การประเมินผลกระทบการโอนข้อมูล

อัปเดตล่าสุด: 19 มีนาคม 2026

การประเมินผลกระทบการโอนข้อมูล ("TIA") นี้ จัดทำโดย Acira AI LLC ("Acira AI", "เรา") ตามข้อกำหนดของคำพิพากษาศาลยุติธรรมแห่งสหภาพยุโรปในคดี Data Protection Commissioner กับ Facebook Ireland Limited และ Maximillian Schrems (คดี C-311/18, "Schrems II") และคำแนะนำของคณะกรรมการคุ้มครองข้อมูลยุโรป (EDPB Recommendations 01/2020 เกี่ยวกับมาตรการเสริม)

TIA นี้ประเมินความเพียงพอของการคุ้มครองข้อมูลส่วนบุคคลที่โอนจากเขตเศรษฐกิจยุโรป ("EEA") สหราชอาณาจักร ("UK") สวิตเซอร์แลนด์ และแคนาดา ไปยังสหรัฐอเมริกาและประเทศที่สามอื่น ๆ ที่เกี่ยวข้องกับการให้บริการของเรา

TIA นี้อาจแปลเป็นภาษาอื่น ๆ เพื่อความสะดวก ในกรณีที่มีความขัดแย้งหรือไม่สอดคล้องกันระหว่างฉบับภาษาอังกฤษและฉบับแปลใด ๆ ให้ยึดถือฉบับภาษาอังกฤษเป็นหลัก

สารบัญ

1. ภาพรวมการโอนข้อมูล
2. ลักษณะของข้อมูลที่โอน
3. กลไกการโอนข้อมูล
4. การประเมินกฎหมายของประเทศปลายทาง
5. การประเมินการไหลของข้อมูลตามผู้ให้บริการ
6. มาตรการเสริม
7. การประเมินความเสี่ยง
8. บทสรุป
9. กำหนดการทบทวน
10. ติดต่อเรา

1. ภาพรวมการโอนข้อมูล

1.1 บริบท

Acira AI เป็นแพลตฟอร์มซอฟต์แวร์ในรูปแบบบริการที่ช่วยให้ธุรกิจและบุคคลสามารถสร้าง จัดการ และโฮสต์เว็บไซต์ที่ขับเคลื่อนด้วย AI เมื่อผู้ใช้สร้างเว็บไซต์ที่ผู้เยี่ยมชมใน EEA สหราชอาณาจักร สวิตเซอร์แลนด์ หรือแคนาดาเข้าถึง ข้อมูลส่วนบุคคลของผู้เยี่ยมชมเหล่านั้นอาจถูกโอนและประมวลผลในสหรัฐอเมริกาและสถานที่อื่น ๆ ที่ผู้ให้บริการโครงสร้างพื้นฐานของเราดำเนินการ

1.2 คู่สัญญา

• ผู้ส่งออกข้อมูล: ผู้ดำเนินการเว็บไซต์ (ลูกค้าของเรา ทำหน้าที่เป็นผู้ควบคุม) และสำหรับข้อมูลการวิเคราะห์ Acira AI ในฐานะผู้ควบคุมร่วม
• ผู้นำเข้าข้อมูล: Acira AI LLC จดทะเบียนในรัฐเนวาดา สหรัฐอเมริกา ทำหน้าที่เป็นผู้ประมวลผล (และผู้ควบคุมร่วมสำหรับการวิเคราะห์)
• ผู้ประมวลผลย่อย: ผู้ให้บริการบุคคลที่สามที่ Acira AI ว่าจ้าง (ระบุในส่วนที่ 5)

1.3 ปลายทางการโอนข้อมูล

2. ลักษณะของข้อมูลที่โอน

2.1 ประเภทข้อมูลส่วนบุคคล

ข้อมูลส่วนบุคคลที่โอนขึ้นอยู่กับคุณสมบัติที่ผู้ดำเนินการเว็บไซต์เปิดใช้งานและการโต้ตอบของผู้เยี่ยมชมเว็บไซต์ ประเภทต่อไปนี้อาจถูกโอน:

2.2 ประเภทเจ้าของข้อมูล

• ผู้เยี่ยมชมเว็บไซต์ที่โฮสต์บนแพลตฟอร์ม Acira AI
• ผู้ใช้ที่สร้างบัญชีบนเว็บไซต์ที่โฮสต์บนแพลตฟอร์ม
• ผู้ใช้ที่ส่งแบบฟอร์ม โต้ตอบกับแชทบอต หรืออัปโหลดไฟล์บนเว็บไซต์ที่โฮสต์

2.3 ข้อมูลที่ไม่โอน

• ข้อมูลตำแหน่งทางภูมิศาสตร์: การค้นหา IP-ถึง-ตำแหน่งดำเนินการที่ขอบเครือข่ายโดยผู้ให้บริการโครงสร้างพื้นฐานของเรา ไม่มีที่อยู่ IP ของผู้เยี่ยมชมถูกส่งไปยังบริการระบุตำแหน่งทางภูมิศาสตร์ภายนอกใดๆ
• ที่อยู่ IP การวิเคราะห์ดิบ: เก็บเฉพาะแฮชเข้ารหัสลับที่หมุนรายวันเท่านั้น ไม่มีการบันทึก IP ดิบในระบบการวิเคราะห์
• รหัสผ่านในรูปแบบข้อความธรรมดา: เก็บและโอนเฉพาะแฮชการเข้ารหัสลับ

3. กลไกการโอนข้อมูล

3.1 กลไกหลัก: ข้อกำหนดสัญญามาตรฐาน

เราพึ่งพาข้อกำหนดสัญญามาตรฐาน (SCCs) ของคณะกรรมาธิการยุโรปที่นำมาใช้โดยการตัดสินใจดำเนินการของคณะกรรมาธิการ (EU) 2021/914 โดยเฉพาะ:

• โมดูลหนึ่ง (ผู้ควบคุมถึงผู้ควบคุม): สำหรับการโอนข้อมูลการวิเคราะห์ที่ Acira AI ทำหน้าที่เป็นผู้ควบคุมร่วมกับผู้ดำเนินการเว็บไซต์ (ดู DPA ส่วนที่ 2.3)
• โมดูลสอง (ผู้ควบคุมถึงผู้ประมวลผล): สำหรับการโอนข้อมูลส่วนบุคคลของผู้เยี่ยมชมจากผู้ดำเนินการเว็บไซต์ (ผู้ควบคุม) ไปยัง Acira AI (ผู้ประมวลผล)
• โมดูลสาม (ผู้ประมวลผลถึงผู้ประมวลผลย่อย): สำหรับการโอนต่อจาก Acira AI ไปยังผู้ประมวลผลย่อยของเรา

3.2 การโอนข้อมูลไปยังสหราชอาณาจักร สวิตเซอร์แลนด์ และแคนาดา

• สหราชอาณาจักร: ใช้ภาคผนวกการโอนข้อมูลระหว่างประเทศของสหราชอาณาจักรกับ EU SCCs
• สวิตเซอร์แลนด์: SCCs ใช้พร้อมการแก้ไขที่กำหนดโดยกฎหมายคุ้มครองข้อมูลแห่งสหพันธ์สวิส (FADP)
• แคนาดา: การโอนพึ่งพาการคุ้มครองตามสัญญากับผู้ประมวลผลย่อยแต่ละรายที่กำหนดภาระผูกพันสอดคล้องกับกฎหมายคุ้มครองข้อมูลส่วนบุคคลและเอกสารอิเล็กทรอนิกส์ (PIPEDA) และกฎหมายความเป็นส่วนตัวของจังหวัดที่บังคับใช้ รวมกับมาตรการทางเทคนิคและองค์กรเสริมที่อธิบายในส่วนที่ 6 ดู DPA ส่วนที่ 7.4 สำหรับรายละเอียด

3.3 กลไกการโอนของผู้ประมวลผลย่อย

4. การประเมินกฎหมายของประเทศปลายทาง

4.1 สหรัฐอเมริกา

สหรัฐอเมริกาเป็นปลายทางหลักสำหรับข้อมูลที่โอน กฎหมายสหรัฐฯ ต่อไปนี้มีความเกี่ยวข้องกับการประเมินนี้:

4.1.1 กฎหมายการเฝ้าระวังข่าวกรองต่างประเทศ (FISA) มาตรา 702

FISA มาตรา 702 อนุญาตให้รัฐบาลสหรัฐฯ บังคับให้ผู้ให้บริการสื่อสารอิเล็กทรอนิกส์ให้การเข้าถึงการสื่อสารของบุคคลที่ไม่ใช่ชาวอเมริกันที่อยู่นอกสหรัฐอเมริกาเพื่อวัตถุประสงค์ข่าวกรองต่างประเทศ

การประเมินความเสี่ยง:

• ความสามารถบังคับใช้: FISA มาตรา 702 ใช้กับ "ผู้ให้บริการสื่อสารอิเล็กทรอนิกส์" ตามที่กำหนดใน 50 U.S.C. § 1881(b)(4) Acira AI เป็นแพลตฟอร์มโฮสต์เว็บไซต์ SaaS ไม่ใช่ผู้ให้บริการโทรคมนาคมแบบดั้งเดิม ผู้ประมวลผลย่อยของเรา (AWS, Cloudflare) มีแนวโน้มที่จะอยู่ภายใต้คำสั่งของมาตรา 702 มากกว่า
• ขอบเขตของข้อมูลที่มีความเสี่ยง: ข้อมูลส่วนบุคคลที่เราประมวลผลส่วนใหญ่ประกอบด้วยการวิเคราะห์ผู้เยี่ยมชมเว็บไซต์ (ใช้นามแฝง) การส่งแบบฟอร์ม และข้อความแชทบอต ข้อมูลนี้ไม่น่าจะมีความสนใจด้านข่าวกรองต่างประเทศ
• ความน่าจะเป็นในทางปฏิบัติ: เราไม่เคยได้รับคำสั่ง FISA มาตรา 702 และประเมินความน่าจะเป็นในทางปฏิบัติของการรับคำสั่งดังกล่าวว่าต่ำมาก เนื่องจากลักษณะของบริการและข้อมูลที่เราประมวลผล

4.1.2 คำสั่งผู้บริหาร 12333

EO 12333 อนุญาตให้หน่วยงานข่าวกรองสหรัฐฯ ดำเนินกิจกรรมเฝ้าระวัง รวมถึงการรวบรวมข่าวกรองสัญญาณจำนวนมาก ใช้กับข้อมูลที่อยู่ระหว่างการส่งและไม่บังคับให้บริษัทเอกชนต้องร่วมมือ

การประเมินความเสี่ยง:

• การลดความเสี่ยง: ข้อมูลทั้งหมดที่อยู่ระหว่างการส่งได้รับการเข้ารหัสโดยใช้ TLS การสกัดกั้นจำนวนมากของข้อมูลที่เข้ารหัสระหว่างการส่งจะไม่ให้ข้อมูลส่วนบุคคลในรูปแบบข้อความธรรมดา
• ความน่าจะเป็นในทางปฏิบัติ: ต่ำ ข้อมูลที่ประมวลผลผ่านบริการของเราไม่ใช่ประเภทที่มักเป็นเป้าหมายของข่าวกรองสัญญาณ

4.1.3 คำสั่งผู้บริหาร 14086 และกรอบความเป็นส่วนตัวของข้อมูล EU-สหรัฐฯ

คำสั่งผู้บริหาร 14086 (ตุลาคม 2022) ได้นำมาตรการคุ้มครองเพิ่มเติมสำหรับกิจกรรมข่าวกรองสัญญาณมาใช้ รวมถึง:

• ข้อกำหนดความจำเป็นและสัดส่วนสำหรับการรวบรวมข่าวกรอง
• กลไกการเยียวยาสองระดับ (เจ้าหน้าที่คุ้มครองเสรีภาพพลเมือง + ศาลทบทวนการคุ้มครองข้อมูล) ที่พร้อมใช้งานสำหรับบุคคลใน EU/สหราชอาณาจักร/สวิตเซอร์แลนด์
• ข้อจำกัดการรวบรวมจำนวนมาก

คณะกรรมาธิการยุโรปนำการตัดสินใจเรื่องความเพียงพอสำหรับกรอบความเป็นส่วนตัวของข้อมูล EU-สหรัฐฯ (DPF) มาใช้เมื่อวันที่ 10 กรกฎาคม 2023 แม้ว่า Acira AI ปัจจุบันจะไม่ได้รับการรับรองตนเองภายใต้ DPF การคุ้มครองภายใต้ EO 14086 ก็ใช้กับการโอนข้อมูลทั้งหมดไปยังสหรัฐอเมริกาอย่างกว้างขวาง และเป็นประโยชน์ต่อเจ้าของข้อมูลทุกคนไม่ว่าจะใช้กลไกการโอนใด

4.1.4 กฎหมาย CLOUD

กฎหมายชี้แจงการใช้ข้อมูลโดยชอบด้วยกฎหมายในต่างประเทศ (CLOUD Act) อนุญาตให้เจ้าหน้าที่บังคับใช้กฎหมายสหรัฐฯ บังคับให้ผู้ให้บริการที่ตั้งอยู่ในสหรัฐฯ ผลิตข้อมูลโดยไม่คำนึงว่าจะจัดเก็บอยู่ที่ไหน ขึ้นอยู่กับหมายค้นหรือคำสั่งศาลที่ถูกต้อง

การประเมินความเสี่ยง:

• มาตรการคุ้มครอง: กฎหมาย CLOUD กำหนดให้มีกระบวนการทางกฎหมายที่ถูกต้อง (หมายค้น หมายเรียก หรือคำสั่งศาล) ไม่อนุญาตให้เข้าถึงจำนวนมากโดยไม่มีหมายค้น
• บทบัญญัติ comity: กฎหมาย CLOUD มีกรอบ comity ที่อนุญาตให้ผู้ให้บริการท้าทายคำสั่งที่ขัดแย้งกับกฎหมายต่างประเทศ
• ความน่าจะเป็นในทางปฏิบัติ: ต่ำสำหรับข้อมูลผู้เยี่ยมชมเว็บไซต์ คำขอจากเจ้าหน้าที่บังคับใช้กฎหมายมักจะมุ่งเป้าไปที่บัญชีเฉพาะที่ต้องสงสัยกิจกรรมทางอาญา ไม่ใช่การวิเคราะห์ผู้เยี่ยมชมหรือการส่งแบบฟอร์ม

4.2 อิสราเอล (BrightData)

BrightData มีฐานอยู่ในอิสราเอล อิสราเอลมีการตัดสินใจเรื่องความเพียงพอจากคณะกรรมาธิการยุโรป (2011/61/EU) หมายความว่าการโอนไปยังอิสราเอลได้รับการปฏิบัติเช่นเดียวกับการโอนภายใน EEA อย่างไรก็ตาม BrightData ยังประมวลผลข้อมูลในสถานที่ทั่วโลกอื่น ๆ เราสังเกตว่า:

• การประมวลผลของ BrightData เกิดขึ้น เฉพาะตามคำสั่งผู้ใช้ (ระหว่างการสร้างเว็บไซต์สำหรับการนำเข้าเนื้อหา) หรือระหว่างการติดตาม SERP ที่กำหนดเวลาไว้
• ไม่มีข้อมูลส่วนบุคคลของผู้เยี่ยมชมเว็บไซต์ถูกส่งไปยัง BrightData

4.3 แคนาดา (การโอนจากแคนาดาไปยังสหรัฐอเมริกา)

ข้อมูลส่วนบุคคลของผู้เยี่ยมชมเว็บไซต์ที่อยู่ในแคนาดาอาจถูกโอนไปยังสหรัฐอเมริกาเพื่อการประมวลผล กฎหมายแคนาดาต่อไปนี้มีความเกี่ยวข้องกับการประเมินนี้:

4.3.1 กฎหมายคุ้มครองข้อมูลส่วนบุคคลและเอกสารอิเล็กทรอนิกส์ (PIPEDA)

PIPEDA ควบคุมการรวบรวม การใช้ และการเปิดเผยข้อมูลส่วนบุคคลโดยองค์กรภาคเอกชนในระหว่างกิจกรรมเชิงพาณิชย์ หลักการ PIPEDA 4.1.3 กำหนดให้องค์กรใช้สัญญาหรือวิธีการอื่น ๆ เพื่อให้แน่ใจว่ามีระดับการคุ้มครองที่เทียบเคียงได้เมื่อข้อมูลส่วนบุคคลถูกโอนไปยังบุคคลที่สามเพื่อการประมวลผล รวมถึงการโอนออกนอกแคนาดา

การประเมินความเสี่ยง:

• การคุ้มครองที่เทียบเคียงได้: มาตรการเสริมที่อธิบายในส่วนที่ 6 (การเข้ารหัส การใช้นามแฝง การควบคุมการเข้าถึง การลดข้อมูลให้น้อยที่สุด) ให้ระดับการคุ้มครองที่เทียบเคียงได้กับที่ PIPEDA กำหนด มีข้อตกลงประมวลผลข้อมูลเป็นลายลักษณ์อักษรกับผู้ประมวลผลย่อยทั้งหมด
• ไม่มีข้อกำหนดด้านความเพียงพอ: ต่างจาก GDPR PIPEDA ไม่ห้ามการโอนไปยังประเทศที่ขาดการค้นพบ "ความเพียงพอ" องค์กรต้องรับประกันการคุ้มครองที่เทียบเคียงได้ผ่านสัญญาและวิธีการอื่น ๆ ซึ่งเราได้ดำเนินการแล้ว

4.3.2 กฎหมายความเป็นส่วนตัวของจังหวัด

กฎหมายคุ้มครองข้อมูลส่วนบุคคล (PIPA) ของอัลเบอร์ตา กฎหมายคุ้มครองข้อมูลส่วนบุคคล (PIPA) ของบริติชโคลัมเบีย และกฎหมายของควิเบกเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในภาคเอกชนกำหนดข้อกำหนดเพิ่มเติมสำหรับบางจังหวัด:

การประเมินความเสี่ยง:

• กฎหมาย 25 ของควิเบก: กฎหมายความเป็นส่วนตัวที่ทันสมัยของควิเบก (มีผลบังคับใช้ตั้งแต่กันยายน 2023) กำหนดให้มีการประเมินผลกระทบด้านความเป็นส่วนตัวก่อนโอนข้อมูลส่วนบุคคลออกนอกควิเบก และองค์กรที่โอนต้องมั่นใจว่าข้อมูลจะได้รับการคุ้มครองที่เพียงพอ การคุ้มครองตามสัญญา มาตรการทางเทคนิคเสริม และลักษณะของข้อมูล (ส่วนใหญ่เป็นการวิเคราะห์ที่ใช้นามแฝงและการโต้ตอบเว็บไซต์ธุรกิจขนาดเล็ก) สนับสนุนการค้นพบการคุ้มครองที่เพียงพอ
• อัลเบอร์ตาและบริติชโคลัมเบีย: PIPA ของอัลเบอร์ตาและบริติชโคลัมเบียกำหนดให้องค์กรต้องรับประกันการคุ้มครองที่เทียบเคียงได้สำหรับข้อมูลที่โอน มาตรการคุ้มครองตามสัญญาและทางเทคนิคของเราตอบสนองข้อกำหนดนี้

4.3.3 การเข้าถึงของรัฐบาลสหรัฐฯ จากมุมมองของแคนาดา

ความเสี่ยงการเข้าถึงของรัฐบาลสหรัฐฯ เดียวกันที่ประเมินในส่วนที่ 4.1 ใช้กับการโอนข้อมูลแคนาดา ความน่าจะเป็นต่ำของการเข้าถึงของรัฐบาล (เนื่องจากลักษณะของข้อมูลและโปรไฟล์บริษัทของเรา) รวมกับมาตรการเสริมในส่วนที่ 6 รับประกันว่าข้อมูลส่วนบุคคลที่โอนจากแคนาดาไปยังสหรัฐอเมริกาได้รับระดับการคุ้มครองที่เทียบเคียงได้กับที่กฎหมายความเป็นส่วนตัวของแคนาดากำหนด

4.4 ตำแหน่ง Edge ทั่วโลก (Cloudflare)

Cloudflare ดำเนินการเครือข่ายตำแหน่งขอบทั่วโลก คำขอของผู้เยี่ยมชม EU มักจะถูกประมวลผลที่จุดที่ใกล้ที่สุดของ Cloudflare ซึ่งสำหรับผู้เยี่ยมชม EU มักจะเป็นตำแหน่ง EU

• การกำหนดเส้นทางคำขอ การสิ้นสุด TLS และการป้องกันบอตเกิดขึ้นที่ตำแหน่ง edge ที่ใกล้ที่สุด
• สำหรับผู้ดำเนินงานเว็บไซต์ที่ระบุว่าเป็นผู้อยู่อาศัยใน EU การจัดเก็บข้อมูลถาวร (ที่มีการส่งแบบฟอร์ม การสนทนา chatbot และข้อมูลเซสชัน) ถูกจำกัดทางเขตอำนาจศาลไว้ในสหภาพยุโรปโดยใช้ API เขตอำนาจศาลของ Cloudflare สำหรับผู้ดำเนินงานเว็บไซต์ที่ไม่ใช่ EU การจัดเก็บข้อมูลถาวรอยู่ใกล้ภูมิภาคทางภูมิศาสตร์ของผู้ดำเนินงาน แต่อาจอยู่นอก EU
• ข้อมูลการวิเคราะห์ถูกประมวลผลที่โครงสร้างพื้นฐานที่จัดการโดย Cloudflare

5. การประเมินการไหลของข้อมูลตามผู้ให้บริการ

5.1 Amazon Web Services (สหรัฐฯ)

มาตรการคุ้มครองของ AWS:

• รับรอง ISO 27001, 27017, 27018
• มีรายงาน SOC 1/2/3
• ข้อมูลเข้ารหัสที่ไม่ได้ใช้งานโดยใช้การเข้ารหัสมาตรฐานอุตสาหกรรม
• ข้อมูลระหว่างการส่งถูกเข้ารหัส (TLS)
• การควบคุมการเข้าถึงสิทธิ์น้อยที่สุดต่อส่วนประกอบระบบ
• บริการหลักโฮสต์ในสหรัฐอเมริกา; การดำเนินการอัตโนมัติที่มุ่งเน้นผู้เยี่ยมชม (การแจ้งเตือนการส่งเนื้อหาและการส่งอีเมลธุรกรรม) สำหรับผู้ดำเนินการเว็บไซต์ที่อยู่อาศัยในสหภาพยุโรปจะถูกประมวลผลในสหภาพยุโรป (สตอกโฮล์ม)

5.2 Cloudflare (ทั่วโลก)

มาตรการคุ้มครองของ Cloudflare:

• รับรอง ISO 27001, SOC 2 Type II
• TLS 1.2+ สำหรับการเชื่อมต่อทั้งหมด
• มี Cloudflare DPA พร้อม SCCs
• การประมวลผล edge หมายความว่าข้อมูลผู้เยี่ยมชม EU มักจะประมวลผลที่ตำแหน่ง edge ของ EU สำหรับการจัดการคำขอ
• สำหรับผู้ดำเนินการเว็บไซต์ที่ถูกระบุว่าเป็นผู้อยู่อาศัยในสหภาพยุโรป พื้นที่จัดเก็บถาวร (ที่มีแบบฟอร์มที่ส่ง การสนทนาแชทบอท ข้อมูลเซสชัน และข้อมูลตารางผู้ใช้) จะถูกจำกัดเขตอำนาจศาลไว้ในสหภาพยุโรปโดยใช้ API เขตอำนาจศาลของ Cloudflare เพื่อให้มั่นใจว่าข้อมูลเหล่านี้จะถูกจัดเก็บและประมวลผลเฉพาะในศูนย์ข้อมูลสหภาพยุโรปเท่านั้น การเรียก API แบ็กเอนด์จากขอบ (สำหรับการแจ้งเตือนการส่งเนื้อหาและการส่งอีเมลธุรกรรม) จะถูกกำหนดเส้นทางไปยังโครงสร้างพื้นฐาน AWS ที่ตั้งอยู่ในสหภาพยุโรป
• การอนุมาน AI ไม่เก็บรักษาข้อมูลอินพุตสำหรับการฝึกอบรม

5.3 Stripe (สหรัฐฯ)

หมายเหตุ: Stripe ไม่ ได้รับข้อมูลส่วนบุคคลของผู้เยี่ยมชมเว็บไซต์ มีเพียงข้อมูลการเรียกเก็บเงินของผู้ดำเนินการเว็บไซต์ (ลูกค้าของเรา) เท่านั้นที่ Stripe ประมวลผล

มาตรการคุ้มครองของ Stripe:

• รับรอง PCI DSS ระดับ 1
• รับรอง ISO 27001
• มี Stripe DPA พร้อม SCCs

5.4 ผู้ให้บริการ AI Inference (สหรัฐฯ)

Fireworks AI และ xAI ให้บริการ AI model inference

หมายเหตุ: ผู้ให้บริการ AI เหล่านี้ ไม่ ได้รับข้อมูลส่วนบุคคลของผู้เยี่ยมชมเว็บไซต์ คุณสมบัติแชทบอต (ให้บริการผู้เยี่ยมชมเว็บไซต์) ใช้ Cloudflare Workers AI (ประเมินในส่วนที่ 5.2) ไม่ใช่ผู้ให้บริการเหล่านี้ อย่างไรก็ตาม ผู้ช่วย AI สนทนาของแพลตฟอร์ม — ที่ผู้ดำเนินการเว็บไซต์ใช้จัดการเว็บไซต์ของตน — ส่ง ข้อมูลส่วนบุคคลของผู้ใช้แพลตฟอร์ม (ชื่อ ที่อยู่อีเมล และประวัติการสนทนา) ไปยังผู้ให้บริการเหล่านี้เป็นส่วนหนึ่งของการสร้างคำตอบ สำหรับการประมวลผลนี้ Acira AI ทำหน้าที่เป็น ผู้ควบคุม (ไม่ใช่ผู้ประมวลผล) และเจ้าของข้อมูลคือผู้ใช้แพลตฟอร์มของเรา (ผู้ดำเนินการเว็บไซต์) ไม่ใช่ผู้เยี่ยมชมเว็บไซต์ของพวกเขา การไหลของข้อมูลนี้ควบคุมโดยนโยบายความเป็นส่วนตัวของเราและข้อตกลงกับผู้ให้บริการเหล่านี้ ไม่ใช่ DPA ของกรอบผู้ควบคุม-ผู้ประมวลผลสำหรับข้อมูลผู้เยี่ยมชม

ตระกูลโมเดล: ผู้ให้บริการโครงสร้างพื้นฐานเหล่านี้โฮสต์และดำเนินการโมเดล AI ที่พัฒนาโดยบุคคลที่สามต่างๆ โมเดลและตระกูลโมเดลที่ใช้อาจเปลี่ยนแปลงได้ตามกาลเวลา นักพัฒนาโมเดลไม่ได้รับหรือมีสิทธิ์เข้าถึงข้อมูลผู้ใช้ใดๆ — การประมวลผลข้อมูลทั้งหมดเกิดขึ้นภายในโครงสร้างพื้นฐานของผู้ประมวลผลย่อยที่ระบุเท่านั้น โดยไม่คำนึงว่าโมเดลได้รับการพัฒนาที่ใดในตอนแรก การประมวลผลการอนุมาน AI ทั้งหมดยังคงอยู่บนโครงสร้างพื้นฐานของผู้ประมวลผลย่อยที่ระบุของเรา ไม่มีข้อมูลผู้ใช้ถูกส่งไปยังนักพัฒนาโมเดลหรือโครงสร้างพื้นฐานนอกผู้ประมวลผลย่อยที่ระบุในการประเมินนี้ รายการตระกูลโมเดลที่ใช้งานในปัจจุบันพร้อมให้บริการตามคำขอโดยติดต่อ legal@acira.ai

5.5 BrightData (อิสราเอล / ทั่วโลก)

หมายเหตุ: BrightData ไม่ ประมวลผลข้อมูลส่วนบุคคลของผู้เยี่ยมชมเว็บไซต์ ประมวลผลเนื้อหาเว็บที่เปิดเผยต่อสาธารณะตามคำสั่งผู้ใช้ และติดตามการจัดอันดับของเครื่องมือค้นหาสำหรับคีย์เวิร์ดที่ผู้ใช้กำหนด

5.6 ผู้ให้บริการในสหภาพยุโรป (ไม่มีการโอน)

ผู้ให้บริการเหล่านี้ประมวลผลข้อมูลภายใน EU และไม่ถือเป็นการโอนระหว่างประเทศ Black Forest Labs รับเฉพาะคำแนะนำข้อความสำหรับการสร้างรูปภาพเท่านั้น ไม่มีข้อมูลส่วนบุคคลที่เกี่ยวข้อง

6. มาตรการเสริม

นอกจาก SCCs แล้ว เรายังดำเนินมาตรการเสริมต่อไปนี้เพื่อให้แน่ใจว่ามีระดับการคุ้มครองที่เทียบเท่ากันอย่างมีนัยสำคัญสำหรับข้อมูลส่วนบุคคลที่โอน:

6.1 มาตรการทางเทคนิค

6.2 มาตรการองค์กร

6.3 มาตรการสัญญา

7. การประเมินความเสี่ยง

7.1 ความน่าจะเป็นของการเข้าถึงของรัฐบาล

ความน่าจะเป็นโดยรวม: ต่ำ

7.2 ผลกระทบหากมีการเข้าถึง

ผลกระทบโดยรวม: ต่ำถึงปานกลาง (ขึ้นอยู่กับความอ่อนไหวของข้อมูลที่รวบรวมโดยผู้ดำเนินการเว็บไซต์แต่ละราย)

7.3 การประเมินความเสี่ยงที่เหลืออยู่

เมื่อพิจารณาความน่าจะเป็นต่ำของการเข้าถึงของรัฐบาล มาตรการทางเทคนิคเสริม (การเข้ารหัส pseudonymization การลดข้อมูลให้น้อยที่สุด) และการคุ้มครองเพิ่มเติมที่ EO 14086 แนะนำ เราประเมินว่า ความเสี่ยงที่เหลืออยู่สำหรับเจ้าของข้อมูลต่ำ และมาตรการเสริมพร้อมกับ SCCs (สำหรับการโอน EEA/สหราชอาณาจักร/สวิตเซอร์แลนด์) และการคุ้มครองตามสัญญา (สำหรับการโอนแคนาดา) ให้ระดับการคุ้มครองที่ เทียบเท่าอย่างมีนัยสำคัญ กับที่รับประกันภายใน EEA และ เทียบเคียงได้ กับที่กำหนดโดยกฎหมายความเป็นส่วนตัวของแคนาดา

8. บทสรุป

จากการประเมินนี้ เราสรุปว่า:

1. ข้อมูลส่วนบุคคลที่โอนจาก EEA/สหราชอาณาจักร/สวิตเซอร์แลนด์/แคนาดาไปยังสหรัฐอเมริกาที่เกี่ยวข้องกับการให้บริการของเราได้รับประโยชน์จาก ระดับการคุ้มครองที่เทียบเท่าอย่างมีนัยสำคัญ กับที่รับประกันภายใต้กฎหมายคุ้มครองข้อมูลของ EU และ ระดับการคุ้มครองที่เทียบเคียงได้ กับที่กำหนดโดยกฎหมายความเป็นส่วนตัวของแคนาดา

2. ข้อกำหนดสัญญามาตรฐาน รวมกับ มาตรการทางเทคนิค องค์กร และสัญญาเสริม ที่อธิบายในส่วนที่ 6 ตอบสนองความเสี่ยงที่ระบุในการประเมินนี้อย่างเพียงพอ

3. ลักษณะของข้อมูล (ส่วนใหญ่เป็นการวิเคราะห์ที่ใช้นามแฝงและการโต้ตอบผู้เยี่ยมชมเว็บไซต์ธุรกิจขนาดเล็ก) และ โปรไฟล์ของผู้นำเข้าข้อมูล (บริษัท SaaS ขนาดเล็ก ไม่ใช่ผู้ให้บริการโทรคมนาคม) ลดความเสี่ยงในทางปฏิบัติของการเฝ้าระวังของรัฐบาลอย่างมีนัยสำคัญ

4. การคุ้มครองที่แนะนำโดย คำสั่งผู้บริหาร 14086 และกลไกการเยียวยาที่เกี่ยวข้องให้การคุ้มครองเพิ่มเติมที่เป็นประโยชน์ต่อเจ้าของข้อมูลทั้งหมดโดยไม่คำนึงถึงกลไกการโอนที่ใช้

5. สำหรับ การโอนแคนาดา การคุ้มครองตามสัญญาและมาตรการเสริมที่อธิบายที่นี่รับรอง ระดับการคุ้มครองที่เทียบเคียงได้ กับที่กำหนดโดย PIPEDA และกฎหมายความเป็นส่วนตัวของจังหวัดที่บังคับใช้ รวมถึงกฎหมายความเป็นส่วนตัวที่ทันสมัยของควิเบก

6. เราจะยังคงติดตามการพัฒนาในกฎหมายและแนวปฏิบัติการเฝ้าระวังของสหรัฐฯ ตลอดจนการพัฒนาในกฎหมายความเป็นส่วนตัวของแคนาดา (รวมถึงกฎหมายคุ้มครองความเป็นส่วนตัวของผู้บริโภคที่เสนอ) และจะ ประเมิน TIA นี้ใหม่ หากสถานการณ์เปลี่ยนแปลงอย่างมีนัยสำคัญ

การโอนอาจดำเนินการต่อไปตามการใช้ SCCs และมาตรการเสริมที่อธิบายที่นี่อย่างต่อเนื่อง

9. กำหนดการทบทวน

TIA นี้จะได้รับการทบทวนและอัปเดต:

• รายปี อย่างน้อย หรือ
• เมื่อมีการเปลี่ยนแปลงที่สำคัญ ต่อกฎหมายหรือระเบียบที่บังคับใช้ (รวมถึงการเปลี่ยนแปลงต่อ FISA, CLOUD Act, EO 14086, PIPEDA หรือกฎหมายความเป็นส่วนตัวของจังหวัดแคนาดา),
• เมื่อมีการเปลี่ยนแปลงในผู้ประมวลผลย่อยของเรา หรือลักษณะของข้อมูลที่โอน,
• เมื่อมีคำพิพากษาศาล ที่ส่งผลกระทบอย่างมีนัยสำคัญต่อความถูกต้องของ SCCs หรือความเพียงพอของการคุ้มครองข้อมูลสหรัฐฯ

10. ติดต่อเรา

หากคุณมีคำถามเกี่ยวกับการประเมินผลกระทบการโอนข้อมูลนี้ กรุณาติดต่อเราที่:

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
United States

โทรศัพท์: 888-389-1189
อีเมล: legal@acira.ai