Pháp lý

Thỏa thuận xử lý dữ liệu

Cập nhật lần cuối 1 tháng 11 năm 2026

Bản dịch này được cung cấp để thuận tiện cho bạn. Bản tiếng Anh là bản có giá trị ràng buộc pháp lý và được ưu tiên áp dụng nếu hai bản có điểm khác nhau. Đọc bản tiếng Anh.

Thỏa thuận xử lý dữ liệu này (“DPA”) là một phần của Điều khoản dịch vụ giữa Khách hàng và Astrizon Technology Solutions Private Limited, một công ty đăng ký tại Ấn Độ (“Bên Xử lý”). Thỏa thuận áp dụng bất cứ khi nào Bên Xử lý xử lý dữ liệu cá nhân thay mặt Khách hàng thông qua Zolensa. Nếu Khách hàng đóng vai trò bên xử lý dữ liệu cho khách hàng của chính mình, Bên Xử lý là bên xử lý phụ của Khách hàng và các điều khoản được áp dụng tương ứng.

1. Định nghĩa

“Luật Bảo vệ Dữ liệu” là các luật áp dụng cho việc xử lý, bao gồm Quy định chung về bảo vệ dữ liệu của EU (GDPR), GDPR của Vương quốc Anh và Đạo luật Bảo vệ dữ liệu 2018, Luật Liên bang Thụy Sĩ về Bảo vệ dữ liệu, Đạo luật Bảo vệ Dữ liệu Cá nhân Kỹ thuật số 2023 của Ấn Độ, và các luật cấp bang của Hoa Kỳ như Đạo luật Bảo mật Người tiêu dùng California (CCPA). “Dữ liệu Cá nhân”, “Bên Kiểm soát”, “Bên Xử lý”, “Chủ thể Dữ liệu”, “Vi phạm Dữ liệu Cá nhân” và “Xử lý” có nghĩa như được quy định trong GDPR. “Dữ liệu Cá nhân của Khách hàng” là Dữ liệu Cá nhân được Bên Xử lý xử lý cho Khách hàng thông qua Dịch vụ.

2. Vai trò và chỉ dẫn

Khách hàng là Bên Kiểm soát (hoặc là Bên Xử lý hành động cho khách hàng của mình) và Bên Xử lý chỉ xử lý Dữ liệu Cá nhân của Khách hàng theo các chỉ dẫn bằng văn bản của Khách hàng. Các Điều khoản, DPA này cùng việc sử dụng và cài đặt Dịch vụ của Khách hàng chính là những chỉ dẫn đó. Bên Xử lý thông báo cho Khách hàng nếu cho rằng một chỉ dẫn vi phạm Luật Bảo vệ Dữ liệu. Chi tiết về việc xử lý nằm trong Phụ lục I.

3. Bảo mật thông tin

Bên Xử lý bảo đảm rằng mọi người được ủy quyền xử lý Dữ liệu Cá nhân của Khách hàng đều chịu ràng buộc về bảo mật và chỉ có quyền truy cập mà vai trò của họ cần.

4. An ninh

Bên Xử lý thực hiện các biện pháp kỹ thuật và tổ chức nêu trong Phụ lục II, phù hợp với mức độ rủi ro, và có thể cập nhật chúng miễn là mức độ bảo vệ tổng thể không giảm.

5. Bên xử lý phụ

Khách hàng cấp ủy quyền chung cho các bên xử lý phụ được liệt kê trên trang Bên xử lý phụ. Bên Xử lý thông báo trước ít nhất 30 ngày về một bên xử lý phụ mới bằng cách cập nhật trang đó và gửi email cho chủ sở hữu các không gian làm việc. Khách hàng có thể phản đối trên cơ sở bảo vệ dữ liệu hợp lý trong thời hạn đó; nếu các bên không thể thống nhất một giải pháp, Khách hàng có thể chấm dứt dịch vụ bị ảnh hưởng và nhận lại khoản phí đã trả trước cho thời gian còn lại. Bên Xử lý áp đặt cho mỗi bên xử lý phụ các nghĩa vụ bảo vệ dữ liệu không kém phần bảo vệ so với DPA này và vẫn chịu trách nhiệm về họ.

6. Chuyển dữ liệu quốc tế

Bên Xử lý lưu trữ Dịch vụ tại Ấn Độ và một số bên xử lý phụ ở các quốc gia khác. Đối với việc chuyển Dữ liệu Cá nhân từ Khu vực Kinh tế Châu Âu, các bên đồng ý áp dụng Các điều khoản hợp đồng tiêu chuẩn được thông qua bởi Quyết định thực thi của Ủy ban (EU) 2021/914, Mô-đun Hai (từ bên kiểm soát đến bên xử lý) và, khi Khách hàng là bên xử lý, Mô-đun Ba (từ bên xử lý đến bên xử lý), được đưa vào bằng cách viện dẫn với các lựa chọn sau: Điều 7 không áp dụng; theo Điều 9, phương án 2 (ủy quyền chung) áp dụng với thông báo trước 30 ngày; phần diễn đạt tùy chọn trong Điều 11 không áp dụng; Điều 13 theo nơi thành lập của Khách hàng; theo các Điều 17 và 18, luật và tòa án của Ireland được áp dụng; Phụ lục I và II của DPA này hoàn thiện các Phụ lục của Các điều khoản. Đối với việc chuyển dữ liệu từ Vương quốc Anh, Phụ lục chuyển dữ liệu quốc tế do Ủy viên Thông tin ban hành được áp dụng, và đối với Thụy Sĩ, Các điều khoản được áp dụng với các dẫn chiếu được hiểu là dẫn chiếu đến luật Thụy Sĩ. Nếu Các điều khoản này mâu thuẫn với DPA này, Các điều khoản được ưu tiên.

7. Hỗ trợ Khách hàng

Có tính đến bản chất của việc xử lý, Bên Xử lý hỗ trợ Khách hàng, chủ yếu thông qua các tính năng của Dịch vụ, trong việc trả lời các yêu cầu của Chủ thể Dữ liệu, cũng như về an ninh, thông báo vi phạm, đánh giá tác động bảo vệ dữ liệu và tham vấn với cơ quan chức năng. Nếu một Chủ thể Dữ liệu liên hệ trực tiếp với Bên Xử lý, Bên Xử lý chuyển yêu cầu đó cho Khách hàng mà không trả lời, trừ khi pháp luật yêu cầu khác.

8. Vi phạm Dữ liệu Cá nhân

Bên Xử lý thông báo cho Khách hàng không chậm trễ quá mức, và trong mọi trường hợp trong vòng 48 giờ kể từ khi biết về một Vi phạm Dữ liệu Cá nhân ảnh hưởng đến Dữ liệu Cá nhân của Khách hàng, kèm thông tin Khách hàng cần để đáp ứng các nghĩa vụ của chính mình, và tiếp tục thông báo cho Khách hàng khi có thêm thông tin. Bên Xử lý thực hiện các bước hợp lý để kiểm soát vi phạm và giảm thiểu tác động của nó.

9. Xóa và trả lại dữ liệu

Khách hàng có thể xuất và xóa Dữ liệu Cá nhân của Khách hàng bất cứ lúc nào thông qua Dịch vụ, và đặt thời gian lưu trữ cho từng nghiên cứu. Khi thỏa thuận chấm dứt, Bên Xử lý xóa toàn bộ Dữ liệu Cá nhân của Khách hàng, bao gồm các tệp trong kho lưu trữ, trong vòng 30 ngày sau thời gian xuất dữ liệu nêu trong Các Điều khoản, trừ khi pháp luật yêu cầu giữ lại một phần dữ liệu, trong trường hợp đó Bên Xử lý giữ bí mật dữ liệu ấy và chỉ xử lý cho mục đích đó.

10. Kiểm toán

Bên Xử lý cung cấp thông tin cần thiết một cách hợp lý để chứng minh việc tuân thủ DPA này. Khách hàng có thể tự kiểm toán, hoặc nhờ một kiểm toán viên độc lập chịu ràng buộc về bảo mật kiểm toán, mỗi năm một lần với thông báo trước 30 ngày, trong giờ làm việc và không làm gián đoạn Dịch vụ hay dữ liệu của khách hàng khác, với chi phí của Khách hàng; hoặc thường xuyên hơn nếu có Vi phạm Dữ liệu Cá nhân hoặc một cơ quan chức năng yêu cầu.

11. Luật bảo mật cấp bang của Hoa Kỳ

Khi Đạo luật Bảo mật Người tiêu dùng California hoặc các luật tương tự được áp dụng, Bên Xử lý là nhà cung cấp dịch vụ và sẽ không bán hoặc chia sẻ Dữ liệu Cá nhân của Khách hàng, không giữ lại, sử dụng hoặc tiết lộ dữ liệu đó ngoài mối quan hệ kinh doanh trực tiếp hoặc cho bất kỳ mục đích nào khác ngoài Dịch vụ, và không kết hợp dữ liệu với thông tin cá nhân khác trừ khi các luật đó cho phép. Bên Xử lý sẽ thông báo cho Khách hàng nếu không còn có thể đáp ứng các nghĩa vụ này.

12. Trách nhiệm pháp lý và thứ tự ưu tiên

Trách nhiệm của mỗi bên theo DPA này chịu các giới hạn trong Các Điều khoản, trừ khi Luật Bảo vệ Dữ liệu không cho phép. Nếu DPA này mâu thuẫn với Các Điều khoản về bảo vệ dữ liệu, DPA này được ưu tiên.

13. Phụ lục I: Chi tiết về việc xử lý

14. Phụ lục II: Các biện pháp kỹ thuật và tổ chức

• Mã hóa khi truyền tải bằng TLS cho mọi kết nối; các bản ghi hình được lưu riêng tư và cung cấp qua các liên kết có chữ ký và có thời hạn.
• Mật khẩu được băm bằng Argon2id; bắt buộc xác thực hai bước đối với chủ sở hữu không gian làm việc và nhân viên nền tảng; khóa của nhà cung cấp và khóa bí mật xác thực hai bước được mã hóa khi lưu trữ.
• Phân quyền truy cập theo vai trò trong từng không gian làm việc; khách hàng chỉ thấy người tham gia qua mã; thông tin liên hệ chỉ giới hạn trong nhóm thực hiện nghiên cứu.
• Tách biệt dữ liệu của các khách hàng trong ứng dụng theo không gian làm việc; mọi yêu cầu đều được kiểm tra đối chiếu với không gian làm việc và vai trò của người dùng.
• Giới hạn tốc độ đối với đăng nhập, lời mời và tải lên; bảo vệ chống giả mạo yêu cầu liên trang; tiêu đề bảo mật.
• Nhật ký kiểm toán về đăng nhập, lời mời, sự đồng ý, xuất dữ liệu, tải xuống và xóa.
• Tối thiểu hóa dữ liệu: dữ liệu vị trí được xóa khỏi ảnh; các tệp tải lên được kiểm tra theo loại và kích thước; liên kết tải xuống hết hạn sau bảy ngày.
• Thời gian lưu trữ theo từng nghiên cứu do Khách hàng đặt; xóa người tham gia, nghiên cứu và toàn bộ không gian làm việc, bao gồm cả tệp.
• Tăng cường bảo mật máy chủ, cập nhật bảo mật định kỳ, tường lửa, và các bản sao lưu do nhà cung cấp lưu trữ nắm giữ.
• Nhân viên có quyền truy cập chịu ràng buộc về bảo mật, và quyền truy cập được giới hạn ở mức công việc của họ đòi hỏi.
• Một quy trình để phát hiện, đánh giá và thông báo các Vi phạm Dữ liệu Cá nhân trong vòng 48 giờ.