Thỏa thuận xử lý dữ liệu cá nhân (DPA)

1.1. Bên xử lý dữ liệu ("Bên xử lý"): [TÊN PHÁP NHÂN] (thương hiệu Thinking School), mã số thuế [MÃ SỐ THUẾ], trụ sở tại [ĐỊA CHỈ TRỤ SỞ].

1.2. Bên kiểm soát dữ liệu ("Bên kiểm soát" hoặc "Khách hàng"): tổ chức, doanh nghiệp đã đăng ký và sử dụng Dịch vụ TKS Seminar theo Điều khoản sử dụng, với thông tin đã cung cấp khi đăng ký Tổ chức hoặc trong hợp đồng/đơn đặt hàng riêng.

1.3. Các thuật ngữ "dữ liệu cá nhân", "xử lý dữ liệu cá nhân", "chủ thể dữ liệu", "bên kiểm soát", "bên xử lý" được hiểu theo quy định pháp luật Việt Nam về bảo vệ dữ liệu cá nhân, bao gồm Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Nghị định số 13/2023/NĐ-CP và văn bản hướng dẫn liên quan.

2.1. Đối tượng: Bên xử lý xử lý dữ liệu cá nhân của Người tham dự và các chủ thể khác mà Bên kiểm soát đưa lên Dịch vụ, nhằm cung cấp Dịch vụ webinar theo Điều khoản sử dụng.

2.2. Thời hạn: trong suốt thời gian Bên kiểm soát sử dụng Dịch vụ, cộng với thời hạn lưu giữ sau chấm dứt nêu tại Mục 10.

Bên xử lý thực hiện các hoạt động: thu thập qua biểu mẫu đăng ký, lưu trữ, tổ chức, hiển thị, truyền tải, phân tích, tính điểm khách hàng tiềm năng, gửi thông báo (email, Zalo) theo cấu hình của Bên kiểm soát, xuất dữ liệu, và xóa — chỉ nhằm các mục đích:

• quản lý đăng ký và cho phép Người tham dự vào phòng webinar;
• gửi email xác nhận, nhắc lịch và thông báo theo cấu hình của Bên kiểm soát;
• hiển thị và quản lý trò chuyện, bình chọn, tương tác trong phòng webinar;
• ghi nhận hành vi xem, tính điểm và cung cấp báo cáo phân tích cho Bên kiểm soát;
• chuyển dữ liệu tới hệ thống của Bên kiểm soát qua webhook/tích hợp do Bên kiểm soát thiết lập;
• xử lý bằng AI khi Bên kiểm soát bật tính năng AI với khoá API của mình;
• bảo mật, sao lưu, khắc phục sự cố và hỗ trợ kỹ thuật.

4.1. Chủ thể dữ liệu: Người tham dự (người đăng ký, người xem webinar) của Bên kiểm soát; thành viên Tổ chức của Bên kiểm soát trong phạm vi dữ liệu do Bên kiểm soát quản lý.

4.2. Loại dữ liệu:

• thông tin nhận dạng và liên hệ: họ tên, email, số điện thoại;
• các trường thông tin tùy chỉnh do Bên kiểm soát thiết lập trên biểu mẫu đăng ký;
• sự kiện theo dõi hành vi xem và tương tác (vào/rời phòng, thời lượng xem, nhấp nút, bình chọn);
• tin nhắn trò chuyện và câu hỏi;
• điểm đánh giá khách hàng tiềm năng (lead score);
• dữ liệu kỹ thuật: địa chỉ IP, user agent, thông tin thiết bị.

4.3. Bên kiểm soát không đưa lên Dịch vụ dữ liệu cá nhân nhạy cảm, trừ khi đã đáp ứng đầy đủ điều kiện pháp luật và đã thông báo trước bằng văn bản cho Bên xử lý.

Bên xử lý cam kết:

• 5.1. Chỉ xử lý dữ liệu theo chỉ dẫn được ghi nhận của Bên kiểm soát — gồm Điều khoản sử dụng, DPA này và các cấu hình, thao tác của Bên kiểm soát trên Dịch vụ — trừ khi pháp luật yêu cầu khác (khi đó sẽ thông báo cho Bên kiểm soát nếu pháp luật không cấm). Bên xử lý thông báo cho Bên kiểm soát nếu cho rằng một chỉ dẫn vi phạm pháp luật.
• 5.2. Bảo đảm nhân sự được phép tiếp cận dữ liệu có nghĩa vụ bảo mật và chỉ tiếp cận ở mức cần thiết để cung cấp, hỗ trợ Dịch vụ.
• 5.3. Áp dụng các biện pháp bảo vệ kỹ thuật và tổ chức phù hợp, gồm: mã hóa khi truyền tải (HTTPS/TLS), tách biệt dữ liệu giữa các Tổ chức và kiểm soát truy cập ở tầng cơ sở dữ liệu, phân quyền theo vai trò, quản lý khóa bí mật và ghi nhật ký thao tác quản trị.
• 5.4. Hỗ trợ Bên kiểm soát, trong phạm vi hợp lý, đáp ứng yêu cầu thực hiện quyền của chủ thể dữ liệu (truy cập, chỉnh sửa, xóa, rút lại đồng ý, phản đối, cung cấp dữ liệu), thông qua các chức năng sẵn có trên Dịch vụ (như xem và xuất dữ liệu) hoặc thực hiện theo yêu cầu bằng văn bản của Bên kiểm soát đối với thao tác chưa có chức năng tự phục vụ (như xóa dữ liệu của một Người tham dự cụ thể). Nếu nhận yêu cầu trực tiếp từ chủ thể dữ liệu, Bên xử lý chuyển yêu cầu cho Bên kiểm soát mà không tự phản hồi về nội dung, trừ khi được Bên kiểm soát ủy quyền.
• 5.5. Hỗ trợ Bên kiểm soát lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ chuyển dữ liệu ra nước ngoài bằng cách cung cấp thông tin về hoạt động xử lý của Bên xử lý.
• 5.6. Thông báo cho Bên kiểm soát không chậm trễ quá [SỐ GIỜ] giờ kể từ khi phát hiện vi phạm quy định bảo vệ dữ liệu cá nhân ảnh hưởng đến dữ liệu của Bên kiểm soát, kèm thông tin sẵn có về tính chất vi phạm, loại và số lượng ước tính dữ liệu, chủ thể bị ảnh hưởng, hậu quả có thể xảy ra và biện pháp đã/sẽ thực hiện; tiếp tục cập nhật khi có thêm thông tin.
• 5.7. Không sử dụng dữ liệu của Bên kiểm soát cho mục đích riêng của Bên xử lý, không bán và không chia sẻ cho bên thứ ba ngoài các bên xử lý phụ nêu tại Mục 6.

6.1. Bên kiểm soát chấp thuận chung việc Bên xử lý sử dụng các bên xử lý phụ sau:

• Supabase — Cơ sở dữ liệu, xác thực tài khoản và lưu trữ tệp. Khu vực: [KHU VỰC LƯU TRỮ — SUPABASE].
• Bunny.net — Lưu trữ, mã hoá và phân phối video (CDN). Khu vực: [KHU VỰC LƯU TRỮ — BUNNY.NET].
• Vercel — Lưu trữ và vận hành ứng dụng web. Khu vực: [KHU VỰC LƯU TRỮ — VERCEL].
• SendGrid (Twilio) — Gửi email giao dịch và email thông báo. Khu vực: [KHU VỰC LƯU TRỮ — SENDGRID].
• Zalo (VNG) — Đăng nhập bằng Zalo và kênh liên hệ/thông báo qua Zalo. Khu vực: [KHU VỰC LƯU TRỮ — ZALO].
• SePay / VietQR — Đối soát thanh toán chuyển khoản ngân hàng. Khu vực: [KHU VỰC LƯU TRỮ — SEPAY].
• OnePay — Cổng thanh toán thẻ. Khu vực: [KHU VỰC LƯU TRỮ — ONEPAY].
• Google (Gemini) / OpenAI — Xử lý bằng trí tuệ nhân tạo — chỉ khi Khách hàng tự bật tính năng AI và cung cấp khoá API của chính Khách hàng. Khu vực: [KHU VỰC XỬ LÝ — GOOGLE/OPENAI].

6.2. SePay/VietQR và OnePay chỉ xử lý dữ liệu thanh toán của Khách hàng (bên mua Gói dịch vụ), không xử lý dữ liệu Người tham dự. Google (Gemini)/OpenAI chỉ nhận dữ liệu khi Bên kiểm soát bật tính năng AI bằng khoá API của chính Bên kiểm soát; trong trường hợp này Bên kiểm soát tự lựa chọn và giao kết với nhà cung cấp AI.

6.3. Bên xử lý ràng buộc mỗi bên xử lý phụ bằng nghĩa vụ bảo vệ dữ liệu không thấp hơn đáng kể so với DPA này và chịu trách nhiệm trước Bên kiểm soát đối với việc thực hiện nghĩa vụ của bên xử lý phụ theo quy định pháp luật.

6.4. Bên xử lý thông báo trước ít nhất [SỐ NGÀY THÔNG BÁO] ngày (qua email của chủ sở hữu Tổ chức hoặc trên Dịch vụ) khi bổ sung hoặc thay thế bên xử lý phụ. Bên kiểm soát có thể phản đối với lý do hợp lý liên quan đến bảo vệ dữ liệu bằng cách gửi email tới [EMAIL LIÊN HỆ]; nếu không tìm được giải pháp, Bên kiểm soát có quyền chấm dứt sử dụng Dịch vụ bị ảnh hưởng.

Bên kiểm soát cam kết:

• 7.1. Có cơ sở pháp lý hợp lệ cho mọi hoạt động xử lý, bao gồm việc thu thập sự đồng ý của Người tham dự cho từng mục đích (đăng ký, nhắc lịch, phân tích hành vi, chấm điểm, tiếp thị, chuyển dữ liệu qua tích hợp) và thông báo xử lý dữ liệu theo quy định pháp luật trước khi thu thập.
• 7.2. Công bố chính sách quyền riêng tư của mình tới Người tham dự, trong đó nêu việc sử dụng TKS Seminar như một bên xử lý và việc dữ liệu có thể được chuyển ra nước ngoài.
• 7.3. Khi sử dụng tính năng phát lại theo lịch / mô phỏng trực tiếp (số người xem mô phỏng, tin nhắn trò chuyện dựng sẵn, biểu tượng cảm xúc, hiển thị kết quả bình chọn), không sử dụng để lừa dối Người tham dự và công bố rõ ràng khi buổi webinar là nội dung ghi sẵn và khi các yếu tố hiển thị mang tính mô phỏng, phù hợp với pháp luật về bảo vệ quyền lợi người tiêu dùng.
• 7.4. Chỉ đưa ra các chỉ dẫn xử lý hợp pháp; tự chịu trách nhiệm về tính chính xác, chất lượng và tính hợp pháp của dữ liệu và của việc chuyển dữ liệu tới hệ thống bên thứ ba do mình cấu hình (webhook, tích hợp, khoá API AI).
• 7.5. Quản lý tài khoản, phân quyền thành viên Tổ chức phù hợp và tiếp nhận, giải quyết yêu cầu của chủ thể dữ liệu.
• 7.6. Thực hiện nghĩa vụ thông báo vi phạm cho cơ quan chuyên trách và chủ thể dữ liệu theo quy định pháp luật, với sự hỗ trợ của Bên xử lý theo Mục 5.6.

8.1. Một số bên xử lý phụ có thể lưu trữ hoặc xử lý dữ liệu ngoài lãnh thổ Việt Nam (khu vực cụ thể nêu tại Mục 6). Bên kiểm soát đồng ý cho việc chuyển dữ liệu này trong phạm vi cần thiết để cung cấp Dịch vụ.

8.2. Các bên phối hợp lập, lưu giữ và cập nhật hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài, và thực hiện thủ tục với cơ quan chuyên trách bảo vệ dữ liệu cá nhân theo quy định pháp luật. Bên xử lý cung cấp thông tin cần thiết về bên nhận, khu vực lưu trữ và biện pháp bảo vệ.

9.1. Theo yêu cầu bằng văn bản hợp lý của Bên kiểm soát, Bên xử lý cung cấp thông tin cần thiết để chứng minh việc tuân thủ DPA (ví dụ: mô tả biện pháp bảo mật, danh sách bên xử lý phụ, trả lời bảng câu hỏi bảo mật).

9.2. Nếu thông tin trên không đủ hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu, Bên kiểm soát có thể tiến hành kiểm tra tối đa một lần mỗi năm, với thông báo trước ít nhất [SỐ NGÀY THÔNG BÁO KIỂM TRA] ngày, trong giờ làm việc, không làm gián đoạn Dịch vụ và không tiếp cận dữ liệu của khách hàng khác. Chi phí kiểm tra do Bên kiểm soát chịu, trừ khi phát hiện vi phạm nghiêm trọng của Bên xử lý.

10.1. Trong thời gian sử dụng, Bên kiểm soát có thể xuất dữ liệu bằng chức năng sẵn có trên Dịch vụ và yêu cầu Bên xử lý xóa dữ liệu cụ thể.

10.2. Khi Dịch vụ chấm dứt, Bên xử lý lưu giữ dữ liệu trong [THỜI HẠN LƯU GIỮ SAU CHẤM DỨT] để Bên kiểm soát xuất dữ liệu; sau đó xóa hoặc ẩn danh hóa dữ liệu, kể cả tại các bên xử lý phụ, trừ khi pháp luật yêu cầu lưu giữ. Bản sao lưu được xóa trong [THỜI HẠN XÓA BẢN SAO LƯU]. Theo yêu cầu, Bên xử lý xác nhận bằng văn bản việc đã xóa.

11.1. Mỗi bên chịu trách nhiệm đối với vi phạm nghĩa vụ của mình theo DPA và theo quy định pháp luật về bảo vệ dữ liệu cá nhân.

11.2. Giới hạn trách nhiệm tại Điều khoản sử dụng áp dụng cho DPA, trong phạm vi pháp luật cho phép. Giới hạn này không áp dụng đối với trách nhiệm mà pháp luật không cho phép giới hạn, bao gồm các khoản phạt hành chính do cơ quan nhà nước áp dụng trực tiếp đối với bên vi phạm.

12.1. DPA có hiệu lực từ ngày Bên kiểm soát chấp nhận Điều khoản sử dụng hoặc từ ngày hiệu lực ghi ở đầu văn bản (tùy ngày nào đến sau), và kéo dài cho tới khi Bên xử lý hoàn tất việc xóa dữ liệu theo Mục 10.

12.2. Các nghĩa vụ bảo mật và các điều khoản mà theo bản chất cần tiếp tục có hiệu lực sẽ tồn tại sau khi DPA chấm dứt.

12.3. DPA được điều chỉnh bởi pháp luật Việt Nam; tranh chấp được giải quyết theo cơ chế tại Điều khoản sử dụng. DPA được lập bằng tiếng Việt; bản tiếng Việt có giá trị ưu tiên áp dụng.

Email: [EMAIL LIÊN HỆ] · Điện thoại: [SỐ ĐIỆN THOẠI] · Địa chỉ: [ĐỊA CHỈ TRỤ SỞ].

Đầu mối bảo vệ dữ liệu cá nhân: [ĐẦU MỐI BẢO VỆ DỮ LIỆU CÁ NHÂN].