INVIE

Thỏa thuận xử lý dữ liệu (DPA)

Phiên bản 1.0 · Hiệu lực từ 15/11/2026

Thỏa thuận này (“DPA”) là một phần của Điều khoản sử dụng giữa Khách hàng và Lê Bùi Hoàng Viên (“INVIE”). DPA áp dụng khi INVIE xử lý dữ liệu cá nhân thay mặt Khách hàng trong quá trình cung cấp Dịch vụ, và có hiệu lực khi Khách hàng chấp nhận Điều khoản sử dụng. Khách hàng doanh nghiệp cần bản ký riêng có thể liên hệ legal@invie.net.

1. Định nghĩa

“Dữ liệu cá nhân của Khách hàng” là dữ liệu cá nhân có trong Nội dung của Khách hàng mà INVIE xử lý thay mặt Khách hàng. “Luật bảo vệ dữ liệu” là pháp luật áp dụng về bảo vệ dữ liệu cá nhân, gồm GDPR (khi áp dụng) và Nghị định 13/2023/NĐ-CP. “Nhà xử lý phụ” là bên thứ ba được INVIE thuê và có thể xử lý Dữ liệu cá nhân của Khách hàng. Các thuật ngữ khác có nghĩa như trong Luật bảo vệ dữ liệu.

2. Vai trò của các bên

Khách hàng là bên kiểm soát (hoặc bên xử lý thay mặt bên kiểm soát của mình) và INVIE là bên xử lý đối với Dữ liệu cá nhân của Khách hàng. Với dữ liệu tài khoản, thanh toán và dữ liệu kỹ thuật, INVIE là bên kiểm soát độc lập theo Chính sách quyền riêng tư. Dữ liệu thị trường công khai do INVIE tự thu thập không thuộc phạm vi DPA này.

3. Hướng dẫn xử lý

INVIE chỉ xử lý Dữ liệu cá nhân của Khách hàng theo hướng dẫn bằng văn bản của Khách hàng. Điều khoản sử dụng, DPA này và việc Khách hàng sử dụng, cấu hình Dịch vụ là toàn bộ hướng dẫn. INVIE sẽ thông báo nếu cho rằng một hướng dẫn vi phạm Luật bảo vệ dữ liệu, trừ khi pháp luật cấm thông báo. Khách hàng chịu trách nhiệm bảo đảm có cơ sở hợp pháp cho dữ liệu đưa vào Dịch vụ, và đã cung cấp thông báo, xin sự đồng ý cần thiết từ chủ thể dữ liệu.

4. Bảo mật thông tin

INVIE bảo đảm người được phép xử lý Dữ liệu cá nhân của Khách hàng có nghĩa vụ bảo mật, và chỉ cấp quyền truy cập khi cần thiết cho việc vận hành, hỗ trợ hoặc theo yêu cầu của Khách hàng.

5. Biện pháp an ninh

INVIE áp dụng các biện pháp kỹ thuật và tổ chức nêu tại Phụ lục 2 và có thể cập nhật chúng, miễn là mức bảo vệ không bị giảm xuống.

6. Nhà xử lý phụ

7. Hỗ trợ Khách hàng

Trong phạm vi hợp lý, INVIE hỗ trợ Khách hàng: đáp ứng yêu cầu của chủ thể dữ liệu (truy cập, chỉnh sửa, xóa, hạn chế, chuyển dữ liệu); đánh giá tác động bảo vệ dữ liệu; và làm việc với cơ quan có thẩm quyền. Nếu nhận yêu cầu trực tiếp từ chủ thể dữ liệu của Khách hàng, INVIE sẽ chuyển yêu cầu đó cho Khách hàng và không tự phản hồi, trừ khi được Khách hàng cho phép hoặc pháp luật yêu cầu.

8. Sự cố dữ liệu cá nhân

INVIE sẽ thông báo cho Khách hàng không chậm trễ quá mức, và trong vòng 48 giờ kể từ khi xác nhận sự cố ảnh hưởng tới Dữ liệu cá nhân của Khách hàng. Thông báo gồm thông tin có được về bản chất sự cố, loại và số lượng dữ liệu bị ảnh hưởng (ước tính), hậu quả có thể xảy ra và biện pháp đã hoặc sẽ thực hiện. INVIE phối hợp để Khách hàng thực hiện nghĩa vụ thông báo của mình (ví dụ trong 72 giờ theo GDPR và Nghị định 13/2023/NĐ-CP).

9. Xóa hoặc trả lại dữ liệu

Khi hợp đồng chấm dứt, Khách hàng có thể xuất dữ liệu Project bằng chức năng xuất của Dịch vụ, hoặc yêu cầu bản xuất trong vòng 30 ngày. Sau đó INVIE xóa Dữ liệu cá nhân của Khách hàng khỏi hệ thống đang hoạt động trong vòng 30 ngày. Bản sao lưu tự xoay vòng và bị xóa trong vòng 30 ngày tiếp theo, trừ khi pháp luật yêu cầu lưu giữ lâu hơn.

10. Kiểm tra và đánh giá

Theo yêu cầu hợp lý (không quá một lần mỗi năm, trừ khi có sự cố hoặc cơ quan có thẩm quyền yêu cầu), INVIE cung cấp thông tin cần thiết để chứng minh việc tuân thủ DPA, ví dụ bản mô tả biện pháp an ninh và trả lời bảng câu hỏi bảo mật. Việc kiểm tra tại chỗ, nếu cần, phải được thống nhất trước về phạm vi, thời gian, bảo mật thông tin và chi phí.

11. Chuyển dữ liệu ra nước ngoài

Dữ liệu có thể được xử lý ngoài quốc gia của Khách hàng như mô tả trong Chính sách quyền riêng tư. Khi Luật bảo vệ dữ liệu yêu cầu, các bên áp dụng cơ chế chuyển dữ liệu hợp lệ, chẳng hạn Điều khoản hợp đồng mẫu của Ủy ban châu Âu, và INVIE thực hiện thủ tục chuyển dữ liệu ra nước ngoài theo pháp luật Việt Nam.

12. Trách nhiệm và thứ tự ưu tiên

Trách nhiệm của mỗi bên theo DPA tuân theo giới hạn trong Điều khoản sử dụng, trừ khi pháp luật không cho phép giới hạn. Nếu có mâu thuẫn giữa DPA và Điều khoản sử dụng về bảo vệ dữ liệu cá nhân, DPA được ưu tiên.

Phụ lục 1 – Chi tiết xử lý

Đối tượng xử lýLưu trữ và xử lý Nội dung của Khách hàng để cung cấp Dịch vụ nghiên cứu thị trường
Thời hạnTrong thời gian sử dụng Dịch vụ, cộng thời gian xóa nêu tại mục 9
Bản chất và mục đíchLưu trữ, hiển thị, tìm kiếm, tổng hợp, xuất dữ liệu; xử lý bằng AI khi Khách hàng yêu cầu; sao lưu
Chủ thể dữ liệuThành viên workspace của Khách hàng; cá nhân xuất hiện trong nội dung Khách hàng đưa vào (ví dụ tác giả đánh giá, người trong tệp tải lên)
Loại dữ liệuTên, email, vai trò; nội dung đánh giá và ghi chú; tệp hình ảnh, video, PDF do Khách hàng tải lên; dữ liệu khác Khách hàng chọn đưa vào
Dữ liệu nhạy cảmKhông dự kiến. Khách hàng không nên đưa dữ liệu cá nhân nhạy cảm vào Dịch vụ.

Phụ lục 2 – Biện pháp kỹ thuật và tổ chức