Thỏa thuận xử lý dữ liệu

Phiên bản 2026-10-24.4 · Bản dịch này chỉ để tiện theo dõi. Nếu khác với bản tiếng Anh, bản tiếng Anh có giá trị.

DPA này là một phần của Điều khoản dịch vụ giữa khách hàng ("Bên kiểm soát") và WANG PENG YUAN, cá nhân kinh doanh tại Nhật Bản dưới tên thương mại Hibira ("Bên xử lý"). DPA áp dụng khi Bên xử lý xử lý dữ liệu cá nhân trong Dữ liệu khách hàng thay mặt Bên kiểm soát. Nếu mâu thuẫn với Điều khoản, DPA này được ưu tiên áp dụng.

1. Phạm vi xử lý

2. Nghĩa vụ của Bên xử lý

Bên xử lý sẽ:

1. chỉ xử lý dữ liệu theo chỉ dẫn bằng văn bản của Bên kiểm soát, gồm Điều khoản, DPA này và cấu hình Dịch vụ của Bên kiểm soát, và báo cho Bên kiểm soát nếu cho rằng một chỉ dẫn vi phạm pháp luật;
2. bảo đảm nhân viên có quyền truy cập chịu nghĩa vụ bảo mật;
3. áp dụng các biện pháp bảo mật tại Phụ lục A;
4. hỗ trợ Bên kiểm soát, trong phạm vi hợp lý, trả lời yêu cầu của chủ thể dữ liệu và thực hiện đánh giá tác động cùng tham vấn trước;
5. cung cấp thông tin cần thiết để chứng minh việc tuân thủ, và cho phép kiểm toán theo mục 7.

3. Nghĩa vụ của Bên kiểm soát

Bên kiểm soát chịu trách nhiệm có cơ sở pháp lý, thông báo cho người dùng cuối, và về tính chính xác, hợp pháp của dữ liệu mình gửi. Bên kiểm soát phải giữ bí mật secret của ứng dụng và dùng kênh riêng tư hoặc mã hóa cho dữ liệu nhạy cảm.

4. Bên xử lý phụ

1. Bên kiểm soát cho phép các bên xử lý phụ được liệt kê tại hibira.io/legal/subprocessors (Phụ lục B).
2. Bên xử lý sẽ thông báo trước ít nhất 30 ngày về bên xử lý phụ mới qua email và trên trang đó. Bên kiểm soát có thể phản đối vì lý do bảo vệ dữ liệu hợp lý; nếu các bên không giải quyết được, Bên kiểm soát có thể chấm dứt phần Dịch vụ bị ảnh hưởng và được hoàn tiền theo tỷ lệ.
3. Bên xử lý ràng buộc mỗi bên xử lý phụ bằng các điều khoản bảo vệ dữ liệu không kém hơn DPA này và vẫn chịu trách nhiệm về việc thực hiện của họ.

5. Chuyển dữ liệu quốc tế

Bên xử lý đặt tại Nhật Bản và xử lý dữ liệu tại Hồng Kông (AWS ap-east-1) và Singapore (Neon, trên AWS ap-southeast-1); mạng của Cloudflare có thể định tuyến kết nối qua điểm biên gần nhất. Khi việc chuyển dữ liệu cần biện pháp bảo vệ, các bên đồng ý áp dụng Điều khoản hợp đồng mẫu của EU (Module 2 hoặc 3 tùy trường hợp), Phụ lục của Vương quốc Anh, hoặc hợp đồng tương đương theo yêu cầu pháp luật quốc gia của Bên kiểm soát (ví dụ hợp đồng mẫu theo PIPA của Hàn Quốc hoặc PIPL của Trung Quốc), được dẫn chiếu và là một phần của DPA này.

6. Vi phạm dữ liệu cá nhân

Bên xử lý sẽ thông báo cho Bên kiểm soát không chậm trễ quá mức và trong mọi trường hợp trong vòng 48 giờ kể từ khi biết về một vi phạm dữ liệu cá nhân ảnh hưởng đến dữ liệu của Bên kiểm soát. Thông báo sẽ mô tả bản chất vi phạm, dữ liệu và chủ thể bị ảnh hưởng nếu đã biết, hậu quả có thể xảy ra và các biện pháp đã thực hiện. Điều này giúp Bên kiểm soát đáp ứng thời hạn của mình, như 72 giờ theo GDPR và theo Luật Bảo vệ dữ liệu cá nhân của Việt Nam, báo cáo kịp thời theo APPI của Nhật Bản và PIPA của Hàn Quốc, và nghĩa vụ thông báo của Đài Loan.

7. Kiểm toán

Bên xử lý sẽ trả lời các bảng câu hỏi bảo mật hợp lý và chia sẻ báo cáo kiểm toán hoặc chứng nhận của bên thứ ba khi có. Nếu chúng không đủ để chứng minh việc tuân thủ, Bên kiểm soát có thể kiểm toán mỗi năm một lần, tự chịu chi phí, báo trước 30 ngày, trong giờ làm việc, theo nghĩa vụ bảo mật và không truy cập dữ liệu của khách hàng khác.

8. Trả lại và xóa

Khi chấm dứt, Bên kiểm soát có thể xuất cấu hình tài khoản và ứng dụng trong 30 ngày. Sau đó Bên xử lý xóa dữ liệu còn lại của Bên kiểm soát, kể cả bản sao lưu trong vòng 35 ngày, trừ khi pháp luật yêu cầu giữ lại một phần.

9. Trách nhiệm pháp lý

Trách nhiệm của mỗi bên theo DPA này tuân theo các giới hạn trong Điều khoản, trừ khi luật bảo vệ dữ liệu áp dụng không cho phép.

Phụ lục A: Biện pháp bảo mật

• TLS 1.2 trở lên cho mọi lưu lượng client, API và webhook; yêu cầu API và xác thực kênh riêng tư được ký HMAC.
• Secret của ứng dụng và mã băm mật khẩu (Argon2id) không bao giờ được ghi vào log.
• Kho dữ liệu được mã hóa khi lưu trữ, chỉ truy cập qua mạng riêng hoặc kết nối TLS đã xác thực; nhân viên chỉ có quyền tối thiểu cần thiết, với xác thực đa yếu tố.
• Giới hạn tốc độ, hạn mức theo ứng dụng và chống DDoS ở biên mạng.
• Bản sao lưu được mã hóa, giám sát và cảnh báo, và quy trình ứng phó sự cố.
• Cập nhật thư viện phụ thuộc và vá lỗ hổng theo lịch định kỳ.

Phụ lục B: Bên xử lý phụ

Stripe, Google Analytics và Google Workspace (email) chỉ xử lý dữ liệu khách hàng và dữ liệu trang web của chính Bên xử lý, không phải Dữ liệu khách hàng, nên được liệt kê trong Chính sách quyền riêng tư thay vì ở đây.