Thỏa thuận xử lý dữ liệu của iLovePDF

Thỏa thuận xử lý dữ liệu này ( "Thỏa thuận Xử lý dữ liệu") là thỏa thuận xử lý áp dụng cho việc xử lý dữ liệu cá nhân mà ILOVEPDF ("ILOVEPDF") có số CIF B66921552 và văn phòng đăng ký tại Calle Sabino de Arana, 60, 08028 Barcelona, thực hiện thay mặt bạn liên quan đến dữ liệu cá nhân mà ILOVEPDF xử lý đúng theo các điều khoản dưới đây.

Về phần này, ILOVEPDF sẽ cung cấp cho bạn các dịch vụ nhất định thông qua phần mềm hoặc chương trình máy tính thuộc sở hữu của ILOVEPDF. Để sử dụng các dịch vụ này, ILOVEPDF, với tư cách là bên xử lý (sau đây gọi là "bên xử lý"), cần quyền truy cập và xử lý một số dữ liệu cá nhân mà trong đó bạn giữ vai trò là bên kiểm soát (sau đây gọi là "biên kiểm soát").

Thỏa thuận Xử lý này là một phần trong Điều khoản và Điều kiện của ILOVEPDF và sẽ được áp dụng sau khi bạn chấp nhận Điều khoản và Điều kiện. Trong trường hợp có sự xung đột, đối lập hoặc mâu thuẫn giữa Điều khoản và Điều kiện với Hợp đồng Xử lý, Hợp đồng Xử lý sẽ được ưu tiên áp dụng so với Điều khoản và Điều kiện.

Nhằm tuân thủ Quy định (EU) 2016/679 của Nghị viện Châu Âu và Hội đồng ngày 27 tháng 4 năm 2016 về việc bảo vệ thể nhân liên quan đến hoạt động xử lý dữ liệu cá nhân và luân chuyển tự do dữ liệu cá nhân ("GDPR"), bên kiểm soát và bên xử lý ký kết Hợp đồng xử lý này theo các điều khoản sau

ĐIỀU KHOẢN

Điều khoản 1

Mục đích và phạm vi

Mục đích của Thỏa thuận xử lý là đảm bảo tuân thủ Điều 28(3) và (4) của Quy định chung về Bảo vệ dữ liệu (GDPR).
Bên kiểm soát và bên xử lý đã chấp thuận sự ràng buộc của Thỏa thuận này để đảm bảo tuân thủ Điều 28(3) và (4) của GDPR.
Thỏa thuận Xử lý này áp dụng cho việc xử lý dữ liệu cá nhân theo mô tả trong Phụ Đính I.
Phụ đính I và II là một phần của Thỏa thuận Xử lý.
Các điều khoản và điều kiện này không ảnh hưởng đến những nghĩa vụ mà bên kiểm soát phải tuân thủ theo GDPR.
Chỉ riêng các điều khoản và điều kiện này thì không đủ để đảm bảo tuân thủ các nghĩa vụ liên quan đến việc chuyển dữ liệu ra nước ngoài theo Chương V của GDPR.

Điều khoản 2

Giải thích

Các thuật ngữ được định nghĩa trong GDPR khi được sử dụng trong Thỏa thuận Xử lý này sẽ được diễn giải theo đúng ý nghĩa quy định trong GDPR.
Thỏa thuận Xử lý này phải được đọc và giải thích theo các điều khoản của GDPR.
Các bên không được phép giải thích Thỏa thuận Xử lý dữ liệu này theo cách mâu thuẫn với các quyền và nghĩa vụ được quy định trong GDPR và/hoặc theo cách xâm phạm các quyền cơ bản hoặc quyền tự do của chủ thể dữ liệu.

Điều khoản 3

Thứ tự áp dụng ưu tiên

Trong trường hợp có mâu thuẫn giữa Thỏa thuận Xử lý này và các điều khoản của những thỏa thuận liên quan giữa các Bên tại thời điểm các điều khoản và điều kiện này được chấp thuận hoặc ký kết sau đó, Thỏa thuận Xử lý này sẽ được ưu tiên áp dụng.

Điều khoản 4

Mô tả (các) hoạt động xử lý

Phụ đính I nêu rõ chi tiết về các hoạt động xử lý, cụ thể là các loại dữ liệu cá nhân và các mục đích xử lý dữ liệu cá nhân thay mặt cho bên kiểm soát.

Điều khoản 5

Nghĩa vụ của các Bên

5.1. Chỉ dẫn

Bên xử lý chỉ được xử lý dữ liệu cá nhân theo các văn bản chỉ dẫn từ bên kiểm soát, trừ phi luật pháp của Liên minh Châu Âu hoặc Quốc gia thành viên mà bên xử lý phải tuân thủ yêu cầu làm như vậy. Trong trường hợp này, bên xử lý sẽ thông báo cho bên kiểm soát về điều kiện pháp lý đó trước khi xử lý, trừ phi luật cấm điều này vì lý do quan trọng về lợi ích công. Các chỉ dẫn tiếp theo cũng có thể được bên kiểm soát đưa ra trong suốt thời gian xử lý dữ liệu cá nhân. Các chỉ dẫn này phải luôn được ghi lại thành văn bản.
Bên xử lý phải thông báo ngay cho bên kiểm soát nếu họ cho rằng chỉ dẫn của bên kiểm soát xâm phạm GDPR hoặc luật hiện hành của Liên minh Châu Âu hoặc Quốc gia thành viên về bảo vệ dữ liệu.

5.2. Giới hạn của mục đích

Bên xử lý chỉ được xử lý dữ liệu cá nhân cho (các) mục đích cụ thể của việc xử lý, theo mô tả trong Phụ đính I, trừ phi nhận được thêm các chỉ dẫn từ bên kiểm soát.

5.3. Thời hạn xử lý dữ liệu cá nhân

Việc xử lý của bên xử lý sẽ chỉ diễn ra trong thời gian đã quy định ở Phụ đính I.

5.4. Tính bảo mật của việc xử lý

Tối thiểu, bên xử lý phải triển khai các biện pháp kỹ thuật và tổ chức theo quy định trong Phụ đính II để đảm bảo an toàn dữ liệu cá nhân. Điều này bao gồm việc bảo vệ dữ liệu khỏi sự cố vi phạm bảo mật dẫn đến việc dữ liệu bị tiêu hủy, mất mát, thay đổi, truy cập hoặc tiết lộ trái phép do vô ý hoặc phi pháp (sự cố vi phạm dữ liệu cá nhân). Khi đánh giá mức độ bảo mật phù hợp, các Bên phải xem xét thỏa đáng trình độ công nghệ, hiện tại, chi phí triển khai, tính chất, phạm vi, bối cảnh và các mục đích xử lý cùng những rủi ro liên quan đối với chủ thể dữ liệu.
Bên xử lý chỉ được cấp quyền truy cập vào dữ liệu cá nhân đang được xử lý cho nhân viên của họ trong phạm vi thật sự cần thiết cho việc thực hiện, quản lý và giám sát hợp đồng. Bên xử lý phải đảm bảo rằng những người được ủy quyền xử lý dữ liệu cá nhân nhận được đã cam kết bảo mật hoặc chịu sự ràng buộc của nghĩa vụ bảo mật theo luật định phù hợp.

5.5. Dữ liệu nhạy cảm

Nếu việc xử lý liên quan đến dữ liệu cá nhân tiết lộ nguồn gốc chủng tộc hay dân tộc, quan điểm chính trị, tín ngưỡng tôn giáo hay triết học, hoặc tư cách thành viên công đoàn, dữ liệu di truyền hay sinh trắc học để xác định danh tính duy nhất của thể nhân, dữ liệu liên quan đến sức khỏe hoặc đời sống tình dục hoặc xu hướng tính dục của một người, hoặc dữ liệu liên quan đến án tích và vi phạm ("dữ liệu nhạy cảm"), bên xử lý phải áp dụng các hạn chế cụ thể và/hoặc các biện pháp bảo vệ bổ sung.

5.6. Tài liệu và sự tuân thủ

Các Bên phải có khả năng chứng minh sự tuân thủ Thỏa thuận Xử lý dữ liệu này.
Bên xử lý phải xử lý nhanh chóng và thỏa đáng các yêu cầu từ bên kiểm soát liên quan đến việc xử lý dữ liệu theo Thỏa thuận Xử lý này.
Bên xử lý phải cung cấp cho bên kiểm soát hoặc bên thứ ba độc lập tất cả thông tin cần thiết để chứng minh sự tuân thủ các nghĩa vụ theo quy định trong Thỏa thuận Xử lý này và bắt nguồn trực tiếp từ GDPR. Theo yêu cầu của bên kiểm soát, bên xử lý cũng phải cho phép và tham gia vào công tác kiểm tra các hoạt động xử lý trong phạm vi áp dụng của Thỏa thuận Xử lý dữ liệu này. Việc kiểm tra sẽ bị giới hạn về nội dung và thời gian ở mức độ nghiêm ngặt cần thiết để bên kiểm soát có thể thực hiện các bước kiểm tra cần thiết trong trường hợp có nghi ngờ – vốn đã được giải trình thỏa đáng trước đó bằng văn bản – về việc bên xử lý dữ liệu không tuân thủ bất kỳ điểm nào trong Thỏa thuận Xử lý dữ liệu này. Trong mọi trường hợp, mục đích duy nhất của việc kiểm tra là xác minh các tình huống không tuân thủ, giới hạn ở tối đa một (1) cuộc kiểm tra mỗi năm và phải được thông báo trước ít nhất một (1) tháng. Trong mọi trường hợp, việc kiểm tra sẽ được thực hiện với chi phí do bên kiểm soát dữ liệu chi trả.
Các bên phải cung cấp cho cơ quan giám sát có thẩm quyền, khi có yêu cầu, thông tin đã được nhắc đến trong điều khoản này và, cụ thể là, kết quả kiểm tra.

5.7. Sử dụng bên xử lý phụ

Bên xử lý có sự cho phép chung của bên kiểm soát về việc thuê bên xử lý phụ. Bên xử lý phải cung cấp cho bên kiểm soát thông tin cần thiết để cho phép bên kiểm soát thực hiện quyền phản đối.
Khi bên xử lý thuê một bên xử lý phụ để thực hiện các hoạt động xử lý cụ thể (thay mặt cho bên kiểm soát), bên xử lý phải tiến hành bằng cách ký kết hợp đồng mà về cơ bản quy định cho bên xử lý phụ các nghĩa vụ bảo vệ dữ liệu tương tự như các nghĩa vụ được quy định cho bên xử lý dữ liệu theo các điều khoản này. Bên xử lý phải đảm bảo rằng bên xử lý phụ tuân thủ các nghĩa vụ mà bên xử lý phải tuân thủ theo Thỏa thuận Xử lý này và GDPR.
Bên xử lý phải chịu trách nhiệm hoàn toàn trước bên kiểm soát về việc bên xử lý phụ thực hiện các nghĩa vụ theo hợp đồng của họ với bên xử lý. Bên xử lý phải thông báo cho bên kiểm soát về mọi trường hợp mà bên xử lý phụ không thực hiện các nghĩa vụ theo hợp đồng.

5.8. Chuyển dữ liệu ra nước ngoài

Bên xử lý sẽ thực hiện việc chuyển dữ liệu đến quốc gia thứ ba hoặc tổ chức quốc tế theo Chương V của GDPR.
Bên kiểm soát đồng ý rằng khi bên xử lý thuê một bên xử lý phụ theo điều khoản 5.7 để thực hiện các hoạt động xử lý cụ thể (thay mặt cho bên kiểm soát) và các hoạt động đó đòi hỏi việc chuyển dữ liệu cá nhân theo định nghĩa trong Chương V của GDPR, bên xử lý và bên xử lý phụ có thể đảm bảo sự tuân thủ Chương V của GDPR bằng cách: (i) chuyển dữ liệu cá nhân đến những quốc gia mà Ủy ban Châu Âu đã thông qua quyết định về tính tương xứng theo Điều 45 của GDPR; hoặc (ii) sử dụng các điều khoản hợp đồng tiêu chuẩn được Ủy ban thông qua theo Điều 46(2) của GDPR, miễn là đáp ứng điều kiện để sử dụng các điều khoản hợp đồng tiêu chuẩn đó. Theo nguyên tắc chung, trừ trường hợp bên kiểm soát đưa ra lựa chọn khác, bên xử lý sẽ xử lý dữ liệu cá nhân trong phạm vi Khu vực Kinh tế Châu Âu. Tuy nhiên, đối với bên kiểm soát ở bên ngoài Khu vực Kinh tế Châu Âu, bên xử lý có thể xử lý dữ liệu cá nhân ở các khu vực địa lý gần vị trí của bên kiểm soát hơn để tối ưu hóa hiệu suất và hiệu quả dịch vụ, với điều kiện thực hiện các biện pháp bảo vệ nêu trên.
Ngoài ra, nếu có hoạt động truyền dữ liệu cá nhân từ bên xử lý đến bên kiểm soát liên quan đến việc chuyển dữ liệu cá nhân theo định nghĩa của Chương V trong GDPR, bên xử lý và bên kiểm soát phải ký kết các điều khoản hợp đồng tiêu chuẩn (mô-đun 4) đính kèm là Phụ lục II.

Điều khoản 6

Hỗ trợ bên kiểm soát

Bên xử lý phải nhanh chóng thông báo cho bên kiểm soát về bất kỳ yêu cầu nào mà bên xử lý đã nhận được từ chủ thể dữ liệu. Họ không được tự đáp ứng yêu cầu, trừ phi được bên kiểm soát cho phép làm như vậy.
Bên xử lý sẽ chuyển tiếp tới bên kiểm soát mọi yêu cầu về việc thực hiện quyền của chủ thể dữ liệu mà họ nhận được, và bên kiểm soát sẽ là bên trả lời yêu cầu vì liên quan đến dữ liệu cá nhân mà bên kiểm soát là bên kiểm soát dữ liệu.
Ngoài nghĩa vụ của bên xử lý trong việc hỗ trợ bên kiểm soát theo Điều khoản 6(b), bên xử lý cũng phải hỗ trợ bên kiểm soát trong việc bảo đảm tuân thủ các nghĩa vụ dưới đây, xét đến tính chất của việc xử lý dữ liệu và thông tin mà bên xử lý có sẵn:
1. Nghĩa vụ thực hiện một đánh giá tác động của các hoạt động xử lý dự kiến đối với việc bảo vệ dữ liệu cá nhân ('đánh giá tác động đối với việc bảo vệ dữ liệu') khi một loại xử lý có khả năng gây rủi ro cao cho quyền và tự do của cá nhân.
2. nghĩa vụ tham khảo ý kiến của cơ quan giám sát có thẩm quyền trước khi xử lý nếu đánh giá tác động đối với việc bảo vệ dữ liệu cho thấy hoạt động xử lý sẽ dẫn đến rủi ro cao khi không có biện pháp do bên kiểm soát thực hiện để giảm thiểu rủi ro;
3. nghĩa vụ đảm bảo dữ liệu cá nhân luôn chính xác và cập nhật, bằng cách thông báo cho bên kiểm soát ngay lập tức nếu bên xử lý phát hiện dữ liệu cá nhân mà họ đang xử lý không chính xác hoặc đã lỗi thời;
4. các nghĩa vụ trong Điều 32 của GDPR.
Các Bên phải quy định cụ thể tại Phụ đính II về các biện pháp kỹ thuật và tổ chức phù hợp mà bên xử lý phải thực hiện để hỗ trợ bên kiểm soát trong việc áp dụng điều khoản này, cũng như phạm vi và mức độ của sự hỗ trợ cần thiết.

Điều khoản 7

Thông báo về sự cố vi phạm dữ liệu cá nhân

Trong trường hợp có sự cố vi phạm dữ liệu cá nhân, bên xử lý phải hợp tác và hỗ trợ bên kiểm soát để bên kiểm soát tuân thủ các nghĩa vụ của họ theo Điều 33 và 34 của GDPR, xét đến tính chất xử lý và thông tin mà bên xử lý có sẵn.
Trong trường hợp có sự cố vi phạm dữ liệu cá nhân mà bên xử lý thay mặt bên kiểm soát xử lý, bên xử lý phải thông báo cho bên kiểm soát ngay lập tức sau khi phát hiện sự cố đó. Thông báo đó ít nhất phải bao gồm:
1. nội dung mô tả về tính chất của sự cố vi phạm (bao gồm các loại và số lượng gần đúng về chủ thể dữ liệu và các hồ sơ dữ liệu liên quan, nếu có thể);
2. thông tin chi tiết về đầu mối liên hệ để có thể lấy thêm thông tin về sự cố vi phạm dữ liệu cá nhân;
3. những hậu quả có thể xảy ra và các biện pháp đã hoặc được đề xuất thực hiện để giải quyết sự cố vi phạm, bao gồm biện pháp giảm thiểu ảnh hưởng bất lợi tiềm ẩn.
Trong trường hợp và trong phạm vi mà không thể cung cấp mọi thông tin cùng lúc, thì thông tin sẵn có tại thời điểm đó phải được cung cấp trong thông báo ban đầu; thông tin bổ sung phải được cung cấp ngay lập tức sau khi thu thập được.

PHỤ ĐÍNH I: MÔ TẢ HOẠT ĐỘNG XỬ LÝ

Các loại chủ thể dữ liệu có dữ liệu cá nhân được xử lý
Các loại chủ thể dữ liệu này có dữ liệu trong các tệp mà bên kiểm soát tải lên khi sử dụng các dịch vụ do ILOVEPDF cung cấp (ví dụ: nhân viên, khách hàng, nhà cung ứng, v.v.).

Các loại dữ liệu cá nhân được xử lý
Các loại dữ liệu cá nhân trong các tệp mà bên kiểm soát tải lên khi sử dụng các dịch vụ do ILOVEPDF cung cấp.

Dữ liệu nhạy cảm được xử lý (nếu có) và các hạn chế hoặc biện pháp bảo vệ áp dụng mà xem xét đầy đủ tính chất của dữ liệu và các rủi ro liên quan, chẳng hạn như giới hạn mục đích nghiêm ngặt, hạn chế quyền truy cập (bao gồm quyền truy cập chỉ cho nhân viên đã qua đào tạo chuyên môn), lưu giữ hồ sơ truy cập vào dữ liệu, các hạn chế về việc chuyển tiếp hoặc các biện pháp bảo mật bổ sung.
Các loại dữ liệu cá nhân đặc biệt sẽ được xử lý trong trường hợp các tệp mà bên kiểm soát tải lên khi sử dụng các dịch vụ do ILOVEPDF cung cấp có chứa các loại dữ liệu cá nhân đặc biệt này.

Tính chất của việc xử lý
Bên xử lý sẽ thực hiện tất cả các hành động cần thiết để cung cấp các dịch vụ (ví dụ: chuyển đổi, chỉnh sửa và nén tài liệu có chứa dữ liệu cá nhân).

(Các) Mục đích xử lý dữ liệu cá nhân thay mặt cho bên kiểm soát
Để cung cấp các dịch vụ thay mặt cho ILOVEPDF.

Thời hạn của việc xử lý
Trong phạm vi thực sự cần thiết để cung cấp các dịch vụ.

Bên xử lý phụ và loại dịch vụ cung cấp

Trong khuôn khổ cung cấp dịch vụ của mình, ILOVEPDF sử dụng các nhà cung cấp dịch vụ bên thứ ba với vai trò là bên xử lý phụ cho dữ liệu cá nhân. Trong đó, ILOVEPDF sử dụng Cloudscale, Digital Ocean, Hetzner, OVHcloud, Vultr, làm nhà cung cấp dịch vụ lưu trữ web và giải pháp điện toán đám mây để cung cấp các dịch vụ cơ sở hạ tầng công nghệ nhằm đảm bảo việc xử lý an toàn, lưu trữ tạm thời dữ liệu và tính liên tục trong vận hành của nền tảng.

Các bên xử lý phụ hoạt động theo chỉ dẫn của ILOVEPDF, áp dụng các biện pháp kỹ thuật và tổ chức phù hợp để đảm bảo việc bảo vệ dữ liệu cá nhân theo Quy định (EU) 2016/679 (GDPR) và các quy định bảo vệ dữ liệu hiện hành khác.

Để biết thêm thông tin về các tiểu xử lý của ILOVEPDF bạn có thể truy cập bằng cách nhấp vào tại đây.

PHỤ ĐÍNH II: CÁC BIỆN PHÁP KỸ THUẬT VÀ TỔ CHỨC BAO GỒM CÁC BIỆN PHÁP KỸ THUẬT VÀ TỔ CHỨC ĐỂ ĐẢM BẢO AN TOÀN DỮ LIỆU

Bên xử lý phải áp dụng các biện pháp bảo mật kỹ thuật và tổ chức sau đây cho các hoạt động xử lý được thực hiện theo Thỏa thuận Xử lý này:

Các biện pháp kỹ thuật để phòng chống việc đánh chặn, sao chép, sửa đổi, lỗi định tuyến và phá hủy thông tin được chuyển.
Các quy trình kỹ thuật và chính sách nội bộ để phát hiện, bảo vệ và giảm thiểu ứng dụng độc hại (phần mềm độc hại) có thể được truyền qua phương tiện truyền thông điện tử.
Biện pháp bảo vệ kỹ thuật cho thông tin nhạy cảm khi được truyền ở dạng tệp đính kèm.
Chính sách nội bộ về việc sử dụng hợp lý tài nguyên thông tin liên lạc.
Các biện pháp tổ chức để đảm bảo trách nhiệm của tất cả người dùng (nhân viên và bên thứ ba) có quyền truy cập hợp lệ vào tài nguyên của bên xử lý liên quan đến thông tin của chính họ.
Sử dụng các kỹ thuật mã hóa để bảo vệ tính bí mật, tính toàn vẹn và tính xác thực của thông tin.
Các hướng dẫn của tổ chức về việc lưu trữ và hủy bỏ tất cả thư từ giao dịch kinh doanh, bao gồm cả tin nhắn, theo đúng quy định và luật pháp hiện hành của địa phương và quốc gia.
Thường xuyên phổ biến thông tin và thiết lập các chính sách nội bộ cho nhân viên về việc không tiết lộ thông tin bí mật, bao gồm các mục đích như: không để lại tin nhắn chứa thông tin nhạy cảm trên máy trả lời điện thoại tự động, không trao đổi về thông tin bí mật tại nơi công cộng, không sử dụng các kênh liên lạc thiếu an toàn, không trao đổi về thông tin bí mật tại văn phòng mở, v.v.

Ngày cập nhật phiên bản: Thứ năm, ngày 19 tháng hai năm 2026