalgybos stebėjimo įstatymo (FISA) 702 skirsnis

FISA 702 skirsnis leidžia JAV vyriausybei priversti elektroninių ryšių paslaugų teikėjus suteikti prieigą prie ne JAV piliečių, esančių ne Jungtinėse Valstijose, ryšių užsienio žvalgybos tikslais.

Rizikos vertinimas:

• Taikomumas: FISA 702 skirsnis taikomas „elektroninių ryšių paslaugų teikėjams", kaip apibrėžta 50 U.S.C. § 1881(b)(4). Acira AI yra SaaS svetainių talpinimo platforma, o ne tradicinis telekomunikacijų teikėjas. Mūsų papildomi tvarkytojai (AWS, Cloudflare) greičiausiai bus 702 skirsnio direktyvų objektas.
• Rizikos duomenų apimtis: Mūsų tvarkomi asmens duomenys pirmiausia susideda iš svetainės lankytojų analitikos (pseudonimizuotos), formų pateikimų ir pokalbių roboto žinučių. Tikėtina, kad šie duomenys nėra svarbūs užsienio žvalgybai.
• Praktinė tikimybė: Mes niekada negavome FISA 702 skirsnio direktyvos ir vertiname, kad praktinė tikimybė ją gauti yra labai maža, atsižvelgiant į mūsų Paslaugų pobūdį ir mūsų tvarkomus duomenis.

4.1.2 Vykdomasis įsakymas 12333

VĮ 12333 leidžia JAV žvalgybos agentūroms vykdyti stebėjimo veiklą, įskaitant masišką signalų žvalgybos rinkimą. Jis taikomas duomenims tranzito metu ir neverčia privačių įmonių bendradarbiauti.

Rizikos vertinimas:

• Mažinimas: Visi duomenys tranzito metu yra šifruojami naudojant TLS. Masiškas šifruotų duomenų tranzitu perėmimas neduotų atvirojo teksto asmens duomenų.
• Praktinė tikimybė: Maža. Mūsų Paslaugomis tvarkomi duomenys nėra tokio pobūdžio, kuris paprastai būtų signalų žvalgybos taikinys.

4.1.3 Vykdomasis įsakymas 14086 ir ES ir JAV duomenų privatumo sistema

Vykdomasis įsakymas 14086 (2022 m. spalio mėn.) įdiegė papildomas apsaugos priemones signalų žvalgybos veiklai, įskaitant:

• Būtinumo ir proporcingumo reikalavimus žvalgybai rinkti
• Dviejų pakopų žalos atlyginimo mechanizmą (Piliečių laisvių apsaugos pareigūnas + Duomenų apsaugos peržiūros teismas), prieinamą ES/JK/Šveicarijos asmenims
• Masinio rinkimo apribojimus

Europos Komisija 2023 m. liepos 10 d. priėmė tinkamumo sprendimą dėl ES ir JAV duomenų privatumo sistemos (DPS). Nors Acira AI šiuo metu nėra savarankiškai sertifikuota pagal DPS, VĮ 14086 suteikiama apsauga plačiai taikoma visiems duomenų perdavimams į Jungtines Valstijas ir yra naudinga visiems duomenų subjektams, neatsižvelgiant į naudojamą perdavimo mechanizmą.

4.1.4 CLOUD įstatymas

CLOUD įstatymas (Duomenų naudojimo teisėtumo patikslinimas užsienyje) leidžia JAV teisėsaugai priversti JAV įsikūrusius teikėjus pateikti duomenis, neatsižvelgiant į tai, kur jie saugomi, pagal galiojantį orderį ar teismo nutartį.

Rizikos vertinimas:

• Apsaugos priemonės: CLOUD įstatymas reikalauja galiojančio teisinio proceso (orderio, šaukimo ar teismo nutarties). Jis neleidžia masiškos prieigos be orderio.
• Teisingumo nuostatos: CLOUD įstatyme yra teisingumo sistema, leidžianti teikėjams ginčyti nutartis, prieštaraujančias užsienio teisės aktams.
• Praktinė tikimybė: Maža svetainės lankytojų duomenims. Teisėsaugos prašymai greičiausiai taikytųsi konkretiems įtariamiems nusikalstama veika susijusiems paskyroms, o ne lankytojų analitikai ar formų pateikimams.

4.2 Izraelis (BrightData)

BrightData įsikūrusi Izraelyje. Izraelis turi Europos Komisijos tinkamumo sprendimą (2011/61/ES), tai reiškia, kad perdavimai į Izraelį vertinami panašiai kaip EEE vidaus perdavimai. Tačiau BrightData taip pat tvarko duomenis kitose pasaulio vietose. Pastebime, kad:

• BrightData tvarkymas vyksta tik naudotojo nurodymu (svetainės kūrimo metu turinio importavimui) arba suplanuoto SERP stebėjimo metu.
• Jokių svetainės lankytojų asmens duomenų neperduodama BrightData.

4.3 Kanada (Perdavimai iš Kanados į Jungtines Valstijas)

Kanadoje esančių svetainės lankytojų asmens duomenys tvarkymo tikslais gali būti perduodami į Jungtines Valstijas. Šiam vertinimui aktualūs šie Kanados įstatymai:

4.3.1 Asmeninės informacijos apsaugos ir elektroninių dokumentų įstatymas (PIPEDA)

PIPEDA reglamentuoja asmeninės informacijos rinkimą, naudojimą ir atskleidimą privačiojo sektoriaus organizacijų komercinės veiklos metu. PIPEDA 4.1.3 principas reikalauja, kad organizacijos sutartinėmis ar kitomis priemonėmis užtikrintų palyginamą apsaugos lygį, kai asmeninė informacija perduodama trečiosioms šalims tvarkyti, įskaitant perdavimus už Kanados ribų.

Rizikos vertinimas:

• Palyginamas apsaugos lygis: 6 skirsnyje aprašytos papildomos priemonės (šifravimas, pseudonimizavimas, prieigos kontrolė, duomenų minimizavimas) suteikia apsaugos lygį, palyginamą su PIPEDA reikalaujamu. Rašytiniai duomenų tvarkymo susitarimai sudaryti su visais papildomais tvarkytojais.
• Tinkamumo reikalavimų nėra: Skirtingai nuo BDAR, PIPEDA nedraudžia perdavimų į šalis, neturinčias „tinkamumo" išvados. Organizacijos turi sutartinėmis ir kitomis priemonėmis užtikrinti palyginamą apsaugą, kurią mes įgyvendinome.

4.3.2 Provincijų privatumo teisės aktai

Alberto asmeninės informacijos apsaugos įstatymas (PIPA), Britų Kolumbijos asmeninės informacijos apsaugos įstatymas (PIPA) ir Kvebeko įstatymas dėl asmeninės informacijos apsaugos privačiajame sektoriuje nustato papildomus reikalavimus tam tikroms provincijoms:

Rizikos vertinimas:

• Kvebeko įstatymas 25: Kvebeko modernizuotas privatumo įstatymas (galioja nuo 2023 m. rugsėjo mėn.) reikalauja privatumo poveikio vertinimo prieš perduodant asmeninę informaciją už Kvebeko ribų ir organizacija turi būti įsitikinusi, kad informacija bus tinkamai apsaugota. Mūsų sutartinė apsauga, papildomos techninės priemonės ir duomenų pobūdis (pirmiausia pseudonimizuota analitika ir smulkiojo verslo svetainės sąveika) pagrindžia tinkamos apsaugos išvadą.
• Alberta ir Britų Kolumbija: Alberto ir Britų Kolumbijos PIPA reikalauja, kad organizacijos užtikrintų palyginamą perduodamų duomenų apsaugą. Mūsų sutartinės ir techninės apsaugos priemonės tenkina šį reikalavimą.

4.3.3 JAV vyriausybės prieiga Kanados požiūriu

Tos pačios JAV vyriausybės prieigos rizikos, įvertintos 4.1 skirsnyje, taikomos Kanados duomenų perdavimams. Maža vyriausybės prieigos tikimybė (atsižvelgiant į duomenų pobūdį ir mūsų įmonės profilį), kartu su 6 skirsnyje numatytomis papildomomis priemonėmis, užtikrina, kad iš Kanados į Jungtines Valstijas perduodami asmens duomenys gauna palyginamą apsaugos lygį su reikalaujamu pagal Kanados privatumo teisę.

4.4 Visuotiniai kraštiniai mazgai (Cloudflare)

Cloudflare valdo visuotinį kraštinių mazgų tinklą. ES lankytojų prašymai paprastai tvarkomi artimiausio Cloudflare ryšio taške, kuris ES lankytojams paprastai bus ES vieta.

• Prašymų maršrutizavimas, TLS nutraukimas ir robotų apsauga vyksta artimiausio kraštinio mazgo vietoje.
• ES gyventojais identifikuotiems svetainių operatoriams nuolatinis saugojimas (kuriame yra formų pateikimai, pokalbių roboto pokalbiai ir sesijų duomenys) yra jurisdikciškai apribotas Europos Sąjunga naudojant Cloudflare jurisdikcijos API. Ne ES svetainių operatoriams nuolatinis saugojimas yra operatoriaus geografinio regiono artumoje, tačiau gali būti ne ES teritorijoje.
• Analitikos duomenys tvarkomi Cloudflare valdomoje infrastruktūroje.

5. DUOMENŲ SRAUTŲ VERTINIMAS PAGAL PASLAUGŲ TEIKĖJĄ

5.1 Amazon Web Services (JAV)

AWS apsaugos priemonės:

• ISO 27001, 27017, 27018 sertifikuota
• SOC 1/2/3 ataskaitos prieinamos
• Duomenys šifruojami saugomi naudojant pramonės standarto šifravimą
• Duomenys šifruojami tranzitu (TLS)
• Minimalių teisių prieigos kontrolė kiekvienam sistemos komponentui
• Pagrindinės paslaugos talpinamos Jungtinėse Valstijose; automatizuotos lankytojams skirtos operacijos (turinio pateikimo pranešimai ir sandorių el. pašto pristatymas) ES gyvenantiems svetainių operatoriams apdorojamos Europos Sąjungoje (Stokholme)

5.2 Cloudflare (Visuotinis)

Cloudflare apsaugos priemonės:

• ISO 27001 sertifikuota, SOC 2 II tipas
• TLS 1.2+ visiems ryšiams
• Cloudflare DPS su SSS prieinamas
• Kraštinis tvarkymas reiškia, kad ES lankytojų duomenys paprastai tvarkomi ES kraštiniuose mazguose prašymų valdymui
• Svetainių operatoriams, identifikuotiems kaip ES gyventojai, nuolatinė saugykla (kurioje yra formų pateikimai, pokalbių roboto pokalbiai, sesijų duomenys ir naudotojų lentelių duomenys) jurisdikciškai apribota Europos Sąjunga naudojant Cloudflare jurisdikcijos API, užtikrinant, kad šie duomenys saugomi ir apdorojami tik ES duomenų centruose. Backend API užklausos iš krašto (turinio pateikimo pranešimams ir sandorių el. pašto pristatymui) nukreipiamos į ES esančią AWS infrastruktūrą.
• DI išvada neišlaiko įvesties duomenų mokymui

5.3 Stripe (JAV)

Pastaba: Stripe negauna svetainės lankytojų asmens duomenų. Stripe tvarko tik svetainės operatoriaus (mūsų kliento) atsiskaitymo informaciją.

Stripe apsaugos priemonės:

• PCI DSS 1 lygis sertifikuota
• ISO 27001 sertifikuota
• Stripe DPS su SSS prieinamas

5.4 DI išvados teikėjai (JAV)

Fireworks AI ir xAI teikia DI modelių išvados paslaugas.

Pastaba: Šie DI teikėjai negauna svetainės lankytojų asmens duomenų. Pokalbių roboto funkcija (skirta svetainės lankytojams) naudoja Cloudflare Workers AI (įvertinta 5.2 skirsnyje), o ne šiuos teikėjus. Tačiau platformos pokalbinis DI asistentas — naudojamas svetainių operatorių jų svetainėms valdyti — siunčia platformos naudotojų asmens duomenis (vardą, el. pašto adresą ir pokalbių istoriją) šiems teikėjams kaip atsakymų generavimo dalį. Šiam tvarkymui Acira AI veikia kaip valdytojas (ne tvarkytojas), o duomenų subjektai yra mūsų platformos naudotojai (svetainių operatoriai), o ne jų svetainių lankytojai. Šis duomenų srautas reglamentuojamas mūsų Privatumo politikos ir mūsų susitarimų su šiais teikėjais, o ne DPS valdytojo ir tvarkytojo sistema lankytojų duomenims.

Modelių šeimos: Šie infrastruktūros teikėjai talpina ir vykdo DI modelius, sukurtus įvairių trečiųjų šalių. Konkretūs modeliai ir modelių šeimos, naudojamos laikui bėgant, gali keistis. Modelių kūrėjai negauna ir neturi prieigos prie naudotojų duomenų — visas duomenų tvarkymas vyksta tik išvardytų papildomų tvarkytojų infrastruktūroje, neatsižvelgiant į tai, kur modelis buvo sukurtas. Visas DI išvados tvarkymas lieka mūsų išvardytų papildomų tvarkytojų infrastruktūroje. Jokių naudotojų duomenų neperduodama modelių kūrėjams ar infrastruktūrai už šiame vertinime išvardytų papildomų tvarkytojų ribų. Dabartinis naudojamų modelių šeimų sąrašas pateikiamas pagal prašymą susisiekus adresu legal@acira.ai.

5.5 BrightData (Izraelis / Visame pasaulyje)

Pastaba: BrightData netvarko svetainės lankytojų asmens duomenų. Ji tvarko viešai prieinamą interneto svetainės turinį, kai naudotojas nurodo, ir stebi paieškos sistemų reitingus naudotojo apibrėžtiems raktiniams žodžiams.

5.6 ES įsikūrę teikėjai (be perdavimo)

Šie teikėjai tvarko duomenis ES viduje ir nesudaro tarptautinio perdavimo. Black Forest Labs gauna tik teksto užklausas paveikslėlių generavimui; jokie asmens duomenys neįtraukiami.

6. PAPILDOMOS PRIEMONĖS

Be SSS, mes įgyvendiname šias papildomas priemones, siekdami užtikrinti iš esmės lygiavertį perduodamų asmens duomenų apsaugos lygį:

6.1 Techninės priemonės

6.2 Organizacinės priemonės

6.3 Sutartinės priemonės

7. RIZIKOS VERTINIMAS

7.1 Vyriausybės prieigos tikimybė

Bendra tikimybė: MAŽA

7.2 Poveikis prieigos atveju

Bendras poveikis: MAŽAS iki VIDUTINIO (priklausomai nuo atskirų svetainių operatorių renkamų duomenų jautrumo)

7.3 Likutinės rizikos vertinimas

Atsižvelgiant į mažą vyriausybės prieigos tikimybę, papildomas technines priemones (šifravimą, pseudonimizavimą, duomenų minimizavimą) ir papildomas EO 14086 įvestas apsaugos priemones, mes vertiname, kad likutinė rizika duomenų subjektams yra maža ir kad papildomos priemonės kartu su SSS (EEE/JK/Šveicarijos perdavimams) ir sutartine apsauga (Kanados perdavimams) suteikia apsaugos lygį, iš esmės lygiavertį garantuojamam EEE ir palyginamą su reikalaujamu pagal Kanados privatumo teisę.

8. IŠVADA

Remiantis šiuo vertinimu, mes darome išvadą, kad:

1. Asmens duomenys, perduodami iš EEE/JK/Šveicarijos/Kanados į Jungtines Valstijas teikiant mūsų Paslaugas, gauna iš esmės lygiavertį apsaugos lygį su garantuojamu pagal ES duomenų apsaugos teisę ir palyginamą apsaugos lygį su reikalaujamu pagal Kanados privatumo teisę.

2. Standartinės sutarčių sąlygos, kartu su papildomomis techninėmis, organizacinėmis ir sutartinėmis priemonėmis, aprašytomis 6 skirsnyje, tinkamai sprendžia šiame vertinime nustatytas rizikas.

3. Duomenų pobūdis (pirmiausia pseudonimizuota analitika ir smulkiojo verslo svetainės lankytojų sąveika) ir duomenų importuotojo profilis (maža SaaS įmonė, ne telekomunikacijų teikėjas) žymiai sumažina praktinę vyriausybės stebėjimo riziką.

4. Vykdomojo įsakymo 14086 ir susijusio žalos atlyginimo mechanizmo įvestas apsaugos priemones suteikia papildomas apsaugos priemones, naudojančias visiems duomenų subjektams, neatsižvelgiant į naudojamą konkretų perdavimo mechanizmą.

5. Kanados perdavimams, sutartinė apsauga ir papildomos priemonės, aprašytos čia, užtikrina palyginamą apsaugos lygį su reikalaujamu pagal PIPEDA ir taikytinus provincijų privatumo teisės aktus, įskaitant Kvebeko modernizuotą privatumo teisę.

6. Mes ir toliau stebėsime pokyčius JAV stebėjimo teisėje ir praktikoje bei pokyčius Kanados privatumo teisėje (įskaitant siūlomą Vartotojų privatumo apsaugos aktą) ir iš naujo įvertinsime šį TIA, jei aplinkybės iš esmės pasikeis.

Perdavimai gali vykti toliau, su sąlyga, kad ir toliau bus taikomos čia aprašytos SSS ir papildomos priemonės.

9. PERŽIŪROS GRAFIKAS

Šis TIA bus peržiūrimas ir atnaujinamas:

• Kasmet, bent jau, arba
• Esant esminiams pokyčiams taikomuose įstatymuose ar reglamentuose (įskaitant FISA, CLOUD įstatymo, EO 14086, PIPEDA ar Kanados provincijų privatumo teisės aktų pokyčius),
• Keičiantis mūsų papildomiems tvarkytojams ar perduodamų duomenų pobūdžiui,
• Bet kokio teismo sprendimo atveju, kuris iš esmės paveiktų SSS galiojimą ar JAV duomenų apsaugos tinkamumą.

10. SUSISIEKITE SU MUMIS

Jei turite klausimų dėl šio Duomenų perdavimo poveikio vertinimo, prašome kreiptis į mus:

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
Jungtinės Valstijos

Telefonas: 888-389-1189
El. paštas: legal@acira.ai