Thỏa thuận xử lý dữ liệu

Mục lục

1. 1. Phạm vi, vai trò và định nghĩa
2. 2. Chi tiết về việc Xử Lý
3. 3. Chỉ dẫn của Khách Hàng
4. 4. Tính bảo mật của những người được ủy quyền
5. 5. Biện pháp bảo mật
6. 6. Bên Xử Lý Phụ
7. 7. Vị trí lưu trữ dữ liệu và chuyển dữ liệu quốc tế
8. 8. Hỗ trợ xử lý yêu cầu của Chủ Thể Dữ Liệu
9. 9. Thông báo Vi Phạm Dữ Liệu Cá Nhân
10. 10. Đánh giá tác động và tham vấn với cơ quan quản lý
11. 11. Thông tin và kiểm toán
12. 12. Trả lại và xóa dữ liệu
13. 13. Yêu cầu của cơ quan nhà nước
14. 14. Trách nhiệm pháp lý
15. 15. Thời hạn và thứ tự ưu tiên
16. 16. Đầu mối liên hệ về bảo vệ dữ liệu và hồ sơ xử lý
17. Phụ lục 1: Chi tiết về việc Xử Lý
18. Phụ lục 2: Các biện pháp kỹ thuật và tổ chức
19. Phụ lục 3: Các Bên Xử Lý Phụ

Phiên Bản: 1.2 · Công bố: 16 tháng 10 năm 2026 · Có hiệu lực: khi chấp nhận đối với các Không Gian Làm Việc mới; đối với các Không Gian Làm Việc đã chấp nhận một Phiên Bản trước đó, vào ngày STAK nêu trong thông báo theo khoản 20 của Điều Khoản Dịch Vụ dành cho Khách Hàng · Văn bản có giá trị quyết định: Tiếng Anh (khoản 23.9 của Điều Khoản Dịch Vụ dành cho Khách Hàng)

Phát hành bởi: STAK Global, LLC, một công ty trách nhiệm hữu hạn được thành lập tại Tiểu bang Delaware, Hợp chúng quốc Hoa Kỳ (số hồ sơ 10798493), là chủ sở hữu của STAK (ستاك) và Dịch Vụ. Liên hệ: [email protected].

1. Phạm vi, vai trò và định nghĩa

1.1 Thỏa Thuận Xử Lý Dữ Liệu này là một phần không tách rời của Hợp Đồng theo khoản 3.1 của Điều Khoản Dịch Vụ dành cho Khách Hàng của STAK (“Điều Khoản”). Thỏa Thuận này điều chỉnh việc Xử Lý Dữ Liệu Cá Nhân của Khách Hàng của STAK. Các thuật ngữ được định nghĩa trong Điều Khoản có cùng nghĩa trong Thỏa Thuận Xử Lý Dữ Liệu này.

1.2 Khách Hàng là Bên Kiểm Soát Dữ Liệu Cá Nhân của Khách Hàng, và STAK là Bên Xử Lý xử lý dữ liệu đó thay mặt Khách Hàng và theo chỉ dẫn của Khách Hàng.

• Bên Kiểm Soát và Bên Xử Lý có nghĩa là các khái niệm tương đương của chúng theo Luật Bảo Vệ Dữ Liệu Hiện Hành, chẳng hạn như thực thể kiểm soát và thực thể xử lý tại Vương quốc Ả Rập Xê Út.
• Nếu Khách Hàng xử lý dữ liệu với tư cách là bên xử lý thay mặt cho một bên kiểm soát khác, STAK xử lý dữ liệu đó với tư cách là bên xử lý hành động cho Khách Hàng, và không phải là Bên Xử Lý Phụ theo nghĩa của khoản 1.3. Khách Hàng bảo đảm rằng các chỉ dẫn của mình phù hợp với chỉ dẫn của bên kiểm soát đó.
• STAK xử lý Dữ Liệu Tài Khoản với tư cách là Bên Kiểm Soát, như mô tả trong Chính Sách Quyền Riêng Tư, và Thỏa Thuận Xử Lý Dữ Liệu này không áp dụng đối với dữ liệu đó. Cả nội dung viện dẫn này lẫn nội dung viện dẫn tại Phụ lục 3 đều không tạo ra nghĩa vụ hợp đồng theo khoản 3.2 của Điều Khoản.

1.3 Các thuật ngữ sau có nghĩa như được nêu bên cạnh mỗi thuật ngữ:

• Dữ Liệu Cá Nhân của Khách Hàng: Dữ Liệu Cá Nhân có trong Dữ Liệu Khách Hàng, bao gồm dữ liệu về Khách Hàng Cuối, nhân viên, nhà cung cấp và Người Dùng của Khách Hàng, ngoài Dữ Liệu Tài Khoản.
• Dữ Liệu Cá Nhân Nhạy Cảm: dữ liệu sức khỏe và lâm sàng, và mọi dữ liệu mà Luật Bảo Vệ Dữ Liệu Hiện Hành phân loại là nhạy cảm.
• Xử Lý: bất kỳ thao tác nào được thực hiện trên Dữ Liệu Cá Nhân, chẳng hạn như thu thập, ghi lại, lưu trữ, truy xuất, sử dụng, tiết lộ, chuyển giao và xóa dữ liệu đó.
• Bên Xử Lý Phụ: bất kỳ bên nào mà STAK thuê để xử lý Dữ Liệu Cá Nhân của Khách Hàng nhằm mục đích cung cấp Dịch Vụ.
• Chủ Thể Dữ Liệu: thể nhân mà Dữ Liệu Cá Nhân liên quan đến.
• Sự Cố An Ninh: bất kỳ sự kiện nào đe dọa, hoặc bị nghi ngờ là đe dọa, tính bảo mật, tính toàn vẹn hoặc tính khả dụng của Dịch Vụ.
• Vi Phạm Dữ Liệu Cá Nhân: bất kỳ vi phạm an ninh nào dẫn đến việc vô tình hoặc trái pháp luật hủy hoại, mất mát hoặc thay đổi, hoặc tiết lộ hay truy cập trái phép đối với Dữ Liệu Cá Nhân của Khách Hàng.
• Bản Sao Lưu: bất kỳ bản sao nào của Dữ Liệu Khách Hàng được tạo cho mục đích khôi phục, theo khoản 12.3 và Phụ lục 2.
• Môi Trường Sản Xuất: các hệ thống và cơ sở dữ liệu mà Dịch Vụ chạy trên đó và Khách Hàng sử dụng, không bao gồm Bản Sao Lưu.
• Luật Bảo Vệ Dữ Liệu Hiện Hành: pháp luật về bảo vệ dữ liệu cá nhân áp dụng đối với việc Xử Lý, mỗi luật theo phạm vi áp dụng của luật đó, bao gồm các luật sau:
  • tại Nhà nước Kuwait: Luật số 20 năm 2014 về Giao dịch Điện tử, và Quy định về Bảo vệ Quyền riêng tư Dữ liệu, Khung Quản lý Điện toán Đám mây và Chính sách Phân loại Dữ liệu do Cơ quan Quản lý Truyền thông và Công nghệ Thông tin ban hành, mỗi văn bản trong phạm vi áp dụng riêng của mình;
  • Luật Bảo vệ Dữ liệu Cá nhân của Vương quốc Ả Rập Xê Út, được ban hành theo Sắc lệnh Hoàng gia số (M/19) ngày 9/2/1443 AH, đã được sửa đổi, Quy chế Thi hành của luật này và Quy định về Chuyển Dữ liệu Cá nhân ra ngoài Vương quốc;
  • tại Các Tiểu vương quốc Ả Rập Thống nhất: Sắc luật Liên bang số (45) năm 2021 về Bảo vệ Dữ liệu Cá nhân, Luật Liên bang số (2) năm 2019 về Sử dụng Công nghệ Thông tin và Truyền thông trong Lĩnh vực Y tế, và các luật bảo vệ dữ liệu của Trung tâm Tài chính Quốc tế Dubai và Thị trường Toàn cầu Abu Dhabi đối với những chủ thể thuộc phạm vi điều chỉnh của các luật đó;
  • Luật số (30) năm 2018 ban hành Luật Bảo vệ Dữ liệu Cá nhân của Vương quốc Bahrain;
  • Luật số (13) năm 2016 về Bảo vệ Quyền riêng tư Dữ liệu Cá nhân của Nhà nước Qatar;
  • Luật Bảo vệ Dữ liệu Cá nhân được ban hành theo Sắc lệnh Hoàng gia số (6/2022) của Vương quốc Hồi giáo Oman;
  • Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu (Quy định (EU) 2016/679), khi quy định này áp dụng đối với Khách Hàng;
  • Quy định chung về bảo vệ dữ liệu của Vương quốc Anh và Data Protection Act 2018; Luật Liên bang Thụy Sĩ về Bảo vệ Dữ liệu; California Consumer Privacy Act đã được sửa đổi và các luật toàn diện khác về quyền riêng tư của các tiểu bang thuộc Hợp chúng quốc Hoa Kỳ; Personal Information Protection and Electronic Documents Act của Canada và các luật cấp tỉnh; Lei Geral de Proteção de Dados của Brazil (Luật số 13.709/2018); Digital Personal Data Protection Act, 2023 của Ấn Độ; Luật số 6698 về Bảo vệ Dữ liệu Cá nhân của Thổ Nhĩ Kỳ; Luật số 151 năm 2020 của Ai Cập; Protection of Personal Information Act, 2013 của Nam Phi; Personal Data Protection Act 2012 của Singapore; Privacy Act 1988 của Úc; và mọi luật bảo vệ dữ liệu cá nhân khác áp dụng đối với việc Xử Lý.

2. Chi tiết về việc Xử Lý

Phụ lục 1 nêu đối tượng, thời hạn, bản chất và mục đích của việc Xử Lý, các loại Chủ Thể Dữ Liệu và các loại Dữ Liệu Cá Nhân.

3. Chỉ dẫn của Khách Hàng

3.1 STAK chỉ xử lý Dữ Liệu Cá Nhân của Khách Hàng theo các chỉ dẫn bằng văn bản của Khách Hàng. Các chỉ dẫn đó là:

• Hợp Đồng;
• các cài đặt của Không Gian Làm Việc;
• các hành động mà Người Dùng thực hiện trong Dịch Vụ;
• bất kỳ chỉ dẫn bằng văn bản nào khác mà các Bên thỏa thuận.

3.2 STAK có thể xử lý dữ liệu theo cách khác với các chỉ dẫn này khi Pháp Luật Hiện Hành yêu cầu. STAK thông báo trước cho Khách Hàng, trừ khi pháp luật cấm thông báo.

3.3 STAK thông báo cho Khách Hàng nếu STAK cho rằng một chỉ dẫn vi phạm Luật Bảo Vệ Dữ Liệu Hiện Hành. STAK có thể từ chối thực hiện chỉ dẫn đó cho đến khi Khách Hàng thay đổi chỉ dẫn để loại bỏ vi phạm, hoặc xác nhận bằng văn bản kèm tuyên bố về cơ sở pháp lý mà STAK chấp nhận một cách hợp lý.

3.4 Khách Hàng chịu trách nhiệm về tính hợp pháp của các chỉ dẫn của mình và về việc có cơ sở hợp pháp để thu thập và xử lý Dữ Liệu Cá Nhân của Khách Hàng. Điều này bao gồm việc thông báo cho Chủ Thể Dữ Liệu và lấy sự đồng ý của họ khi cần thiết, bao gồm sự đồng ý đối với việc chuyển dữ liệu của họ theo khoản 7.

4. Tính bảo mật của những người được ủy quyền

STAK giới hạn quyền truy cập Dữ Liệu Cá Nhân của Khách Hàng đối với những nhân viên và nhà thầu cần dữ liệu đó cho công việc của họ, và ràng buộc họ bằng nghĩa vụ bảo mật. Nhân viên và nhà thầu của STAK chỉ truy cập Dữ Liệu Khách Hàng trong các trường hợp sau đây, và thời điểm bắt đầu của mỗi lần truy cập như vậy vào Môi Trường Sản Xuất đều được ghi nhật ký:

• (a) để cung cấp hỗ trợ mà Khách Hàng yêu cầu;
• (b) để vận hành và duy trì Dịch Vụ và khôi phục Dịch Vụ từ các Bản Sao Lưu;
• (c) để điều tra Sự Cố An Ninh hoặc nghi ngờ vi phạm Chính Sách Sử Dụng Chấp Nhận Được;
• (d) khi pháp luật yêu cầu.

5. Biện pháp bảo mật

5.1 STAK áp dụng các biện pháp kỹ thuật và tổ chức phù hợp để bảo vệ Dữ Liệu Cá Nhân của Khách Hàng, có tính đến bản chất và rủi ro của việc Xử Lý. Các biện pháp này bao gồm tối thiểu các biện pháp tại Phụ lục 2.

5.2 STAK có thể cập nhật các biện pháp này, với điều kiện mức độ bảo vệ tổng thể không giảm.

5.3 Khách Hàng chịu trách nhiệm về các biện pháp bảo mật nằm trong tầm kiểm soát của mình, chẳng hạn như quản lý Người Dùng và quyền hạn, bật đăng nhập hai bước, bảo mật thiết bị và trang bị của mình và giữ an toàn cho dữ liệu mà mình xuất ra.

6. Bên Xử Lý Phụ

6.1 Khách Hàng cho phép STAK sử dụng các Bên Xử Lý Phụ được liệt kê tại Phụ lục 3.

6.2 STAK phải ký hợp đồng bằng văn bản với từng Bên Xử Lý Phụ. Hợp đồng phải áp đặt các nghĩa vụ bảo vệ dữ liệu cung cấp mức độ bảo vệ phù hợp với việc Xử Lý và về cơ bản tương đương với Thỏa Thuận Xử Lý Dữ Liệu này. STAK vẫn chịu trách nhiệm trước Khách Hàng về việc thực hiện các nghĩa vụ của các Bên Xử Lý Phụ của mình.

6.3 STAK thông báo cho Khách Hàng về mọi Bên Xử Lý Phụ mới ít nhất 30 ngày trước khi bên đó bắt đầu xử lý Dữ Liệu Cá Nhân của Khách Hàng, trong Dịch Vụ hoặc qua email.

6.4 Trong thời hạn thông báo, Khách Hàng có thể phản đối bằng văn bản đối với Bên Xử Lý Phụ mới dựa trên các căn cứ bảo vệ dữ liệu hợp lý. Nếu các Bên không thể thống nhất giải pháp, Khách Hàng có thể chấm dứt gói đăng ký bị ảnh hưởng, hoặc Hợp Đồng, trước khi việc Xử Lý bắt đầu và được hoàn lại Phí đã trả trước cho khoảng thời gian còn lại.

6.5 Các Nhà Cung Cấp Được Kết Nối mà Khách Hàng kết nối thông qua tài khoản của chính mình không phải là Bên Xử Lý Phụ của STAK. Họ bao gồm các Nhà Cung Cấp Dịch Vụ Thanh Toán, Meta đối với tài khoản WhatsApp Business của chính Khách Hàng, và các nền tảng giao hàng. Việc gửi dữ liệu cho họ theo chỉ dẫn của Khách Hàng là một lần chuyển dữ liệu được thực hiện theo chỉ đạo và thay mặt Khách Hàng.

6.6 Dữ liệu chỉ được gửi cho nhà cung cấp Tính Năng AI khi Người Dùng yêu cầu một trong các tính năng đó, khi Người Dùng tải lên một tài liệu để một trong các tính năng đó đọc, chẳng hạn như biên lai, hoặc khi một quy trình tự động hóa do Người Dùng thiết lập chạy một bước có sử dụng AI, và chỉ dữ liệu cần thiết để thực hiện yêu cầu hoặc bước đó mới được gửi. Nhà cung cấp không được sử dụng dữ liệu đó để huấn luyện các mô hình của mình. Dữ Liệu Cá Nhân Nhạy Cảm chỉ được gửi cho nhà cung cấp nếu bản thân yêu cầu hoặc bước đó có chứa dữ liệu này.

7. Vị trí lưu trữ dữ liệu và chuyển dữ liệu quốc tế

7.1 Dịch Vụ được lưu trữ, và Dữ Liệu Cá Nhân của Khách Hàng chủ yếu được lưu giữ, trong Môi Trường Sản Xuất của Amazon Web Services tại khu vực Frankfurt, thuộc Cộng hòa Liên bang Đức. Các Bản Sao Lưu được lưu giữ trong cùng khu vực đó, và các bản sao của chúng được tạo sang một khu vực Amazon Web Services riêng biệt tại Cộng hòa Ireland.

7.2 Khách Hàng thừa nhận những điều sau đây, và cho phép rõ ràng các việc chuyển dữ liệu phát sinh từ đó:

• (a) việc lưu trữ diễn ra tại Liên minh châu Âu, có thể nằm ngoài quốc gia nơi Khách Hàng được thành lập hoặc kinh doanh;
• (b) Cloudflare xử lý lưu lượng mạng thông qua mạng lưới toàn cầu của mình vào mọi thời điểm;
• (c) các Bên Xử Lý Phụ khác được liệt kê tại Phụ lục 3 xử lý dữ liệu ở các quốc gia khác, bao gồm Hợp chúng quốc Hoa Kỳ, chỉ khi dịch vụ liên quan được sử dụng;
• (d) nhân viên của STAK có thể truy cập dữ liệu từ Nhà nước Kuwait, chỉ trong các trường hợp nêu tại khoản 4.

7.3 Đối với việc chuyển Dữ Liệu Cá Nhân của Khách Hàng ra ngoài quốc gia nơi dữ liệu đó được thu thập, STAK áp dụng các biện pháp bảo vệ sau:

• (a) các hợp đồng được nêu tại khoản 6.2, bao gồm các điều khoản hợp đồng tiêu chuẩn mà STAK đã ký với các Bên Xử Lý Phụ ngoài Liên minh châu Âu;
• (b) mã hóa khi truyền tải và khi lưu trữ;
• (c) các cơ chế chuyển dữ liệu được Luật Bảo Vệ Dữ Liệu Hiện Hành công nhận khi luật đó yêu cầu, bao gồm các cơ chế nêu tại khoản 7.6.

7.4 Khách Hàng phải có được mọi sự đồng ý hoặc ủy quyền mà pháp luật của quốc gia mình yêu cầu đối với việc chuyển Dữ Liệu Cá Nhân của Khách Hàng ra ngoài quốc gia đó, dù từ cơ quan quản lý hay từ Chủ Thể Dữ Liệu. STAK cung cấp thông tin cần thiết cho việc này theo yêu cầu.

7.5 STAK có thể chuyển khu vực lưu trữ chính hoặc các Bản Sao Lưu sang một khu vực khác sau khi thông báo cho Khách Hàng trước ít nhất 30 ngày, và Khách Hàng có thể phản đối theo khoản 6.4, trong đó mọi việc chấm dứt theo khoản đó có hiệu lực trước ngày chuyển. Việc tạm thời vận hành Dịch Vụ từ các Bản Sao Lưu tại Cộng hòa Ireland sau khi mất khu vực lưu trữ chính không phải là việc chuyển theo khoản này, và STAK thông báo cho Khách Hàng về việc đó không chậm trễ.

7.6 Các cơ chế chuyển dữ liệu theo yêu cầu của pháp luật: không ảnh hưởng đến khoản 7.4:

• (a) Khi Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu áp dụng đối với Khách Hàng, các điều khoản hợp đồng tiêu chuẩn được thông qua theo Quyết định thi hành (EU) 2021/914 của Ủy ban châu Âu (“SCC của EU”) được đưa vào Thỏa Thuận Xử Lý Dữ Liệu này bằng cách viện dẫn: Mô-đun Hai (từ bên kiểm soát đến bên xử lý) khi Khách Hàng là bên kiểm soát, và Mô-đun Ba (từ bên xử lý đến bên xử lý) khi Khách Hàng xử lý dữ liệu cho một bên kiểm soát khác. Khách Hàng là bên xuất dữ liệu và STAK là bên nhập dữ liệu. Điều khoản 7 (điều khoản gia nhập) được áp dụng. Theo Điều khoản 9(a), Phương án 2 (ủy quyền chung bằng văn bản) được áp dụng, với thời hạn thông báo nêu tại khoản 6.3. Phần từ ngữ tùy chọn tại Điều khoản 11(a) không được áp dụng. Theo Điều khoản 17 và 18, luật và tòa án của Cộng hòa Ireland được áp dụng. Cơ quan giám sát có thẩm quyền được xác định theo Điều khoản 13. Các phụ lục của các điều khoản đó được hoàn thiện bằng Phụ lục 1, 2 và 3. Nếu có mâu thuẫn giữa các điều khoản đó và Hợp Đồng, các điều khoản đó được ưu tiên áp dụng.
• (b) Khi Luật Bảo vệ Dữ liệu Cá nhân của Vương quốc Ả Rập Xê Út áp dụng đối với Khách Hàng, các Điều khoản Hợp đồng Tiêu chuẩn về Chuyển Dữ liệu Cá nhân do Saudi Data and Artificial Intelligence Authority ban hành, Mẫu Thứ Hai (từ bên kiểm soát đến bên xử lý), được đưa vào Thỏa Thuận Xử Lý Dữ Liệu này bằng cách viện dẫn. Khách Hàng là bên xuất dữ liệu và STAK là bên nhập dữ liệu, và các phụ lục của các điều khoản đó được hoàn thiện bằng Phụ lục 1, 2 và 3. STAK cung cấp cho Khách Hàng thông tin mà Khách Hàng cần để thực hiện đánh giá rủi ro chuyển dữ liệu theo Quy định về Chuyển Dữ liệu Cá nhân ra ngoài Vương quốc. Nếu có mâu thuẫn giữa các điều khoản đó và Hợp Đồng, các điều khoản đó được ưu tiên áp dụng.
• (c) Khi Sắc luật Liên bang số (45) năm 2021 của Các Tiểu vương quốc Ả Rập Thống nhất áp dụng đối với Khách Hàng, STAK áp dụng đối với dữ liệu được chuyển các quy định, biện pháp và cơ chế kiểm soát của luật đó, trong phạm vi các nội dung này áp dụng đối với bên xử lý.
• (d) Khi Quy định chung về bảo vệ dữ liệu của Vương quốc Anh áp dụng đối với Khách Hàng, International Data Transfer Addendum to the EU SCCs do Information Commissioner của Vương quốc Anh ban hành (phiên bản B1.0, có hiệu lực từ ngày 21 tháng 3 năm 2022, được sửa đổi sau đó) được đưa vào bằng cách viện dẫn. Các Bảng 1 đến 3 được hoàn thiện bằng thông tin của các Bên trong Hợp Đồng và trong các Phụ lục 1 đến 3. Đối với Bảng 4, mỗi Bên có thể chấm dứt Addendum đó theo cách Mục 19 của văn bản này cho phép.
• (e) Khi Luật Liên bang Thụy Sĩ về Bảo vệ Dữ liệu áp dụng đối với Khách Hàng, SCC của EU được áp dụng với các thay đổi sau: Ủy viên Liên bang Thụy Sĩ về Bảo vệ Dữ liệu và Thông tin là cơ quan giám sát có thẩm quyền đối với các lần chuyển dữ liệu thuộc phạm vi điều chỉnh của luật đó; các viện dẫn đến GDPR bao gồm luật đó; và “Quốc gia thành viên” được hiểu sao cho các chủ thể dữ liệu tại Thụy Sĩ có thể đưa ra yêu cầu tại Thụy Sĩ.
• (f) Khi một Luật Bảo Vệ Dữ Liệu Hiện Hành khác yêu cầu một công cụ chuyển dữ liệu cụ thể, chẳng hạn như các điều khoản hợp đồng tiêu chuẩn của cơ quan bảo vệ dữ liệu quốc gia Brazil hoặc hợp đồng tiêu chuẩn theo Luật số 6698 của Thổ Nhĩ Kỳ, STAK ký hoặc đưa công cụ đó vào theo yêu cầu của Khách Hàng, với các chi tiết của công cụ đó được hoàn thiện từ các Phụ lục 1 đến 3.
• (g) Khi California Consumer Privacy Act hoặc luật về quyền riêng tư tương tự của một tiểu bang thuộc Hợp chúng quốc Hoa Kỳ áp dụng, STAK hoạt động với tư cách là nhà cung cấp dịch vụ, nhà thầu hoặc bên xử lý của Khách Hàng. STAK không bán hoặc chia sẻ Dữ Liệu Cá Nhân của Khách Hàng. STAK không lưu giữ, sử dụng hoặc tiết lộ dữ liệu đó cho bất kỳ mục đích nào khác ngoài việc cung cấp Dịch Vụ theo Hợp Đồng, hoặc ngoài mối quan hệ kinh doanh trực tiếp với Khách Hàng. STAK không kết hợp dữ liệu đó với thông tin cá nhân từ các nguồn khác, trừ khi các luật đó cho phép. STAK tuân thủ các luật đó và cung cấp mức độ bảo vệ quyền riêng tư tương đương mức mà các luật đó yêu cầu. STAK thông báo cho Khách Hàng nếu không còn có thể đáp ứng các nghĩa vụ này. Khách Hàng có thể thực hiện các bước hợp lý để ngăn chặn và khắc phục mọi việc sử dụng trái phép. STAK xác nhận rằng STAK hiểu các hạn chế này.

7.7 Dữ liệu phải được giữ lại trong một quốc gia cụ thể: Khách Hàng không được lưu giữ trong Dịch Vụ dữ liệu mà Pháp Luật Hiện Hành yêu cầu phải được lưu trữ hoặc xử lý trong một quốc gia cụ thể, trừ khi Dịch Vụ cho thấy, theo khoản 9.5 của Điều Khoản, rằng việc lưu trữ tại quốc gia đó khả dụng đối với Ứng Dụng liên quan. Điều này tuân theo khoản 13.4 của Điều Khoản và khoản 5.4 của Chính Sách Sử Dụng Chấp Nhận Được.

8. Hỗ trợ xử lý yêu cầu của Chủ Thể Dữ Liệu

8.1 Dịch Vụ cung cấp cho Khách Hàng các công cụ để xem, xuất và chỉnh sửa Dữ Liệu Cá Nhân của Khách Hàng Cuối, một công cụ để xóa dữ liệu đó bằng cách thay thế danh tính của họ bằng một bí danh trong khi vẫn giữ các hồ sơ mà pháp luật yêu cầu phải lưu giữ, và các công cụ để xem và chỉnh sửa dữ liệu của nhân viên của Khách Hàng. Khách Hàng sử dụng các công cụ này để phản hồi yêu cầu của Chủ Thể Dữ Liệu, và STAK hỗ trợ theo khoản 8.3 đối với bất cứ điều gì các công cụ đó không đáp ứng, bao gồm việc xuất và xóa dữ liệu nhân viên.

8.2 Nếu STAK nhận được yêu cầu trực tiếp từ một Chủ Thể Dữ Liệu liên quan đến Dữ Liệu Cá Nhân của Khách Hàng, STAK chuyển yêu cầu đó cho Khách Hàng không chậm trễ và chỉ phản hồi theo chỉ dẫn của Khách Hàng.

8.3 STAK hỗ trợ Khách Hàng một cách hợp lý đối với bất cứ điều gì các công cụ hiện có không đáp ứng.

9. Thông báo Vi Phạm Dữ Liệu Cá Nhân

9.1 STAK thông báo cho Khách Hàng không chậm trễ không cần thiết sau khi biết về bất kỳ Vi Phạm Dữ Liệu Cá Nhân nào ảnh hưởng đến Dữ Liệu Cá Nhân của Khách Hàng. STAK thực hiện việc này trong vòng 24 giờ kể từ khi biết nếu khả thi, và trong mọi trường hợp trong vòng 48 giờ.

9.2 Thông báo bao gồm, trong phạm vi thông tin có sẵn:

• (a) bản chất của vi phạm;
• (b) các loại dữ liệu và các loại Chủ Thể Dữ Liệu cùng số lượng ước tính của họ;
• (c) các hậu quả có thể xảy ra;
• (d) các biện pháp đã được thực hiện và được đề xuất để giải quyết vi phạm;
• (e) một đầu mối liên hệ tại STAK.

STAK cung cấp thêm thông tin ngay khi có.

9.3 STAK ngay lập tức thực hiện các biện pháp hợp lý để kiềm chế vi phạm và hạn chế ảnh hưởng của vi phạm. STAK phối hợp với Khách Hàng trong việc thông báo cho cơ quan quản lý và Chủ Thể Dữ Liệu khi Khách Hàng phải làm như vậy, có tính đến các thời hạn mà pháp luật đặt ra đối với Khách Hàng. Khi Pháp Luật Hiện Hành yêu cầu chính STAK phải thông báo vi phạm cho cơ quan quản lý, STAK thực hiện trong thời hạn bắt buộc và thông báo cho Khách Hàng.

9.4 Việc STAK thông báo về vi phạm, hoặc việc STAK hợp tác trong việc xử lý vi phạm, không phải là sự thừa nhận lỗi hoặc trách nhiệm.

10. Đánh giá tác động và tham vấn với cơ quan quản lý

Theo yêu cầu của Khách Hàng, STAK cung cấp thông tin hợp lý cần thiết để thực hiện đánh giá tác động bảo vệ dữ liệu hoặc để tham vấn cơ quan quản lý, trong phạm vi liên quan đến Dịch Vụ.

11. Thông tin và kiểm toán

11.1 Theo yêu cầu của Khách Hàng, STAK cung cấp thông tin cần thiết một cách hợp lý để chứng minh việc tuân thủ Thỏa Thuận Xử Lý Dữ Liệu này. Điều này bao gồm tài liệu về bảo mật và câu trả lời cho một bảng câu hỏi bảo mật mỗi năm.

11.2 Khách Hàng có thể, bằng chi phí của mình, thực hiện kiểm toán, hoặc nhờ một kiểm toán viên độc lập chịu ràng buộc bảo mật thực hiện, trong các trường hợp sau:

• (a) khi cơ quan quản lý yêu cầu;
• (b) sau Vi Phạm Dữ Liệu Cá Nhân ảnh hưởng đến dữ liệu của mình;
• (c) khi thông tin được cung cấp theo khoản 11.1 là không đủ.

Cuộc kiểm toán chịu các điều kiện sau:

• Khách Hàng thông báo cho STAK về cuộc kiểm toán trước ít nhất 30 ngày.
• Việc này diễn ra trong giờ làm việc vào các Ngày Làm Việc.
• Một cuộc kiểm toán theo điểm (c) được thực hiện không quá một lần mỗi năm.
• Không cuộc kiểm toán nào mở rộng đến cơ sở vật chất của các Bên Xử Lý Phụ. Thay vào đó, các chứng nhận và báo cáo độc lập của họ là đủ.
• Không cuộc kiểm toán nào bao gồm quyền truy cập vào dữ liệu của các khách hàng khác hoặc bất cứ điều gì ảnh hưởng đến an ninh của họ.

12. Trả lại và xóa dữ liệu

12.1 Khách Hàng có thể xuất Dữ Liệu Cá Nhân của Khách Hàng vào bất cứ lúc nào, và trong 30 ngày sau khi Hợp Đồng kết thúc, theo khoản 19.5 của Điều Khoản.

12.2 Sau thời hạn xuất dữ liệu, STAK xóa Dữ Liệu Cá Nhân của Khách Hàng khỏi Môi Trường Sản Xuất trong vòng 30 ngày, trừ khi Pháp Luật Hiện Hành yêu cầu phải lưu giữ, và theo quy định về việc tạm giữ tại khoản 19.5 của Điều Khoản trong thời gian STAK đã được thông báo về một tranh chấp tại tòa án, một cuộc điều tra hoặc một yêu cầu từ cơ quan có thẩm quyền.

12.3 Các Bản Sao Lưu được lưu giữ trong các thời hạn lưu giữ sau:

• (a) khôi phục theo thời điểm và Bản Sao Lưu hằng ngày: 35 ngày kể từ ngày thực hiện mỗi Bản Sao Lưu;
• (b) Bản Sao Lưu logic hằng đêm của cơ sở dữ liệu (bản kết xuất cơ sở dữ liệu): 35 ngày;
• (c) Bản Sao Lưu hằng tháng: 12 tháng kể từ ngày thực hiện mỗi Bản Sao Lưu;
• (d) các phiên bản trước của tệp đã tải lên: 90 ngày kể từ ngày các tệp đó bị thay thế hoặc bị xóa.

Các quy tắc áp dụng cho những Bản Sao Lưu này:

• Các Bản Sao Lưu hằng ngày và hằng tháng cùng các bản sao của chúng được lưu giữ trong các kho sao lưu có chính sách ngăn không cho bất kỳ ai, kể cả nhân viên của chính STAK, xóa Bản Sao Lưu trước khi hết thời hạn lưu giữ hoặc thay đổi thời hạn đó, và có khóa ở chế độ tuân thủ của nhà cung cấp dịch vụ lưu trữ ngăn việc xóa bất kỳ Bản Sao Lưu nào trong ít nhất 35 ngày đầu tiên.
• Các Bản Sao Lưu logic hằng đêm được bảo vệ chống sửa đổi và xóa cho đến khi hết thời hạn lưu giữ.
• STAK không xóa bất kỳ Bản Sao Lưu nào trước khi hết thời hạn lưu giữ của bản đó, kể cả khi Khách Hàng yêu cầu.
• Tất cả Bản Sao Lưu được đặt ngoài tầm sử dụng và chỉ được dùng để khôi phục kỹ thuật, theo khoản 12.4, hoặc khi pháp luật yêu cầu.
• Tất cả Bản Sao Lưu chứa dữ liệu đã xóa hết hạn khi các thời hạn này kết thúc, tức là trong vòng tối đa 12 tháng, và dữ liệu đã xóa khi đó bị hủy vĩnh viễn.
• Theo yêu cầu, STAK cho Khách Hàng biết ngày mà Bản Sao Lưu cuối cùng chứa dữ liệu đã xóa hết hạn, để Khách Hàng có thể thông báo cho Chủ Thể Dữ Liệu.

12.4 Nếu STAK khôi phục một Bản Sao Lưu trong các thời hạn đó, STAK áp dụng lại, trước khi dữ liệu được cung cấp trở lại, các việc xóa dữ liệu đã thực hiện theo khoản 8.1 và các việc xóa đã thực hiện theo khoản 12.2 sau ngày của Bản Sao Lưu đó, bằng cách sử dụng hồ sơ mà STAK lưu giữ về các thao tác này.

13. Yêu cầu của cơ quan nhà nước

Nếu STAK nhận được yêu cầu có tính ràng buộc từ cơ quan nhà nước hoặc cơ quan tư pháp về việc tiết lộ Dữ Liệu Cá Nhân của Khách Hàng, STAK thông báo cho Khách Hàng, trừ khi pháp luật cấm thông báo. STAK giới hạn việc tiết lộ ở mức tối thiểu mà yêu cầu đòi hỏi. STAK phản đối các yêu cầu mà STAK cho là trái pháp luật một cách hợp lý, thông qua các biện pháp pháp lý hiện có.

14. Trách nhiệm pháp lý

Trách nhiệm của mỗi Bên theo Thỏa Thuận Xử Lý Dữ Liệu này, bao gồm trách nhiệm đối với Bên kia theo các điều khoản hợp đồng tiêu chuẩn tại khoản 7.6, chịu sự điều chỉnh của các quy định về giới hạn trách nhiệm tại khoản 16 của Điều Khoản, trong phạm vi các điều khoản đó cho phép và không ảnh hưởng đến quyền của Chủ Thể Dữ Liệu theo các điều khoản đó.

15. Thời hạn và thứ tự ưu tiên

15.1 Thỏa Thuận Xử Lý Dữ Liệu này áp dụng trong chừng nào STAK còn xử lý Dữ Liệu Cá Nhân của Khách Hàng.

15.2 Khi Thỏa Thuận Xử Lý Dữ Liệu này mâu thuẫn với Điều Khoản, Thỏa Thuận này được ưu tiên áp dụng đối với các vấn đề liên quan đến Dữ Liệu Cá Nhân của Khách Hàng.

15.3 Khi Luật Bảo Vệ Dữ Liệu Hiện Hành áp đặt một nghĩa vụ bắt buộc nghiêm ngặt hơn Thỏa Thuận Xử Lý Dữ Liệu này, nghĩa vụ đó áp dụng trong phạm vi của nó.

16. Đầu mối liên hệ về bảo vệ dữ liệu và hồ sơ xử lý

STAK đã chỉ định một đầu mối liên hệ về bảo vệ dữ liệu, có thể liên hệ qua email tại [email protected]. STAK lưu giữ hồ sơ về các hoạt động xử lý mà STAK thực hiện thay mặt khách hàng, và cung cấp hồ sơ đó cho cơ quan quản lý có thẩm quyền khi pháp luật yêu cầu.

Phụ lục 1: Chi tiết về việc Xử Lý

• Đối tượng: cung cấp Dịch Vụ cho Khách Hàng theo Điều Khoản.
• Thời hạn: thời hạn của Hợp Đồng, thời gian xuất và xóa dữ liệu sau đó theo khoản 12, các thời hạn lưu giữ Bản Sao Lưu tại khoản 12.3, và các thời hạn lưu giữ của các Bên Xử Lý Phụ nêu tại Phụ lục 3.
• Bản chất và mục đích:
  • lưu trữ và lưu giữ Dữ Liệu Khách Hàng;
  • xử lý bán hàng, đơn hàng, đặt chỗ và hóa đơn;
  • quản lý kho hàng, kế toán, nhân sự và tiền lương;
  • gửi các tin nhắn mà Khách Hàng yêu cầu thông qua các tài khoản của chính mình tại Nhà Cung Cấp Được Kết Nối, hoặc thông qua các nhà cung cấp dịch vụ nhắn tin mà STAK sử dụng khi họ được liệt kê tại Phụ lục 3;
  • cung cấp Tính Năng AI khi chúng được sử dụng;
  • Bản Sao Lưu, bảo mật và Hỗ Trợ.
• Các loại Chủ Thể Dữ Liệu:
  • Khách Hàng Cuối, khách và bệnh nhân của Khách Hàng;
  • nhân viên và ứng viên xin việc của Khách Hàng;
  • Người Dùng;
  • nhà cung cấp của Khách Hàng và người liên hệ của họ;
  • tài xế và đơn vị vận chuyển.
• Các loại Dữ Liệu Cá Nhân:
  • dữ liệu nhận dạng và liên hệ, chẳng hạn như tên, số điện thoại, email, địa chỉ và địa điểm giao hàng;
  • hồ sơ về giao dịch, đơn hàng, đặt chỗ và hóa đơn;
  • các mã tham chiếu gắn với thanh toán, không bao gồm số thẻ đầy đủ;
  • dữ liệu khách hàng thân thiết, tùy chọn và các sự đồng ý;
  • dữ liệu về nhân viên của Khách Hàng, chẳng hạn như số thẻ căn cước dân sự, thông tin cư trú, tiền lương, số tài khoản ngân hàng quốc tế (IBAN), chấm công và nghỉ phép;
  • ảnh và tài liệu mà Khách Hàng tải lên;
  • nhật ký tin nhắn và nhật ký kiểm toán.
• Dữ Liệu Cá Nhân Nhạy Cảm: dữ liệu sức khỏe và lâm sàng khi các Ứng Dụng phòng khám được sử dụng, theo khoản 7.7 và khoản 13.4 của Điều Khoản, theo đó không được sử dụng các tính năng hồ sơ bệnh nhân cho bệnh nhân nhận dịch vụ y tế tại Nhà nước Kuwait hoặc Các Tiểu vương quốc Ả Rập Thống nhất; và dữ liệu sức khỏe trong hồ sơ nhân sự, chẳng hạn như giấy nghỉ ốm. Hồ sơ lâm sàng và hồ sơ nhân sự được mã hóa bằng các khóa riêng, và dữ liệu này chỉ hiển thị với những Người Dùng có vai trò được phép xem. Mã chẩn đoán và mã thủ thuật trong các yêu cầu bồi thường bảo hiểm và các phê duyệt trước, cùng hình ảnh thẻ bảo hiểm, được bảo vệ bằng mã hóa cơ sở dữ liệu và lưu trữ tại Phụ lục 2.

Phụ lục 2: Các biện pháp kỹ thuật và tổ chức

1. Mã hóa:
   • Dữ liệu trong quá trình truyền được mã hóa bằng TLS phiên bản 1.2 trở lên, và danh tính của máy chủ cơ sở dữ liệu được xác minh trong mọi kết nối.
   • Dữ liệu ở trạng thái lưu trữ trong cơ sở dữ liệu, ổ đĩa, tệp, Bản Sao Lưu và kho lưu trữ bí mật được mã hóa bằng AES-256, sử dụng các khóa được quản lý thông qua AWS Key Management Service (AWS KMS) hoặc bởi nhà cung cấp dịch vụ lưu trữ.
   • Hồ sơ nhân sự và hồ sơ lâm sàng được mã hóa bổ sung trong ứng dụng bằng các khóa riêng, và thông tin kết nối đối với Nhà Cung Cấp Được Kết Nối được lưu giữ trong một kho lưu trữ bí mật riêng được mã hóa bằng một khóa riêng.
2. Cách ly dữ liệu của từng khách hàng: mọi bản ghi Dữ Liệu Khách Hàng đều mang mã định danh của Doanh Nghiệp mà bản ghi đó thuộc về. Các chính sách bảo mật cấp hàng trong cơ sở dữ liệu được áp dụng đối với vai trò của ứng dụng, và vai trò của ứng dụng không có quyền bỏ qua chúng. Các ràng buộc khóa tổ hợp ngăn việc liên kết các bản ghi của một Doanh Nghiệp với các bản ghi của Doanh Nghiệp khác.
3. Kiểm soát truy cập:
   • Quyền truy cập được cấp theo nguyên tắc đặc quyền tối thiểu.
   • Quyền truy cập vào Môi Trường Sản Xuất chỉ giới hạn ở những nhân viên STAK được chỉ định đích danh, yêu cầu xác thực đa yếu tố, và thời điểm bắt đầu của mỗi lần truy cập đều được ghi nhật ký.
   • Quyền truy cập quản trị vào máy chủ chỉ thông qua AWS Systems Manager, không có đăng nhập trực tiếp (SSH).
4. Bảo mật đăng nhập của Người Dùng:
   • Đối với Người Dùng, Dịch Vụ cung cấp khóa truy cập, ứng dụng xác thực và mã xác minh được gửi đến điện thoại đã xác minh.
   • Đối với Khách Hàng, Dịch Vụ cung cấp các vai trò và quyền hạn có thể tùy chỉnh, quyền truy cập bị hạn chế theo Chi Nhánh và, trên các Gói có bao gồm chúng, quy tắc phiên không hoạt động cùng cảnh báo gửi đến Chủ Sở Hữu về các lần đăng nhập từ thiết bị mới.
5. Nhật ký kiểm toán: một nhật ký kiểm toán về các thay đổi được lưu giữ mà không Người Dùng nào có thể sửa đổi hoặc xóa. Nhật ký ghi lại người thực hiện, thời gian, nguồn và địa chỉ IP. Khi Khách Hàng xóa Dữ Liệu Cá Nhân của một Khách Hàng Cuối theo khoản 8.1, các mục trong nhật ký mất thông tin nhận dạng của người đó nhưng vẫn giữ lại những gì đã được thực hiện, bởi ai và khi nào. Nhật ký kiểm toán bị xóa cùng Dữ Liệu Khách Hàng theo khoản 12. Các bút toán kế toán được liên kết thành một chuỗi giúp phát hiện mọi sự can thiệp.
6. Bản Sao Lưu và khôi phục:
   • các Bản Sao Lưu tự động, liên tục cho phép khôi phục theo thời điểm trong vòng 35 ngày;
   • các Bản Sao Lưu hằng ngày được lưu giữ 35 ngày và các Bản Sao Lưu hằng tháng được lưu giữ 12 tháng, và chúng được sao chép sang một khu vực địa lý riêng biệt tại Cộng hòa Ireland. Chính sách của các kho sao lưu ngăn việc xóa chúng trước khi hết thời hạn lưu giữ hoặc bất kỳ thay đổi nào đối với thời hạn đó, và khóa ở chế độ tuân thủ ngăn việc xóa bất kỳ Bản Sao Lưu nào trong ít nhất 35 ngày đầu tiên;
   • một Bản Sao Lưu logic của cơ sở dữ liệu được tạo mỗi đêm và được lưu giữ 35 ngày trong bộ nhớ được bảo vệ chống sửa đổi và xóa;
   • việc khôi phục cơ sở dữ liệu từ Bản Sao Lưu được kiểm thử mỗi tháng.
7. Dữ liệu thanh toán: Dịch Vụ được thiết kế để STAK không lưu trữ số thẻ đầy đủ. Việc thanh toán được thực hiện trên các trang do Nhà Cung Cấp Dịch Vụ Thanh Toán lưu trữ hoặc trên các thiết bị đầu cuối và ứng dụng chấp nhận thẻ đã được chứng nhận của họ. Các màn hình của Dịch Vụ không có trường nào để nhập dữ liệu thẻ, và Dịch Vụ cho phép Khách Hàng quét các trường văn bản tự do để tìm số thẻ bị nhập nhầm nhằm gỡ bỏ chúng.
8. Mạng và hạ tầng: cơ sở dữ liệu chạy trong các mạng riêng không thể truy cập công khai, phía sau tường lửa. Một tường lửa ứng dụng web và biện pháp bảo vệ chống tấn công từ chối dịch vụ được cung cấp thông qua Cloudflare.
9. Quản lý lỗ hổng bảo mật và phát triển an toàn: mã nguồn được rà soát và các kiểm thử tự động được chạy trước mỗi lần phát hành. Các thư viện phần mềm được kiểm tra, và các bản cập nhật bảo mật được áp dụng không chậm trễ.
10. Giám sát và ứng phó sự cố:
    • hạ tầng đám mây được giám sát tự động suốt ngày đêm, với cảnh báo tức thì;
    • mọi hành động quản trị trên hạ tầng đám mây đều được ghi nhật ký, và các mối đe dọa cũng như quyền hạn dư thừa được phát hiện tự động thông qua các dịch vụ chuyên dụng của Amazon (AWS CloudTrail, GuardDuty và IAM Access Analyzer);
    • các quy trình được lập thành văn bản được áp dụng để ứng phó với Sự Cố An Ninh và để thông báo theo khoản 9.
11. Tính liên tục của hoạt động kinh doanh: các kế hoạch liên tục hoạt động và khôi phục được áp dụng, phù hợp với các mục tiêu khôi phục trong Thỏa Thuận Mức Dịch Vụ.
12. Nhân sự: Nhân viên và nhà thầu của STAK bị ràng buộc bởi nghĩa vụ bảo mật và được đào tạo nâng cao nhận thức về an ninh.
13. Xóa an toàn: dữ liệu bị xóa theo khoản 12, và nhà cung cấp dịch vụ lưu trữ hủy các thiết bị lưu trữ theo các tiêu chuẩn của mình.

Phụ lục 3: Các Bên Xử Lý Phụ

Các nhà cung cấp chỉ được sử dụng khi được bật. STAK đã thiết lập các nhà cung cấp sau đây nhưng hiện không sử dụng họ để xử lý Dữ Liệu Cá Nhân của Khách Hàng. STAK chỉ bắt đầu sử dụng bất kỳ nhà cung cấp nào trong số đó sau khi thông báo theo khoản 6.3, trước ít nhất 30 ngày, và thông báo nêu rõ nhà cung cấp xử lý dữ liệu ở đâu và lưu giữ trong bao lâu.

Khi STAK bật số WhatsApp riêng của mình, Meta gửi từ số đó các mã đăng nhập cho Người Dùng và mã xác minh cho Khách Hàng Cuối xác minh số điện thoại của họ trên Trang Công Khai. Khi làm vậy, Meta xử lý dữ liệu mà STAK xử lý với tư cách là Bên Kiểm Soát theo Chính Sách Quyền Riêng Tư, không phải Dữ Liệu Cá Nhân của Khách Hàng.

Ngoài các nhà cung cấp nêu trên, STAK không sử dụng các nhà cung cấp dịch vụ tin nhắn văn bản, thông báo đẩy, ví kỹ thuật số, hay tra cứu, xác minh và lập bản đồ địa chỉ để xử lý Dữ Liệu Cá Nhân của Khách Hàng.