Thỏa thuận xử lý dữ liệu (DPA)

Bản Thỏa thuận xử lý dữ liệu này ("DPA") áp dụng khi CÔNG TY TNHH PATTRANS (Mã số doanh nghiệp 0111399245), Căn 0315 Tòa C2, số 119 đường Trần Duy Hưng, Phường Yên Hòa, TP Hà Nội, Việt Nam ("Pattrans", "Bên xử lý dữ liệu cá nhân") xử lý dữ liệu cá nhân thay mặt một khách hàng sử dụng Dịch vụ trong khuôn khổ hoạt động thương mại, nghề nghiệp hoặc của một tổ chức ("Khách hàng", "Bên kiểm soát dữ liệu cá nhân") — bất kể Khách hàng có tư cách pháp nhân hay không. DPA này là một phần của, và chịu sự điều chỉnh của, Điều khoản dịch vụ của chúng tôi, và có hiệu lực khi Khách hàng chấp thuận bản Điều khoản hoặc bắt đầu sử dụng Dịch vụ cho các mục đích nêu trên; tài khoản của Khách hàng cùng các phiên bản Điều khoản và DPA áp dụng tạo thành hồ sơ ghi nhận việc chấp thuận. Trong DPA này, "Bên xử lý" và "Bên kiểm soát" lần lượt được hiểu là Bên xử lý dữ liệu cá nhân và Bên kiểm soát dữ liệu cá nhân. Đối với dữ liệu cá nhân được xử lý theo chỉ dẫn của Khách hàng, DPA này được ưu tiên áp dụng so với bản Điều khoản và Chính sách bảo vệ dữ liệu cá nhân và quyền riêng tư ("Chính sách quyền riêng tư") trong trường hợp có mâu thuẫn. "Nội dung Khách hàng" nghĩa là các tài liệu, văn bản, thuật ngữ và mục trong My Termbase mà Khách hàng gửi lên hoặc lưu trong Dịch vụ, Kết quả đầu ra, và mọi biểu diễn trung gian của tư liệu đó được tạo ra chỉ để cung cấp Dịch vụ. Khái niệm này không bao gồm dữ liệu tài khoản, tính phí, siêu dữ liệu dự án (bao gồm tên dự án hoặc nhãn thư mục), an ninh hay đo lường vận hành dịch vụ, kể cả khi siêu dữ liệu đó do Khách hàng cung cấp hoặc phản ánh tiêu đề tài liệu; tuy nhiên, mọi văn bản tài liệu, thuật ngữ, nội dung My Termbase, Kết quả đầu ra hay biểu diễn trung gian được nhúng trong các hồ sơ đó vẫn là Nội dung Khách hàng.

1. Vai trò và phạm vi

Đối với dữ liệu cá nhân trong Nội dung Khách hàng, Khách hàng đóng vai trò Bên kiểm soát (hoặc Bên xử lý cho một Bên kiểm soát tiếp theo) và Pattrans đóng vai trò Bên xử lý của Khách hàng. Trong phạm vi Pattrans xử lý dữ liệu cá nhân đó để tạo kết quả cho Khách hàng, vận hành hoặc bảo đảm an toàn cho Dịch vụ gắn với việc Khách hàng sử dụng, cung cấp hỗ trợ theo yêu cầu của Khách hàng, hoặc (theo chỉ dẫn của Khách hàng) đánh giá kết quả cho Khách hàng, Pattrans đóng vai trò Bên xử lý của Khách hàng. Pattrans không độc lập xác định một mục đích cải thiện liên-khách-hàng đối với dữ liệu cá nhân đó. Pattrans là Bên kiểm soát độc lập đối với dữ liệu tài khoản, tính phí, hóa đơn và thanh toán, an ninh và tuân thủ pháp luật; các dữ liệu này được điều chỉnh bởi Chính sách quyền riêng tư, không phải DPA này.

2. Chi tiết hoạt động xử lý

• Đối tượng xử lý — dịch máy các tài liệu do Khách hàng gửi, và việc hỗ trợ cho Dịch vụ đó.
• Thời hạn — trong thời hạn Khách hàng sử dụng Dịch vụ, theo Mục 9.
• Tính chất và mục đích — thực hiện quy trình dịch máy theo yêu cầu của Khách hàng. Cho mục đích đó, Pattrans tiếp nhận, lưu trữ và, khi cần, truyền Nội dung Khách hàng tới các bên xử lý phụ; dịch và định dạng tài liệu; kiểm tra lỗi xử lý; lưu trữ và áp dụng thuật ngữ cùng các mục trong My Termbase; tạo và xử lý các biểu diễn trung gian; trả Kết quả đầu ra; và xóa Nội dung Khách hàng theo Mục 9. Việc xử lý tài liệu diễn ra theo từng tác vụ; thuật ngữ và các mục My Termbase đã lưu có thể được xử lý liên tục trong suốt thời hạn.
• Loại dữ liệu cá nhân — mọi dữ liệu cá nhân mà Khách hàng đưa vào Nội dung Khách hàng, có thể bao gồm các định danh và dữ liệu cá nhân khác, và đôi khi có thể chứa dữ liệu cá nhân nhạy cảm.
• Nhóm chủ thể dữ liệu — các cá nhân được nhắc đến trong tài liệu của Khách hàng, như nhà sáng chế, người nộp đơn, người lao động hoặc các bên thứ ba khác.
• Khu vực xử lý, thời hạn lưu giữ, cách xử lý dữ liệu nhạy cảm và các nhóm bên xử lý phụ — được mô tả trong Chính sách quyền riêng tư và được cung cấp chi tiết hơn theo yêu cầu.

3. Chỉ dẫn và cam đoan của Khách hàng

Pattrans chỉ xử lý Nội dung Khách hàng theo chỉ dẫn được ghi nhận của Khách hàng — bản Điều khoản, Chính sách quyền riêng tư, DPA này và việc Khách hàng sử dụng, cấu hình Dịch vụ — trừ trường hợp pháp luật yêu cầu; khi đó chúng tôi sẽ thông báo cho Khách hàng trừ khi pháp luật cấm việc thông báo. Nếu Pattrans có cơ sở hợp lý để cho rằng một chỉ dẫn vi phạm pháp luật dữ liệu cá nhân áp dụng, Pattrans sẽ thông báo cho Khách hàng và có thể tạm ngừng hoạt động xử lý bị ảnh hưởng cho đến khi chỉ dẫn được sửa đổi hoặc tính hợp pháp của nó được xác lập. Khách hàng cam đoan rằng mình có điều kiện hợp pháp áp dụng cho hoạt động xử lý và có thẩm quyền để gửi lên hoặc lưu các tài liệu, văn bản, thuật ngữ và mục trong My Termbase mà Khách hàng cung cấp cho Dịch vụ, bao gồm mọi dữ liệu cá nhân của bên thứ ba hoặc dữ liệu nhạy cảm, và để đưa ra các chỉ dẫn này; trường hợp Khách hàng đóng vai trò Bên xử lý cho một Bên kiểm soát tiếp theo, Khách hàng cam đoan rằng Bên kiểm soát đó đã thiết lập điều kiện hợp pháp áp dụng cho hoạt động xử lý và đã ủy quyền cho Khách hàng chỉ định Pattrans và đưa ra các chỉ dẫn này. Khách hàng chịu trách nhiệm về tính chính xác và hợp pháp của các tài liệu, văn bản, thuật ngữ và mục trong My Termbase mà Khách hàng cung cấp cho Dịch vụ.

4. Nghĩa vụ của Pattrans

Pattrans sẽ: chỉ xử lý Nội dung Khách hàng như nêu tại Mục 2 và theo chỉ dẫn của Khách hàng; bảo đảm nhân sự được phân quyền chịu ràng buộc nghĩa vụ bảo mật; áp dụng các biện pháp kỹ thuật và tổ chức phù hợp với tính chất, quy mô và rủi ro của hoạt động xử lý — bao gồm mã hóa khi truyền và, đối với Nội dung Khách hàng lưu trên máy chủ, mã hóa khi lưu trữ; kiểm soát truy cập theo đặc quyền tối thiểu; phân tách logic giữa các tài khoản khách hàng; xác thực và ghi log truy cập; giám sát và ứng phó sự cố; xóa an toàn; nghĩa vụ bảo mật của nhân sự; thẩm định bên xử lý phụ; và rà soát an ninh, tuân thủ định kỳ — mà không làm giảm đáng kể mức bảo vệ tổng thể khi cập nhật các biện pháp đó; coi Nội dung Khách hàng là thông tin bảo mật và không tiết lộ cho bên thứ ba, trừ các bên xử lý phụ theo Mục 5 hoặc khi pháp luật yêu cầu; có tính đến tính chất của hoạt động xử lý và thông tin sẵn có đối với chúng tôi, hỗ trợ Khách hàng phản hồi các yêu cầu của chủ thể dữ liệu (bao gồm truy cập, chỉnh sửa, xóa, hạn chế, phản đối, rút lại sự đồng ý, cung cấp dữ liệu và khiếu nại) và thực hiện các nghĩa vụ của Khách hàng về an ninh, thông báo vi phạm và đánh giá tác động, đồng thời hỗ trợ việc vận hành kỹ thuật cho rút lại sự đồng ý, ngăn tiếp tục xử lý và xóa dữ liệu; và cung cấp thông tin cần thiết một cách hợp lý để chứng minh việc tuân thủ (Mục 8). Pattrans sẽ không tự mình phản hồi về nội dung đối với một yêu cầu của chủ thể dữ liệu liên quan đến Nội dung Khách hàng, trừ khi theo chỉ dẫn của Khách hàng hoặc khi pháp luật yêu cầu. Pattrans không sử dụng Nội dung Khách hàng để huấn luyện hay tinh chỉnh các mô hình AI đa dụng, hay cho bất kỳ mục đích cải thiện liên-khách-hàng nào, và áp đặt các hạn chế tương tự lên các bên xử lý phụ của mình theo Mục 5.

5. Bên xử lý phụ

Khách hàng cho phép chung việc Pattrans sử dụng các bên xử lý phụ trong các nhóm được mô tả tại Chính sách quyền riêng tư. Pattrans áp đặt lên từng bên xử lý phụ, bằng hợp đồng bằng văn bản, các nghĩa vụ bảo vệ dữ liệu tương đương về cơ bản với các nghĩa vụ áp dụng cho Pattrans theo DPA này và phù hợp với hoạt động xử lý của bên xử lý phụ đó — bao gồm giới hạn về mục đích và chỉ dẫn, nghĩa vụ bảo mật, an ninh, thông báo vi phạm, hỗ trợ quyền của chủ thể dữ liệu, xóa hoặc trả lại dữ liệu, hạn chế chuyển tiếp, và cung cấp thông tin tuân thủ liên quan — và Pattrans tiếp tục chịu trách nhiệm trước Khách hàng về việc bên xử lý phụ thực hiện các nghĩa vụ đó. Pattrans công khai danh tính các bên xử lý phụ hiện tại theo yêu cầu và thông báo trước một cách hợp lý cho Khách hàng về bất kỳ bên xử lý phụ mới nào sẽ xử lý Nội dung Khách hàng (không bao gồm các công cụ không có quyền truy cập Nội dung Khách hàng). Khách hàng có thể phản đối dựa trên các căn cứ hợp lý về bảo vệ dữ liệu; chúng tôi sẽ thiện chí phối hợp với Khách hàng và, nếu không đạt được giải pháp, Khách hàng có thể ngừng sử dụng tính năng bị ảnh hưởng hoặc chấm dứt phần Dịch vụ bị ảnh hưởng. Mọi Standard Words đã trả tiền chưa sử dụng vẫn được điều chỉnh bởi bản Điều khoản và bởi Chính sách hoàn trả; việc chấm dứt sau một phản đối hợp lý không tự nó làm hủy, làm mất hay khiến số Standard Words đó trở thành có thể quy đổi thành tiền.

6. Chuyển dữ liệu xuyên biên giới

Nội dung Khách hàng có thể được xử lý ngoài Việt Nam bởi các bên xử lý phụ của chúng tôi. Pattrans sẽ lập, duy trì, nộp cho cơ quan có thẩm quyền và cập nhật các hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và chuyển dữ liệu xuyên biên giới mà pháp luật yêu cầu đối với Pattrans cho các hoạt động xử lý và chuyển do Pattrans thu xếp, và áp dụng các biện pháp bảo đảm hợp đồng và an ninh phù hợp. Khách hàng tiếp tục chịu trách nhiệm về mọi nghĩa vụ đánh giá, nộp hồ sơ hoặc nghĩa vụ khác áp dụng cho mình với vai trò Bên kiểm soát hoặc bên chuyển dữ liệu; có tính đến tính chất của hoạt động xử lý và thông tin sẵn có đối với Pattrans, Pattrans sẽ cung cấp thông tin cần thiết một cách hợp lý để hỗ trợ Khách hàng thực hiện các nghĩa vụ đó. Khách hàng sẽ cung cấp thông tin về mục đích, chủ thể dữ liệu và điều kiện hợp pháp cần thiết một cách hợp lý cho các đánh giá của Pattrans, và chịu trách nhiệm về mọi hoạt động chuyển do Khách hàng chỉ định ngoài cấu hình chuẩn của chúng tôi. Pattrans thông báo cho Khách hàng về thay đổi đáng kể đối với các điểm đến xử lý. Các khu vực xử lý hiện tại được cung cấp theo yêu cầu.

7. Sự cố lộ, mất hoặc truy cập trái phép dữ liệu cá nhân

Pattrans sẽ thông báo cho Khách hàng không chậm trễ bất hợp lý sau khi biết rằng đã xảy ra một sự cố lộ, mất hoặc truy cập trái phép dữ liệu cá nhân ảnh hưởng đến Nội dung Khách hàng. Khi khả thi một cách hợp lý, Pattrans sẽ gửi thông báo ban đầu trong vòng 72 giờ sau khi biết về sự cố, không chờ hoàn tất điều tra; thông tin chưa có sẽ được cung cấp bổ sung theo từng giai đoạn. Thông báo sẽ bao gồm, trong phạm vi đã biết: tính chất của sự cố; các nhóm và số lượng ước tính chủ thể dữ liệu và bản ghi; hậu quả có thể xảy ra; các biện pháp đã thực hiện hoặc được đề xuất; bên xử lý phụ và quốc gia bị ảnh hưởng (nếu có); đầu mối liên hệ; và mốc thời gian. Điều này giúp Khách hàng thực hiện các nghĩa vụ thông báo của chính mình, bao gồm thông báo tới cơ quan có thẩm quyền và các cá nhân bị ảnh hưởng khi pháp luật yêu cầu.

8. Kiểm tra và thông tin

Pattrans sẽ cung cấp thông tin cần thiết một cách hợp lý để chứng minh việc tuân thủ, thông thường thông qua tài liệu an ninh và tuân thủ sẵn có, các chính sách hoặc bản tóm tắt liên quan, phản hồi cho một bảng câu hỏi hợp lý, và các chứng nhận hoặc báo cáo độc lập mà Pattrans đang nắm giữ tại thời điểm đó. Khi thông tin được cung cấp theo mục này không đủ một cách hợp lý, hoặc sau một sự cố hay một rủi ro đáng kể được xác định có ảnh hưởng đến Khách hàng, Khách hàng có thể yêu cầu một cuộc kiểm tra bổ sung. Hai bên trước hết sẽ tìm cách đáp ứng yêu cầu thông qua tài liệu, các câu hỏi bằng văn bản hoặc một cuộc rà soát từ xa. Mọi cuộc thanh tra sâu hơn phải là cần thiết và tương xứng một cách hợp lý, do Khách hàng hoặc một kiểm toán viên độc lập chịu ràng buộc bảo mật thực hiện, với thông báo trước hợp lý và trong giờ làm việc, và được giới hạn trong phạm vi hoạt động xử lý theo DPA này; cuộc kiểm tra không được xâm hại an ninh, mã nguồn, bí mật kinh doanh hay dữ liệu của các khách hàng khác. Trừ trường hợp theo yêu cầu của một cơ quan có thẩm quyền hoặc có căn cứ từ một sự cố mà Pattrans phải chịu trách nhiệm, Khách hàng tự chịu chi phí kiểm tra của mình và các chi phí ngoại lệ hợp lý mà Pattrans phải gánh chịu.

9. Trả lại và xóa dữ liệu

Trong thời hạn sử dụng, Khách hàng có thể dùng các chức năng sẵn có của Dịch vụ để xuất hoặc xóa phần Nội dung Khách hàng được cung cấp qua các chức năng đó, tùy thuộc vào hoạt động xử lý đã được yêu cầu để hoàn tất một tác vụ đang chạy và pháp luật áp dụng. Khi phần Dịch vụ liên quan hết hạn hoặc chấm dứt, Khách hàng có thể xuất Nội dung Khách hàng sẵn có trước khi đóng tài khoản; sau đó Pattrans sẽ xóa phần Nội dung Khách hàng còn lại khỏi các hệ thống hoạt động, hoặc theo yêu cầu của Khách hàng trước khi xóa, cung cấp một bản sao phần Nội dung Khách hàng khi đó được cung cấp cho Khách hàng qua Dịch vụ, trong các thời hạn nêu tại Chính sách quyền riêng tư. Các bản sao còn sót trong sao lưu và log an ninh sẽ được xóa theo chu kỳ thông thường của chúng, và Pattrans sẽ yêu cầu các bên xử lý phụ của mình xóa hoặc trả lại dữ liệu tương ứng — trừ trong phạm vi Pattrans bị pháp luật yêu cầu lưu giữ; trong trường hợp đó Pattrans tiếp tục bảo vệ dữ liệu và chỉ xử lý trong phạm vi pháp luật yêu cầu. Pattrans sẽ cung cấp xác nhận bằng văn bản về việc xóa theo yêu cầu hợp lý.

10. Trách nhiệm, quyền của bên thứ ba và thứ tự ưu tiên

DPA này chịu sự điều chỉnh của Điều khoản dịch vụ, bao gồm quy định về giới hạn trách nhiệm cùng các trách nhiệm không thể loại trừ và các ngoại lệ về dữ liệu/bảo mật tại Mục 11.3 của bản Điều khoản. DPA này là một phần của thỏa thuận giữa Khách hàng và Pattrans và không tạo ra quyền thụ hưởng hợp đồng cho bên thứ ba, nhưng không hạn chế các quyền luật định của chủ thể dữ liệu. Nếu DPA này mâu thuẫn với bản Điều khoản hoặc Chính sách quyền riêng tư liên quan đến dữ liệu cá nhân được xử lý theo chỉ dẫn của Khách hàng, DPA này được ưu tiên áp dụng.

11. Thay đổi và luật điều chỉnh

Pattrans có thể cập nhật DPA này để phản ánh các thay đổi của pháp luật hoặc của Dịch vụ; các thay đổi đáng kể sẽ được thông báo và sẽ không làm giảm đáng kể các nghĩa vụ bảo vệ dữ liệu đối với hoạt động xử lý hiện có. Khách hàng có thể phản đối một thay đổi bất lợi đáng kể và chấm dứt phần Dịch vụ bị ảnh hưởng nếu không có giải pháp hợp lý. DPA này được điều chỉnh bởi pháp luật Việt Nam. DPA này có hiệu lực như nêu trên mà không cần chữ ký riêng; để yêu cầu một bản có chữ ký, cung cấp thông tin của Khách hàng với tư cách Bên kiểm soát, nhận thông tin bảo mật về bên xử lý phụ, hoặc trao đổi về các chỉ dẫn được ghi nhận bổ sung, liên hệ support@pattrans.ai.