Phụ lục xử lý dữ liệu (DPA)Data Processing Addendum (DPA)

1. Vai trò1. Roles

Khách hàng là bên kiểm soát dữ liệu (hoặc bên xử lý cho bên kiểm soát của mình); chúng tôi là bên xử lý. Đối tượng xử lý: dữ liệu cá nhân có trong Nội dung của khách hàng và câu hỏi của khách truy cập. Mục đích: cung cấp Dịch vụ theo Điều khoản. Thời hạn: trong thời gian Khách hàng sử dụng Dịch vụ và cho tới khi dữ liệu bị xoá.The Customer is the controller (or a processor for its own controller); we are the processor. Subject matter: personal data contained in customer content and visitor questions. Purpose: providing the Service under the Terms. Duration: while the Customer uses the Service and until the data is deleted.

2. Chỉ dẫn2. Instructions

Chúng tôi chỉ xử lý dữ liệu theo chỉ dẫn được ghi nhận của Khách hàng — gồm các Điều khoản, cấu hình Khách hàng thiết lập trong Dịch vụ, và yêu cầu bằng văn bản — trừ khi pháp luật bắt buộc khác. Chúng tôi sẽ báo nếu cho rằng một chỉ dẫn vi phạm pháp luật bảo vệ dữ liệu.We process data only on the Customer's documented instructions — the Terms, the configuration the Customer sets in the Service, and written requests — unless the law requires otherwise. We will tell the Customer if we believe an instruction breaks data protection law.

3. Bảo mật và bảo mật thông tin3. Confidentiality and security

Người được phép truy cập dữ liệu có nghĩa vụ bảo mật. Chúng tôi duy trì các biện pháp kỹ thuật và tổ chức nêu tại mục Bảo mật của Chính sách bảo mật — mã hoá đường truyền, tách dữ liệu theo khách hàng, băm token, phân quyền theo vai trò, prompt chỉ chạy ở máy chủ.People authorised to access the data are bound by confidentiality. We maintain the technical and organisational measures described in the Security section of the Privacy Policy — encryption in transit, per-customer data isolation, token hashing, role-based access, server-side prompts.

4. Bên xử lý phụ4. Sub-processors

Khách hàng cho phép chung việc sử dụng các bên xử lý phụ liệt kê trong Chính sách bảo mật. Chúng tôi ràng buộc họ bằng nghĩa vụ bảo vệ dữ liệu tương đương và chịu trách nhiệm về họ theo pháp luật. Chúng tôi thông báo bên xử lý phụ mới bằng cách cập nhật danh sách đó; nếu phản đối vì lý do hợp lý, Khách hàng có thể chấm dứt gói.The Customer gives general authorisation to use the sub-processors listed in the Privacy Policy. We bind them to equivalent data protection obligations and remain responsible for them as the law requires. We announce new sub-processors by updating that list; if the Customer objects on reasonable grounds, it may terminate its Plan.

5. Hỗ trợ Khách hàng5. Assistance

Có tính đến bản chất xử lý, chúng tôi hỗ trợ hợp lý để Khách hàng trả lời yêu cầu của chủ thể dữ liệu (truy cập, sửa, xoá…), thực hiện đánh giá tác động và làm việc với cơ quan quản lý. Yêu cầu của chủ thể dữ liệu gửi nhầm tới chúng tôi sẽ được chuyển tới Khách hàng.Taking into account the nature of the processing, we give reasonable help so the Customer can answer data-subject requests (access, correction, deletion…), carry out impact assessments and deal with regulators. Data-subject requests sent to us by mistake are forwarded to the Customer.

6. Sự cố dữ liệu6. Data breaches

Chúng tôi thông báo cho Khách hàng không chậm trễ — mục tiêu trong vòng 72 giờ kể từ khi biết — về sự cố ảnh hưởng tới dữ liệu cá nhân của Khách hàng, kèm thông tin đã biết để Khách hàng thực hiện nghĩa vụ thông báo của mình.We notify the Customer without undue delay — aiming for within 72 hours of becoming aware — of a breach affecting the Customer's personal data, with the information known so the Customer can meet its own notification duties.

7. Xoá dữ liệu7. Deletion

Khi Khách hàng yêu cầu, hoặc khi chấm dứt Dịch vụ và Khách hàng yêu cầu, chúng tôi xoá dữ liệu cá nhân của Khách hàng trong 30 ngày, trừ khi pháp luật buộc phải lưu giữ. Khách hàng có thể lấy lại nội dung trước đó qua các công cụ sẵn có.On the Customer's request, or on termination when the Customer asks, we delete the Customer's personal data within 30 days, unless the law requires us to keep it. The Customer can retrieve its content beforehand with the available tools.

8. Kiểm tra8. Audits

Chúng tôi cung cấp thông tin hợp lý cần thiết để chứng minh việc tuân thủ Phụ lục này khi Khách hàng yêu cầu bằng văn bản, không quá một lần mỗi năm trừ khi cơ quan có thẩm quyền yêu cầu hoặc sau một sự cố.We provide the information reasonably needed to demonstrate compliance with this addendum on the Customer's written request, no more than once a year unless a regulator requires it or after a breach.

9. Chuyển dữ liệu quốc tế9. International transfers

Khi dữ liệu cá nhân thuộc phạm vi GDPR hoặc UK GDPR được chuyển tới quốc gia chưa được công nhận có mức bảo vệ tương đương, các Điều khoản hợp đồng mẫu của Uỷ ban châu Âu (2021, Module 2 hoặc 3, tuỳ trường hợp) và Phụ lục chuyển dữ liệu quốc tế của Vương quốc Anh được coi là đã được ký kết và dẫn chiếu vào Phụ lục này.Where personal data subject to the GDPR or UK GDPR is transferred to a country without an adequacy decision, the European Commission's Standard Contractual Clauses (2021, Module 2 or 3 as applicable) and the UK International Data Transfer Addendum are deemed entered into and incorporated into this addendum by reference.

10. Việt Nam10. Vietnam

Khi pháp luật Việt Nam về bảo vệ dữ liệu cá nhân áp dụng, hai bên thực hiện nghĩa vụ tương ứng của bên kiểm soát và bên xử lý theo luật đó, gồm các nội dung bắt buộc của hợp đồng xử lý dữ liệu, hồ sơ đánh giá tác động xử lý dữ liệu và chuyển dữ liệu ra nước ngoài.Where Vietnamese personal data protection law applies, each party fulfils its controller or processor obligations under that law, including the mandatory content of the processing contract and the impact assessments for processing and cross-border transfer.

11. Nghĩa vụ của Khách hàng11. Customer obligations

• Có cơ sở pháp lý cho dữ liệu đưa vào Dịch vụ và cho việc gửi dữ liệu tới các nhà cung cấp AI nêu trong Chính sách bảo mật.Have a lawful basis for the data put into the Service and for sending it to the AI providers listed in the Privacy Policy.
• Thông báo cho khách truy cập rằng họ trò chuyện với AI và câu hỏi của họ được xử lý bởi AI Operations, trong chính sách quyền riêng tư của Khách hàng.Tell visitors, in the Customer's own privacy notice, that they are chatting with an AI and that their questions are processed by AI Operations.
• Không đưa dữ liệu nhạy cảm vào Dịch vụ trừ khi cần thiết, hợp pháp và có biện pháp bảo vệ phù hợp.Not put sensitive data into the Service unless necessary, lawful and appropriately safeguarded.