Thỏa thuận xử lý dữ liệu

Các bên

Bên kiểm soát dữ liệu ("Khách hàng")

Bên xử lý dữ liệu ("Alvoru")

Sau đây gọi chung là: "Các bên".

Xét rằng

• Các bên đã ký kết một hợp đồng chính trong đó Alvoru với vai trò Bên xử lý dữ liệu xử lý dữ liệu cá nhân thay mặt cho Khách hàng (sau đây gọi là: "Hợp đồng chính");
• theo điều 28 khoản 3 GDPR, cần có một thỏa thuận xử lý dữ liệu bằng văn bản trong đó ghi rõ các thỏa thuận về cách thức Bên xử lý dữ liệu xử lý dữ liệu cá nhân;
• thỏa thuận xử lý dữ liệu này (sau đây gọi là: "DPA") là một phần không thể tách rời của Hợp đồng chính.

Điều 1 — Định nghĩa

Các thuật ngữ được viết hoa trong DPA này có ý nghĩa được gán cho chúng trong GDPR, được bổ sung bằng các định nghĩa trong Điều khoản chung của Alvoru.

Điều 2 — Đối tượng và thời hạn

2.1 DPA này điều chỉnh việc xử lý dữ liệu cá nhân bởi Alvoru theo yêu cầu của Khách hàng trong khuôn khổ Hợp đồng chính.

2.2 DPA này có hiệu lực vào ngày Hợp đồng chính bắt đầu và tự động chấm dứt khi Hợp đồng chính kết thúc, không ảnh hưởng đến các điều khoản mà theo bản chất của chúng được dự định tiếp tục có hiệu lực.

Điều 3 — Bản chất và mục đích của việc xử lý

3.1 Bản chất và mục đích của việc xử lý là cung cấp Dịch vụ được mô tả trong Hợp đồng chính (dịch vụ chăm sóc khách hàng AI, bao gồm chatbot, email và lịch).

3.2 Alvoru chỉ xử lý dữ liệu cá nhân theo chỉ dẫn được lập thành văn bản của Khách hàng, trừ các nghĩa vụ pháp lý khác (điều 28 khoản 3 mục a GDPR). Trong trường hợp sau này, Alvoru thông báo cho Khách hàng trước khi xử lý, trừ khi luật đó cấm điều này vì những lý do quan trọng.

Điều 4 — Loại dữ liệu cá nhân và các nhóm chủ thể dữ liệu

Các loại dữ liệu cá nhân đặc biệt (điều 9 GDPR) và dữ liệu về hình sự (điều 10 GDPR) không được xử lý, trừ khi có thỏa thuận bổ sung bằng văn bản.

Điều 5 — Nghĩa vụ của Bên xử lý dữ liệu

5.1 Alvoru chỉ xử lý dữ liệu cá nhân cho các mục đích được quy định trong Hợp đồng chính và DPA này và theo chỉ dẫn bằng văn bản của Khách hàng.

5.2 Alvoru đảm bảo rằng những người xử lý dữ liệu cá nhân có nghĩa vụ bảo mật, hoặc theo luật, hoặc theo một hợp đồng.

5.3 Alvoru hỗ trợ hợp lý cho Khách hàng, có tính đến bản chất của việc xử lý, trong việc đáp ứng các yêu cầu của chủ thể dữ liệu nhằm thực hiện các quyền của họ theo GDPR.

5.4 Alvoru cung cấp cho Khách hàng tất cả thông tin cần thiết để chứng minh việc tuân thủ điều 28 GDPR.

5.5 Cấm huấn luyện AI. Alvoru sẽ không bao giờ sử dụng dữ liệu cá nhân mà mình xử lý thay mặt cho Bên kiểm soát dữ liệu để huấn luyện, tinh chỉnh hoặc cải thiện bằng cách khác các mô hình AI, cũng như để phát triển các ứng dụng AI của riêng mình hay của bên thứ ba.

Điều 6 — Các biện pháp bảo mật (điều 32 GDPR)

Alvoru thực hiện các biện pháp kỹ thuật và tổ chức phù hợp để đảm bảo mức bảo mật tương xứng với rủi ro, bao gồm:

• Mã hóa trong quá trình truyền tải (TLS 1.2+) và mã hóa khi lưu trữ nơi phù hợp;
• Kiểm soát truy cập dựa trên least privilege; xác thực hai yếu tố cho quản trị viên;
• Tường lửa, fail2ban và giám sát xâm nhập;
• Sao lưu mã hóa hàng ngày với thời gian lưu giữ tối đa 90 ngày;
• Quyền tệp hạn chế (600) trên các tệp cấu hình và dữ liệu;
• Ghi log và giám sát truy cập vào các hệ thống sản xuất;
• Đánh giá và cập nhật định kỳ các biện pháp bảo mật.

Điều 7 — Các bên xử lý phụ

7.1 Khách hàng cấp cho Alvoru một sự đồng ý bằng văn bản chung để sử dụng các bên xử lý phụ, miễn là Alvoru tuân thủ các điều khoản khác của điều này.

7.2 Các bên xử lý phụ hiện đang được sử dụng là:

7.3 Alvoru áp đặt cho các đơn vị xử lý phụ những nghĩa vụ bảo vệ dữ liệu giống như quy định trong DPA này (điều 28 khoản 4 GDPR).

7.4 Alvoru thông báo cho Bên Đặt Hàng ít nhất 14 ngày trước về việc thay thế hoặc bổ sung đơn vị xử lý phụ. Trong thời hạn đó, Bên Đặt Hàng có thể phản đối có nêu lý do. Nếu phản đối có căn cứ, Bên Đặt Hàng có quyền chấm dứt Hợp Đồng Chính miễn phí.

Điều 8 — Chuyển dữ liệu ra ngoài EEA

Việc chuyển dữ liệu cá nhân sang một quốc gia ngoài Khu vực Kinh tế châu Âu chỉ diễn ra trên cơ sở quyết định về mức độ tương xứng (điều 45 GDPR), quy tắc doanh nghiệp ràng buộc, Điều khoản Hợp đồng Tiêu chuẩn EU (điều 46 khoản 2 mục c GDPR) hoặc một biện pháp bảo đảm khác được GDPR quy định, kèm theo các biện pháp kỹ thuật và tổ chức bổ sung khi cần thiết.

Điều 9 — Quyền của chủ thể dữ liệu

9.1 Alvoru cung cấp cho Bên Đặt Hàng sự hỗ trợ phù hợp khi xử lý các yêu cầu của chủ thể dữ liệu (truy cập, chỉnh sửa, xóa, hạn chế, di chuyển dữ liệu, phản đối) thông qua các chức năng kỹ thuật trong cổng thông tin khách hàng và hỗ trợ bổ sung khi cần thiết.

9.2 Alvoru chuyển ngay các yêu cầu của chủ thể dữ liệu đến trực tiếp Alvoru cho Bên Đặt Hàng.

Điều 10 — Rò rỉ dữ liệu

10.1 Alvoru thông báo cho Bên Đặt Hàng ngay lập tức và chậm nhất trong vòng 48 giờ sau khi phát hiện vi phạm liên quan đến dữ liệu cá nhân (điều 33 khoản 2 GDPR), để Bên Đặt Hàng có thể kịp thời thực hiện nghĩa vụ báo cáo trong vòng 72 giờ với Autoriteit Persoonsgegevens.

10.2 Thông báo trong mọi trường hợp bao gồm: bản chất của vi phạm, các loại và số lượng chủ thể dữ liệu liên quan, các loại và số lượng bản ghi liên quan, hậu quả có thể xảy ra và các biện pháp đã hoặc đề xuất thực hiện.

10.3 Alvoru cung cấp cho Bên Đặt Hàng sự hỗ trợ phù hợp khi báo cáo cho Autoriteit Persoonsgegevens và khi liên quan là cho các chủ thể dữ liệu.

Điều 11 — Kiểm toán

11.1 Bên Đặt Hàng có thể mỗi năm dương lịch một lần, sau khi thông báo trước bằng văn bản ít nhất 30 ngày, tự chi trả chi phí để (cho) thực hiện một cuộc kiểm toán về việc Alvoru tuân thủ DPA này.

11.2 Cuộc kiểm toán được thực hiện bởi một kiểm toán viên độc lập, có nghĩa vụ bảo mật, trong giờ làm việc và theo cách không làm gián đoạn hoạt động kinh doanh bình thường của Alvoru.

11.3 Thay vì kiểm toán tại chỗ, Alvoru có thể sử dụng một báo cáo cập nhật của bên thứ ba độc lập (ví dụ ISO 27001 hoặc SOC 2), miễn là báo cáo này cung cấp mức độ đảm bảo hợp lý.

Điều 12 — Chấm dứt và xóa dữ liệu

12.1 Sau khi chấm dứt Hợp Đồng Chính, Alvoru sẽ, theo lựa chọn của Bên Đặt Hàng và theo yêu cầu bằng văn bản đầu tiên, xóa hoặc trả lại toàn bộ dữ liệu cá nhân cho Bên Đặt Hàng, theo điều 28 khoản 3 mục g GDPR.

12.2 Yêu cầu như vậy có thể được nộp trong vòng 60 ngày sau khi chấm dứt. Nếu không có yêu cầu, dữ liệu sẽ tự động bị xóa sau 60 ngày.

12.3 Các bản sao lưu ngoại tuyến được xóa theo lịch luân chuyển thông thường, chậm nhất là 90 ngày sau khi chấm dứt.

12.4 Dữ liệu mà Alvoru phải lưu giữ theo quy định của pháp luật sẽ được lưu giữ trong thời hạn pháp luật quy định.

Điều 13 — Trách nhiệm pháp lý

13.1 Trách nhiệm pháp lý của Alvoru theo DPA này được bao gồm trong và bị giới hạn bởi các điều khoản trách nhiệm pháp lý của Điều Khoản Chung thuộc Hợp Đồng Chính.

13.2 Các quy định bắt buộc của GDPR vẫn không bị ảnh hưởng.

Điều 13a — Sổ đăng ký hoạt động xử lý

Alvoru duy trì một sổ đăng ký hoạt động xử lý theo điều 30 GDPR. Sổ đăng ký này trong mọi trường hợp bao gồm: tên và thông tin liên hệ của Alvoru với tư cách đơn vị xử lý, các loại hoạt động xử lý được thực hiện thay mặt cho các Bên Kiểm Soát Dữ Liệu, việc chuyển dữ liệu sang các nước thứ ba và các biện pháp bảo đảm được áp dụng, và mô tả chung về các biện pháp bảo mật kỹ thuật và tổ chức. Sổ đăng ký có sẵn theo yêu cầu của Autoriteit Persoonsgegevens.

Điều 14 — Luật áp dụng và tranh chấp

DPA này chịu sự điều chỉnh của luật Hà Lan. Các tranh chấp được đưa ra tòa án Overijssel, chi nhánh Almelo.

Ký kết

Gửi bản đã ký (bản quét hoặc ký số) đến info@alvoru.com. Alvoru sẽ trả lại một bản sao đã đồng ký.