TRANSFER IMPACT ASSESSMENT

Laatste update: 19 maart 2026

Deze Transfer Impact Assessment ("TIA") is opgesteld door Acira AI LLC ("Acira AI," "wij," "ons") in overeenstemming met de vereisten van de uitspraak van het Hof van Justitie van de Europese Unie in Data Protection Commissioner v. Facebook Ireland Limited and Maximillian Schrems (Zaak C-311/18, "Schrems II") en de aanbevelingen van de Europese Gegevensbeschermingsraad (EDPB Aanbevelingen 01/2020 inzake aanvullende maatregelen).

Deze TIA evalueert de toereikendheid van de bescherming van persoonsgegevens die worden doorgegeven vanuit de Europese Economische Ruimte ("EER"), het Verenigd Koninkrijk ("VK"), Zwitserland en Canada naar de Verenigde Staten en andere derde landen in verband met de levering van onze Diensten.

Deze TIA kan voor uw gemak in andere talen worden vertaald. In geval van conflict of inconsistentie tussen de Engelse versie en een vertaalde versie prevaleert de Engelse versie.

INHOUDSOPGAVE

1. OVERZICHT VAN DOORGIFTEN
2. AARD VAN DE DOORGEGEVEN GEGEVENS
3. DOORGIFTEMECHANISMEN
4. BEOORDELING VAN DE WETGEVING VAN HET BESTEMMINGSLAND
5. BEOORDELING VAN GEGEVENSSTROMEN PER DIENSTVERLENER
6. AANVULLENDE MAATREGELEN
7. RISICOBEOORDELING
8. CONCLUSIE
9. BEOORDELINGSSCHEMA
10. NEEM CONTACT MET ONS OP

1. OVERZICHT VAN DOORGIFTEN

1.1 Context

Acira AI is een software-as-a-service platform waarmee bedrijven en particulieren door AI aangedreven websites kunnen aanmaken, beheren en hosten. Wanneer gebruikers websites aanmaken die worden bezocht door bezoekers uit de EER, het VK, Zwitserland of Canada, kunnen persoonsgegevens van die bezoekers worden doorgegeven aan en verwerkt in de Verenigde Staten en andere locaties waar onze infrastructuurproviders actief zijn.

1.2 Partijen

• Gegevensexporteur: De websitebeheerder (onze klant, handelend als Verwerkingsverantwoordelijke) en, voor analysegegevens, Acira AI als Gezamenlijke Verwerkingsverantwoordelijke.
• Gegevensimporteur: Acira AI LLC, opgericht in Nevada, Verenigde Staten, handelend als Verwerker (en Gezamenlijke Verwerkingsverantwoordelijke voor analyses).
• Subverwerkers: Door Acira AI ingeschakelde externe dienstverleners (vermeld in Sectie 5).

1.3 Bestemmingen van Doorgiften

2. AARD VAN DE DOORGEGEVEN GEGEVENS

2.1 Categorieën van Persoonsgegevens

De doorgegeven persoonsgegevens zijn afhankelijk van de door de websitebeheerder ingeschakelde functies en de interacties van websitebezoekers. De volgende categorieën kunnen worden doorgegeven:

2.2 Categorieën van Betrokkenen

• Bezoekers van websites gehost op het Acira AI-platform
• Gebruikers die accounts aanmaken op websites gehost op het platform
• Gebruikers die formulieren indienen, interacteren met chatbots of bestanden uploaden op gehoste websites

2.3 Niet Doorgegeven Gegevens

• Geolocatiegegevens: IP-naar-locatie-zoekopdrachten worden uitgevoerd aan de netwerkedge door onze infrastructuurprovider. Er worden geen IP-adressen van bezoekers doorgezonden aan een externe geolocatiedienst.
• Ruwe analyse-IP-adressen: Alleen een dagelijks roterende cryptografische hash wordt opgeslagen; ruwe IP-adressen worden niet bewaard in analysesystemen.
• Wachtwoorden in platte tekst: Alleen cryptografische hashes worden opgeslagen en doorgegeven.

3. DOORGIFTEMECHANISMEN

3.1 Primair Mechanisme: Standaardcontractbepalingen

Wij vertrouwen op de Standaardcontractbepalingen (SCCs) van de Europese Commissie, vastgesteld bij Uitvoerend Besluit (EU) 2021/914, met name:

• Module Één (Verwerkingsverantwoordelijke naar Verwerkingsverantwoordelijke): Voor doorgiften van analysegegevens waarbij Acira AI optreedt als gezamenlijke verwerkingsverantwoordelijke met de websitebeheerder (zie DPA Sectie 2.3).
• Module Twee (Verwerkingsverantwoordelijke naar Verwerker): Voor doorgiften van persoonsgegevens van bezoekers van de websitebeheerder (Verwerkingsverantwoordelijke) naar Acira AI (Verwerker).
• Module Drie (Verwerker naar Subverwerker): Voor verdere doorgiften van Acira AI naar onze subverwerkers.

3.2 VK-, Zwitserse en Canadese Doorgiften

• VK: Het VK International Data Transfer Addendum bij de EU-SCCs is van toepassing.
• Zwitserland: De SCCs zijn van toepassing met de wijzigingen die vereist zijn door de Zwitserse Federale Wet op de Gegevensbescherming (FADP).
• Canada: Doorgiften zijn gebaseerd op contractuele beschermingen met elke subverwerker die verplichtingen oplegt die consistent zijn met de Personal Information Protection and Electronic Documents Act (PIPEDA) en toepasselijke provinciale privacywetgeving, gecombineerd met de aanvullende technische en organisatorische maatregelen beschreven in Sectie 6. Zie DPA Sectie 7.4 voor details.

3.3 Doorgiftemechanismen van Subverwerkers

4. BEOORDELING VAN DE WETGEVING VAN HET BESTEMMINGSLAND

4.1 Verenigde Staten

De Verenigde Staten zijn de primaire bestemming voor doorgegeven gegevens. De volgende Amerikaanse wetten zijn relevant voor deze beoordeling:

4.1.1 Foreign Intelligence Surveillance Act (FISA), Sectie 702

FISA Sectie 702 machtigt de Amerikaanse overheid om aanbieders van elektronische communicatiediensten te dwingen toegang te verlenen tot communicatie van niet-Amerikaanse personen buiten de Verenigde Staten voor buitenlandse inlichtingendoeleinden.

Risicobeoordeling:

• Toepasselijkheid: FISA Sectie 702 is van toepassing op "aanbieders van elektronische communicatiediensten" zoals gedefinieerd in 50 U.S.C. § 1881(b)(4). Acira AI is een SaaS-websitehostingplatform, geen traditionele telecommunicatieaanbieder. Onze subverwerkers (AWS, Cloudflare) zijn waarschijnlijker onderworpen aan Sectie 702-aanwijzingen.
• Omvang van gegevens die risico lopen: De persoonsgegevens die wij verwerken bestaan voornamelijk uit websitebezoekeranalyses (gepseudonimiseerd), formulierinzendingen en chatbotberichten. Deze gegevens zullen waarschijnlijk geen buitenlands inlichtingenbelang hebben.
• Praktische waarschijnlijkheid: Wij hebben nooit een FISA Sectie 702-aanwijzing ontvangen en schatten de praktische waarschijnlijkheid van het ontvangen daarvan als zeer laag in, gezien de aard van onze Diensten en de gegevens die wij verwerken.

4.1.2 Executive Order 12333

EO 12333 machtigt Amerikaanse inlichtingendiensten om surveillanceactiviteiten uit te voeren, inclusief massaverzameling van signalenverkenning. Het is van toepassing op gegevens in transit en verplicht particuliere bedrijven niet tot medewerking.

Risicobeoordeling:

• Mitigatie: Alle gegevens in transit zijn versleuteld met TLS. Massaonderschepping van versleutelde gegevens in transit zou geen platte tekst persoonsgegevens opleveren.
• Praktische waarschijnlijkheid: Laag. De gegevens die via onze Diensten worden verwerkt zijn niet van het type dat doorgaans wordt getarget door signalenverkenning.

4.1.3 Executive Order 14086 en het EU-VS Data Privacy Framework

Executive Order 14086 (oktober 2022) heeft aanvullende waarborgen geïntroduceerd voor signalenverkenningsactiviteiten, waaronder:

• Vereisten voor noodzakelijkheid en evenredigheid bij inlichtingenverzameling
• Een tweeledig herstelmechanisme (Civil Liberties Protection Officer + Data Protection Review Court) beschikbaar voor EU/VK/Zwitserse personen
• Beperkingen op massaverzameling

De Europese Commissie heeft op 10 juli 2023 een adequaatheidsbesluit vastgesteld voor het EU-VS Data Privacy Framework (DPF). Hoewel Acira AI momenteel niet zelf-gecertificeerd is onder het DPF, zijn de beschermingen onder EO 14086 breed van toepassing op alle gegevensdoorgiften naar de Verenigde Staten en komen alle betrokkenen ten goede ongeacht het gebruikte doorgiftemechanisme.

4.1.4 CLOUD Act

De Clarifying Lawful Overseas Use of Data (CLOUD) Act staat Amerikaanse wetshandhaving toe Amerikaanse aanbieders te dwingen gegevens te produceren ongeacht waar deze zijn opgeslagen, onderworpen aan een geldig bevel of rechterlijk bevel.

Risicobeoordeling:

• Waarborgen: De CLOUD Act vereist een geldig juridisch proces (bevel, dagvaarding of rechterlijk bevel). Het machtigt geen toegang zonder bevel op grote schaal.
• Comity-bepalingen: De CLOUD Act bevat een comity-kader dat aanbieders in staat stelt bevelen aan te vechten die in strijd zijn met buitenlands recht.
• Praktische waarschijnlijkheid: Laag voor websitebezoekergegevens. Verzoeken van wetshandhaving zijn waarschijnlijker gericht op specifieke accounts die worden verdacht van criminele activiteiten, niet op bezoekeranalyses of formulierinzendingen.

4.2 Israël (BrightData)

BrightData is gevestigd in Israël. Israël beschikt over een adequaatheidsbesluit van de Europese Commissie (2011/61/EU), wat betekent dat doorgiften naar Israël op vergelijkbare wijze worden behandeld als intra-EER-doorgiften. BrightData verwerkt echter ook gegevens op andere wereldwijde locaties. Wij merken op dat:

• BrightData-verwerking alleen plaatsvindt op gebruikersinstructie (tijdens het aanmaken van websites voor het importeren van inhoud) of tijdens geplande SERP-tracking.
• Er worden geen persoonsgegevens van websitebezoekers doorgezonden aan BrightData.

4.3 Canada (Doorgiften van Canada naar de Verenigde Staten)

Persoonsgegevens van websitebezoekers in Canada kunnen worden doorgegeven aan de Verenigde Staten voor verwerking. De volgende Canadese wetten zijn relevant voor deze beoordeling:

4.3.1 Personal Information Protection and Electronic Documents Act (PIPEDA)

PIPEDA regelt de verzameling, het gebruik en de openbaarmaking van persoonlijke informatie door organisaties uit de private sector in het kader van commerciële activiteiten. PIPEDA Beginsel 4.1.3 vereist dat organisaties contractuele of andere middelen gebruiken om een vergelijkbaar beschermingsniveau te waarborgen wanneer persoonlijke informatie wordt doorgegeven aan derde partijen voor verwerking, inclusief doorgiften buiten Canada.

Risicobeoordeling:

• Vergelijkbare bescherming: De aanvullende maatregelen beschreven in Sectie 6 (versleuteling, pseudonimisering, toegangscontroles, gegevensminimalisatie) bieden een beschermingsniveau vergelijkbaar met dat vereist onder PIPEDA. Schriftelijke gegevensverwerkingsovereenkomsten zijn aanwezig met alle subverwerkers.
• Geen adequaatsheidsvereiste: In tegenstelling tot de AVG verbiedt PIPEDA geen doorgiften naar landen zonder "adequaatheid"-bevinding. Organisaties moeten vergelijkbare bescherming waarborgen via contractuele en andere middelen, hetgeen wij hebben geïmplementeerd.

4.3.2 Provinciale Privacywetgeving

Alberta's Personal Information Protection Act (PIPA), British Columbia's Personal Information Protection Act (PIPA) en Quebec's Wet betreffende de bescherming van persoonlijke informatie in de private sector leggen aanvullende vereisten op voor bepaalde provincies:

Risicobeoordeling:

• Quebec Wet 25: Quebec's gemoderniseerde privacywet (van kracht sinds september 2023) vereist een privacy-impactbeoordeling voordat persoonlijke informatie buiten Quebec wordt doorgegeven, en de overdragende organisatie moet ervan overtuigd zijn dat de informatie adequate bescherming zal ontvangen. Onze contractuele beschermingen, aanvullende technische maatregelen en de aard van de gegevens (voornamelijk gepseudonimiseerde analyses en interacties op websites van kleine bedrijven) ondersteunen een bevinding van adequate bescherming.
• Alberta en BC: Alberta's en BC's PIPAs vereisen dat organisaties vergelijkbare bescherming waarborgen voor doorgegeven gegevens. Onze contractuele en technische waarborgen voldoen aan deze vereiste.

4.3.3 Amerikaanse Overheidstoegang vanuit Canadees Perspectief

Dezelfde risico's van Amerikaanse overheidstoegang beoordeeld in Sectie 4.1 zijn van toepassing op Canadese gegevensdoorgiften. De lage waarschijnlijkheid van overheidstoegang (gezien de aard van de gegevens en ons bedrijfsprofiel), gecombineerd met de aanvullende maatregelen in Sectie 6, zorgt ervoor dat persoonsgegevens die van Canada naar de Verenigde Staten worden doorgegeven een vergelijkbaar beschermingsniveau ontvangen als vereist onder Canadees privacyrecht.

4.4 Wereldwijde Edge-locaties (Cloudflare)

Cloudflare beheert een wereldwijd netwerk van edge-locaties. EU-bezoekerverzoeken worden doorgaans verwerkt bij het dichtstbijzijnde Cloudflare-aanwezigheidspunt, wat voor EU-bezoekers gewoonlijk een EU-locatie is.

• Verzoekroutering, TLS-beëindiging en botbescherming vinden plaats bij de dichtstbijzijnde edge-locatie.
• Voor websitebeheerders die als EU-inwoner zijn geïdentificeerd, is permanente opslag (met formulierinzendingen, chatbotgesprekken en sessiegegevens) jurisdictioneel beperkt tot de Europese Unie met behulp van de Cloudflare jurisdictie-API. Voor niet-EU websitebeheerders bevindt de permanente opslag zich in de buurt van de geografische regio van de beheerder, maar kan zich buiten de EU bevinden.
• Analysegegevens worden verwerkt op door Cloudflare beheerde infrastructuur.

5. BEOORDELING VAN GEGEVENSSTROMEN PER DIENSTVERLENER

5.1 Amazon Web Services (VS)

AWS Waarborgen:

• ISO 27001, 27017, 27018 gecertificeerd
• SOC 1/2/3-rapporten beschikbaar
• Gegevens in rust versleuteld met behulp van industriestandaard versleuteling
• Gegevens in transit versleuteld (TLS)
• Minimale-privilege toegangscontroles per systeemcomponent
• Primaire diensten worden gehost in de Verenigde Staten; geautomatiseerde bezoekersgerichte operaties (meldingen van inhoudindiening en transactionele e-maillevering) voor websitebeheerders die in de EU wonen, worden verwerkt in de Europese Unie (Stockholm)

5.2 Cloudflare (Wereldwijd)

Cloudflare Waarborgen:

• ISO 27001 gecertificeerd, SOC 2 Type II
• TLS 1.2+ voor alle verbindingen
• Cloudflare DPA met SCCs beschikbaar
• Edge-verwerking betekent dat EU-bezoekergegevens doorgaans worden verwerkt op EU-edge-locaties voor verzoekverwerking
• Voor websitebeheerders die zijn geïdentificeerd als EU-inwoners, is de persistente opslag (met formulierinzendingen, chatbotgesprekken, sessiegegevens en gebruikerstabelgegevens) jurisdictioneel beperkt tot de Europese Unie met behulp van de jurisdictie-API van Cloudflare, waardoor wordt gegarandeerd dat deze gegevens uitsluitend worden opgeslagen en verwerkt in EU-datacentra. Backend-API-aanroepen vanaf de rand (voor meldingen van inhoudindiening en transactionele e-maillevering) worden doorgestuurd naar de in de EU gevestigde AWS-infrastructuur.
• AI-inferentie bewaart geen invoergegevens voor training

5.3 Stripe (VS)

Opmerking: Stripe ontvangt geen persoonsgegevens van websitebezoekers. Alleen de factureringsgegevens van de websitebeheerder (onze klant) worden verwerkt door Stripe.

Stripe Waarborgen:

• PCI DSS Level 1 gecertificeerd
• ISO 27001 gecertificeerd
• Stripe DPA met SCCs beschikbaar

5.4 AI-inferentieproviders (VS)

Fireworks AI en xAI bieden AI-modelinferentiediensten aan.

Opmerking: Deze AI-providers ontvangen geen persoonsgegevens van websitebezoekers. De chatbotfunctie (voor websitebezoekers) gebruikt Cloudflare Workers AI (beoordeeld in Sectie 5.2), niet deze providers. De conversationele AI-assistent van het platform — gebruikt door websitebeheerders om hun websites te beheren — stuurt echter persoonlijke gegevens van platformgebruikers (naam, e-mailadres en gespreksgeschiedenis) naar deze providers als onderdeel van het genereren van antwoorden. Voor deze verwerking treedt Acira AI op als verwerkingsverantwoordelijke (niet verwerker), en de betrokkenen zijn onze platformgebruikers (websitebeheerders), niet hun websitebezoekers. Deze gegevensstroom wordt geregeld door ons Privacybeleid en onze overeenkomsten met deze providers, in plaats van het DPA's verwerkingsverantwoordelijke-verwerker kader voor bezoekergegevens.

Modelfamilies: Deze infrastructuurproviders hosten en voeren AI-modellen uit die zijn ontwikkeld door verschillende derde partijen. De specifieke modellen en modelfamilies die worden gebruikt, kunnen in de loop van de tijd veranderen. Modelontwikkelaars ontvangen geen gebruikersgegevens en hebben er geen toegang toe — alle gegevensverwerking vindt uitsluitend plaats binnen de infrastructuur van de vermelde subverwerkers, ongeacht waar een model oorspronkelijk was ontwikkeld. Alle AI-inferentieverwerking blijft op de infrastructuur van onze vermelde subverwerkers. Er worden geen gebruikersgegevens doorgezonden aan modelontwikkelaars of naar infrastructuur buiten de subverwerkers vermeld in deze beoordeling. Een actuele lijst van gebruikte modelfamilies is op verzoek beschikbaar door contact op te nemen met legal@acira.ai.

5.5 BrightData (Israël / Wereldwijd)

Opmerking: BrightData verwerkt geen persoonsgegevens van websitebezoekers. Het verwerkt openbaar beschikbare webinhoud wanneer opdracht gegeven door de gebruiker, en volgt zoekmachinerangschikkingen voor door de gebruiker gedefinieerde zoekwoorden.

5.6 In de EU Gevestigde Providers (Geen Doorgifte)

Deze providers verwerken gegevens binnen de EU en vormen geen internationale doorgifte. Black Forest Labs ontvangt alleen tekstprompts voor afbeeldingsgeneratie; er zijn geen persoonsgegevens betrokken.

6. AANVULLENDE MAATREGELEN

Naast de SCCs implementeren wij de volgende aanvullende maatregelen om een in wezen gelijkwaardig beschermingsniveau voor doorgegeven persoonsgegevens te waarborgen:

6.1 Technische Maatregelen

6.2 Organisatorische Maatregelen

6.3 Contractuele Maatregelen

7. RISICOBEOORDELING

7.1 Waarschijnlijkheid van Overheidstoegang

Algemene waarschijnlijkheid: LAAG

7.2 Impact bij Toegang

Algemene impact: LAAG tot GEMIDDELD (afhankelijk van de gevoeligheid van gegevens verzameld door individuele websitebeheerders)

7.3 Restrisicobeoordeling

Gezien de lage waarschijnlijkheid van overheidstoegang, de aanvullende technische maatregelen (versleuteling, pseudonimisering, gegevensminimalisatie) en de aanvullende waarborgen geïntroduceerd door EO 14086, beoordelen wij dat het restrisico voor betrokkenen laag is en dat de aanvullende maatregelen, samen met de SCCs (voor EER/VK/Zwitserse doorgiften) en contractuele beschermingen (voor Canadese doorgiften), een beschermingsniveau bieden dat in wezen gelijkwaardig is aan dat gegarandeerd binnen de EER en vergelijkbaar met dat vereist onder Canadees privacyrecht.

8. CONCLUSIE

Op basis van deze beoordeling concluderen wij dat:

1. De persoonsgegevens die worden doorgegeven vanuit de EER/VK/Zwitserland/Canada naar de Verenigde Staten in verband met de levering van onze Diensten profiteren van een in wezen gelijkwaardig beschermingsniveau als gegarandeerd onder EU-gegevensbeschermingsrecht en een vergelijkbaar beschermingsniveau als vereist onder Canadees privacyrecht.

2. De Standaardcontractbepalingen, gecombineerd met de aanvullende technische, organisatorische en contractuele maatregelen beschreven in Sectie 6, pakken de in deze beoordeling geïdentificeerde risico's adequaat aan.

3. De aard van de gegevens (voornamelijk gepseudonimiseerde analyses en interacties van websitebezoekers van kleine bedrijven) en het profiel van de gegevensimporteur (een klein SaaS-bedrijf, geen telecommunicatieaanbieder) verminderen het praktische risico van overheidssurveillance aanzienlijk.

4. De beschermingen geïntroduceerd door Executive Order 14086 en het bijbehorende herstelmechanisme bieden aanvullende waarborgen die alle betrokkenen ten goede komen, ongeacht het gebruikte specifieke doorgiftemechanisme.

5. Voor Canadese doorgiften zorgen de contractuele beschermingen en aanvullende maatregelen hierin beschreven voor een vergelijkbaar beschermingsniveau als vereist onder PIPEDA en toepasselijke provinciale privacywetgeving, inclusief Quebec's gemoderniseerde privacywet.

6. Wij zullen ontwikkelingen in het Amerikaanse toezichtrecht en -praktijk blijven monitoren, evenals ontwikkelingen in het Canadese privacyrecht (inclusief de voorgestelde Consumer Privacy Protection Act), en zullen deze TIA opnieuw beoordelen als de omstandigheden wezenlijk veranderen.

De doorgiften mogen plaatsvinden onder de voortdurende toepassing van de SCCs en aanvullende maatregelen hierin beschreven.

9. BEOORDELINGSSCHEMA

Deze TIA zal worden beoordeeld en bijgewerkt:

• Jaarlijks, minimaal, of
• Bij materiële wijzigingen in toepasselijke wetten of regelgeving (inclusief wijzigingen in FISA, de CLOUD Act, EO 14086, PIPEDA of Canadese provinciale privacywetgeving),
• Bij wijzigingen in onze subverwerkers of de aard van doorgegeven gegevens,
• Bij een rechterlijke uitspraak die de geldigheid van de SCCs of de adequaatheid van de Amerikaanse gegevensbescherming wezenlijk beïnvloedt.

10. NEEM CONTACT MET ONS OP

Als u vragen heeft over deze Transfer Impact Assessment, neem dan contact met ons op via:

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
United States

Telefoon: 888-389-1189
E-mail: legal@acira.ai