ĐÁNH GIÁ TÁC ĐỘNG CHUYỂN DỮ LIỆU

Cập nhật lần cuối: Ngày 19 tháng 3 năm 2026

Đánh giá Tác động Chuyển dữ liệu ("TIA") này được Acira AI LLC ("Acira AI", "chúng tôi") chuẩn bị theo yêu cầu của quyết định của Tòa án Công lý Liên minh Châu Âu trong vụ Data Protection Commissioner kiện Facebook Ireland Limited và Maximillian Schrems (Vụ C-311/18, "Schrems II") và các khuyến nghị của Ủy ban Bảo vệ Dữ liệu Châu Âu (Khuyến nghị EDPB 01/2020 về các biện pháp bổ sung).

TIA này đánh giá mức độ bảo vệ đầy đủ đối với dữ liệu cá nhân được chuyển từ Khu vực Kinh tế Châu Âu ("EEA"), Vương quốc Anh ("UK"), Thụy Sĩ và Canada sang Hoa Kỳ và các quốc gia thứ ba khác liên quan đến việc cung cấp Dịch vụ của chúng tôi.

TIA này có thể được dịch sang các ngôn ngữ khác để thuận tiện cho bạn. Trong trường hợp có mâu thuẫn hoặc không nhất quán giữa phiên bản tiếng Anh và bất kỳ phiên bản dịch nào, phiên bản tiếng Anh sẽ được ưu tiên.

MỤC LỤC

1. TỔNG QUAN VỀ CHUYỂN DỮ LIỆU
2. BẢN CHẤT CỦA DỮ LIỆU ĐƯỢC CHUYỂN
3. CƠ CHẾ CHUYỂN DỮ LIỆU
4. ĐÁNH GIÁ LUẬT PHÁP QUỐC GIA ĐÍCH
5. ĐÁNH GIÁ LUỒNG DỮ LIỆU THEO NHÀ CUNG CẤP DỊCH VỤ
6. CÁC BIỆN PHÁP BỔ SUNG
7. ĐÁNH GIÁ RỦI RO
8. KẾT LUẬN
9. LỊCH XEM XÉT
10. LIÊN HỆ VỚI CHÚNG TÔI

1. TỔNG QUAN VỀ CHUYỂN DỮ LIỆU

1.1 Bối cảnh

Acira AI là nền tảng phần mềm như một dịch vụ cho phép các doanh nghiệp và cá nhân tạo, quản lý và lưu trữ các trang web được hỗ trợ bởi AI. Khi người dùng tạo các trang web được truy cập bởi khách truy cập ở EEA, Vương quốc Anh, Thụy Sĩ hoặc Canada, dữ liệu cá nhân của những khách truy cập đó có thể được chuyển đến và xử lý tại Hoa Kỳ và các địa điểm khác nơi các nhà cung cấp cơ sở hạ tầng của chúng tôi hoạt động.

1.2 Các Bên

• Bên Xuất khẩu Dữ liệu: Người điều hành trang web (khách hàng của chúng tôi, với tư cách là Bên kiểm soát) và, đối với dữ liệu phân tích, Acira AI với tư cách là Bên kiểm soát Chung.
• Bên Nhập khẩu Dữ liệu: Acira AI LLC, được thành lập tại Nevada, Hoa Kỳ, với tư cách là Bên xử lý (và Bên kiểm soát Chung đối với dữ liệu phân tích).
• Bên xử lý Phụ: Các nhà cung cấp dịch vụ bên thứ ba được Acira AI thuê (được liệt kê trong Mục 5).

1.3 Điểm đến Chuyển dữ liệu

2. BẢN CHẤT CỦA DỮ LIỆU ĐƯỢC CHUYỂN

2.1 Các Danh mục Dữ liệu Cá nhân

Dữ liệu cá nhân được chuyển phụ thuộc vào các tính năng được người điều hành trang web bật và các tương tác của khách truy cập trang web. Các danh mục sau có thể được chuyển:

2.2 Các Danh mục Chủ thể Dữ liệu

• Khách truy cập vào các trang web được lưu trữ trên nền tảng Acira AI
• Người dùng tạo tài khoản trên các trang web được lưu trữ trên nền tảng
• Người dùng gửi biểu mẫu, tương tác với chatbot hoặc tải tệp lên trên các trang web được lưu trữ

2.3 Dữ liệu Không được Chuyển

• Dữ liệu định vị địa lý: Tra cứu vị trí từ IP được thực hiện tại biên mạng bởi nhà cung cấp cơ sở hạ tầng của chúng tôi. Không có địa chỉ IP nào của khách truy cập được truyền đến bất kỳ dịch vụ định vị địa lý bên ngoài nào.
• Địa chỉ IP phân tích thô: Chỉ lưu trữ hàm băm mật mã xoay vòng hàng ngày; IP thô không được lưu trữ trong hệ thống phân tích.
• Mật khẩu văn bản thuần túy: Chỉ lưu trữ và chuyển các băm mật mã học.

3. CƠ CHẾ CHUYỂN DỮ LIỆU

3.1 Cơ chế Chính: Điều khoản Hợp đồng Tiêu chuẩn

Chúng tôi dựa vào Điều khoản Hợp đồng Tiêu chuẩn (SCCs) của Ủy ban Châu Âu được thông qua theo Quyết định Thực hiện Ủy ban (EU) 2021/914, cụ thể là:

• Mô-đun Một (Bên kiểm soát đến Bên kiểm soát): Đối với việc chuyển dữ liệu phân tích trong đó Acira AI đóng vai trò là bên kiểm soát chung với người điều hành trang web (xem DPA Mục 2.3).
• Mô-đun Hai (Bên kiểm soát đến Bên xử lý): Đối với việc chuyển dữ liệu cá nhân của khách truy cập từ người điều hành trang web (Bên kiểm soát) sang Acira AI (Bên xử lý).
• Mô-đun Ba (Bên xử lý đến Bên xử lý Phụ): Đối với việc chuyển tiếp từ Acira AI đến các bên xử lý phụ của chúng tôi.

3.2 Chuyển dữ liệu Vương quốc Anh, Thụy Sĩ và Canada

• Vương quốc Anh: Phụ lục Chuyển dữ liệu Quốc tế của Vương quốc Anh bổ sung cho EU SCCs được áp dụng.
• Thụy Sĩ: SCCs được áp dụng với các sửa đổi theo yêu cầu của Đạo luật Liên bang Thụy Sĩ về Bảo vệ Dữ liệu (FADP).
• Canada: Việc chuyển dữ liệu dựa trên các biện pháp bảo vệ hợp đồng với mỗi bên xử lý phụ áp đặt các nghĩa vụ phù hợp với Đạo luật Bảo vệ Thông tin Cá nhân và Tài liệu Điện tử (PIPEDA) và luật pháp về quyền riêng tư tỉnh thành áp dụng, kết hợp với các biện pháp kỹ thuật và tổ chức bổ sung được mô tả trong Mục 6. Xem DPA Mục 7.4 để biết chi tiết.

3.3 Cơ chế Chuyển dữ liệu của Bên xử lý Phụ

4. ĐÁNH GIÁ LUẬT PHÁP QUỐC GIA ĐÍCH

4.1 Hoa Kỳ

Hoa Kỳ là điểm đến chính cho dữ liệu được chuyển. Các luật của Hoa Kỳ sau đây có liên quan đến đánh giá này:

4.1.1 Đạo luật Giám sát Tình báo Nước ngoài (FISA), Mục 702

FISA Mục 702 cho phép chính phủ Hoa Kỳ buộc các nhà cung cấp dịch vụ truyền thông điện tử cung cấp quyền truy cập vào thông tin liên lạc của những người không phải công dân Hoa Kỳ ở ngoài Hoa Kỳ cho mục đích tình báo nước ngoài.

Đánh giá rủi ro:

• Khả năng áp dụng: FISA Mục 702 áp dụng cho "các nhà cung cấp dịch vụ truyền thông điện tử" như được định nghĩa trong 50 U.S.C. § 1881(b)(4). Acira AI là nền tảng SaaS lưu trữ trang web, không phải nhà cung cấp viễn thông truyền thống. Các bên xử lý phụ của chúng tôi (AWS, Cloudflare) có nhiều khả năng phải tuân theo các chỉ thị của Mục 702.
• Phạm vi dữ liệu có nguy cơ: Dữ liệu cá nhân chúng tôi xử lý bao gồm chủ yếu là phân tích khách truy cập trang web (được giả danh hóa), biểu mẫu gửi và tin nhắn chatbot. Dữ liệu này không có khả năng là mối quan tâm về tình báo nước ngoài.
• Khả năng thực tế: Chúng tôi chưa bao giờ nhận được chỉ thị FISA Mục 702 và đánh giá khả năng thực tế nhận được một chỉ thị như vậy là rất thấp, do tính chất Dịch vụ của chúng tôi và dữ liệu chúng tôi xử lý.

4.1.2 Sắc lệnh Hành pháp 12333

EO 12333 cho phép các cơ quan tình báo Hoa Kỳ tiến hành các hoạt động giám sát, bao gồm thu thập hàng loạt tình báo tín hiệu. Nó áp dụng cho dữ liệu đang truyền và không buộc các công ty tư nhân hợp tác.

Đánh giá rủi ro:

• Giảm thiểu: Tất cả dữ liệu đang truyền được mã hóa bằng TLS. Việc chặn hàng loạt dữ liệu đang truyền được mã hóa sẽ không thu được dữ liệu cá nhân dạng văn bản thuần túy.
• Khả năng thực tế: Thấp. Dữ liệu được xử lý qua Dịch vụ của chúng tôi không thuộc loại thường là mục tiêu của tình báo tín hiệu.

4.1.3 Sắc lệnh Hành pháp 14086 và Khung Quyền riêng tư Dữ liệu EU-Hoa Kỳ

Sắc lệnh Hành pháp 14086 (tháng 10 năm 2022) đã giới thiệu các biện pháp bảo vệ bổ sung cho các hoạt động tình báo tín hiệu, bao gồm:

• Yêu cầu về sự cần thiết và tỷ lệ thuận trong thu thập tình báo
• Cơ chế khắc phục hai tầng (Quan chức Bảo vệ Quyền Tự do Dân sự + Tòa án Xem xét Bảo vệ Dữ liệu) dành cho các cá nhân EU/Vương quốc Anh/Thụy Sĩ
• Giới hạn thu thập hàng loạt

Ủy ban Châu Âu đã thông qua quyết định đầy đủ cho Khung Quyền riêng tư Dữ liệu EU-Hoa Kỳ (DPF) vào ngày 10 tháng 7 năm 2023. Mặc dù Acira AI hiện không tự chứng nhận theo DPF, các biện pháp bảo vệ theo EO 14086 áp dụng rộng rãi cho tất cả việc chuyển dữ liệu sang Hoa Kỳ và mang lại lợi ích cho tất cả chủ thể dữ liệu bất kể cơ chế chuyển được sử dụng.

4.1.4 Đạo luật CLOUD

Đạo luật Làm rõ Việc Sử dụng Dữ liệu Hợp pháp ở Nước ngoài (CLOUD Act) cho phép cơ quan thực thi pháp luật Hoa Kỳ buộc các nhà cung cấp có trụ sở tại Hoa Kỳ cung cấp dữ liệu bất kể nơi lưu trữ, theo lệnh hợp lệ.

Đánh giá rủi ro:

• Biện pháp bảo vệ: CLOUD Act yêu cầu quy trình pháp lý hợp lệ (lệnh, trát hoặc lệnh của tòa án). Nó không cho phép truy cập hàng loạt không cần lệnh.
• Điều khoản Comity: CLOUD Act bao gồm khung comity cho phép các nhà cung cấp phản đối các lệnh xung đột với luật nước ngoài.
• Khả năng thực tế: Thấp đối với dữ liệu khách truy cập trang web. Các yêu cầu thực thi pháp luật có nhiều khả năng nhắm vào các tài khoản cụ thể bị nghi ngờ hoạt động tội phạm, không phải phân tích khách truy cập hoặc biểu mẫu gửi.

4.2 Israel (BrightData)

BrightData có trụ sở tại Israel. Israel có quyết định đầy đủ từ Ủy ban Châu Âu (2011/61/EU), nghĩa là việc chuyển sang Israel được coi là tương tự như việc chuyển trong EEA. Tuy nhiên, BrightData cũng xử lý dữ liệu ở các địa điểm toàn cầu khác. Chúng tôi lưu ý rằng:

• Việc xử lý của BrightData chỉ xảy ra khi người dùng chỉ đạo (trong quá trình tạo trang web để nhập nội dung) hoặc trong quá trình theo dõi SERP theo lịch trình.
• Không có dữ liệu cá nhân nào của khách truy cập trang web được truyền đến BrightData.

4.3 Canada (Chuyển dữ liệu từ Canada sang Hoa Kỳ)

Dữ liệu cá nhân của khách truy cập trang web ở Canada có thể được chuyển đến Hoa Kỳ để xử lý. Các luật Canada sau đây có liên quan đến đánh giá này:

4.3.1 Đạo luật Bảo vệ Thông tin Cá nhân và Tài liệu Điện tử (PIPEDA)

PIPEDA quy định việc thu thập, sử dụng và tiết lộ thông tin cá nhân của các tổ chức khu vực tư nhân trong quá trình hoạt động thương mại. Nguyên tắc PIPEDA 4.1.3 yêu cầu các tổ chức sử dụng hợp đồng hoặc các phương tiện khác để đảm bảo mức độ bảo vệ tương đương khi thông tin cá nhân được chuyển cho các bên thứ ba để xử lý, bao gồm cả việc chuyển ra ngoài Canada.

Đánh giá rủi ro:

• Bảo vệ tương đương: Các biện pháp bổ sung được mô tả trong Mục 6 (mã hóa, giả danh hóa, kiểm soát truy cập, giảm thiểu dữ liệu) cung cấp mức độ bảo vệ tương đương với yêu cầu của PIPEDA. Các thỏa thuận xử lý dữ liệu bằng văn bản đã được ký kết với tất cả các bên xử lý phụ.
• Không có yêu cầu đầy đủ: Khác với GDPR, PIPEDA không cấm việc chuyển đến các quốc gia thiếu phát hiện "đầy đủ". Các tổ chức phải đảm bảo bảo vệ tương đương thông qua hợp đồng và các phương tiện khác, mà chúng tôi đã thực hiện.

4.3.2 Luật pháp Quyền riêng tư Tỉnh thành

Đạo luật Bảo vệ Thông tin Cá nhân (PIPA) của Alberta, Đạo luật Bảo vệ Thông tin Cá nhân (PIPA) của British Columbia, và Đạo luật về bảo vệ thông tin cá nhân trong khu vực tư nhân của Quebec đặt ra các yêu cầu bổ sung cho một số tỉnh:

Đánh giá rủi ro:

• Luật 25 của Quebec: Luật quyền riêng tư hiện đại hóa của Quebec (có hiệu lực từ tháng 9 năm 2023) yêu cầu đánh giá tác động quyền riêng tư trước khi chuyển thông tin cá nhân ra ngoài Quebec, và tổ chức chuyển phải đảm bảo thông tin sẽ nhận được bảo vệ đầy đủ. Các biện pháp bảo vệ hợp đồng, biện pháp kỹ thuật bổ sung và tính chất dữ liệu (chủ yếu là phân tích giả danh hóa và tương tác trang web doanh nghiệp nhỏ) của chúng tôi hỗ trợ kết luận về bảo vệ đầy đủ.
• Alberta và British Columbia: PIPAs của Alberta và British Columbia yêu cầu các tổ chức đảm bảo bảo vệ tương đương cho dữ liệu được chuyển. Các biện pháp bảo vệ hợp đồng và kỹ thuật của chúng tôi đáp ứng yêu cầu này.

4.3.3 Quyền Truy cập của Chính phủ Hoa Kỳ từ Góc độ Canada

Các rủi ro truy cập của chính phủ Hoa Kỳ được đánh giá trong Mục 4.1 áp dụng cho việc chuyển dữ liệu Canada. Khả năng truy cập của chính phủ thấp (do tính chất dữ liệu và hồ sơ công ty của chúng tôi), kết hợp với các biện pháp bổ sung trong Mục 6, đảm bảo rằng dữ liệu cá nhân được chuyển từ Canada sang Hoa Kỳ nhận được mức độ bảo vệ tương đương với yêu cầu của luật quyền riêng tư Canada.

4.4 Vị trí Edge Toàn cầu (Cloudflare)

Cloudflare vận hành mạng lưới vị trí biên toàn cầu. Các yêu cầu của khách truy cập EU thường được xử lý tại điểm hiện diện Cloudflare gần nhất, thường là vị trí EU đối với khách truy cập EU.

• Định tuyến yêu cầu, chấm dứt TLS và bảo vệ bot xảy ra tại vị trí edge gần nhất.
• Đối với các nhà vận hành trang web được xác định là cư dân EU, bộ nhớ lưu trữ liên tục (chứa các biểu mẫu đã gửi, cuộc trò chuyện chatbot và dữ liệu phiên) bị giới hạn về mặt thẩm quyền đối với Liên minh Châu Âu bằng cách sử dụng API thẩm quyền của Cloudflare. Đối với các nhà vận hành trang web không thuộc EU, bộ nhớ lưu trữ liên tục nằm gần khu vực địa lý của nhà vận hành nhưng có thể nằm ngoài EU.
• Dữ liệu phân tích được xử lý tại cơ sở hạ tầng do Cloudflare quản lý.

5. ĐÁNH GIÁ LUỒNG DỮ LIỆU THEO NHÀ CUNG CẤP DỊCH VỤ

5.1 Amazon Web Services (Hoa Kỳ)

Biện pháp Bảo vệ AWS:

• Được chứng nhận ISO 27001, 27017, 27018
• Báo cáo SOC 1/2/3 có sẵn
• Dữ liệu được mã hóa khi lưu trữ bằng mã hóa tiêu chuẩn ngành
• Dữ liệu được mã hóa trong quá trình truyền tải (TLS)
• Kiểm soát truy cập đặc quyền tối thiểu cho mỗi thành phần hệ thống
• Các dịch vụ chính được lưu trữ tại Hoa Kỳ; các hoạt động tự động hướng đến khách truy cập (thông báo gửi nội dung và giao nhận email giao dịch) cho các nhà điều hành trang web cư trú tại EU được xử lý tại Liên minh Châu Âu (Stockholm)

5.2 Cloudflare (Toàn cầu)

Biện pháp Bảo vệ Cloudflare:

• Được chứng nhận ISO 27001, SOC 2 Type II
• TLS 1.2+ cho tất cả kết nối
• Cloudflare DPA với SCCs có sẵn
• Xử lý tại biên có nghĩa là dữ liệu khách truy cập EU thường được xử lý tại các vị trí biên EU để xử lý yêu cầu
• Đối với các nhà điều hành trang web được xác định là cư dân EU, bộ lưu trữ liên tục (chứa các biểu mẫu đã gửi, cuộc trò chuyện chatbot, dữ liệu phiên và dữ liệu bảng người dùng) được giới hạn theo thẩm quyền tại Liên minh Châu Âu bằng API thẩm quyền của Cloudflare, đảm bảo rằng dữ liệu này được lưu trữ và xử lý độc quyền tại các trung tâm dữ liệu EU. Các cuộc gọi API phụ trợ từ biên (cho thông báo gửi nội dung và giao nhận email giao dịch) được định tuyến đến cơ sở hạ tầng AWS đặt tại EU.
• Suy luận AI không lưu giữ dữ liệu đầu vào để đào tạo

5.3 Stripe (Hoa Kỳ)

Lưu ý: Stripe không nhận dữ liệu cá nhân của khách truy cập trang web. Chỉ có thông tin thanh toán của người điều hành trang web (khách hàng của chúng tôi) được xử lý bởi Stripe.

Biện pháp Bảo vệ Stripe:

• Được chứng nhận PCI DSS Cấp 1
• Được chứng nhận ISO 27001
• Stripe DPA với SCCs có sẵn

5.4 Nhà cung cấp Suy luận AI (Hoa Kỳ)

Fireworks AI và xAI cung cấp các dịch vụ suy luận mô hình AI.

Lưu ý: Các nhà cung cấp AI này không nhận dữ liệu cá nhân của khách truy cập trang web. Tính năng chatbot (phục vụ khách truy cập trang web) sử dụng Cloudflare Workers AI (được đánh giá trong Mục 5.2), không phải các nhà cung cấp này. Tuy nhiên, trợ lý AI hội thoại của nền tảng — được người điều hành trang web sử dụng để quản lý trang web của họ — gửi dữ liệu cá nhân của người dùng nền tảng (tên, địa chỉ email và lịch sử hội thoại) đến các nhà cung cấp này như một phần của việc tạo ra phản hồi. Đối với việc xử lý này, Acira AI đóng vai trò là bên kiểm soát (không phải bên xử lý), và các chủ thể dữ liệu là người dùng nền tảng của chúng tôi (người điều hành trang web), không phải khách truy cập trang web của họ. Luồng dữ liệu này được điều chỉnh bởi Chính sách Quyền riêng tư của chúng tôi và các thỏa thuận của chúng tôi với các nhà cung cấp này, thay vì DPA theo khung bên kiểm soát-bên xử lý cho dữ liệu khách truy cập.

Họ mô hình: Các nhà cung cấp cơ sở hạ tầng này lưu trữ và thực thi các mô hình AI được phát triển bởi nhiều bên thứ ba khác nhau. Các mô hình và họ mô hình cụ thể được sử dụng có thể thay đổi theo thời gian. Các nhà phát triển mô hình không nhận được hoặc có quyền truy cập vào bất kỳ dữ liệu người dùng nào — tất cả quá trình xử lý dữ liệu diễn ra độc quyền trong cơ sở hạ tầng của các bộ xử lý phụ được liệt kê, bất kể mô hình được phát triển ở đâu ban đầu. Tất cả quá trình xử lý suy luận AI vẫn ở trong cơ sở hạ tầng của các bộ xử lý phụ được liệt kê. Không có dữ liệu người dùng nào được truyền đến các nhà phát triển mô hình hoặc đến cơ sở hạ tầng bên ngoài các bộ xử lý phụ được liệt kê trong đánh giá này. Danh sách hiện tại của các họ mô hình đang được sử dụng có thể được cung cấp theo yêu cầu bằng cách liên hệ legal@acira.ai.

5.5 BrightData (Israel / Toàn cầu)

Lưu ý: BrightData không xử lý dữ liệu cá nhân của khách truy cập trang web. Nó xử lý nội dung web công khai khi được người dùng chỉ đạo và theo dõi xếp hạng công cụ tìm kiếm cho các từ khóa do người dùng xác định.

5.6 Các Nhà cung cấp Dựa trên EU (Không có Chuyển dữ liệu)

Các nhà cung cấp này xử lý dữ liệu trong EU và không cấu thành việc chuyển quốc tế. Black Forest Labs chỉ nhận các gợi ý văn bản để tạo hình ảnh; không có dữ liệu cá nhân nào liên quan.

6. CÁC BIỆN PHÁP BỔ SUNG

Ngoài SCCs, chúng tôi thực hiện các biện pháp bổ sung sau đây để đảm bảo mức độ bảo vệ về cơ bản tương đương cho dữ liệu cá nhân được chuyển:

6.1 Biện pháp Kỹ thuật

6.2 Biện pháp Tổ chức

6.3 Biện pháp Hợp đồng

7. ĐÁNH GIÁ RỦI RO

7.1 Khả năng Truy cập của Chính phủ

Khả năng tổng thể: THẤP

7.2 Tác động nếu Truy cập Xảy ra

Tác động tổng thể: THẤP đến TRUNG BÌNH (tùy thuộc vào độ nhạy cảm của dữ liệu được thu thập bởi người điều hành trang web cá nhân)

7.3 Đánh giá Rủi ro Còn lại

Xem xét khả năng truy cập của chính phủ thấp, các biện pháp kỹ thuật bổ sung (mã hóa, giả danh hóa, giảm thiểu dữ liệu) và các biện pháp bảo vệ bổ sung được giới thiệu bởi EO 14086, chúng tôi đánh giá rằng rủi ro còn lại đối với chủ thể dữ liệu là thấp và các biện pháp bổ sung, cùng với SCCs (đối với việc chuyển EEA/Vương quốc Anh/Thụy Sĩ) và các biện pháp bảo vệ hợp đồng (đối với việc chuyển Canada), cung cấp mức độ bảo vệ về cơ bản tương đương với mức được đảm bảo trong EEA và tương đương với mức được yêu cầu theo luật quyền riêng tư Canada.

8. KẾT LUẬN

Dựa trên đánh giá này, chúng tôi kết luận rằng:

1. Dữ liệu cá nhân được chuyển từ EEA/Vương quốc Anh/Thụy Sĩ/Canada sang Hoa Kỳ liên quan đến việc cung cấp Dịch vụ của chúng tôi được hưởng mức độ bảo vệ về cơ bản tương đương với mức được đảm bảo theo luật bảo vệ dữ liệu EU và mức độ bảo vệ tương đương với mức được yêu cầu theo luật quyền riêng tư Canada.

2. Điều khoản Hợp đồng Tiêu chuẩn, kết hợp với các biện pháp kỹ thuật, tổ chức và hợp đồng bổ sung được mô tả trong Mục 6, đủ để giải quyết các rủi ro được xác định trong đánh giá này.

3. Bản chất của dữ liệu (chủ yếu là phân tích giả danh hóa và tương tác khách truy cập trang web doanh nghiệp nhỏ) và hồ sơ của bên nhập khẩu dữ liệu (một công ty SaaS nhỏ, không phải nhà cung cấp viễn thông) làm giảm đáng kể rủi ro thực tế của giám sát của chính phủ.

4. Các biện pháp bảo vệ được giới thiệu bởi Sắc lệnh Hành pháp 14086 và cơ chế khắc phục liên quan cung cấp các biện pháp bảo vệ bổ sung mang lại lợi ích cho tất cả chủ thể dữ liệu, bất kể cơ chế chuyển cụ thể được sử dụng.

5. Đối với việc chuyển Canada, các biện pháp bảo vệ hợp đồng và bổ sung được mô tả ở đây đảm bảo mức độ bảo vệ tương đương với mức được yêu cầu theo PIPEDA và luật pháp quyền riêng tư tỉnh thành áp dụng, bao gồm luật quyền riêng tư hiện đại hóa của Quebec.

6. Chúng tôi sẽ tiếp tục theo dõi các diễn biến trong luật và thực hành giám sát của Hoa Kỳ, cũng như các diễn biến trong luật quyền riêng tư Canada (bao gồm Đạo luật Bảo vệ Quyền riêng tư Người tiêu dùng được đề xuất), và sẽ đánh giá lại TIA này nếu hoàn cảnh thay đổi đáng kể.

Việc chuyển dữ liệu có thể tiến hành với điều kiện tiếp tục áp dụng SCCs và các biện pháp bổ sung được mô tả ở đây.

9. LỊCH XEM XÉT

TIA này sẽ được xem xét và cập nhật:

• Hàng năm, tối thiểu, hoặc
• Khi có thay đổi đáng kể đối với luật pháp hoặc quy định áp dụng (bao gồm các thay đổi đối với FISA, CLOUD Act, EO 14086, PIPEDA hoặc luật quyền riêng tư tỉnh thành Canada),
• Khi có thay đổi đối với bên xử lý phụ của chúng tôi hoặc bản chất dữ liệu được chuyển,
• Khi có quyết định của tòa án ảnh hưởng đáng kể đến giá trị của SCCs hoặc sự đầy đủ của bảo vệ dữ liệu Hoa Kỳ.

10. LIÊN HỆ VỚI CHÚNG TÔI

Nếu bạn có câu hỏi về Đánh giá Tác động Chuyển dữ liệu này, vui lòng liên hệ với chúng tôi tại:

Acira AI LLC
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
United States

Điện thoại: 888-389-1189
Email: legal@acira.ai