KONSEKVENSUTREDNING FOR DATAOVERFØRING

Sist oppdatert: 19. mars 2026

Denne konsekvensutredningen for dataoverføring ("TIA") er utarbeidet av Acira AI LLC ("Acira AI," "vi," "oss") i samsvar med kravene i EU-domstolens avgjørelse i Data Protection Commissioner v. Facebook Ireland Limited and Maximillian Schrems (Sak C-311/18, "Schrems II") og anbefalingene fra Det europeiske personvernrådet (EDPB-anbefalinger 01/2020 om supplerende tiltak).

Denne TIA-en evaluerer tilstrekkeligheten av beskyttelsen for personopplysninger som overføres fra Det europeiske økonomiske samarbeidsområdet ("EØS"), Storbritannia ("UK"), Sveits og Canada til USA og andre tredjeland i forbindelse med levering av tjenestene våre.

Denne TIA-en kan oversettes til andre språk for din bekvemmelighet. I tilfelle konflikt eller inkonsekvens mellom den engelske versjonen og en oversatt versjon, vil den engelske versjonen gjelde.

INNHOLDSFORTEGNELSE

1. OVERSIKT OVER OVERFØRINGER
2. ARTEN AV OVERFØRTE DATA
3. OVERFØRINGSMEKANISMER
4. VURDERING AV DESTINASJONSLANDETS LOVER
5. VURDERING AV DATAFLYT PER TJENESTELEVERANDØR
6. SUPPLERENDE TILTAK
7. RISIKOVURDERING
8. KONKLUSJON
9. GJENNOMGANGSPLAN
10. KONTAKT OSS

1. OVERSIKT OVER OVERFØRINGER

1.1 Kontekst

Acira AI er en programvare-som-tjeneste-plattform som gjør det mulig for bedrifter og enkeltpersoner å opprette, administrere og hoste AI-drevne nettsteder. Når brukere oppretter nettsteder som besøkes av besøkende i EØS, UK, Sveits eller Canada, kan personopplysninger om disse besøkende overføres til og behandles i USA og andre steder der vår infrastrukturleverandører opererer.

1.2 Parter

• Dataeksportør: Nettstedsoperatøren (vår kunde, som opptrer som behandlingsansvarlig) og, for analysedata, Acira AI som felles behandlingsansvarlig.
• Dataimportør: Acira AI LLC, innlemmet i Nevada, USA, som opptrer som databehandler (og felles behandlingsansvarlig for analyser).
• Underdatabehandlere: Tredjepartstjenesteleverandører engasjert av Acira AI (oppført i Avsnitt 5).

1.3 Overføringsdestinasj​oner

2. ARTEN AV OVERFØRTE DATA

2.1 Kategorier av Personopplysninger

Personopplysningene som overføres avhenger av funksjonene som er aktivert av nettstedsoperatøren og interaksjonene til nettstedsbesøkende. Følgende kategorier kan overføres:

2.2 Kategorier av Registrerte

• Besøkende på nettsteder hostet på Acira AI-plattformen
• Brukere som oppretter kontoer på nettsteder hostet på plattformen
• Brukere som sender inn skjemaer, samhandler med chatboter eller laster opp filer på hostede nettsteder

2.3 Data som ikke Overføres

• Geolokaliseringsdata: IP-til-lokasjon-oppslag utføres ved nettverkskanten av vår infrastrukturleverandør. Ingen besøkende IP-adresser overføres til noen ekstern geolokaliserings-tjeneste.
• Rå analyse-IP-adresser: Kun en daglig roterende kryptografisk hash lagres; rå IP-er er ikke lagret i analysesystemer.
• Passord i klartekst: Kun kryptografiske hashes lagres og overføres.

3. OVERFØRINGSMEKANISMER

3.1 Primær Mekanisme: Standardkontraktsbestemmelser

Vi er avhengige av EU-kommisjonens standardkontraktsbestemmelser (SCCs) vedtatt ved kommisjonens gjennomføringsbeslutning (EU) 2021/914, spesifikt:

• Modul Én (Behandlingsansvarlig til Behandlingsansvarlig): For overføringer av analysedata der Acira AI opptrer som felles behandlingsansvarlig med nettstedsoperatøren (se DPA avsnitt 2.3).
• Modul To (Behandlingsansvarlig til Databehandler): For overføringer av personopplysninger om besøkende fra nettstedsoperatøren (behandlingsansvarlig) til Acira AI (databehandler).
• Modul Tre (Databehandler til Underdatabehandler): For videre overføringer fra Acira AI til våre underdatabehandlere.

3.2 UK-, Sveitsiske og Kanadiske Overføringer

• UK: UK International Data Transfer Addendum til EU SCCs gjelder.
• Sveits: SCCene gjelder med endringer som kreves av den sveitsiske føderale loven om databeskyttelse (FADP).
• Canada: Overføringer er basert på kontraktsmessige beskyttelser med hver underdatabehandler som pålegger forpliktelser i samsvar med Personal Information Protection and Electronic Documents Act (PIPEDA) og gjeldende provinsiell personvernlovgivning, kombinert med de supplerende tekniske og organisatoriske tiltakene beskrevet i Avsnitt 6. Se DPA avsnitt 7.4 for detaljer.

3.3 Overføringsmekanismer for Underdatabehandlere

4. VURDERING AV DESTINASJONSLANDETS LOVER

4.1 USA

USA er det primære destinasjonsstedet for overførte data. Følgende amerikanske lover er relevante for denne vurderingen:

4.1.1 Foreign Intelligence Surveillance Act (FISA), Seksjon 702

FISA seksjon 702 gir den amerikanske regjeringen myndighet til å pålegge leverandører av elektronisk kommunikasjonstjenester å gi tilgang til kommunikasjon til ikke-amerikanske personer utenfor USA for etterretningsformål.

Risikovurdering:

• Anvendelighet: FISA seksjon 702 gjelder for "leverandører av elektronisk kommunikasjonstjenester" som definert i 50 U.S.C. § 1881(b)(4). Acira AI er en SaaS-nettstedshostingplattform, ikke en tradisjonell telekomleverandør. Våre underdatabehandlere (AWS, Cloudflare) er mer sannsynlig underlagt seksjon 702-direktiver.
• Omfanget av data i faresonen: Personopplysningene vi behandler består primært av nettstedsbesøkendes analyser (pseudonymisert), skjemainnsendinger og chatbot-meldinger. Disse dataene er usannsynlig å ha etterretningsinteresse.
• Praktisk sannsynlighet: Vi har aldri mottatt et FISA seksjon 702-direktiv og vurderer den praktiske sannsynligheten for å motta ett som svært lav, gitt arten av tjenestene våre og dataene vi behandler.

4.1.2 Executive Order 12333

EO 12333 gir amerikanske etterretningstjenester myndighet til å utføre overvåkingsaktiviteter, inkludert masseinnsamling av signaletterretning. Det gjelder data under overføring og tvinger ikke private selskaper til å samarbeide.

Risikovurdering:

• Avbøting: Alle data under overføring er kryptert med TLS. Masseinterception av krypterte data under overføring vil ikke gi personopplysninger i klartekst.
• Praktisk sannsynlighet: Lav. Dataene som behandles gjennom tjenestene våre er ikke av den arten som vanligvis rettes mot signaletterretning.

4.1.3 Executive Order 14086 og EU-US Data Privacy Framework

Executive Order 14086 (oktober 2022) innførte ytterligere sikkerhetstiltak for signaletterretningsaktiviteter, inkludert:

• Krav om nødvendighet og proporsjonalitet for etterretningsinnsamling
• En totrinnsprosess for klagerett (Civil Liberties Protection Officer + Data Protection Review Court) tilgjengelig for EU/UK/sveitsiske enkeltpersoner
• Begrensninger på masseinnsamling

EU-kommisjonen vedtok en adekvansavgjørelse for EU-US Data Privacy Framework (DPF) den 10. juli 2023. Selv om Acira AI for øyeblikket ikke er selvsertifisert under DPF, gjelder beskyttelsene under EO 14086 bredt for alle dataoverføringer til USA og er til fordel for alle registrerte uavhengig av overføringsmekanismen som brukes.

4.1.4 CLOUD Act

The Clarifying Lawful Overseas Use of Data (CLOUD) Act tillater amerikansk rettshåndhevelse å pålegge amerikanske leverandører å produsere data uavhengig av hvor de er lagret, med forbehold for en gyldig kjennelse eller rettsordre.

Risikovurdering:

• Sikkerhetstiltak: CLOUD Act krever en gyldig rettslig prosess (kjennelse, stevning eller rettsordre). Den gir ikke fullmakt til massetilgang uten kjennelse.
• Comity-bestemmelser: CLOUD Act inkluderer et comity-rammeverk som gjør det mulig for leverandører å utfordre ordrer som er i strid med utenlandsk lov.
• Praktisk sannsynlighet: Lav for nettstedsbesøkendes data. Forespørsler fra rettshåndhevelse vil mer sannsynlig rette seg mot spesifikke kontoer mistenkt for kriminell aktivitet, ikke besøkende analyser eller skjemainnsendinger.

4.2 Israel (BrightData)

BrightData er basert i Israel. Israel har en adekvansavgjørelse fra EU-kommisjonen (2011/61/EU), noe som betyr at overføringer til Israel behandles på samme måte som intra-EØS-overføringer. BrightData behandler imidlertid også data på andre globale steder. Vi merker at:

• BrightData-behandling skjer kun når brukerstyrt (under nettstedsoppretting for innholdsimport) eller under planlagt SERP-sporing.
• Ingen personopplysninger fra nettstedsbesøkende overføres til BrightData.

4.3 Canada (Overføringer fra Canada til USA)

Personopplysninger om nettstedsbesøkende i Canada kan overføres til USA for behandling. Følgende kanadiske lover er relevante for denne vurderingen:

4.3.1 Personal Information Protection and Electronic Documents Act (PIPEDA)

PIPEDA regulerer innsamling, bruk og utlevering av personopplysninger av organisasjoner i privat sektor i løpet av kommersielle aktiviteter. PIPEDA Prinsipp 4.1.3 krever at organisasjoner bruker kontraktsmessige eller andre midler for å sikre et sammenlignbart beskyttelsesnivå når personopplysninger overføres til tredjeparter for behandling, inkludert overføringer utenfor Canada.

Risikovurdering:

• Sammenlignbar beskyttelse: De supplerende tiltakene beskrevet i Avsnitt 6 (kryptering, pseudonymisering, tilgangskontroller, dataminimering) gir et beskyttelsesnivå sammenlignbart med det som kreves under PIPEDA. Skriftlige databehandlingsavtaler er på plass med alle underdatabehandlere.
• Intet adekvanskrav: I motsetning til GDPR forbyr ikke PIPEDA overføringer til land uten en "adekvans"-konklusjon. Organisasjoner må sikre sammenlignbar beskyttelse gjennom kontraktsmessige og andre midler, som vi har implementert.

4.3.2 Provinsiell Personvernlovgivning

Albertas Personal Information Protection Act (PIPA), British Columbias Personal Information Protection Act (PIPA) og Quebecs lov om beskyttelse av personopplysninger i privat sektor pålegger ytterligere krav for visse provinser:

Risikovurdering:

• Quebec Lov 25: Quebecs moderniserte personvernlov (i kraft siden september 2023) krever en personvernkonsekvensvurdering før overføring av personopplysninger utenfor Quebec, og den overførende organisasjonen må være overbevist om at opplysningene vil motta tilstrekkelig beskyttelse. Vår kontraktsmessige beskyttelse, supplerende tekniske tiltak og dataenes art (primært pseudonymiserte analyser og nettstedsinteraksjoner for småbedrifter) støtter en konklusjon om tilstrekkelig beskyttelse.
• Alberta og BC: Albertas og BCs PIPAer krever at organisasjoner sikrer sammenlignbar beskyttelse for overførte data. Våre kontraktsmessige og tekniske sikkerhetstiltak oppfyller dette kravet.

4.3.3 Amerikansk Myndighetstilgang fra et Kanadisk Perspektiv

De samme risikoene for amerikansk myndighetstilgang vurdert i Avsnitt 4.1 gjelder for kanadiske dataoverføringer. Den lave sannsynligheten for myndighetstilgang (gitt dataenes art og bedriftsprofil), kombinert med de supplerende tiltakene i Avsnitt 6, sikrer at personopplysninger overført fra Canada til USA mottar et sammenlignbart beskyttelsesnivå som det som kreves under kanadisk personvernlovgivning.

4.4 Globale Kantlokasjoner (Cloudflare)

Cloudflare driver et globalt nettverk av edge-lokasjoner. EU-besøkende forespørsler behandles vanligvis ved nærmeste Cloudflare-tilstedeværelsespunkt, som for EU-besøkende vanligvis vil være en EU-lokasjon.

• Forespørselsruting, TLS-avslutning og bot-beskyttelse skjer ved nærmeste edge-lokasjon.
• For nettstedsoperatører identifisert som EU-innbyggere, er vedvarende lagring (som inneholder skjemainnsendinger, chatbot-samtaler og sesjonsdata) jurisdiksjonelt begrenset til Den europeiske union ved hjelp av Cloudflares jurisdiksjons-API. For ikke-EU nettstedsoperatører er vedvarende lagring lokalisert nær operatørens geografiske region, men kan være lokalisert utenfor EU.
• Analysedata behandles på Cloudflare-administrert infrastruktur.

5. VURDERING AV DATAFLYT PER TJENESTELEVERANDØR

5.1 Amazon Web Services (USA)

AWS Sikkerhetstiltak:

• ISO 27001, 27017, 27018-sertifisert
• SOC 1/2/3-rapporter tilgjengelig
• Data kryptert i hvile ved hjelp av bransjestandardkryptering
• Data under overføring kryptert (TLS)
• Minst-privilegium tilgangskontroller per systemkomponent
• Primære tjenester hostet i USA; automatiserte besøksrettede operasjoner (varsler om innholdsinnsending og transaksjonell e-postlevering) for nettstedsoperatører bosatt i EU behandles i Den europeiske union (Stockholm)

5.2 Cloudflare (Global)

Cloudflare Sikkerhetstiltak:

• ISO 27001-sertifisert, SOC 2 Type II
• TLS 1.2+ for alle tilkoblinger
• Cloudflare DPA med SCCs tilgjengelig
• Kantbehandling betyr at EU-besøkende data vanligvis behandles ved EU-kantlokasjoner for forespørselsbehandling
• For nettstedsoperatører identifisert som EU-beboere er vedvarende lagring (som inneholder skjemainnsendinger, chatbot-samtaler, øktdata og brukertabelldata) jurisdiksjonelt begrenset til Den europeiske union ved bruk av Cloudflares jurisdiksjons-API, noe som sikrer at disse dataene lagres og behandles utelukkende i EU-datasentre. Backend-API-kall fra kanten (for varsler om innholdsinnsending og transaksjonell e-postlevering) rutes til EU-basert AWS-infrastruktur.
• AI-inferens beholder ikke inndata for opplæring

5.3 Stripe (USA)

Merk: Stripe mottar ikke personopplysninger fra nettstedsbesøkende. Bare nettstedsoperatørens (vår kundes) faktureringsinformasjon behandles av Stripe.

Stripe Sikkerhetstiltak:

• PCI DSS Level 1-sertifisert
• ISO 27001-sertifisert
• Stripe DPA med SCCs tilgjengelig

5.4 AI-inferanseleverandører (USA)

Fireworks AI og xAI tilbyr AI-modellinferansetjenester.

Merk: Disse AI-leverandørene mottar ikke personopplysninger fra nettstedsbesøkende. Chatbot-funksjonen (som betjener nettstedsbesøkende) bruker Cloudflare Workers AI (vurdert i Avsnitt 5.2), ikke disse leverandørene. Plattformens konversasjons-AI-assistent — brukt av nettstedsoperatører til å administrere nettstedene sine — sender imidlertid personopplysninger fra plattformbrukere (navn, e-postadresse og samtalehistorikk) til disse leverandørene som en del av å generere svar. For denne behandlingen opptrer Acira AI som behandlingsansvarlig (ikke databehandler), og de registrerte er våre plattformbrukere (nettstedsoperatører), ikke besøkende på nettstedene deres. Denne dataflyten er regulert av personvernpolicyen vår og avtalene våre med disse leverandørene, i stedet for DPA-ens behandlingsansvarlig-databehandler-rammeverk for besøkendes data.

Modellfamilier: Disse infrastrukturleverandørene hoster og kjører AI-modeller utviklet av ulike tredjeparter. De spesifikke modellene og modellfamiliene som brukes kan endres over tid. Modellutviklere mottar ikke eller har tilgang til brukerdata — all databehandling skjer utelukkende innenfor infrastrukturen til de oppførte underdatabehandlerne, uavhengig av hvor en modell opprinnelig ble utviklet. All AI-inferensbehandling forblir på infrastrukturen til våre oppførte underdatabehandlere. Ingen brukerdata overføres til modellutviklere eller til infrastruktur utenfor underdatabehandlerne oppført i denne vurderingen. En gjeldende liste over modellfamilier i bruk er tilgjengelig på forespørsel ved å kontakte legal@acira.ai.

5.5 BrightData (Israel / Global)

Merk: BrightData behandler ikke personopplysninger fra nettstedsbesøkende. Det behandler offentlig tilgjengelig nettinnhold når brukerstyrt, og sporer søkemotorrangeringer for brukerdefinerte søkeord.

5.6 EU-baserte Leverandører (Ingen Overføring)

Disse leverandørene behandler data innenfor EU og utgjør ikke en internasjonal overføring. Black Forest Labs mottar kun tekstmeldinger for bildegenerering; ingen personopplysninger er involvert.

6. SUPPLERENDE TILTAK

I tillegg til SCCene implementerer vi følgende supplerende tiltak for å sikre et vesentlig likeverdig beskyttelsesnivå for overførte personopplysninger:

6.1 Tekniske Tiltak

6.2 Organisatoriske Tiltak

6.3 Kontraktsmessige Tiltak

7. RISIKOVURDERING

7.1 Sannsynlighet for Myndighetstilgang

Samlet sannsynlighet: LAV

7.2 Innvirkning hvis Tilgang Skjer

Samlet innvirkning: LAV til MIDDELS (avhengig av sensitiviteten til data samlet inn av individuelle nettstedsoperatører)

7.3 Restrisikobedømmelse

Med tanke på den lave sannsynligheten for myndighetstilgang, de supplerende tekniske tiltakene (kryptering, pseudonymisering, dataminimering) og de ytterligere sikkerhetstiltakene introdusert av EO 14086, vurderer vi at restrisikoen for registrerte er lav og at de supplerende tiltakene, sammen med SCCene (for EØS/UK/sveitsiske overføringer) og kontraktsmessige beskyttelser (for kanadiske overføringer), gir et beskyttelsesnivå som er vesentlig likeverdig med det som er garantert innenfor EØS og sammenlignbart med det som kreves under kanadisk personvernlovgivning.

8. KONKLUSJON

Basert på denne vurderingen konkluderer vi med at:

1. Personopplysningene som overføres fra EØS/UK/Sveits/Canada til USA i forbindelse med levering av tjenestene våre, nyter godt av et vesentlig likeverdig beskyttelsesnivå med det som er garantert under EU-databeskyttelseslov og et sammenlignbart beskyttelsesnivå med det som kreves under kanadisk personvernlovgivning.

2. Standardkontraktsbestemmelsene, kombinert med de supplerende tekniske, organisatoriske og kontraktsmessige tiltakene beskrevet i Avsnitt 6, håndterer tilstrekkelig risikoene identifisert i denne vurderingen.

3. Dataenes art (primært pseudonymiserte analyser og besøkendes interaksjoner på nettsteder for småbedrifter) og dataimportørens profil (et lite SaaS-selskap, ikke en telekomleverandør) reduserer den praktiske risikoen for myndighetstilsyn betydelig.

4. Beskyttelsene introdusert av Executive Order 14086 og den tilhørende klagemekanismen gir ytterligere sikkerhetstiltak som er til fordel for alle registrerte, uavhengig av den spesifikke overføringsmekanismen som brukes.

5. For kanadiske overføringer sikrer de kontraktsmessige beskyttelsene og supplerende tiltakene beskrevet her et sammenlignbart beskyttelsesnivå som kreves under PIPEDA og gjeldende provinsiell personvernlovgivning, inkludert Quebecs moderniserte personvernlov.

6. Vi vil fortsette å overvåke utviklingen i amerikansk overvåkingslov og -praksis, samt utviklingen i kanadisk personvernlov (inkludert den foreslåtte Consumer Privacy Protection Act), og vil revurdere denne TIA-en hvis omstendighetene endres vesentlig.

Overføringene kan fortsette med forbehold for fortsatt anvendelse av SCCene og de supplerende tiltakene beskrevet her.

9. GJENNOMGANGSPLAN

Denne TIA-en vil bli gjennomgått og oppdatert:

• Årlig, som et minimum, eller
• Ved vesentlige endringer i gjeldende lover eller forskrifter (inkludert endringer i FISA, CLOUD Act, EO 14086, PIPEDA eller kanadisk provinsiell personvernlovgivning),
• Ved endringer i underdatabehandlerne eller arten av data som overføres,
• Ved enhver rettslig avgjørelse som vesentlig påvirker gyldigheten av SCCene eller tilstrekkeligheten av amerikansk databeskyttelse.

10. KONTAKT OSS

Hvis du har spørsmål om denne konsekvensutredningen for dataoverføring, vennligst kontakt oss på:

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
United States

Telefon: 888-389-1189
E-post: legal@acira.ai