PHỤ LỤC II: Các điều khoản hợp đồng tiêu chuẩn theo phê chuẩn của Ủy ban châu Âu (Mô-đun 4)

PHẦN I

Điều khoản 1

Mục đích và phạm vi

1. Mục đích của các điều khoản hợp đồng tiêu chuẩn này là đảm bảo tuân thủ yêu cầu của Quy định (EU) 2016/679 của Quốc hội Châu Âu và Hội đồng Châu Âu ngày 27 tháng 4 năm 2016 về việc bảo vệ thể nhân liên quan đến hoạt động xử lý dữ liệu cá nhân và luân chuyển tự do dữ liệu cá nhân (Quy định chung về Bảo vệ dữ liệu) khi chuyển dữ liệu cá nhân đến quốc gia thứ ba.
2. Các Bên:
   • thể nhân hoặc pháp nhân, cơ quan công quyền, cơ quan hoặc tổ chức khác (sau đây gọi là "đơn vị") chuyển dữ liệu cá nhân, như được liệt kê trong Phụ đính I.A (sau đây gọi mỗi đơn vị là "bên xuất dữ liệu"), và
   • đơn vị ở quốc gia thứ ba nhận dữ liệu cá nhân từ bên xuất dữ liệu, dù trực tiếp hay gián tiếp thông qua đơn vị khác cũng là một Bên trong các Điều khoản này, như được liệt kê trong Phụ đính I.A. (mỗi đơn vị sau đây được gọi là "bên nhập dữ liệu"), đã đồng ý với các điều khoản hợp đồng tiêu chuẩn (sau đây gọi là: "Điều khoản").
3. Các Điều khoản này áp dụng đối với việc chuyển dữ liệu cá nhân theo quy định trong Phụ đính I.B.
4. Phụ lục của các Điều khoản này, bao gồm các Phụ đính được dẫn chiếu trong đó, là bộ phận không thể tách rời của các Điều khoản này.

Điều khoản 2

Hiệu lực và tính bất biến của các Điều khoản

1. Các Điều khoản này đưa ra những biện pháp bảo vệ thích hợp, bao gồm các quyền có thể thực thi của chủ thể dữ liệu và các biện pháp khắc phục pháp lý hiệu quả theo Điều 46(1) và Điều 46(2)(c) của Quy định (EU) 2016/679 và liên quan đến việc chuyển dữ liệu từ bên kiểm soát đến bên xử lý và/hoặc giữa các bên xử lý, các điều khoản hợp đồng tiêu chuẩn theo Điều 28(7) của Quy định (EU) 2016/679, với điều kiện không bị sửa đổi, ngoại trừ việc chọn (các) Mô-đun phù hợp hoặc thêm hay cập nhật thông tin trong Phụ lục. Điều này không ngăn cản các Bên đưa các điều khoản hợp đồng tiêu chuẩn đề ra trong các Điều khoản này vào hợp đồng rộng hơn và/hoặc thêm các điều khoản khác hoặc các biện pháp bảo vệ bổ sung, miễn là không mâu thuẫn, dù trực tiếp hay gián tiếp, với các Điều khoản này hoặc xâm phạm đến các quyền cơ bản hoặc quyền tự do của chủ thể dữ liệu.
2. Các Điều khoản này không ảnh hưởng đến những nghĩa vụ mà bên xuất dữ liệu phải tuân thủ theo Quy định (EU) 2016/679.

Điều khoản 3

Bên thụ hưởng thứ ba

1. Với tư cách là bên thụ hưởng thứ ba, chủ thể dữ liệu có quyền viện dẫn và thực thi các Điều khoản này đối với bên xuất dữ liệu và/hoặc bên nhập dữ liệu, ngoại trừ những trường hợp sau:
   • Điều khoản 1, 2, 3, 6 và 7.
   • Điều khoản 8: điều khoản 8.1, điểm b) và điều khoản 8.3, điểm b).
   • Điều khoản 13.
2. Điểm (a) không xâm phạm các quyền của chủ thể dữ liệu theo Quy định (EU) 2016/679.

Điều khoản 4

Giải thích

1. Khi các Điều khoản này sử dụng thuật ngữ được định nghĩa trong Quy định (EU) 2016/679, những thuật ngữ đó phải có ý nghĩa tương tự như trong Quy định đó.
2. Các Điều khoản này phải được đọc và giải thích trên cơ sở các điều khoản của Quy định (EU) 2016/679.
3. Không được giải thích các Điều khoản này theo hướng mâu thuẫn với các quyền và nghĩa vụ được quy định trong Quy định (EU) 2016/679.

Điều khoản 5

Thứ tự áp dụng ưu tiên

Trong trường hợp có mâu thuẫn giữa các Điều khoản này và các điều khoản trong thỏa thuận liên quan giữa các Bên, hiện tại hoặc được ký kết sau khi đồng ý các Điều khoản này, thì các Điều khoản này được ưu tiên áp dụng.

Điều khoản 6

Mô tả (các) hoạt động chuyển dữ liệu

Thông tin về (các) hoạt động chuyển và cụ thể là các loại dữ liệu cá nhân được chuyển cùng với (các) mục đích chuyển được mô tả trong Phụ đính I.B.

Điều khoản 7

Điều khoản gia nhập

1. Khi có sự đồng ý của các Bên, đơn vị không phải là một Bên trong các Điều khoản này có thể gia nhập vào các Điều khoản này bất cứ lúc nào, với tư cách là bên xuất dữ liệu hoặc bên nhập dữ liệu, bằng cách hoàn thành Phụ lục và ký Phụ đính I.A.
2. Sau khi hoàn thành và ký Phụ đính I.A, đơn vị gia nhập sẽ trở thành một Bên trong các Điều khoản này, có đầy đủ quyền và nghĩa vụ của bên xuất dữ liệu hoặc bên nhập dữ liệu theo chỉ định trong Phụ đính I.A.
3. Đơn vị gia nhập sẽ không có quyền hoặc nghĩa vụ phát sinh theo các Điều khoản này từ khoảng thời gian trước khi trở thành Bên tham gia.

PHẦN II: NGHĨA VỤ CỦA CÁC BÊN

Điều khoản 8

Biện pháp bảo vệ dữ liệu

Bên xuất dữ liệu cam đoan đã nỗ lực hết mức trong phạm vi hợp lý để đảm bảo rằng bên nhập dữ liệu đủ khả năng thực hiện nghĩa vụ của họ theo các Điều khoản này thông qua việc triển khai các biện pháp kỹ thuật và tổ chức phù hợp.

8.1. Chỉ dẫn.

1. Bên xuất dữ liệu chỉ được xử lý dữ liệu cá nhân theo các văn bản chỉ dẫn từ bên nhập dữ liệu đóng vai trò là bên kiểm soát dữ liệu của họ.
2. Bên xuất dữ liệu phải thông báo ngay cho bên nhập dữ liệu nếu không thể tuân theo các chỉ dẫn đó, bao gồm cả khi các chỉ dẫn đó vi phạm Quy định (EU) 2016/679 hoặc luật bảo vệ dữ liệu khác của Liên minh hoặc Quốc gia thành viên.
3. Bên nhập dữ liệu không được thực hiện bất kỳ hành động nào để ngăn cản bên xuất dữ liệu thực hiện nghĩa vụ của họ theo Quy định (EU) 2016/679, kể cả trong khuôn khổ hoạt động xử lý phụ hoặc liên quan đến việc hợp tác với các cơ quan giám sát có thẩm quyền.
4. Sau khi kết thúc việc cung cấp dịch vụ xử lý và theo quyết định của bên nhập dữ liệu, bên xuất dữ liệu phải xóa tất cả dữ liệu cá nhân mà họ đã thay mặt bên nhập dữ liệu xử lý và xác nhận với bên nhập dữ liệu rằng họ đã làm như vậy, hoặc trả lại tất cả dữ liệu cá nhân đã thay mặt xử lý cho bên nhập dữ liệu đồng thời xóa các bản sao hiện có.

8.2. Tính bảo mật của việc xử lý.

1. Các Bên phải triển khai biện pháp kỹ thuật và tổ chức phù hợp để đảm bảo an toàn cho dữ liệu, kể cả trong quá trình truyền tải, và phòng ngừa sự cố bảo mật dẫn đến việc dữ liệu bị tiêu hủy, mất mát, thay đổi, truy cập hoặc tiết lộ trái phép do vô ý hoặc phi pháp (sau đây gọi là "sự cố vi phạm dữ liệu cá nhân"). Khi đánh giá mức độ bảo mật phù hợp, họ phải xem xét thỏa đáng trình độ công nghệ hiện tại, chi phí triển khai, tính chất của dữ liệu cá nhân, cũng như tính chất, phạm vi, bối cảnh và (các) mục đích xử lý cùng những rủi ro phát sinh từ việc xử lý đối với chủ thể dữ liệu và đặc biệt cân nhắc việc áp dụng biện pháp mã hóa hoặc bí danh hóa, kể cả trong quá trình truyền tải, nếu cách đó vẫn đảm bảo đáp ứng được mục đích xử lý.
2. Bên xuất dữ liệu phải hỗ trợ bên nhập dữ liệu trong việc đảm bảo an toàn dữ liệu ở mức thích hợp theo điểm (a). Trong trường hợp có sự cố vi phạm dữ liệu cá nhân liên quan đến dữ liệu cá nhân mà bên xuất dữ liệu xử lý theo các Điều khoản này, bên xuất dữ liệu phải thông báo cho bên nhập dữ liệu ngay lập tức sau khi phát hiện và hỗ trợ bên nhập dữ liệu trong việc giải quyết sự cố vi phạm.
3. Bên xuất dữ liệu phải đảm bảo rằng những người được ủy quyền xử lý dữ liệu cá nhân đã cam kết bảo mật hoặc chịu sự ràng buộc của nghĩa vụ bảo mật theo luật định phù hợp.

8.3. Tài liệu và sự tuân thủ.

1. Các Bên phải có khả năng chứng minh sự tuân thủ các điều khoản này.
2. Bên xuất dữ liệu phải cung cấp đầy đủ thông tin cần thiết cho bên nhập dữ liệu để chứng minh sự tuân thủ nghĩa vụ theo các Điều khoản này, đồng thời tạo điều kiện và hỗ trợ thực hiện hoạt động kiểm tra.

Điều khoản 9

Quyền của chủ thể dữ liệu

Các Bên phải hỗ trợ lẫn nhau trong việc phản hồi thắc mắc và yêu cầu từ chủ thể dữ liệu theo luật địa phương áp dụng cho bên nhập dữ liệu hoặc, đối với hoạt động xử lý dữ liệu của bên xuất dữ liệu trong EU, theo Quy định (EU) 2016/679.

Điều khoản 10

Khắc phục

Bên nhập dữ liệu phải thông báo cho chủ thể dữ liệu theo phương thức rõ ràng và dễ tiếp cận, thông qua thông báo riêng hoặc trên trang mạng của họ, về đầu mối liên hệ được ủy quyền xử lý khiếu nại. Họ sẽ xử lý kịp thời mọi khiếu nại nhận được từ chủ thể dữ liệu.

Điều khoản 11

Trách nhiệm pháp lý

1. Các Bên phải chịu trách nhiệm với nhau về mọi thiệt hại mà họ gây ra cho đối phương do vi phạm các Điều khoản này.
2. Mỗi Bên phải chịu trách nhiệm với chủ thể dữ liệu, và chủ thể dữ liệu có quyền nhận bồi thường, cho bất kỳ thiệt hại vật chất hoặc phi vật chất mà Bên đó gây ra cho chủ thể dữ liệu do vi phạm quyền của bên thứ ba thụ hưởng theo các Điều khoản này. Điều này không ảnh hưởng đến trách nhiệm pháp định của bên xuất dữ liệu theo Quy định (EU) 2016/679.
3. Khi có nhiều Bên chịu trách nhiệm bồi thường cho mọi thiệt hại gây ra cho chủ thể dữ liệu do vi phạm các Điều khoản này, tất cả các Bên liên quan phải chịu trách nhiệm liên đới và riêng rẽ.
4. Các Bên đồng ý rằng nếu một Bên bị tuyên bố chịu trách nhiệm theo điểm (d), Bên đó sẽ có quyền truy đòi từ (các) Bên còn lại phần tiền bồi thường tương ứng với mức độ trách nhiệm của (các) Bên đó đối với thiệt hại đã gây ra.
5. Bên nhập dữ liệu không được viện dẫn hành vi của bên xử lý hoặc bên xử lý phụ để trốn tránh trách nhiệm pháp lý của chính họ.

PHẦN III: LUẬT ĐỊA PHƯƠNG VÀ NGHĨA VỤ TRONG TRƯỜNG HỢP CƠ QUAN CÔNG QUYỀN TRUY CẬP DỮ LIỆU

Điều khoản 12

Luật và thực tiễn địa phương ảnh hưởng đến việc tuân thủ các Điều khoản

1. Các Bên cam đoan họ không có căn cứ để cho rằng luật và thực tiễn tại quốc gia đích thứ ba áp dụng cho việc xử lý dữ liệu cá nhân của bên nhập dữ liệu, bao gồm mọi yêu cầu tiết lộ dữ liệu cá nhân hoặc các biện pháp cho phép cơ quan công quyền truy cập, cản trở bên nhập dữ liệu thực hiện các nghĩa vụ của họ theo các Điều khoản này. Điều này dựa trên hiểu biết rằng luật và thực tiễn mà tôn trọng tính chất của các quyền cơ bản và quyền tự do cũng như là không vượt quá mức cần thiết và tương xứng trong một xã hội dân chủ để bảo vệ một trong các mục tiêu được liệt kê ở Điều 23(1) của Quy định (EU) 2016/679, sẽ không mâu thuẫn với các Điều khoản này.
2. Các Bên khẳng định rằng để cung cấp sự bảo đảm ở điểm (a), họ đã đặc biệt xem xét các yếu tố sau:
   • các điều kiện cụ thể của việc chuyển dữ liệu, bao gồm độ dài của chuỗi xử lý, số lượng bên tham gia và các kênh truyền tải được sử dụng; các lần chuyển tiếp dự kiến; loại bên nhận; mục đích xử lý; các loại và định dạng của dữ liệu cá nhân được chuyển; lĩnh vực kinh tế trong đó diễn ra việc chuyển dữ liệu; vị trí lưu trữ của dữ liệu được chuyển;
   • các luật và thực tiễn của quốc gia đích thứ ba – bao gồm các quy định yêu cầu tiết lộ dữ liệu cho cơ quan công quyền hoặc cho phép các cơ quan này truy cập – có liên quan trong các điều kiện cụ thể của việc chuyển dữ liệu, cũng như các giới hạn và biện pháp bảo vệ áp dụng;
   • có sẵn mọi biện pháp bảo vệ kỹ thuật, tổ chức hoặc theo hợp đồng liên quan để bổ sung cho các biện pháp bảo vệ theo các Điều khoản này, bao gồm các biện pháp được áp dụng trong quá trình truyền và xử lý dữ liệu cá nhân ở quốc gia đích.
3. Bên nhập dữ liệu cam kết rằng, khi thực hiện đánh giá theo điểm (b), họ đã nỗ lực tối đa để cung cấp cho bên xuất dữ liệu thông tin liên quan và đồng ý rằng họ sẽ tiếp tục hợp tác với bên xuất dữ liệu để đảm bảo tuân thủ các Điều khoản này.
4. Các Bên đồng ý lập nội dung đánh giá thành văn bản theo điểm (b) và cung cấp cho cơ quan giám sát có thẩm quyền khi có yêu cầu.
5. Bên nhập dữ liệu đồng ý thông báo kịp thời cho bên xuất dữ liệu nếu, sau khi đồng ý với các Điều khoản này và trong thời hạn hợp đồng, họ có cơ sở để cho rằng hoặc đã trở thành đối tượng chịu sự điều chỉnh của luật hoặc thực tiễn không phù hợp với các yêu cầu ở điểm (a), bao gồm sau khi có thay đổi trong luật của quốc gia thứ ba hoặc một biện pháp (ví dụ: yêu cầu tiết lộ) cho thấy việc áp dụng các luật đó trong thực tiễn không phù hợp với các yêu cầu ở điểm (a).
6. Sau khi thông báo theo điểm (e), hoặc nếu bên xuất dữ liệu có lý do để cho rằng bên nhập dữ liệu không thể hoàn thành nghĩa vụ của họ theo các Điều khoản này nữa, bên xuất dữ liệu phải xác định kịp thời các biện pháp thích hợp (ví dụ: biện pháp kỹ thuật hoặc tổ chức để đảm bảo an toàn và bảo mật) cho bên xuất dữ liệu và/hoặc bên nhập dữ liệu áp dụng để giải quyết tình huống. Bên xuất dữ liệu phải tạm dừng chuyển dữ liệu nếu họ cho rằng không thể đảm bảo các biện pháp bảo vệ thích hợp cho việc chuyển dữ liệu đó, hoặc nếu có chỉ dẫn thực hiện như vậy từ cơ quan giám sát có thẩm quyền. Trong trường hợp này, bên xuất dữ liệu sẽ có quyền chấm dứt hợp đồng, trong phạm vi liên quan đến việc xử lý dữ liệu cá nhân theo các Điều khoản này. Nếu hợp đồng có sự tham gia của nhiều hơn hai Bên, thì bên xuất dữ liệu chỉ có thể thực hiện quyền này để chấm dứt đối với Bên liên quan, trừ phi các Bên có thỏa thuận khác. Khi hợp đồng bị chấm dứt theo Điều khoản này, Điều khoản 16(d) và (e) sẽ được áp dụng.

Điều khoản 13

Nghĩa vụ của bên nhập dữ liệu trong trường hợp cơ quan công quyền truy cập dữ liệu

13.1. Thông báo.

1. Bên nhập dữ liệu đồng ý thông báo kịp thời cho bên xuất dữ liệu và chủ thể dữ liệu, khi có thể (với sự giúp đỡ của bên xuất dữ liệu nếu cần thiết), trong trường hợp bên nhập dữ liệu:
   • nhận được yêu cầu có giá trị ràng buộc về mặt pháp lý từ cơ quan công quyền, bao gồm các cơ quan tư pháp, theo luật pháp của quốc gia đích, yêu cầu tiết lộ dữ liệu cá nhân được chuyển theo các Điều khoản này; thông báo phải bao gồm thông tin về dữ liệu cá nhân được yêu cầu, cơ quan yêu cầu, căn cứ pháp lý của yêu cầu và phản hồi đã đưa ra; hoặc
   • nhận biết được bất kỳ hoạt động truy cập trực tiếp nào của cơ quan công quyền vào dữ liệu cá nhân được chuyển theo các Điều khoản này theo luật của quốc gia đích; thông báo phải bao gồm tất cả thông tin có sẵn cho bên nhập dữ liệu.
2. Nếu bên nhập dữ liệu bị cấm thông báo cho bên xuất dữ liệu và/hoặc chủ thể dữ liệu theo luật pháp của quốc gia đích, bên nhập dữ liệu đồng ý nỗ lực tối đa để xin miễn trừ lệnh cấm, nhằm mục đích cung cấp càng nhiều thông tin càng tốt và trong thời gian sớm nhất có thể. Bên nhập dữ liệu đồng ý lập văn bản mọi nỗ lực của họ để có thể chứng minh theo yêu cầu của bên xuất dữ liệu.
3. Trong trường hợp luật pháp của quốc gia đích cho phép, bên nhập dữ liệu đồng ý cung cấp tối đa các thông tin liên quan trong khả năng cho phép về các yêu cầu nhận được (cụ thể: số lượng yêu cầu, loại dữ liệu được yêu cầu, cơ quan yêu cầu, yêu cầu có bị chất vấn không và kết quả chất vấn, v.v.) cho bên xuất dữ liệu, theo các khoảng thời gian đều đặn trong thời hạn hợp đồng.
4. Bên nhập dữ liệu đồng ý giữ lại thông tin theo các điểm (a) đến (c) trong thời hạn hợp đồng và cung cấp cho cơ quan giám sát có thẩm quyền khi có yêu cầu.
5. Các điểm (a) đến (c) không ảnh hưởng đến nghĩa vụ của bên nhập dữ liệu theo Điều khoản 14(e) và Điều khoản 16 trong việc thông báo ngay cho bên xuất dữ liệu nếu không thể tuân thủ các Điều khoản này.

13.2. Xem xét tính hợp pháp và tối thiểu hóa dữ liệu.

1. Bên nhập dữ liệu đồng ý xem xét tính hợp pháp của yêu cầu tiết lộ, cụ thể là yêu cầu đó có nằm trong phạm vi quyền hạn được cấp cho cơ quan công quyền đang yêu cầu không, và chất vấn yêu cầu nếu, sau khi đánh giá cẩn thận, họ kết luận rằng có cơ sở hợp lý để coi đó là yêu cầu phi pháp theo luật pháp của quốc gia đích, bao gồm các nghĩa vụ áp dụng theo luật quốc tế và các nguyên tắc hữu hảo quốc tế. Bên nhập dữ liệu phải thực hiện các khả năng kháng cáo trong các điều kiện tương tự. Khi chất vấn một yêu cầu, bên nhập dữ liệu phải tìm kiếm các biện pháp lâm thời để tạm dừng hiệu lực của yêu cầu cho đến khi cơ quan tư pháp có thẩm quyền quyết định về tính hợp lệ của yêu cầu đó. Họ không được tiết lộ dữ liệu cá nhân theo yêu cầu cho đến khi buộc phải làm như vậy theo các quy tắc tố tụng áp dụng. Các yêu cầu này không ảnh hưởng đến những nghĩa vụ của bên nhập dữ liệu theo Điều khoản 14(e).
2. Bên nhập dữ liệu đồng ý lập nội dung đánh giá pháp lý và chất vấn yêu cầu tiết lộ thành văn bản, đồng thời cung cấp các văn bản đó cho bên xuất dữ liệu trong phạm vi luật pháp của quốc gia đích cho phép. Họ cũng phải cung cấp cho cơ quan giám sát có thẩm quyền khi có yêu cầu.
3. Bên nhập dữ liệu đồng ý cung cấp lượng thông tin tối thiểu cho phép khi đáp ứng yêu cầu tiết lộ, dựa trên sự giải thích hợp lý về yêu cầu.

PHẦN IV: CÁC ĐIỀU KHOẢN CUỐI CÙNG

Điều khoản 14

Việc không tuân thủ các Điều khoản và chấm dứt

1. Bên nhập dữ liệu phải thông báo ngay cho bên xuất dữ liệu nếu không thể tuân thủ các Điều khoản này, bất kể lý do.
2. Trong trường hợp bên nhập dữ liệu vi phạm hoặc không thể tuân thủ các Điều khoản này, bên xuất dữ liệu phải tạm dừng chuyển dữ liệu cá nhân đến bên nhập dữ liệu cho tới khi tiếp tục đảm bảo được việc tuân thủ hoặc hợp đồng bị chấm dứt. Điều này không ảnh hưởng đến Điều khoản 14(f).
3. Bên xuất dữ liệu sẽ có quyền chấm dứt hợp đồng, trong phạm vi liên quan đến việc xử lý dữ liệu cá nhân theo các Điều khoản này, khi:
   • bên xuất dữ liệu đã tạm dừng việc chuyển dữ liệu cá nhân đến bên nhập dữ liệu theo điểm (b) và việc tuân thủ các Điều khoản này không được khôi phục trong thời gian hợp lý và trong vòng một tháng kể từ khi tạm dừng đối với mọi trường hợp;
   • bên nhập dữ liệu vi phạm nghiêm trọng hoặc liên tục các Điều khoản này; hoặc
   • bên nhập dữ liệu không tuân thủ một quyết định có giá trị ràng buộc của tòa án hoặc cơ quan giám sát có thẩm quyền liên quan đến nghĩa vụ của họ theo các Điều khoản này.

   Trong các trường hợp này, họ phải thông báo cho cơ quan giám sát có thẩm quyền về việc không tuân thủ đó. Khi hợp đồng có sự tham gia của nhiều hơn hai Bên, bên xuất dữ liệu có thể thực hiện quyền này để chỉ chấm dứt đối với Bên liên quan, trừ phi các Bên có thỏa thuận khác.

4. Dữ liệu cá nhân mà bên xuất dữ liệu thu thập tại EU và được chuyển trước khi hợp đồng chấm dứt theo điểm (c) phải được xóa hoàn toàn ngay lập tức, kể cả mọi bản sao từ đó.] Bên nhập dữ liệu phải xác nhận việc xóa dữ liệu với bên xuất dữ liệu. Cho đến thời điểm dữ liệu được xóa hoặc trả lại, bên nhập dữ liệu phải tiếp tục đảm bảo tuân thủ các Điều khoản này. Trong trường hợp luật địa phương áp dụng cho bên nhập dữ liệu cấm trả lại hoặc xoá dữ liệu cá nhân đã chuyển, bên nhập dữ liệu cam kết sẽ tiếp tục đảm bảo tuân thủ các Điều khoản này và chỉ xử lý dữ liệu trong phạm vi và thời gian theo quy định của luật địa phương đó.
5. Các Bên có thể rút lại sự đồng ý với giá trị ràng buộc của các Điều khoản này nếu (i) Ủy ban Châu Âu thông qua một quyết định theo Điều 45(3) của Quy định (EU) 2016/679 về việc chuyển dữ liệu cá nhân mà các Điều khoản này áp dụng; hoặc (ii) Quy định (EU) 2016/679 trở thành một phần của khung pháp lý ở quốc gia nơi dữ liệu cá nhân được chuyển đến. Điều này không ảnh hưởng đến các nghĩa vụ khác áp dụng cho việc xử lý đang được đề cập theo Quy định (EU) 2016/679.

Điều khoản 15

Luật điều chỉnh

Các Điều khoản này sẽ được điều chỉnh theo luật pháp của quốc gia cho phép các quyền của bên thứ ba thụ hưởng. Các bên đồng ý rằng luật điều chỉnh là luật pháp của Tây Ban Nha.

Điều khoản 16

Lựa chọn tòa án xét xử và quyền tài phán

Mọi tranh chấp phát sinh từ các Điều khoản này sẽ được giải quyết tại tòa án của Tây Ban Nha.

PHỤ ĐÍNH I

DANH SÁCH CÁC BÊN THAM GIA

Bên xuất dữ liệu:

• Tên: ILOVEPDF, S.L.
• Địa chỉ: Calle Sabino de Arana, 60, 08028 Barcelona
• Tên, chức vụ và thông tin liên hệ của người liên hệ: Juan Oriol, Giám đốc Pháp lý (legal@ilovepdf.com).
• Các hoạt động liên quan đến dữ liệu được chuyển theo các Điều khoản này: cung cấp dịch vụ cho bên nhập dữ liệu cá nhân, trong phạm vi hoạt động cung cấp dịch vụ này đòi hỏi việc chuyển dữ liệu cá nhân ra nước ngoài, từ ILOVEPDF (bên xuất dữ liệu) đến khách hàng (bên nhập dữ liệu).
• Vai trò: bên xử lý dữ liệu.

Bên nhập dữ liệu: [Danh tính và thông tin liên hệ của (các) bên nhập dữ liệu, bao gồm người liên hệ phụ trách bảo vệ dữ liệu]

• Tên: [...] (nếu không điền, mặc định là tên của Khách hàng).
• Địa chỉ: [...] (nếu không điền, mặc định là địa chỉ của Khách hàng).
• Tên, chức vụ và thông tin liên hệ của người liên hệ: [...] (nếu không điền, mặc định là tên, chức vụ và thông tin liên hệ của người đại diện cho Khách hàng trong việc ký kết hoặc đưa dịch vụ vào khai thác).
• Các hoạt động liên quan đến dữ liệu được chuyển theo các Điều khoản này: cung cấp dịch vụ của bên xuất dữ liệu cá nhân, trong phạm vi hoạt động cung cấp dịch vụ này đòi hỏi việc chuyển dữ liệu cá nhân ra nước ngoài, từ ILOVEPDF (bên xuất dữ liệu) đến khách hàng (bên nhập dữ liệu).
• Chữ ký và ngày: [...] (nếu không điền, mặc định là ngày Khách hàng đưa dịch vụ vào khai thác lần đầu).
• Vai trò: bên kiểm soát dữ liệu.

MÔ TẢ VỀ VIỆC CHUYỂN DỮ LIỆU

Các loại chủ thể dữ liệu có dữ liệu cá nhân được chuyển

Các loại chủ thể dữ liệu có dữ liệu nằm trong các tệp mà bên nhập tải lên khi sử dụng các dịch vụ do ILOVEPDF cung cấp (ví dụ: nhân viên, khách hàng, nhà cung ứng, v.v.).

Các loại dữ liệu cá nhân được chuyển
Các loại dữ liệu cá nhân nằm trong các tệp mà bên nhập tải lên khi sử dụng các dịch vụ do ILOVEPDF cung cấp.

Dữ liệu nhạy cảm được chuyển (nếu có) cùng các hạn chế hoặc biện pháp bảo vệ được áp dụng nhằm xem xét đầy đủ tính chất của dữ liệu và các rủi ro liên quan, chẳng hạn như giới hạn nghiêm ngặt về mục đích sử dụng, hạn chế quyền truy cập (kể cả quyền truy cập chỉ dành cho nhân viên đã qua đào tạo chuyên môn), lưu giữ hồ sơ truy cập vào dữ liệu, hạn chế chuyển tiếp hoặc các biện pháp bảo mật bổ sung.

Các loại dữ liệu đặc biệt sẽ được xử lý trong phạm vi các tệp mà bên nhập tải lên khi sử dụng các dịch vụ do ILOVEPDF cung cấp chứa các loại dữ liệu cá nhân đặc biệt đó.

Tần suất chuyển (ví dụ: chuyển dữ liệu một lần hay liên tục)
Khi việc sử dụng dịch vụ do ILOVEPDF cung cấp đòi hỏi hoạt động chuyển dữ liệu ra nước ngoài, từ ILOVEPDF đến bên nhập dữ liệu.

Tính chất của việc xử lý
Truyền dữ liệu cá nhân tới bên nhập trong phạm vi cần thiết để ILOVEPDF cung cấp dịch vụ của mình.

Mục đích của việc chuyển dữ liệu và xử lý tiếp theo
Cung cấp dịch vụ thay mặt cho ILOVEPDF.

Khoảng thời gian sẽ lưu giữ dữ liệu cá nhân, hoặc, nếu không thể, tiêu chí dùng để xác định khoảng thời gian đó
Trong phạm vi thực sự cần thiết để cung cấp các dịch vụ và, sau đó, trong phạm vi yêu cầu của luật pháp áp dụng và cần thiết để thực hiện quyền khiếu nại hoặc bào chữa đối với các yêu cầu bồi thường liên quan đến hoạt động xử lý dữ liệu cá nhân.

Ngày cập nhật phiên bản: Thứ Năm, 19 tháng 2, 2026