AVALIAÇÃO DE IMPACTO DA TRANSFERÊNCIA

Última atualização: 19 de março de 2026

A presente Avaliação de Impacto da Transferência («AIT») foi preparada pela Acira AI LLC («Acira AI», «nós», «nos») em conformidade com os requisitos do acórdão do Tribunal de Justiça da União Europeia no processo Data Protection Commissioner v. Facebook Ireland Limited and Maximillian Schrems (Processo C-311/18, «Schrems II») e as recomendações do Comité Europeu para a Proteção de Dados (Recomendações do CEPD 01/2020 sobre medidas suplementares).

A presente AIT avalia a adequação das proteções para dados pessoais transferidos do Espaço Económico Europeu («EEE»), do Reino Unido, da Suíça e do Canadá para os Estados Unidos e outros países terceiros no contexto da prestação dos nossos Serviços.

A presente AIT pode ser traduzida para outros idiomas por conveniência. Em caso de conflito ou inconsistência entre a versão em inglês e qualquer versão traduzida, a versão em inglês prevalecerá.

ÍNDICE

1. VISÃO GERAL DAS TRANSFERÊNCIAS
2. NATUREZA DOS DADOS TRANSFERIDOS
3. MECANISMOS DE TRANSFERÊNCIA
4. AVALIAÇÃO DAS LEIS DOS PAÍSES DE DESTINO
5. AVALIAÇÃO DOS FLUXOS DE DADOS POR PRESTADOR DE SERVIÇOS
6. MEDIDAS SUPLEMENTARES
7. AVALIAÇÃO DE RISCOS
8. CONCLUSÃO
9. CALENDÁRIO DE REVISÕES
10. CONTACTE-NOS

1. VISÃO GERAL DAS TRANSFERÊNCIAS

1.1 Contexto

A Acira AI é uma plataforma de software como serviço (SaaS) que permite a empresas e particulares criar, gerir e alojar sítios Web baseados em inteligência artificial. Quando os utilizadores criam sítios Web acedidos por visitantes localizados no EEE, no Reino Unido, na Suíça ou no Canadá, os dados pessoais desses visitantes poderão ser transferidos e tratados nos Estados Unidos e noutros locais onde os nossos fornecedores de infraestrutura operam.

1.2 Partes

• Exportador de dados: O operador do sítio Web (o nosso cliente, na qualidade de Responsável pelo tratamento) e, para os dados analíticos, a Acira AI na qualidade de Corresponsável pelo tratamento.
• Importador de dados: Acira AI LLC, constituída no estado do Nevada, Estados Unidos, na qualidade de Subcontratante (e Corresponsável pelo tratamento para efeitos de análise).
• Subcontratantes: Prestadores de serviços terceiros contratados pela Acira AI (listados na Secção 5).

1.3 Destinos das transferências

2. NATUREZA DOS DADOS TRANSFERIDOS

2.1 Categorias de dados pessoais

Os dados pessoais transferidos dependem das funcionalidades ativadas pelo operador do sítio Web e das interações dos visitantes do sítio. As seguintes categorias poderão ser transferidas:

2.2 Categorias de titulares de dados

• Visitantes de sítios Web alojados na plataforma Acira AI
• Utilizadores que criam contas em sítios alojados na plataforma
• Utilizadores que submetem formulários, interagem com chatbots ou carregam ficheiros em sítios alojados

2.3 Dados não transferidos

• Dados de geolocalização: As pesquisas de IP para localização são realizadas na extremidade da rede pelo nosso fornecedor de infraestrutura. Nenhum endereço IP de visitante é transmitido a qualquer serviço de geolocalização externo.
• Endereços IP brutos de análise: Apenas um hash criptográfico de rotação diária é armazenado; IPs brutos não são persistidos em sistemas de análise.
• Palavras-passe em texto simples: Apenas hashes criptográficos são armazenados e transferidos.

3. MECANISMOS DE TRANSFERÊNCIA

3.1 Mecanismo principal: Cláusulas contratuais-tipo

Baseamo-nos nas Cláusulas Contratuais-Tipo (CCTs) adotadas pela Comissão Europeia pela Decisão de Execução da Comissão (UE) 2021/914, nomeadamente:

• Módulo Um (Responsável pelo tratamento para Responsável pelo tratamento): Para transferências de dados analíticos em que a Acira AI atua como corresponsável pelo tratamento com o operador do sítio Web (ver Secção 2.3 do DPA).
• Módulo Dois (Responsável pelo tratamento para Subcontratante): Para transferências de dados pessoais de visitantes do operador do sítio Web (Responsável pelo tratamento) para a Acira AI (Subcontratante).
• Módulo Três (Subcontratante para Subsubcontratante): Para transferências posteriores da Acira AI para os nossos subcontratantes.

3.2 Transferências para o Reino Unido, Suíça e Canadá

• Reino Unido: Aplica-se o Adendo de Transferência Internacional de Dados do Reino Unido às CCTs da UE.
• Suíça: As CCTs aplicam-se com as modificações exigidas pela Lei Federal Suíça sobre a Proteção de Dados (FADP).
• Canadá: As transferências baseiam-se em proteções contratuais com cada subcontratante, impondo obrigações consistentes com a Lei de Proteção de Informações Pessoais e Documentos Eletrónicos (PIPEDA) e a legislação provincial de privacidade aplicável, conjugadas com as medidas técnicas e organizativas suplementares descritas na Secção 6. Consulte a Secção 7.4 do DPA para mais detalhes.

3.3 Mecanismos de transferência dos subcontratantes

4. AVALIAÇÃO DAS LEIS DOS PAÍSES DE DESTINO

4.1 Estados Unidos

Os Estados Unidos são o principal destino dos dados transferidos. As seguintes leis dos EUA são relevantes para esta avaliação:

4.1.1 Lei de Vigilância de Inteligência Estrangeira (FISA), Secção 702

A Secção 702 da FISA autoriza o governo dos EUA a obrigar os prestadores de serviços de comunicações eletrónicas a fornecer acesso às comunicações de não cidadãos dos EUA localizados fora dos Estados Unidos para fins de inteligência estrangeira.

Avaliação do risco:

• Aplicabilidade: A Secção 702 da FISA aplica-se a «prestadores de serviços de comunicações eletrónicas» conforme definido no 50 U.S.C. § 1881(b)(4). A Acira AI é uma plataforma SaaS de alojamento de sítios Web, não um prestador de telecomunicações tradicional. Os nossos subcontratantes (AWS, Cloudflare) têm maior probabilidade de estar sujeitos a diretivas da Secção 702.
• Âmbito dos dados em risco: Os dados pessoais que tratamos consistem principalmente em análises de visitantes do sítio (pseudonimizadas), submissões de formulários e mensagens de chatbot. Estes dados provavelmente não são do interesse da inteligência estrangeira.
• Probabilidade prática: Nunca recebemos uma diretiva da Secção 702 da FISA e avaliamos a probabilidade prática de receber uma como muito baixa, dada a natureza dos nossos Serviços e os dados que tratamos.

4.1.2 Decreto Executivo 12333

O DE 12333 autoriza as agências de inteligência dos EUA a realizar atividades de vigilância, incluindo a recolha em massa de inteligência de sinais. Aplica-se a dados em trânsito e não obriga as empresas privadas a cooperar.

Avaliação do risco:

• Mitigação: Todos os dados em trânsito são encriptados utilizando TLS. A intercetação em massa de dados encriptados em trânsito não produziria dados pessoais em texto simples.
• Probabilidade prática: Baixa. Os dados tratados através dos nossos Serviços não são do tipo normalmente visado pela inteligência de sinais.

4.1.3 Decreto Executivo 14086 e o Quadro de Privacidade de Dados UE-EUA

O Decreto Executivo 14086 (outubro de 2022) introduziu salvaguardas adicionais para as atividades de inteligência de sinais, incluindo:

• Requisitos de necessidade e proporcionalidade para a recolha de dados de inteligência
• Um mecanismo de recurso em dois níveis (Oficial de Proteção das Liberdades Civis + Tribunal de Revisão de Proteção de Dados) disponível para cidadãos da UE/Reino Unido/Suíça
• Limitações à recolha em massa

A Comissão Europeia adotou uma decisão de adequação para o Quadro de Privacidade de Dados UE-EUA (DPF) em 10 de julho de 2023. Embora a Acira AI não esteja atualmente autocertificada no âmbito do DPF, as proteções previstas no DE 14086 aplicam-se amplamente a todas as transferências de dados para os Estados Unidos e beneficiam todos os titulares de dados, independentemente do mecanismo de transferência utilizado.

4.1.4 Lei CLOUD

A Lei de Clarificação do Uso Legal de Dados no Exterior (CLOUD) permite que as autoridades policiais dos EUA obriguem os prestadores sediados nos EUA a produzir dados independentemente do local onde são armazenados, mediante um mandado ou ordem judicial válida.

Avaliação do risco:

• Salvaguardas: A Lei CLOUD exige um processo legal válido (mandado, intimação ou ordem judicial). Não autoriza o acesso em massa sem mandado.
• Disposições de cortesia: A Lei CLOUD inclui um quadro de cortesia que permite aos prestadores contestar ordens que conflituem com a lei estrangeira.
• Probabilidade prática: Baixa para dados de visitantes do sítio. Os pedidos das autoridades policiais têm maior probabilidade de visar contas específicas suspeitas de atividade criminosa, e não análises de visitantes ou submissões de formulários.

4.2 Israel (BrightData)

A BrightData está sediada em Israel. Israel tem uma decisão de adequação da Comissão Europeia (2011/61/UE), o que significa que as transferências para Israel são tratadas de forma semelhante às transferências intra-EEE. No entanto, a BrightData também trata dados noutras localizações globais. Observamos que:

• O tratamento pela BrightData ocorre apenas quando dirigido pelo utilizador (durante a criação do sítio Web para importação de conteúdo) ou durante o rastreamento de SERP programado.
• Nenhum dado pessoal de visitante do sítio é transmitido à BrightData.

4.3 Canadá (Transferências do Canadá para os Estados Unidos)

Os dados pessoais de visitantes do sítio localizados no Canadá podem ser transferidos para os Estados Unidos para tratamento. As seguintes leis canadianas são relevantes para esta avaliação:

4.3.1 Lei de Proteção de Informações Pessoais e Documentos Eletrónicos (PIPEDA)

A PIPEDA rege a recolha, utilização e divulgação de informações pessoais por organizações do sector privado no decurso de atividades comerciais. O Princípio 4.1.3 da PIPEDA exige que as organizações utilizem meios contratuais ou outros para garantir um nível comparável de proteção quando as informações pessoais são transferidas a terceiros para tratamento, incluindo transferências fora do Canadá.

Avaliação do risco:

• Proteção comparável: As medidas suplementares descritas na Secção 6 (encriptação, pseudonimização, controlos de acesso, minimização de dados) proporcionam um nível de proteção comparável ao exigido pela PIPEDA. Acordos de tratamento de dados por escrito estão em vigor com todos os subcontratantes.
• Sem requisito de adequação: Ao contrário do RGPD, a PIPEDA não proíbe transferências para países sem uma constatação de «adequação». As organizações devem garantir proteção comparável através de meios contratuais e outros, que implementámos.

4.3.2 Legislação provincial de privacidade

A Lei de Proteção de Informações Pessoais de Alberta (PIPA), a Lei de Proteção de Informações Pessoais da Colúmbia Britânica (PIPA) e a Lei do Quebeque relativa à proteção de informações pessoais no sector privado impõem requisitos adicionais para determinadas províncias:

Avaliação do risco:

• Lei 25 do Quebeque: A lei de privacidade modernizada do Quebeque (em vigor desde setembro de 2023) exige uma avaliação de impacto à privacidade antes de transferir informações pessoais para fora do Quebeque, e a organização cedente deve assegurar-se de que as informações receberão proteção adequada. As nossas proteções contratuais, medidas técnicas suplementares e a natureza dos dados (principalmente análises pseudonimizadas e interações de sítios de pequenas empresas) sustentam uma constatação de proteção adequada.
• Alberta e Colúmbia Britânica: As PIPAs de Alberta e da Colúmbia Britânica exigem que as organizações garantam proteção comparável para os dados transferidos. As nossas salvaguardas contratuais e técnicas satisfazem este requisito.

4.3.3 Acesso do governo dos EUA na perspetiva canadiana

Os mesmos riscos de acesso do governo dos EUA avaliados na Secção 4.1 aplicam-se às transferências de dados canadianas. A baixa probabilidade de acesso governamental (dada a natureza dos dados e o perfil da nossa empresa), conjugada com as medidas suplementares da Secção 6, garante que os dados pessoais transferidos do Canadá para os Estados Unidos recebam um nível comparável de proteção ao exigido pela lei de privacidade canadiana.

4.4 Localizações de borda globais (Cloudflare)

A Cloudflare opera uma rede global de localizações de extremidade. Os pedidos de visitantes da UE são tipicamente processados no ponto de presença Cloudflare mais próximo, que para visitantes da UE será normalmente uma localização da UE.

• O encaminhamento de pedidos, a terminação TLS e a proteção contra bots ocorrem na localização de extremidade mais próxima.
• Para operadores de sítios identificados como residentes da UE, o armazenamento persistente (contendo envios de formulários, conversas de chatbot e dados de sessão) é restrito jurisdicionalmente à União Europeia utilizando a API de jurisdição da Cloudflare. Para operadores de sítios não pertencentes à UE, o armazenamento persistente está localizado perto da região geográfica do operador, mas pode estar localizado fora da UE.
• Os dados de análise são processados em infraestrutura gerida pela Cloudflare.

5. AVALIAÇÃO DOS FLUXOS DE DADOS POR PRESTADOR DE SERVIÇOS

5.1 Amazon Web Services (EUA)

Salvaguardas da AWS:

• Certificação ISO 27001, 27017, 27018
• Relatórios SOC 1/2/3 disponíveis
• Dados encriptados em repouso utilizando encriptação padrão do setor
• Dados encriptados em trânsito (TLS)
• Controlos de acesso de privilégio mínimo por componente do sistema
• Serviços principais alojados nos Estados Unidos; operações automatizadas voltadas a visitantes (notificações de submissão de conteúdo e entrega de e-mail transacional) para operadores de sites residentes na UE são processadas na União Europeia (Estocolmo)

5.2 Cloudflare (Global)

Salvaguardas da Cloudflare:

• Certificação ISO 27001, SOC 2 Tipo II
• TLS 1.2+ para todas as ligações
• DPA da Cloudflare com CCTs disponível
• O tratamento de borda significa que os dados de visitantes da UE são normalmente tratados em localizações de borda da UE para processamento de pedidos
• Para operadores de sites identificados como residentes da UE, o armazenamento persistente (contendo submissões de formulários, conversas do chatbot, dados de sessão e dados de tabelas de utilizadores) está jurisdicionalmente restrito à União Europeia utilizando a API de jurisdição da Cloudflare, garantindo que estes dados são armazenados e processados exclusivamente em centros de dados da UE. Chamadas de API do backend a partir da periferia (para notificações de submissão de conteúdo e entrega de e-mail transacional) são encaminhadas para a infraestrutura AWS localizada na UE.
• A inferência de IA não retém dados de entrada para treino

5.3 Stripe (EUA)

Nota: A Stripe não recebe dados pessoais de visitantes do sítio. Apenas as informações de faturação do operador do sítio Web (o nosso cliente) são tratadas pela Stripe.

Salvaguardas da Stripe:

• Certificação PCI DSS Nível 1
• Certificação ISO 27001
• DPA da Stripe com CCTs disponível

5.4 Fornecedores de inferência de IA (EUA)

A Fireworks AI e a xAI prestam serviços de inferência de modelos de IA.

Nota: Estes fornecedores de IA não recebem dados pessoais de visitantes do sítio. A funcionalidade de chatbot (que serve os visitantes do sítio) utiliza o Cloudflare Workers AI (avaliado na Secção 5.2), e não estes fornecedores. No entanto, o assistente de IA conversacional da plataforma — utilizado pelos operadores de sítios para gerir os seus sítios Web — envia dados pessoais de utilizadores da plataforma (nome, endereço de e-mail e histórico de conversas) a estes fornecedores como parte da geração de respostas. Para este tratamento, a Acira AI atua como responsável pelo tratamento (e não subcontratante), e os titulares dos dados são os nossos utilizadores da plataforma (operadores de sítios), e não os visitantes dos seus sítios. Este fluxo de dados é regido pela nossa Política de Privacidade e pelos nossos acordos com estes fornecedores, e não pelo quadro responsável pelo tratamento-subcontratante do DPA para dados de visitantes.

Famílias de modelos: Estes fornecedores de infraestrutura alojam e executam modelos de IA desenvolvidos por várias terceiras partes. Os modelos e famílias de modelos específicos utilizados podem mudar ao longo do tempo. Os programadores de modelos não recebem nem têm acesso a qualquer dado do utilizador — todo o processamento de dados ocorre exclusivamente dentro da infraestrutura dos subprocessadores listados, independentemente de onde um modelo foi originalmente desenvolvido. Todo o processamento de inferência de IA permanece na infraestrutura dos nossos subprocessadores listados. Nenhum dado do utilizador é transmitido a programadores de modelos ou a infraestrutura fora dos subprocessadores listados nesta avaliação. Uma lista atual das famílias de modelos em utilização está disponível mediante pedido através de contacto com legal@acira.ai.

5.5 BrightData (Israel / Global)

Nota: A BrightData não trata dados pessoais de visitantes do sítio. Trata conteúdo Web publicamente disponível quando dirigido pelo utilizador e rastreia posições em motores de busca para palavras-chave definidas pelo utilizador.

5.6 Fornecedores sediados na UE (Sem transferência)

Estes fornecedores tratam dados dentro da UE e não constituem uma transferência internacional. O Black Forest Labs recebe apenas prompts de texto para geração de imagens; não estão envolvidos dados pessoais.

6. MEDIDAS SUPLEMENTARES

Para além das CCTs, implementamos as seguintes medidas suplementares para garantir um nível essencialmente equivalente de proteção para os dados pessoais transferidos:

6.1 Medidas técnicas

6.2 Medidas organizativas

6.3 Medidas contratuais

7. AVALIAÇÃO DE RISCOS

7.1 Probabilidade de acesso governamental

Probabilidade geral: BAIXA

7.2 Impacto em caso de acesso

Impacto geral: BAIXO a MÉDIO (dependendo da sensibilidade dos dados recolhidos por operadores de sítios individuais)

7.3 Avaliação do risco residual

Tendo em conta a baixa probabilidade de acesso governamental, as medidas técnicas suplementares (encriptação, pseudonimização, minimização de dados) e as salvaguardas adicionais introduzidas pelo DE 14086, avaliamos que o risco residual para os titulares de dados é baixo e que as medidas suplementares, juntamente com as CCTs (para transferências do EEE/Reino Unido/Suíça) e as proteções contratuais (para transferências canadianas), proporcionam um nível de proteção essencialmente equivalente ao garantido dentro do EEE e comparável ao exigido pela lei de privacidade canadiana.

8. CONCLUSÃO

Com base nesta avaliação, concluímos que:

1. Os dados pessoais transferidos do EEE/Reino Unido/Suíça/Canadá para os Estados Unidos em conexão com a prestação dos nossos Serviços beneficiam de um nível essencialmente equivalente de proteção ao garantido pela legislação europeia de proteção de dados e um nível comparável de proteção ao exigido pela lei de privacidade canadiana.

2. As Cláusulas Contratuais-Tipo, conjugadas com as medidas técnicas, organizativas e contratuais suplementares descritas na Secção 6, abordam adequadamente os riscos identificados nesta avaliação.

3. A natureza dos dados (principalmente análises pseudonimizadas e interações de visitantes de sítios de pequenas empresas) e o perfil do importador de dados (uma pequena empresa SaaS, e não um prestador de telecomunicações) reduzem significativamente o risco prático de vigilância governamental.

4. As proteções introduzidas pelo Decreto Executivo 14086 e o mecanismo de recurso associado proporcionam salvaguardas adicionais que beneficiam todos os titulares de dados, independentemente do mecanismo de transferência específico utilizado.

5. Para as transferências canadianas, as proteções contratuais e medidas suplementares aqui descritas garantem um nível comparável de proteção ao exigido pela PIPEDA e pela legislação provincial de privacidade aplicável, incluindo a lei de privacidade modernizada do Quebeque.

6. Continuaremos a acompanhar os desenvolvimentos na lei e prática de vigilância dos EUA, bem como os desenvolvimentos na lei de privacidade canadiana (incluindo a proposta Lei de Proteção da Privacidade do Consumidor), e reavaliaremos esta AIT se as circunstâncias se alterarem materialmente.

As transferências podem prosseguir sujeitas à aplicação contínua das CCTs e das medidas suplementares aqui descritas.

9. CALENDÁRIO DE REVISÕES

A presente AIT será revista e atualizada:

• Anualmente, no mínimo, ou
• Aquando de alterações materiais às leis ou regulamentos aplicáveis (incluindo alterações à FISA, à Lei CLOUD, ao DE 14086, à PIPEDA ou à legislação provincial de privacidade canadiana),
• Aquando de alterações nos nossos subcontratantes ou na natureza dos dados transferidos,
• Aquando de qualquer decisão judicial que afete materialmente a validade das CCTs ou a adequação da proteção de dados dos EUA.

10. CONTACTE-NOS

Se tiver questões sobre esta Avaliação de Impacto da Transferência, contacte-nos:

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
Estados Unidos

Telefone: 888-389-1189
Correio eletrónico: legal@acira.ai