Thoả thuận xử lý dữ liệu

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM

Độc lập - Tự do - Hạnh phúc

______________________

THOẢ THUẬN XỬ LÝ DỮ LIỆU CÁ NHÂN

Ngày ……………… tháng ……………… năm ………………

Căn cứ Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân;

Căn cứ hợp đồng hoặc điều khoản sử dụng dịch vụ giữa hai bên,

Hai bên thoả thuận như sau:

Điều 1. Các bên

Bên kiểm soát dữ liệu cá nhân (sau đây gọi là Bên kiểm soát):

- Tên: ………………

- Địa chỉ: ………………

- Mã số thuế: ………………

- Người đại diện: ………………

Bên xử lý dữ liệu cá nhân (sau đây gọi là Bên xử lý):

- Tên: DuLieuCaNhan.vn

- Địa chỉ: ………………

- Mã số thuế: ………………

Điều 2. Đối tượng và mục đích

Bên xử lý xử lý dữ liệu cá nhân thay mặt Bên kiểm soát, chỉ để cung cấp dịch vụ theo hợp đồng hoặc điều khoản sử dụng dịch vụ giữa hai bên và theo Thoả thuận này.

Bên kiểm soát quyết định mục đích và cách thức xử lý dữ liệu cá nhân; Bên xử lý không dùng dữ liệu này cho mục đích riêng của mình.

Điều 3. Dữ liệu cá nhân và chủ thể dữ liệu

Loại dữ liệu cá nhân được xử lý:

- Bản ghi đồng ý của khách truy cập: mã đồng ý ngẫu nhiên, lựa chọn, thời điểm, trang và biểu mẫu, ngôn ngữ, phiên bản banner, loại trình duyệt và hệ điều hành, địa chỉ IP đã rút gọn rồi băm

- Yêu cầu về dữ liệu gửi qua trang gửi yêu cầu: họ tên, email, số điện thoại, lời nhắn, loại yêu cầu và lịch sử xử lý

- Email của người gửi yêu cầu và mã xác minh gửi tới email đó

- Địa chỉ IP của người gửi yêu cầu, lưu kèm mã xác minh để giới hạn số lần gửi mã

Chủ thể dữ liệu cá nhân:

- Khách truy cập website của Bên kiểm soát

- Người gửi yêu cầu về dữ liệu qua trang gửi yêu cầu của Bên kiểm soát

Thời hạn lưu trữ: Bản ghi đồng ý: theo gói dịch vụ của Bên kiểm soát, gói trả phí 1095 ngày, gói Miễn phí 30 ngày, thêm 90 ngày theo thời hạn của gói cũ kể từ khi workspace về gói Miễn phí (sau 7 ngày ân hạn kể từ khi gói trả phí hết hạn), kể cả khi website đã bị xoá khỏi dịch vụ. Yêu cầu về dữ liệu: 1095 ngày sau khi đóng; yêu cầu còn mở của website đã bị xoá: 1095 ngày sau khi xoá. Mã xác minh và địa chỉ IP lưu kèm: 48 giờ. Bản sao lưu: dữ liệu đã xoá theo các thời hạn trên vẫn có thể còn trong bản sao lưu cơ sở dữ liệu khoảng 14 ngày rồi bị xoá cùng bản sao lưu; bản sao lưu gửi ra ngoài máy chủ được mã hoá trước khi gửi.

Điều 4. Nghĩa vụ của Bên xử lý

1. Chỉ xử lý dữ liệu cá nhân theo chỉ dẫn bằng văn bản của Bên kiểm soát, kể cả chỉ dẫn ghi trong hợp đồng, điều khoản sử dụng dịch vụ và cấu hình dịch vụ do Bên kiểm soát chọn.

2. Yêu cầu người của Bên xử lý được tiếp cận dữ liệu cá nhân cam kết giữ bí mật dữ liệu đó.

3. Áp dụng biện pháp quản lý và kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân khỏi bị truy cập, sử dụng, tiết lộ, thay đổi hoặc huỷ trái phép.

4. Hỗ trợ Bên kiểm soát trả lời yêu cầu của chủ thể dữ liệu cá nhân, bằng các công cụ của dịch vụ hoặc khi Bên kiểm soát yêu cầu.

5. Khi Thoả thuận chấm dứt, xoá dữ liệu cá nhân theo thời hạn lưu trữ ở Điều 3, hoặc trả lại cho Bên kiểm soát khi Bên kiểm soát yêu cầu, trừ dữ liệu mà pháp luật buộc phải lưu giữ.

6. Lưu hồ sơ về việc xử lý dữ liệu cá nhân thay Bên kiểm soát và cung cấp cho Bên kiểm soát thông tin cần thiết để kiểm tra, đánh giá việc thực hiện Thoả thuận này.

Điều 5. Bên xử lý khác

Bên kiểm soát đồng ý để Bên xử lý dùng các bên sau tham gia xử lý dữ liệu cá nhân:

Bên xử lý báo trước cho Bên kiểm soát khi thêm hoặc thay một bên tham gia xử lý dữ liệu cá nhân, và yêu cầu bên đó thực hiện các nghĩa vụ như Điều 4.

Các bên sau xử lý dữ liệu cá nhân ở nước ngoài: Cloudflare. Theo cách hiểu thận trọng, việc các bên trên xử lý dữ liệu cá nhân ở nước ngoài là chuyển dữ liệu cá nhân xuyên biên giới (Luật 91/2025/QH15, Điều 20); Bên xử lý cung cấp cho Bên kiểm soát thông tin cần thiết để lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới khi Bên kiểm soát cần.

Điều 6. Thông báo sự cố

Bên xử lý thông báo cho Bên kiểm soát chậm nhất 24 giờ kể từ khi phát hiện sự cố có thể ảnh hưởng tới dữ liệu cá nhân được xử lý theo Thoả thuận này, để Bên kiểm soát kịp thực hiện nghĩa vụ thông báo trong 72 giờ.

Thông báo nêu những gì đã biết về sự cố: thời điểm phát hiện, dữ liệu và chủ thể dữ liệu có thể bị ảnh hưởng, biện pháp đã thực hiện; thông tin còn thiếu được gửi bổ sung khi có.

Theo Luật 91/2025/QH15, Điều 23 khoản 1, bên xử lý dữ liệu cá nhân phát hiện hành vi vi phạm phải thông báo kịp thời cho bên kiểm soát dữ liệu cá nhân.

Điều 7. Hiệu lực và chấm dứt

Thoả thuận có hiệu lực từ ngày ký và cùng thời hạn với hợp đồng hoặc điều khoản sử dụng dịch vụ giữa hai bên; khi hợp đồng chấm dứt thì Thoả thuận chấm dứt theo, và khoản 5 Điều 4 được thực hiện.

Thoả thuận được lập thành hai bản có giá trị như nhau, mỗi bên giữ một bản.