Acira AI Logo
CennikFunkcjeO nasPorównaj
Zaloguj się

Ocena skutków transferu

OCENA WPŁYWU TRANSFERU

Ostatnia aktualizacja: 19 marca 2026 r.


Niniejsza Ocena Wpływu Transferu („OWT") została przygotowana przez Acira AI LLC („Acira AI", „my", „nas") zgodnie z wymogami wyroku Trybunału Sprawiedliwości Unii Europejskiej w sprawie Data Protection Commissioner v. Facebook Ireland Limited and Maximillian Schrems (Sprawa C-311/18, „Schrems II") oraz zaleceniami Europejskiej Rady Ochrony Danych (Zalecenia EROD 01/2020 w sprawie dodatkowych środków).

Niniejsza OWT ocenia adekwatność ochrony danych osobowych przekazywanych z Europejskiego Obszaru Gospodarczego („EOG"), Wielkiej Brytanii, Szwajcarii i Kanady do Stanów Zjednoczonych i innych państw trzecich w związku ze świadczeniem naszych Usług.

Niniejsza OWT może być tłumaczona na inne języki dla Państwa wygody. W przypadku jakichkolwiek sprzeczności lub niezgodności między wersją angielską a jakąkolwiek przetłumaczoną wersją, wersja angielska ma pierwszeństwo.


SPIS TREŚCI

  1. PRZEGLĄD TRANSFERÓW
  2. CHARAKTER PRZEKAZYWANYCH DANYCH
  3. MECHANIZMY TRANSFERU
  4. OCENA PRZEPISÓW PRAWA KRAJÓW DOCELOWYCH
  5. OCENA PRZEPŁYWÓW DANYCH WEDŁUG DOSTAWCY USŁUG
  6. ŚRODKI DODATKOWE
  7. OCENA RYZYKA
  8. WNIOSKI
  9. HARMONOGRAM PRZEGLĄDÓW
  10. KONTAKT

1. PRZEGLĄD TRANSFERÓW

1.1 Kontekst

Acira AI jest platformą oprogramowania jako usługi (SaaS), która umożliwia firmom i osobom fizycznym tworzenie, zarządzanie i hostowanie witryn internetowych opartych na sztucznej inteligencji. Gdy użytkownicy tworzą strony internetowe, do których dostęp uzyskują odwiedzający zlokalizowani w EOG, Wielkiej Brytanii, Szwajcarii lub Kanadzie, dane osobowe tych odwiedzających mogą być przekazywane do Stanów Zjednoczonych i innych lokalizacji, w których działają nasi dostawcy infrastruktury, i tam przetwarzane.

1.2 Strony

  • Administrator danych eksportujący: Operator strony internetowej (nasz klient, działający jako Administrator) oraz, w przypadku danych analitycznych, Acira AI jako Współadministrator.
  • Importer danych: Acira AI LLC, zarejestrowana w stanie Nevada, Stany Zjednoczone, działająca jako Podmiot przetwarzający (i Współadministrator w zakresie analityki).
  • Podmioty przetwarzające: Zewnętrzni dostawcy usług zatrudnieni przez Acira AI (wymienieni w Sekcji 5).

1.3 Miejsca przeznaczenia transferów

Miejsce docelowe Dostawcy Podstawa
Stany Zjednoczone i Unia Europejska (Sztokholm) AWS SCC + Środki uzupełniające (USA); Wewnątrz EOG dla zautomatyzowanych operacji skierowanych do odwiedzających dla rezydentów UE
Stany Zjednoczone Stripe, Fireworks AI, xAI SCC + Środki uzupełniające
Globalnie (lokalizacje brzegowe) Cloudflare SKD + Środki dodatkowe
Izrael BrightData (wyłącznie na żądanie użytkownika) SKD + Środki dodatkowe
Unia Europejska Black Forest Labs, ScreenshotOne, CloudConvert Wewnątrz EOG (nie jest wymagany mechanizm transferu)

2. CHARAKTER PRZEKAZYWANYCH DANYCH

2.1 Kategorie danych osobowych

Przekazywane dane osobowe zależą od funkcji włączonych przez operatora strony internetowej oraz od interakcji odwiedzających stronę. Poniższe kategorie mogą być przekazywane:

Kategoria danych Opis Wrażliwość Wolumen
Identyfikatory analityczne Codziennie rotujący kryptograficzny skrót IP + User-Agent + data (pseudonimizowany) Niski Wysoki (każde wyświetlenie strony)
Metadane odwiedzającego Kraj, region, język, typ urządzenia, przeglądarka, system operacyjny, domena odsyłająca, parametry UTM Niski Wysoki (każde wyświetlenie strony)
Adresy IP Przechowywane jako metadane wraz z przesyłanymi formularzami i rozmowami chatbota; hashowane dla celów analitycznych; tymczasowo używane do weryfikacji botów; tymczasowo przechowywane do ograniczania liczby żądań (do 7 dni) Średni Średni
Treść przesłanych formularzy Pola tekstowe przesłane przez odwiedzających (imiona, adresy e-mail, wiadomości itp.) Zmienna (zależy od formularza) Niski do średniego
Wiadomości chatbota Wiadomości odwiedzających i odpowiedzi generowane przez AI (maks. 2 000 znaków na wiadomość) Niski do średniego Niski
Przesłane pliki Pliki przesłane przez odwiedzających za pośrednictwem formularzy strony (obrazy, dokumenty) Zmienna Niski
Identyfikatory sesji Identyfikatory sesji po stronie serwera i pliki cookie sesji po stronie klienta Niski Wysoki
Dane uwierzytelniające Hasła do chronionych obszarów strony internetowej (przechowywane wyłącznie w formie zaszyfrowanej) Wysoki (ale zaszyfrowany) Niski

2.2 Kategorie osób, których dane dotyczą

  • Odwiedzający strony internetowe hostowane na platformie Acira AI
  • Użytkownicy, którzy zakładają konta na stronach hostowanych na platformie
  • Użytkownicy, którzy przesyłają formularze, wchodzą w interakcje z chatbotami lub przesyłają pliki na hostowanych stronach

2.3 Dane nieprzekazywane

  • Dane geolokalizacyjne: Wyszukiwania IP-do-lokalizacji są wykonywane na krawędzi sieci przez naszego dostawcę infrastruktury. Żadne adresy IP odwiedzających nie są przekazywane do żadnej zewnętrznej usługi geolokalizacyjnej.
  • Surowe adresy IP z analizy: Przechowywany jest jedynie codziennie rotujący kryptograficzny skrót; surowe adresy IP nie są utrwalane w systemach analitycznych.
  • Hasła w postaci jawnego tekstu: Przechowywane i przekazywane są wyłącznie skróty kryptograficzne.

3. MECHANIZMY TRANSFERU

3.1 Główny mechanizm: Standardowe klauzule umowne

Korzystamy ze Standardowych Klauzul Umownych (SKU) przyjętych przez Komisję Europejską na mocy decyzji wykonawczej Komisji (UE) 2021/914, w szczególności:

  • Moduł 1 (Administrator do Administratora): Do transferów danych analitycznych, w których Acira AI działa jako wspólny administrator z operatorem strony internetowej (zob. Sekcja 2.3 DPA).
  • Moduł 2 (Administrator do Podmiotu przetwarzającego): Do transferów danych osobowych odwiedzających od operatora strony internetowej (Administratora) do Acira AI (Podmiot przetwarzający).
  • Moduł 3 (Podmiot przetwarzający do Podwykonawcy): Do dalszych transferów z Acira AI do naszych podwykonawców.

3.2 Transfery do Wielkiej Brytanii, Szwajcarii i Kanady

  • Wielka Brytania: Stosuje się Aneks do Międzynarodowego Transferu Danych do UE SKU dla Wielkiej Brytanii.
  • Szwajcaria: Stosuje się SKU z modyfikacjami wymaganymi przez szwajcarską Federalną Ustawę o Ochronie Danych (FADP).
  • Kanada: Transfery opierają się na zabezpieczeniach umownych z każdym podwykonawcą, nakładających zobowiązania zgodne z ustawą o ochronie informacji osobistych i dokumentach elektronicznych (PIPEDA) oraz obowiązującymi prowincjonalnymi przepisami dotyczącymi prywatności, w połączeniu z dodatkowymi technicznymi i organizacyjnymi środkami opisanymi w Sekcji 6. Szczegóły znajdują się w Sekcji 7.4 DPA.

3.3 Mechanizmy transferu podwykonawców

Podwykonawca Mechanizm transferu
Amazon Web Services SKU (AWS DPA), certyfikat ISO 27001/27017/27018
Cloudflare SKU (Cloudflare DPA), certyfikat ISO 27001
Stripe SKU (Stripe DPA), certyfikat PCI DSS Poziom 1
Fireworks AI SKU (Fireworks AI DPA), SOC 2 Type II, certyfikat ISO 27001/27701/42001
xAI SKU (xAI DPA z UE SKU)
BrightData SKU (BrightData DPA)

4. OCENA PRZEPISÓW PRAWA KRAJÓW DOCELOWYCH

4.1 Stany Zjednoczone

Stany Zjednoczone są głównym miejscem przeznaczenia przekazywanych danych. Następujące przepisy prawa USA są istotne dla niniejszej oceny:

4.1.1 Ustawa o Nadzorze Wywiadu Zagranicznego (FISA), Sekcja 702

Sekcja 702 FISA upoważnia rząd USA do zobowiązywania dostawców usług komunikacji elektronicznej do udostępniania komunikatów osób niebędących obywatelami USA, przebywających poza Stanami Zjednoczonymi, do celów wywiadu zagranicznego.

Ocena ryzyka:

  • Stosowalność: Sekcja 702 FISA dotyczy „dostawców usług komunikacji elektronicznej" w rozumieniu 50 U.S.C. § 1881(b)(4). Acira AI jest platformą SaaS do hostowania stron internetowych, a nie tradycyjnym dostawcą usług telekomunikacyjnych. Nasi podwykonawcy (AWS, Cloudflare) z większym prawdopodobieństwem podlegają nakazom z Sekcji 702.
  • Zakres danych zagrożonych: Dane osobowe, które przetwarzamy, składają się głównie z analityki odwiedzających witrynę (pseudonimizowanej), przesłanych formularzy i wiadomości chatbota. Te dane prawdopodobnie nie są przedmiotem zainteresowania wywiadu zagranicznego.
  • Praktyczne prawdopodobieństwo: Nigdy nie otrzymaliśmy nakazu z Sekcji 702 FISA i oceniamy praktyczne prawdopodobieństwo otrzymania takiego nakazu jako bardzo niskie, biorąc pod uwagę charakter naszych Usług i przetwarzane przez nas dane.

4.1.2 Rozporządzenie Wykonawcze 12333

Rozporządzenie 12333 upoważnia agencje wywiadowcze USA do prowadzenia działań nadzoru, w tym masowego zbierania danych wywiadu sygnałowego. Dotyczy ono danych w tranzycie i nie zobowiązuje prywatnych firm do współpracy.

Ocena ryzyka:

  • Ograniczenie: Wszystkie dane w tranzycie są szyfrowane przy użyciu protokołu TLS. Masowe przechwytywanie zaszyfrowanych danych w tranzycie nie umożliwiłoby uzyskania danych osobowych w postaci jawnej.
  • Praktyczne prawdopodobieństwo: Niskie. Dane przetwarzane za pośrednictwem naszych Usług nie są tego rodzaju, który jest zazwyczaj celem wywiadu sygnałowego.

4.1.3 Rozporządzenie Wykonawcze 14086 i Ramy Ochrony Prywatności Danych UE-USA

Rozporządzenie Wykonawcze 14086 (październik 2022 r.) wprowadziło dodatkowe zabezpieczenia dla działań wywiadu sygnałowego, w tym:

  • Wymogi niezbędności i proporcjonalności dla zbierania danych wywiadowczych
  • Dwupoziomowy mechanizm odwoławczy (Oficer Ochrony Swobód Obywatelskich + Sąd ds. Przeglądu Ochrony Danych) dostępny dla obywateli UE/UK/Szwajcarii
  • Ograniczenia masowego zbierania danych

Komisja Europejska przyjęła decyzję stwierdzającą odpowiedni stopień ochrony dla Ram Ochrony Prywatności Danych UE-USA (DPF) w dniu 10 lipca 2023 r. Chociaż Acira AI nie jest aktualnie certyfikowana w ramach DPF, zabezpieczenia wynikające z Rozporządzenia 14086 mają zastosowanie ogólnie do wszystkich transferów danych do Stanów Zjednoczonych i są korzystne dla wszystkich osób, których dane dotyczą, niezależnie od stosowanego mechanizmu transferu.

4.1.4 Ustawa CLOUD

Ustawa o Wyjaśnieniu Legalnego Zagranicznego Korzystania z Danych (CLOUD) zezwala organom ścigania USA na zobowiązywanie dostawców z siedzibą w USA do udostępniania danych, niezależnie od miejsca ich przechowywania, na podstawie ważnego nakazu lub postanowienia sądu.

Ocena ryzyka:

  • Zabezpieczenia: Ustawa CLOUD wymaga ważnego postępowania prawnego (nakaz, wezwanie lub postanowienie sądu). Nie zezwala ona na masowy dostęp bez nakazu.
  • Przepisy kurtuazyjne: Ustawa CLOUD zawiera ramy kurtuazyjne, które umożliwiają dostawcom zakwestionowanie nakazów sprzecznych z prawem zagranicznym.
  • Praktyczne prawdopodobieństwo: Niskie w przypadku danych odwiedzających witrynę. Wnioski organów ścigania z większym prawdopodobieństwem byłyby skierowane do konkretnych kont podejrzanych o działalność przestępczą, a nie do analityki odwiedzających lub przesłanych formularzy.

4.2 Izrael (BrightData)

BrightData ma siedzibę w Izraelu. Izrael posiada decyzję stwierdzającą odpowiedni stopień ochrony wydaną przez Komisję Europejską (2011/61/UE), co oznacza, że transfery do Izraela są traktowane podobnie jak transfery wewnątrz EOG. Jednakże BrightData przetwarza również dane w innych lokalizacjach globalnych. Odnotowujemy, że:

  • Przetwarzanie danych przez BrightData odbywa się wyłącznie na żądanie użytkownika (podczas tworzenia strony internetowej w celu importu treści) lub podczas zaplanowanego śledzenia SERP.
  • Żadne dane osobowe odwiedzających witrynę nie są przekazywane do BrightData.

4.3 Kanada (Transfery z Kanady do Stanów Zjednoczonych)

Dane osobowe odwiedzających witrynę zlokalizowanych w Kanadzie mogą być przekazywane do Stanów Zjednoczonych w celu przetwarzania. Następujące kanadyjskie przepisy prawa są istotne dla niniejszej oceny:

4.3.1 Ustawa o Ochronie Informacji Osobistych i Dokumentach Elektronicznych (PIPEDA)

PIPEDA reguluje zbieranie, wykorzystywanie i ujawnianie informacji osobistych przez organizacje sektora prywatnego w ramach działalności handlowej. Zasada 4.1.3 PIPEDA wymaga, aby organizacje stosowały środki umowne lub inne w celu zapewnienia porównywalnego poziomu ochrony w przypadku przekazywania informacji osobistych stronom trzecim do przetwarzania, w tym transferów poza Kanadę.

Ocena ryzyka:

  • Porównywalna ochrona: Środki dodatkowe opisane w Sekcji 6 (szyfrowanie, pseudonimizacja, kontrola dostępu, minimalizacja danych) zapewniają poziom ochrony porównywalny z wymaganym na mocy PIPEDA. Z wszystkimi podwykonawcami zawarte są pisemne umowy powierzenia danych.
  • Brak wymogu adekwatności: W przeciwieństwie do RODO, PIPEDA nie zakazuje transferów do krajów bez orzeczenia o „adekwatności". Organizacje muszą zapewnić porównywalną ochronę środkami umownymi i innymi, które wdrożyliśmy.

4.3.2 Prowincjonalne przepisy dotyczące prywatności

Ustawa o Ochronie Informacji Osobistych Alberta (PIPA), Ustawa o Ochronie Informacji Osobistych Kolumbii Brytyjskiej (PIPA) oraz Ustawa Quebec dotycząca ochrony informacji osobistych w sektorze prywatnym nakładają dodatkowe wymagania dla niektórych prowincji:

Ocena ryzyka:

  • Prawo 25 prowincji Quebec: Zmodernizowane przepisy dotyczące prywatności Quebecu (obowiązujące od września 2023 r.) wymagają przeprowadzenia oceny wpływu na prywatność przed przekazaniem informacji osobistych poza Quebec, a przekazująca organizacja musi być przekonana, że informacje te będą odpowiednio chronione. Nasze zabezpieczenia umowne, dodatkowe środki techniczne oraz charakter danych (głównie pseudonimizowana analityka i interakcje na stronach internetowych małych firm) przemawiają za stwierdzeniem odpowiedniej ochrony.
  • Alberta i Kolumbia Brytyjska: Ustawa PIPA Alberty i Kolumbii Brytyjskiej wymaga, aby organizacje zapewniały porównywalną ochronę przekazywanych danych. Nasze zabezpieczenia umowne i techniczne spełniają ten wymóg.

4.3.3 Dostęp rządu USA z perspektywy Kanady

Te same ryzyka dostępu rządu USA ocenione w Sekcji 4.1 dotyczą kanadyjskich transferów danych. Niskie prawdopodobieństwo dostępu rządu (biorąc pod uwagę charakter danych i profil naszej firmy), w połączeniu z dodatkowymi środkami opisanymi w Sekcji 6, zapewniają, że dane osobowe przekazywane z Kanady do Stanów Zjednoczonych są chronione na porównywalnym poziomie wymaganym przez kanadyjskie przepisy dotyczące prywatności.

4.4 Globalne lokalizacje brzegowe (Cloudflare)

Cloudflare zarządza globalną siecią lokalizacji brzegowych. Żądania od odwiedzających z UE są zazwyczaj przetwarzane w najbliższym punkcie obecności Cloudflare, który dla odwiedzających z UE będzie zazwyczaj lokalizacją w UE.

  • Routing żądań, zakończenie TLS i ochrona przed botami odbywają się w najbliższej lokalizacji brzegowej.
  • W przypadku operatorów witryn zidentyfikowanych jako rezydenci UE, trwałe przechowywanie danych (zawierające przesłania formularzy, rozmowy z chatbotem i dane sesji) jest jurysdykcyjnie ograniczone do Unii Europejskiej przy użyciu interfejsu API jurysdykcji Cloudflare. W przypadku operatorów witryn spoza UE, trwałe przechowywanie danych znajduje się w pobliżu regionu geograficznego operatora, ale może znajdować się poza UE.
  • Dane analityczne są przetwarzane w infrastrukturze zarządzanej przez Cloudflare.

5. OCENA PRZEPŁYWÓW DANYCH WEDŁUG DOSTAWCY USŁUG

5.1 Amazon Web Services (USA)

Przepływ danych Zaangażowane dane osobowe Cel
Przechowywanie baz danych Metadane przesłań formularzy (IP, kraj, region), rekordy rozmów z chatbotem, metadane plików, rekordy sesji Trwałe przechowywanie danych odwiedzających witrynę
Przechowywanie plików Przesłane pliki (obrazy, dokumenty), migawki wdrożeń Przechowywanie plików
Wnioskowanie AI Zawartość pliku (do opisu AI), zawartość e-mail (do wykrywania spamu) Opisy oparte na AI i klasyfikacja spamu
Moderacja treści Przesłane obrazy Moderacja treści (wykrywanie nagości/jawnych treści)
Dostarczanie e-maili Adresy e-mail, treść wiadomości Dostarczanie e-maili transakcyjnych i powiadomienia o przesłaniu treści. Dla operatorów stron internetowych zamieszkałych w UE operacje te są przetwarzane w Unii Europejskiej (Sztokholm).
Wykrywanie języka Tekst wiadomości e-mail Wykrywanie języka

Zabezpieczenia AWS:

  • Certyfikat ISO 27001, 27017, 27018
  • Dostępne raporty SOC 1/2/3
  • Dane w spoczynku szyfrowane przy użyciu szyfrowania zgodnego ze standardami branżowymi
  • Dane szyfrowane w tranzycie (TLS)
  • Kontrole dostępu z zasadą najniższych uprawnień na komponent systemu
  • Główne usługi hostowane w Stanach Zjednoczonych; zautomatyzowane operacje skierowane do odwiedzających (powiadomienia o przesłaniu treści i dostarczanie e-maili transakcyjnych) dla operatorów stron internetowych zamieszkałych w UE są przetwarzane w Unii Europejskiej (Sztokholm)

5.2 Cloudflare (Globalnie)

Przepływ danych Zaangażowane dane osobowe Cel
Routing brzegowy Adresy IP, nagłówki HTTP, adresy URL żądań Routing żądań, ochrona przed DDoS, zakończenie TLS
Hosting witryn Zawartość strony, metadane odwiedzających Hosting i dostarczanie witryn
Trwałe przechowywanie Przesłania formularzy, rozmowy z chatbotem, dane sesji, dane tabel użytkowników Stanowe przechowywanie dla każdej witryny
Analityka Pseudonimizowany skrót odwiedzającego, kraj, urządzenie, przeglądarka, odsyłacz, UTM Analityka odwiedzających przyjazna prywatności
Wnioskowanie AI Wiadomości chatbota, podsumowania pól formularzy Odpowiedzi chatbota AI, wykrywanie spamu
Przechowywanie zasobów Zasoby witryny (obrazy, pliki) Przechowywanie statycznych zasobów i dostarczanie CDN

Zabezpieczenia Cloudflare:

  • Certyfikat ISO 27001, SOC 2 Type II
  • TLS 1.2+ dla wszystkich połączeń
  • Dostępne Cloudflare DPA ze SKU
  • Przetwarzanie brzegowe oznacza, że dane odwiedzających z UE są zazwyczaj przetwarzane w lokalizacjach brzegowych UE do obsługi żądań
  • Dla operatorów stron internetowych zidentyfikowanych jako rezydenci UE, trwałe przechowywanie (zawierające przesłane formularze, rozmowy chatbota, dane sesji i dane tabel użytkowników) jest jurysdykcyjnie ograniczone do Unii Europejskiej za pomocą API jurysdykcji Cloudflare, zapewniając, że dane te są przechowywane i przetwarzane wyłącznie w centrach danych UE. Wywołania API backendu z brzegu (dla powiadomień o przesłaniu treści i dostarczania e-maili transakcyjnych) są kierowane do infrastruktury AWS znajdującej się w UE.
  • Wnioskowanie AI nie zachowuje danych wejściowych do szkolenia

5.3 Stripe (USA)

Przepływ danych Zaangażowane dane osobowe Cel
Przetwarzanie płatności Dane rozliczeniowe operatora strony internetowej (imię i nazwisko, e-mail, metoda płatności) Przetwarzanie subskrypcji i płatności za domeny

Uwaga: Stripe nie otrzymuje danych osobowych odwiedzających witrynę. Przez Stripe przetwarzane są wyłącznie informacje rozliczeniowe operatora strony internetowej (naszego klienta).

Zabezpieczenia Stripe:

  • Certyfikat PCI DSS Poziom 1
  • Certyfikat ISO 27001
  • Dostępne Stripe DPA ze SKU

5.4 Dostawcy wnioskowania AI (USA)

Fireworks AI i xAI świadczą usługi wnioskowania modeli AI.

Przepływ danych Zaangażowane dane osobowe Cel
Generowanie tekstu (treść strony) Treść strony (nie dane odwiedzających) Tworzenie i edycja treści strony
Generowanie obrazów Podpowiedzi tekstowe (nie dane odwiedzających) Tworzenie obrazów dla stron
Konwersacyjna AI (agent czatu) Imię i nazwisko użytkownika platformy, e-mail, preferencje językowe i historia rozmów Asystent AI dla użytkowników platformy (operatorów stron)

Uwaga: Ci dostawcy AI nie otrzymują danych osobowych odwiedzających witrynę. Funkcja chatbota (obsługująca odwiedzających witrynę) korzysta z Cloudflare Workers AI (ocenionego w Sekcji 5.2), a nie z tych dostawców. Jednak konwersacyjny asystent AI platformy — używany przez operatorów stron do zarządzania ich witrynami — przesyła dane osobowe użytkowników platformy (imię i nazwisko, adres e-mail i historię rozmów) do tych dostawców w ramach generowania odpowiedzi. W przypadku tego przetwarzania Acira AI działa jako administrator (nie podmiot przetwarzający), a osobami, których dane dotyczą, są nasi użytkownicy platformy (operatorzy stron), a nie odwiedzający ich strony. Ten przepływ danych jest regulowany przez naszą Politykę Prywatności i nasze umowy z tymi dostawcami, a nie przez ramy administrator-podmiot przetwarzający DPA dla danych odwiedzających.

Rodziny modeli: Ci dostawcy infrastruktury hostują i wykonują modele AI opracowane przez różne podmioty trzecie. Konkretne modele i rodziny modeli używane mogą się zmieniać w czasie. Twórcy modeli nie otrzymują ani nie mają dostępu do żadnych danych użytkowników — całe przetwarzanie danych odbywa się wyłącznie w infrastrukturze wymienionych podmiotów przetwarzających, niezależnie od miejsca pierwotnego opracowania modelu. Całe przetwarzanie wnioskowania AI pozostaje w infrastrukturze naszych wymienionych podmiotów przetwarzających. Żadne dane użytkowników nie są przekazywane twórcom modeli ani infrastrukturze poza podmiotami przetwarzającymi wymienionymi w niniejszej ocenie. Aktualna lista rodzin modeli w użyciu jest dostępna na żądanie, kontaktując się pod adresem legal@acira.ai.

5.5 BrightData (Izrael / Globalnie)

Przepływ danych Zaangażowane dane osobowe Cel
Zbieranie danych internetowych Publicznie dostępna treść internetowa (nie dane odwiedzających) Import treści podczas tworzenia strony (na żądanie użytkownika)
Śledzenie SERP Słowa kluczowe wyszukiwania (nie dane odwiedzających) Monitorowanie pozycji w rankingach słów kluczowych

Uwaga: BrightData nie przetwarza danych osobowych odwiedzających witrynę. Przetwarza publicznie dostępną treść internetową na żądanie użytkownika oraz śledzi pozycje w wyszukiwarkach dla słów kluczowych zdefiniowanych przez użytkownika.

5.6 Dostawcy z siedzibą w UE (Brak transferu)

Dostawca Lokalizacja Cel
Black Forest Labs Niemcy (UE) Generowanie obrazów AI (modele Flux)
ScreenshotOne Unia Europejska Przechwytywanie zrzutów ekranu strony
CloudConvert Niemcy (UE) Konwersja formatów plików

Ci dostawcy przetwarzają dane w UE i nie stanowią transferu międzynarodowego. Black Forest Labs otrzymuje wyłącznie podpowiedzi tekstowe do generowania obrazów; żadne dane osobowe nie są zaangażowane.


6. ŚRODKI DODATKOWE

Oprócz SKU wdrażamy następujące środki dodatkowe w celu zapewnienia zasadniczo równoważnego poziomu ochrony przekazywanych danych osobowych:

6.1 Środki techniczne

Środek Opis
Szyfrowanie podczas przesyłania Wszystkie dane przesyłane między odwiedzającymi, siecią brzegową a usługami zaplecza są szyfrowane przy użyciu TLS (minimum TLS 1.2). Wewnętrzna komunikacja usługa-do-usługi wykorzystuje zaszyfrowane kanały.
Szyfrowanie w spoczynku Wszystkie rekordy baz danych, przechowywanie plików i trwałe przechowywanie hostowane na brzegu sieci są szyfrowane w spoczynku przy użyciu szyfrowania zgodnego ze standardami branżowymi, zarządzanego przez odpowiedniego dostawcę infrastruktury.
Pseudonimizacja Analityka odwiedzających używa codziennie rotującego kryptograficznego skrótu (IP + User-Agent + data) zamiast przechowywania surowych adresów IP. Ten skrót nie może zostać odwrócony i rotuje co 24 godziny, zapobiegając śledzeniu między dniami.
Minimalizacja danych Analityka gromadzi wyłącznie metadane na poziomie zagregowanym (kraj, typ urządzenia, przeglądarka). W systemach analitycznych nie są przechowywane surowe adresy IP. Wiadomości chatbota są ograniczone do 2000 znaków.
Hashowanie haseł Wszystkie hasła odwiedzających (dla chronionych obszarów strony) są hashowane przy użyciu silnych algorytmów kryptograficznych z losowymi solami dla każdego użytkownika przed zapisaniem. Hasła w postaci jawnej nigdy nie są przechowywane ani przekazywane.
Kontrole dostępu Zasady dostępu z najniższymi uprawnieniami ograniczają każdy komponent systemu tylko do potrzebnych zasobów. Tokeny API dla każdej witryny ograniczają dostęp do poszczególnych witryn.
Izolacja sieci Usługi zaplecza komunikują się przez sieci wewnętrzne. Hosting witryn działa w izolowanych środowiskach wykonawczych. Wykonywanie niestandardowego kodu wykorzystuje sandboxing oparty na WebAssembly.
Jurysdykcyjna rezydencja danych Dla operatorów stron internetowych zidentyfikowanych jako rezydenci UE, trwałe przechowywanie zawierające dane odwiedzających (przesłane formularze, rozmowy chatbota, dane sesji i dane tabel użytkowników) jest jurysdykcyjnie ograniczone do Unii Europejskiej, zapewniając, że dane te są przechowywane i przetwarzane wyłącznie w centrach danych UE. Zautomatyzowane operacje skierowane do odwiedzających (powiadomienia o przesłaniu treści i dostarczanie e-maili transakcyjnych) są również przetwarzane w infrastrukturze znajdującej się w UE.
Automatyczne usuwanie Dane sesji wygasają po 30 dniach nieaktywności. Pliki tymczasowe są usuwane w ciągu 24 godzin. Dane weryfikacji botów są efemeryczne i nie są utrwalane.

6.2 Środki organizacyjne

Środek Opis
Poufność personelu Cały personel mający dostęp do danych osobowych jest zobowiązany do zachowania poufności.
Należyta staranność w odniesieniu do podwykonawców Podwykonawcy są oceniani pod kątem ich praktyk bezpieczeństwa i zgodności z ochroną danych przed nawiązaniem współpracy. Z wszystkimi podwykonawcami zawarte są pisemne DPA.
Reagowanie na incydenty Procedury powiadamiania o naruszeniach zapewniają powiadomienie Administratorów w ciągu 72 godzin od potwierdzenia naruszenia danych osobowych.
Zasady przechowywania danych Udokumentowane okresy przechowywania z automatycznym egzekwowaniem (usuwanie oparte na TTL, zasady cyklu życia).
Monitorowanie bezpieczeństwa Strukturowane logowanie, automatyczne monitorowanie bezpieczeństwa i wykrywanie włamań. Logi błędów i diagnostyczne przechowywane przez maksymalnie 30 dni.

6.3 Środki umowne

Środek Opis
Standardowe klauzule umowne SKU (Moduł 1, Moduł 2 i Moduł 3) są włączone do naszej DPA przez odesłanie.
SKU podwykonawców Pisemne umowy z każdym podwykonawcą nakładają obowiązki w zakresie ochrony danych nie mniej ochronne niż te w naszej DPA.
Powiadomienie o dostępie rządu Zobowiązujemy się do powiadamiania Administratorów o żądaniach dostępu rządu, gdy jest to dozwolone prawem, zgodnie z opisem w naszych Warunkach i Postanowieniach.
Zobowiązanie do kwestionowania Zobowiązujemy się do kwestionowania żądań dostępu rządu, które uważamy za nadmiernie szerokie lub niezgodne z prawem.

7. OCENA RYZYKA

7.1 Prawdopodobieństwo dostępu rządu

Czynnik Ocena
Charakter danych Głównie pseudonimizowana analityka, przesłane formularze i wiadomości chatbota ze stron małych firm. Te dane mają niską wartość wywiadowczą.
Wolumen danych Niski do umiarkowanego. Każda strona obsługuje własną bazę odwiedzających; dane nie są agregowane między stronami do celów nadzoru.
Profil firmy Acira AI jest małą firmą SaaS hostującą strony małych firm. Nie jesteśmy dostawcą usług telekomunikacyjnych ani wysokoprofilowym celem nadzoru.
Historyczne żądania Na dzień niniejszej oceny Acira AI nigdy nie otrzymała nakazu z Sekcji 702 FISA, listu bezpieczeństwa narodowego ani żadnego rządowego żądania masowego dostępu do danych klientów.
Profil podwykonawcy AWS i Cloudflare są dużymi dostawcami infrastruktury, którzy publikują raporty przejrzystości. Ich raporty przejrzystości wskazują, że żądania rządowe są ukierunkowane na konkretne konta, a nie masowy dostęp do hostowanych treści.

Ogólne prawdopodobieństwo: NISKIE

7.2 Skutki w przypadku dostępu

Czynnik Ocena
Wrażliwość danych Większość przekazywanych danych jest niskiej wrażliwości (pseudonimizowana analityka, metadane odwiedzających witrynę). Przesłane formularze mogą zawierać dane średniej wrażliwości (imiona i nazwiska, adresy e-mail, wiadomości) w zależności od strony.
Skuteczność pseudonimizacji Danych analitycznych nie można powiązać z osobami bez dostępu do komponentów dziennego, rotującego skrótu (IP + klient użytkownika + data), które nie są przechowywane.
Zakres ekspozycji Jakikolwiek dostęp rządowy byłby skierowany na konkretne konta lub strony internetowe, a nie na całą platformę. Izolacja danych na stronę internetową przez dedykowane instancje przechowywania ogranicza zakres potencjalnego naruszenia. Dla operatorów stron internetowych zamieszkałych w UE, trwałe przechowywanie i zautomatyzowane przetwarzanie skierowane do odwiedzających (powiadomienia o przesłaniu treści i dostarczanie e-maili transakcyjnych) są ograniczone do UE, co dodatkowo ogranicza ekspozycję na dostęp rządu USA do tych danych.

Ogólny skutek: NISKI do ŚREDNIEGO (w zależności od wrażliwości danych zbieranych przez poszczególnych operatorów stron)

7.3 Ocena ryzyka szczątkowego

Biorąc pod uwagę niskie prawdopodobieństwo dostępu rządu, dodatkowe środki techniczne (szyfrowanie, pseudonimizacja, minimalizacja danych) oraz dodatkowe zabezpieczenia wprowadzone przez Rozporządzenie 14086, oceniamy, że ryzyko szczątkowe dla osób, których dane dotyczą, jest niskie i że środki dodatkowe, w połączeniu ze SKU (dla transferów z EOG/UK/Szwajcarii) i zabezpieczeniami umownymi (dla transferów z Kanady), zapewniają poziom ochrony zasadniczo równoważny temu gwarantowanemu w EOG i porównywalny z wymaganym przez kanadyjskie przepisy dotyczące prywatności.


8. WNIOSKI

Na podstawie niniejszej oceny stwierdzamy, że:

  1. Dane osobowe przekazywane z EOG/Wielkiej Brytanii/Szwajcarii/Kanady do Stanów Zjednoczonych w związku ze świadczeniem naszych Usług korzystają z zasadniczo równoważnego poziomu ochrony do gwarantowanego na mocy unijnego prawa ochrony danych i porównywalnego poziomu ochrony do wymaganego przez kanadyjskie przepisy dotyczące prywatności.

  2. Standardowe klauzule umowne, w połączeniu z dodatkowymi środkami technicznymi, organizacyjnymi i umownymi opisanymi w Sekcji 6, odpowiednio odnoszą się do ryzyk zidentyfikowanych w niniejszej ocenie.

  3. Charakter danych (głównie pseudonimizowana analityka i interakcje odwiedzających strony małych firm) oraz profil importera danych (mała firma SaaS, a nie dostawca usług telekomunikacyjnych) znacznie zmniejszają praktyczne ryzyko nadzoru rządowego.

  4. Ochrony wprowadzone przez Rozporządzenie Wykonawcze 14086 i związany z nim mechanizm odwoławczy zapewniają dodatkowe zabezpieczenia korzystne dla wszystkich osób, których dane dotyczą, niezależnie od stosowanego konkretnego mechanizmu transferu.

  5. W przypadku transferów z Kanady zabezpieczenia umowne i środki dodatkowe opisane w niniejszym dokumencie zapewniają porównywalny poziom ochrony do wymaganego przez PIPEDA i obowiązujące prowincjonalne przepisy dotyczące prywatności, w tym zmodernizowane przepisy dotyczące prywatności Quebecu.

  6. Będziemy nadal monitorować zmiany w prawie i praktyce nadzoru USA, a także zmiany w kanadyjskim prawie prywatności (w tym proponowaną Ustawę o Ochronie Prywatności Konsumentów), i będziemy ponownie oceniać niniejszą OWT w przypadku istotnych zmian okoliczności.

Transfery mogą być kontynuowane z zastrzeżeniem dalszego stosowania SKU i środków dodatkowych opisanych w niniejszym dokumencie.


9. HARMONOGRAM PRZEGLĄDÓW

Niniejsza OWT będzie przeglądana i aktualizowana:

  • Corocznie, co najmniej, lub
  • Po istotnych zmianach w obowiązujących przepisach lub regulacjach (w tym zmianach w FISA, Ustawie CLOUD, Rozporządzeniu 14086, PIPEDA lub prowincjonalnych przepisach dotyczących prywatności),
  • Po zmianach u naszych podwykonawców lub charakteru przekazywanych danych,
  • Po każdym orzeczeniu sądu, które istotnie wpływa na ważność SKU lub adekwatność ochrony danych w USA.

10. KONTAKT

W przypadku pytań dotyczących niniejszej Oceny Wpływu Transferu prosimy o kontakt:

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
Stany Zjednoczone

Telefon: 888-389-1189
E-mail: legal@acira.ai

Twoja prywatność, nasz priorytet

Nie sprzedajemy Twoich danych, nie używamy śledzących plików cookie — dlatego nie zobaczysz tu bannera z plikami cookie. Szanujemy Global Privacy Control, a dla klientów z UE dane odwiedzających są przechowywane i przetwarzane wyłącznie w Unii Europejskiej.

Zobacz, jak chronimy Twoje dane
GDPR Art 27 representationUK-GDPR Art 27 representationDSA representation
Acira AI

Buduj piękne strony internetowe z AI. Programowanie nie jest wymagane.

Z dumą stworzone w Stanach Zjednoczonych

Firma
CennikFunkcjeO nasPorównajZaufanie i prywatność
Informacje prawne
Polityka prywatnościRegulaminDopuszczalne użytkowaniePrzetwarzanie danychWpływ transferu

© 2026 Acira AI LLC. Wszelkie prawa zastrzeżone.