डेटा ट्रान्सफर इम्पॅक्ट असेसमेंट

अंतिम अपडेट: जुलै ६, २०२६

हे डेटा ट्रान्सफर इम्पॅक्ट असेसमेंट ("TIA") Acira AI LLC ("Acira AI", "आम्ही", "आमचे") यांनी Data Protection Commissioner v. Facebook Ireland Limited and Maximillian Schrems (केस C-311/18, "Schrems II") या प्रकरणातील युरोपियन युनियन न्यायालयाच्या निर्णयाच्या आवश्यकतांनुसार आणि युरोपियन डेटा प्रोटेक्शन बोर्डाच्या शिफारसींनुसार (EDPB शिफारसी 01/2020 पूरक उपायांवर) तयार केले आहे.

हे TIA आमच्या सेवा प्रदान करण्याच्या संदर्भात युरोपियन इकॉनॉमिक एरिया ("EEA"), युनायटेड किंगडम ("UK"), स्वित्झर्लंड आणि कॅनडा मधून अमेरिका आणि इतर तृतीय देशांमध्ये हस्तांतरित केलेल्या वैयक्तिक डेटाच्या संरक्षणाची पर्याप्तता मूल्यांकन करते.

हे TIA आपल्या सोयीसाठी इतर भाषांमध्ये अनुवादित केले जाऊ शकते. इंग्रजी आवृत्ती आणि कोणत्याही अनुवादित आवृत्तीत कोणताही संघर्ष किंवा विसंगती असल्यास, इंग्रजी आवृत्ती प्रमाण मानली जाईल.

विषय सूची

1. ट्रान्सफरचे विहंगावलोकन
2. हस्तांतरित डेटाचे स्वरूप
3. ट्रान्सफर यंत्रणा
4. गंतव्य देश कायद्यांचे मूल्यांकन
5. सेवा प्रदात्यानुसार डेटा प्रवाह मूल्यांकन
6. पूरक उपाय
7. जोखीम मूल्यांकन
8. निष्कर्ष
9. पुनरावलोकन वेळापत्रक
10. आमच्याशी संपर्क करा

1. ट्रान्सफरचे विहंगावलोकन

1.1 संदर्भ

Acira AI हे एक सॉफ्टवेअर-अॅज-ए-सर्व्हिस प्लॅटफॉर्म आहे जे व्यवसाय आणि व्यक्तींना AI-संचालित वेबसाइट तयार करणे, व्यवस्थापित करणे आणि होस्ट करण्यास सक्षम करते. जेव्हा वापरकर्ते EEA, UK, स्वित्झर्लंड किंवा कॅनडामध्ये असलेल्या अभ्यागतांद्वारे प्रवेश केलेल्या वेबसाइट तयार करतात, तेव्हा त्या अभ्यागतांचा वैयक्तिक डेटा अमेरिका आणि आमच्या इन्फ्रास्ट्रक्चर प्रदात्यांच्या इतर ठिकाणी हस्तांतरित आणि प्रक्रिया केला जाऊ शकतो.

1.2 पक्ष

• डेटा निर्यातदार: वेबसाइट ऑपरेटर (आमचा ग्राहक, नियंत्रक म्हणून कार्य करणारा) आणि विश्लेषण डेटासाठी, Acira AI सह-नियंत्रक म्हणून. जेथे वेबसाइट आमच्या एजन्सी प्रोग्रामद्वारे व्यवस्थापित केली जाते, तेथे एजन्सी आणि/किंवा तिचा एंड क्लायंट नियंत्रक/डेटा निर्यातदार म्हणून कार्य करतो (आमच्या एजन्सी अटी आणि DPA कलम 2.7 पहा).
• डेटा आयातदार: Acira AI LLC, नेवाडा, अमेरिकेत समाविष्ट, प्रोसेसर (आणि विश्लेषणासाठी सह-नियंत्रक) म्हणून कार्य करणारा.
• उप-प्रोसेसर: Acira AI द्वारे नियुक्त तृतीय-पक्ष सेवा प्रदाते (विभाग 5 मध्ये सूचीबद्ध).

1.3 ट्रान्सफर गंतव्यस्थाने

2. हस्तांतरित डेटाचे स्वरूप

2.1 वैयक्तिक डेटा श्रेण्या

हस्तांतरित वैयक्तिक डेटा वेबसाइट ऑपरेटरने सक्षम केलेल्या वैशिष्ट्यांवर आणि वेबसाइट अभ्यागतांच्या परस्परसंवादावर अवलंबून असतो. खालील श्रेण्या हस्तांतरित केल्या जाऊ शकतात:

2.2 डेटा विषय श्रेण्या

• Acira AI प्लॅटफॉर्मवर होस्ट केलेल्या वेबसाइटचे अभ्यागत
• प्लॅटफॉर्मवर होस्ट केलेल्या वेबसाइटवर खाती तयार करणारे वापरकर्ते
• होस्ट केलेल्या वेबसाइटवर फॉर्म सबमिट करणारे, चॅटबॉटशी संवाद साधणारे किंवा फाइल अपलोड करणारे वापरकर्ते

2.3 हस्तांतरित न केलेला डेटा

• भू-स्थान डेटा: IP-ते-स्थान लुकअप आमच्या इन्फ्रास्ट्रक्चर प्रदात्याद्वारे नेटवर्क एजवर केले जातात. कोणत्याही बाह्य भू-स्थान सेवेला कोणताही अभ्यागत IP पत्ता पाठवला जात नाही.
• कच्चे अभ्यागत IP पत्ते: व्यासपीठ ते संग्रहित करत नाही. विश्लेषण केवळ दैनंदिन-फिरणारा गुप्त-की हॅश संग्रहित करते; दर मर्यादन केवळ गुप्त-की हॅश संग्रहित करते; फॉर्म सबमिशन आणि चॅटबॉट संवाद पत्ता नव्हे तर देश व प्रदेश नोंदवतात. वेबसाइट संचालकाचा स्वतःचा पृष्ठ कोड अभ्यागताचा IP पत्ता वाचू शकतो, आणि तो संचालक जे काही संग्रहित करण्याचे ठरवतो ते त्याचे स्वतःचे संकलन असते, त्याच्या स्वतःच्या गोपनीयता धोरणांतर्गत.
• प्लेनटेक्स्टमध्ये पासवर्ड: केवळ क्रिप्टोग्राफिक हॅश संग्रहित आणि हस्तांतरित केले जातात.

3. ट्रान्सफर यंत्रणा

3.1 प्राथमिक यंत्रणा: मानक करार कलम

आम्ही कमिशन अंमलबजावणी निर्णय (EU) 2021/914 द्वारे स्वीकारलेल्या युरोपियन आयोगाच्या मानक करार कलम (SCC) वर अवलंबून आहोत, विशेषतः:

• मॉड्यूल एक (नियंत्रक ते नियंत्रक): Acira AI वेबसाइट ऑपरेटरसह सह-नियंत्रक म्हणून कार्य करत असलेल्या विश्लेषण डेटाच्या हस्तांतरणासाठी (DPA विभाग 2.3 पहा).
• मॉड्यूल दोन (नियंत्रक ते प्रोसेसर): वेबसाइट ऑपरेटर (नियंत्रक) कडून Acira AI (प्रोसेसर) कडे अभ्यागत वैयक्तिक डेटाच्या हस्तांतरणासाठी.
• मॉड्यूल तीन (प्रोसेसर ते उप-प्रोसेसर): Acira AI कडून आमच्या उप-प्रोसेसरांकडे पुढील हस्तांतरणासाठी.

3.2 UK, स्वित्झर्लंड आणि कॅनडा ट्रान्सफर

• UK: EU SCC ला UK आंतरराष्ट्रीय डेटा ट्रान्सफर अॅडेंडम लागू होतो.
• स्वित्झर्लंड: SCC स्वित्झर्लंडच्या फेडरल डेटा संरक्षण कायद्याने (FADP) आवश्यक बदलांसह लागू होतात.
• कॅनडा: हस्तांतरण प्रत्येक उप-प्रोसेसरसह कराराच्या संरक्षणावर अवलंबून आहे जे PIPEDA आणि लागू प्रांतीय गोपनीयता कायद्याशी सुसंगत दायित्वे लादते, विभाग 6 मध्ये वर्णित पूरक तांत्रिक आणि संघटनात्मक उपायांसह. तपशीलांसाठी DPA विभाग 7.4 पहा.

3.3 उप-प्रोसेसर ट्रान्सफर यंत्रणा

4. गंतव्य देश कायद्यांचे मूल्यांकन

4.1 अमेरिका

अमेरिका हे हस्तांतरित डेटाचे प्राथमिक गंतव्यस्थान आहे. खालील US कायदे या मूल्यांकनासाठी संबंधित आहेत:

4.1.1 परदेशी गुप्तचर पाळत ठेवणे कायदा (FISA), विभाग 702

FISA विभाग 702 US सरकारला परदेशी गुप्तचर उद्देशांसाठी अमेरिकेबाहेर असलेल्या गैर-US व्यक्तींच्या संचार प्रवेश करण्यास इलेक्ट्रॉनिक संचार सेवा प्रदात्यांना सक्ती करण्यास अधिकृत करतो.

जोखीम मूल्यांकन:

• लागूपणा: FISA विभाग 702 50 U.S.C. § 1881(b)(4) मध्ये परिभाषित "इलेक्ट्रॉनिक संचार सेवा प्रदात्यांना" लागू होतो, ही व्याख्या रिमोट कम्प्युटिंग सेवांच्या प्रदात्यांपर्यंत पोहोचण्याइतकी व्यापक आहे, ज्यात Acira AI सारखे SaaS प्लॅटफॉर्म तसेच आमचे पायाभूत सुविधा उप-प्रोसेसर (AWS, Cloudflare) यांचा संभाव्यतः समावेश होतो.
• धोक्यात असलेल्या डेटाचे प्रमाण: आम्ही प्रक्रिया केलेला वैयक्तिक डेटा प्रामुख्याने वेबसाइट अभ्यागत विश्लेषण (स्यूडोनिमाइज्ड), फॉर्म सबमिशन आणि चॅटबॉट संदेशांचा समावेश करतो. या डेटाला परदेशी गुप्तचर स्वारस्य असण्याची शक्यता नाही.
• व्यावहारिक संभाव्यता: आमच्या सेवांच्या स्वरूपाचा आणि आम्ही प्रक्रिया करत असलेल्या डेटाचा विचार करता, विभाग 702 निर्देश मिळण्याची व्यावहारिक संभाव्यता अत्यंत कमी असल्याचे आम्ही मानतो.

4.1.2 कार्यकारी आदेश 12333

EO 12333 US गुप्तचर एजन्सींना सिग्नल गुप्तचर माहितीचे मोठ्या प्रमाणात संकलन यासह पाळत ठेवणे क्रियाकलाप आयोजित करण्यास अधिकृत करतो. हे संचारित डेटावर लागू होते आणि खाजगी कंपन्यांना सहकार्य करण्यास भाग पाडत नाही.

जोखीम मूल्यांकन:

• शमन: संचारित सर्व डेटा TLS वापरून एन्क्रिप्ट केला आहे. संचारातील एन्क्रिप्टेड डेटाचे मोठ्या प्रमाणात अवरोधन प्लेनटेक्स्ट वैयक्तिक डेटा देणार नाही.
• व्यावहारिक संभाव्यता: कमी. आमच्या सेवांद्वारे प्रक्रिया केलेला डेटा सिग्नल गुप्तचर माहितीद्वारे सामान्यतः लक्ष्य केलेल्या स्वरूपाचा नाही.

4.1.3 कार्यकारी आदेश 14086 आणि EU-US डेटा गोपनीयता फ्रेमवर्क

कार्यकारी आदेश 14086 (ऑक्टोबर 2022) ने सिग्नल गुप्तचर क्रियाकलापांसाठी अतिरिक्त सुरक्षा उपाय सादर केले, यासह:

• गुप्तचर संकलनासाठी आवश्यकता आणि प्रमाणबद्धता आवश्यकता
• EU/UK/स्विस व्यक्तींसाठी उपलब्ध दोन-स्तरीय निवारण यंत्रणा (नागरी स्वातंत्र्य संरक्षण अधिकारी + डेटा संरक्षण पुनरावलोकन न्यायालय)
• मोठ्या प्रमाणात संकलन मर्यादा

युरोपियन आयोगाने 10 जुलै 2023 रोजी EU-US डेटा गोपनीयता फ्रेमवर्क (DPF) साठी पर्याप्ततेचा निर्णय स्वीकारला. Acira AI सध्या DPF अंतर्गत स्व-प्रमाणित नसली तरी EO 14086 अंतर्गत संरक्षण अमेरिकेतील सर्व डेटा हस्तांतरणांवर व्यापकपणे लागू होते.

4.1.4 CLOUD कायदा

CLOUD कायदा (डेटाचा परदेशात कायदेशीर वापर स्पष्ट करणे) US कायद्याच्या अंमलबजावणीला US-आधारित प्रदात्यांना डेटा कुठे संग्रहित केला आहे याची पर्वा न करता, वैध वॉरंट किंवा न्यायालयाच्या आदेशाच्या अधीन डेटा तयार करण्यास सक्ती करण्यास परवानगी देतो.

जोखीम मूल्यांकन:

• सुरक्षा उपाय: CLOUD कायद्यासाठी वैध कायदेशीर प्रक्रिया (वॉरंट, सबपोएना किंवा न्यायालयाचा आदेश) आवश्यक आहे. हे वॉरंटशिवाय मोठ्या प्रमाणात प्रवेश अधिकृत करत नाही.
• कॉमिटी तरतुदी: CLOUD कायद्यात एक कॉमिटी फ्रेमवर्क समाविष्ट आहे जे प्रदात्यांना परदेशी कायद्याशी विरोधाभास असणाऱ्या आदेशांना आव्हान देण्यास परवानगी देते.
• व्यावहारिक संभाव्यता: वेबसाइट अभ्यागत डेटासाठी कमी. कायद्याच्या अंमलबजावणीच्या विनंत्या अभ्यागत विश्लेषण किंवा फॉर्म सबमिशनऐवजी गुन्हेगारी क्रियाकलापाचा संशय असलेल्या विशिष्ट खात्यांना लक्ष्य करण्याची शक्यता जास्त आहे.

4.2 इस्रायल (BrightData)

BrightData इस्रायलमध्ये आधारित आहे. इस्रायलला युरोपियन आयोगाकडून पर्याप्ततेचा निर्णय (2011/61/EU) आहे, याचा अर्थ इस्रायलला केलेले हस्तांतरण इंट्रा-EEA हस्तांतरणासारखे मानले जाते. तथापि BrightData इतर जागतिक ठिकाणांवर देखील डेटा प्रक्रिया करते. आम्ही नमूद करतो की:

• BrightData प्रक्रिया केवळ वापरकर्ता-निर्देशित असताना (सामग्री आयातीसाठी वेबसाइट तयार करताना) किंवा नियोजित SERP ट्रॅकिंगदरम्यान होते.
• कोणताही वेबसाइट अभ्यागत वैयक्तिक डेटा BrightData ला पाठवला जात नाही.

4.3 कॅनडा (कॅनडातून अमेरिकेला हस्तांतरण)

कॅनडामध्ये असलेल्या वेबसाइट अभ्यागतांचा वैयक्तिक डेटा प्रक्रियेसाठी अमेरिकेला हस्तांतरित केला जाऊ शकतो. खालील कॅनेडियन कायदे या मूल्यांकनासाठी संबंधित आहेत:

4.3.1 वैयक्तिक माहिती संरक्षण आणि इलेक्ट्रॉनिक दस्तऐवज कायदा (PIPEDA)

PIPEDA व्यावसायिक क्रियाकलापांच्या दरम्यान खाजगी क्षेत्र संस्थांद्वारे वैयक्तिक माहितीचे संकलन, वापर आणि प्रकटीकरण नियंत्रित करतो. PIPEDA तत्त्व 4.1.3 संस्थांना कॅनडाबाहेर हस्तांतरणासह प्रक्रियेसाठी वैयक्तिक माहिती तृतीय पक्षांना हस्तांतरित केल्यावर कराराच्या किंवा इतर माध्यमांद्वारे तुलनात्मक स्तरावरील संरक्षण सुनिश्चित करण्यासाठी आवश्यक करते.

जोखीम मूल्यांकन:

• तुलनात्मक संरक्षण: विभाग 6 मध्ये वर्णित पूरक उपाय (एन्क्रिप्शन, स्यूडोनिमायझेशन, प्रवेश नियंत्रण, डेटा कमी करणे) PIPEDA अंतर्गत आवश्यक तुलनात्मक संरक्षण स्तर प्रदान करतात.
• पर्याप्तता आवश्यकता नाही: GDPR च्या विपरीत, PIPEDA "पर्याप्तता" शोध नसलेल्या देशांना हस्तांतरण प्रतिबंधित करत नाही. संस्थांनी कराराच्या आणि इतर माध्यमांद्वारे तुलनात्मक संरक्षण सुनिश्चित करणे आवश्यक आहे, जे आम्ही लागू केले आहे.

4.3.2 प्रांतीय गोपनीयता कायदे

अल्बर्टाचा वैयक्तिक माहिती संरक्षण कायदा (PIPA), ब्रिटिश कोलंबियाचा PIPA आणि क्यूबेकचा खाजगी क्षेत्रातील वैयक्तिक माहिती संरक्षणाबाबतचा कायदा काही प्रांतांसाठी अतिरिक्त आवश्यकता लादतात:

जोखीम मूल्यांकन:

• क्यूबेक कायदा 25: क्यूबेकचा आधुनिकीकृत गोपनीयता कायदा (सप्टेंबर 2023 पासून लागू) क्यूबेकबाहेर वैयक्तिक माहिती हस्तांतरित करण्यापूर्वी गोपनीयता प्रभाव मूल्यांकन आवश्यक करतो, आणि हस्तांतरण करणाऱ्या संस्थेला ती माहिती पुरेसे संरक्षण प्राप्त करेल याची खात्री असणे आवश्यक आहे. आमची करारात्मक संरक्षणे, पूरक तांत्रिक उपाय आणि डेटाचे स्वरूप (मुख्यतः स्यूडोनिमाइज्ड विश्लेषण आणि लहान व्यवसाय वेबसाइट परस्परसंवाद) पुरेसे संरक्षण असल्याच्या निष्कर्षाला समर्थन देतात.
• अल्बर्टा आणि BC: अल्बर्टा आणि BC च्या PIPA संस्थांना हस्तांतरित डेटासाठी तुलनात्मक संरक्षण सुनिश्चित करण्यास आवश्यक करतात. आमची करारात्मक आणि तांत्रिक सुरक्षा उपाय ही आवश्यकता पूर्ण करतात.

4.3.3 कॅनेडियन दृष्टीकोनातून US सरकारी प्रवेश

विभाग 4.1 मध्ये मूल्यांकन केलेले तेच US सरकारी प्रवेश जोखीम कॅनेडियन डेटा हस्तांतरणांना लागू होतात. डेटाचे स्वरूप आणि आमच्या कंपनीच्या प्रोफाइलचा विचार करता सरकारी प्रवेशाची व्यावहारिक शक्यता कमी आहे, आणि विभाग 6 मध्ये वर्णन केलेले पूरक उपाय एकत्रितपणे कॅनडातून अमेरिकेला हस्तांतरित केलेल्या वैयक्तिक डेटाला कॅनेडियन गोपनीयता कायद्याने आवश्यक असलेला तुलनात्मक संरक्षण स्तर मिळेल याची खात्री करतात.

4.4 जागतिक एज लोकेशन (Cloudflare)

Cloudflare एज लोकेशनचे जागतिक नेटवर्क चालवते. EU अभ्यागत विनंत्या सामान्यतः जवळच्या Cloudflare उपस्थिती बिंदूवर प्रक्रिया केल्या जातात, जे EU अभ्यागतांसाठी सहसा EU स्थान असेल.

• विनंती रूटिंग, TLS समाप्ती आणि बॉट संरक्षण जवळच्या एज लोकेशनवर होते.
• EU रहिवासी म्हणून ओळखलेल्या वेबसाइट ऑपरेटरसाठी, Cloudflare च्या jurisdiction API वापरून कायमस्वरूपी स्टोरेज (फॉर्म सबमिशन, चॅटबॉट संवाद आणि सत्र डेटा समाविष्ट करणारे) युरोपियन युनियनपर्यंत अधिकारक्षेत्रीयदृष्ट्या मर्यादित आहे. EU नसलेल्या वेबसाइट ऑपरेटरसाठी, कायमस्वरूपी स्टोरेज ऑपरेटरच्या भौगोलिक प्रदेशाजवळ असते परंतु EU बाहेर असू शकते.
• विश्लेषण डेटा Cloudflare-व्यवस्थापित इन्फ्रास्ट्रक्चरवर प्रक्रिया केला जातो.

5. सेवा प्रदात्यानुसार डेटा प्रवाह मूल्यांकन

5.1 Amazon Web Services (US)

AWS सुरक्षा उपाय:

• ISO 27001, 27017, 27018 प्रमाणित
• SOC 1/2/3 अहवाल उपलब्ध
• उद्योग-मानक एन्क्रिप्शन वापरून विश्रांतीमध्ये डेटा एन्क्रिप्ट केला
• संचारात डेटा एन्क्रिप्ट केला (TLS)
• प्रत्येक सिस्टम घटकानुसार किमान-विशेषाधिकार प्रवेश नियंत्रणे
• प्राथमिक सेवा युनायटेड स्टेट्समध्ये होस्ट केल्या जातात; EU निवासी वेबसाइट ऑपरेटर्ससाठी स्वयंचलित अभ्यागत-अभिमुख कार्ये (सामग्री सबमिशन सूचना आणि व्यवहारात्मक ईमेल वितरण) युरोपियन युनियनमध्ये (स्टॉकहोम) प्रक्रिया केली जातात

5.2 Cloudflare (जागतिक)

Cloudflare सुरक्षा उपाय:

• ISO 27001 प्रमाणित, SOC 2 प्रकार II
• सर्व कनेक्शनसाठी TLS 1.2+
• SCC सह Cloudflare DPA उपलब्ध
• एज प्रोसेसिंगमुळे EU अभ्यागत डेटा विनंती हाताळणीसाठी सामान्यतः EU एज लोकेशनवर प्रक्रिया केला जातो
• EU निवासी म्हणून ओळखल्या गेलेल्या वेबसाइट ऑपरेटर्ससाठी, स्थायी स्टोरेज (ज्यामध्ये फॉर्म सबमिशन, चॅटबॉट संवाद, सत्र डेटा आणि वापरकर्ता टेबल डेटा आहे) Cloudflare च्या अधिकार क्षेत्र API वापरून युरोपियन युनियनमध्ये अधिकार क्षेत्रानुसार प्रतिबंधित आहे, हा डेटा केवळ EU डेटा केंद्रांमध्ये संग्रहित आणि प्रक्रिया केला जातो याची खात्री करते. किनारीवरून बॅकएंड API कॉल्स (सामग्री सबमिशन सूचना आणि व्यवहारात्मक ईमेल वितरणासाठी) EU-आधारित AWS पायाभूत सुविधांकडे मार्गस्थ केल्या जातात.
• AI इनफरन्स प्रशिक्षणासाठी इनपुट डेटा टिकवत नाही

5.3 पेमेंट प्रदाता (Merchant of Record)

सशुल्क सेवांसाठीची देयके तृतीय-पक्ष पेमेंट प्रदात्याद्वारे हाताळली जातात जो व्यवहारासाठी Merchant of Record म्हणून कार्य करतो — सध्या Stripe (त्याची संलग्न कंपनी Sold through Link, LLC, युनायटेड स्टेट्स मार्फत). Merchant of Record म्हणून, हा प्रदाता चेकआउटवर सबमिट केलेल्या पेमेंट डेटाचा स्वतंत्र नियंत्रक म्हणून कार्य करतो, आमचा उप-प्रोसेसर म्हणून नाही; त्यामुळे खालील हस्तांतरणे नियंत्रक-ते-प्रोसेसर ऐवजी नियंत्रक-ते-नियंत्रक आहेत.

टीप: हा प्रदाता वेबसाइट अभ्यागतांचा वैयक्तिक डेटा प्राप्त करत नाही. केवळ वेबसाइट ऑपरेटर (आमच्या ग्राहकाची) बिलिंग माहिती प्रक्रिया केली जाते.

हस्तांतरण आधार आणि सुरक्षा उपाय: Stripe / Sold through Link, LLC (US) — Standard Contractual Clauses (Module One) अंतर्गत नियंत्रक-ते-नियंत्रक हस्तांतरणे; PCI DSS Level 1 आणि ISO 27001 प्रमाणित.

5.4 AI इनफरन्स प्रदाते (US)

Fireworks AI आणि xAI AI मॉडेल इनफरन्स सेवा प्रदान करतात.

नोंद: हे AI प्रदाते वेबसाइट अभ्यागत वैयक्तिक डेटा प्राप्त करत नाहीत. वेबसाइट अभ्यागतांना सेवा देणारे चॅटबॉट वैशिष्ट्य या प्रदात्यांऐवजी Cloudflare Workers AI (विभाग 5.2 मध्ये मूल्यांकन केलेले) वापरते. तथापि, वेबसाइट ऑपरेटरना त्यांची वेबसाइट व्यवस्थापित करण्यासाठी वापरले जाणारे प्लॅटफॉर्म संभाषणात्मक AI सहाय्यक प्रतिसाद तयार करताना प्लॅटफॉर्म वापरकर्ता वैयक्तिक डेटा (नाव, ईमेल पत्ता आणि संभाषण इतिहास) या प्रदात्यांना पाठवतो. या प्रक्रियेसाठी, Acira AI नियंत्रक (प्रोसेसर नव्हे) म्हणून कार्य करते, आणि डेटा विषय आमचे प्लॅटफॉर्म वापरकर्ते (वेबसाइट ऑपरेटर) आहेत, त्यांचे वेबसाइट अभ्यागत नाहीत. हा डेटा प्रवाह अभ्यागत डेटासाठी DPA च्या नियंत्रक-प्रोसेसर फ्रेमवर्कऐवजी आमच्या गोपनीयता धोरणाने आणि या प्रदात्यांसोबतच्या आमच्या करारांनी नियंत्रित केला जातो.

मॉडेल कुटुंबे: हे इन्फ्रास्ट्रक्चर प्रदाते विविध तृतीय पक्षांनी विकसित केलेली AI मॉडेल होस्ट आणि कार्यान्वित करतात. वापरल्या जाणाऱ्या विशिष्ट मॉडेल आणि मॉडेल कुटुंबे कालांतराने बदलू शकतात. मॉडेल विकसक कोणताही वापरकर्ता डेटा प्राप्त करत नाहीत किंवा त्यात प्रवेश करत नाहीत — सर्व डेटा प्रक्रिया मॉडेल मूळतः कुठे विकसित झाले याची पर्वा न करता सूचीबद्ध उप-प्रोसेसरांच्या इन्फ्रास्ट्रक्चरमध्येच होते. सर्व AI इनफरन्स प्रक्रिया आमच्या सूचीबद्ध उप-प्रोसेसरांच्या इन्फ्रास्ट्रक्चरवरच राहते. या मूल्यांकनात सूचीबद्ध उप-प्रोसेसरांच्या बाहेरील इन्फ्रास्ट्रक्चरला किंवा मॉडेल विकसकांना कोणताही वापरकर्ता डेटा पाठवला जात नाही. सध्या वापरात असलेल्या मॉडेल कुटुंबांची वर्तमान यादी legal@acira.ai वर संपर्क करून विनंती केल्यावर उपलब्ध आहे.

5.5 BrightData (इस्रायल / जागतिक)

नोंद: BrightData वेबसाइट अभ्यागत वैयक्तिक डेटाची प्रक्रिया करत नाही. ते वापरकर्त्याच्या निर्देशानुसार सार्वजनिकरित्या उपलब्ध वेब सामग्री प्रक्रिया करते आणि वापरकर्त्याने परिभाषित केलेल्या कीवर्डसाठी शोध इंजिन क्रमवारी ट्रॅक करते.

5.6 EU-आधारित प्रदाते (हस्तांतरण नाही)

हे प्रदाते EU मध्ये डेटा प्रक्रिया करतात आणि आंतरराष्ट्रीय हस्तांतरण घटित करत नाहीत. Black Forest Labs ला प्रतिमा निर्मितीसाठी केवळ मजकूर प्रॉम्प्ट मिळतात; कोणताही वैयक्तिक डेटा त्यात सहभागी नाही.

5.7 प्रोग्रामेटिक प्रवेश आणि स्थानिक निर्यात (CLI / API)

वेबसाइट ऑपरेटर — त्यांच्या क्लायंटच्या वतीने वेबसाइट्स व्यवस्थापित करणाऱ्या एजन्सींसह — Acira कमांड-लाइन इंटरफेस (CLI) आणि इतर प्रोग्रामेटिक API द्वारे वेबसाइट सामग्री आणि अभ्यागत डेटा पुनर्प्राप्त करू शकतात, ज्यात सामग्री पंक्ती स्थानिक वातावरणात निर्यात करणे समाविष्ट आहे.

• हा प्रवेश प्रमाणित आहे आणि ऑपरेटर व्यवस्थापित करण्यास अधिकृत असलेल्या वेबसाइट्सपुरता मर्यादित आहे.
• जेथे ऑपरेटर EEA/UK/Switzerland/Canada बाहेर स्थित आहे, तेथे अशी पुनर्प्राप्ती ही मागणीनुसार, ऑपरेटर-सुरू केलेली हस्तांतरण आहे जी प्लॅटफॉर्म डॅशबोर्ड प्रवेशाशी समान आहे (DPA कलम 7.1 पहा).
• डेटा आमच्या पायाभूत सुविधेत राहतो तोपर्यंत आमचे अधिकारक्षेत्रीय-निवास आणि तांत्रिक उपाय लागू होतात. एकदा डेटा ऑपरेटरच्या स्वतःच्या वातावरणात (जसे की स्थानिक मशीन किंवा तृतीय-पक्ष विकास साधन) निर्यात केला की, त्याच्या संरक्षणासाठी ऑपरेटर जबाबदार आहे, आणि आमचे उपाय त्याला लागू होत नाहीत. हे ऑपरेटरना DPA आणि एजन्सी अटींमध्ये उघड केले जाते.

6. पूरक उपाय

SCC व्यतिरिक्त, आम्ही हस्तांतरित वैयक्तिक डेटासाठी मूलतः समतुल्य संरक्षण स्तर सुनिश्चित करण्यासाठी खालील पूरक उपाय लागू करतो:

6.1 तांत्रिक उपाय

6.2 संघटनात्मक उपाय

6.3 करारात्मक उपाय

7. जोखीम मूल्यांकन

7.1 सरकारी प्रवेशाची शक्यता

एकूण शक्यता: कमी

7.2 प्रवेश झाल्यास परिणाम

एकूण परिणाम: कमी ते मध्यम (वैयक्तिक वेबसाइट ऑपरेटरने संकलित केलेल्या डेटाच्या संवेदनशीलतेवर अवलंबून)

7.3 अवशिष्ट जोखीम मूल्यांकन

सरकारी प्रवेशाची कमी शक्यता, पूरक तांत्रिक उपाय (एन्क्रिप्शन, स्यूडोनिमायझेशन, डेटा कमी करणे) आणि EO 14086 द्वारे सादर केलेल्या अतिरिक्त सुरक्षा उपायांचा विचार करता, आम्ही मूल्यांकन करतो की डेटा विषयांसाठी अवशिष्ट जोखीम कमी आहे आणि SCC (EEA/UK/स्वित्झर्लंड हस्तांतरणासाठी) आणि कराराच्या संरक्षणासह (कॅनडा हस्तांतरणासाठी) पूरक उपाय EEA मध्ये हमी दिलेल्या मूलतः समतुल्य आणि कॅनेडियन गोपनीयता कायद्याने आवश्यक असलेल्या तुलनात्मक संरक्षण स्तर प्रदान करतात.

8. निष्कर्ष

या मूल्यांकनावर आधारित, आम्ही निष्कर्ष काढतो की:

1. आमच्या सेवा प्रदान करण्याच्या संदर्भात EEA/UK/स्वित्झर्लंड/कॅनडा मधून अमेरिकेला हस्तांतरित केलेला वैयक्तिक डेटा EU डेटा संरक्षण कायद्याने हमी दिलेल्या मूलतः समतुल्य संरक्षण स्तर आणि कॅनेडियन गोपनीयता कायद्याने आवश्यक तुलनात्मक संरक्षण स्तरचा लाभ घेतो.

2. विभाग 6 मध्ये वर्णित पूरक तांत्रिक, संघटनात्मक आणि करारात्मक उपायसह मानक करार कलम या मूल्यांकनात ओळखलेल्या जोखमींना पुरेसे संबोधित करतात.

3. डेटाचे स्वरूप (प्रामुख्याने स्यूडोनिमाइज्ड विश्लेषण आणि लहान-व्यवसाय वेबसाइट अभ्यागत परस्परसंवाद) आणि डेटा आयातदाराचा प्रोफाइल (लहान SaaS कंपनी, दूरसंचार प्रदाता नव्हे) सरकारी पाळत ठेवण्याची व्यावहारिक जोखीम लक्षणीयरीत्या कमी करतात.

4. कार्यकारी आदेश 14086 आणि संबंधित निवारण यंत्रणेने सादर केलेले संरक्षण वापरलेल्या विशिष्ट हस्तांतरण यंत्रणेची पर्वा न करता सर्व डेटा विषयांना लाभ देणारे अतिरिक्त सुरक्षा उपाय प्रदान करतात.

5. कॅनडा हस्तांतरणासाठी, येथे वर्णित कराराचे संरक्षण आणि पूरक उपाय PIPEDA आणि क्यूबेकच्या आधुनिकीकृत गोपनीयता कायद्यासह लागू प्रांतीय गोपनीयता कायद्याने आवश्यक तुलनात्मक संरक्षण स्तर सुनिश्चित करतात.

6. आम्ही US पाळत ठेवणे कायदा आणि सरावातील घडामोडी तसेच कॅनेडियन गोपनीयता कायद्यातील घडामोडी (प्रस्तावित ग्राहक गोपनीयता संरक्षण कायद्यासह) यांचे निरीक्षण करणे सुरू ठेवू आणि परिस्थिती भौतिकरित्या बदलल्यास या TIA चे पुनर्मूल्यांकन करू.

येथे वर्णित SCC आणि पूरक उपायांच्या सतत अनुप्रयोगाच्या अधीन हस्तांतरण पुढे जाऊ शकतात.

9. पुनरावलोकन वेळापत्रक

हे TIA पुनरावलोकन केले जाईल आणि अपडेट केले जाईल:

• वार्षिक, किमान, किंवा
• लागू कायदे किंवा नियमांमध्ये महत्त्वाचे बदल झाल्यावर (FISA, CLOUD कायदा, EO 14086, PIPEDA किंवा कॅनेडियन प्रांतीय गोपनीयता कायद्यातील बदलांसह),
• आमच्या उप-प्रोसेसरमध्ये बदल किंवा हस्तांतरित डेटाच्या स्वरूपावर,
• कोणत्याही न्यायालयाच्या निर्णयावर जो SCC च्या वैधतेवर किंवा US डेटा संरक्षणाच्या पर्याप्ततेवर भौतिकरित्या परिणाम करतो.

10. आमच्याशी संपर्क करा

या डेटा ट्रान्सफर इम्पॅक्ट असेसमेंटबद्दल प्रश्न असल्यास, कृपया आमच्याशी संपर्क करा:

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
अमेरिका

फोन: 888-389-1189
ईमेल: legal@acira.ai