ОЦЕНКА ВОЗДЕЙСТВИЯ ПЕРЕДАЧИ ДАННЫХ

Последнее обновление: 19 марта 2026 г.

Настоящая Оценка воздействия передачи данных («ОВП») подготовлена Acira AI LLC («Acira AI», «мы», «нас») в соответствии с требованиями решения Суда Европейского союза по делу Data Protection Commissioner v. Facebook Ireland Limited and Maximillian Schrems (Дело C-311/18, «Schrems II») и рекомендациями Европейского совета по защите данных (Рекомендации ЕСЗД 01/2020 о дополнительных мерах).

Настоящая ОВП оценивает достаточность защиты персональных данных, передаваемых из Европейской экономической зоны («ЕЭЗ»), Великобритании, Швейцарии и Канады в Соединённые Штаты и другие третьи страны в связи с предоставлением наших Услуг.

Настоящая ОВП может быть переведена на другие языки для вашего удобства. В случае каких-либо противоречий или несоответствий между английской версией и любой переводной версией приоритет имеет английская версия.

СОДЕРЖАНИЕ

1. ОБЗОР ПЕРЕДАЧ ДАННЫХ
2. ХАРАКТЕР ПЕРЕДАВАЕМЫХ ДАННЫХ
3. МЕХАНИЗМЫ ПЕРЕДАЧИ
4. ОЦЕНКА ЗАКОНОДАТЕЛЬСТВА СТРАН НАЗНАЧЕНИЯ
5. ОЦЕНКА ПОТОКОВ ДАННЫХ ПО ПОСТАВЩИКУ УСЛУГ
6. ДОПОЛНИТЕЛЬНЫЕ МЕРЫ
7. ОЦЕНКА РИСКОВ
8. ЗАКЛЮЧЕНИЕ
9. ГРАФИК ПРОВЕРОК
10. СВЯЖИТЕСЬ С НАМИ

1. ОБЗОР ПЕРЕДАЧ ДАННЫХ

1.1 Контекст

Acira AI — это программная платформа как услуга (SaaS), которая позволяет предприятиям и частным лицам создавать, управлять и размещать веб-сайты на базе искусственного интеллекта. Когда пользователи создают веб-сайты, к которым получают доступ посетители, находящиеся в ЕЭЗ, Великобритании, Швейцарии или Канаде, персональные данные таких посетителей могут передаваться в Соединённые Штаты и другие места, где работают наши поставщики инфраструктуры, и обрабатываться там.

1.2 Стороны

• Экспортёр данных: Оператор веб-сайта (наш клиент, действующий в роли Контролёра), а также, в отношении аналитических данных, Acira AI в роли Совместного контролёра.
• Импортёр данных: Acira AI LLC, зарегистрированная в штате Невада, США, действующая в роли Обработчика (и Совместного контролёра в отношении аналитики).
• Субпроцессоры: Сторонние поставщики услуг, привлечённые Acira AI (перечислены в Разделе 5).

1.3 Места назначения передач

2. ХАРАКТЕР ПЕРЕДАВАЕМЫХ ДАННЫХ

2.1 Категории персональных данных

Передаваемые персональные данные зависят от функций, включённых оператором веб-сайта, и взаимодействий посетителей сайта. Могут передаваться следующие категории:

2.2 Категории субъектов данных

• Посетители веб-сайтов, размещённых на платформе Acira AI
• Пользователи, создающие аккаунты на сайтах, размещённых на платформе
• Пользователи, отправляющие формы, взаимодействующие с чат-ботами или загружающие файлы на размещённых сайтах

2.3 Данные, не передаваемые

• Данные геолокации: Определение местоположения по IP выполняется на сетевой границе нашим поставщиком инфраструктуры. IP-адреса посетителей не передаются ни в какую внешнюю службу геолокации.
• Необработанные аналитические IP-адреса: Хранится только ежедневно обновляемый криптографический хэш; необработанные IP-адреса не сохраняются в аналитических системах.
• Пароли в открытом виде: Хранятся и передаются только криптографические хэши.

3. МЕХАНИЗМЫ ПЕРЕДАЧИ

3.1 Основной механизм: Стандартные договорные положения

Мы используем Стандартные договорные положения (СДП), принятые Европейской комиссией в соответствии с Имплементационным решением Комиссии (ЕС) 2021/914, в частности:

• Модуль 1 (Контролёр — Контролёру): Для передач аналитических данных, когда Acira AI действует в роли совместного контролёра с оператором веб-сайта (см. Раздел 2.3 DPA).
• Модуль 2 (Контролёр — Обработчику): Для передач персональных данных посетителей от оператора веб-сайта (Контролёра) к Acira AI (Обработчику).
• Модуль 3 (Обработчик — Субпроцессору): Для последующих передач от Acira AI нашим субпроцессорам.

3.2 Передачи в Великобританию, Швейцарию и Канаду

• Великобритания: Применяется Приложение к международной передаче данных Великобритании к СДП ЕС.
• Швейцария: СДП применяются с модификациями, требуемыми Федеральным законом Швейцарии о защите данных (FADP).
• Канада: Передачи основаны на договорных защитах с каждым субпроцессором, возлагающих обязательства, соответствующие Закону о защите персональной информации и электронных документах (PIPEDA) и применимому провинциальному законодательству о конфиденциальности, в сочетании с дополнительными техническими и организационными мерами, описанными в Разделе 6. Подробности см. в Разделе 7.4 DPA.

3.3 Механизмы передачи субпроцессоров

4. ОЦЕНКА ЗАКОНОДАТЕЛЬСТВА СТРАН НАЗНАЧЕНИЯ

4.1 Соединённые Штаты

Соединённые Штаты являются основным местом назначения передаваемых данных. Для настоящей оценки релевантны следующие законы США:

4.1.1 Закон о наблюдении за иностранными спецслужбами (FISA), Раздел 702

Раздел 702 FISA уполномочивает правительство США обязывать поставщиков услуг электронной связи предоставлять доступ к коммуникациям лиц, не являющихся гражданами США и находящихся за пределами США, в целях сбора разведывательных данных об иностранных государствах.

Оценка риска:

• Применимость: Раздел 702 FISA применяется к «поставщикам услуг электронной связи» в соответствии с определением 50 U.S.C. § 1881(b)(4). Acira AI — это SaaS-платформа для хостинга веб-сайтов, а не традиционный поставщик телекоммуникационных услуг. Наши субпроцессоры (AWS, Cloudflare) с большей вероятностью подпадают под действие директив Раздела 702.
• Объём данных под угрозой: Обрабатываемые нами персональные данные состоят главным образом из аналитики посетителей сайта (псевдонимизированной), отправленных форм и сообщений чат-бота. Эти данные вряд ли представляют интерес с точки зрения сбора разведывательных данных об иностранных государствах.
• Практическая вероятность: Мы никогда не получали директив в соответствии с Разделом 702 FISA и оцениваем практическую вероятность их получения как очень низкую, учитывая характер наших Услуг и обрабатываемые нами данные.

4.1.2 Исполнительный указ 12333

Исполнительный указ 12333 уполномочивает спецслужбы США проводить разведывательные операции, включая массовый сбор данных радиоэлектронной разведки. Он распространяется на данные в транзите и не обязывает частные компании к сотрудничеству.

Оценка риска:

• Снижение риска: Все данные в транзите зашифрованы с использованием TLS. Массовый перехват зашифрованных данных в транзите не позволит получить персональные данные в открытом виде.
• Практическая вероятность: Низкая. Данные, обрабатываемые через наши Услуги, не относятся к типу, который обычно является целью радиоэлектронной разведки.

4.1.3 Исполнительный указ 14086 и Рамки конфиденциальности данных ЕС-США

Исполнительный указ 14086 (октябрь 2022 г.) ввёл дополнительные гарантии для деятельности радиоэлектронной разведки, включая:

• Требования необходимости и соразмерности для сбора разведывательных данных
• Двухуровневый механизм обжалования (Офицер по защите гражданских свобод + Суд по проверке защиты данных), доступный для граждан ЕС/Великобритании/Швейцарии
• Ограничения на массовый сбор данных

Европейская комиссия 10 июля 2023 г. приняла решение об адекватности для Рамок конфиденциальности данных ЕС-США (DPF). Хотя Acira AI в настоящее время не имеет самосертификации в рамках DPF, защита, предусмотренная Исполнительным указом 14086, широко применяется ко всем передачам данных в Соединённые Штаты и распространяется на всех субъектов данных вне зависимости от используемого механизма передачи.

4.1.4 Закон CLOUD

Закон об уточнении правомерного использования данных за рубежом (CLOUD) позволяет правоохранительным органам США обязывать провайдеров, базирующихся в США, предоставлять данные независимо от места их хранения при наличии действительного ордера или постановления суда.

Оценка риска:

• Гарантии: Закон CLOUD требует надлежащего правового процесса (ордер, повестка или постановление суда). Он не разрешает несанкционированный массовый доступ.
• Положения о взаимной вежливости: Закон CLOUD включает механизм взаимной вежливости, позволяющий провайдерам оспаривать ордера, противоречащие иностранному законодательству.
• Практическая вероятность: Низкая для данных посетителей сайта. Запросы правоохранительных органов с большей вероятностью будут направлены на конкретные аккаунты, подозреваемые в преступной деятельности, а не на аналитику посетителей или отправленные формы.

4.2 Израиль (BrightData)

BrightData базируется в Израиле. Израиль имеет решение об адекватности, принятое Европейской комиссией (2011/61/ЕС), что означает, что передачи в Израиль рассматриваются аналогично передачам внутри ЕЭЗ. Тем не менее BrightData также обрабатывает данные в других глобальных локациях. Мы отмечаем следующее:

• Обработка данных BrightData осуществляется только по запросу пользователя (в ходе создания веб-сайта для импорта контента) или в ходе запланированного отслеживания SERP.
• Никакие персональные данные посетителей сайта не передаются в BrightData.

4.3 Канада (Передачи из Канады в Соединённые Штаты)

Персональные данные посетителей сайта, находящихся в Канаде, могут передаваться в Соединённые Штаты для обработки. Для настоящей оценки релевантны следующие канадские законы:

4.3.1 Закон о защите персональной информации и электронных документах (PIPEDA)

PIPEDA регулирует сбор, использование и раскрытие персональной информации частными организациями в ходе коммерческой деятельности. Принцип 4.1.3 PIPEDA требует, чтобы организации использовали договорные или иные средства для обеспечения сопоставимого уровня защиты при передаче персональной информации третьим сторонам для обработки, включая передачи за пределы Канады.

Оценка риска:

• Сопоставимая защита: Дополнительные меры, описанные в Разделе 6 (шифрование, псевдонимизация, контроль доступа, минимизация данных), обеспечивают уровень защиты, сопоставимый с требуемым по PIPEDA. Со всеми субпроцессорами заключены письменные договоры об обработке данных.
• Отсутствие требования об адекватности: В отличие от GDPR, PIPEDA не запрещает передачи в страны без решения об «адекватности». Организации должны обеспечивать сопоставимую защиту с помощью договорных и иных средств, которые мы реализовали.

4.3.2 Провинциальное законодательство о конфиденциальности

Закон о защите персональной информации Альберты (PIPA), Закон о защите персональной информации Британской Колумбии (PIPA) и Закон Квебека о защите персональной информации в частном секторе устанавливают дополнительные требования для определённых провинций:

Оценка риска:

• Закон 25 провинции Квебек: Модернизированный закон о конфиденциальности Квебека (действует с сентября 2023 г.) требует проведения оценки воздействия на конфиденциальность перед передачей персональной информации за пределы Квебека, и передающая организация должна убедиться в том, что информация будет надлежащим образом защищена. Наши договорные защиты, дополнительные технические меры и характер данных (преимущественно псевдонимизированная аналитика и взаимодействия на веб-сайтах малого бизнеса) подтверждают наличие надлежащей защиты.
• Альберта и Британская Колумбия: Законы PIPA Альберты и Британской Колумбии требуют от организаций обеспечения сопоставимой защиты передаваемых данных. Наши договорные и технические гарантии отвечают этому требованию.

4.3.3 Доступ правительства США с точки зрения Канады

Те же риски доступа правительства США, оценённые в Разделе 4.1, применимы к канадским передачам данных. Низкая вероятность доступа правительства (с учётом характера данных и профиля нашей компании) в сочетании с дополнительными мерами, описанными в Разделе 6, обеспечивает, что персональные данные, передаваемые из Канады в Соединённые Штаты, защищены на сопоставимом уровне, требуемом канадским законодательством о конфиденциальности.

4.4 Глобальные граничные локации (Cloudflare)

Cloudflare управляет глобальной сетью граничных локаций. Запросы посетителей из ЕС обычно обрабатываются в ближайшей точке присутствия Cloudflare, которая для посетителей из ЕС, как правило, будет располагаться в ЕС.

• Маршрутизация запросов, завершение TLS и защита от ботов осуществляются в ближайшей граничной локации.
• Для операторов сайтов, идентифицированных как резиденты ЕС, постоянное хранилище (содержащее отправленные формы, разговоры чат-бота и данные сессий) юрисдикционно ограничено Европейским Союзом с использованием API юрисдикции Cloudflare. Для операторов сайтов за пределами ЕС постоянное хранилище расположено вблизи географического региона оператора, но может находиться за пределами ЕС.
• Аналитические данные обрабатываются в инфраструктуре под управлением Cloudflare.

5. ОЦЕНКА ПОТОКОВ ДАННЫХ ПО ПОСТАВЩИКУ УСЛУГ

5.1 Amazon Web Services (США)

Гарантии AWS:

• Сертификаты ISO 27001, 27017, 27018
• Доступны отчёты SOC 1/2/3
• Данные зашифрованы в состоянии покоя с использованием отраслевого стандарта шифрования
• Данные зашифрованы в транзите (TLS)
• Средства контроля доступа с минимальными привилегиями для каждого компонента системы
• Основные сервисы размещены в США; автоматизированные операции, ориентированные на посетителей (уведомления об отправке контента и транзакционная доставка электронной почты) для операторов веб-сайтов, проживающих в ЕС, обрабатываются в Европейском Союзе (Стокгольм)

5.2 Cloudflare (Глобально)

Гарантии Cloudflare:

• Сертификат ISO 27001, SOC 2 Type II
• TLS 1.2+ для всех соединений
• Доступны Cloudflare DPA со СДП
• Граничная обработка означает, что данные посетителей из ЕС, как правило, обрабатываются в граничных локациях ЕС при обработке запросов
• Для операторов веб-сайтов, идентифицированных как резиденты ЕС, постоянное хранилище (содержащее отправленные формы, разговоры с чат-ботом, данные сессий и данные пользовательских таблиц) юрисдикционно ограничено Европейским Союзом с использованием API юрисдикции Cloudflare, гарантируя, что эти данные хранятся и обрабатываются исключительно в дата-центрах ЕС. Вызовы бэкенд API с периферии (для уведомлений об отправке контента и транзакционной доставки электронной почты) направляются в инфраструктуру AWS, расположенную в ЕС.
• Вывод ИИ не сохраняет входные данные для обучения

5.3 Stripe (США)

Примечание: Stripe не получает персональные данные посетителей сайта. Через Stripe обрабатывается только платёжная информация оператора веб-сайта (нашего клиента).

Гарантии Stripe:

• Сертификат PCI DSS Уровень 1
• Сертификат ISO 27001
• Доступны Stripe DPA со СДП

5.4 Поставщики вывода ИИ (США)

Fireworks AI и xAI предоставляют услуги вывода моделей ИИ.

Примечание: Эти поставщики ИИ не получают персональные данные посетителей сайта. Функция чат-бота (обслуживающая посетителей сайта) использует Cloudflare Workers AI (оценённый в Разделе 5.2), а не этих поставщиков. Однако разговорный ИИ-ассистент платформы — используемый операторами сайтов для управления своими веб-сайтами — передаёт персональные данные пользователей платформы (имя, адрес электронной почты и историю разговоров) этим поставщикам в рамках генерации ответов. Для данной обработки Acira AI действует в роли контролёра (а не обработчика), и субъектами данных являются наши пользователи платформы (операторы сайтов), а не их посетители. Этот поток данных регулируется нашей Политикой конфиденциальности и нашими соглашениями с этими поставщиками, а не рамками контролёра-обработчика DPA для данных посетителей.

Семейства моделей: Эти поставщики инфраструктуры размещают и выполняют модели ИИ, разработанные различными третьими сторонами. Конкретные модели и семейства моделей могут меняться со временем. Разработчики моделей не получают и не имеют доступа к каким-либо данным пользователей — вся обработка данных осуществляется исключительно в инфраструктуре перечисленных субпроцессоров, вне зависимости от места первоначальной разработки модели. Вся обработка вывода ИИ остаётся в инфраструктуре наших перечисленных субпроцессоров. Никакие данные пользователей не передаются разработчикам моделей или в инфраструктуру за пределами субпроцессоров, перечисленных в настоящей оценке. Актуальный список используемых семейств моделей доступен по запросу по адресу legal@acira.ai.

5.5 BrightData (Израиль / Глобально)

Примечание: BrightData не обрабатывает персональные данные посетителей сайта. Он обрабатывает общедоступный веб-контент по запросу пользователя и отслеживает позиции в поисковых системах для пользовательских ключевых слов.

5.6 Поставщики из ЕС (Без передачи)

Эти поставщики обрабатывают данные в ЕС и не составляют международную передачу. Black Forest Labs получает только текстовые подсказки для генерации изображений; персональные данные не задействованы.

6. ДОПОЛНИТЕЛЬНЫЕ МЕРЫ

В дополнение к СДП мы реализуем следующие дополнительные меры для обеспечения по существу эквивалентного уровня защиты передаваемых персональных данных:

6.1 Технические меры

6.2 Организационные меры

6.3 Договорные меры

7. ОЦЕНКА РИСКОВ

7.1 Вероятность доступа правительства

Общая вероятность: НИЗКАЯ

7.2 Последствия в случае доступа

Общие последствия: ОТ НИЗКИХ ДО СРЕДНИХ (в зависимости от чувствительности данных, собираемых отдельными операторами сайтов)

7.3 Оценка остаточного риска

Принимая во внимание низкую вероятность доступа правительства, дополнительные технические меры (шифрование, псевдонимизация, минимизация данных) и дополнительные гарантии, введённые Исполнительным указом 14086, мы оцениваем, что остаточный риск для субъектов данных является низким и что дополнительные меры в совокупности со СДП (для передач из ЕЭЗ/Великобритании/Швейцарии) и договорными защитами (для передач из Канады) обеспечивают уровень защиты, по существу эквивалентный гарантированному в ЕЭЗ и сопоставимый с требуемым канадским законодательством о конфиденциальности.

8. ЗАКЛЮЧЕНИЕ

На основании настоящей оценки мы заключаем следующее:

1. Персональные данные, передаваемые из ЕЭЗ/Великобритании/Швейцарии/Канады в Соединённые Штаты в связи с предоставлением наших Услуг, пользуются по существу эквивалентным уровнем защиты гарантированному законодательством ЕС о защите данных и сопоставимым уровнем защиты требуемому канадским законодательством о конфиденциальности.

2. Стандартные договорные положения в совокупности с дополнительными техническими, организационными и договорными мерами, описанными в Разделе 6, надлежащим образом устраняют риски, выявленные в настоящей оценке.

3. Характер данных (преимущественно псевдонимизированная аналитика и взаимодействия посетителей сайтов малого бизнеса) и профиль импортёра данных (небольшая SaaS-компания, а не поставщик телекоммуникационных услуг) существенно снижают практический риск правительственной слежки.

4. Защита, введённая Исполнительным указом 14086 и связанным механизмом обжалования, обеспечивает дополнительные гарантии, распространяющиеся на всех субъектов данных вне зависимости от конкретного используемого механизма передачи.

5. Для канадских передач договорные защиты и дополнительные меры, описанные в настоящем документе, обеспечивают сопоставимый уровень защиты требуемому по PIPEDA и применимому провинциальному законодательству о конфиденциальности, включая модернизированный закон о конфиденциальности Квебека.

6. Мы будем продолжать следить за изменениями в законодательстве и практике США в области слежки, а также за изменениями в канадском законодательстве о конфиденциальности (включая предлагаемый Закон о защите конфиденциальности потребителей), и будем пересматривать настоящую ОВП в случае существенного изменения обстоятельств.

Передачи могут осуществляться при условии продолжения применения СДП и дополнительных мер, описанных в настоящем документе.

9. ГРАФИК ПРОВЕРОК

Настоящая ОВП будет пересматриваться и обновляться:

• Ежегодно, как минимум, или
• При существенных изменениях применимых законов или нормативных актов (включая изменения в FISA, Законе CLOUD, Исполнительном указе 14086, PIPEDA или провинциальном законодательстве о конфиденциальности),
• При изменениях в составе наших субпроцессоров или характере передаваемых данных,
• После любого судебного решения, которое существенно влияет на действительность СДП или адекватность защиты данных в США.

10. СВЯЖИТЕСЬ С НАМИ

Если у вас возникли вопросы в связи с настоящей Оценкой воздействия передачи данных, свяжитесь с нами:

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
Соединённые Штаты

Телефон: 888-389-1189
Электронная почта: legal@acira.ai