ACORD DE PRELUCRARE A DATELOR

Ultima actualizare: 6 octombrie 2026

Prezentul Acord de prelucrare a datelor („DPA”) face parte din Termenii și condițiile („Contractul”) încheiate între Acira AI LLC („Persoana împuternicită de operator”, „noi”, „nouă”) și utilizatorul Serviciilor („Operatorul”, „dumneavoastră”) și completează Contractul în ceea ce privește prelucrarea datelor cu caracter personal.

Prezentul DPA se aplică atunci când utilizați Serviciile pentru a crea, găzdui și publica site-uri web care colectează sau prelucrează date cu caracter personal ale unor persoane fizice aflate în Spațiul Economic European („SEE”), în Regatul Unit („UK”) sau în Elveția ori atunci când legislația aplicabilă privind protecția datelor impune acest lucru în alt mod.

Prezentul DPA poate fi tradus în alte limbi pentru comoditatea dumneavoastră. În cazul oricărui conflict sau al oricărei neconcordanțe între versiunea în limba engleză și orice versiune tradusă, versiunea în limba engleză prevalează, cu excepția cazului în care legislația aplicabilă impune ca versiunea tradusă să se aplice sau să prevaleze ori ca orice neconcordanță să fie soluționată în favoarea dumneavoastră. Pentru utilizatorii din Québec, se aplică versiunea în limba franceză.

CUPRINS

1. DEFINIȚII
2. DOMENIUL DE APLICARE ȘI ROLURILE
3. DETALII PRIVIND PRELUCRAREA DATELOR
4. OBLIGAȚIILE PERSOANEI ÎMPUTERNICITE DE OPERATOR
5. OBLIGAȚIILE OPERATORULUI
6. SUBPROCESATORI
7. TRANSFERURI INTERNAȚIONALE DE DATE
8. DREPTURILE PERSOANELOR VIZATE
9. SECURITATEA DATELOR
10. NOTIFICAREA ÎNCĂLCĂRILOR SECURITĂȚII DATELOR
11. AUDITURI ȘI VERIFICAREA CONFORMITĂȚII
12. PĂSTRAREA ȘI ȘTERGEREA DATELOR
13. DURATA ȘI ÎNCETAREA
14. LIMITAREA RĂSPUNDERII
15. CONTACT

1. DEFINIȚII

„Legislația aplicabilă privind protecția datelor” înseamnă toate legile și reglementările aplicabile prelucrării datelor cu caracter personal în temeiul prezentului DPA, inclusiv (după caz) Regulamentul (UE) 2016/679 (Regulamentul general privind protecția datelor, „RGPD”), RGPD din Regatul Unit (UK GDPR), Legea federală elvețiană privind protecția datelor („FADP”) și California Consumer Privacy Act („CCPA”).

„Operator” înseamnă persoana fizică sau juridică care stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal — în acest context, dumneavoastră, utilizatorul Serviciilor care administrează un site web prin intermediul platformei.

„Persoană vizată” înseamnă o persoană fizică identificată sau identificabilă ale cărei date cu caracter personal sunt prelucrate.

„Date cu caracter personal” înseamnă orice informații privind o Persoană vizată care sunt prelucrate prin intermediul Serviciilor.

„Prelucrare” înseamnă orice operațiune efectuată asupra datelor cu caracter personal, inclusiv colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea, extragerea, consultarea, utilizarea, divulgarea, diseminarea, restricționarea, ștergerea sau distrugerea.

„Persoană împuternicită de operator” înseamnă o persoană fizică sau juridică care prelucrează date cu caracter personal în numele Operatorului — în acest context, Acira AI LLC.

„Subprocesator” înseamnă orice terț angajat de Persoana împuternicită de operator pentru a prelucra date cu caracter personal în numele Operatorului.

„Clauze contractuale standard” sau „CCS” înseamnă clauzele contractuale standard pentru transferul datelor cu caracter personal către țări terțe adoptate de Comisia Europeană, în modulele aplicabile în temeiul prezentului DPA (a se vedea Secțiunile 2.7 și 7.1).

2. DOMENIUL DE APLICARE ȘI ROLURILE

2.1 Relația de prelucrare

Atunci când utilizați Serviciile pentru a crea și administra un site web care colectează date cu caracter personal de la vizitatorii site-ului dumneavoastră web (prin formulare, conturi de utilizator, comentarii, recenzii sau alte funcționalități interactive), dumneavoastră acționați în calitate de Operator, iar noi acționăm în calitate de Persoană împuternicită de operator pentru respectivele date cu caracter personal ale vizitatorilor.

2.2 Rolul nostru de operator

Acționăm în calitate de Operator independent pentru datele cu caracter personal pe care le colectăm în propriile noastre scopuri, inclusiv: informațiile contului dumneavoastră, datele de facturare, datele de analiză privind utilizarea, caracteristicile generale ale site-ului web derivate din conținutul site-ului dumneavoastră web (cum ar fi sectorul de activitate sau tipul de afacere) și datele privind funcționarea platformei. Prelucrarea acestor date este guvernată de Politica noastră de confidențialitate și nu intră în domeniul de aplicare al prezentului DPA.

Furnizorul de plăți (comerciantul înregistrat). Plățile pentru Serviciile plătite sunt gestionate de un furnizor terț de plăți care acționează în calitate de comerciant înregistrat (Merchant of Record) — vânzătorul înregistrat — pentru tranzacția dumneavoastră, în prezent Sold through Link, LLC („Link”), o entitate afiliată Stripe. În această calitate, furnizorul stabilește scopurile și mijloacele de prelucrare a detaliilor de plată pe care le transmiteți la finalizarea comenzii și, prin urmare, acționează în calitate de operator independent în nume propriu, nu în calitate de subprocesator al nostru. Prelucrarea efectuată de acesta este guvernată de propriii săi termeni și de propria sa notă de informare privind confidențialitatea și nu intră în domeniul de aplicare al prezentului DPA. Primim de la acesta doar date limitate privind tranzacțiile și facturarea, pe care le prelucrăm în calitate de Operator independent, astfel cum este descris mai sus.

2.3 Analiza platformei

Colectăm date de analiză de bază privind vizitatorii site-urilor web, care respectă confidențialitatea (astfel cum este descris în Contract). Pentru datele de analiză, acționăm în calitate de operator asociat împreună cu dumneavoastră. Am conceput analiza astfel încât să reducem la minimum colectarea de date cu caracter personal — nu stocăm adresele IP brute, iar identificatorii vizitatorilor sunt pseudonimi (a se vedea Secțiunea 3.3). Responsabilitățile respective ale fiecărui operator asociat sunt următoarele:

• Acira AI (operator asociat): Stabilește mijloacele tehnice de colectare a datelor de analiză, inclusiv ce date sunt colectate, modul în care sunt calculați identificatorii vizitatorilor și modul în care datele sunt agregate. Suntem responsabili pentru securitatea și integritatea infrastructurii de analiză și pentru a răspunde întrebărilor generale privind modul în care funcționează analiza pe platformă.
• Dumneavoastră (operator asociat): Administrați site-ul web pe care sunt colectate datele de analiză (analiza este furnizată ca parte integrantă a Serviciilor pe toate site-urile web găzduite). Sunteți responsabil pentru menționarea colectării datelor de analiză în politica de confidențialitate a site-ului dumneavoastră web și pentru a răspunde cererilor Persoanelor vizate din rândul vizitatorilor site-ului dumneavoastră web privind datele lor de analiză.
• Punctul de contact pentru Persoanele vizate: Persoanele vizate vă pot contacta pe dumneavoastră (proprietarul site-ului web) cu privire la datele de analiză colectate pe site-ul dumneavoastră web. Dacă primim o cerere de la o Persoană vizată cu privire la datele de analiză, o vom îndruma către dumneavoastră, cu excepția cazului în care ne instruiți altfel. Pentru întrebări generale privind platforma, Persoanele vizate ne pot contacta la legal@acira.ai.

2.4 Elementele esențiale ale acordului dintre operatorii asociați

În conformitate cu articolul 26 alineatul (2) din RGPD, elementele esențiale ale acestui acord dintre operatorii asociați pentru datele de analiză sunt următoarele: noi (Acira AI) stabilim mijloacele tehnice și datele colectate; dumneavoastră (administratorul site-ului web) administrați site-ul web pe care sunt colectate datele de analiză și sunteți responsabil pentru informarea vizitatorilor dumneavoastră cu privire la colectare. Fiecare dintre noi este responsabil pentru obligațiile care îi revin în temeiul Legislației aplicabile privind protecția datelor. Sunteți principalul punct de contact pentru vizitatorii site-ului dumneavoastră web în ceea ce privește datele de analiză. Un rezumat al acestui acord este pus la dispoziția Persoanelor vizate prin intermediul prezentului DPA și la https://www.acira.ai/dpa.

2.5 Desemnarea ca furnizor de servicii în temeiul CCPA

În măsura în care prelucrăm în numele dumneavoastră informații cu caracter personal care fac obiectul California Consumer Privacy Act („CCPA”), suntem „furnizorul dumneavoastră de servicii” (service provider), astfel cum este definit în Cal. Civ. Code § 1798.140(ag). Nu vom:

• Vinde sau partaja (astfel cum acești termeni sunt definiți în CCPA) niciun fel de informații cu caracter personal pe care ni le furnizați;
• Păstra, utiliza sau divulga informații cu caracter personal în alt scop decât scopurile comerciale specificate în prezentul DPA și în Contract sau astfel cum este permis în alt mod de CCPA;
• Păstra, utiliza sau divulga informații cu caracter personal în afara relației comerciale directe dintre dumneavoastră și noi;
• Combina informațiile cu caracter personal primite de la dumneavoastră cu informații cu caracter personal pe care le primim de la o altă persoană sau în numele acesteia ori pe care le colectăm din propriile noastre interacțiuni cu consumatorii, cu excepția cazurilor permise de CCPA.

Putem deriva din conținutul site-ului dumneavoastră web caracteristici comerciale generale, neidentificatoare (cum ar fi clasificarea sectorului de activitate), în scopul furnizării de recomandări relevante de produse, astfel cum este descris în Secțiunea 2.2. Această utilizare limitată nu constituie vânzare, partajare sau combinare a informațiilor cu caracter personal în sensul CCPA.

Certificăm că înțelegem aceste restricții și că le vom respecta.

2.6 Desemnarea reprezentanților

Desemnăm un reprezentant pentru protecția datelor în fiecare jurisdicție în care legislația aplicabilă ne impune acest lucru și identificăm orice astfel de reprezentant în Politica noastră de confidențialitate. Evaluăm activitățile noastre de prelucrare în raport cu pragurile de desemnare a reprezentanților din jurisdicțiile relevante pentru Serviciile noastre — inclusiv articolul 14 din Legea federală elvețiană privind protecția datelor (FADP).

2.7 Site-uri web gestionate de agenții

În cazul în care un site web este creat sau administrat prin intermediul Programului nostru pentru agenții, o agenție („Agenția”) utilizează Serviciile pentru a construi și gestiona site-ul web în numele propriului său client („Clientul final”). În cadrul acestui aranjament:

• Clientul final (sau, în cazul în care Agenția administrează site-ul web în propriile sale scopuri, Agenția) este Operatorul datelor cu caracter personal ale vizitatorilor colectate prin intermediul site-ului web gestionat.
• În cazul în care Agenția acționează în calitate de persoană împuternicită de operator pentru Clientul său final, noi acționăm în calitate de subprocesator angajat de Agenție, iar clauzele contractuale standard pentru relația dintre persoana împuternicită de operator și subprocesator (Modulul trei) se aplică acestei verigi, în plus față de modulele descrise în Secțiunea 7. În cazul în care Agenția este ea însăși Operatorul, noi acționăm în calitate de Persoană împuternicită de operator a acesteia, astfel cum este descris în prezentul DPA.
• Agenția este responsabilă pentru încheierea unui acord de prelucrare a datelor cu fiecare Client final, în condiții compatibile cu prezentul DPA, și pentru a se asigura că are autoritatea de a ne da instrucțiuni în numele Clientului final.
• Personalul Agenției căruia i s-a acordat acces la un site web gestionat poate accesa datele cu caracter personal ale vizitatorilor stocate pentru acel site web (inclusiv trimiterile de formulare, datele de sesiune și înregistrările din tabelele de utilizatori) pentru a construi, gestiona și administra site-ul web. Agenția este responsabilă pentru restricționarea și supravegherea unui astfel de acces în conformitate cu Legislația aplicabilă privind protecția datelor.

Termenii Programului pentru agenții, inclusiv obligațiile Agenției, sunt stabiliți în Termenii pentru agenții Acira AI, disponibili la https://www.acira.ai/agency-terms.

3. DETALII PRIVIND PRELUCRAREA DATELOR

3.1 Obiectul și durata

Prelucrarea datelor cu caracter personal în temeiul prezentului DPA se efectuează în scopul furnizării Serviciilor, astfel cum sunt descrise în Contract, și va continua pe durata Contractului.

3.2 Natura și scopul prelucrării

Prelucrăm date cu caracter personal pentru:

• A găzdui și livra conținutul site-ului dumneavoastră web
• A stoca și gestiona datele transmise prin formularele și funcționalitățile interactive ale site-ului dumneavoastră web
• A menține conturile de utilizator și sesiunile pentru zonele protejate ale site-ului dumneavoastră web
• A livra comunicări prin email în numele dumneavoastră
• A redirecționa emailurile primite la adresele de email ale domeniului dumneavoastră personalizat
• A efectua inferența AI solicitată de propriul cod al site-ului dumneavoastră web (solicitările și răspunsurile nu sunt păstrate)
• A genera, cu ajutorul AI, descrieri și metadate pentru fișierele încărcate
• A converti fișierele încărcate în formate optimizate pentru web
• A furniza date de analiză privind vizitatorii
• A prelucra înregistrările site-ului dumneavoastră web cu ajutorul asistentului AI, atunci când îi solicitați să le citească sau să acționeze asupra lor
• A genera documente PDF din șabloanele site-ului dumneavoastră web
• A rula lucrările în fundal, sarcinile programate și automatizările pe care le configurați
• A efectua solicitări de rețea de ieșire inițiate de propriul cod al site-ului dumneavoastră web (cum ar fi webhookuri și apeluri către API-uri externe)
• A realiza capturi de ecran ale paginilor site-ului dumneavoastră web în vederea revizuirii designului și a aplicării politicii privind conținutul
• A detecta și a preveni spamul și abuzurile (inclusiv prin protecția automatizată împotriva boților)
• A efectua moderarea conținutului fișierelor încărcate
• A revizui conținutul site-ului web la publicare în privința conformității cu politicile platformei privind conținutul
• A gestiona preferințele de renunțare la emailuri ale destinatarilor emailurilor site-ului dumneavoastră web
• A facilita comunicările prin canale în timp real pe site-ul dumneavoastră web prin conexiuni WebSocket (mesajele sunt efemere și nu sunt stocate permanent)
• A oferi acces programatic la conținutul și datele site-ului dumneavoastră web prin interfața de linie de comandă (CLI) și prin alte API-uri programatice, conform instrucțiunilor dumneavoastră (inclusiv preluarea și exportul conținutului în mediul dumneavoastră local)
• A menține jurnale de erori și de diagnosticare pentru fiabilitatea platformei și pentru depanare (jurnalele de erori ale platformei pot include adrese IP și metadate ale solicitărilor; păstrarea este stabilită în Secțiunea 12.1)

3.3 Tipurile de date cu caracter personal

Tipurile de date cu caracter personal prelucrate depind de ceea ce colectați prin intermediul site-ului dumneavoastră web și pot include:

• Nume și date de contact
• Adrese de email
• Mesaje și trimiteri de formulare
• Fișiere încărcate de vizitatorii site-ului web (cum ar fi imagini și documente)
• Datele de autentificare ale conturilor de utilizator (stocate sub formă hash)
• Date de sesiune
• Adrese IP (nu sunt stocate: o adresă este utilizată în tranzit pentru a direcționa solicitarea, pentru a determina țara și regiunea și pentru protecția împotriva boților. Acolo unde un identificator trebuie să persiste — pentru analiză și limitarea ratei — se păstrează doar un hash cu cheie, specific fiecărui site web, iar identificatorii de analiză se schimbă zilnic. Trimiterile de formulare înregistrează țara și regiunea, nu adresa. Propriul cod al paginilor dumneavoastră poate citi adresa IP a unui vizitator; orice alegeți să stocați constituie propria dumneavoastră colectare, pentru care sunteți operatorul)
• Informații despre browser și dispozitiv
• Date de localizare (la nivel de țară și regiune, derivate din adresa IP)
• Înregistrările privind renunțarea la emailuri (adresa de email a destinatarului și tipul de mesaje la care a renunțat, puse la dispoziția dumneavoastră pentru a putea respecta și gestiona lista de renunțări a site-ului dumneavoastră web)
• Rezultatele clasificării spamului (dacă o trimitere a fost considerată spam)
• Datele din jurnalele de erori și de diagnosticare (căile solicitărilor, detaliile erorilor și, în jurnalele de erori ale platformei, adresele IP; păstrarea este stabilită în Secțiunea 12.1)

3.4 Categoriile de persoane vizate

• Vizitatorii site-ului dumneavoastră web
• Utilizatorii care își creează conturi pe site-ul dumneavoastră web
• Utilizatorii care trimit formulare pe site-ul dumneavoastră web
• Utilizatorii care trimit comentarii, recenzii sau alte contribuții pe site-ul dumneavoastră web

4. OBLIGAȚIILE PERSOANEI ÎMPUTERNICITE DE OPERATOR

Ne obligăm:

1. Să prelucrăm date cu caracter personal numai pe baza instrucțiunilor dumneavoastră documentate, cu excepția cazului în care legislația aplicabilă ne impune acest lucru (caz în care vă vom informa cu privire la această cerință legală înainte de prelucrare, cu excepția cazului în care legea interzice acest lucru);
2. Să ne asigurăm că persoanele autorizate să prelucreze date cu caracter personal s-au angajat să respecte confidențialitatea sau au o obligație legală adecvată de confidențialitate;
3. Să punem în aplicare măsuri de securitate tehnice și organizatorice adecvate, astfel cum sunt descrise în Secțiunea 9;
4. Să respectăm condițiile pentru angajarea subprocesatorilor, astfel cum sunt stabilite în Secțiunea 6;
5. Să vă asistăm, ținând seama de natura prelucrării, în vederea soluționării cererilor Persoanelor vizate care își exercită drepturile în temeiul Legislației aplicabile privind protecția datelor;
6. Să vă asistăm în asigurarea respectării obligațiilor care vă revin în temeiul articolelor 32-36 din RGPD (securitatea, notificarea încălcărilor, evaluările impactului asupra protecției datelor și consultarea prealabilă), ținând seama de natura prelucrării și de informațiile de care dispunem. În cazul în care utilizarea de către dumneavoastră a Serviciilor implică o prelucrare cu risc ridicat care poate necesita o evaluare a impactului asupra protecției datelor (DPIA), vă vom furniza informații despre activitățile noastre de prelucrare, despre măsurile tehnice și organizatorice și despre subprocesatori, pentru a sprijini evaluarea dumneavoastră;
7. Să vă asistăm în îndeplinirea obligațiilor care vă revin în temeiul articolului 22 din RGPD (procesul decizional individual automatizat), furnizând informații despre orice prelucrare automatizată efectuată în numele dumneavoastră, inclusiv moderarea conținutului, detectarea spamului și protecția împotriva boților, și facilitând, la cerere, revizuirea umană a deciziilor automatizate;
8. Să vă informăm dacă, în opinia noastră, o instrucțiune primită de la dumneavoastră încalcă Legislația aplicabilă privind protecția datelor;
9. La alegerea dumneavoastră, să ștergem sau să vă returnăm toate datele cu caracter personal după încetarea furnizării Serviciilor și să ștergem copiile existente, cu excepția cazului în care legislația aplicabilă impune stocarea acestora;
10. Să vă punem la dispoziție toate informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute în prezentul DPA și să permitem și să contribuim la audituri, inclusiv inspecții, astfel cum este descris în Secțiunea 11.

5. OBLIGAȚIILE OPERATORULUI

Vă obligați:

1. Să vă asigurați că colectarea și prelucrarea de către dumneavoastră a datelor cu caracter personal prin intermediul site-ului dumneavoastră web respectă Legislația aplicabilă privind protecția datelor;
2. Să furnizați vizitatorilor site-ului dumneavoastră web note de informare adecvate privind confidențialitatea, care să descrie practicile dumneavoastră de colectare a datelor, inclusiv informarea cu privire la analiza la nivelul platformei, la detectarea spamului și la protecția împotriva boților;
3. Să obțineți toate consimțămintele necesare sau să stabiliți un alt temei legal pentru prelucrarea datelor cu caracter personal prin intermediul site-ului dumneavoastră web;
4. Să vă asigurați că instrucțiunile pe care ni le dați cu privire la prelucrarea datelor cu caracter personal respectă Legislația aplicabilă privind protecția datelor;
5. Să răspundeți pentru exactitatea, calitatea și legalitatea datelor cu caracter personal furnizate nouă prin intermediul site-ului dumneavoastră web.

Prin utilizarea Serviciilor, ne instruiți să efectuăm următoarele activități de prelucrare în numele dumneavoastră, ca parte a operațiunilor standard ale platformei: moderarea conținutului fișierelor încărcate, revizuirea conținutului site-urilor web publicate în raport cu politica privind conținutul, detectarea spamului în trimiterile de formulare (inclusiv verificarea conținutului acestora pe bază de AI, cu excepția cazului în care o dezactivați) și protecția automatizată împotriva boților. Aceste activități constituie instrucțiuni documentate în sensul articolului 28 alineatul (3) litera (a) din RGPD.

6. SUBPROCESATORI

6.1 Subprocesatori autorizați

Ne acordați o autorizare generală de a angaja subprocesatori care să ne asiste în furnizarea Serviciilor. Subprocesatorii noștri actuali sunt enumerați mai jos și la https://www.acira.ai/dpa.

6.2 Lista actuală a subprocesatorilor

Procesarea plăților este efectuată de Comerciantul nostru înregistrat (Link, o entitate afiliată Stripe), care acționează în calitate de operator independent, și nu de subprocesator, și, prin urmare, nu este inclus în lista de mai sus; a se vedea Secțiunea 2.2.

6.3 Modificări privind subprocesatorii

Modificările listei subprocesatorilor se efectuează numai în temeiul prezentei Secțiuni 6.3; acestea nu constituie modificări ale prezentului DPA în sensul Secțiunii 13. Vă vom notifica orice modificări intenționate ale listei subprocesatorilor pentru Serviciile pe care le utilizați în prezent cu cel puțin cincisprezece (15) zile înainte ca noul subprocesator să înceapă să prelucreze date cu caracter personal, prin actualizarea listei subprocesatorilor la https://www.acira.ai/dpa și, dacă v-ați abonat la notificările privind subprocesatorii, prin email. Vă puteți abona pentru a primi notificări privind modificările subprocesatorilor trimițând un email la legal@acira.ai, cu subiectul „Subprocessor Notifications”. Atunci când introducem funcționalități sau servicii noi care implică subprocesatori suplimentari, acești subprocesatori vor fi comunicați în momentul în care funcționalitatea sau serviciul devine disponibil; utilizarea de către dumneavoastră a noii funcționalități sau a noului serviciu constituie acceptarea subprocesatorilor comunicați ai acestora. În cazul în care trebuie să înlocuim de urgență un subprocesator din motive de securitate sau de continuitate, vă vom notifica cât mai curând posibil. Dacă aveți o obiecție rezonabilă față de un nou subprocesator care prelucrează date pentru Serviciile existente, ne puteți notifica în scris în termen de cincisprezece (15) zile de la notificare. Vom colabora cu dumneavoastră cu bună-credință pentru a răspunde preocupărilor dumneavoastră. Dacă nu putem soluționa obiecția într-un mod care să vă satisfacă în mod rezonabil, puteți rezilia Contractul printr-o notificare scrisă.

6.4 Obligațiile subprocesatorilor

Vom încheia acorduri scrise cu fiecare subprocesator, care impun obligații de protecție a datelor cel puțin la fel de protectoare ca cele stabilite în prezentul DPA. Rămânem răspunzători pentru acțiunile și omisiunile subprocesatorilor noștri în aceeași măsură în care am răspunde dacă am presta serviciile direct.

7. TRANSFERURI INTERNAȚIONALE DE DATE

7.1 Mecanisme de transfer

Serviciile sunt găzduite în principal în Statele Unite. Datele cu caracter personal prelucrate prin intermediul Serviciilor pot fi transferate și prelucrate în Statele Unite și în alte țări în care își desfășoară activitatea subprocesatorii noștri. Furnizorii noștri de inferență AI (Fireworks AI și xAI) și furnizorul nostru de conversie a fișierelor (CloudConvert) prelucrează date în Statele Unite, iar furnizorii noștri de inferență AI pot prelucra date și în alte locații în care își desfășoară activitatea. BrightData poate prelucra date în Israel și în alte locații la nivel global. Cloudflare prelucrează date în locații edge din întreaga lume.

Rezidența datelor în UE: Pentru site-urile web a căror țară de funcționare, stabilită la crearea site-ului web și înainte de lansarea acestuia, este un stat membru al Uniunii Europene („administratori de site-uri web rezidenți în UE”; celelalte țări din SEE, Regatul Unit și Elveția nu sunt incluse), aplicăm următoarele măsuri de rezidență a datelor pentru a reduce la minimum transferurile datelor cu caracter personal ale vizitatorilor în afara Uniunii Europene:

• Stocare: Datele vizitatorilor din stocarea edge persistentă — inclusiv trimiterile de formulare, datele de sesiune și datele din tabelele de utilizatori — sunt restricționate din punct de vedere jurisdicțional la Uniunea Europeană și sunt stocate în aceasta.
• Prelucrarea automatizată destinată vizitatorilor: Operațiunile declanșate automat de activitatea vizitatorilor — inclusiv notificările privind noile înregistrări din baza de date a site-ului web, livrarea emailurilor tranzacționale și traducerea automată a conținutului bazei de date a site-ului web în limbile suplimentare ale site-ului — sunt prelucrate în Uniunea Europeană (Stockholm).
• Accesul prin intermediul gestionării platformei: Atunci când accesați datele vizitatorilor site-ului dumneavoastră web prin intermediul tabloului de bord al platformei, al interfeței conversaționale (inclusiv atunci când solicitați asistentului AI să citească înregistrările site-ului dumneavoastră web sau să acționeze asupra acestora, înregistrări care sunt apoi prelucrate de furnizorul nostru de inferență AI, Fireworks AI, în Statele Unite) sau al interfeței de linie de comandă (CLI) ori al altor API-uri programatice (de exemplu, vizualizarea trimiterilor de formulare, gestionarea înregistrărilor utilizatorilor sau exportul conținutului în mediul dumneavoastră local), aceste date pot fi prelucrate prin intermediul infrastructurii noastre din SUA pentru a vă îndeplini solicitarea și — în cazul în care utilizați CLI sau o interfață programatică — pot fi transmise și stocate în mediul în care rulați aceste instrumente. Aceste transferuri au loc la cerere, sunt inițiate de dumneavoastră (Operatorul) și sunt protejate prin mecanismele de transfer și măsurile suplimentare descrise mai jos, în măsura în care datele rămân în cadrul infrastructurii noastre. Odată ce exportați sau preluați date cu caracter personal în propriul mediu (cum ar fi un computer local sau un instrument de dezvoltare al unui terț), sunteți responsabil pentru securitatea și gestionarea legală a acestora; măsurile noastre de rezidență jurisdicțională și celelalte măsuri tehnice nu se extind asupra datelor cu caracter personal după ce acestea părăsesc infrastructura noastră.
• Jurnale de diagnosticare: Jurnalele de erori și de consolă generate de site-ul dumneavoastră web — rezultatele de diagnosticare afișate pe pagina Jurnale a platformei — sunt păstrate pe infrastructura noastră din SUA pe perioada stabilită în Secțiunea 12.1. Acestea sunt înregistrări operaționale păstrate pentru propria dumneavoastră consultare și nu sunt destinate să conțină date cu caracter personal ale vizitatorilor; dumneavoastră controlați ce scrie în acestea propriul cod al site-ului dumneavoastră web.
• Inferența AI solicitată de site-ul dumneavoastră web: Atunci când propriul cod al site-ului dumneavoastră web solicită inferență AI, solicitarea trece prin infrastructura noastră din Uniunea Europeană (Stockholm) și este prelucrată de furnizorul nostru de inferență AI, Fireworks AI, în Statele Unite; prelucrarea restricționată la UE nu este disponibilă pentru această funcționalitate. Dumneavoastră controlați ce trimite codul site-ului dumneavoastră web, inclusiv orice date cu caracter personal ale vizitatorilor, iar aceste transferuri fac obiectul mecanismelor de transfer de mai jos.
• Alte prelucrări în afara UE: Datele de analiză și datele prelucrate de infrastructura noastră cloud din SUA pentru moderarea conținutului și inferența AI pot fi totuși transferate în Statele Unite, iar conversia fișierelor se efectuează în Statele Unite. Clasificarea spamului bazată pe AI a trimiterilor de formulare rulează pe rețeaua globală a Cloudflare și nu este restricționată la UE. Aceste transferuri fac obiectul mecanismelor de transfer de mai jos.

Pentru transferurile de date cu caracter personal din SEE, din Regatul Unit sau din Elveția către țări care nu sunt recunoscute ca asigurând un nivel adecvat de protecție a datelor, ne bazăm pe:

1. Clauzele contractuale standard (CCS): Încorporăm prin trimitere în prezentul DPA clauzele contractuale standard ale Comisiei Europene: Modulul unu (de la operator la operator) pentru datele de analiză în cazul cărora acționăm în calitate de operator asociat (a se vedea Secțiunea 2.3) și Modulul doi (de la operator la persoana împuternicită de operator) pentru toate celelalte date cu caracter personal prelucrate în numele dumneavoastră. CCS sunt disponibile la https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en.
2. Actul adițional al Regatului Unit privind transferurile internaționale de date (UK International Data Transfer Addendum): Pentru transferurile din Regatul Unit, se aplică Actul adițional al Regatului Unit la CCS ale UE.
3. Mecanismele elvețiene de transfer al datelor: Pentru transferurile din Elveția, CCS se aplică cu modificările impuse de FADP.

În sensul CCS, părțile convin că: (a) exportatorul de date sunteți dumneavoastră, iar importatorul de date este Acira AI LLC; (b) anexa I.B (descrierea transferului) este completată prin Secțiunea 3 din prezentul DPA; (c) anexa II (măsurile tehnice și organizatorice) este completată prin Secțiunile 7.2 și 9 din prezentul DPA; (d) pentru clauza 9, se aplică opțiunea 2 (autorizare generală scrisă), cu termenul de notificare stabilit în Secțiunea 6.3; (e) clauza opțională de aderare (clauza 7) nu este utilizată; (f) pentru clauza 17 (legea aplicabilă) și clauza 18 (alegerea instanței), CCS sunt guvernate de legea Irlandei, iar litigiile care decurg din acestea sunt soluționate de instanțele din Irlanda; și (g) autoritatea de supraveghere competentă din anexa I.C se stabilește în conformitate cu clauza 13 din CCS. În sensul Actului adițional al Regatului Unit privind transferurile internaționale de date, tabelele 1 până la 3 se consideră completate cu informațiile corespunzătoare prevăzute în prezentul DPA și cu opțiunile privind CCS de mai sus, iar pentru tabelul 4, niciuna dintre părți nu poate înceta Actul adițional al Regatului Unit astfel cum este prevăzut în secțiunea 19 din Actul adițional al Regatului Unit.

7.2 Măsuri suplimentare

Punem în aplicare următoarele măsuri suplimentare pentru a proteja datele cu caracter personal transferate:

• Criptarea datelor în tranzit (TLS/SSL) și a datelor stocate
• Controale de acces și mecanisme de autentificare
• Revizuirea periodică a măsurilor noastre de securitate și a documentației de securitate a furnizorilor noștri
• Practici de reducere la minimum a datelor (de exemplu, identificatori pseudonimi ai vizitatorilor în locul stocării adreselor IP brute)
• Rezidența jurisdicțională a datelor pentru administratorii de site-uri web rezidenți în UE (stocarea persistentă și prelucrarea automatizată destinată vizitatorilor sunt restricționate la UE)
• Infrastructură de calcul și de email situată în UE pentru operațiunile automatizate destinate vizitatorilor (notificările privind noile înregistrări din baza de date a site-ului web și livrarea emailurilor tranzacționale sunt prelucrate în Uniunea Europeană pentru administratorii de site-uri web rezidenți în UE)

7.3 Evaluarea impactului transferurilor

Aceste măsuri suplimentare se bazează pe evaluarea de către noi a legislației și practicilor din țările de destinație, ținând seama de natura datelor transferate, de mecanismul de transfer utilizat și de garanțiile tehnice și organizatorice existente. Am evaluat că măsurile suplimentare descrise mai sus, împreună cu angajamentele din CCS, asigură un nivel adecvat de protecție pentru datele cu caracter personal transferate. Evaluarea noastră a impactului transferurilor este disponibilă la cerere, la legal@acira.ai, și o vom pune la dispoziția unei autorități de supraveghere competente, la cererea acesteia.

7.4 Transferurile de date din Canada

Pentru transferurile de date cu caracter personal din Canada, ne bazăm pe următoarele garanții pentru a ne asigura că datele cu caracter personal transferate în afara Canadei beneficiază de un nivel de protecție comparabil, astfel cum impun Personal Information Protection and Electronic Documents Act (PIPEDA) și legislația provincială aplicabilă privind confidențialitatea (inclusiv PIPA din Alberta, PIPA din Columbia Britanică și Legea din Quebec privind protecția informațiilor cu caracter personal în sectorul privat (Act respecting the protection of personal information in the private sector)):

1. Protecții contractuale: Acorduri scrise de prelucrare a datelor cu fiecare subprocesator, care impun obligații de protejare a datelor cu caracter personal la un standard compatibil cu legislația canadiană privind confidențialitatea, inclusiv cerințe privind garanțiile de securitate adecvate, limitările de utilizare, notificarea încălcărilor și accesul persoanelor vizate.
2. Garanții tehnice: Aceleași măsuri de criptare, pseudonimizare, control al accesului și reducere la minimum a datelor descrise în Secțiunea 7.2 se aplică transferurilor de date din Canada.
3. Garanții organizatorice: Verificarea prealabilă a subprocesatorilor, obligații de confidențialitate pentru personal și proceduri documentate de răspuns la incidente, astfel cum sunt descrise în prezentul DPA.

8. DREPTURILE PERSOANELOR VIZATE

8.1 Asistență în soluționarea cererilor

Vă vom asista în soluționarea cererilor Persoanelor vizate care își exercită drepturile în temeiul Legislației aplicabile privind protecția datelor, inclusiv drepturile de acces, rectificare, ștergere, restricționare, portabilitate și opoziție.

8.2 Notificare

Dacă primim o cerere sau o plângere privind protecția datelor direct de la o Persoană vizată în legătură cu date cu caracter personal prelucrate în numele dumneavoastră, v-o vom transmite cu promptitudine și nu vom răspunde la cerere sau la plângere fără instrucțiunile dumneavoastră, cu excepția cazului în care legislația aplicabilă impune acest lucru. În calitate de Operator, sunteți responsabil pentru gestionarea și soluționarea unor astfel de plângeri ale Persoanelor vizate, inclusiv pentru orice obligații de gestionare a plângerilor care vă revin în temeiul Legislației aplicabile privind protecția datelor (cum ar fi Secțiunea 164A din UK Data Protection Act 2018).

8.3 Instrumentele platformei

Furnizăm în cadrul Serviciilor instrumente care să vă ajute să dați curs cererilor Persoanelor vizate, inclusiv:

• Accesul la datele stocate în bazele de date ale site-ului dumneavoastră web și gestionarea acestora
• Ștergerea înregistrărilor individuale din bazele de date ale site-ului dumneavoastră web
• La cerere, putem furniza exporturi de date într-un format structurat, care poate fi citit automat, pentru a vă ajuta să vă îndepliniți obligațiile privind portabilitatea datelor

9. SECURITATEA DATELOR

9.1 Măsuri de securitate

Punem în aplicare și menținem măsuri tehnice și organizatorice adecvate pentru a proteja datele cu caracter personal împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, distrugerii sau deteriorării accidentale. Aceste măsuri includ:

• Criptare: Date criptate în tranzit prin TLS/SSL și în stare de repaus prin criptare conformă standardelor din industrie
• Controlul accesului: Controale de acces bazate pe roluri, politici de acces pe baza privilegiului minim și autentificare obligatorie pentru orice acces la cont și orice acces administrativ
• Securitatea infrastructurii: Infrastructură cloud gestionată, cu aplicarea automată a patch-urilor de securitate și protecție DDoS la marginea rețelei
• Izolarea datelor: Izolarea datelor fiecărui site web prin instanțe de stocare dedicate
• Monitorizare: Monitorizare și alertare automatizate, cu jurnalizare structurată
• Securitatea datelor de autentificare: Toate cheile API și secretele sunt stocate în servicii dedicate de gestionare a secretelor; parolele utilizatorilor sunt transformate prin hash cu algoritmi criptografici puternici, cu valori salt individuale pentru fiecare utilizator
• Protecția împotriva boților: Protecție automatizată împotriva boților pentru a preveni abuzurile automatizate

9.2 Confidențialitate

Ne asigurăm că întregul personal autorizat să prelucreze date cu caracter personal are obligații de confidențialitate.

10. NOTIFICAREA ÎNCĂLCĂRILOR SECURITĂȚII DATELOR

10.1 Notificarea Operatorului

Vă vom notifica fără întârzieri nejustificate după ce luăm cunoștință de o încălcare a securității datelor cu caracter personal care afectează datele cu caracter personal prelucrate în numele dumneavoastră. Notificarea va fi trimisă la datele de contact asociate contului dumneavoastră.

10.2 Conținutul notificării

Notificarea noastră privind încălcarea va include, în măsura în care sunt disponibile:

1. O descriere a naturii încălcării, inclusiv categoriile și numărul aproximativ de Persoane vizate și de înregistrări în cauză;
2. Numele și datele de contact ale persoanei noastre de contact pentru protecția datelor;
3. O descriere a consecințelor probabile ale încălcării;
4. O descriere a măsurilor luate sau propuse pentru remedierea încălcării și atenuarea efectelor acesteia.

10.3 Obligațiile dumneavoastră

Sunteți responsabil pentru notificarea autorității de supraveghere relevante și a Persoanelor vizate afectate cu privire la o încălcare a securității datelor cu caracter personal, astfel cum impune Legislația aplicabilă privind protecția datelor. Vom coopera cu dumneavoastră și vă vom oferi asistență rezonabilă pentru a vă ajuta să vă respectați obligațiile de notificare a încălcărilor.

11. AUDITURI ȘI VERIFICAREA CONFORMITĂȚII

11.1 Documentația de conformitate

Pentru a demonstra conformitatea noastră cu prezentul DPA, vă vom pune la dispoziție, la cererea dumneavoastră scrisă rezonabilă (cel mult o dată pe an), următoarele:

1. Rapoartele de audit relevante ale terților, certificările sau rezumatele evaluărilor de securitate;
2. Un rezumat al măsurilor noastre actuale de securitate tehnice și organizatorice;
3. Informații despre activitățile noastre de prelucrare, subprocesatori și practicile de protecție a datelor.

În cazul în care ne bazăm pe furnizori terți de infrastructură (cum ar fi AWS și Cloudflare), certificările de securitate și documentația de conformitate ale acestora sunt disponibile prin intermediul programelor lor respective de încredere și conformitate.

11.2 Întrebări suplimentare

Dacă documentația furnizată în temeiul Secțiunii 11.1 nu răspunde în mod rezonabil preocupărilor dumneavoastră privind conformitatea, puteți transmite în scris întrebări specifice cu privire la practicile noastre de protecție a datelor, la care vom răspunde într-un termen rezonabil.

11.3 Audituri și inspecții

În cazul în care documentația furnizată în temeiul Secțiunilor 11.1 și 11.2 este insuficientă pentru a demonstra conformitatea noastră cu prezentul DPA sau în cazul în care un audit este impus de o autoritate de supraveghere ori de Legislația aplicabilă privind protecția datelor, dumneavoastră (sau un auditor independent obligat să respecte confidențialitatea și care nu este un concurent al nostru) puteți audita conformitatea noastră cu prezentul DPA, inclusiv prin inspecție. Auditurile necesită o notificare scrisă prealabilă de cel puțin treizeci (30) de zile, pot avea loc cel mult o dată pe an (cu excepția cazului în care sunt impuse de o autoritate de supraveghere sau au loc în urma unei încălcări a securității datelor cu caracter personal care vă afectează datele), se desfășoară pe cheltuiala dumneavoastră, în timpul programului normal de lucru, într-un mod care reduce la minimum perturbările, și nu includ accesul la datele altor clienți sau la facilitățile subprocesatorilor noștri, pentru care vă vom furniza în schimb rapoartele de audit și certificările proprii ale subprocesatorilor.

12. PĂSTRAREA ȘI ȘTERGEREA DATELOR

12.1 Pe durata Contractului

Vom păstra datele cu caracter personal prelucrate în numele dumneavoastră pe durata Contractului și în conformitate cu instrucțiunile pe care ni le dați prin intermediul Serviciilor. Perioadele specifice de păstrare pentru datele vizitatorilor includ:

• Înregistrările din baza de date a site-ului web (cum ar fi trimiterile de formulare și alt conținut generat de utilizatori): Păstrate pe durata existenței site-ului web asociat, cu excepția cazului în care le ștergeți mai devreme cu ajutorul instrumentelor platformei.
• Datele de sesiune ale vizitatorilor site-ului dumneavoastră web: Șterse automat după 30 de zile de inactivitate.
• Conținutul vizitatorilor șters (înregistrările din baza de date a site-ului web, cum ar fi trimiterile de formulare, comentariile și alt conținut generat de utilizatori): Atunci când ștergeți conținutul vizitatorilor cu ajutorul instrumentelor platformei, acesta este trecut într-o stare de ștergere provizorie (soft-delete) și este păstrat timp de până la treizeci (30) de zile pentru a permite recuperarea. După această perioadă, conținutul șters provizoriu este eliminat din datele site-ului dumneavoastră web.
• Istoricul de recuperare la un moment dat: Modificările datelor stocate ale site-ului dumneavoastră web, inclusiv ștergerile, sunt păstrate în istoricul de recuperare la un moment dat al site-ului web timp de până la treizeci (30) de zile. Restaurarea site-ului dumneavoastră web la un moment anterior readuce datele în starea în care se aflau la acel moment, inclusiv înregistrările șterse ulterior; renunțările la emailuri sunt păstrate în cazul oricărei restaurări.
• Istoricul notificărilor: Atunci când Serviciile vă notifică cu privire la noi înregistrări în bazele de date ale site-ului dumneavoastră web, notificarea este păstrată și în istoricul notificărilor din aplicație timp de până la șase (6) luni. Pentru administratorii de site-uri web rezidenți în UE, aceasta conține un rezumat fără conținutul înregistrării.
• Înregistrările privind limitarea ratei pentru site-ul dumneavoastră web: Hash-urile cu cheie per vizitator descrise în Secțiunea 3.3, păstrate timp de până la trei (3) zile și apoi eliminate automat.
• Jurnalele de erori și de diagnosticare: Jurnalele de erori ale platformei (care pot include adrese IP) și jurnalul de diagnosticare propriu al site-ului dumneavoastră web, afișat pe pagina Jurnale a acestuia, sunt păstrate timp de până la nouăzeci (90) de zile, inclusiv după ștergerea site-ului web, și apoi eliminate automat.
• Înregistrările privind renunțarea la emailuri de pe site-ul dumneavoastră web: Păstrate pe durata existenței site-ului web asociat, cu excepția cazului în care destinatarul se reabonează. Înregistrările privind renunțarea sunt șterse la ștergerea site-ului web.
• Datele de analiză: Păstrate pe durata existenței site-ului web asociat. Limitele de păstrare în funcție de plan, descrise pe pagina noastră de prețuri, determină câte date istorice de analiză rămân afișate și accesibile.

12.2 La încetare

La încetarea Contractului sau la cererea dumneavoastră, vom șterge datele cu caracter personal prelucrate în numele dumneavoastră în conformitate cu practicile de păstrare a datelor descrise în Contract (inclusiv perioada de grație pentru ștergerea conturilor și a site-urilor web descrisă în acesta). După perioada de grație, ștergerea este permanentă și ireversibilă.

12.3 Excepții

Putem păstra date cu caracter personal în măsura impusă de legislația aplicabilă sau în cazul în care datele au fost anonimizate și nu mai pot fi asociate unei Persoane vizate.

13. DURATA ȘI ÎNCETAREA

Prezentul DPA intră în vigoare la data la care acceptați Contractul și rămâne în vigoare atât timp cât prelucrăm date cu caracter personal în numele dumneavoastră. Obligațiile de confidențialitate și de protecție a datelor stabilite în prezentul DPA rămân în vigoare după încetarea Contractului.

Modificări ale prezentului DPA. Putem modifica prezentul DPA în același mod ca și Contractul (a se vedea „Modificări ale acestor Termeni și condiții” în Contract): trimitem prin email un rezumat al unei modificări semnificative la adresa asociată contului dumneavoastră cu cel puțin treizeci (30) de zile înainte ca aceasta să intre în vigoare, cu excepția cazului în care o modificare este impusă de lege sau este necesară de urgență din motive de securitate, fraudă sau abuz, iar modificările nesemnificative intră în vigoare la publicare. Modificările listei subprocesatorilor urmează, în schimb, Secțiunea 6.3. Nicio modificare a prezentului DPA nu modifică clauzele contractuale standard, care sunt încorporate fără modificări, și nici nu reduce protecția pe care acestea o oferă.

Un exemplar semnat (contrasemnat) al prezentului DPA, inclusiv al clauzelor contractuale standard încorporate prin trimitere, este disponibil la cerere scrisă adresată la legal@acira.ai.

14. LIMITAREA RĂSPUNDERII

Răspunderea fiecărei părți în temeiul prezentului DPA face obiectul limitărilor răspunderii stabilite în Contract.

15. CONTACT

Pentru întrebări despre prezentul DPA sau pentru a vă exercita drepturile, contactați-ne la:

Acira AI LLC
În atenția: Protecția datelor
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
Statele Unite

Telefon: 888-389-1189
Email: legal@acira.ai