AVALIAÇÃO DE IMPACTO DA TRANSFERÊNCIA

Última atualização: 6 de julho de 2026

Esta Avaliação de Impacto da Transferência ("AIT") foi preparada pela Acira AI LLC ("Acira AI", "nós", "nos") em conformidade com os requisitos da decisão do Tribunal de Justiça da União Europeia no caso Data Protection Commissioner v. Facebook Ireland Limited and Maximillian Schrems (Processo C-311/18, "Schrems II") e as recomendações do Comitê Europeu de Proteção de Dados (Recomendações do CEPD 01/2020 sobre medidas suplementares).

Esta AIT avalia a adequação das proteções para dados pessoais transferidos do Espaço Econômico Europeu ("EEE"), do Reino Unido, da Suíça e do Canadá para os Estados Unidos e outros países terceiros no contexto da prestação de nossos Serviços.

Esta AIT pode ser traduzida para outros idiomas para sua conveniência. Em caso de qualquer conflito ou inconsistência entre a versão em inglês e qualquer versão traduzida, a versão em inglês prevalecerá.

SUMÁRIO

1. VISÃO GERAL DAS TRANSFERÊNCIAS
2. NATUREZA DOS DADOS TRANSFERIDOS
3. MECANISMOS DE TRANSFERÊNCIA
4. AVALIAÇÃO DAS LEIS DOS PAÍSES DE DESTINO
5. AVALIAÇÃO DOS FLUXOS DE DADOS POR PRESTADOR DE SERVIÇOS
6. MEDIDAS SUPLEMENTARES
7. AVALIAÇÃO DE RISCOS
8. CONCLUSÃO
9. CRONOGRAMA DE REVISÃO
10. FALE CONOSCO

1. VISÃO GERAL DAS TRANSFERÊNCIAS

1.1 Contexto

A Acira AI é uma plataforma de software como serviço (SaaS) que permite que empresas e indivíduos criem, gerenciem e hospedem sites baseados em inteligência artificial. Quando os usuários criam sites acessados por visitantes localizados no EEE, no Reino Unido, na Suíça ou no Canadá, os dados pessoais desses visitantes podem ser transferidos e processados nos Estados Unidos e em outros locais onde nossos provedores de infraestrutura operam.

1.2 Partes

• Exportador de dados: O operador do site (nosso cliente, atuando como Controlador) e, em relação a dados analíticos, a Acira AI como Cocontrolador. Quando um site é gerenciado por meio de nosso Programa de Agências, a agência e/ou seu cliente final atua como Controlador/Exportador de Dados (consulte nossos Termos de Agências e a Seção 2.7 do DPA).
• Importador de dados: Acira AI LLC, constituída no estado de Nevada, Estados Unidos, atuando como Processador (e Cocontrolador para análise).
• Subprocessadores: Prestadores de serviços terceirizados contratados pela Acira AI (listados na Seção 5).

1.3 Destinos das transferências

2. NATUREZA DOS DADOS TRANSFERIDOS

2.1 Categorias de dados pessoais

Os dados pessoais transferidos dependem dos recursos habilitados pelo operador do site e das interações dos visitantes do site. As seguintes categorias podem ser transferidas:

2.2 Categorias de titulares de dados

• Visitantes de sites hospedados na plataforma Acira AI
• Usuários que criam contas em sites hospedados na plataforma
• Usuários que enviam formulários, interagem com chatbots ou fazem upload de arquivos em sites hospedados

2.3 Dados não transferidos

• Dados de geolocalização: As consultas de IP para localização são realizadas na borda da rede pelo nosso provedor de infraestrutura. Nenhum endereço IP de visitante é transmitido a qualquer serviço de geolocalização externo.
• Endereços IP brutos de visitantes: A plataforma não os armazena. As análises armazenam apenas um hash com chave de rotação diária; a limitação de taxa armazena apenas um hash com chave; os envios de formulários e as conversas de chatbot registram país e região, não o endereço. O código das próprias páginas do operador do site pode ler o endereço IP de um visitante, e tudo o que esse operador optar por armazenar é a coleta dele, sob a política de privacidade dele.
• Senhas em texto simples: Apenas hashes criptográficos são armazenados e transferidos.

3. MECANISMOS DE TRANSFERÊNCIA

3.1 Mecanismo principal: Cláusulas contratuais padrão

Nos baseamos nas Cláusulas Contratuais Padrão (CCPs) adotadas pela Comissão Europeia pela Decisão de Implementação da Comissão (UE) 2021/914, especificamente:

• Módulo Um (Controlador para Controlador): Para transferências de dados analíticos em que a Acira AI atua como cocontrolador com o operador do site (veja a Seção 2.3 do DPA).
• Módulo Dois (Controlador para Processador): Para transferências de dados pessoais de visitantes do operador do site (Controlador) para a Acira AI (Processador).
• Módulo Três (Processador para Subprocessador): Para transferências posteriores da Acira AI para nossos subprocessadores.

3.2 Transferências para o Reino Unido, Suíça e Canadá

• Reino Unido: Aplica-se o Adendo de Transferência Internacional de Dados do Reino Unido às CCPs da UE.
• Suíça: As CCPs se aplicam com as modificações exigidas pela Lei Federal Suíça sobre Proteção de Dados (FADP).
• Canadá: As transferências dependem de proteções contratuais com cada subprocessador, impondo obrigações consistentes com a Lei de Proteção de Informações Pessoais e Documentos Eletrônicos (PIPEDA) e a legislação provincial de privacidade aplicável, combinada com as medidas técnicas e organizacionais suplementares descritas na Seção 6. Consulte a Seção 7.4 do DPA para obter detalhes.

3.3 Mecanismos de transferência de subprocessadores

4. AVALIAÇÃO DAS LEIS DOS PAÍSES DE DESTINO

4.1 Estados Unidos

Os Estados Unidos são o principal destino dos dados transferidos. As seguintes leis dos EUA são relevantes para esta avaliação:

4.1.1 Lei de Vigilância de Inteligência Estrangeira (FISA), Seção 702

A Seção 702 da FISA autoriza o governo dos EUA a obrigar provedores de serviços de comunicação eletrônica a fornecer acesso a comunicações de não cidadãos dos EUA localizados fora dos Estados Unidos para fins de inteligência estrangeira.

Avaliação de risco:

• Aplicabilidade: A Seção 702 da FISA aplica-se a "provedores de serviços de comunicação eletrônica" conforme definido em 50 U.S.C. § 1881(b)(4), uma definição ampla o suficiente para alcançar provedores de serviços de computação remota, potencialmente incluindo plataformas SaaS como a Acira AI, bem como nossos subprocessadores de infraestrutura (AWS, Cloudflare).
• Escopo dos dados em risco: Os dados pessoais que processamos consistem principalmente em análises de visitantes do site (pseudonimizadas), envios de formulários e mensagens de chatbot. Esses dados provavelmente não são do interesse de inteligência estrangeira.
• Probabilidade prática: Avaliamos a probabilidade prática de receber uma diretiva da Seção 702 como muito baixa, dada a natureza de nossos Serviços e os dados que processamos.

4.1.2 Ordem Executiva 12333

A EO 12333 autoriza as agências de inteligência dos EUA a conduzir atividades de vigilância, incluindo a coleta em massa de inteligência de sinais. Aplica-se a dados em trânsito e não obriga empresas privadas a cooperar.

Avaliação de risco:

• Mitigação: Todos os dados em trânsito são criptografados usando TLS. A interceptação em massa de dados criptografados em trânsito não produziria dados pessoais em texto simples.
• Probabilidade prática: Baixa. Os dados processados por meio de nossos Serviços não são do tipo normalmente alvo de inteligência de sinais.

4.1.3 Ordem Executiva 14086 e a Estrutura de Privacidade de Dados UE-EUA

A Ordem Executiva 14086 (outubro de 2022) introduziu salvaguardas adicionais para atividades de inteligência de sinais, incluindo:

• Requisitos de necessidade e proporcionalidade para coleta de inteligência
• Um mecanismo de recurso em dois níveis (Oficial de Proteção das Liberdades Civis + Tribunal de Revisão de Proteção de Dados) disponível para indivíduos da UE/Reino Unido/Suíça
• Limitações à coleta em massa

A Comissão Europeia adotou uma decisão de adequação para a Estrutura de Privacidade de Dados UE-EUA (DPF) em 10 de julho de 2023. Embora a Acira AI atualmente não seja autocertificada no âmbito do DPF, as proteções previstas na EO 14086 se aplicam amplamente a todas as transferências de dados para os Estados Unidos e beneficiam todos os titulares de dados, independentemente do mecanismo de transferência utilizado.

4.1.4 Lei CLOUD

A Lei de Esclarecimento do Uso Legal de Dados no Exterior (CLOUD) permite que as autoridades policiais dos EUA obriguem provedores sediados nos EUA a produzir dados independentemente de onde são armazenados, sujeito a um mandado ou ordem judicial válida.

Avaliação de risco:

• Salvaguardas: A Lei CLOUD exige um processo legal válido (mandado, intimação ou ordem judicial). Ela não autoriza acesso em massa sem mandado.
• Disposições de cortesia: A Lei CLOUD inclui uma estrutura de cortesia que permite que os provedores contestem ordens que conflitem com a lei estrangeira.
• Probabilidade prática: Baixa para dados de visitantes do site. É mais provável que solicitações de autoridades policiais visem contas específicas suspeitas de atividade criminosa, não análise de visitantes ou envios de formulários.

4.2 Israel (BrightData)

A BrightData está sediada em Israel. Israel tem uma decisão de adequação da Comissão Europeia (2011/61/UE), o que significa que as transferências para Israel são tratadas de forma semelhante às transferências intra-EEE. No entanto, a BrightData também processa dados em outros locais globais. Observamos que:

• O processamento da BrightData ocorre apenas quando direcionado pelo usuário (durante a criação do site para importação de conteúdo) ou durante o rastreamento de SERP programado.
• Nenhum dado pessoal de visitante do site é transmitido à BrightData.

4.3 Canadá (Transferências do Canadá para os Estados Unidos)

Dados pessoais de visitantes do site localizados no Canadá podem ser transferidos para os Estados Unidos para processamento. As seguintes leis canadenses são relevantes para esta avaliação:

4.3.1 Lei de Proteção de Informações Pessoais e Documentos Eletrônicos (PIPEDA)

A PIPEDA rege a coleta, uso e divulgação de informações pessoais por organizações do setor privado no curso de atividades comerciais. O Princípio 4.1.3 da PIPEDA exige que as organizações usem meios contratuais ou outros para garantir um nível comparável de proteção quando informações pessoais são transferidas a terceiros para processamento, incluindo transferências fora do Canadá.

Avaliação de risco:

• Proteção comparável: As medidas suplementares descritas na Seção 6 (criptografia, pseudonimização, controles de acesso, minimização de dados) fornecem um nível de proteção comparável ao exigido pela PIPEDA. Acordos de processamento de dados por escrito estão em vigor com todos os subprocessadores.
• Sem requisito de adequação: Ao contrário do GDPR, a PIPEDA não proíbe transferências para países sem uma constatação de "adequação". As organizações devem garantir proteção comparável por meios contratuais e outros, que implementamos.

4.3.2 Legislação provincial de privacidade

A Lei de Proteção de Informações Pessoais de Alberta (PIPA), a Lei de Proteção de Informações Pessoais da Colúmbia Britânica (PIPA) e a Lei do Quebec relativa à proteção de informações pessoais no setor privado impõem requisitos adicionais para determinadas províncias:

Avaliação de risco:

• Lei 25 do Quebec: A lei de privacidade modernizada do Quebec (em vigor desde setembro de 2023) exige uma avaliação de impacto à privacidade antes de transferir informações pessoais para fora do Quebec, e a organização transferidora deve estar satisfeita de que as informações receberão proteção adequada. Nossas proteções contratuais, medidas técnicas suplementares e a natureza dos dados (principalmente análises pseudonimizadas e interações de sites de pequenas empresas) sustentam uma constatação de proteção adequada.
• Alberta e Colúmbia Britânica: As PIPAs de Alberta e da Colúmbia Britânica exigem que as organizações garantam proteção comparável para dados transferidos. Nossas salvaguardas contratuais e técnicas satisfazem esse requisito.

4.3.3 Acesso do governo dos EUA da perspectiva canadense

Os mesmos riscos de acesso do governo dos EUA avaliados na Seção 4.1 se aplicam às transferências de dados canadenses. A baixa probabilidade de acesso do governo (dada a natureza dos dados e o perfil de nossa empresa), combinada com as medidas suplementares da Seção 6, garante que os dados pessoais transferidos do Canadá para os Estados Unidos recebam um nível comparável de proteção ao exigido pela lei de privacidade canadense.

4.4 Localizações de borda globais (Cloudflare)

A Cloudflare opera uma rede global de locais de borda. As solicitações de visitantes da UE são tipicamente processadas no ponto de presença Cloudflare mais próximo, que para visitantes da UE geralmente será um local da UE.

• O roteamento de solicitações, a rescisão TLS e a proteção contra bots ocorrem no local de borda mais próximo.
• Para operadores de sites identificados como residentes da UE, o armazenamento persistente (contendo envios de formulários, conversas de chatbot e dados de sessão) é restrito jurisdicionalmente à União Europeia usando a API de jurisdição da Cloudflare. Para operadores de sites não pertencentes à UE, o armazenamento persistente está localizado perto da região geográfica do operador, mas pode estar localizado fora da UE.
• Os dados de análise são processados em infraestrutura gerenciada pela Cloudflare.

5. AVALIAÇÃO DOS FLUXOS DE DADOS POR PRESTADOR DE SERVIÇOS

5.1 Amazon Web Services (EUA)

Salvaguardas da AWS:

• Certificado ISO 27001, 27017, 27018
• Relatórios SOC 1/2/3 disponíveis
• Dados criptografados em repouso usando criptografia padrão do setor
• Dados criptografados em trânsito (TLS)
• Controles de acesso de privilégio mínimo por componente do sistema
• Serviços principais hospedados nos Estados Unidos; operações automatizadas voltadas a visitantes (notificações de envio de conteúdo e entrega de e-mail transacional) para operadores de sites residentes na UE são processadas na União Europeia (Estocolmo)

5.2 Cloudflare (Global)

Salvaguardas da Cloudflare:

• Certificado ISO 27001, SOC 2 Tipo II
• TLS 1.2+ para todas as conexões
• DPA da Cloudflare com CCPs disponível
• O processamento de borda significa que os dados de visitantes da UE são normalmente processados em localizações de borda da UE para tratamento de solicitações
• Para operadores de sites identificados como residentes da UE, o armazenamento persistente (contendo envios de formulários, conversas do chatbot, dados de sessão e dados de tabelas de usuários) é jurisdicionalmente restrito à União Europeia usando a API de jurisdição da Cloudflare, garantindo que esses dados sejam armazenados e processados exclusivamente em data centers da UE. Chamadas de API do backend a partir da borda (para notificações de envio de conteúdo e entrega de e-mail transacional) são roteadas para a infraestrutura AWS localizada na UE.
• A inferência de IA não retém dados de entrada para treinamento

5.3 Provedor de pagamento (Merchant of Record)

Os pagamentos dos Serviços pagos são processados por um provedor de pagamento terceirizado que atua como Merchant of Record da transação — atualmente Stripe (por meio de sua afiliada Sold through Link, LLC, Estados Unidos). Como Merchant of Record, esse provedor atua como controlador independente dos dados de pagamento enviados no checkout, e não como nosso suboperador; portanto, as transferências abaixo são de controlador para controlador, e não de controlador para operador.

Observação: Esse provedor não recebe dados pessoais de visitantes do site. Somente as informações de cobrança do operador do site (nosso cliente) são processadas.

Bases de transferência e salvaguardas: Stripe / Sold through Link, LLC (US) — transferências de controlador para controlador sob as Standard Contractual Clauses (Module One); certificadas PCI DSS Level 1 e ISO 27001.

5.4 Provedores de inferência de IA (EUA)

Fireworks AI e xAI fornecem serviços de inferência de modelos de IA.

Nota: Esses provedores de IA não recebem dados pessoais de visitantes do site. O recurso de chatbot (que atende visitantes do site) usa o Cloudflare Workers AI (avaliado na Seção 5.2), não esses provedores. No entanto, o assistente de IA conversacional da plataforma — usado por operadores de sites para gerenciar seus sites — envia dados pessoais de usuários da plataforma (nome, endereço de e-mail e histórico de conversas) a esses provedores como parte da geração de respostas. Para esse processamento, a Acira AI atua como controlador (não processador), e os titulares dos dados são nossos usuários da plataforma (operadores de sites), não os visitantes de seus sites. Esse fluxo de dados é regido pela nossa Política de Privacidade e por nossos contratos com esses provedores, e não pela estrutura controlador-processador do DPA para dados de visitantes.

Famílias de modelos: Esses provedores de infraestrutura hospedam e executam modelos de IA desenvolvidos por diversas terceiras partes. Os modelos e famílias de modelos específicos usados podem mudar ao longo do tempo. Os desenvolvedores de modelos não recebem nem têm acesso a qualquer dado do usuário — todo o processamento de dados ocorre exclusivamente dentro da infraestrutura dos subprocessadores listados, independentemente de onde um modelo foi originalmente desenvolvido. Todo o processamento de inferência de IA permanece na infraestrutura dos nossos subprocessadores listados. Nenhum dado do usuário é transmitido a desenvolvedores de modelos ou a infraestrutura fora dos subprocessadores listados nesta avaliação. Uma lista atual das famílias de modelos em uso está disponível mediante solicitação entrando em contato com legal@acira.ai.

5.5 BrightData (Israel / Global)

Nota: A BrightData não processa dados pessoais de visitantes do site. Processa conteúdo web publicamente disponível quando direcionado pelo usuário e rastreia posições em motores de busca para palavras-chave definidas pelo usuário.

5.6 Provedores sediados na UE (Sem transferência)

Esses provedores processam dados dentro da UE e não constituem uma transferência internacional. O Black Forest Labs recebe apenas prompts de texto para geração de imagens; nenhum dado pessoal está envolvido.

5.7 Acesso Programático e Exportação Local (CLI / API)

Os operadores de sites — incluindo agências que gerenciam sites em nome de seus clientes — podem recuperar conteúdo do site e dados de visitantes por meio da interface de linha de comando (CLI) da Acira e de outras APIs programáticas, incluindo a exportação de linhas de conteúdo para um ambiente local.

• Esse acesso é autenticado e limitado aos sites que o operador está autorizado a gerenciar.
• Quando o operador está localizado fora do EEE/Reino Unido/Suíça/Canadá, essa recuperação é uma transferência sob demanda, iniciada pelo operador, análoga ao acesso ao painel da plataforma (consulte a Seção 7.1 do DPA).
• Nossas medidas de residência jurisdicional e técnicas se aplicam enquanto os dados permanecerem em nossa infraestrutura. Uma vez que os dados são exportados para o próprio ambiente do operador (como uma máquina local ou uma ferramenta de desenvolvimento de terceiros), o operador é responsável por sua proteção, e nossas medidas não se estendem a eles. Isso é divulgado aos operadores no DPA e nos Termos de Agências.

6. MEDIDAS SUPLEMENTARES

Além das CCPs, implementamos as seguintes medidas suplementares para garantir um nível essencialmente equivalente de proteção para dados pessoais transferidos:

6.1 Medidas técnicas

6.2 Medidas organizacionais

6.3 Medidas contratuais

7. AVALIAÇÃO DE RISCOS

7.1 Probabilidade de acesso governamental

Probabilidade geral: BAIXA

7.2 Impacto em caso de acesso

Impacto geral: BAIXO a MÉDIO (dependendo da sensibilidade dos dados coletados por operadores de sites individuais)

7.3 Avaliação de risco residual

Considerando a baixa probabilidade de acesso governamental, as medidas técnicas suplementares (criptografia, pseudonimização, minimização de dados) e as salvaguardas adicionais introduzidas pela EO 14086, avaliamos que o risco residual para os titulares de dados é baixo e que as medidas suplementares, juntamente com as CCPs (para transferências do EEE/Reino Unido/Suíça) e proteções contratuais (para transferências canadenses), fornecem um nível de proteção essencialmente equivalente ao garantido dentro do EEE e comparável ao exigido pela lei de privacidade canadense.

8. CONCLUSÃO

Com base nesta avaliação, concluímos que:

1. Os dados pessoais transferidos do EEE/Reino Unido/Suíça/Canadá para os Estados Unidos em conexão com a prestação de nossos Serviços beneficiam de um nível essencialmente equivalente de proteção ao garantido pela legislação europeia de proteção de dados e um nível comparável de proteção ao exigido pela lei de privacidade canadense.

2. As Cláusulas Contratuais Padrão, combinadas com as medidas técnicas, organizacionais e contratuais suplementares descritas na Seção 6, abordam adequadamente os riscos identificados nesta avaliação.

3. A natureza dos dados (principalmente análises pseudonimizadas e interações de visitantes de sites de pequenas empresas) e o perfil do importador de dados (uma pequena empresa SaaS, não um provedor de telecomunicações) reduzem significativamente o risco prático de vigilância governamental.

4. As proteções introduzidas pela Ordem Executiva 14086 e o mecanismo de recurso associado fornecem salvaguardas adicionais que beneficiam todos os titulares de dados, independentemente do mecanismo de transferência específico utilizado.

5. Para transferências canadenses, as proteções contratuais e medidas suplementares descritas aqui garantem um nível comparável de proteção ao exigido pela PIPEDA e pela legislação provincial de privacidade aplicável, incluindo a lei de privacidade modernizada do Quebec.

6. Continuaremos a monitorar os desenvolvimentos na lei e prática de vigilância dos EUA, bem como os desenvolvimentos na lei de privacidade canadense (incluindo a proposta Lei de Proteção à Privacidade do Consumidor), e reavaliaremos esta AIT se as circunstâncias mudarem materialmente.

As transferências podem prosseguir sujeitas à aplicação contínua das CCPs e medidas suplementares descritas aqui.

9. CRONOGRAMA DE REVISÃO

Esta AIT será revisada e atualizada:

• Anualmente, no mínimo, ou
• Mediante mudanças materiais nas leis ou regulamentos aplicáveis (incluindo mudanças na FISA, na Lei CLOUD, na EO 14086, na PIPEDA ou na legislação provincial de privacidade canadense),
• Mediante mudanças em nossos subprocessadores ou na natureza dos dados transferidos,
• Mediante qualquer decisão judicial que afete materialmente a validade das CCPs ou a adequação da proteção de dados dos EUA.

10. FALE CONOSCO

Se você tiver dúvidas sobre esta Avaliação de Impacto da Transferência, entre em contato conosco:

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
Estados Unidos

Telefone: 888-389-1189
E-mail: legal@acira.ai