Thỏa thuận xử lý và chia sẻ dữ liệu

1. Cấu trúc thỏa thuận

Tài liệu này là điều khoản xử lý dữ liệu áp dụng cho Vietnam Compliance Assistant và bổ sung hợp đồng dịch vụ giữa FACS và doanh nghiệp khách hàng. Nếu hợp đồng đã ký có DPA riêng, DPA đó được ưu tiên trong phạm vi có khác biệt.

Việc một người dùng cá nhân đánh dấu chấp thuận không tự thay thế chữ ký của doanh nghiệp. Chấp thuận cấp tenant chỉ được ghi nhận khi Client Admin xác nhận mình có thẩm quyền đại diện.

2. Vai trò của các bên

Doanh nghiệp khách hàng quyết định mục đích và phương thức đối với dữ liệu doanh nghiệp, người lao động và bên thứ ba do mình tải lên, và chịu trách nhiệm về cơ sở pháp lý cũng như thông báo cần thiết. Trong phạm vi đó, FACS xử lý dữ liệu theo chỉ dẫn hợp lệ của khách hàng.

FACS quyết định mục đích đối với dữ liệu tài khoản, an ninh, ngăn ngừa gian lận, bằng chứng chấp thuận, quản trị hệ thống và nghĩa vụ pháp lý riêng của FACS.

3. Đối tượng, thời hạn và tính chất xử lý

Xử lý được thực hiện trong thời hạn dịch vụ và thời gian lưu trữ hợp lý sau chấm dứt. Hoạt động gồm thu thập, ghi nhận, cấu trúc, lưu trữ, truy xuất, phân tích theo quy tắc, truyền theo chỉ dẫn, sao lưu, hạn chế và xóa.

Mục đích là vận hành hồ sơ doanh nghiệp, lịch tuân thủ, trạng thái công việc, kiểm soát truy cập, hỗ trợ và các chức năng được khách hàng lựa chọn.

4. Chủ thể và loại dữ liệu

• Chủ thể: người dùng, người đại diện, người lao động, nhà cung cấp, khách hàng hoặc bên liên quan mà doanh nghiệp có quyền đưa vào hệ thống.
• Dữ liệu: định danh và liên hệ công việc, thông tin doanh nghiệp, lao động, thuế, kế toán, đầu tư, bảo hiểm, hồ sơ tuân thủ và dữ liệu kỹ thuật.
• Dữ liệu nhạy cảm chỉ được nhập khi thực sự cần thiết, có cơ sở hợp pháp và được FACS chấp thuận theo phạm vi dịch vụ.

5. Chỉ dẫn và tính hợp pháp

FACS chỉ xử lý theo thỏa thuận, cấu hình và chỉ dẫn được ghi nhận, trừ khi pháp luật yêu cầu khác. Nếu nhận thấy chỉ dẫn có khả năng vi phạm pháp luật, FACS có thể tạm dừng và yêu cầu làm rõ.

Khách hàng bảo đảm dữ liệu được thu thập và cung cấp hợp pháp, chính xác, tối thiểu cần thiết; đồng thời quản lý quyền của người dùng thuộc tenant của mình.

6. Bảo mật và kiểm soát truy cập

• Phân vùng tenant và kiểm tra quyền phía máy chủ.
• Mã hóa khi truyền, kiểm soát quyền tối thiểu và nhật ký quản trị.
• Quy trình quản lý thay đổi, sao lưu/khôi phục và xử lý sự cố theo mức độ rủi ro.
• Nghĩa vụ bảo mật đối với nhân sự và nhà cung cấp được cấp quyền.

7. Nhà cung cấp xử lý phụ và chuyển dữ liệu

Khách hàng ủy quyền chung cho FACS sử dụng nhà cung cấp cần thiết như OpenAI/ChatGPT và Cloudflare để xác thực, lưu trữ, vận hành và bảo mật nền tảng. FACS duy trì trách nhiệm lựa chọn, giới hạn phạm vi và yêu cầu bảo vệ dữ liệu phù hợp.

Thay đổi nhà cung cấp có ảnh hưởng trọng yếu sẽ được thông báo theo kênh hợp lý. Chuyển dữ liệu ra nước ngoài được thực hiện theo yêu cầu đánh giá và hồ sơ của pháp luật áp dụng.

8. Sự cố dữ liệu

FACS sẽ đánh giá và thông báo cho đầu mối khách hàng trong thời gian hợp lý sau khi xác nhận sự cố ảnh hưởng dữ liệu khách hàng, kèm thông tin sẵn có về bản chất, phạm vi, tác động và biện pháp xử lý. Thông báo không đồng nghĩa thừa nhận lỗi hoặc trách nhiệm pháp lý.

Khách hàng phối hợp cung cấp thông tin và quyết định nghĩa vụ thông báo đối với chủ thể hoặc cơ quan có thẩm quyền trong vai trò của mình.

9. Quyền của chủ thể dữ liệu và kiểm tra

FACS hỗ trợ hợp lý để khách hàng xử lý yêu cầu của chủ thể dữ liệu, đánh giá tác động và nghĩa vụ tuân thủ. Yêu cầu kiểm tra phải có phạm vi hợp lý, bảo vệ dữ liệu của khách hàng khác và không làm gián đoạn hệ thống; chi phí ngoài phạm vi dịch vụ có thể được thỏa thuận riêng.

10. Hoàn trả, xóa và lưu giữ

Khi có yêu cầu hợp lệ hoặc chấm dứt dịch vụ, FACS sẽ hoàn trả/xuất dữ liệu theo định dạng khả dụng và xóa hoặc ẩn danh dữ liệu còn lại theo lịch lưu trữ, trừ phần phải giữ theo pháp luật, tranh chấp, bảo mật hoặc bằng chứng hợp đồng.

11. Chấp thuận và hiệu lực

Client Admin chấp thuận thay mặt doanh nghiệp xác nhận đã có thẩm quyền, đã thông báo nội bộ cần thiết và đồng ý cho FACS xử lý theo tài liệu này. Người dùng khác xác nhận đã đọc và tuân thủ phạm vi xử lý áp dụng cho tài khoản của mình.

Mọi hoạt động chia sẻ dữ liệu ngoài mục đích cần thiết cho dịch vụ phải có cơ sở riêng và, khi pháp luật yêu cầu, sự đồng ý riêng biệt.