Phụ lục xử lý dữ liệu cá nhân

Phụ lục này là một phần không tách rời của Điều khoản sử dụng dịch vụ hoặc hợp đồng đã ký giữa Khách hàng và [Tên pháp nhân vận hành Velo CRM]. Phụ lục điều chỉnh việc Velo CRM xử lý dữ liệu cá nhân thay mặt Khách hàng trong quá trình cung cấp dịch vụ.

Trường hợp có mâu thuẫn về nội dung xử lý dữ liệu cá nhân, Phụ lục này được ưu tiên áp dụng so với Điều khoản sử dụng dịch vụ và các chính sách khác, trừ khi hợp đồng đã ký quy định rõ khác đi.

• Khách hàng là Bên Kiểm soát dữ liệu đối với dữ liệu cá nhân của khách hàng cuối, lead, đối tác và nhân sự mà Khách hàng đưa vào hệ thống. Khách hàng quyết định mục đích và phương tiện xử lý.
• Velo CRM là Bên Xử lý dữ liệu đối với các dữ liệu nêu trên, chỉ xử lý theo chỉ dẫn hợp pháp của Khách hàng.
• Velo CRM là Bên Kiểm soát dữ liệu đối với dữ liệu tài khoản người dùng, dữ liệu thanh toán phí nền tảng, nhật ký bảo mật và số liệu vận hành nền tảng. Phần này do Chính sách bảo vệ dữ liệu cá nhân điều chỉnh, không thuộc phạm vi Phụ lục này.

• Velo CRM chỉ xử lý dữ liệu cá nhân theo Phụ lục này, theo cấu hình mà Khách hàng thiết lập trong sản phẩm, và theo chỉ dẫn bổ sung bằng văn bản của Khách hàng.
• Việc Khách hàng sử dụng tính năng trong sản phẩm được coi là chỉ dẫn xử lý hợp lệ.
• Velo CRM chỉ xử lý ngoài phạm vi chỉ dẫn khi pháp luật yêu cầu, và trong trường hợp đó sẽ thông báo cho Khách hàng trước khi xử lý, trừ khi pháp luật cấm thông báo.
• Nếu Velo CRM cho rằng một chỉ dẫn của Khách hàng vi phạm pháp luật về bảo vệ dữ liệu cá nhân, Velo CRM sẽ thông báo và có quyền tạm dừng thực hiện chỉ dẫn đó cho tới khi được làm rõ.
• Chỉ dẫn bổ sung nằm ngoài phạm vi tính năng tiêu chuẩn có thể phát sinh chi phí, và được thống nhất trước bằng văn bản.

• Bảo đảm có căn cứ hợp pháp cho toàn bộ dữ liệu cá nhân đưa vào hệ thống, bao gồm dữ liệu nhập khẩu từ nguồn bên ngoài và dữ liệu mua từ bên thứ ba.
• Thực hiện nghĩa vụ thông báo xử lý dữ liệu cá nhân cho chủ thể dữ liệu và thu thập sự đồng ý khi pháp luật yêu cầu.
• Lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của mình và thực hiện nghĩa vụ nộp hồ sơ theo quy định.
• Cấu hình quyền truy cập trong sản phẩm phù hợp với nguyên tắc tối thiểu cần thiết và rà soát định kỳ.
• Thông báo cho Velo CRM khi có thay đổi làm phát sinh yêu cầu bảo vệ cao hơn, ví dụ khi bắt đầu xử lý dữ liệu của nhóm chủ thể đặc biệt.
• Không đưa dữ liệu cá nhân nhạy cảm vào hệ thống khi không cần thiết; nếu có nhu cầu, phải thống nhất trước với Velo CRM bằng văn bản.

• Xử lý dữ liệu đúng phạm vi và chỉ dẫn, không sử dụng dữ liệu của Khách hàng cho mục đích riêng của Velo CRM.
• Không bán, cho thuê, trao đổi dữ liệu cá nhân của Khách hàng, và không dùng dữ liệu đó để huấn luyện mô hình AI.
• Áp dụng các biện pháp kỹ thuật và tổ chức nêu tại Phụ lục 2.
• Hỗ trợ Khách hàng thực hiện quyền của chủ thể dữ liệu theo Mục 10.
• Thông báo sự cố theo Mục 11.
• Cung cấp thông tin cần thiết để Khách hàng chứng minh việc tuân thủ, theo Mục 14.

• Chỉ nhân sự có nhu cầu công việc thực tế mới được cấp quyền truy cập dữ liệu của Khách hàng, theo nguyên tắc tối thiểu cần thiết.
• Nhân sự được cấp quyền phải ký cam kết bảo mật và được đào tạo về bảo vệ dữ liệu cá nhân.
• Truy cập của nhân sự Velo CRM vào workspace của Khách hàng để xử lý sự cố được ghi nhật ký và cung cấp cho Khách hàng khi có yêu cầu.
• Quyền truy cập được thu hồi ngay khi nhân sự thay đổi vị trí hoặc chấm dứt làm việc.

Khách hàng đồng ý để Velo CRM sử dụng các bên xử lý dữ liệu phụ dưới đây. Các bên được đánh dấu “Chỉ khi bật tính năng” chỉ tham gia xử lý khi Khách hàng kết nối tính năng tương ứng.

• Velo CRM ràng buộc bên xử lý phụ bằng nghĩa vụ bảo vệ dữ liệu không thấp hơn nghĩa vụ tại Phụ lục này.
• Velo CRM chịu trách nhiệm trước Khách hàng về hoạt động xử lý của bên xử lý phụ trong phạm vi công việc được giao.
• Khi bổ sung hoặc thay thế bên xử lý phụ, Velo CRM thông báo trước ít nhất 30 ngày. Khách hàng có quyền phản đối bằng văn bản trong thời hạn đó với lý do hợp lý liên quan tới bảo vệ dữ liệu; nếu các bên không tìm được phương án thay thế, Khách hàng có quyền chấm dứt phần dịch vụ bị ảnh hưởng và được hoàn lại phần phí tương ứng với thời gian chưa sử dụng.

Một số bên xử lý phụ đặt hạ tầng ngoài lãnh thổ Việt Nam. Velo CRM cung cấp cho Khách hàng thông tin về luồng dữ liệu, loại dữ liệu và nơi lưu trữ để Khách hàng lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài, và phối hợp giải trình khi cơ quan quản lý yêu cầu. Khách hàng có thể yêu cầu không sử dụng các tính năng có luồng chuyển dữ liệu ra nước ngoài.

• Sản phẩm cung cấp công cụ để Khách hàng tự tra cứu, chỉnh sửa, xuất và xoá dữ liệu của chủ thể dữ liệu trong workspace của mình.
• Khi Khách hàng cần hỗ trợ ngoài phạm vi công cụ sẵn có, Velo CRM phản hồi trong vòng 72 giờ kể từ khi nhận được yêu cầu hợp lệ.
• Nếu chủ thể dữ liệu gửi yêu cầu trực tiếp tới Velo CRM, Velo CRM chuyển tiếp cho Khách hàng và không tự ý phản hồi về nội dung, trừ khi pháp luật quy định khác.

• Velo CRM thông báo cho Khách hàng trong vòng 24 giờ kể từ khi xác nhận có sự cố lộ, mất dữ liệu cá nhân liên quan tới workspace của Khách hàng, để Khách hàng kịp thực hiện nghĩa vụ thông báo cho cơ quan quản lý trong thời hạn 72 giờ theo quy định.
• Thông báo nêu bản chất sự cố, nhóm dữ liệu và số lượng chủ thể dữ liệu bị ảnh hưởng ở mức ước tính, hậu quả có thể xảy ra, biện pháp đã và sẽ thực hiện, cùng đầu mối liên hệ.
• Velo CRM cung cấp thông tin bổ sung khi có kết quả điều tra và gửi báo cáo nguyên nhân gốc khi Khách hàng yêu cầu.

Theo yêu cầu hợp lý của Khách hàng, Velo CRM cung cấp tài liệu mô tả luồng dữ liệu, biện pháp bảo mật, danh sách bên xử lý phụ và nơi lưu trữ dữ liệu, phục vụ việc Khách hàng lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và giải trình với cơ quan quản lý.

Các biện pháp kỹ thuật và tổ chức được liệt kê tại Phụ lục 2 dưới đây. Velo CRM có thể cập nhật biện pháp bảo mật theo hướng nâng cao, nhưng không được hạ thấp mức bảo vệ so với thời điểm ký kết.

• Velo CRM cung cấp tài liệu mô tả biện pháp bảo mật và kết quả đánh giá nội bộ để Khách hàng xem xét.
• Khách hàng có quyền yêu cầu kiểm tra không quá một lần mỗi năm, thông báo trước ít nhất 30 ngày, trong giờ làm việc, không gây gián đoạn vận hành và không tiếp cận dữ liệu của khách hàng khác. Chi phí kiểm tra do Khách hàng chịu, trừ trường hợp kiểm tra phát hiện vi phạm nghiêm trọng của Velo CRM.
• Khi cơ quan nhà nước có thẩm quyền yêu cầu, Velo CRM phối hợp cung cấp thông tin theo quy định và thông báo cho Khách hàng nếu pháp luật cho phép.

• Khi hợp đồng chấm dứt, Khách hàng có 30 ngày để tự xuất dữ liệu bằng công cụ trong sản phẩm hoặc yêu cầu Velo CRM hỗ trợ xuất dữ liệu.
• Hết thời hạn nêu trên, Velo CRM xoá hoặc ẩn danh dữ liệu cá nhân của Khách hàng chậm nhất 90 ngày kể từ ngày chấm dứt.
• Bản sao lưu được ghi đè theo chu kỳ luân chuyển, tối đa 35 ngày; trong thời gian chưa ghi đè, dữ liệu trong bản sao lưu vẫn được bảo vệ theo Phụ lục này và không được sử dụng cho mục đích khác.
• Dữ liệu phải lưu theo nghĩa vụ pháp luật, ví dụ chứng từ kế toán, được giữ lại trong thời hạn luật định và chỉ dùng cho mục đích tuân thủ.
• Velo CRM cung cấp xác nhận đã hoàn tất việc xoá dữ liệu khi Khách hàng yêu cầu bằng văn bản.