Hợp đồng xử lý dữ liệu (AVV)

Các điều khoản hợp đồng mẫu

Văn bản chính thức theo EUR-Lex (CELEX 32021D0915), Phụ lục của Quyết định. Các phương án được lựa chọn được đánh dấu bằng [Lựa chọn: …], các phương án không được lựa chọn đã bị gạch bỏ; phần còn lại của văn bản không thay đổi.

Phần II: Nghĩa vụ của các bên

Điều 6: Mô tả hoạt động xử lý

Các chi tiết về các hoạt động xử lý, đặc biệt là các loại dữ liệu cá nhân và các mục đích mà dữ liệu cá nhân được xử lý theo ủy quyền của Bên chịu trách nhiệm, được nêu tại Phụ lục II.

Điều khoản 7: Nghĩa vụ của các bên

7.1. Hướng dẫn

a) Bên xử lý dữ liệu chỉ xử lý dữ liệu cá nhân theo hướng dẫn được lập thành văn bản của Bên chịu trách nhiệm, trừ khi bên này có nghĩa vụ xử lý theo luật của Liên minh Châu Âu hoặc theo luật của một quốc gia thành viên mà bên này phải tuân thủ. Trong trường hợp đó, Bên xử lý dữ liệu phải thông báo cho Bên chịu trách nhiệm về các yêu cầu pháp lý này trước khi tiến hành xử lý, trừ khi pháp luật liên quan cấm việc này vì lý do lợi ích công cộng quan trọng. Bên chịu trách nhiệm có thể ban hành các chỉ thị bổ sung trong suốt thời gian xử lý dữ liệu cá nhân. Các chỉ thị này phải luôn được lập thành văn bản.

b) Bên xử lý dữ liệu phải thông báo ngay lập tức cho Bên chịu trách nhiệm nếu họ cho rằng các chỉ thị do Bên chịu trách nhiệm ban hành vi phạm Quy định (EU) 2016/679, Nghị định (EU) 2018/1725 hoặc các quy định hiện hành về bảo vệ dữ liệu của Liên minh Châu Âu hoặc các quốc gia thành viên.

7.2. Mục đích xử lý

Bên xử lý dữ liệu chỉ xử lý dữ liệu cá nhân cho (các) mục đích cụ thể được nêu tại Phụ lục II, trừ khi nhận được chỉ thị khác từ Bên chịu trách nhiệm.

7.3. Thời hạn xử lý dữ liệu cá nhân

Dữ liệu sẽ chỉ được Bên xử lý dữ liệu xử lý trong thời hạn được nêu tại Phụ lục II.

7.4. An ninh trong quá trình xử lý

a) Bên xử lý dữ liệu phải thực hiện ít nhất các biện pháp kỹ thuật và tổ chức được liệt kê tại Phụ lục III nhằm đảm bảo an ninh cho dữ liệu cá nhân. Điều này bao gồm việc bảo vệ dữ liệu khỏi các vi phạm an ninh, dù là vô ý hay trái pháp luật, dẫn đến việc hủy hoại, mất mát, thay đổi hoặc tiết lộ trái phép dữ liệu, hoặc việc truy cập trái phép vào dữ liệu (sau đây gọi là “vi phạm bảo vệ dữ liệu cá nhân”). Khi đánh giá mức độ bảo vệ thích hợp, các bên phải xem xét một cách thỏa đáng trình độ kỹ thuật hiện tại, chi phí triển khai, loại hình, phạm vi, hoàn cảnh và mục đích của việc xử lý, cũng như các rủi ro liên quan đến các chủ thể dữ liệu.

b) Bên xử lý dữ liệu chỉ cấp quyền truy cập cho nhân viên của mình vào dữ liệu cá nhân là đối tượng của hoạt động xử lý trong phạm vi tối thiểu cần thiết để thực hiện, quản lý và giám sát Hợp đồng. Bên xử lý dữ liệu phải đảm bảo rằng những người được ủy quyền xử lý dữ liệu cá nhân đã nhận phải cam kết bảo mật hoặc tuân thủ nghĩa vụ bảo mật theo quy định của pháp luật.

7.5. Dữ liệu nhạy cảm

Trong trường hợp việc xử lý liên quan đến dữ liệu cá nhân cho thấy nguồn gốc chủng tộc hoặc dân tộc, quan điểm chính trị, tín ngưỡng tôn giáo hoặc thế giới quan, hoặc tư cách thành viên công đoàn, hoặc chứa dữ liệu di truyền hoặc dữ liệu sinh trắc học nhằm mục đích xác định danh tính một cách rõ ràng của một cá nhân, dữ liệu về sức khỏe, đời sống tình dục hoặc khuynh hướng tình dục của một cá nhân, hoặc dữ liệu về các bản án hình sự và hành vi phạm tội (sau đây gọi là “dữ liệu nhạy cảm”), thì Bên xử lý dữ liệu sẽ áp dụng các hạn chế đặc biệt và/hoặc các biện pháp bảo đảm bổ sung.

7.6. Lưu trữ hồ sơ và việc tuân thủ các điều khoản

a) Các bên phải có khả năng chứng minh việc tuân thủ các điều khoản này.

b) Bên xử lý dữ liệu phải xử lý các yêu cầu của Bên chịu trách nhiệm liên quan đến việc xử lý dữ liệu theo các điều khoản này một cách kịp thời và phù hợp.

c) Bên xử lý dữ liệu phải cung cấp cho Bên chịu trách nhiệm toàn bộ thông tin cần thiết để chứng minh việc tuân thủ các nghĩa vụ được quy định trong các điều khoản này và phát sinh trực tiếp từ Quy định (EU) 2016/679 và/hoặc Quy định (EU) 2018/1725. Theo yêu cầu của Bên chịu trách nhiệm, Bên xử lý dữ liệu cũng phải cho phép kiểm tra các hoạt động xử lý thuộc phạm vi điều chỉnh của các điều khoản này theo các khoảng thời gian hợp lý hoặc khi có dấu hiệu vi phạm, đồng thời hợp tác trong quá trình kiểm tra đó. Khi quyết định tiến hành kiểm tra hoặc đánh giá, Bên chịu trách nhiệm có thể xem xét các chứng nhận liên quan của Bên xử lý dữ liệu.

d) Bên chịu trách nhiệm có thể tự tiến hành kiểm tra hoặc chỉ định một kiểm toán viên độc lập. Các cuộc kiểm tra cũng có thể bao gồm việc thanh tra tại cơ sở hoặc các cơ sở vật chất của Bên xử lý dữ liệu và sẽ được thực hiện với thời gian thông báo trước hợp lý, nếu có.

e) Các bên sẽ cung cấp cho cơ quan giám sát có thẩm quyền các thông tin được nêu trong điều khoản này, bao gồm cả kết quả kiểm tra, khi có yêu cầu.

7.7. Việc sử dụng các bên xử lý dữ liệu phụ

a) LỰA CHỌN 2: SỰ CHO PHÉP BẰNG VĂN BẢN CHUNG: Bên xử lý dữ liệu được Bên chịu trách nhiệm cho phép chung để chỉ định các bên xử lý dữ liệu phụ được liệt kê trong danh sách đã thỏa thuận. Bên xử lý dữ liệu phải thông báo rõ ràng bằng văn bản cho Bên chịu trách nhiệm ít nhất 30 ngày trước về mọi thay đổi dự kiến đối với danh sách này, bao gồm việc bổ sung hoặc thay thế các bên xử lý phụ, qua đó đảm bảo Bên chịu trách nhiệm có đủ thời gian để có thể phản đối những thay đổi này trước khi chỉ định (các) đơn vị xử lý phụ liên quan. Bên xử lý dữ liệu sẽ cung cấp cho Bên chịu trách nhiệm các thông tin cần thiết để Bên này có thể thực hiện quyền phản đối của mình. [Lựa chọn: Phương án 2, thời hạn 30 ngày; danh sách đã thỏa thuận là Phụ lục IV]

b) Trong trường hợp Bên xử lý dữ liệu ủy thác cho một bên xử lý phụ thực hiện các hoạt động xử lý cụ thể (thay mặt Bên chịu trách nhiệm), thì việc ủy thác này phải được thực hiện thông qua một hợp đồng, trong đó quy định cho bên xử lý phụ những nghĩa vụ bảo vệ dữ liệu về cơ bản tương tự như những nghĩa vụ áp dụng đối với bên xử lý theo các điều khoản này. Bên xử lý dữ liệu phải đảm bảo rằng bên xử lý phụ tuân thủ các nghĩa vụ mà bên xử lý dữ liệu phải tuân thủ theo các điều khoản này cũng như theo Quy định (EU) 2016/679 và/hoặc Quy định (EU) 2018/1725.

c) Bên xử lý dữ liệu sẽ cung cấp cho Bên chịu trách nhiệm, theo yêu cầu của Bên này, một bản sao của thỏa thuận ủy thác phụ nói trên cùng các sửa đổi sau này (nếu có). Trong trường hợp cần thiết để bảo vệ bí mật kinh doanh hoặc các thông tin bí mật khác, bao gồm cả dữ liệu cá nhân, Bên xử lý dữ liệu có thể che giấu nội dung của thỏa thuận trước khi cung cấp bản sao.

d) Bên xử lý dữ liệu chịu trách nhiệm hoàn toàn trước Bên chịu trách nhiệm về việc bên xử lý dữ liệu phụ thực hiện các nghĩa vụ của mình theo hợp đồng đã ký kết với Bên xử lý dữ liệu. Bên xử lý dữ liệu phải thông báo cho Bên chịu trách nhiệm nếu bên xử lý dữ liệu phụ không thực hiện các nghĩa vụ theo hợp đồng.

e) Bên xử lý dữ liệu sẽ thỏa thuận với bên xử lý phụ một điều khoản về bên thứ ba được hưởng lợi, theo đó Bên chịu trách nhiệm - trong trường hợp Bên xử lý dữ liệu không còn tồn tại trên thực tế hoặc về mặt pháp lý, hoặc rơi vào tình trạng mất khả năng thanh toán - có quyền chấm dứt hợp đồng ủy thác và yêu cầu bên xử lý dữ liệu phụ xóa hoặc trả lại dữ liệu cá nhân.

7.8. Việc chuyển giao dữ liệu quốc tế

a) Mọi hoạt động chuyển giao dữ liệu của Bên xử lý dữ liệu sang một quốc gia thứ ba hoặc một tổ chức quốc tế chỉ được thực hiện trên cơ sở các chỉ thị được lập thành văn bản của Bên chịu trách nhiệm hoặc nhằm tuân thủ một quy định cụ thể theo pháp luật Liên minh Châu Âu hoặc pháp luật của một quốc gia thành viên mà Bên xử lý dữ liệu phải tuân thủ, và phải phù hợp với Chương V của Quy định (EU) 2016/679 hoặc Quy định (EU) 2018/1725.

b) Bên chịu trách nhiệm đồng ý rằng, trong các trường hợp Bên xử lý dữ liệu sử dụng Bên xử lý dữ liệu phụ theo Điều 7.7 để thực hiện các hoạt động xử lý cụ thể (theo ủy quyền của Bên chịu trách nhiệm) và các hoạt động xử lý này bao gồm việc chuyển giao dữ liệu cá nhân theo quy định tại Chương V của Quy định (EU) 2016/679, thì Bên xử lý dữ liệu và Bên xử lý phụ phải đảm bảo tuân thủ Chương V của Quy định (EU) 2016/679 bằng cách sử dụng các điều khoản hợp đồng tiêu chuẩn do Ủy ban ban hành theo Điều 46, Khoản 2 của Quy định (EU) 2016/679, miễn là các điều kiện để áp dụng các điều khoản hợp đồng tiêu chuẩn này được đáp ứng.

Điều khoản 8: Hỗ trợ người chịu trách nhiệm

a) Bên xử lý dữ liệu phải thông báo ngay lập tức cho người ### chịutrách nhiệm về mọi yêu cầu mà bên này nhận được từ chủ thể dữ liệu. Bên xử lý dữ liệu không tự mình trả lời yêu cầu đó, trừ khi được người chịu trách nhiệm ủy quyền.

b) Tùy theo tính chất của hoạt động xử lý dữ liệu, Bên xử lý dữ liệu sẽ hỗ trợ Bên chịu trách nhiệm trong việc thực hiện nghĩa vụ của Bên này nhằm trả lời các yêu cầu của chủ thể dữ liệu về việc thực hiện các quyền của họ. Khi thực hiện các nghĩa vụ theo các điểm a và b, Bên xử lý dữ liệu phải tuân thủ các chỉ thị của Bên chịu trách nhiệm.

c) Ngoài nghĩa vụ hỗ trợ Bên chịu trách nhiệm theo Khoản 8 điểm b, Bên xử lý dữ liệu còn hỗ trợ Bên chịu trách nhiệm tuân thủ các nghĩa vụ sau đây, có tính đến tính chất của hoạt động xử lý dữ liệu và thông tin mà Bên xử lý dữ liệu có sẵn:

• 1) Nghĩa vụ thực hiện đánh giá tác động của các hoạt động xử lý dự kiến đối với việc bảo vệ dữ liệu cá nhân (sau đây gọi là “Đánh giá tác động về bảo vệ dữ liệu”), trong trường hợp một hình thức xử lý nào đó được dự báo sẽ gây ra rủi ro cao đối với các quyền và tự do của cá nhân;
• 2) Nghĩa vụ tham vấn cơ quan giám sát có thẩm quyền trước khi tiến hành xử lý, nếu kết quả Đánh giá tác động bảo vệ dữ liệu cho thấy việc xử lý sẽ gây ra rủi ro cao, trừ khi Bên chịu trách nhiệm thực hiện các biện pháp nhằm giảm thiểu rủi ro đó;
• 3) Nghĩa vụ đảm bảo rằng dữ liệu cá nhân phải chính xác về mặt nội dung và được cập nhật kịp thời, bằng cách yêu cầu bên xử lý dữ liệu phải thông báo ngay lập tức cho bên chịu trách nhiệm khi phát hiện dữ liệu cá nhân do mình xử lý là không chính xác hoặc đã lỗi thời;
• 4) Các nghĩa vụ theo Điều 32 của Quy định (EU) 2016/679. [Lựa chọn: Phương án 1]

d) Các bên quy định tại Phụ lục III các biện pháp kỹ thuật và tổ chức phù hợp nhằm hỗ trợ Bên chịu trách nhiệm bởi Bên xử lý dữ liệu trong việc áp dụng Điều khoản này, cũng như phạm vi và mức độ hỗ trợ cần thiết.

Điều khoản 9: Thông báo về các vi phạm bảo vệ dữ liệu cá nhân

Trong trường hợp xảy ra vi phạm ### bảo vệ dữ liệu cánhân, Bên xử lý dữ liệu sẽ hợp tác và hỗ trợ Bên chịu trách nhiệm một cách thích hợp để Bên chịu trách nhiệm có thể thực hiện các nghĩa vụ của mình theo các Điều 33 và 34 của Quy định (EU) 2016/679 hoặc, nếu có, các Điều 34 và 35 của Quy định (EU) 2018/1725, trong đó Bên xử lý dữ liệu sẽ xem xét loại hình xử lý và các thông tin mà Bên này có sẵn.

9.1. Vi phạm bảo vệ dữ liệu do Bên chịu trách nhiệm xử lý

Trong trường hợp xảy ra sự cố vi phạm bảo vệ dữ liệu cá nhân liên quan đến dữ liệu do Bên chịu trách nhiệm xử lý, Bên xử lý dữ liệu sẽ hỗ trợ Bên chịu trách nhiệm như sau:

a) trong việc báo cáo ngay lập tức sự cố vi phạm bảo vệ dữ liệu cá nhân cho cơ quan giám sát có thẩm quyền, sau khi Bên chịu trách nhiệm biết được sự cố, nếu có liên quan (trừ khi sự cố vi phạm bảo vệ dữ liệu cá nhân được dự kiến sẽ không gây ra rủi ro đối với các quyền và tự do cá nhân của các cá nhân);

b) trong việc thu thập các thông tin sau đây, vốn phải được nêu rõ trong báo cáo của Bên chịu trách nhiệm theo quy định tại Điều 33, Khoản 3 của Quy định (EU) 2016/679, trong đó các thông tin này phải bao gồm ít nhất những nội dung sau: [Lựa chọn: Phương án 1]

• 1) loại dữ liệu cá nhân, nếu có thể, kèm theo thông tin về các danh mục và số lượng ước tính của các cá nhân bị ảnh hưởng, cũng như các danh mục và số lượng ước tính của các bộ dữ liệu cá nhân bị ảnh hưởng;
• 2) các hậu quả có thể xảy ra do vi phạm bảo vệ dữ liệu cá nhân;
• 3) các biện pháp mà Bên chịu trách nhiệm đã thực hiện hoặc đề xuất nhằm khắc phục vi phạm bảo vệ dữ liệu cá nhân và, nếu có, các biện pháp nhằm giảm thiểu các tác động bất lợi có thể xảy ra.

Trong trường hợp không thể cung cấp đồng thời tất cả các thông tin này, thông báo ban đầu phải bao gồm những thông tin có sẵn tại thời điểm đó, và các thông tin bổ sung sẽ được cung cấp ngay sau khi có sẵn, mà không có sự chậm trễ không hợp lý;

c) Khi thực hiện nghĩa vụ theo Điều 34 của Quy định (EU) 2016/679, phải thông báo ngay lập tức cho chủ thể dữ liệu về sự vi phạm bảo vệ dữ liệu cá nhân, nếu sự vi phạm này được dự kiến sẽ gây ra rủi ro cao đối với các quyền và tự do của cá nhân. [Lựa chọn: Phương án 1]

9.2. Vi phạm bảo vệ dữ liệu do bên xử lý dữ liệu theo ủy quyền xửlý

Trong trường hợp xảy ra vi phạm bảo vệ dữ liệucá nhân liên quan đến dữ liệudo bên xử lý dữ liệu theo ủy quyền xửlý, bên xử lý dữ liệu theo ủy quyền phải báo cáo ngay lập tức cho bên chịu trách nhiệm sau khi phát hiện vi phạm. Báo cáo này phải bao gồm ít nhất các thông tin sau:

a) mô tả tính chất của sự vi phạm (nếu có thể, nêu rõ các danh mục và số lượng ước tính của các cá nhân bị ảnh hưởng cũng như số lượng ước tính của các bản ghi dữ liệu bị ảnh hưởng);

b) thông tin liên hệ của một đầu mối liên lạc, nơi có thể thu thập thêm thông tin về sự vi phạm bảo vệ dữ liệu cá nhân;

c) các hậu quả dự kiến và các biện pháp đã được thực hiện hoặc đề xuất nhằm khắc phục sự vi phạm bảo vệ dữ liệu cá nhân, bao gồm các biện pháp nhằm giảm thiểu những tác động bất lợi có thể xảy ra.

Trong trường hợp không thể cung cấp đồng thời tất cả các thông tin này, thông báo ban đầu phải bao gồm những thông tin có sẵn tại thời điểm đó; các thông tin bổ sung sẽ được cung cấp ngay sau khi có sẵn mà không có sự chậm trễ không hợp lý.

Các bên quy định tại Phụ lục III tất cả các thông tin khác mà Bên xử lý dữ liệu phải cung cấp nhằm hỗ trợ Bên chịu trách nhiệm thực hiện các nghĩa vụ của mình theo Điều 33 và 34 của Quy định (EU) 2016/679. [Lựa chọn: Phương án 1]

Phụ lục I: Danh sách các bên

Bên xử lý dữ liệu theo ủy quyền

Transpareo AG, Tech Cluster Zug, Oberallmendstrasse 18, 6300 Zug, Thụy Sĩ, Mã số thuế CHE-220.381.580, do ông Günter Reichelt, Chủ tịch Hội đồng Quản trị, đại diện. Liên hệ: privacy@mail.transpareo.com.

Cán bộ phụ trách bảo vệ dữ liệu và đại diện tại Liên minh Châu Âu theo Điều 27 của Quy định Bảo vệ Dữ liệu Chung (GDPR): DGD - Hiệp hội Bảo vệ Dữ liệu Đức, Giáo sư Tiến sĩ danh dự Heiko Jonny Maniero, Franz-Joseph-Str. 11, 80801 München, Đức, info@mail.dg-datenschutz.de.

Transpareo có trụ sở tại Thụy Sĩ, quốc gia đã được Ủy ban Châu Âu ban hành Quyết định công nhận mức độ phù hợp (2000/518/EC). Dữ liệu được lưu trữ tại Đức.

Bên chịu trách nhiệm

Transpareo ký kết các điều khoản này riêng rẽ với từng bên chịu trách nhiệm. Bên chịu trách nhiệm có thể là:

1. Một khách hàng sử dụng nền tảng Transpareo theo Điều khoản và Điều kiện Chung (AGB). Tên, địa chỉ và người liên hệ là các thông tin mà khách hàng cung cấp khi ký kết hợp đồng qua nền tảng và cập nhật trong tài khoản của mình; người liên hệ chính là chủ tài khoản. Các điều khoản này được coi là đã được thỏa thuận kể từ khi ký kết hợp đồng này (Điều 14 của Điều khoản và Điều kiện Chung).
2. một nhà cung cấp chuyển tiếp yêu cầu đến các nhà cung cấp của chính họ thông qua trang dành cho nhà cung cấp. Bên chịu trách nhiệm là doanh nghiệp mà liên kết chuyển tiếp yêu cầu được hướng đến, như đã được nêu rõ trong yêu cầu đó. Người liên hệ là người thực hiện việc chuyển tiếp, với tên và địa chỉ email mà người đó cung cấp trong quá trình này. Nhà cung cấp chấp nhận các điều khoản bằng cách đồng ý với chúng thay mặt cho doanh nghiệp của mình khi thực hiện việc chuyển tiếp; Transpareo sẽ lưu trữ bản đã được chấp nhận cùng thời điểm chuyển tiếp kèm theo liên kết tương ứng. Bên cạnh đó, các Điều khoản Sử dụng dành cho Nhà cung cấp cũng áp dụng đối với họ.

Transpareo sẽ chỉ định Người phụ trách bảo vệ dữ liệu cho một Bên chịu trách nhiệm ngay khi Bên đó đề cử người đó.

Điều khoản và Điều kiện Chung hoặc Điều khoản Sử dụng dành cho Nhà cung cấp đều là hợp đồng chính. Các điều khoản được ký kết dưới hình thức điện tử (Điều 28, Khoản 9 của Quy định Bảo vệ Dữ liệu Chung - GDPR); ngày tham gia là thời điểm ký kết.

Phụ lục III: Các biện pháp kỹ thuật và tổ chức

Mã hóa và ẩn danh

• Tất cả các kết nối đều được mã hóa bằng TLS.
• Thông tin đăng nhập và các thông tin bí mật khác (mã PIN, khóa tạo mã dùng một lần, thông tin đăng nhập SMTP, khóa API) được lưu trữ trong cơ sở dữ liệu dưới dạng đã được mã hóa bằng thuật toán AES-256-GCM, với mỗi không gian làm việc có một khóa riêng.
• Các bản sao lưu đều được mã hóa.
• Thống kê truy cập chỉ lưu trữ địa chỉ IP dưới dạng giá trị băm (hash) bằng khóa bí mật. Các lượt truy cập vào trang của nhà cung cấp sẽ không được ghi nhận trong thống kê này.

Tách biệt

• Mỗi khách hàng có một cơ sở dữ liệu riêng.

Bảo mật vật lý

• Máy chủ và thiết bị lưu trữ dữ liệu được đặt tại các trung tâm dữ liệu của Hetzner Online GmbH ở Falkenstein, Đức, đã được chứng nhận theo tiêu chuẩn ISO 27001.

Xác thực và cấp quyền

• Mật khẩu chỉ được lưu trữ dưới dạng bcrypt-hash.
• Tính năng đăng nhập hai yếu tố bằng mã dùng một lần hoặc khóa bảo mật được cung cấp cho tất cả người dùng; khách hàng có thể yêu cầu áp dụng tính năng này cho không gian làm việc của mình.
• Phiên làm việc sẽ tự động kết thúc sau một khoảng thời gian không hoạt động do khách hàng thiết lập (mặc định là tám giờ).
• Trong không gian làm việc, các vai trò và quyền truy cập do khách hàng cấp sẽ được áp dụng.
• Nhân viên của Transpareo chỉ có thể truy cập vào không gian làm việc thông qua việc đăng nhập nhân danh khách hàng; hoạt động này sẽ được ghi lại trong nhật ký hệ thống của nền tảng và nhật ký bảo mật của không gian làm việc.
• Phía nhà cung cấp: Liên kết chứa một khóa ngẫu nhiên gồm 16 ký tự (80 bit); nếu không có mã PIN, trang web sẽ không hiển thị bất kỳ thông tin nào từ bộ dữ liệu. Sau năm lần nhập mã PIN sai, liên kết sẽ bị khóa trong 15 phút. Mỗi địa chỉ IP chỉ được phép truy cập tối đa 120 lần mỗi phút. Khi được mở khóa, phiên làm việc sẽ nhận được một mã định danh mới. Trang web này bị chặn đối với các công cụ tìm kiếm và không chia sẻ địa chỉ của mình với các trang web bên ngoài.

Ghi nhật ký

• Các thay đổi đối với bộ dữ liệu và các hoạt động trên trang dành cho nhà cung cấp sẽ được ghi nhật ký kèm theo thời gian, người thực hiện và địa chỉ IP, đồng thời được lưu trữ trong vòng năm năm; các lần đăng nhập và các sự kiện bảo mật khác sẽ được lưu trữ trong một năm.
• Các bản ghi máy chủ sẽ bị xóa sau 14 ngày.

Tính toàn vẹn

• Hình ảnh của các nhà cung cấp sẽ được lưu trữ trong một khu vực được bảo vệ bên ngoài bộ nhớ công cộng mà không kèm theo siêu dữ liệu, cho đến khi được bộ phận kiểm tra chấp nhận. Bản ghi dữ liệu chỉ được cập nhật sau khi quá trình kiểm tra hoàn tất.
• Các phiên bản mật khẩu được công bố đều được ký điện tử bằng phương pháp mật mã.

Tính sẵn sàng và khôi phục

• Cứ bốn giờ một lần, cơ sở dữ liệu và các tệp tin của mỗi không gian làm việc đang hoạt động sẽ được sao lưu, mã hóa và lưu trữ riêng biệt với các máy chủ tại kho lưu trữ đối tượng ở Đức. Các bản sao cục bộ sẽ bị xóa sau bốn ngày. Các bản sao lưu trong bộ nhớ đối tượng được lưu giữ trong 90 ngày và sẽ bị xóa vĩnh viễn trong vòng 30 ngày tiếp theo.
• Các dịch vụ và máy chủ được giám sát liên tục; các bản cập nhật bảo mật được triển khai định kỳ.
• Transpareo thường xuyên rà soát các biện pháp này và điều chỉnh cho phù hợp với trình độ kỹ thuật hiện tại.

Hỗ trợ người chịu trách nhiệm (Điều khoản 8 và 9)

• Khách hàng có thể xem, chỉnh sửa và xóa dữ liệu trong không gian làm việc của mình trên nền tảng. Nhà cung cấp có thể xem các phản hồi đối với các yêu cầu chia sẻ của mình trên trang dành cho nhà cung cấp và có quyền thu hồi bất kỳ liên kết nào đã được chia sẻ.
• Các yêu cầu từ các cá nhân có liên quan mà Transpareo nhận được sẽ được Transpareo chuyển tiếp ngay lập tức đến Bên chịu trách nhiệm.
• Các thông báo theo các điều khoản 7.7 và 9.2 sẽ được gửi qua email đến chủ tài khoản của khách hàng và đến địa chỉ email mà nhà cung cấp đã cung cấp khi chia sẻ liên kết. Địa chỉ liên hệ theo điều khoản 9.2, mục b là privacy@mail.transpareo.com.
• Thông báo theo Điều 9.2 phải nêu rõ thêm thời điểm xảy ra vi phạm và thời điểm phát hiện, cũng như các khu vực làm việc hoặc các liên kết bị ảnh hưởng.

Phụ lục của Thụy Sĩ

Phụ lục này là một điều khoản bổ sung theo Điều 2, Khoản b. Trong trường hợp việc xử lý dữ liệu thuộc phạm vi điều chỉnh của Luật Liên bang Thụy Sĩ về Bảo vệ Dữ liệu (DSG):

1. các tham chiếu đến Quy định (EU) 2016/679 đồng thời được coi là tham chiếu đến các quy định tương ứng của DSG, cụ thể là Điều 28 của Quy định Bảo vệ Dữ liệu Chung (GDPR) tương ứng với Điều 9 của DSG, Điều 32 tương ứng với Điều 8, Điều 33 và 34 tương ứng với Điều 24, Điều 35 và 36 tương ứng với Điều 22 và 23, Chương V tương ứng với các Điều 16 đến 18; các quyền của chủ thể dữ liệu tương ứng với các Điều 25 đến 32 của Luật Bảo vệ Dữ liệu (DSG); và dữ liệu nhạy cảm theo Khoản 7.5 tương ứng với dữ liệu cá nhân cần được bảo vệ đặc biệt theo Điều 5, Khoản c của Luật Bảo vệ Dữ liệu (DSG);
2. Cơ quan giám sát có thẩm quyền là Ủy viên Bảo vệ Dữ liệu và Tự do Thông tin Liên bang (EDÖB); thẩm quyền của các cơ quan giám sát theo Quy định chung về bảo vệ dữ liệu (GDPR) vẫn được giữ nguyên;
3. Luật Thụy Sĩ cũng được coi là luật của một quốc gia thành viên.

Ngày: 8 tháng 10 năm 2026