OCENA VPLIVA PRENOSA

Nazadnje posodobljeno: 19. marca 2026

Ta Ocena vpliva prenosa ("TIA") je bila pripravljena s strani Acira AI LLC ("Acira AI", "mi", "nas") v skladu z zahtevami odločitve Sodišča Evropske unije v zadevi Komisar za varstvo podatkov proti Facebook Ireland Limited in Maximillian Schrems (Zadeva C-311/18, "Schrems II") in priporočili Evropskega odbora za varstvo podatkov (Priporočila EDPB 01/2020 o dopolnilnih ukrepih).

Ta TIA ocenjuje ustreznost zaščite osebnih podatkov, prenesenih iz Evropskega gospodarskega prostora ("EGP"), Združenega kraljestva ("UK"), Švice in Kanade v Združene države Amerike in druge tretje države v zvezi z zagotavljanjem naših Storitev.

Ta TIA se lahko prevede v druge jezike za vašo udobnost. V primeru konflikta ali neskladja med angleško različico in katero koli prevedeno različico, bo angleška različica prevladala.

KAZALO VSEBINE

1. PREGLED PRENOSOV
2. NARAVA PRENESENIH PODATKOV
3. MEHANIZMI PRENOSA
4. OCENA ZAKONODAJE NAMEMBNE DRŽAVE
5. OCENA PODATKOVNIH TOKOV PO PONUDNIKU STORITEV
6. DOPOLNILNI UKREPI
7. OCENA TVEGANJA
8. ZAKLJUČEK
9. URNIK PREGLEDA
10. KONTAKTIRAJTE NAS

1. PREGLED PRENOSOV

1.1 Kontekst

Acira AI je platforma programske opreme kot storitve, ki podjetjem in posameznikom omogoča ustvarjanje, upravljanje in gostovanje spletnih mest, ki jih poganja umetna inteligenca. Ko uporabniki ustvarijo spletna mesta, do katerih dostopajo obiskovalci iz EGP, UK, Švice ali Kanade, se osebni podatki teh obiskovalcev lahko prenesejo v Združene države Amerike in druga mesta, kjer delujejo naši ponudniki infrastrukture.

1.2 Stranke

• Izvoznik podatkov: Upravljavec spletnega mesta (naša stranka, ki deluje kot Upravljavec) in, za analitične podatke, Acira AI kot Skupni upravljavec.
• Uvoznik podatkov: Acira AI LLC, registriran v Nevadi, Združene države Amerike, ki deluje kot Obdelovalec (in Skupni upravljavec za analitiko).
• Podobdelovalci: Ponudniki storitev tretjih oseb, ki jih je zaposlil Acira AI (navedeni v Oddelku 5).

1.3 Namembna mesta prenosa

2. NARAVA PRENESENIH PODATKOV

2.1 Kategorije osebnih podatkov

Preneseni osebni podatki so odvisni od funkcij, ki jih je omogočil upravljavec spletnega mesta, in interakcij obiskovalcev spletnega mesta. Prenesejo se lahko naslednje kategorije:

2.2 Kategorije posameznikov, na katere se nanašajo podatki

• Obiskovalci spletnih mest, gostovanih na platformi Acira AI
• Uporabniki, ki ustvarijo račune na spletnih mestih, gostovanih na platformi
• Uporabniki, ki oddajajo obrazce, komunicirajo s klepetalniki ali nalagajo datoteke na gostovanih spletnih mestih

2.3 Podatki, ki se ne prenašajo

• Podatki o geolokaciji: Iskanja lokacije po IP-naslovu izvaja naš ponudnik infrastrukture na robu omrežja. Nobeni IP-naslovi obiskovalcev se ne pošiljajo nobeni zunanji storitvi geolokacije.
• Surovi analitični IP-naslovi: Shrani se samo dnevno rotirajoči kriptografski hash; surovi IP-naslovi se ne hranijo v analitičnih sistemih.
• Gesla v čistem besedilu: Shranjujejo in prenašajo se samo kriptografske razpršitve.

3. MEHANIZMI PRENOSA

3.1 Primarni mehanizem: Standardne pogodbene klavzule

Zanašamo se na Standardne pogodbene klavzule (SCC) Evropske komisije, sprejete z Izvedbenim sklepom Komisije (EU) 2021/914, natančneje:

• Modul Ena (Upravljavec do Upravljavca): Za prenose analitičnih podatkov, kjer Acira AI deluje kot skupni upravljavec z upravljavcem spletnega mesta (glejte Oddelek 2.3 DPA).
• Modul Dve (Upravljavec do Obdelovalca): Za prenose osebnih podatkov obiskovalcev od upravljavca spletnega mesta (Upravljavca) do Acira AI (Obdelovalec).
• Modul Tri (Obdelovalec do Podobdelovalca): Za nadaljnje prenose od Acira AI do naših podobdelovalcev.

3.2 Prenosi za UK, Švico in Kanado

• UK: Velja britanski dodatek za mednarodni prenos podatkov k EU SCC.
• Švica: SCC se uporabljajo s sprememkami, ki jih zahteva Švicarski zvezni zakon o varstvu podatkov (FADP).
• Kanada: Prenosi se zanašajo na pogodbeno zaščito z vsakim podobdelovalcem, ki nalaga obveznosti, ki so skladne z Zakonom o varstvu osebnih informacij in elektronskih dokumentih (PIPEDA) in veljavno pokrajinsko zakonodajo o zasebnosti, v kombinaciji z dopolnilnimi tehničnimi in organizacijskimi ukrepi, opisanimi v Oddelku 6. Za podrobnosti glejte Oddelek 7.4 DPA.

3.3 Mehanizmi prenosa podobdelovalcev

4. OCENA ZAKONODAJE NAMEMBNE DRŽAVE

4.1 Združene države Amerike

Združene države Amerike so primarno namembno mesto za prenesene podatke. Za to oceno so relevantni naslednji ameriški zakoni:

4.1.1 Zakon o nadzoru tuje obveščevalne dejavnosti (FISA), Oddelek 702

Oddelek 702 FISA pooblašča ameriško vlado, da prisili ponudnike storitev elektronskih komunikacij k zagotavljanju dostopa do komunikacij neameriških oseb, ki se nahajajo zunaj Združenih držav Amerike, za namene tuje obveščevalne dejavnosti.

Ocena tveganja:

• Uporabnost: Oddelek 702 FISA se nanaša na "ponudnike storitev elektronskih komunikacij", kot so opredeljeni v 50 U.S.C. § 1881(b)(4). Acira AI je SaaS platforma za gostovanje spletnih mest, ne tradicionalni telekomunikacijski ponudnik. Naši podobdelovalci (AWS, Cloudflare) so bolj verjetno predmet direktiv Oddelka 702.
• Obseg ogroženih podatkov: Osebni podatki, ki jih obdelujemo, so sestavljeni predvsem iz analitike obiskovalcev spletnega mesta (psevdonimizirano), oddaj obrazcev in sporočil klepetalnika. Ti podatki verjetno niso v interesu tuje obveščevalne dejavnosti.
• Praktična verjetnost: Nikoli nismo prejeli direktive Oddelka 702 FISA in ocenjujemo praktično verjetnost prejema ene kot zelo nizko, glede na naravo naših Storitev in podatkov, ki jih obdelujemo.

4.1.2 Izvršilna uredba 12333

EO 12333 pooblašča ameriške obveščevalne agencije za izvajanje nadzornih dejavnosti, vključno z množičnim zbiranjem signalnih obveščevalnih podatkov. Velja za podatke v tranzitu in ne prisiljuje zasebnih podjetij k sodelovanju.

Ocena tveganja:

• Ublažitev: Vsi podatki v tranzitu so šifrirani z uporabo TLS. Množično prestrezanje šifriranih podatkov v tranzitu ne bi dalo osebnih podatkov v čistem besedilu.
• Praktična verjetnost: Nizka. Podatki, ki se obdelujejo prek naših Storitev, niso take narave, ki bi jo običajno ciljale signalne obveščevalne dejavnosti.

4.1.3 Izvršilna uredba 14086 in Okvir zasebnosti podatkov EU-ZDA

Izvršilna uredba 14086 (oktober 2022) je uvedla dodatne zaščitne ukrepe za dejavnosti signalnih obveščevalnih služb, vključno z:

• Zahtevami po nujnosti in sorazmernosti za zbiranje obveščevalnih podatkov
• Dvostopenjskim mehanizmom pravnega varstva (Uradnik za varstvo civilnih svoboščin + Sodišče za pregled varstva podatkov), ki je na voljo državljanom EU/UK/Švice
• Omejitvami množičnega zbiranja

Evropska komisija je 10. julija 2023 sprejela sklep o ustreznosti za Okvir zasebnosti podatkov EU-ZDA (DPF). Čeprav Acira AI trenutno ni samocertificiran pod DPF, se zaščite iz EO 14086 široko uporabljajo za vse prenose podatkov v Združene države Amerike in koristijo vsem posameznikom, na katere se nanašajo podatki, ne glede na specifičen mehanizem prenosa.

4.1.4 CLOUD Act

Zakon o pojasnjevanju zakonitosti čezmorske uporabe podatkov (CLOUD Act) ameriškim organom kazenskega pregona dovoljuje, da prisili ponudnike s sedežem v ZDA k predložitvi podatkov ne glede na kraj shranjevanja, v skladu z veljavnim nalogom ali sodno odredbo.

Ocena tveganja:

• Zaščitni ukrepi: CLOUD Act zahteva veljavni pravni postopek (nalog, sodni poziv ali sodno odredbo). Ne dovoljuje množičnega dostopa brez naloga.
• Določbe o uvažanju: CLOUD Act vključuje okvir uvažanja, ki ponudnikom dovoljuje izpodbijati odredbe, ki so v nasprotju s tujim pravom.
• Praktična verjetnost: Nizka za podatke obiskovalcev spletnega mesta. Zahteve organov kazenskega pregona bi se verjetneje usmerile na specifične račune, osumljene kriminalne dejavnosti, ne na analitiko obiskovalcev ali oddaje obrazcev.

4.2 Izrael (BrightData)

BrightData ima sedež v Izraelu. Izrael ima sklep o ustreznosti Evropske komisije (2011/61/EU), kar pomeni, da se prenosi v Izrael obravnavajo podobno kot prenosi znotraj EGP. BrightData pa obdeluje podatke tudi na drugih globalnih lokacijah. Opozarjamo, da:

• Obdelava BrightData poteka samo ko jo usmerja uporabnik (med ustvarjanjem spletnega mesta za uvoz vsebine) ali med načrtovanim sledenjem SERP.
• Nobeni osebni podatki obiskovalcev spletnega mesta se ne posredujejo BrightData.

4.3 Kanada (Prenosi iz Kanade v Združene države Amerike)

Osebni podatki obiskovalcev spletnega mesta, ki se nahajajo v Kanadi, se lahko prenesejo v Združene države Amerike za obdelavo. Za to oceno je relevantna naslednja kanadska zakonodaja:

4.3.1 Zakon o varstvu osebnih informacij in elektronskih dokumentih (PIPEDA)

PIPEDA ureja zbiranje, uporabo in razkritje osebnih informacij s strani organizacij zasebnega sektorja v okviru poslovnih dejavnosti. Načelo 4.1.3 PIPEDA zahteva, da organizacije uporabijo pogodbene ali druge ukrepe za zagotovitev primerljive ravni zaščite, ko se osebne informacije prenesejo tretjim osebam v obdelavo, vključno s prenosi zunaj Kanade.

Ocena tveganja:

• Primerljiva zaščita: Dopolnilni ukrepi, opisani v Oddelku 6 (šifriranje, psevdonimizacija, kontrole dostopa, minimizacija podatkov), zagotavljajo raven zaščite, primerljivo s tisto, ki jo zahteva PIPEDA. Pisni sporazumi o obdelavi podatkov so sklenjeni z vsemi podobdelovalci.
• Ni zahteve po ustreznosti: Za razliko od GDPR PIPEDA ne prepoveduje prenosov v države brez ugotovitve "ustreznosti". Organizacije morajo zagotoviti primerljivo zaščito s pogodbenimi in drugimi ukrepi, kar smo implementirali.

4.3.2 Pokrajinska zakonodaja o zasebnosti

Zakon o varstvu osebnih informacij Alberte (PIPA), Zakon o varstvu osebnih informacij Britanske Kolumbije (PIPA) in Quebecov zakon o varstvu osebnih informacij v zasebnem sektorju določajo dodatne zahteve za nekatere province:

Ocena tveganja:

• Quebecov Zakon 25: Quebecova posodobljena zakonodaja o zasebnosti (v veljavi od septembra 2023) zahteva oceno vpliva na zasebnost pred prenosom osebnih informacij zunaj Quebeca, in organizacija, ki prenaša, mora biti prepričana, da bodo informacije ustrezno zaščitene. Naše pogodbene zaščite, dopolnilni tehnični ukrepi in narava podatkov (predvsem psevdonimizirana analitika in interakcije na spletnih mestih malih podjetij) podpirajo ugotovitev ustrezne zaščite.
• Alberta in BC: PIPA Alberte in BC zahtevata, da organizacije zagotovijo primerljivo zaščito za prenesene podatke. Naši pogodbeni in tehnični zaščitni ukrepi izpolnjujejo to zahtevo.

4.3.3 Dostop ameriške vlade s kanadske perspektive

Enaka tveganja dostopa vlade, ocenjena v Oddelku 4.1, veljajo za kanadske prenose podatkov. Nizka verjetnost dostopa vlade (glede na naravo podatkov in profil naše podjetja), v kombinaciji z dopolnilnimi ukrepi v Oddelku 6, zagotavlja, da osebni podatki, preneseni iz Kanade v Združene države Amerike, prejmejo primerljivo raven zaščite, kot jo zahteva kanadska zakonodaja o zasebnosti.

4.4 Globalne edge lokacije (Cloudflare)

Cloudflare upravlja globalno omrežje robnih lokacij. Zahteve obiskovalcev iz EU se običajno obdelujejo na najbližji točki prisotnosti Cloudflare, ki bo za obiskovalce iz EU običajno lokacija v EU.

• Usmerjanje zahtev, zaključevanje TLS in zaščita pred boti potekajo na najbližji robni lokaciji.
• Za upravljavce spletnih mest, identificirane kot rezidente EU, je trajno shranjevanje (ki vsebuje oddane obrazce, pogovore s chatbotom in podatke seje) jurisdikcijsko omejeno na Evropsko unijo z uporabo Cloudflarejevega API-ja za jurisdikcijo. Za upravljavce spletnih mest zunaj EU je trajno shranjevanje v bližini geografske regije upravljavca, vendar je lahko zunaj EU.
• Analitični podatki se obdelujejo v infrastrukturi, ki jo upravlja Cloudflare.

5. OCENA PODATKOVNIH TOKOV PO PONUDNIKU STORITEV

5.1 Amazon Web Services (ZDA)

Zaščitni ukrepi AWS:

• Certificiran ISO 27001, 27017, 27018
• Poročila SOC 1/2/3 na voljo
• Podatki šifrirani v mirovanju z industrijsko standardnim šifriranjem
• Podatki šifrirani v tranzitu (TLS)
• Kontrole dostopa z minimalnimi privilegiji na sistemsko komponento
• Primarne storitve gostujejo v Združenih državah; avtomatizirane operacije, usmerjene k obiskovalcem (obvestila o oddaji vsebine in transakcijska dostava e-pošte) za upravljavce spletnih strani s prebivališčem v EU se obdelujejo v Evropski uniji (Stockholm)

5.2 Cloudflare (Globalno)

Zaščitni ukrepi Cloudflare:

• Certificiran ISO 27001, SOC 2 Type II
• TLS 1.2+ za vse povezave
• Cloudflare DPA s SCC na voljo
• Edge obdelava pomeni, da se podatki obiskovalcev EU običajno obdelujejo na edge lokacijah EU za obravnavo zahtev
• Za upravljavce spletnih strani, identificirane kot prebivalce EU, je trajno shranjevanje (ki vsebuje oddane obrazce, pogovore s klepetalnikom, podatke o sejah in podatke uporabniških tabel) jurisdikcijsko omejeno na Evropsko unijo z uporabo API-ja za jurisdikcijo Cloudflare, kar zagotavlja, da se ti podatki shranjujejo in obdelujejo izključno v podatkovnih centrih EU. Zaledni klici API z roba (za obvestila o oddaji vsebine in transakcijsko dostavo e-pošte) se usmerjajo v infrastrukturo AWS v EU.
• Sklepanje AI ne hrani vhodnih podatkov za usposabljanje

5.3 Stripe (ZDA)

Opomba: Stripe ne prejema osebnih podatkov obiskovalcev spletnega mesta. Stripe obdeluje samo informacije o zaračunavanju upravljavca spletnega mesta (naše stranke).

Zaščitni ukrepi Stripe:

• Certificiran PCI DSS Level 1
• Certificiran ISO 27001
• Stripe DPA s SCC na voljo

5.4 Ponudniki AI inferenciranja (ZDA)

Fireworks AI in xAI zagotavljata storitve inferenciranja modelov AI.

Opomba: Ti ponudniki AI ne prejemajo osebnih podatkov obiskovalcev spletnega mesta. Funkcija klepetalnika (ki služi obiskovalcem spletnega mesta) uporablja Cloudflare Workers AI (ocenjen v Oddelku 5.2), ne te ponudnike. Kljub temu pogovorni AI pomočnik platforme — ki ga upravljavci spletnih mest uporabljajo za upravljanje svojih spletnih mest — pošilja osebne podatke uporabnika platforme (ime, e-poštni naslov in zgodovino pogovorov) tem ponudnikom kot del generiranja odgovorov. Za to obdelavo Acira AI deluje kot upravljavec (ne obdelovalec), posamezniki, na katere se nanašajo podatki, pa so naši uporabniki platforme (upravljavci spletnih mest), ne obiskovalci njihovih spletnih mest. Ta podatkovni tok ureja naša Politika zasebnosti in naši sporazumi s temi ponudniki, ne okvir upravljavec-obdelovalec DPA za podatke obiskovalcev.

Družine modelov: Ti ponudniki infrastrukture gostijo in izvajajo modele AI, ki so jih razvile različne tretje osebe. Specifični modeli in družine modelov, ki se uporabljajo, se lahko sčasoma spremenijo. Razvijalci modelov ne prejemajo ali nimajo dostopa do nobenih uporabniških podatkov — vsa obdelava podatkov poteka izključno v infrastrukturi navedenih podprocesatorjev, ne glede na to, kje je bil model prvotno razvit. Vsa obdelava sklepanja AI ostane v infrastrukturi naših navedenih podprocesatorjev. Nobeni uporabniški podatki se ne pošiljajo razvijalcem modelov ali infrastrukturi zunaj podprocesatorjev, navedenih v tej oceni. Trenutni seznam používaných družin modelov je na voljo na zahtevo, če nas kontaktirate na legal@acira.ai.

5.5 BrightData (Izrael / Globalno)

Opomba: BrightData ne obdeluje osebnih podatkov obiskovalcev spletnega mesta. Obdeluje javno dostopno spletno vsebino po navodilih uporabnika in sledi razvrščanju v iskalnikih za ključne besede, ki jih določi uporabnik.

5.6 Ponudniki s sedežem v EU (Ni prenosa)

Ti ponudniki obdelujejo podatke znotraj EU in ne pomenijo mednarodnega prenosa. Black Forest Labs prejema samo besedilne pozive za generiranje slik; osebni podatki niso vključeni.

6. DOPOLNILNI UKREPI

Poleg SCC izvajamo naslednje dopolnilne ukrepe za zagotovitev v bistvu enakovredne ravni zaščite za prenesene osebne podatke:

6.1 Tehnični ukrepi

6.2 Organizacijski ukrepi

6.3 Pogodbeni ukrepi

7. OCENA TVEGANJA

7.1 Verjetnost vladnega dostopa

Skupna verjetnost: NIZKA

7.2 Vpliv, če bi prišlo do dostopa

Skupni vpliv: NIZEK do SREDNJI (odvisno od občutljivosti podatkov, ki jih zbirajo posamezni upravljavci spletnih mest)

7.3 Ocena preostalega tveganja

Ob upoštevanju nizke verjetnosti vladnega dostopa, dopolnilnih tehničnih ukrepov (šifriranje, psevdonimizacija, minimizacija podatkov) in dodatnih zaščitnih ukrepov, uvedenih z EO 14086, ocenjujemo, da je preostalo tveganje za posameznike, na katere se nanašajo podatki, nizko in da dopolnilni ukrepi skupaj s SCC (za prenose EGP/UK/Švica) in pogodbenimi zaščitami (za kanadske prenose) zagotavljajo raven zaščite, ki je v bistvu enakovredna tisti, ki je zagotovljena znotraj EGP, in primerljiva s tisto, ki jo zahteva kanadska zakonodaja o zasebnosti.

8. ZAKLJUČEK

Na podlagi te ocene zaključujemo, da:

1. Osebni podatki, preneseni iz EGP/UK/Švice/Kanade v Združene države Amerike v zvezi z zagotavljanjem naših Storitev, imajo korist od v bistvu enakovredne ravni zaščite tisti, ki je zagotovljena po zakonu EU o varstvu podatkov, in primerljive ravni zaščite tisti, ki jo zahteva kanadska zakonodaja o zasebnosti.

2. Standardne pogodbene klavzule, v kombinaciji z dopolnilnimi tehničnimi, organizacijskimi in pogodbenimi ukrepi, opisanimi v Oddelku 6, ustrezno obravnavajo tveganja, ugotovljena v tej oceni.

3. Narava podatkov (predvsem psevdonimizirana analitika in interakcije obiskovalcev spletnih mest malih podjetij) in profil uvoznika podatkov (majhno SaaS podjetje, ne telekomunikacijski ponudnik) bistveno zmanjšujeta praktično tveganje vladnega nadzora.

4. Zaščite, uvedene z Izvršilno uredbo 14086 in povezanim mehanizmom pravnega varstva, zagotavljajo dodatne zaščitne ukrepe, ki koristijo vsem posameznikom, na katere se nanašajo podatki, ne glede na specifičen mehanizem prenosa.

5. Za kanadske prenose pogodbene zaščite in dopolnilni ukrepi, opisani tukaj, zagotavljajo primerljivo raven zaščite tisti, ki jo zahtevata PIPEDA in veljavna pokrajinska zakonodaja o zasebnosti, vključno s Quebecovo posodobljeno zakonodajo o zasebnosti.

6. Še naprej bomo spremljali razvoj v ameriški zakonodaji in praksi nadzora, pa tudi razvoj v kanadski zakonodaji o zasebnosti (vključno s predlaganim Zakonom o varstvu zasebnosti potrošnikov), ter ponovno ocenili to TIA, če se razmere bistveno spremenijo.

Prenosi se lahko nadaljujejo ob pogoju nadaljnje veljavnosti SCC in dopolnilnih ukrepov, opisanih tukaj.

9. URNIK PREGLEDA

Ta TIA bo pregledana in posodobljena:

• Letno, kot minimum, ali
• Ob materialnih spremembah veljavne zakonodaje ali predpisov (vključno s spremembami FISA, CLOUD Act, EO 14086, PIPEDA ali kanadske pokrajinske zakonodaje o zasebnosti),
• Ob spremembah naših podobdelovalcev ali narave prenesenih podatkov,
• Ob katerikoli sodni odločitvi, ki bistveno vpliva na veljavnost SCC ali ustreznost varstva podatkov v ZDA.

10. KONTAKTIRAJTE NAS

Če imate vprašanja o tej Oceni vpliva prenosa, nas prosimo kontaktirajte na:

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
Združene države Amerike

Telefon: 888-389-1189
E-pošta: legal@acira.ai