DODATEK O OBDELAVI PODATKOV

Zadnja posodobitev: 6. oktober 2026

Ta Dodatek o obdelavi podatkov (»DPA«) je sestavni del Pogojev uporabe (»Pogodba«) med družbo Acira AI LLC (»Obdelovalec«, »mi«, »nas«) in uporabnikom Storitev (»Upravljavec«, »Vi«) ter dopolnjuje Pogodbo v zvezi z obdelavo osebnih podatkov.

Ta DPA se uporablja, ko s Storitvami ustvarjate, gostite in objavljate spletna mesta, ki zbirajo ali obdelujejo osebne podatke posameznikov, ki se nahajajo v Evropskem gospodarskem prostoru (»EGP«), Združenem kraljestvu (»ZK«) ali Švici, ali kadar to kako drugače zahteva veljavna zakonodaja o varstvu podatkov.

Ta DPA je lahko zaradi Vašega udobja preveden v druge jezike. V primeru kakršnega koli nasprotja ali neskladja med angleško različico in katero koli prevedeno različico prevlada angleška različica, razen kadar veljavna zakonodaja zahteva, da se uporablja ali prevlada prevedena različica ali da se kakršno koli neskladje razreši v Vašo korist. Za uporabnike v Québecu velja francoska različica.

KAZALO

1. OPREDELITEV POJMOV
2. PODROČJE UPORABE IN VLOGE
3. PODROBNOSTI O OBDELAVI PODATKOV
4. OBVEZNOSTI OBDELOVALCA
5. OBVEZNOSTI UPRAVLJAVCA
6. PODOBDELOVALCI
7. MEDNARODNI PRENOSI PODATKOV
8. PRAVICE POSAMEZNIKOV, NA KATERE SE NANAŠAJO OSEBNI PODATKI
9. VARNOST PODATKOV
10. OBVEŠČANJE O KRŠITVAH VARSTVA OSEBNIH PODATKOV
11. REVIZIJE IN PREVERJANJE SKLADNOSTI
12. HRAMBA IN IZBRIS PODATKOV
13. TRAJANJE IN PRENEHANJE
14. OMEJITEV ODGOVORNOSTI
15. KONTAKT

1. OPREDELITEV POJMOV

»Veljavna zakonodaja o varstvu podatkov« pomeni vse zakone in predpise, ki se uporabljajo za obdelavo osebnih podatkov po tem DPA, vključno (kot je ustrezno) z Uredbo (EU) 2016/679 (Splošna uredba o varstvu podatkov, »GDPR«), britansko GDPR (UK GDPR), švicarskim zveznim zakonom o varstvu podatkov (»FADP«) in kalifornijskim zakonom o zasebnosti potrošnikov (California Consumer Privacy Act, »CCPA«).

»Upravljavec« pomeni fizično ali pravno osebo, ki določa namene in sredstva obdelave osebnih podatkov – v tem kontekstu Vas, uporabnika Storitev, ki prek platforme vodi spletno mesto.

»Posameznik, na katerega se nanašajo osebni podatki« pomeni določeno ali določljivo fizično osebo, katere osebni podatki se obdelujejo.

»Osebni podatki« pomenijo kakršne koli informacije v zvezi s Posameznikom, na katerega se nanašajo osebni podatki, ki se obdelujejo prek Storitev.

»Obdelava« pomeni vsako dejanje, izvedeno v zvezi z osebnimi podatki, vključno z zbiranjem, beleženjem, urejanjem, strukturiranjem, shranjevanjem, prilagajanjem, priklicem, vpogledom, uporabo, razkritjem, razširjanjem, omejevanjem, izbrisom ali uničenjem.

»Obdelovalec« pomeni fizično ali pravno osebo, ki obdeluje osebne podatke v imenu Upravljavca – v tem kontekstu družbo Acira AI LLC.

»Podobdelovalec« pomeni vsako tretjo osebo, ki jo Obdelovalec angažira za obdelavo osebnih podatkov v imenu Upravljavca.

»Standardne pogodbene klavzule« ali »SCC« pomenijo standardne pogodbene klavzule za prenos osebnih podatkov v tretje države, ki jih je sprejela Evropska komisija, v modulih, ki se uporabljajo na podlagi tega DPA (glejte razdelka 2.7 in 7.1).

2. PODROČJE UPORABE IN VLOGE

2.1 Razmerje obdelave

Ko s Storitvami ustvarite in vodite spletno mesto, ki zbira osebne podatke obiskovalcev Vašega spletnega mesta (prek obrazcev, uporabniških računov, komentarjev, ocen ali drugih interaktivnih funkcij), delujete kot Upravljavec, mi pa kot Obdelovalec teh osebnih podatkov obiskovalcev.

2.2 Naša vloga upravljavca

Za osebne podatke, ki jih zbiramo za lastne namene, delujemo kot samostojni Upravljavec, vključno s: podatki o Vašem računu, podatki za obračun, analitiko uporabe, splošnimi značilnostmi spletnega mesta, izpeljanimi iz vsebine Vašega spletnega mesta (na primer panoga ali vrsta podjetja), in podatki o delovanju platforme. Obdelavo takih podatkov ureja naša Politika zasebnosti in ne spada v področje uporabe tega DPA.

Ponudnik plačilnih storitev (uradni prodajalec). Plačila za plačljive Storitve obravnava zunanji ponudnik plačilnih storitev, ki za Vašo transakcijo deluje kot uradni prodajalec (Merchant of Record) – torej prodajalec, ki je pri transakciji evidentiran kot prodajalec –, trenutno Sold through Link, LLC (»Link«), povezana družba družbe Stripe. V tej vlogi ponudnik določa namene in sredstva obdelave plačilnih podatkov, ki jih predložite ob zaključku nakupa, in zato deluje kot samostojni upravljavec v lastnem imenu, ne kot naš podobdelovalec. Njegovo obdelavo urejajo njegovi lastni pogoji in obvestilo o zasebnosti in ne spada v področje uporabe tega DPA. Od njega prejmemo le omejene podatke o transakcijah in obračunu, ki jih obdelujemo kot samostojni Upravljavec, kot je opisano zgoraj.

2.3 Analitika platforme

O obiskovalcih spletnih mest zbiramo osnovno analitiko, ki je prijazna do zasebnosti (kot je opisano v Pogodbi). Za podatke analitike delujemo kot skupni upravljavec z Vami. Našo analitiko smo zasnovali tako, da čim bolj zmanjša zbiranje osebnih podatkov – neobdelanih naslovov IP ne shranjujemo, identifikatorji obiskovalcev pa so psevdonimni (glejte razdelek 3.3). Odgovornosti posameznega skupnega upravljavca so naslednje:

• Acira AI (skupni upravljavec): Določa tehnična sredstva zbiranja analitike, vključno s tem, katere podatkovne točke se zbirajo, kako se izračunavajo identifikatorji obiskovalcev in kako se podatki agregirajo. Odgovorni smo za varnost in celovitost infrastrukture za analitiko ter za odgovarjanje na splošne poizvedbe o delovanju analitike na platformi.
• Vi (skupni upravljavec): Upravljate spletno mesto, na katerem se zbirajo podatki analitike (analitika je sestavni del Storitev na vseh gostovanih spletnih mestih). Odgovorni ste za razkritje zbiranja podatkov analitike v politiki zasebnosti svojega spletnega mesta in za odgovarjanje na zahteve Posameznikov, na katere se nanašajo osebni podatki, med obiskovalci Vašega spletnega mesta v zvezi z njihovimi podatki analitike.
• Kontaktna točka za Posameznike, na katere se nanašajo osebni podatki: Posamezniki, na katere se nanašajo osebni podatki, se lahko v zvezi s podatki analitike, zbranimi na Vašem spletnem mestu, obrnejo na Vas (lastnika spletnega mesta). Če od Posameznika, na katerega se nanašajo osebni podatki, prejmemo zahtevo v zvezi s podatki analitike, ga bomo napotili na Vas, razen če nam naročite drugače. Za splošne poizvedbe o platformi se lahko Posamezniki, na katere se nanašajo osebni podatki, obrnejo na nas na legal@acira.ai.

2.4 Bistvo dogovora o skupnem upravljanju

V skladu s členom 26(2) GDPR je bistvo tega dogovora o skupnem upravljanju za podatke analitike naslednje: mi (Acira AI) določamo tehnična sredstva in zbrane podatkovne točke; Vi (operater spletnega mesta) upravljate spletno mesto, na katerem se zbirajo podatki analitike, in ste odgovorni za razkritje zbiranja svojim obiskovalcem. Vsak od nas je odgovoren za svoje obveznosti po Veljavni zakonodaji o varstvu podatkov. Vi ste glavna kontaktna točka za obiskovalce svojega spletnega mesta v zvezi s podatki analitike. Povzetek tega dogovora je Posameznikom, na katere se nanašajo osebni podatki, na voljo v tem DPA in na https://www.acira.ai/dpa.

2.5 Določitev ponudnika storitev po CCPA

V obsegu, v katerem v Vašem imenu obdelujemo osebne podatke, za katere velja kalifornijski zakon o zasebnosti potrošnikov (California Consumer Privacy Act, »CCPA«), smo Vaš »ponudnik storitev« (service provider), kot je opredeljen v Cal. Civ. Code § 1798.140(ag). Ne bomo:

• prodajali ali delili (kot sta ta izraza opredeljena v CCPA) nobenih osebnih podatkov, ki nam jih posredujete;
• hranili, uporabljali ali razkrivali osebnih podatkov za kateri koli namen, razen za poslovne namene, določene v tem DPA in Pogodbi, ali kot to sicer dovoljuje CCPA;
• hranili, uporabljali ali razkrivali osebnih podatkov zunaj neposrednega poslovnega razmerja med Vami in nami;
• združevali osebnih podatkov, prejetih od Vas, z osebnimi podatki, ki jih prejmemo od druge osebe ali v njenem imenu ali ki jih zberemo iz lastnih interakcij s potrošniki, razen kot to dovoljuje CCPA.

Iz vsebine Vašega spletnega mesta lahko izpeljemo splošne poslovne značilnosti, ki ne omogočajo identifikacije (na primer razvrstitev po panogi), za namen zagotavljanja ustreznih priporočil izdelkov, kot je opisano v razdelku 2.2. Ta omejena uporaba ne pomeni prodaje, deljenja ali združevanja osebnih podatkov v smislu CCPA.

Potrjujemo, da te omejitve razumemo in jih bomo spoštovali.

2.6 Imenovanje zastopnikov

Zastopnika za varstvo podatkov imenujemo v vsaki jurisdikciji, v kateri nam to nalaga veljavna zakonodaja, vsakega takega zastopnika pa navedemo v naši Politiki zasebnosti. Naše dejavnosti obdelave ocenjujemo glede na prage za imenovanje zastopnika v jurisdikcijah, pomembnih za naše Storitve – vključno s členom 14 švicarskega zveznega zakona o varstvu podatkov (FADP).

2.7 Spletna mesta, ki jih upravljajo agencije

Kadar je spletno mesto ustvarjeno ali upravljano prek našega Programa za agencije, agencija (»Agencija«) uporablja Storitve za izdelavo in upravljanje spletnega mesta v imenu svoje stranke (»Končna stranka«). V takem dogovoru:

• je Končna stranka (ali, kadar Agencija upravlja spletno mesto za lastne namene, Agencija) Upravljavec osebnih podatkov obiskovalcev, zbranih prek upravljanega spletnega mesta.
• kadar Agencija deluje kot obdelovalec za svojo Končno stranko, mi delujemo kot podobdelovalec, ki ga angažira Agencija, za to povezavo pa se poleg modulov, opisanih v razdelku 7, uporabljajo Standardne pogodbene klavzule za prenos od obdelovalca k podobdelovalcu (Modul tri). Kadar je Agencija sama Upravljavec, delujemo kot njen Obdelovalec, kot je opisano v tem DPA.
• Agencija je odgovorna za sklenitev pogodbe o obdelavi podatkov z vsako Končno stranko pod pogoji, skladnimi s tem DPA, in za zagotovitev, da je pooblaščena, da nam daje navodila v imenu Končne stranke.
• Osebje Agencije, ki mu je dodeljen dostop do upravljanega spletnega mesta, lahko dostopa do osebnih podatkov obiskovalcev, shranjenih za to spletno mesto (vključno z oddajami obrazcev, podatki sej in zapisi v uporabniških tabelah), da zgradi, upravlja in vodi spletno mesto. Agencija je odgovorna za omejevanje in nadzor takega dostopa v skladu z Veljavno zakonodajo o varstvu podatkov.

Pogoji Programa za agencije, vključno z obveznostmi Agencije, so določeni v Pogojih za agencije Acira AI na https://www.acira.ai/agency-terms.

3. PODROBNOSTI O OBDELAVI PODATKOV

3.1 Predmet in trajanje

Obdelava osebnih podatkov po tem DPA se izvaja z namenom zagotavljanja Storitev, kot je opisano v Pogodbi, in traja ves čas trajanja Pogodbe.

3.2 Narava in namen obdelave

Osebne podatke obdelujemo, da:

• gostimo in strežemo vsebino Vašega spletnega mesta
• shranjujemo in upravljamo podatke, oddane prek obrazcev in interaktivnih funkcij Vašega spletnega mesta
• vzdržujemo uporabniške račune in seje za zaščitena območja Vašega spletnega mesta
• v Vašem imenu dostavljamo e-poštna sporočila
• posredujemo e-poštna sporočila, prejeta na e-poštnih naslovih Vaše domene po meri
• izvajamo sklepanje umetne inteligence, ki ga zahteva lastna koda Vašega spletnega mesta (zahteve in odgovori se ne hranijo)
• s pomočjo umetne inteligence ustvarjamo opise in metapodatke za naložene datoteke
• pretvarjamo naložene datoteke v oblike, optimizirane za splet
• zagotavljamo analitiko obiskovalcev
• obdelujemo zapise Vašega spletnega mesta s pomočnikom z umetno inteligenco, kadar ga prosite, naj jih prebere ali na njihovi podlagi ukrepa
• ustvarjamo dokumente PDF iz predlog Vašega spletnega mesta
• izvajamo opravila v ozadju, načrtovana opravila in avtomatizacije, ki jih konfigurirate
• izvajamo odhodne omrežne zahteve, ki jih sproži lastna koda Vašega spletnega mesta (na primer spletne kljuke in klice zunanjih API-jev)
• zajemamo posnetke zaslona strani Vašega spletnega mesta za pregled oblikovanja in uveljavljanje pravil o vsebinah
• zaznavamo in preprečujemo neželeno pošto in zlorabe (vključno z avtomatizirano zaščito pred boti)
• izvajamo moderiranje vsebin naloženih datotek
• med objavo pregledujemo vsebino spletnega mesta glede skladnosti s pravili platforme o vsebinah
• upravljamo nastavitve odjave za prejemnike e-pošte Vašega spletnega mesta
• omogočamo komunikacijo prek kanalov v realnem času na Vašem spletnem mestu prek povezav WebSocket (sporočila so kratkotrajna in se ne shranjujejo)
• zagotavljamo programski dostop do vsebine in podatkov Vašega spletnega mesta prek vmesnika ukazne vrstice (CLI) in drugih programskih API-jev, po Vaših navodilih (vključno s pridobivanjem in izvozom vsebine v Vaše lokalno okolje)
• vodimo dnevnike napak in diagnostične dnevnike za zanesljivost platforme in odpravljanje težav (dnevniki napak platforme lahko vključujejo naslove IP in metapodatke zahtev; hramba je določena v razdelku 12.1)

3.3 Vrste osebnih podatkov

Vrste obdelanih osebnih podatkov so odvisne od tega, kaj zbirate prek svojega spletnega mesta, in lahko vključujejo:

• imena in kontaktne podatke
• e-poštne naslove
• sporočila in oddaje obrazcev
• datoteke, ki jih naložijo obiskovalci spletnega mesta (na primer slike in dokumente)
• poverilnice uporabniških računov (shranjene v zgoščeni obliki)
• podatke sej
• naslove IP (se ne shranjujejo: naslov se uporablja med prenosom za usmeritev zahteve, določitev države in regije ter za zaščito pred boti. Kadar mora identifikator ostati shranjen – za analitiko in omejevanje hitrosti –, se hrani samo zgoščena vrednost s ključem, ločena za vsako spletno mesto, identifikatorji analitike pa se menjajo vsak dan. Pri oddajah obrazcev se beležita država in regija, ne naslov. Koda Vaše lastne strani lahko prebere naslov IP obiskovalca; vse, kar se odločite shraniti, je Vaše lastno zbiranje, za katero ste upravljavec Vi)
• podatke o brskalniku in napravi
• podatke o lokaciji (na ravni države in regije, izpeljane iz naslova IP)
• evidence odjav od e-pošte (e-poštni naslov prejemnika in to, od česa se je odjavil; na voljo so Vam, da lahko spoštujete in upravljate seznam odjav svojega spletnega mesta)
• rezultate razvrščanja neželene pošte (ali je bila oddaja prepoznana kot neželena pošta)
• podatke dnevnikov napak in diagnostičnih dnevnikov (poti zahtev, podrobnosti napak in, v dnevnikih napak platforme, naslove IP; hramba je določena v razdelku 12.1)

3.4 Kategorije posameznikov, na katere se nanašajo osebni podatki

• obiskovalci Vašega spletnega mesta
• uporabniki, ki ustvarijo račune na Vašem spletnem mestu
• uporabniki, ki oddajo obrazce na Vašem spletnem mestu
• uporabniki, ki oddajo komentarje, ocene ali druge prispevke na Vašem spletnem mestu

4. OBVEZNOSTI OBDELOVALCA

Zavezujemo se, da bomo:

1. osebne podatke obdelovali le po Vaših dokumentiranih navodilih, razen če nam to nalaga veljavna zakonodaja (v tem primeru Vas bomo pred obdelavo obvestili o tej pravni zahtevi, razen če to prepoveduje zakon);
2. zagotovili, da so se osebe, pooblaščene za obdelavo osebnih podatkov, zavezale k zaupnosti ali da zanje velja ustrezna zakonska obveznost zaupnosti;
3. izvajali ustrezne tehnične in organizacijske varnostne ukrepe, kot je opisano v razdelku 9;
4. spoštovali pogoje za angažiranje podobdelovalcev, kot so določeni v razdelku 6;
5. Vam ob upoštevanju narave obdelave pomagali pri odgovarjanju na zahteve Posameznikov, na katere se nanašajo osebni podatki, ki uveljavljajo svoje pravice po Veljavni zakonodaji o varstvu podatkov;
6. Vam pomagali zagotavljati izpolnjevanje Vaših obveznosti po členih 32–36 GDPR (varnost, obveščanje o kršitvah, ocene učinka v zvezi z varstvom podatkov in predhodno posvetovanje), ob upoštevanju narave obdelave in informacij, ki so nam na voljo. Kadar Vaša uporaba Storitev vključuje obdelavo z visokim tveganjem, ki lahko zahteva oceno učinka v zvezi z varstvom podatkov (DPIA), Vam bomo v podporo Vaši oceni zagotovili informacije o naših dejavnostih obdelave, tehničnih in organizacijskih ukrepih ter podobdelovalcih;
7. Vam pomagali pri izpolnjevanju Vaših obveznosti po členu 22 GDPR (avtomatizirano sprejemanje posameznih odločitev) z zagotavljanjem informacij o kakršni koli avtomatizirani obdelavi, ki se izvaja v Vašem imenu, vključno z moderiranjem vsebin, zaznavanjem neželene pošte in zaščito pred boti, ter z omogočanjem človeškega pregleda avtomatiziranih odločitev na zahtevo;
8. Vas obvestili, če po našem mnenju Vaše navodilo krši Veljavno zakonodajo o varstvu podatkov;
9. po Vaši izbiri po koncu zagotavljanja Storitev izbrisali ali vrnili vse osebne podatke ter izbrisali obstoječe kopije, razen če veljavna zakonodaja zahteva njihovo hrambo;
10. Vam dali na voljo vse informacije, potrebne za dokazovanje izpolnjevanja obveznosti, določenih v tem DPA, ter omogočili revizije, vključno s pregledi, in k njim prispevali, kot je opisano v razdelku 11.

5. OBVEZNOSTI UPRAVLJAVCA

Zavezujete se, da boste:

1. zagotovili, da sta Vaše zbiranje in obdelava osebnih podatkov prek Vašega spletnega mesta skladna z Veljavno zakonodajo o varstvu podatkov;
2. obiskovalcem svojega spletnega mesta zagotovili ustrezna obvestila o zasebnosti, ki opisujejo Vaše prakse zbiranja podatkov, vključno z razkritjem analitike na ravni platforme, zaznavanja neželene pošte in zaščite pred boti;
3. pridobili vse potrebne privolitve ali vzpostavili drugo zakonito podlago za obdelavo osebnih podatkov prek svojega spletnega mesta;
4. zagotovili, da so Vaša navodila nam glede obdelave osebnih podatkov skladna z Veljavno zakonodajo o varstvu podatkov;
5. odgovarjali za točnost, kakovost in zakonitost osebnih podatkov, ki nam jih posredujete prek svojega spletnega mesta.

Z uporabo Storitev nam naročate, da v okviru standardnega delovanja platforme v Vašem imenu izvajamo naslednje dejavnosti obdelave: moderiranje vsebin naloženih datotek, pregled objavljene vsebine spletnega mesta glede skladnosti s pravili o vsebinah, zaznavanje neželene pošte v oddajah obrazcev (vključno s pregledom njihove vsebine na podlagi umetne inteligence, razen če ga izklopite) in avtomatizirano zaščito pred boti. Te dejavnosti so dokumentirana navodila v smislu člena 28(3)(a) GDPR.

6. PODOBDELOVALCI

6.1 Pooblaščeni podobdelovalci

Dajete nam splošno pooblastilo za angažiranje podobdelovalcev, ki pomagajo pri zagotavljanju Storitev. Naši trenutni podobdelovalci so navedeni spodaj in na https://www.acira.ai/dpa.

6.2 Trenutni seznam podobdelovalcev

Obdelavo plačil izvaja naš uradni prodajalec (Link, povezana družba družbe Stripe), ki deluje kot samostojni upravljavec in ne kot podobdelovalec, zato zgoraj ni naveden; glejte razdelek 2.2.

6.3 Spremembe podobdelovalcev

Spremembe seznama podobdelovalcev se izvajajo samo po tem razdelku 6.3; niso spremembe tega DPA po razdelku 13. O vseh nameravanih spremembah seznama podobdelovalcev za Storitve, ki jih trenutno uporabljate, Vas bomo obvestili najmanj petnajst (15) dni, preden novi podobdelovalec začne obdelovati osebne podatke, in sicer s posodobitvijo seznama podobdelovalcev na https://www.acira.ai/dpa in, če ste naročeni na obvestila o podobdelovalcih, po e-pošti. Na obvestila o spremembah podobdelovalcev se lahko naročite tako, da pišete na legal@acira.ai z zadevo »Subprocessor Notifications«. Ko uvedemo nove funkcije ali storitve, ki vključujejo dodatne podobdelovalce, bodo ti podobdelovalci razkriti v trenutku, ko funkcija ali storitev postane na voljo; Vaša uporaba nove funkcije ali storitve pomeni sprejetje njenih razkritih podobdelovalcev. Kadar moramo podobdelovalca nujno zamenjati iz razlogov varnosti ali neprekinjenosti poslovanja, Vas bomo o tem obvestili takoj, ko bo to izvedljivo. Če imate utemeljen ugovor zoper novega podobdelovalca, ki obdeluje podatke za obstoječe Storitve, nas lahko o tem pisno obvestite v petnajstih (15) dneh od obvestila. Z Vami bomo v dobri veri sodelovali, da obravnavamo Vaše pomisleke. Če ugovora ne moremo rešiti v Vaše razumno zadovoljstvo, lahko Pogodbo odpoveste s pisnim obvestilom.

6.4 Obveznosti podobdelovalcev

Z vsakim podobdelovalcem bomo sklenili pisne pogodbe, ki nalagajo obveznosti varstva podatkov, ki niso manj zaščitne od tistih, določenih v tem DPA. Za dejanja in opustitve naših podobdelovalcev odgovarjamo v enakem obsegu, kot bi odgovarjali, če bi storitve izvajali neposredno.

7. MEDNARODNI PRENOSI PODATKOV

7.1 Mehanizmi prenosa

Storitve gostujejo predvsem v Združenih državah Amerike. Osebni podatki, obdelani prek Storitev, se lahko prenesejo in obdelujejo v Združenih državah Amerike in drugih državah, v katerih delujejo naši podobdelovalci. Naši ponudniki sklepanja umetne inteligence (Fireworks AI in xAI) in naš ponudnik pretvorbe datotek (CloudConvert) obdelujejo podatke v Združenih državah Amerike, naši ponudniki sklepanja umetne inteligence pa lahko podatke obdelujejo tudi na drugih lokacijah, kjer delujejo. BrightData lahko obdeluje podatke v Izraelu in na drugih lokacijah po svetu. Cloudflare obdeluje podatke na robnih lokacijah po vsem svetu.

Lokalizacija podatkov v EU: Za spletna mesta, katerih država delovanja, določena ob ustvarjanju spletnega mesta in preden to začne delovati, je država članica Evropske unije (»operaterji spletnih mest s sedežem v EU«; druge države EGP, Združeno kraljestvo in Švica niso vključene), uporabljamo naslednje ukrepe za lokalizacijo podatkov, da čim bolj zmanjšamo prenose osebnih podatkov obiskovalcev zunaj Evropske unije:

• Shramba: Podatki obiskovalcev v trajni robni shrambi – vključno z oddajami obrazcev, podatki sej in podatki uporabniških tabel – so jurisdikcijsko omejeni na Evropsko unijo in shranjeni v njej.
• Avtomatizirana obdelava, namenjena obiskovalcem: Operacije, ki jih samodejno sproži dejavnost obiskovalcev – vključno z obvestili o novih zapisih v podatkovni bazi spletnega mesta, dostavo transakcijske e-pošte in strojnim prevajanjem vsebine podatkovne baze spletnega mesta v dodatne jezike spletnega mesta –, se obdelujejo v Evropski uniji (Stockholm).
• Dostop za upravljanje platforme: Ko do podatkov obiskovalcev svojega spletnega mesta dostopate prek nadzorne plošče platforme, pogovornega vmesnika (vključno s primeri, ko pomočnika z umetno inteligenco prosite, naj prebere zapise Vašega spletnega mesta ali na njihovi podlagi ukrepa, pri čemer jih nato obdela naš ponudnik sklepanja umetne inteligence, Fireworks AI, v Združenih državah Amerike) ali vmesnika ukazne vrstice (CLI) ali drugih programskih API-jev (na primer pri ogledu oddaj obrazcev, upravljanju uporabniških zapisov ali izvozu vsebine v Vaše lokalno okolje), se lahko ti podatki za izpolnitev Vaše zahteve obdelujejo prek naše infrastrukture v ZDA in se lahko – kadar uporabljate CLI ali programski vmesnik – prenesejo in shranijo v okolje, v katerem izvajate ta orodja. Ti prenosi se izvajajo na zahtevo, sprožite jih Vi (Upravljavec), zaščiteni pa so z mehanizmi prenosa in dodatnimi ukrepi, opisanimi spodaj, dokler podatki ostanejo v naši infrastrukturi. Ko osebne podatke izvozite ali pridobite v svoje lastno okolje (na primer na lokalni računalnik ali v razvojno orodje tretje osebe), ste za njihovo varnost in zakonito ravnanje z njimi odgovorni Vi; naši ukrepi jurisdikcijske lokalizacije in drugi tehnični ukrepi ne veljajo za osebne podatke, ko ti zapustijo našo infrastrukturo.
• Diagnostični dnevniki: Dnevniki napak in konzole, ki jih ustvari Vaše spletno mesto – diagnostični izpis, ki Vam je prikazan na strani Dnevniki na platformi –, se hranijo v naši infrastrukturi v ZDA za obdobje, določeno v razdelku 12.1. To so operativni zapisi, ki se vodijo za Vaš lasten pregled in niso namenjeni temu, da bi vsebovali osebne podatke obiskovalcev; kaj vanje zapisuje lastna koda Vašega spletnega mesta, nadzorujete Vi.
• Sklepanje umetne inteligence, ki ga zahteva Vaše spletno mesto: Kadar lastna koda Vašega spletnega mesta zahteva sklepanje umetne inteligence, zahteva potuje prek naše infrastrukture v Evropski uniji (Stockholm), obdela pa jo naš ponudnik sklepanja umetne inteligence, družba Fireworks AI, v Združenih državah Amerike; obdelava, omejena na EU, za to funkcijo ni na voljo. Vi nadzirate, kaj pošilja koda Vašega spletnega mesta, vključno z morebitnimi osebnimi podatki obiskovalcev, za te prenose pa veljajo spodaj navedeni mehanizmi prenosa.
• Druga obdelava zunaj EU: Podatki analitike in podatki, ki jih naša infrastruktura v oblaku v ZDA obdeluje za moderiranje vsebin in sklepanje umetne inteligence, se lahko še vedno prenesejo v Združene države Amerike, pretvorba datotek pa se izvaja v Združenih državah Amerike. Razvrščanje neželene pošte v oddajah obrazcev na podlagi umetne inteligence se izvaja v globalnem omrežju družbe Cloudflare in ni omejeno na EU. Za te prenose veljajo spodaj navedeni mehanizmi prenosa.

Za prenose osebnih podatkov iz EGP, ZK ali Švice v države, za katere ni priznano, da zagotavljajo ustrezno raven varstva podatkov, se opiramo na:

1. Standardne pogodbene klavzule (SCC): Standardne pogodbene klavzule Evropske komisije s sklicevanjem vključujemo v ta DPA: Modul ena (upravljavec–upravljavec) za podatke analitike, pri katerih delujemo kot skupni upravljavec (glejte razdelek 2.3), in Modul dva (upravljavec–obdelovalec) za vse druge osebne podatke, ki se obdelujejo v Vašem imenu. SCC so na voljo na https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en.
2. Britanski dodatek o mednarodnem prenosu podatkov (UK International Data Transfer Addendum): Za prenose iz ZK se uporablja britanski dodatek k standardnim pogodbenim klavzulam EU.
3. Švicarski mehanizmi prenosa podatkov: Za prenose iz Švice se SCC uporabljajo s spremembami, ki jih zahteva švicarski FADP.

Za namene SCC se stranki strinjata, da: (a) je izvoznik podatkov Vi, uvoznik podatkov pa družba Acira AI LLC; (b) je Priloga I.B (opis prenosa) izpolnjena z razdelkom 3 tega DPA; (c) je Priloga II (tehnični in organizacijski ukrepi) izpolnjena z razdelkoma 7.2 in 9 tega DPA; (d) se za klavzulo 9 uporablja možnost 2 (splošno pisno dovoljenje), z rokom za obvestilo, določenim v razdelku 6.3; (e) se neobvezna klavzula o pristopu (klavzula 7) ne uporablja; (f) za klavzulo 17 (veljavno pravo) in klavzulo 18 (izbira sodišča) za SCC velja pravo Irske, spori, ki izhajajo iz njih, pa se rešujejo pred sodišči Irske; ter (g) se pristojni nadzorni organ iz Priloge I.C določi v skladu s klavzulo 13 SCC. Za namene britanskega dodatka o mednarodnem prenosu podatkov se šteje, da so tabele 1 do 3 izpolnjene z ustreznimi informacijami, določenimi v tem DPA, in zgoraj navedenimi izbirami glede SCC, za tabelo 4 pa nobena stranka ne sme odpovedati britanskega dodatka, kot je določeno v oddelku 19 britanskega dodatka.

7.2 Dodatni ukrepi

Za zaščito prenesenih osebnih podatkov izvajamo naslednje dodatne ukrepe:

• šifriranje podatkov med prenosom (TLS/SSL) in v mirovanju
• mehanizme nadzora dostopa in preverjanja pristnosti
• občasni pregled naših varnostnih ukrepov in varnostne dokumentacije naših ponudnikov
• prakse najmanjšega obsega podatkov (npr. psevdonimni identifikatorji obiskovalcev namesto shranjevanja neobdelanih naslovov IP)
• jurisdikcijsko lokalizacijo podatkov za operaterje spletnih mest s sedežem v EU (trajna shramba in avtomatizirana obdelava, namenjena obiskovalcem, omejeni na EU)
• računalniško in e-poštno infrastrukturo v EU za avtomatizirane operacije, namenjene obiskovalcem (obvestila o novih zapisih v podatkovni bazi spletnega mesta in dostava transakcijske e-pošte se za operaterje spletnih mest s sedežem v EU obdelujejo v Evropski uniji)

7.3 Ocena učinka prenosa

Ti dodatni ukrepi temeljijo na naši oceni zakonodaje in praks namembnih držav, ob upoštevanju narave prenesenih podatkov, uporabljenega mehanizma prenosa ter vzpostavljenih tehničnih in organizacijskih zaščitnih ukrepov. Ocenili smo, da zgoraj opisani dodatni ukrepi skupaj z zavezami iz SCC zagotavljajo ustrezno raven varstva prenesenih osebnih podatkov. Naša ocena učinka prenosa je na zahtevo na voljo na legal@acira.ai, na zahtevo pa jo bomo dali na voljo tudi pristojnemu nadzornemu organu.

7.4 Prenosi podatkov iz Kanade

Za prenose osebnih podatkov iz Kanade se opiramo na naslednje zaščitne ukrepe, da zagotovimo, da so osebni podatki, preneseni iz Kanade, deležni primerljive ravni varstva, kot jo zahtevata kanadski zakon o varstvu osebnih podatkov in elektronskih dokumentov (Personal Information Protection and Electronic Documents Act, PIPEDA) in veljavna provincialna zakonodaja o zasebnosti (vključno z zakonom PIPA province Alberta, zakonom PIPA province Britanska Kolumbija in quebeškim zakonom o varstvu osebnih podatkov v zasebnem sektorju (Act respecting the protection of personal information in the private sector)):

1. Pogodbena zaščita: Pisne pogodbe o obdelavi podatkov z vsakim podobdelovalcem, ki nalagajo obveznosti varstva osebnih podatkov po standardu, skladnem s kanadsko zakonodajo o zasebnosti, vključno z zahtevami glede ustreznih varnostnih zaščitnih ukrepov, omejitev uporabe, obveščanja o kršitvah in dostopa posameznikov, na katere se nanašajo osebni podatki.
2. Tehnični zaščitni ukrepi: Za prenose podatkov iz Kanade se uporabljajo enaki ukrepi šifriranja, psevdonimizacije, nadzora dostopa in najmanjšega obsega podatkov, kot so opisani v razdelku 7.2.
3. Organizacijski zaščitni ukrepi: Skrbni pregled podobdelovalcev, obveznosti zaupnosti za zaposlene in dokumentirani postopki odzivanja na incidente, kot je opisano v tem DPA.

8. PRAVICE POSAMEZNIKOV, NA KATERE SE NANAŠAJO OSEBNI PODATKI

8.1 Pomoč pri zahtevah

Pomagali Vam bomo pri odgovarjanju na zahteve Posameznikov, na katere se nanašajo osebni podatki, ki uveljavljajo svoje pravice po Veljavni zakonodaji o varstvu podatkov, vključno s pravicami do dostopa, popravka, izbrisa, omejitve, prenosljivosti in ugovora.

8.2 Obveščanje

Če neposredno od Posameznika, na katerega se nanašajo osebni podatki, prejmemo zahtevo ali pritožbo v zvezi z varstvom podatkov glede osebnih podatkov, ki se obdelujejo v Vašem imenu, jo bomo nemudoma posredovali Vam in se na zahtevo ali pritožbo brez Vaših navodil ne bomo odzvali, razen če to zahteva veljavna zakonodaja. Kot Upravljavec ste odgovorni za obravnavo takih pritožb Posameznikov, na katere se nanašajo osebni podatki, in odzivanje nanje, vključno z vsemi obveznostmi obravnave pritožb, ki za Vas veljajo po Veljavni zakonodaji o varstvu podatkov (na primer po oddelku 164A britanskega zakona o varstvu podatkov (Data Protection Act 2018)).

8.3 Orodja platforme

V okviru Storitev zagotavljamo orodja, ki Vam pomagajo izpolnjevati zahteve Posameznikov, na katere se nanašajo osebni podatki, vključno z:

• dostopom do podatkov, shranjenih v podatkovnih bazah Vašega spletnega mesta, in njihovim upravljanjem
• izbrisom posameznih zapisov iz podatkovnih baz Vašega spletnega mesta
• izvozi podatkov v strukturirani, strojno berljivi obliki, ki jih lahko na zahtevo zagotovimo v pomoč pri izpolnjevanju obveznosti glede prenosljivosti podatkov

9. VARNOST PODATKOV

9.1 Varnostni ukrepi

Izvajamo in vzdržujemo ustrezne tehnične in organizacijske ukrepe za zaščito osebnih podatkov pred nepooblaščeno ali nezakonito obdelavo ter pred nenamerno izgubo, uničenjem ali poškodbo. Ti ukrepi vključujejo:

• Šifriranje: podatki, šifrirani med prenosom prek TLS/SSL in v mirovanju s šifriranjem po industrijskih standardih
• Nadzor dostopa: nadzor dostopa na podlagi vlog, politike dostopa z najmanjšimi potrebnimi pravicami in preverjanje pristnosti, ki se zahteva za ves dostop do računov in administrativni dostop
• Varnost infrastrukture: upravljana infrastruktura v oblaku s samodejnim nameščanjem varnostnih popravkov in zaščito pred napadi DDoS na robu omrežja
• Izolacija podatkov: izolacija podatkov posameznega spletnega mesta z namenskimi instancami shrambe
• Spremljanje: avtomatizirano spremljanje in opozarjanje s strukturiranim beleženjem
• Varnost poverilnic: vsi ključi API in skrivnosti so shranjeni v namenskih storitvah za upravljanje skrivnosti; uporabniška gesla so zgoščena z močnimi kriptografskimi algoritmi z individualno soljo za vsakega uporabnika
• Zaščita pred boti: avtomatizirana zaščita pred boti za preprečevanje avtomatiziranih zlorab

9.2 Zaupnost

Zagotavljamo, da vse osebje, pooblaščeno za obdelavo osebnih podatkov, zavezujejo obveznosti zaupnosti.

10. OBVEŠČANJE O KRŠITVAH VARSTVA OSEBNIH PODATKOV

10.1 Obvestilo upravljavcu

Brez nepotrebnega odlašanja Vas bomo obvestili, ko bomo izvedeli za kršitev varstva osebnih podatkov, ki vpliva na osebne podatke, obdelane v Vašem imenu. Obvestilo bo poslano na kontaktne podatke, povezane z Vašim računom.

10.2 Vsebina obvestila

Naše obvestilo o kršitvi bo, kolikor bodo informacije na voljo, vključevalo:

1. opis narave kršitve, vključno s kategorijami in približnim številom zadevnih Posameznikov, na katere se nanašajo osebni podatki, in zadevnih zapisov;
2. ime in kontaktne podatke naše kontaktne osebe za varstvo podatkov;
3. opis verjetnih posledic kršitve;
4. opis sprejetih ali predlaganih ukrepov za obravnavo kršitve in ublažitev njenih učinkov.

10.3 Vaše obveznosti

Odgovorni ste za obveščanje pristojnega nadzornega organa in prizadetih Posameznikov, na katere se nanašajo osebni podatki, o kršitvi varstva osebnih podatkov, kot to zahteva Veljavna zakonodaja o varstvu podatkov. Z Vami bomo sodelovali in Vam zagotovili razumno pomoč pri izpolnjevanju Vaših obveznosti obveščanja o kršitvah.

11. REVIZIJE IN PREVERJANJE SKLADNOSTI

11.1 Dokumentacija o skladnosti

Za dokazovanje naše skladnosti s tem DPA Vam bomo na utemeljeno pisno zahtevo (največ enkrat letno) dali na voljo:

1. ustrezna revizijska poročila tretjih oseb, certifikate ali povzetke varnostnih ocen;
2. povzetek naših trenutnih tehničnih in organizacijskih varnostnih ukrepov;
3. informacije o naših dejavnostih obdelave, podobdelovalcih in praksah varstva podatkov.

Kadar se opiramo na zunanje ponudnike infrastrukture (kot sta AWS in Cloudflare), so njihovi varnostni certifikati in dokumentacija o skladnosti na voljo prek njihovih programov zaupanja in skladnosti.

11.2 Dodatne poizvedbe

Če dokumentacija, zagotovljena po razdelku 11.1, razumno ne odgovori na Vaše pomisleke glede skladnosti, lahko predložite konkretna pisna vprašanja o naših praksah varstva podatkov, na katera bomo odgovorili v razumnem roku.

11.3 Revizije in pregledi

Kadar dokumentacija, zagotovljena po razdelkih 11.1 in 11.2, ne zadošča za dokazovanje naše skladnosti s tem DPA ali kadar revizijo zahteva nadzorni organ ali Veljavna zakonodaja o varstvu podatkov, lahko Vi (ali neodvisni revizor, ki ga zavezujejo obveznosti zaupnosti in ni naš konkurent) revidirate našo skladnost s tem DPA, vključno s pregledom. Za revizije je potrebno pisno obvestilo najmanj trideset (30) dni vnaprej, izvedejo se lahko največ enkrat letno (razen če to zahteva nadzorni organ ali po kršitvi varstva osebnih podatkov, ki vpliva na Vaše podatke), izvedejo se na Vaše stroške med običajnim delovnim časom na način, ki čim manj moti delovanje, in ne vključujejo dostopa do podatkov drugih strank ali do prostorov naših podobdelovalcev, za katere bomo namesto tega zagotovili revizijska poročila in certifikate podobdelovalcev samih.

12. HRAMBA IN IZBRIS PODATKOV

12.1 Med trajanjem Pogodbe

Osebne podatke, obdelane v Vašem imenu, bomo hranili ves čas trajanja Pogodbe in v skladu z Vašimi navodili, danimi prek Storitev. Posebna obdobja hrambe podatkov obiskovalcev vključujejo:

• Zapisi v podatkovni bazi spletnega mesta (na primer oddaje obrazcev in druga vsebina, ki jo ustvarijo uporabniki): hranijo se ves čas obstoja povezanega spletnega mesta, razen če jih prej izbrišete z orodji platforme.
• Podatki sej obiskovalcev Vašega spletnega mesta: samodejno se izbrišejo po 30 dneh nedejavnosti.
• Izbrisana vsebina obiskovalcev (zapisi v podatkovni bazi spletnega mesta, kot so oddaje obrazcev, komentarji in druga vsebina, ki jo ustvarijo uporabniki): ko vsebino obiskovalcev izbrišete z orodji platforme, se prestavi v stanje mehkega izbrisa in se hrani do trideset (30) dni, da je obnovitev mogoča. Po tem obdobju se mehko izbrisana vsebina odstrani iz podatkov Vašega spletnega mesta.
• Zgodovina obnovitve na določeno točko v času: spremembe shranjenih podatkov Vašega spletnega mesta, vključno z izbrisi, se v zgodovini obnovitve na določeno točko v času hranijo do trideset (30) dni. Obnovitev spletnega mesta na prejšnjo točko povrne podatke v stanje, kakršno je bilo na tej točki, vključno z zapisi, izbrisanimi pozneje; odjave od e-pošte se ohranijo pri vsaki obnovitvi.
• Zgodovina obvestil: ko Vas Storitve obvestijo o novih zapisih v podatkovnih bazah Vašega spletnega mesta, se obvestilo hrani tudi v Vaši zgodovini obvestil v aplikaciji do šest (6) mesecev. Za operaterje spletnih mest s sedežem v EU vsebuje povzetek brez vsebine zapisa.
• Zapisi za omejevanje hitrosti za Vaše spletno mesto: zgoščene vrednosti s ključem za posameznega obiskovalca, opisane v razdelku 3.3, ki se hranijo do tri (3) dni in se nato samodejno počistijo.
• Dnevniki napak in diagnostični dnevniki: dnevniki napak platforme (ki lahko vključujejo naslove IP) in lasten diagnostični dnevnik Vašega spletnega mesta, prikazan na njegovi strani Dnevniki, se hranijo do devetdeset (90) dni, tudi po izbrisu spletnega mesta, nato se samodejno počistijo.
• Evidence odjav od e-pošte na Vašem spletnem mestu: hranijo se ves čas obstoja povezanega spletnega mesta, razen če se prejemnik ponovno prijavi na prejemanje. Evidence odjav se izbrišejo ob izbrisu spletnega mesta.
• Podatki analitike: hranijo se ves čas obstoja povezanega spletnega mesta. Omejitve hrambe, odvisne od paketa, opisane na naši strani s cenami, določajo, koliko zgodovinskih podatkov analitike ostane prikazanih in dostopnih.

12.2 Ob prenehanju

Ob prenehanju Pogodbe ali na Vašo zahtevo bomo osebne podatke, obdelane v Vašem imenu, izbrisali v skladu s praksami hrambe podatkov, opisanimi v Pogodbi (vključno z obdobjem odloga za izbris računov in spletnih mest, ki je tam opisano). Po izteku obdobja odloga je izbris trajen in nepovraten.

12.3 Izjeme

Osebne podatke lahko hranimo v obsegu, ki ga zahteva veljavna zakonodaja, ali kadar so bili podatki anonimizirani in jih ni več mogoče povezati s Posameznikom, na katerega se nanašajo osebni podatki.

13. TRAJANJE IN PRENEHANJE

Ta DPA začne veljati na dan, ko sprejmete Pogodbo, in velja, dokler v Vašem imenu obdelujemo osebne podatke. Obveznosti zaupnosti in varstva podatkov, določene v tem DPA, ostanejo v veljavi tudi po prenehanju Pogodbe.

Spremembe tega DPA. Ta DPA lahko spremenimo na enak način kot Pogodbo (glejte »Spremembe teh Pogojev uporabe« v Pogodbi): povzetek bistvene spremembe pošljemo po e-pošti na naslov, povezan z Vašim računom, najmanj trideset (30) dni pred začetkom njene veljavnosti, razen kadar spremembo zahteva zakon ali je nujno potrebna iz razlogov varnosti ali preprečevanja goljufij ali zlorab, nebistvene spremembe pa začnejo veljati z objavo. Za spremembe seznama podobdelovalcev namesto tega velja razdelek 6.3. Nobena sprememba tega DPA ne spreminja Standardnih pogodbenih klavzul, ki so vključene brez sprememb, niti ne zmanjšuje varstva, ki ga zagotavljajo.

Podpisan izvod tega DPA (s sopodpisom), vključno s Standardnimi pogodbenimi klavzulami, vključenimi s sklicevanjem, je na voljo na pisno zahtevo na legal@acira.ai.

14. OMEJITEV ODGOVORNOSTI

Za odgovornost vsake stranke po tem DPA veljajo omejitve odgovornosti, določene v Pogodbi.

15. KONTAKT

Za vprašanja o tem DPA ali za uveljavljanje svojih pravic nam pišite na:

Acira AI LLC
Attn: Data Protection
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
Združene države Amerike

Telefon: 888-389-1189
E-pošta: legal@acira.ai