PHỤ LỤC XỬ LÝ DỮ LIỆU

Cập nhật lần cuối: Ngày 6 tháng 7 năm 2026

Phụ lục Xử lý Dữ liệu này ("DPA") là một phần của Điều khoản và Điều kiện ("Thỏa thuận") giữa Acira AI LLC ("Bên xử lý", "chúng tôi") và người dùng Dịch vụ ("Bên kiểm soát", "bạn"), và bổ sung Thỏa thuận về việc xử lý dữ liệu cá nhân.

DPA này áp dụng khi bạn sử dụng Dịch vụ để tạo, lưu trữ và xuất bản các trang web thu thập hoặc xử lý dữ liệu cá nhân của các cá nhân tại Khu vực Kinh tế Châu Âu ("EEA"), Vương quốc Anh ("UK") hoặc Thụy Sĩ, hoặc khi có yêu cầu theo luật bảo vệ dữ liệu hiện hành.

DPA này có thể được dịch sang các ngôn ngữ khác để thuận tiện cho bạn. Trong trường hợp có bất kỳ xung đột hoặc không nhất quán nào giữa phiên bản tiếng Anh và bất kỳ phiên bản dịch nào, phiên bản tiếng Anh sẽ được ưu tiên áp dụng.

MỤC LỤC

1. ĐỊNH NGHĨA
2. PHẠM VI VÀ VAI TRÒ
3. CHI TIẾT XỬ LÝ DỮ LIỆU
4. NGHĨA VỤ CỦA BÊN XỬ LÝ
5. NGHĨA VỤ CỦA BÊN KIỂM SOÁT
6. BÊN XỬ LÝ PHỤ
7. CHUYỂN DỮ LIỆU QUỐC TẾ
8. QUYỀN CỦA CHỦ THỂ DỮ LIỆU
9. BẢO MẬT DỮ LIỆU
10. THÔNG BÁO VI PHẠM DỮ LIỆU
11. Kiểm toán và Xác minh Tuân thủ
12. LƯU GIỮ VÀ XÓA DỮ LIỆU
13. THỜI HẠN VÀ CHẤM DỨT
14. GIỚI HẠN TRÁCH NHIỆM
15. LIÊN HỆ VỚI CHÚNG TÔI

1. ĐỊNH NGHĨA

"Luật Bảo vệ Dữ liệu Hiện hành" có nghĩa là tất cả các luật và quy định áp dụng cho việc xử lý dữ liệu cá nhân theo DPA này, bao gồm (nếu có) Quy định Bảo vệ Dữ liệu Chung (EU) 2016/679 ("GDPR"), UK GDPR, Đạo luật Liên bang Thụy Sĩ về Bảo vệ Dữ liệu ("FADP") và Đạo luật Quyền riêng tư của Người tiêu dùng California ("CCPA").

"Bên kiểm soát" có nghĩa là thể nhân hoặc pháp nhân xác định mục đích và phương tiện xử lý dữ liệu cá nhân — trong bối cảnh này là bạn, người dùng Dịch vụ vận hành trang web thông qua nền tảng.

"Chủ thể dữ liệu" có nghĩa là thể nhân đã được xác định hoặc có thể xác định được có dữ liệu cá nhân được xử lý.

"Dữ liệu cá nhân" có nghĩa là bất kỳ thông tin nào liên quan đến Chủ thể dữ liệu được xử lý thông qua Dịch vụ.

"Xử lý" có nghĩa là bất kỳ hoạt động nào được thực hiện trên dữ liệu cá nhân, bao gồm thu thập, ghi chép, tổ chức, cấu trúc hóa, lưu trữ, điều chỉnh, truy xuất, tham khảo, sử dụng, tiết lộ, phổ biến, hạn chế, xóa hoặc tiêu hủy.

"Bên xử lý" có nghĩa là thể nhân hoặc pháp nhân xử lý dữ liệu cá nhân thay mặt Bên kiểm soát — trong bối cảnh này là Acira AI LLC.

"Bên xử lý phụ" có nghĩa là bất kỳ bên thứ ba nào được Bên xử lý thuê để xử lý dữ liệu cá nhân thay mặt Bên kiểm soát.

"Điều khoản Hợp đồng Tiêu chuẩn" hoặc "SCCs" có nghĩa là các điều khoản hợp đồng tiêu chuẩn để chuyển dữ liệu cá nhân đến các bên xử lý được thành lập tại các nước thứ ba, được Ủy ban Châu Âu thông qua.

2. PHẠM VI VÀ VAI TRÒ

2.1 Quan hệ Xử lý

Khi bạn sử dụng Dịch vụ để tạo và vận hành một trang web thu thập dữ liệu cá nhân từ khách truy cập trang web của bạn (thông qua biểu mẫu, tài khoản người dùng, tương tác chatbot, bình luận, đánh giá hoặc các tính năng tương tác khác), bạn đóng vai trò là Bên kiểm soát và chúng tôi đóng vai trò là Bên xử lý dữ liệu cá nhân của khách truy cập đó.

2.2 Vai trò của Chúng tôi với tư cách là Bên kiểm soát

Chúng tôi hoạt động với tư cách là Bên kiểm soát độc lập đối với dữ liệu cá nhân mà chúng tôi thu thập cho mục đích riêng, bao gồm: thông tin tài khoản của bạn, dữ liệu thanh toán, phân tích sử dụng, đặc điểm chung của trang web được rút ra từ nội dung trang web của bạn (chẳng hạn như ngành hoặc loại hình kinh doanh), và dữ liệu vận hành nền tảng. Việc xử lý dữ liệu này được điều chỉnh bởi Chính sách Quyền riêng tư của chúng tôi và nằm ngoài phạm vi của DPA này.

Nhà cung cấp dịch vụ thanh toán (Merchant of Record). Các khoản thanh toán cho các Dịch vụ trả phí được xử lý bởi một nhà cung cấp dịch vụ thanh toán bên thứ ba đóng vai trò là Merchant of Record — nhà bán lại được ủy quyền và bên bán theo pháp lý — cho giao dịch của bạn, hiện là Stripe (thông qua công ty liên kết Sold through Link, LLC). Với vai trò đó, nhà cung cấp này xác định mục đích và phương tiện xử lý thông tin thanh toán mà bạn cung cấp khi thanh toán và do đó hành động với tư cách là bên kiểm soát độc lập theo quyền riêng của mình, chứ không phải là bên xử lý phụ của chúng tôi. Việc xử lý của họ chịu sự điều chỉnh bởi các điều khoản và thông báo về quyền riêng tư của riêng họ và nằm ngoài phạm vi của DPA này. Chúng tôi chỉ nhận được dữ liệu giao dịch và thanh toán hạn chế từ họ, mà chúng tôi xử lý với tư cách là Bên kiểm soát độc lập như mô tả ở trên.

2.3 Phân tích Nền tảng

Chúng tôi thu thập các phân tích cơ bản, thân thiện với quyền riêng tư về khách truy cập trang web (như được mô tả trong Thỏa thuận). Đối với dữ liệu phân tích, chúng tôi đóng vai trò là đồng kiểm soát với bạn. Chúng tôi đã thiết kế hệ thống phân tích để giảm thiểu việc thu thập dữ liệu cá nhân — chúng tôi không lưu trữ địa chỉ IP thô và số nhận dạng khách truy cập là các hàm băm có khóa, thay đổi hàng ngày và khác nhau trên từng trang web. Trách nhiệm của từng đồng kiểm soát như sau:

• Acira AI (Bên xử lý/Đồng kiểm soát): Xác định các phương tiện kỹ thuật thu thập phân tích, bao gồm dữ liệu nào được thu thập, cách tính toán số nhận dạng khách truy cập (hàm băm thay đổi hàng ngày) và cách dữ liệu được tổng hợp. Chúng tôi chịu trách nhiệm về bảo mật và tính toàn vẹn của cơ sở hạ tầng phân tích và trả lời các câu hỏi chung về cách hoạt động của phân tích trên nền tảng.
• Bạn (Bên kiểm soát/Đồng kiểm soát): Vận hành trang web nơi dữ liệu phân tích được thu thập (phân tích được cung cấp như một phần không thể tách rời của Dịch vụ trên tất cả các trang web được lưu trữ). Bạn có trách nhiệm tiết lộ việc thu thập dữ liệu phân tích trong chính sách quyền riêng tư của trang web và trả lời các yêu cầu của Chủ thể dữ liệu từ khách truy cập trang web của bạn liên quan đến dữ liệu phân tích của họ.
• Đầu mối liên hệ cho Chủ thể dữ liệu: Chủ thể dữ liệu có thể liên hệ với bạn (chủ trang web) về dữ liệu phân tích được thu thập trên trang web của bạn. Nếu chúng tôi nhận được yêu cầu từ Chủ thể dữ liệu liên quan đến dữ liệu phân tích, chúng tôi sẽ chuyển hướng họ đến bạn trừ khi bạn có hướng dẫn khác. Đối với các câu hỏi chung về nền tảng, Chủ thể dữ liệu có thể liên hệ với chúng tôi tại legal@acira.ai.

2.4 Bản chất của Thỏa thuận Đồng kiểm soát

Theo Điều 26(2) của GDPR, bản chất của thỏa thuận đồng kiểm soát đối với dữ liệu phân tích như sau: Chúng tôi (Acira AI) xác định các phương tiện kỹ thuật và điểm dữ liệu được thu thập; bạn (người vận hành trang web) vận hành trang web nơi dữ liệu phân tích được thu thập và chịu trách nhiệm tiết lộ việc thu thập cho khách truy cập của bạn. Mỗi bên chịu trách nhiệm về các nghĩa vụ tương ứng của mình theo Luật Bảo vệ Dữ liệu Hiện hành. Bạn là đầu mối liên hệ chính cho khách truy cập trang web của bạn về dữ liệu phân tích. Tóm tắt về thỏa thuận này được cung cấp cho Chủ thể dữ liệu thông qua DPA này và tại https://www.acira.ai/dpa.

2.5 Chỉ định Nhà cung cấp Dịch vụ theo CCPA

Trong phạm vi chúng tôi xử lý thông tin cá nhân thuộc Đạo luật Quyền riêng tư của Người tiêu dùng California ("CCPA") thay mặt bạn, chúng tôi là "nhà cung cấp dịch vụ" của bạn theo định nghĩa tại Cal. Civ. Code § 1798.140(ag). Chúng tôi sẽ không:

• Bán hoặc chia sẻ (theo nghĩa được định nghĩa trong CCPA) bất kỳ thông tin cá nhân nào bạn cung cấp cho chúng tôi;
• Lưu giữ, sử dụng hoặc tiết lộ thông tin cá nhân cho bất kỳ mục đích nào ngoài các mục đích kinh doanh được quy định trong DPA và Thỏa thuận này, hoặc ngoài phạm vi được CCPA cho phép;
• Lưu giữ, sử dụng hoặc tiết lộ thông tin cá nhân ngoài mối quan hệ kinh doanh trực tiếp giữa bạn và chúng tôi;
• Kết hợp thông tin cá nhân nhận được từ bạn với thông tin cá nhân mà chúng tôi nhận được từ hoặc thay mặt cho người khác hoặc thu thập từ các tương tác của chúng tôi với người tiêu dùng, ngoại trừ những trường hợp được CCPA cho phép.

Chúng tôi có thể rút ra các đặc điểm kinh doanh chung, không nhận dạng (chẳng hạn như phân loại ngành) từ nội dung trang web của bạn nhằm mục đích cung cấp các đề xuất sản phẩm liên quan, như được mô tả trong Mục 2.2. Việc sử dụng hạn chế này không cấu thành việc bán, chia sẻ hoặc kết hợp thông tin cá nhân theo nghĩa của CCPA.

Chúng tôi xác nhận rằng chúng tôi hiểu và sẽ tuân thủ các hạn chế này.

2.6 Chỉ định Đại diện

Chúng tôi chỉ định một đại diện bảo vệ dữ liệu tại mỗi khu vực tài phán nơi pháp luật hiện hành yêu cầu chúng tôi phải làm như vậy, và chúng tôi xác định bất kỳ đại diện nào như vậy trong Chính sách Quyền riêng tư của chúng tôi. Chúng tôi đánh giá các hoạt động xử lý của mình theo các ngưỡng chỉ định đại diện của những khu vực tài phán có liên quan đến Dịch vụ của chúng tôi — bao gồm Điều 14 của Đạo luật Liên bang Thụy Sĩ về Bảo vệ Dữ liệu (FADP) — và duy trì phân tích hỗ trợ trong các hồ sơ tuân thủ nội bộ của chúng tôi, mà chúng tôi định kỳ xem xét và cập nhật.

2.7 Trang web do Đại lý Quản lý

Khi một trang web được tạo hoặc vận hành thông qua Chương Trình Đại Lý của chúng tôi, một đại lý ("Đại lý") sử dụng Dịch vụ để xây dựng và quản lý trang web thay mặt cho khách hàng của chính mình ("Khách hàng Cuối"). Trong thỏa thuận đó:

• Khách hàng Cuối (hoặc, khi Đại lý vận hành trang web cho mục đích riêng của mình, Đại lý) là Bên Kiểm soát dữ liệu cá nhân của khách truy cập được thu thập thông qua trang web được quản lý.
• Khi Đại lý đóng vai trò là bên xử lý cho Khách hàng Cuối của mình, chúng tôi đóng vai trò là bên xử lý phụ được Đại lý thuê, và Điều khoản Hợp đồng Tiêu chuẩn từ bên xử lý đến bên xử lý phụ (Mô-đun Ba) áp dụng cho mắt xích đó ngoài các mô-đun được mô tả trong Mục 7. Khi bản thân Đại lý là Bên Kiểm soát, chúng tôi đóng vai trò là Bên Xử lý của họ như được mô tả trong DPA này.
• Đại lý có trách nhiệm ký kết một thỏa thuận xử lý dữ liệu với mỗi Khách hàng Cuối theo các điều khoản nhất quán với DPA này, và đảm bảo rằng họ có thẩm quyền để chỉ thị cho chúng tôi thay mặt Khách hàng Cuối.
• Nhân viên của Đại lý được cấp quyền truy cập vào một trang web được quản lý có thể truy cập dữ liệu cá nhân của khách truy cập được lưu trữ cho trang web đó (bao gồm gửi biểu mẫu, cuộc trò chuyện chatbot, dữ liệu phiên làm việc, và bản ghi bảng người dùng) nhằm mục đích xây dựng, quản lý và vận hành trang web. Đại lý có trách nhiệm hạn chế và giám sát quyền truy cập đó theo Luật Bảo vệ Dữ liệu Hiện hành.

Các điều khoản của Chương Trình Đại Lý, bao gồm các nghĩa vụ của Đại lý, được nêu trong Điều khoản Đại lý Acira AI tại https://www.acira.ai/agency-terms.

3. CHI TIẾT XỬ LÝ DỮ LIỆU

3.1 Đối tượng và Thời hạn

Việc xử lý dữ liệu cá nhân theo DPA này được thực hiện nhằm mục đích cung cấp Dịch vụ như được mô tả trong Thỏa thuận và sẽ tiếp tục trong suốt thời hạn của Thỏa thuận.

3.2 Tính chất và Mục đích Xử lý

Chúng tôi xử lý dữ liệu cá nhân để:

• Lưu trữ và phục vụ nội dung trang web của bạn
• Lưu trữ và quản lý dữ liệu được gửi qua các biểu mẫu và tính năng tương tác của trang web
• Duy trì tài khoản người dùng và phiên làm việc cho các khu vực được bảo vệ của trang web
• Gửi thông tin liên lạc qua email thay mặt bạn
• Chuyển tiếp email nhận được tại địa chỉ email tên miền tùy chỉnh của bạn
• Cung cấp cuộc trò chuyện chatbot AI với khách truy cập trang web của bạn
• Tạo mô tả và siêu dữ liệu được hỗ trợ bởi AI cho các tệp đã tải lên
• Chuyển đổi các tệp đã tải lên sang định dạng tối ưu cho web
• Cung cấp phân tích khách truy cập
• Rút ra đặc điểm chung của trang web (chẳng hạn như ngành hoặc loại hình kinh doanh) để cung cấp các đề xuất nền tảng liên quan
• Phát hiện và ngăn chặn spam và lạm dụng (bao gồm cả thử thách bot bằng bằng chứng công việc)
• Thực hiện kiểm duyệt nội dung trên các tệp đã tải lên
• Xem xét nội dung trang web trong quá trình xuất bản để đảm bảo tuân thủ chính sách nội dung nền tảng
• Quản lý tùy chọn hủy đăng ký email cho người nhận email của trang web của bạn
• Tạo điều kiện cho các kênh liên lạc thời gian thực trên trang web của bạn thông qua kết nối WebSocket (tin nhắn là tạm thời và không được lưu trữ lâu dài)
• Cung cấp quyền truy cập theo chương trình vào nội dung và dữ liệu trang web của bạn thông qua giao diện dòng lệnh (CLI) và các API theo chương trình khác, theo chỉ thị của bạn (bao gồm truy xuất và xuất nội dung sang môi trường cục bộ của bạn)
• Duy trì nhật ký lỗi và chẩn đoán để đảm bảo độ tin cậy của nền tảng và khắc phục sự cố (có thể bao gồm địa chỉ IP và siêu dữ liệu yêu cầu; được lưu giữ tối đa ba mươi (30) ngày)

3.3 Loại Dữ liệu Cá nhân

Các loại dữ liệu cá nhân được xử lý phụ thuộc vào những gì bạn thu thập qua trang web của mình, có thể bao gồm:

• Tên và thông tin liên hệ
• Địa chỉ email
• Tin nhắn và gửi biểu mẫu
• Tệp tải lên do khách truy cập trang web gửi (chẳng hạn như hình ảnh và tài liệu)
• Nội dung cuộc trò chuyện chatbot (tin nhắn của khách truy cập và phản hồi AI)
• Thông tin xác thực tài khoản người dùng (được lưu trữ ở dạng băm)
• Dữ liệu phiên làm việc
• Địa chỉ IP (không được lưu trữ ở dạng thô: địa chỉ chỉ được dùng trong quá trình truyền để định tuyến yêu cầu, xác định quốc gia và khu vực, và xác minh thử thách bot. Ở những nơi cần lưu giữ một mã định danh — phân tích và giới hạn tốc độ — chỉ một hàm băm mật mã có khóa được lưu trữ, hàm băm này không thể đảo ngược thành địa chỉ nếu không có một khóa bí mật do chúng tôi nắm giữ và khác nhau đối với cùng một khách truy cập trên mỗi trang web. Các hàm băm dùng cho giới hạn tốc độ được tự động xóa trong vòng bốn mươi tám (48) giờ; mã định danh phân tích thay đổi mỗi hai mươi tư (24) giờ. Việc gửi biểu mẫu và các cuộc trò chuyện chatbot ghi nhận quốc gia và khu vực, không phải địa chỉ. Mã trang của chính bạn có thể đọc địa chỉ IP của khách truy cập; bất kỳ dữ liệu nào bạn chọn lưu trữ đều là hoạt động thu thập của riêng bạn, mà bạn là bên kiểm soát)
• Thông tin trình duyệt và thiết bị
• Dữ liệu vị trí (cấp quốc gia và khu vực, được suy ra từ IP)
• Hồ sơ hủy đăng ký email (địa chỉ email của người nhận và nội dung mà họ đã hủy đăng ký; được cung cấp cho bạn để bạn có thể tôn trọng và quản lý danh sách hủy đăng ký của trang web của mình)
• Kết quả phân loại spam (liệu một lần gửi có được xác định là spam hay không)
• Dữ liệu nhật ký lỗi và chẩn đoán (địa chỉ IP, đường dẫn yêu cầu và chi tiết lỗi; được lưu giữ tối đa ba mươi (30) ngày và tự động xóa)

3.4 Danh mục Chủ thể Dữ liệu

• Khách truy cập trang web của bạn
• Người dùng tạo tài khoản trên trang web của bạn
• Người dùng gửi biểu mẫu hoặc tương tác với chatbot trên trang web của bạn
• Người dùng gửi bình luận, đánh giá hoặc các đóng góp khác trên trang web của bạn

4. NGHĨA VỤ CỦA BÊN XỬ LÝ

Chúng tôi sẽ:

1. Chỉ xử lý dữ liệu cá nhân theo các hướng dẫn có tài liệu của bạn, trừ khi luật hiện hành yêu cầu (trong trường hợp đó, chúng tôi sẽ thông báo cho bạn về yêu cầu pháp lý đó trước khi xử lý, trừ khi luật pháp cấm);
2. Đảm bảo rằng những người được ủy quyền xử lý dữ liệu cá nhân đã cam kết bảo mật hoặc chịu nghĩa vụ bảo mật theo luật định phù hợp;
3. Thực hiện các biện pháp bảo mật kỹ thuật và tổ chức phù hợp như được mô tả trong Phần 9;
4. Tuân thủ các điều kiện để thuê bên xử lý phụ như quy định tại Phần 6;
5. Hỗ trợ bạn, có tính đến tính chất của việc xử lý, trong việc trả lời các yêu cầu từ Chủ thể dữ liệu thực hiện quyền của họ theo Luật Bảo vệ Dữ liệu Hiện hành;
6. Hỗ trợ bạn trong việc đảm bảo tuân thủ các nghĩa vụ của bạn theo Điều 32-36 của GDPR (bảo mật, thông báo vi phạm, đánh giá tác động bảo vệ dữ liệu và tham vấn trước), có tính đến tính chất xử lý và thông tin chúng tôi có. Khi việc sử dụng Dịch vụ của bạn liên quan đến việc xử lý rủi ro cao có thể yêu cầu Đánh giá Tác động Bảo vệ Dữ liệu (DPIA), chúng tôi sẽ cung cấp cho bạn thông tin về các hoạt động xử lý, biện pháp kỹ thuật và tổ chức của chúng tôi, cũng như các bên xử lý phụ để hỗ trợ đánh giá của bạn;
7. Hỗ trợ bạn thực hiện các nghĩa vụ theo Điều 22 của GDPR (ra quyết định tự động đối với cá nhân) bằng cách cung cấp thông tin về bất kỳ xử lý tự động nào được thực hiện thay mặt bạn, bao gồm kiểm duyệt nội dung, phát hiện spam và bảo vệ bot, và bằng cách tạo điều kiện cho việc xem xét của con người đối với các quyết định tự động theo yêu cầu;
8. Thông báo cho bạn nếu theo quan điểm của chúng tôi, một hướng dẫn từ bạn vi phạm Luật Bảo vệ Dữ liệu Hiện hành;
9. Theo lựa chọn của bạn, xóa hoặc trả lại tất cả dữ liệu cá nhân sau khi kết thúc việc cung cấp Dịch vụ, và xóa các bản sao hiện có trừ khi luật hiện hành yêu cầu lưu trữ;
10. Cung cấp cho bạn tất cả thông tin cần thiết để chứng minh việc tuân thủ các nghĩa vụ được quy định trong DPA này và đóng góp vào xác minh tuân thủ như được mô tả trong Phần 11.

5. NGHĨA VỤ CỦA BÊN KIỂM SOÁT

Bạn sẽ:

1. Đảm bảo rằng việc thu thập và xử lý dữ liệu cá nhân của bạn thông qua trang web tuân thủ tất cả các Luật Bảo vệ Dữ liệu Hiện hành;
2. Cung cấp thông báo quyền riêng tư phù hợp cho khách truy cập trang web mô tả các thực hành thu thập dữ liệu của bạn, bao gồm việc tiết lộ phân tích cấp nền tảng, tương tác chatbot được hỗ trợ bởi AI, phát hiện spam và bảo vệ bot;
3. Có được tất cả các sự đồng ý cần thiết hoặc thiết lập cơ sở pháp lý khác cho việc xử lý dữ liệu cá nhân thông qua trang web của bạn;
4. Đảm bảo rằng các hướng dẫn của bạn cho chúng tôi liên quan đến việc xử lý dữ liệu cá nhân tuân thủ Luật Bảo vệ Dữ liệu Hiện hành;
5. Chịu trách nhiệm về tính chính xác, chất lượng và tính hợp pháp của dữ liệu cá nhân được cung cấp cho chúng tôi thông qua trang web của bạn.

Bằng cách sử dụng Dịch vụ, bạn hướng dẫn chúng tôi thực hiện các hoạt động xử lý sau đây thay mặt bạn như một phần của hoạt động nền tảng tiêu chuẩn: kiểm duyệt nội dung của các tệp đã tải lên, xem xét chính sách nội dung của nội dung trang web đã xuất bản, phát hiện spam trên các gửi biểu mẫu, bảo vệ bot thông qua các thử thách bằng chứng công việc, và tương tác chatbot được hỗ trợ bởi AI với khách truy cập trang web của bạn. Các hoạt động này là hướng dẫn có tài liệu theo Điều 28(3)(a) của GDPR.

6. BÊN XỬ LÝ PHỤ

6.1 Bên Xử lý Phụ Được Ủy quyền

Bạn cấp ủy quyền chung cho chúng tôi thuê các bên xử lý phụ để hỗ trợ cung cấp Dịch vụ. Các bên xử lý phụ hiện tại của chúng tôi được liệt kê bên dưới và tại https://www.acira.ai/dpa.

6.2 Danh sách Bên Xử lý Phụ Hiện tại

Việc xử lý thanh toán được thực hiện bởi Merchant of Record của chúng tôi (Stripe), vốn hành động với tư cách là bên kiểm soát độc lập chứ không phải bên xử lý phụ và do đó không được liệt kê ở trên; xem Phần 2.2.

6.3 Thay đổi đối với Bên Xử lý Phụ

Chúng tôi sẽ thông báo về bất kỳ thay đổi dự kiến nào đối với danh sách nhà xử lý phụ cho các Dịch vụ bạn hiện đang sử dụng ít nhất ba mươi (30) ngày trước khi nhà xử lý phụ mới bắt đầu xử lý dữ liệu cá nhân, bằng cách cập nhật danh sách nhà xử lý phụ tại https://www.acira.ai/dpa và, nếu bạn đã đăng ký nhận thông báo về nhà xử lý phụ, qua email. Bạn có thể đăng ký nhận thông báo về thay đổi nhà xử lý phụ bằng cách gửi email đến legal@acira.ai với dòng chủ đề "Subprocessor Notifications." Khi chúng tôi giới thiệu các tính năng hoặc dịch vụ mới liên quan đến các nhà xử lý phụ bổ sung, các nhà xử lý phụ đó sẽ được tiết lộ vào thời điểm tính năng hoặc dịch vụ đó có sẵn; việc bạn sử dụng tính năng hoặc dịch vụ mới đồng nghĩa với việc chấp nhận các nhà xử lý phụ đã được tiết lộ. Nếu bạn có phản đối hợp lý đối với một nhà xử lý phụ mới xử lý dữ liệu cho các Dịch vụ hiện có, bạn có thể thông báo cho chúng tôi bằng văn bản trong vòng ba mươi (30) ngày kể từ khi có thông báo. Chúng tôi sẽ làm việc với bạn một cách thiện chí để giải quyết các mối lo ngại của bạn. Nếu chúng tôi không thể giải quyết sự phản đối một cách hợp lý theo mong muốn của bạn, bạn có thể chấm dứt Thỏa thuận bằng cách cung cấp thông báo bằng văn bản.

6.4 Nghĩa vụ của Bên Xử lý Phụ

Chúng tôi sẽ ký kết các thỏa thuận bằng văn bản với từng bên xử lý phụ áp đặt các nghĩa vụ bảo vệ dữ liệu không kém bảo vệ hơn những gì được quy định trong DPA này. Chúng tôi vẫn chịu trách nhiệm về các hành động và thiếu sót của các bên xử lý phụ ở mức độ tương tự như khi chúng tôi trực tiếp thực hiện các dịch vụ.

7. CHUYỂN DỮ LIỆU QUỐC TẾ

7.1 Cơ chế Chuyển dữ liệu

Dịch vụ được lưu trữ chủ yếu tại Hoa Kỳ. Dữ liệu cá nhân được xử lý thông qua Dịch vụ có thể được chuyển đến và xử lý tại Hoa Kỳ và các quốc gia khác nơi các bên xử lý phụ của chúng tôi hoạt động. Các nhà cung cấp suy luận AI (Fireworks AI và xAI) xử lý dữ liệu tại Hoa Kỳ. BrightData có thể xử lý dữ liệu tại Israel và các địa điểm khác trên toàn cầu. Cloudflare xử lý dữ liệu tại các vị trí edge trên toàn thế giới.

Lưu trú Dữ liệu EU: Đối với các nhà điều hành trang web được xác định là cư dân EU, chúng tôi áp dụng các biện pháp lưu trú dữ liệu sau đây để giảm thiểu việc chuyển dữ liệu cá nhân của khách truy cập ra ngoài Liên minh Châu Âu:

• Lưu trữ: Dữ liệu khách truy cập trong bộ lưu trữ biên bền vững — bao gồm các biểu mẫu đã gửi, cuộc hội thoại chatbot, dữ liệu phiên và dữ liệu bảng người dùng — được giới hạn về mặt pháp lý trong Liên minh Châu Âu. Dữ liệu này được lưu trữ độc quyền trong các trung tâm dữ liệu EU.
• Xử lý tự động hướng đến khách truy cập: Các hoạt động được kích hoạt tự động bởi hoạt động của khách truy cập — bao gồm thông báo gửi nội dung, giao nhận email giao dịch và dịch máy nội dung cơ sở dữ liệu trang web sang các ngôn ngữ bổ sung của trang web — được xử lý trong Liên minh Châu Âu và không đi qua cơ sở hạ tầng của Hoa Kỳ.
• Quyền truy cập quản lý nền tảng: Khi bạn truy cập dữ liệu khách truy cập trang web của mình thông qua bảng điều khiển nền tảng, giao diện hội thoại, hoặc giao diện dòng lệnh (CLI) hoặc các API theo chương trình khác (ví dụ: xem các biểu mẫu đã gửi, quản lý hồ sơ người dùng, hoặc xuất nội dung sang môi trường cục bộ của bạn), dữ liệu này có thể được xử lý thông qua hạ tầng của chúng tôi tại Hoa Kỳ để đáp ứng yêu cầu của bạn, và — khi bạn sử dụng CLI hoặc một giao diện theo chương trình — có thể được truyền đến và lưu trữ trong môi trường nơi bạn chạy các công cụ đó. Các chuyển giao này theo yêu cầu, được bạn (Bên kiểm soát) khởi xướng, và được bảo vệ bởi các cơ chế chuyển giao và biện pháp bổ sung được mô tả bên dưới trong phạm vi dữ liệu vẫn nằm trong hạ tầng của chúng tôi. Khi bạn đã xuất hoặc truy xuất dữ liệu cá nhân sang môi trường của riêng bạn (chẳng hạn như máy cục bộ hoặc công cụ phát triển của bên thứ ba), bạn chịu trách nhiệm về tính bảo mật và xử lý hợp pháp của dữ liệu đó; các biện pháp lưu trú theo pháp lý và các biện pháp kỹ thuật khác của chúng tôi không mở rộng đến dữ liệu cá nhân sau khi nó rời khỏi hạ tầng của chúng tôi.
• Nhật ký chẩn đoán: Nhật ký lỗi và nhật ký console do website của bạn tạo ra — kết quả chẩn đoán được hiển thị cho bạn trên trang Nhật ký của nền tảng — được lưu giữ trên hạ tầng của chúng tôi tại Hoa Kỳ. Đây là các bản ghi vận hành được lưu để bạn tự xem lại và không nhằm chứa dữ liệu cá nhân của khách truy cập; bạn kiểm soát những gì mã của website bạn ghi vào đó.
• Xử lý khác tại Hoa Kỳ: Dữ liệu phân tích và dữ liệu được xử lý bởi hạ tầng đám mây tại Hoa Kỳ của chúng tôi cho kiểm duyệt nội dung và suy luận AI vẫn có thể được chuyển đến Hoa Kỳ theo các cơ chế chuyển giao bên dưới.

Đối với việc chuyển dữ liệu cá nhân từ EEA, UK hoặc Thụy Sĩ đến các quốc gia không được công nhận là cung cấp mức độ bảo vệ dữ liệu đầy đủ, chúng tôi dựa vào:

1. Điều khoản Hợp đồng Tiêu chuẩn (SCCs): Chúng tôi kết hợp Điều khoản Hợp đồng Tiêu chuẩn của Ủy ban Châu Âu vào DPA này bằng cách tham chiếu: Mô-đun Một (Bên kiểm soát đến Bên kiểm soát) cho dữ liệu phân tích nơi chúng tôi đóng vai trò là đồng kiểm soát (xem Phần 2.3), và Mô-đun Hai (Bên kiểm soát đến Bên xử lý) cho tất cả dữ liệu cá nhân khác được xử lý thay mặt bạn. SCCs có tại https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en.
2. Phụ lục Chuyển dữ liệu Quốc tế của UK: Đối với việc chuyển từ UK, Phụ lục UK của EU SCCs được áp dụng.
3. Cơ chế Chuyển dữ liệu của Thụy Sĩ: Đối với việc chuyển từ Thụy Sĩ, SCCs được áp dụng với các sửa đổi theo yêu cầu của FADP Thụy Sĩ.

Nhằm mục đích của SCCs, các bên đồng ý rằng: (a) bên xuất khẩu dữ liệu là bạn và bên nhập khẩu dữ liệu là Acira AI LLC; (b) Phụ lục I.B (mô tả về việc chuyển) được hoàn thành bởi Mục 3 của DPA này; (c) Phụ lục II (các biện pháp kỹ thuật và tổ chức) được hoàn thành bởi Mục 7.2 và 9 của DPA này; (d) đối với Điều khoản 9, Tùy chọn 2 (ủy quyền chung bằng văn bản) được áp dụng, với thời hạn thông báo được nêu trong Mục 6.3; (e) điều khoản kết nối tùy chọn (Điều khoản 7) không được sử dụng; (f) đối với Điều khoản 17 (luật điều chỉnh) và Điều khoản 18 (lựa chọn diễn đàn), SCCs được điều chỉnh bởi luật của, và các tranh chấp phát sinh từ chúng được giải quyết trước tòa án của, Ireland; và (g) cơ quan giám sát có thẩm quyền trong Phụ lục I.C được xác định theo Điều khoản 13 của SCCs. Nhằm mục đích của Phụ lục Chuyển Dữ liệu Quốc tế của Vương quốc Anh (UK International Data Transfer Addendum), Bảng 1 đến Bảng 3 được coi là đã hoàn thành với các thông tin tương ứng được nêu trong DPA này và các lựa chọn SCC ở trên, và đối với Bảng 4, không bên nào có thể chấm dứt Phụ lục UK như được nêu trong Mục 19 của Phụ lục UK.

7.2 Biện pháp Bổ sung

Chúng tôi thực hiện các biện pháp bổ sung sau để bảo vệ dữ liệu cá nhân được chuyển:

• Mã hóa dữ liệu khi truyền (TLS/SSL) và khi lưu trữ
• Kiểm soát truy cập và cơ chế xác thực
• Đánh giá bảo mật định kỳ
• Thực hành tối thiểu hóa dữ liệu (ví dụ: hàm băm khách truy cập thay đổi hàng ngày thay vì lưu trữ IP thô)
• Lưu trú dữ liệu theo pháp lý cho các nhà điều hành trang web cư trú tại EU (lưu trữ bền vững và xử lý tự động hướng đến khách truy cập được giới hạn trong EU)
• Cơ sở hạ tầng tính toán và email đặt tại EU cho các hoạt động tự động hướng đến khách truy cập (thông báo gửi nội dung và giao nhận email giao dịch được xử lý tại Liên minh Châu Âu cho các nhà điều hành trang web cư trú tại EU)

7.3 Đánh giá Tác động Chuyển dữ liệu

Các biện pháp bổ sung này được xây dựng dựa trên đánh giá của chúng tôi về luật pháp và thực tiễn của các quốc gia đích, có tính đến tính chất của dữ liệu được chuyển, cơ chế chuyển được sử dụng và các biện pháp bảo vệ kỹ thuật và tổ chức hiện có. Chúng tôi đã đánh giá rằng các biện pháp bổ sung được mô tả ở trên, cùng với các cam kết trong SCCs, cung cấp mức độ bảo vệ đầy đủ cho dữ liệu cá nhân được chuyển. Đánh giá Tác động Chuyển dữ liệu của chúng tôi có tại https://www.acira.ai/tia.

7.4 Chuyển Dữ liệu Canada

Đối với việc chuyển dữ liệu cá nhân từ Canada, chúng tôi dựa vào các biện pháp bảo vệ sau để đảm bảo rằng dữ liệu cá nhân được chuyển ra ngoài Canada nhận được mức độ bảo vệ tương đương theo yêu cầu của Đạo luật Bảo vệ Thông tin Cá nhân và Tài liệu Điện tử (PIPEDA) và luật quyền riêng tư tỉnh hiện hành (bao gồm PIPA của Alberta, PIPA của British Columbia và Đạo luật tôn trọng việc bảo vệ thông tin cá nhân trong khu vực tư nhân của Quebec):

1. Bảo vệ hợp đồng: Các thỏa thuận xử lý dữ liệu bằng văn bản với từng bên xử lý phụ áp đặt nghĩa vụ bảo vệ dữ liệu cá nhân theo tiêu chuẩn phù hợp với luật quyền riêng tư Canada, bao gồm các yêu cầu về biện pháp bảo vệ bảo mật phù hợp, hạn chế sử dụng, thông báo vi phạm và quyền truy cập của chủ thể dữ liệu.
2. Biện pháp bảo vệ kỹ thuật: Các biện pháp mã hóa, mã hóa giả danh, kiểm soát truy cập và tối thiểu hóa dữ liệu tương tự được mô tả trong Phần 7.2 áp dụng cho việc chuyển dữ liệu Canada.
3. Biện pháp bảo vệ tổ chức: Thẩm định bên xử lý phụ, nghĩa vụ bảo mật của nhân viên và các quy trình phản hồi sự cố có tài liệu như được mô tả trong DPA này.

Chúng tôi theo dõi những phát triển trong luật quyền riêng tư Canada, bao gồm Đạo luật Bảo vệ Quyền riêng tư của Người tiêu dùng (CPPA) được đề xuất, và sẽ cập nhật các cơ chế chuyển của chúng tôi theo yêu cầu.

8. QUYỀN CỦA CHỦ THỂ DỮ LIỆU

8.1 Hỗ trợ xử lý Yêu cầu

Chúng tôi sẽ hỗ trợ bạn trong việc trả lời các yêu cầu từ Chủ thể dữ liệu thực hiện quyền của họ theo Luật Bảo vệ Dữ liệu Hiện hành, bao gồm quyền truy cập, chỉnh sửa, xóa, hạn chế, di chuyển và phản đối.

8.2 Thông báo

Nếu chúng tôi nhận được yêu cầu hoặc khiếu nại về bảo vệ dữ liệu trực tiếp từ Chủ thể dữ liệu liên quan đến dữ liệu cá nhân được xử lý thay mặt bạn, chúng tôi sẽ kịp thời chuyển nó đến bạn và sẽ không trả lời yêu cầu hoặc khiếu nại mà không có hướng dẫn của bạn, trừ khi luật hiện hành yêu cầu. Với tư cách là bên kiểm soát, bạn chịu trách nhiệm xử lý và trả lời các khiếu nại của Chủ thể dữ liệu như vậy, bao gồm bất kỳ nghĩa vụ xử lý khiếu nại nào áp dụng cho bạn theo Luật Bảo vệ Dữ liệu Hiện hành (chẳng hạn như Section 164A của UK Data Protection Act 2018).

8.3 Công cụ Nền tảng

Chúng tôi cung cấp các công cụ trong Dịch vụ để giúp bạn thực hiện các yêu cầu của Chủ thể dữ liệu, bao gồm:

• Truy cập và quản lý dữ liệu được lưu trữ trong cơ sở dữ liệu trang web của bạn
• Xóa các bản ghi riêng lẻ khỏi cơ sở dữ liệu trang web của bạn
• Theo yêu cầu, chúng tôi có thể cung cấp xuất dữ liệu ở định dạng ZIP để hỗ trợ các nghĩa vụ về khả năng di chuyển dữ liệu

9. BẢO MẬT DỮ LIỆU

9.1 Biện pháp Bảo mật

Chúng tôi thực hiện và duy trì các biện pháp kỹ thuật và tổ chức phù hợp để bảo vệ dữ liệu cá nhân khỏi bị xử lý trái phép hoặc bất hợp pháp và khỏi bị mất mát, hủy hoại hoặc hư hỏng do sự cố. Các biện pháp này bao gồm:

• Mã hóa: Dữ liệu được mã hóa khi truyền qua TLS/SSL và khi lưu trữ bằng mã hóa tiêu chuẩn công nghiệp
• Kiểm soát Truy cập: Kiểm soát truy cập dựa trên vai trò, chính sách truy cập với đặc quyền tối thiểu, và mã xác minh sử dụng một lần có thời hạn cho việc xác thực tài khoản và quản trị
• Bảo mật Cơ sở Hạ tầng: Cơ sở hạ tầng đám mây được quản lý với vá lỗi bảo mật tự động và bảo vệ DDoS tại biên mạng
• Cách ly Dữ liệu: Cách ly dữ liệu theo từng trang web thông qua các phiên bản lưu trữ riêng
• Giám sát: Giám sát và cảnh báo tự động với ghi nhật ký có cấu trúc
• Bảo mật Thông tin Xác thực: Tất cả khóa API và bí mật được lưu trữ trong các dịch vụ quản lý bí mật chuyên dụng; mật khẩu người dùng được băm bằng các thuật toán mật mã mạnh với muối cho mỗi người dùng
• Bảo vệ Bot: Hệ thống thử thách bằng chứng công việc để ngăn chặn lạm dụng tự động

9.2 Bảo mật

Chúng tôi đảm bảo rằng tất cả nhân viên được ủy quyền xử lý dữ liệu cá nhân đều bị ràng buộc bởi nghĩa vụ bảo mật.

10. THÔNG BÁO VI PHẠM DỮ LIỆU

10.1 Thông báo cho Bên Kiểm soát

Chúng tôi sẽ thông báo cho bạn không chậm trễ quá mức sau khi xác nhận vi phạm dữ liệu cá nhân ảnh hưởng đến dữ liệu cá nhân được xử lý thay mặt bạn. Thông báo sẽ được gửi đến thông tin liên hệ liên kết với tài khoản của bạn.

10.2 Nội dung Thông báo

Thông báo vi phạm của chúng tôi sẽ bao gồm, trong phạm vi có thể:

1. Mô tả về tính chất của vi phạm, bao gồm các loại và số lượng gần đúng của Chủ thể dữ liệu và các bản ghi liên quan;
2. Tên và chi tiết liên hệ của đầu mối bảo vệ dữ liệu của chúng tôi;
3. Mô tả về các hậu quả có thể xảy ra của vi phạm;
4. Mô tả về các biện pháp đã thực hiện hoặc đề xuất để giải quyết vi phạm và giảm thiểu tác động của nó.

10.3 Nghĩa vụ của Bạn

Bạn có trách nhiệm thông báo cho cơ quan giám sát có liên quan và các Chủ thể dữ liệu bị ảnh hưởng về vi phạm dữ liệu cá nhân theo yêu cầu của Luật Bảo vệ Dữ liệu Hiện hành. Chúng tôi sẽ hợp tác với bạn và cung cấp hỗ trợ hợp lý để giúp bạn tuân thủ các nghĩa vụ thông báo vi phạm của mình.

11. Kiểm toán và Xác minh Tuân thủ

11.1 Tài liệu tuân thủ

Để chứng minh sự tuân thủ của chúng tôi với DPA này, chúng tôi sẽ cung cấp cho bạn, theo yêu cầu bằng văn bản hợp lý (tối đa một lần mỗi năm), những nội dung sau:

1. Các báo cáo kiểm toán bên thứ ba liên quan, chứng nhận hoặc tóm tắt đánh giá bảo mật;
2. Tóm tắt các biện pháp bảo mật kỹ thuật và tổ chức hiện tại của chúng tôi;
3. Thông tin về các hoạt động xử lý, bên xử lý phụ và thực tiễn bảo vệ dữ liệu của chúng tôi.

Khi chúng tôi dựa vào các nhà cung cấp cơ sở hạ tầng bên thứ ba (như AWS và Cloudflare), các chứng nhận bảo mật và tài liệu tuân thủ của họ có sẵn thông qua các chương trình tin cậy và tuân thủ tương ứng.

11.2 Câu hỏi bổ sung

Nếu tài liệu được cung cấp theo Mục 11.1 không giải quyết hợp lý các mối quan ngại về tuân thủ của bạn, bạn có thể gửi các câu hỏi bằng văn bản cụ thể về thực tiễn bảo vệ dữ liệu của chúng tôi, mà chúng tôi sẽ trả lời trong khung thời gian hợp lý.

12. LƯU GIỮ VÀ XÓA DỮ LIỆU

12.1 Trong thời hạn Thỏa thuận

Chúng tôi sẽ lưu giữ dữ liệu cá nhân được xử lý thay mặt bạn trong suốt thời hạn của Thỏa thuận và theo các hướng dẫn của bạn thông qua Dịch vụ. Các kỳ lưu giữ cụ thể cho dữ liệu khách truy cập bao gồm:

• Cuộc trò chuyện chatbot trên trang web của bạn: Được lưu giữ trong ba mươi (30) ngày kể từ lần tương tác cuối cùng trong mỗi cuộc trò chuyện, sau đó chúng sẽ tự động bị xóa khỏi bộ lưu trữ edge của trang web.
• Gửi biểu mẫu và nội dung do người dùng tạo ra trên trang web của bạn: Được lưu giữ trong suốt thời gian tồn tại của trang web liên quan, trừ khi bạn xóa sớm hơn thông qua các công cụ nền tảng.
• Dữ liệu phiên làm việc cho khách truy cập trang web của bạn: Tự động bị xóa sau 30 ngày không hoạt động.
• Nội dung khách truy cập đã xóa (gửi biểu mẫu, bình luận và nội dung do người dùng tạo ra khác trên trang web của bạn): Khi bạn xóa nội dung khách truy cập thông qua các công cụ nền tảng, nó sẽ chuyển sang trạng thái xóa mềm và được lưu giữ tối đa ba mươi (30) ngày để hỗ trợ phục hồi. Sau kỳ này, nội dung xóa mềm sẽ bị xóa vĩnh viễn.
• Hồ sơ giới hạn tốc độ cho trang web của bạn: Các hàm băm có khóa theo từng khách truy cập được mô tả trong Phần 3.3, được lưu giữ tối đa bốn mươi tám (48) giờ rồi tự động xóa.
• Hồ sơ hủy đăng ký email trên trang web của bạn: Được giữ lại trong suốt thời gian tồn tại của trang web liên quan, trừ khi người nhận đăng ký lại. Hồ sơ hủy đăng ký sẽ bị xóa khi trang web bị hủy.
• Dữ liệu phân tích: Được lưu giữ trong suốt thời gian tồn tại của trang web liên quan. Giới hạn lưu giữ dựa trên gói xác định lượng dữ liệu phân tích lịch sử vẫn được hiển thị và truy cập được (chín mươi (90) ngày trên gói miễn phí).

12.2 Khi Chấm dứt

Khi Thỏa thuận chấm dứt hoặc theo yêu cầu của bạn, chúng tôi sẽ xóa dữ liệu cá nhân được xử lý thay mặt bạn theo các thực hành lưu giữ dữ liệu được mô tả trong Thỏa thuận (bao gồm kỳ ân hạn bảy (7) ngày cho việc xóa tài khoản và trang web). Sau kỳ ân hạn, việc xóa là vĩnh viễn và không thể đảo ngược.

12.3 Ngoại lệ

Chúng tôi có thể lưu giữ dữ liệu cá nhân trong phạm vi luật hiện hành yêu cầu, hoặc khi dữ liệu đã được ẩn danh hóa và không còn có thể liên kết với Chủ thể dữ liệu.

13. THỜI HẠN VÀ CHẤM DỨT

DPA này có hiệu lực kể từ ngày bạn chấp nhận Thỏa thuận và vẫn có hiệu lực miễn là chúng tôi xử lý dữ liệu cá nhân thay mặt bạn. Các nghĩa vụ bảo mật và bảo vệ dữ liệu được quy định trong DPA này vẫn còn hiệu lực sau khi Thỏa thuận chấm dứt.

Bản sao đã ký (ký đối ứng) của DPA này, bao gồm cả các Điều khoản Hợp đồng Tiêu chuẩn được đưa vào bằng cách tham chiếu, có sẵn theo yêu cầu bằng văn bản gửi đến legal@acira.ai.

14. GIỚI HẠN TRÁCH NHIỆM

Trách nhiệm của mỗi bên theo DPA này phải tuân theo các giới hạn trách nhiệm được quy định trong Thỏa thuận.

15. LIÊN HỆ VỚI CHÚNG TÔI

Đối với các câu hỏi về DPA này hoặc để thực hiện quyền của bạn, vui lòng liên hệ với chúng tôi tại:

Acira AI LLC
Người nhận: Bảo vệ Dữ liệu
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
United States

Điện thoại: 888-389-1189
Email: legal@acira.ai