Cam Kết Bảo Vệ Dữ Liệu Cá Nhân

(Theo Nghị định số 13/2023/NĐ-CP của Chính phủ về bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 01 tháng 7 năm 2023)

Bản cam kết bảo vệ dữ liệu cá nhân này được lập và ký kết giữa Công ty TNHH Pico Thành phố Hồ Chí Minh và các đại lý/khách hàng/đối tác cung cấp dịch vụ cho Công ty TNHH Pico Thành phố Hồ Chí Minh (sau đây gọi chung là “Nhà Cung Cấp”).

Công ty TNHH Pico Thành phố Hồ Chí Minh và Nhà Cung Cấp cùng thỏa thuận tuân thủ các quy định về bảo vệ dữ liệu cá nhân theo các điều khoản sau đây:

Điều 1: Định nghĩa

“Hợp đồng” là thỏa thuận giữa Nhà Cung Cấp và Công ty TNHH Pico Thành phố Hồ Chí Minh, và/hoặc bất kỳ biên bản, thỏa thuận, phụ lục, hoặc phụ kiện nào liên quan đến các hợp đồng đó, bao gồm nhưng không giới hạn ở hợp đồng mua bán hàng hóa, hợp đồng cung cấp dịch vụ, hợp đồng lao động hoặc các loại hợp đồng khác.

“Dữ liệu cá nhân” là dữ liệu cá nhân của bất kỳ chủ thể dữ liệu nào mà Công ty TNHH Pico Thành phố Hồ Chí Minh nhận được từ Nhà Cung Cấp. Dữ liệu này có thể bao gồm dữ liệu cá nhân của chính Nhà Cung Cấp hoặc dữ liệu cá nhân của các cá nhân khác mà Nhà Cung Cấp đã thu thập hợp pháp và được phép chuyển giao cho Công ty TNHH Pico Thành phố Hồ Chí Minh nhằm phục vụ các mục đích quy định trong hợp đồng giữa hai bên.

“Luật Bảo vệ Dữ liệu” là toàn bộ các luật và quy định liên quan đến bảo vệ dữ liệu cá nhân hoặc quyền riêng tư áp dụng đối với việc xử lý dữ liệu cá nhân tại Việt Nam. Điều này bao gồm nhưng không giới hạn ở Luật An ninh quốc gia năm 2004, Luật An ninh mạng năm 2018, Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân và bất kỳ sửa đổi hoặc bổ sung nào đối với các văn bản pháp luật này.

“Mạng lưới của Công ty TNHH Pico Thành phố Hồ Chí Minh” là hệ thống trung tâm dữ liệu, hệ thống điện toán đám mây, máy chủ, thiết bị mạng, hệ thống phần mềm và các hệ thống khác (nếu có) của Công ty TNHH Pico Thành phố Hồ Chí Minh được sử dụng để thực hiện phạm vi công việc theo hợp đồng giữa hai bên.

Các thuật ngữ “dữ liệu cá nhân”, “chủ thể dữ liệu”, “xử lý dữ liệu cá nhân”, “bên kiểm soát dữ liệu” và “bên kiểm soát và xử lý dữ liệu” được sử dụng trong Bản Cam Kết này sẽ được hiểu theo các định nghĩa tại Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân.

Điều 2: Nội dung Bảo vệ Dữ liệu Cá nhân

1. Các bên thừa nhận và đồng ý như sau:

(i) Công ty TNHH Pico Thành phố Hồ Chí Minh sẽ đóng vai trò là bên xử lý dữ liệu cá nhân theo quy định của Luật Bảo vệ Dữ liệu;

(ii) Nhà Cung Cấp sẽ là chủ thể dữ liệu, bên kiểm soát dữ liệu, hoặc đồng thời là bên kiểm soát và xử lý dữ liệu cá nhân theo Luật Bảo vệ Dữ liệu; và

(iii) Mỗi bên sẽ tuân thủ các nghĩa vụ tương ứng của mình theo quy định pháp luật hiện hành về bảo vệ dữ liệu cá nhân trong quá trình xử lý dữ liệu cá nhân.

2. Mục đích thu thập và xử lý dữ liệu:

Công ty TNHH Pico Thành phố Hồ Chí Minh sẽ thu thập, lưu trữ và xử lý dữ liệu cá nhân khi cần thiết để thực hiện các nghĩa vụ theo hợp đồng đã ký kết với Nhà Cung Cấp và để thực hiện các công việc liên quan theo các điều khoản của hợp đồng.

Nhà Cung Cấp đồng ý cho phép Công ty TNHH Pico Thành phố Hồ Chí Minh xử lý dữ liệu cá nhân của Nhà Cung Cấp và chia sẻ kết quả của quá trình xử lý này cho các mục đích sau:

• Gửi thông báo liên quan đến các hoạt động trao đổi thông tin giữa Nhà Cung Cấp và Công ty TNHH Pico Thành phố Hồ Chí Minh;
• Ngăn chặn các hành vi như phá hoại tài khoản trái phép, truy cập trái phép vào tài khoản của Nhà Cung Cấp, hoặc mạo danh Nhà Cung Cấp;
• Tổ chức các hoạt động tiếp thị, nghiên cứu thị trường, khảo sát ý kiến và môi giới;
• Nghiên cứu và phát triển các dịch vụ mới và cung cấp các sản phẩm/dịch vụ phù hợp cho Nhà Cung Cấp;
• Phục vụ mục đích tiếp thị và quảng cáo theo quyết định của Công ty TNHH Pico Thành phố Hồ Chí Minh;
• Xác minh danh tính và đảm bảo an toàn thông tin cho Nhà Cung Cấp;
• Thu thập, lưu trữ và sử dụng dữ liệu cá nhân của Nhà Cung Cấp liên quan đến các dịch vụ như lưu trữ hồ sơ và tuân thủ nghĩa vụ pháp lý, thuế, với thời gian lưu trữ theo quy định pháp luật hiện hành;
• Thực hiện bất kỳ hành động nào khác theo yêu cầu của pháp luật.

Công ty TNHH Pico Thành phố Hồ Chí Minh cam kết không:

(a) Xử lý, lưu trữ, sử dụng hoặc tiết lộ dữ liệu cá nhân vượt quá phạm vi cần thiết để thực hiện nghĩa vụ hợp đồng hoặc theo quy định của pháp luật;

(b) Bán dữ liệu cá nhân cho bất kỳ bên thứ ba nào;

(c) Lưu trữ, sử dụng hoặc tiết lộ dữ liệu cá nhân ngoài phạm vi quan hệ kinh doanh trực tiếp giữa Công ty TNHH Pico Thành phố Hồ Chí Minh và Nhà Cung Cấp, trừ khi có sự đồng ý của chủ thể dữ liệu hoặc theo yêu cầu pháp lý áp dụng.

Để rõ ràng, các chỉ dẫn của Nhà Cung Cấp liên quan đến việc xử lý dữ liệu cá nhân phải tuân thủ theo các điều khoản của hợp đồng và hoàn toàn phù hợp với quy định của pháp luật về bảo vệ dữ liệu cá nhân. Nhà Cung Cấp chịu trách nhiệm về tính chính xác, chất lượng và tính hợp pháp của dữ liệu cá nhân cũng như phương thức mà Nhà Cung Cấp thu thập dữ liệu cá nhân đó.

Trong trường hợp Nhà Cung Cấp không phải là chủ thể dữ liệu, Nhà Cung Cấp xác nhận và đồng ý như sau:

(i) Nhà Cung Cấp đã thu thập được sự đồng ý rõ ràng (theo quy định của Luật Bảo vệ Dữ liệu) từ chủ thể dữ liệu đối với toàn bộ việc thu thập, chia sẻ và sử dụng dữ liệu như đã được thỏa thuận trong hợp đồng; và

(ii) Nhà Cung Cấp đã thông báo và nhận được sự đồng ý rõ ràng của chủ thể dữ liệu (theo quy định của Luật Bảo vệ Dữ liệu) về việc dữ liệu cá nhân có thể được xử lý bên ngoài quốc gia nơi dữ liệu được thu thập ban đầu.

Nếu Nhà Cung Cấp là bên kiểm soát và xử lý dữ liệu cá nhân, Nhà Cung Cấp cam kết rằng mọi chỉ dẫn và hành động liên quan đến dữ liệu cá nhân, bao gồm cả việc chỉ định Công ty TNHH Pico Thành phố Hồ Chí Minh làm đơn vị xử lý dữ liệu, đều đã được bên kiểm soát dữ liệu liên quan cho phép hợp pháp.

Công ty TNHH Pico Thành phố Hồ Chí Minh không có nghĩa vụ tuân theo hoặc thực hiện các chỉ dẫn của Nhà Cung Cấp nếu các chỉ dẫn đó vi phạm quy định của Luật Bảo vệ Dữ liệu.

3. Loại Dữ liệu Cá nhân được Bảo vệ:

Dữ liệu cá nhân được bảo vệ theo Bản Cam Kết này bao gồm các thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc định dạng tương tự trong môi trường điện tử có liên quan đến hoặc có khả năng xác định danh tính một cá nhân cụ thể. Thông tin này bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm như: họ tên, địa chỉ, số điện thoại, ngày sinh, email, nghề nghiệp, tình trạng sức khỏe, thu nhập hoặc bất kỳ thông tin nào khác được pháp luật quy định là dữ liệu cá nhân tại từng thời điểm.

4. Phương Thức Bảo Vệ Dữ Liệu Cá Nhân:

Công ty TNHH Pico Thành phố Hồ Chí Minh sẽ thực hiện việc thu thập, phân tích, đánh giá, sử dụng, lưu trữ, chuyển giao, xử lý và cung cấp dữ liệu cá nhân cho các bên liên quan hoặc cơ quan có thẩm quyền khi cần thiết nhằm phục vụ các mục đích được nêu tại Điều 2 của Bản Cam Kết này.

5. Các Bên Liên Quan đến Việc Bảo Vệ Dữ Liệu Cá Nhân:

Nhà Cung Cấp đồng ý rằng, nhằm phục vụ cho các mục đích đã được nêu tại Điều 2, Công ty TNHH Pico Thành phố Hồ Chí Minh có thể tiết lộ dữ liệu cá nhân cho các công ty con và/hoặc đơn vị liên kết nếu cần thiết cho việc áp dụng và thực hiện các mục đích đó, với điều kiện các công ty con và/hoặc đơn vị liên kết này phải cam kết thực hiện các nghĩa vụ bảo vệ dữ liệu cá nhân tương đương theo Bản Cam Kết này.

6. Thời Hạn Bảo Vệ Dữ Liệu Cá Nhân:

Việc bảo vệ dữ liệu cá nhân sẽ bắt đầu từ thời điểm Công ty TNHH Pico Thành phố Hồ Chí Minh tiếp nhận dữ liệu cá nhân và sự đồng ý của Nhà Cung Cấp đối với việc xử lý dữ liệu đó. Công ty TNHH Pico Thành phố Hồ Chí Minh sẽ duy trì việc xử lý dữ liệu cá nhân trong suốt thời hạn của hợp đồng và theo đúng quy định của pháp luật hiện hành.

7. Cam Kết của Công ty TNHH Pico Thành phố Hồ Chí Minh:

Công ty TNHH Pico Thành phố Hồ Chí Minh cam kết nỗ lực tối đa một cách hợp lý và cần thiết để bảo vệ và đảm bảo an toàn dữ liệu cá nhân theo quy định trong Bản Cam Kết này, phù hợp với các tiêu chuẩn về an toàn thông tin, bảo vệ dữ liệu cá nhân theo yêu cầu của pháp luật Việt Nam và các điều khoản tại Bản Cam Kết.

Trong quá trình xử lý dữ liệu cá nhân, có thể xảy ra gián đoạn, chậm trễ, ngắt kết nối hoặc các sự cố khác do các nguyên nhân nằm ngoài khả năng kiểm soát hợp lý của Công ty TNHH Pico Thành phố Hồ Chí Minh, bao gồm nhưng không giới hạn ở sự cố do quá trình nâng cấp, sửa chữa, lỗi truyền tải hoặc sự cố kỹ thuật phát sinh từ các nhà cung cấp/nhà thầu của Công ty TNHH Pico Thành phố Hồ Chí Minh. Trong những trường hợp như vậy, Công ty TNHH Pico Thành phố Hồ Chí Minh sẽ nỗ lực thông báo kịp thời cho Nhà Cung Cấp về sự cố, và Nhà Cung Cấp đồng ý miễn trách nhiệm cho Công ty TNHH Pico Thành phố Hồ Chí Minh đối với các tình huống này.

Trường hợp xảy ra vi phạm quy định về bảo vệ dữ liệu cá nhân, Công ty TNHH Pico Thành phố Hồ Chí Minh sẽ thông báo cho Nhà Cung Cấp trong thời gian sớm nhất sau khi phát hiện vi phạm. Ngoài ra, bên kiểm soát dữ liệu hoặc bên vừa kiểm soát vừa xử lý dữ liệu sẽ thực hiện việc thông báo tới Bộ Công an (Cục An ninh mạng và Phòng chống tội phạm sử dụng công nghệ cao) trong thời hạn không quá 72 giờ kể từ khi sự cố vi phạm xảy ra.

Điều 3: Quyền và Nghĩa vụ của Chủ thể Dữ liệu

a. Quyền của Chủ thể Dữ liệu:

1. Được thông báo về các hoạt động xử lý dữ liệu cá nhân; đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân theo Bản Cam Kết này, trừ trường hợp pháp luật có quy định khác.

2. Có quyền truy cập, xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân của mình, trừ khi pháp luật có quy định khác.

3. Rút lại sự đồng ý của mình, trừ khi pháp luật có quy định khác.

4. Xóa hoặc yêu cầu xóa dữ liệu cá nhân theo quy định tại Điều 4 của Bản Cam Kết này.

5. Yêu cầu hạn chế xử lý dữ liệu cá nhân, trừ khi pháp luật có quy định khác. Việc hạn chế xử lý dữ liệu sẽ được thực hiện trong vòng 72 giờ kể từ thời điểm nhận được yêu cầu của chủ thể dữ liệu, đối với toàn bộ dữ liệu cá nhân mà chủ thể yêu cầu hạn chế, trừ khi pháp luật có quy định khác.

6. Có quyền yêu cầu cung cấp dữ liệu cá nhân của chính mình, trừ khi pháp luật có quy định khác.

7. Phản đối việc xử lý dữ liệu cho mục đích ngăn chặn hoặc hạn chế việc tiết lộ dữ liệu cá nhân, hoặc sử dụng dữ liệu cho mục đích quảng cáo, tiếp thị, trừ khi pháp luật có quy định khác. Công ty TNHH Pico Thành phố Hồ Chí Minh sẽ thực hiện yêu cầu của chủ thể dữ liệu trong vòng 72 giờ sau khi nhận được yêu cầu, trừ khi pháp luật có quy định khác.

8. Tự bảo vệ, khiếu nại, tố cáo, khởi kiện hoặc yêu cầu bồi thường thiệt hại theo quy định của pháp luật.

b. Nghĩa vụ của Chủ thể Dữ liệu:

1. Tự bảo vệ dữ liệu cá nhân của mình; yêu cầu các tổ chức, cá nhân liên quan bảo vệ dữ liệu cá nhân của mình.

2. Tôn trọng và bảo vệ dữ liệu cá nhân của người khác.

3. Cung cấp đầy đủ, chính xác dữ liệu cá nhân khi đồng ý cho phép xử lý dữ liệu cá nhân.

4. Tham gia vào việc nâng cao kỹ năng bảo vệ dữ liệu cá nhân.

5. Tuân thủ pháp luật về bảo vệ dữ liệu cá nhân và tham gia phòng ngừa, đấu tranh chống các hành vi vi phạm quy định bảo vệ dữ liệu cá nhân.

Điều 4: Việc Trả Lại và Xóa Dữ Liệu Cá Nhân

1. Trả lại hoặc xóa dữ liệu theo nội dung hợp đồng:

Tùy theo nội dung của hợp đồng, Nhà Cung Cấp có thể được cấp quyền kiểm soát để truy cập hoặc xóa dữ liệu cá nhân. Nếu Nhà Cung Cấp không có yêu cầu xóa dữ liệu, dữ liệu cá nhân sẽ được xóa trong vòng ba mươi (30) ngày sau khi hợp đồng chấm dứt, hoặc trong thời gian ngắn hơn nếu được quy định cụ thể trong hợp đồng. Trường hợp hợp đồng không quy định thời hạn xóa, Công ty TNHH Pico Thành phố Hồ Chí Minh sẽ áp dụng theo quy định nội bộ hiện hành tại thời điểm đó. Trong mọi trường hợp, Nhà Cung Cấp thừa nhận rằng trước khi hợp đồng kết thúc, họ có trách nhiệm xuất dữ liệu cá nhân mà mình muốn lưu giữ hoặc xóa các dữ liệu cá nhân không cần thiết sau khi hợp đồng kết thúc, nhằm đảm bảo tuân thủ pháp luật.

2. Các trường hợp không áp dụng việc xóa dữ liệu cá nhân:

Việc xóa dữ liệu sẽ không được thực hiện trong các trường hợp Nhà Cung Cấp yêu cầu giữ lại dữ liệu cá nhân, bao gồm:

a) Khi pháp luật cấm xóa dữ liệu;

b) Khi dữ liệu cá nhân được các cơ quan nhà nước có thẩm quyền xử lý theo chức năng, nhiệm vụ được pháp luật quy định;

c) Khi dữ liệu cá nhân đã được công khai theo quy định pháp luật;

d) Khi dữ liệu cá nhân được xử lý phục vụ mục đích nghiên cứu khoa học, thống kê hoặc mục đích hợp pháp khác theo quy định của pháp luật;

e) Trong tình huống khẩn cấp có nguy cơ đe dọa an ninh quốc gia, an toàn công cộng hoặc sức khỏe cộng đồng, hoặc khi có nguy cơ đe dọa an ninh quốc gia nhưng chưa đến mức công bố tình trạng khẩn cấp;

f) Khi cần phản ứng với tình huống khẩn cấp đe dọa tính mạng, sức khỏe hoặc sự an toàn của chủ thể dữ liệu hoặc người khác.

3. Việc trả lại hoặc xóa dữ liệu theo yêu cầu hoặc khi chấm dứt một phần hợp đồng:

Việc trả lại hoặc xóa dữ liệu cá nhân theo yêu cầu của Nhà Cung Cấp hoặc khi một phần của hợp đồng bị chấm dứt sẽ được thực hiện, với điều kiện là việc đó không ảnh hưởng tiêu cực đến khả năng cung cấp các dịch vụ còn lại của Công ty TNHH Pico Thành phố Hồ Chí Minh theo hợp đồng, và việc trả lại hoặc xóa dữ liệu không vi phạm các quy định của pháp luật về bảo vệ dữ liệu cá nhân cũng như các quy định pháp luật khác có liên quan.

Điều 5: Tuyên bố của Nhà Cung Cấp

1. Nhà Cung Cấp tự nguyện đồng ý và hoàn toàn hiểu rõ nội dung được quy định trong từng điều khoản của Bản Cam Kết này.

2. Trong trường hợp Nhà Cung Cấp là bên kiểm soát dữ liệu hoặc là bên vừa kiểm soát vừa xử lý dữ liệu cá nhân, Nhà Cung Cấp cam kết:

– Chủ thể dữ liệu đã được thông báo đầy đủ và đồng ý với nội dung thông báo xử lý dữ liệu cá nhân trước khi tiến hành bất kỳ hoạt động xử lý dữ liệu nào; và đã được thông báo rõ ràng các nội dung tại Điều 2 của Bản Cam Kết này trước khi đồng ý cho phép Nhà Cung Cấp thu thập dữ liệu cá nhân, phù hợp với Bản Cam Kết và Luật Bảo Vệ Dữ Liệu Cá Nhân.

– Đã thực hiện đánh giá tác động của việc xử lý dữ liệu cá nhân đối với dữ liệu cá nhân.

3. Nhà Cung Cấp cam kết bồi thường và giữ cho Công ty TNHH Pico Thành phố Hồ Chí Minh không bị thiệt hại trong trường hợp xảy ra bất kỳ tổn thất nào do Nhà Cung Cấp không tuân thủ các cam kết nêu tại điều khoản này.

Điều 6: Các Quy Định Chung

Bản Cam Kết này là một phần không thể tách rời của hợp đồng được ký kết giữa Nhà Cung Cấp và Công ty TNHH Pico Thành phố Hồ Chí Minh, trong đó Bản Cam Kết này được viện dẫn.

Trường hợp Công ty TNHH Pico Thành phố Hồ Chí Minh cung cấp dữ liệu cá nhân mà mình thu thập/đang lưu giữ cho Nhà Cung Cấp, thì Nhà Cung Cấp cam kết thực hiện việc bảo vệ dữ liệu cá nhân ở mức độ không thấp hơn mức độ bảo vệ mà Công ty TNHH Pico Thành phố Hồ Chí Minh đã cam kết trong tài liệu này.