Thỏa thuận xử lý dữ liệu (DPA)

Các bên

Thỏa thuận xử lý dữ liệu này (sau đây gọi là "DPA") là phụ lục không tách rời của Hợp đồng dịch vụ Kalera PA (sau đây gọi là "Hợp đồng") giữa khách hàng — tổ chức hoặc doanh nghiệp đăng ký sử dụng dịch vụ (sau đây gọi là "Đơn vị kiểm soát dữ liệu" hoặc "khách hàng") — và Kalera AI (sau đây gọi là "Đơn vị xử lý dữ liệu", "Kalera" hoặc "chúng tôi"). DPA quy định các điều khoản áp dụng khi Kalera xử lý dữ liệu cá nhân thay mặt khách hàng trong quá trình cung cấp dịch vụ trợ lý AI Kalera PA trên nền tảng web (pa.kalera.ai), ứng dụng di động (iOS, Android) và ứng dụng máy tính (desktop).

Trong quan hệ này, khách hàng là Đơn vị kiểm soát dữ liệu — bên xác định mục đích và phương thức xử lý dữ liệu cá nhân, đồng thời chịu trách nhiệm bảo đảm có đầy đủ cơ sở pháp lý cho việc thu thập và đưa dữ liệu vào dịch vụ. Kalera là Đơn vị xử lý dữ liệu — bên xử lý dữ liệu cá nhân thay mặt và theo chỉ dẫn hợp pháp của khách hàng, không xử lý cho mục đích riêng của mình ngoài phạm vi cần thiết để cung cấp dịch vụ và tuân thủ pháp luật.

Chủ thể dữ liệu được đề cập trong DPA này bao gồm người dùng, nhân sự của khách hàng và các cá nhân xuất hiện trong dữ liệu mà khách hàng đưa vào dịch vụ.

DPA được lập và giải thích theo pháp luật Việt Nam, đặc biệt là Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân (sau đây gọi là "PDPD"). Trường hợp có mâu thuẫn giữa DPA và Hợp đồng về các vấn đề liên quan đến xử lý và bảo vệ dữ liệu cá nhân, các điều khoản của DPA sẽ được ưu tiên áp dụng. Mọi yêu cầu ký kết, câu hỏi hoặc thông báo liên quan đến DPA này, xin liên hệ Kalera qua địa chỉ [email protected].

Phạm vi và đối tượng xử lý

Đối tượng của việc xử lý là dữ liệu cá nhân do khách hàng hoặc người dùng của khách hàng cung cấp, tạo ra hoặc đưa vào dịch vụ. Bản chất và mục đích của việc xử lý là cung cấp, duy trì, vận hành và hỗ trợ dịch vụ trợ lý AI Kalera PA theo Hợp đồng và theo chỉ dẫn của khách hàng. Thời hạn xử lý kéo dài trong suốt thời gian hiệu lực của Hợp đồng và trong khoảng thời gian hợp lý sau khi chấm dứt để thực hiện các nghĩa vụ trả lại, xóa dữ liệu và tuân thủ pháp luật, như quy định tại mục Trả lại và xóa dữ liệu.

Chủ thể dữ liệu gồm người dùng và nhân sự của khách hàng, cùng các cá nhân xuất hiện trong dữ liệu mà khách hàng đưa vào dịch vụ, ví dụ các cá nhân được nhắc đến trong nội dung hội thoại, tệp đính kèm hoặc dữ liệu tích hợp. Các loại dữ liệu cá nhân được xử lý bao gồm:

• Dữ liệu tài khoản và hồ sơ: địa chỉ email, tên hiển thị, mật khẩu (lưu ở dạng đã băm), và thông tin thiết lập ban đầu như tên công ty, ngành nghề, quy mô, website, vai trò, múi giờ, giờ làm việc, ngôn ngữ và đoạn mô tả persona ("soul").
• Nội dung sử dụng: tin nhắn hội thoại, phản hồi do AI tạo ra, lịch sử trò chuyện, tệp và hình ảnh đính kèm, cùng bộ nhớ tri thức của người dùng (Munin).
• Dữ liệu tích hợp do khách hàng tự kết nối: thông tin máy chủ email (SMTP/IMAP) được lưu ở dạng mã hóa hoặc ủy quyền Gmail (OAuth), mã truy cập trang Facebook để đăng bài, cùng dữ liệu đăng nhập bên thứ ba (SSO) gồm email, tên và mã truy cập (token OAuth).
• Nội dung tạo sinh: hình ảnh và video do AI tạo ra theo yêu cầu.
• Dữ liệu đo lường sử dụng: số token, chi phí và hạn mức.
• Dữ liệu thiết bị và kỹ thuật: mã thông báo đẩy (push token), loại nền tảng, địa chỉ IP, nhật ký kỹ thuật (log) và nhật ký kiểm toán (audit log).
• Dữ liệu phân tích sản phẩm thu thập qua công cụ PostHog.
• Dữ liệu liên quan đến thanh toán được xử lý qua đối tác SePay trên nền tảng web (gói dịch vụ, hóa đơn và trạng thái giao dịch).

Nghĩa vụ của Đơn vị xử lý dữ liệu

Kalera cam kết thực hiện các nghĩa vụ của Đơn vị xử lý dữ liệu theo PDPD và theo DPA này. Cụ thể, Kalera:

• Chỉ xử lý dữ liệu cá nhân theo chỉ dẫn hợp pháp bằng văn bản của khách hàng, bao gồm chỉ dẫn thể hiện qua Hợp đồng, qua cấu hình dịch vụ mà khách hàng thiết lập và qua các thao tác của người dùng thuộc khách hàng; không xử lý cho mục đích khác trừ khi pháp luật yêu cầu, và trong trường hợp đó sẽ thông báo cho khách hàng trước khi xử lý, trừ khi pháp luật cấm việc thông báo.
• Bảo đảm nhân sự được phép truy cập dữ liệu cá nhân cam kết bảo mật và chỉ truy cập trong phạm vi cần thiết cho công việc.
• Áp dụng các biện pháp kỹ thuật và tổ chức phù hợp để bảo vệ dữ liệu cá nhân, như mô tả tại mục Biện pháp kỹ thuật và tổ chức (TOMs).
• Chỉ sử dụng bên xử lý dữ liệu phụ (sub-processor) theo các điều kiện nêu tại mục Sub-processors và ràng buộc các bên này bằng nghĩa vụ bảo vệ dữ liệu tương đương thông qua hợp đồng.
• Hỗ trợ khách hàng trong việc đáp ứng yêu cầu của chủ thể dữ liệu và thực hiện các nghĩa vụ tuân thủ, như mô tả tại mục Hỗ trợ Đơn vị kiểm soát dữ liệu.
• Thông báo cho khách hàng khi phát hiện sự cố vi phạm dữ liệu cá nhân, như mô tả tại mục Thông báo vi phạm dữ liệu.
• Trả lại hoặc xóa dữ liệu cá nhân khi kết thúc việc cung cấp dịch vụ, như mô tả tại mục Trả lại và xóa dữ liệu.
• Cung cấp cho khách hàng các thông tin cần thiết để chứng minh việc tuân thủ nghĩa vụ của Đơn vị xử lý dữ liệu, và tạo điều kiện cho hoạt động kiểm tra theo mục Audit và kiểm tra.

Biện pháp kỹ thuật và tổ chức (TOMs)

Kalera áp dụng các biện pháp kỹ thuật và tổ chức phù hợp nhằm bảo vệ dữ liệu cá nhân trước các rủi ro truy cập trái phép, tiết lộ, thay đổi, mất mát hoặc phá hủy. Các biện pháp này được rà soát và cải thiện theo thời gian phù hợp với thực tiễn vận hành và mức độ rủi ro. Các biện pháp bao gồm:

• Mã hóa dữ liệu khi lưu trữ (at-rest) và khi truyền tải trên đường truyền (in-transit, qua giao thức TLS).
• Cô lập dữ liệu theo từng khách hàng và từng không gian làm việc (per-tenant/workspace), hạn chế việc dữ liệu của các khách hàng khác nhau bị truy cập chéo.
• Kiểm soát truy cập theo vai trò, giới hạn quyền truy cập ở mức cần thiết cho công việc.
• Lưu thông tin đăng nhập máy chủ email (SMTP/IMAP) do khách hàng kết nối ở dạng mã hóa.
• Ghi nhận các hành động quan trọng vào nhật ký kiểm toán (audit log) phục vụ truy vết và giám sát an ninh.
• Thực hiện sao lưu (backup) định kỳ và có quy trình khôi phục nhằm bảo đảm tính sẵn sàng của dữ liệu.
• Áp dụng các biện pháp giám sát an ninh, phát hiện và xử lý sự cố cùng quy trình phản ứng khi có dấu hiệu bất thường.

Sub-processors

Khách hàng đồng ý rằng Kalera có thể sử dụng bên xử lý dữ liệu phụ (sub-processor) để cung cấp dịch vụ. Kalera ký kết hợp đồng với mỗi sub-processor, theo đó sub-processor bị ràng buộc bởi các nghĩa vụ bảo vệ dữ liệu về cơ bản tương đương với các nghĩa vụ nêu trong DPA này, phù hợp với dịch vụ mà bên đó cung cấp. Kalera chịu trách nhiệm về hoạt động của sub-processor trong phạm vi tương ứng với nghĩa vụ của Đơn vị xử lý dữ liệu.

Kalera có thể thay đổi, bổ sung hoặc thay thế sub-processor theo nhu cầu vận hành. Khi có thay đổi đối với sub-processor xử lý dữ liệu cá nhân, Kalera sẽ thông báo trước cho khách hàng trong khoảng thời gian hợp lý. Khách hàng có quyền phản đối một cách hợp lý đối với sub-processor mới vì lý do liên quan đến bảo vệ dữ liệu; trong trường hợp đó, các bên sẽ thiện chí trao đổi để tìm giải pháp phù hợp, và nếu không đạt được giải pháp, khách hàng có quyền chấm dứt phần dịch vụ bị ảnh hưởng theo các điều khoản của Hợp đồng.

Tại thời điểm hiện tại, Kalera sử dụng các nhóm sub-processor sau:

• Nhà cung cấp mô hình AI, chỉ để suy luận (inference) và không để huấn luyện: Anthropic (mô hình Claude) và Google (Gemini/Vertex AI).
• Hạ tầng điện toán đám mây: Google Cloud Platform (bao gồm Vertex AI và lưu trữ Google Cloud Storage) và dịch vụ mạng phân phối nội dung (CDN).
• Phân tích sản phẩm: PostHog.
• Gửi email: nhà cung cấp dịch vụ máy chủ email (SMTP).
• Thanh toán: SePay (áp dụng cho thanh toán trên nền tảng web).
• Thông báo đẩy: Expo, Apple Push Notification service (APNs) và Firebase Cloud Messaging (FCM).

Chuyển dữ liệu qua biên giới

Để cung cấp dịch vụ, dữ liệu cá nhân có thể được xử lý và lưu trữ trên hạ tầng của các nhà cung cấp đặt ngoài lãnh thổ Việt Nam. Cụ thể, hạ tầng điện toán vận hành trên Google Cloud Platform, trong đó một số tính năng — ví dụ tạo sinh video và suy luận của một số mô hình AI — có thể được xử lý tại các trung tâm dữ liệu ở Hoa Kỳ và các khu vực khác. Bên cạnh đó, việc xử lý nội dung bởi các nhà cung cấp mô hình AI (Anthropic đối với mô hình Claude, Google đối với Gemini/Vertex AI) có thể diễn ra tại Hoa Kỳ hoặc các quốc gia khác ngoài Việt Nam.

Điều này đồng nghĩa với việc dữ liệu cá nhân được xử lý theo DPA có thể được chuyển ra ngoài biên giới Việt Nam. Kalera thực hiện việc chuyển dữ liệu này phù hợp với quy định về chuyển dữ liệu cá nhân ra nước ngoài tại PDPD, bao gồm việc lập và lưu Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và thực hiện các nghĩa vụ liên quan với cơ quan nhà nước có thẩm quyền. Khách hàng, với tư cách Đơn vị kiểm soát dữ liệu, có trách nhiệm phối hợp cung cấp thông tin cần thiết cho việc lập hồ sơ này khi được yêu cầu.

Kalera áp dụng các biện pháp bảo vệ phù hợp đối với dữ liệu được chuyển ra nước ngoài, gồm mã hóa khi lưu trữ và khi truyền tải, cùng các cam kết bảo mật và cam kết không huấn luyện AI được ràng buộc qua hợp đồng với các nhà cung cấp. Đối với khách hàng thuộc phạm vi điều chỉnh của Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu (GDPR), Kalera có thể cung cấp Điều khoản hợp đồng mẫu (Standard Contractual Clauses — SCC) theo yêu cầu để làm cơ sở cho việc chuyển dữ liệu.

Hỗ trợ Đơn vị kiểm soát dữ liệu

Trong phạm vi phù hợp với vai trò Đơn vị xử lý dữ liệu và bản chất của việc xử lý, Kalera hỗ trợ khách hàng thực hiện các nghĩa vụ theo PDPD.

Khi Kalera nhận trực tiếp yêu cầu từ một chủ thể dữ liệu liên quan đến dữ liệu mà Kalera xử lý thay mặt khách hàng, Kalera sẽ chuyển yêu cầu đó cho khách hàng và không tự mình phản hồi thay khách hàng, trừ khi được khách hàng cho phép hoặc pháp luật yêu cầu. Khách hàng có thể liên hệ [email protected] để yêu cầu hỗ trợ; Kalera có thể áp dụng khoản chi phí hợp lý cho phần hỗ trợ vượt quá phạm vi thông thường của dịch vụ, theo thỏa thuận trước với khách hàng. Cụ thể, phạm vi hỗ trợ của Kalera gồm:

• Hỗ trợ khách hàng đáp ứng yêu cầu của chủ thể dữ liệu về thực hiện các quyền theo PDPD, gồm quyền được biết, quyền truy cập, quyền chỉnh sửa, quyền xóa, quyền rút lại sự đồng ý, quyền hạn chế và phản đối xử lý, cùng quyền yêu cầu cung cấp dữ liệu — thông qua các tính năng sẵn có của dịch vụ hoặc bằng biện pháp kỹ thuật hợp lý khi cần.
• Cung cấp thông tin cần thiết để khách hàng lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài.
• Hỗ trợ khách hàng trong việc trao đổi, làm việc với cơ quan nhà nước có thẩm quyền liên quan đến hoạt động xử lý dữ liệu theo DPA khi có yêu cầu.
• Hỗ trợ khách hàng thực hiện nghĩa vụ bảo đảm an toàn dữ liệu và xử lý sự cố vi phạm dữ liệu cá nhân.

Thông báo vi phạm dữ liệu

Khi phát hiện sự cố vi phạm dữ liệu cá nhân liên quan đến dữ liệu mà Kalera xử lý thay mặt khách hàng, Kalera sẽ thông báo cho khách hàng không chậm trễ một cách bất hợp lý sau khi xác nhận sự cố, nhằm hỗ trợ khách hàng thực hiện nghĩa vụ thông báo của mình theo PDPD, kể cả nghĩa vụ thông báo cho cơ quan nhà nước có thẩm quyền trong thời hạn luật định.

Trường hợp không thể cung cấp đầy đủ thông tin cùng một lúc, Kalera sẽ cung cấp thông tin theo từng đợt mà không trì hoãn quá mức. Kalera sẽ hợp tác một cách thiện chí với khách hàng trong quá trình điều tra, khắc phục và thực hiện các nghĩa vụ thông báo theo quy định pháp luật. Việc Kalera thông báo hoặc hỗ trợ liên quan đến một sự cố không đồng nghĩa với việc Kalera thừa nhận lỗi hay trách nhiệm đối với sự cố đó.

Trong phạm vi thông tin đã có tại thời điểm thông báo, nội dung thông báo của Kalera bao gồm:

• Mô tả về bản chất của sự cố vi phạm dữ liệu cá nhân.
• Các loại dữ liệu cá nhân và nhóm chủ thể dữ liệu có khả năng bị ảnh hưởng, cùng phạm vi ảnh hưởng ước tính.
• Hậu quả có thể xảy ra của sự cố.
• Các biện pháp mà Kalera đã hoặc dự kiến thực hiện để khắc phục, giảm thiểu tác hại và ngăn ngừa tái diễn.
• Thông tin đầu mối liên hệ của Kalera để khách hàng trao đổi và phối hợp xử lý.

Audit và kiểm tra

Kalera cung cấp cho khách hàng các thông tin cần thiết một cách hợp lý để chứng minh việc tuân thủ các nghĩa vụ của Đơn vị xử lý dữ liệu theo DPA này. Theo yêu cầu bằng văn bản của khách hàng, Kalera sẽ cung cấp tài liệu và bằng chứng phù hợp về các biện pháp kỹ thuật, tổ chức và quy trình bảo vệ dữ liệu mà Kalera đang áp dụng.

Kalera hiện chưa tuyên bố sở hữu chứng nhận độc lập theo các tiêu chuẩn cụ thể; các quyền và cơ chế kiểm tra nêu dưới đây là phương thức để khách hàng đánh giá việc tuân thủ. Trong tương lai, nếu Kalera đạt được các chứng nhận hoặc báo cáo đánh giá độc lập, Kalera có thể cung cấp các tài liệu đó để thay thế hoặc bổ sung cho quy trình kiểm tra.

Khách hàng có quyền kiểm tra việc tuân thủ của Kalera theo các điều kiện sau nhằm bảo đảm hiệu quả kiểm tra đồng thời hạn chế ảnh hưởng đến hoạt động vận hành và an ninh của dịch vụ:

• Việc kiểm tra được thực hiện sau khi khách hàng gửi thông báo trước trong khoảng thời gian hợp lý, vào giờ làm việc thông thường và với tần suất hợp lý, thông thường không quá một lần trong mỗi mười hai (12) tháng, trừ khi có yêu cầu của cơ quan nhà nước có thẩm quyền hoặc sau khi xảy ra sự cố vi phạm dữ liệu cá nhân có liên quan.
• Trước tiên, Kalera có thể đáp ứng yêu cầu kiểm tra bằng cách cung cấp tài liệu, bảng câu hỏi và bằng chứng về việc tuân thủ; việc kiểm tra tại chỗ chỉ được tiến hành khi tài liệu cung cấp chưa đủ để đánh giá và trong phạm vi cần thiết.
• Phạm vi kiểm tra giới hạn ở các hệ thống, quy trình và tài liệu liên quan đến việc xử lý dữ liệu cá nhân của khách hàng, và không mở rộng tới dữ liệu của các khách hàng khác hay các thông tin bí mật không liên quan.
• Bên kiểm tra và nhân sự tham gia kiểm tra phải tuân thủ nghĩa vụ bảo mật và các quy định an ninh hợp lý của Kalera.
• Chi phí phát sinh cho việc kiểm tra do khách hàng chịu, trừ trường hợp việc kiểm tra phát hiện Kalera vi phạm nghĩa vụ trọng yếu theo DPA này.

Cam kết không huấn luyện AI

Kalera cam kết không sử dụng dữ liệu khách hàng — bao gồm nội dung hội thoại, tệp và hình ảnh đính kèm, bộ nhớ tri thức (Munin) và nội dung tạo sinh — để huấn luyện, tinh chỉnh (fine-tune) hoặc đánh giá bất kỳ mô hình AI nào, dù là mô hình của Kalera hay của bên thứ ba. Đây là cam kết có hiệu lực hợp đồng, được chính DPA này ghi nhận.

Việc gửi nội dung của khách hàng tới các nhà cung cấp mô hình AI (Anthropic, Google) chỉ nhằm mục đích suy luận (inference) để tạo ra phản hồi tức thời phục vụ khách hàng. Kalera ràng buộc các nhà cung cấp này bằng điều khoản hợp đồng, theo đó dữ liệu của khách hàng không được sử dụng để huấn luyện hoặc cải thiện mô hình của họ. Trong quá trình vận hành, nhà cung cấp có thể lưu giữ dữ liệu trong thời gian giới hạn nhằm mục đích cung cấp dịch vụ hoặc phát hiện, ngăn chặn lạm dụng, nhưng không sử dụng cho mục đích huấn luyện.

Cam kết này được áp dụng thống nhất với các cam kết tương ứng trong Chính sách bảo mật và Điều khoản dịch vụ của Kalera, và tiếp tục có hiệu lực trong suốt thời gian Kalera xử lý dữ liệu khách hàng.

Trả lại và xóa dữ liệu

Khi Hợp đồng chấm dứt hoặc khi việc cung cấp dịch vụ liên quan đến việc xử lý kết thúc, khách hàng có quyền yêu cầu Kalera trả lại (xuất) dữ liệu cá nhân đang được xử lý. Trước hoặc trong một khoảng thời gian hợp lý sau khi chấm dứt, khách hàng có thể xuất dữ liệu khách hàng thông qua các tính năng của dịch vụ hoặc theo hỗ trợ hợp lý từ Kalera.

Sau khi hoàn tất việc trả lại hoặc sau khi hết thời hạn xuất dữ liệu, Kalera sẽ xóa hoặc ẩn danh dữ liệu cá nhân trong một khoảng thời gian hợp lý, thông thường trong vòng 90 ngày, trừ phần dữ liệu mà Kalera có nghĩa vụ hoặc quyền lưu giữ lâu hơn theo quy định pháp luật hoặc vì mục đích chính đáng. Trong thời gian tài khoản còn hoạt động, nội dung hội thoại, tệp đính kèm và bộ nhớ tri thức được lưu cho đến khi khách hàng hoặc người dùng của khách hàng xóa hoặc yêu cầu xóa.

Một số loại dữ liệu có thể được lưu giữ lâu hơn, ví dụ: chứng từ và hóa đơn thanh toán được lưu theo thời hạn quy định của pháp luật kế toán và thuế Việt Nam; nhật ký kiểm toán và nhật ký bảo mật được lưu trong thời hạn cần thiết phục vụ an ninh hệ thống và tuân thủ. Bản sao lưu (backup) được luân chuyển và xóa theo chu kỳ định kỳ; dữ liệu còn tồn tại trong bản sao lưu sẽ được xóa theo chu kỳ này và trong thời gian đó tiếp tục được bảo vệ bằng các biện pháp phù hợp.

Theo yêu cầu, Kalera sẽ xác nhận cho khách hàng về việc đã hoàn tất xóa hoặc ẩn danh dữ liệu cá nhân, phù hợp với các ngoại lệ lưu giữ nêu trên.

Trách nhiệm pháp lý và bồi thường

Mỗi bên chịu trách nhiệm thực hiện các nghĩa vụ của mình theo DPA này và theo PDPD. Với vai trò Đơn vị kiểm soát dữ liệu, khách hàng chịu trách nhiệm bảo đảm có đầy đủ cơ sở pháp lý cho việc thu thập, sử dụng và đưa dữ liệu cá nhân vào dịch vụ, cũng như tính hợp pháp của các chỉ dẫn đưa ra cho Kalera. Với vai trò Đơn vị xử lý dữ liệu, Kalera chịu trách nhiệm xử lý dữ liệu theo chỉ dẫn hợp pháp của khách hàng và thực hiện các nghĩa vụ của Đơn vị xử lý dữ liệu theo DPA này.

Mỗi bên có nghĩa vụ bồi thường cho bên kia đối với các thiệt hại trực tiếp thực tế phát sinh do bên đó vi phạm nghĩa vụ của mình theo DPA này hoặc theo pháp luật về bảo vệ dữ liệu cá nhân, trong phạm vi lỗi và mức độ đóng góp vào thiệt hại của bên vi phạm, và theo quy định của pháp luật Việt Nam.

Tổng trách nhiệm của các bên phát sinh từ hoặc liên quan đến DPA này được điều chỉnh và giới hạn theo các điều khoản về giới hạn trách nhiệm quy định trong Hợp đồng và Điều khoản dịch vụ, trừ những trách nhiệm mà pháp luật không cho phép loại trừ hoặc giới hạn. Không bên nào chịu trách nhiệm đối với các thiệt hại gián tiếp, ngẫu nhiên hoặc mang tính hậu quả trong phạm vi pháp luật cho phép.

Các điều khoản của DPA này về bảo mật, bảo vệ dữ liệu, trả lại và xóa dữ liệu, cùng trách nhiệm pháp lý và bồi thường tiếp tục có hiệu lực sau khi Hợp đồng chấm dứt trong phạm vi cần thiết để thực hiện các nghĩa vụ tương ứng. Mọi câu hỏi liên quan đến DPA này, xin liên hệ [email protected].