Thỏa thuận xử lý dữ liệu (mẫu)

Đây là mẫu thỏa thuận xử lý dữ liệu (DPA) mà GPT Workspace ký với khách hàng doanh nghiệp. Để nhận mẫu đã được điền sẵn, vui lòng viết thư cho contact@gpt.space kèm theo tên pháp lý, địa chỉ, người liên hệ và số lượng chỗ ngồi của công ty bạn. Các nhà xử lý được nêu tên trong thỏa thuận được liệt kê và cập nhật tại Trung tâm Tin cậy.

Mẫu này được cung cấp nhằm mục đích thông tin và không phải là tư vấn pháp lý. Vui lòng nhờ luật sư của bạn xem xét trước khi ký. Các trường trong ngoặc vuông sẽ được điền trước khi ký.

---

Thỏa thuận Xử lý Dữ liệu này (“DPA”) là một phần của thỏa thuận sử dụng GPT Workspace (“Dịch vụ”) giữa:

• [TÊN PHÁP LÝ KHÁCH HÀNG], [ĐỊA CHỈ KHÁCH HÀNG], [SỐ ĐĂNG KÝ] (“Khách hàng” hoặc “Bên kiểm soát”), và
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, Hoa Kỳ (“Nhà cung cấp” hoặc “Bên xử lý”),

gọi chung là “Các bên”. Thỏa thuận này được ký vào [NGÀY HIỆU LỰC] và áp dụng trong suốt thời gian Nhà cung cấp xử lý Dữ liệu Cá nhân thay mặt Khách hàng.

“GDPR” có nghĩa là Quy định (EU) 2016/679 và, khi áp dụng, GDPR Vương quốc Anh theo định nghĩa trong Đạo luật Bảo vệ Dữ liệu 2018. “Dữ liệu Cá nhân”, “Xử lý”, “Bên kiểm soát”, “Bên xử lý”, “Chủ thể Dữ liệu”, “Cơ quan Giám sát” và “Vi phạm Dữ liệu Cá nhân” có các nghĩa được quy định tại Điều 4 GDPR. “Bên xử lý phụ” có nghĩa là một bên thứ ba được Nhà cung cấp thuê để xử lý Dữ liệu Cá nhân thay mặt Khách hàng. “Dữ liệu Khách hàng” có nghĩa là Dữ liệu Cá nhân mà Nhà cung cấp xử lý cho Khách hàng theo thỏa thuận Dịch vụ, như được mô tả trong Phụ lục 1.

2.1 Khách hàng là Bên kiểm soát và Nhà cung cấp là Bên xử lý Dữ liệu Khách hàng. Trường hợp Khách hàng đóng vai trò là bên xử lý cho khách hàng của chính mình, Nhà cung cấp đóng vai trò là bên xử lý phụ và Khách hàng cam kết rằng các hướng dẫn của chính Khách hàng được ủy quyền bởi bên kiểm soát có liên quan.

2.2 Đối tượng, thời hạn, tính chất và mục đích của Việc xử lý, các loại Dữ liệu Cá nhân và các danh mục Chủ thể Dữ liệu được quy định trong Phụ lục 1.

3.1 Nhà cung cấp chỉ xử lý Dữ liệu Khách hàng theo hướng dẫn được tài liệu hóa của Khách hàng, bao gồm cả việc chuyển giao sang quốc gia thứ ba, trừ khi luật của Liên minh hoặc Quốc gia thành viên áp dụng cho Nhà cung cấp yêu cầu làm như vậy; trong trường hợp đó, Nhà cung cấp thông báo cho Khách hàng về yêu cầu pháp lý đó trước khi xử lý, trừ khi luật cấm.

3.2 Các hướng dẫn của Khách hàng bao gồm: thỏa thuận Dịch vụ, DPA này, cấu hình mà Khách hàng và người dùng của họ thiết lập trong Dịch vụ, và các yêu cầu mà người dùng của Khách hàng gửi đến Dịch vụ. Nhà cung cấp thông báo ngay lập tức cho Khách hàng nếu, theo ý kiến của Nhà cung cấp, một hướng dẫn vi phạm GDPR.

Nhà cung cấp đảm bảo rằng những người được ủy quyền xử lý Dữ liệu Khách hàng đã cam kết bảo mật thông tin hoặc chịu nghĩa vụ bảo mật theo quy định pháp luật phù hợp, và quyền truy cập được giới hạn ở mức cần thiết để mỗi người thực hiện Dịch vụ.

Nhà cung cấp thực hiện các biện pháp kỹ thuật và tổ chức được liệt kê trong Phụ lục 2 và liên tục xem xét chúng. Cân nhắc trình độ công nghệ hiện tại, chi phí triển khai và tính chất, phạm vi, bối cảnh cùng mục đích của Việc xử lý, các biện pháp đảm bảo mức độ bảo mật phù hợp với rủi ro.

6.1 Khách hàng cấp cho Nhà cung cấp quyền ủy quyền bằng văn bản chung để thuê các Bên xử lý phụ được liệt kê trong Phụ lục 3.

6.2 Nhà cung cấp thông báo cho Khách hàng về bất kỳ dự định thêm hoặc thay thế Bên xử lý phụ ít nhất [30] ngày trước khi thay đổi có hiệu lực, qua email đến [EMAIL THÔNG BÁO KHÁCH HÀNG] và bằng cách cập nhật danh sách tại https://gpt.space/trust. Khách hàng có thể phản đối dựa trên cơ sở bảo vệ dữ liệu hợp lý trong khoảng thời gian đó; nếu Các bên không thể giải quyết được sự phản đối, Khách hàng có thể chấm dứt phần Dịch vụ bị ảnh hưởng mà không bị phạt.

6.3 Nhà cung cấp áp đặt lên mỗi Bên xử lý phụ, thông qua hợp đồng, các nghĩa vụ bảo vệ dữ liệu tương tự như quy định trong DPA này, đặc biệt là đảm bảo đủ các cam kết thực hiện các biện pháp kỹ thuật và tổ chức phù hợp. Trường hợp Bên xử lý phụ không thực hiện được nghĩa vụ của mình, Nhà cung cấp vẫn chịu trách nhiệm hoàn toàn trước Khách hàng về việc thực hiện nghĩa vụ của Bên xử lý phụ đó.

Cân nhắc tính chất của Việc xử lý, Nhà cung cấp hỗ trợ Khách hàng bằng các biện pháp kỹ thuật và tổ chức phù hợp, trong chừng mực có thể thực hiện được, để đáp ứng nghĩa vụ của Khách hàng trong việc trả lời các yêu cầu thực thi quyền của Chủ thể Dữ liệu theo Chương III GDPR. Nhà cung cấp chuyển tiếp cho Khách hàng, không chậm trễ không hợp lý, bất kỳ yêu cầu nào nhận được trực tiếp từ Chủ thể Dữ liệu liên quan đến Dữ liệu Khách hàng, và không trả lời yêu cầu đó trừ khi có hướng dẫn của Khách hàng hoặc khi luật yêu cầu.

Nhà cung cấp hỗ trợ Khách hàng đảm bảo tuân thủ các nghĩa vụ theo Điều 32 đến Điều 36 GDPR (bảo mật, thông báo vi phạm, đánh giá tác động bảo vệ dữ liệu và tham vấn trước), cân nhắc tính chất của Việc xử lý và thông tin mà Nhà cung cấp có.

Nhà cung cấp thông báo cho Khách hàng không chậm trễ không hợp lý, và trong mọi trường hợp trong vòng [48] giờ, sau khi biết về Vi phạm Dữ liệu Cá nhân ảnh hưởng đến Dữ liệu Khách hàng, qua email đến [EMAIL THÔNG BÁO KHÁCH HÀNG]. Thông báo mô tả, theo mức độ đã biết tại thời điểm đó, tính chất của vi phạm, các danh mục và số lượng xấp xỉ của Chủ thể Dữ liệu và hồ sơ liên quan, hậu quả có thể xảy ra, các biện pháp đã thực hiện hoặc đề xuất, và một điểm liên hệ; thông tin chưa có sẵn sẽ được cung cấp theo từng giai đoạn không chậm trễ thêm không hợp lý.

10.1 Theo lựa chọn của Khách hàng, Nhà cung cấp xóa hoặc trả lại tất cả Dữ liệu Khách hàng sau khi kết thúc việc cung cấp Dịch vụ, và xóa các bản sao hiện có, trừ khi luật của Liên minh hoặc Quốc gia thành viên yêu cầu lưu trữ Dữ liệu Cá nhân.

10.2 Độc lập với điều 10.1, Khách hàng và mỗi người dùng của họ có thể xóa tài khoản và dữ liệu do Nhà cung cấp lưu giữ khỏi Dịch vụ bất cứ lúc nào; việc xóa được thực hiện trong vòng 24 giờ kể từ yêu cầu. Hóa đơn và hồ sơ thanh toán được lưu giữ trong thời hạn luật thuế yêu cầu.

11.1 Nhà cung cấp cung cấp cho Khách hàng tất cả thông tin cần thiết để chứng minh sự tuân thủ các nghĩa vụ theo Điều 28 GDPR, và cho phép cũng như đóng góp vào các cuộc kiểm toán, bao gồm thanh tra, do Khách hàng hoặc kiểm toán viên được Khách hàng ủy quyền tiến hành.

11.2 Nhà cung cấp đáp ứng trước các yêu cầu kiểm toán bằng cách cung cấp chứng chỉ ISO 27001 và báo cáo kiểm toán (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), đánh giá CASA Tier III và các câu trả lời bằng văn bản cho bảng câu hỏi bảo mật. Một cuộc thanh tra tại chỗ hoặc từ xa được tiến hành tối đa [một lần mỗi năm], với thông báo bằng văn bản trước [30] ngày, trong giờ làm việc, theo thỏa thuận bảo mật, và chi phí do Khách hàng chịu, trừ khi Cơ quan Giám sát yêu cầu khác hoặc đã xảy ra Vi phạm Dữ liệu Cá nhân.

12.1 Nhà cung cấp được thành lập tại Hoa Kỳ và Dịch vụ được lưu trữ trên Google Cloud Platform tại Hoa Kỳ. Trường hợp Dữ liệu Khách hàng của Chủ thể Dữ liệu ở Khu vực Kinh tế Châu Âu, Vương quốc Anh hoặc Thụy Sĩ được chuyển giao sang quốc gia không có quyết định về sự tương đương, Các bên dựa vào Các Điều khoản Hợp đồng Tiêu chuẩn do Ủy ban Châu Âu thông qua trong Quyết định (EU) 2021/914 (Mô-đun Hai, từ bên kiểm soát đến bên xử lý, hoặc Mô-đun Ba, từ bên xử lý đến bên xử lý, tùy theo áp dụng), được lồng ghép bằng cách dẫn chiếu, cùng với Phụ lục Chuyển giao Dữ liệu Quốc tế Vương quốc Anh khi liên quan đến dữ liệu Vương quốc Anh. Các Bên xử lý phụ của Nhà cung cấp nhận Dữ liệu Khách hàng tham gia vào Khung Quyền riêng tư Dữ liệu EU-Hoa Kỳ khi khung đó có sẵn cho họ; Các Điều khoản Hợp đồng Tiêu chuẩn chi phối mọi chuyển giao mà chính Nhà cung cấp thực hiện.

12.2 Đối với các tùy chọn trong Các Điều khoản Hợp đồng Tiêu chuẩn: Điều 7 (ghép nối) áp dụng; Điều 9 tùy chọn 2 (ủy quyền chung) với thời hạn thông báo theo Mục 6.2; Điều 11 ngôn ngữ tùy chọn không áp dụng; Điều 13 và Điều 17: luật của [QUỐC GIA THÀNH VIÊN, ví dụ Ireland]; Điều 18: tòa án của [QUỐC GIA THÀNH VIÊN]. Phụ lục I và Phụ lục II của Các Điều khoản là Phụ lục 1 và Phụ lục 2 của DPA này.

13.1 Trách nhiệm của mỗi Bên theo DPA này tuân theo các giới hạn và loại trừ trách nhiệm trong thỏa thuận Dịch vụ, trừ khi không thể bị giới hạn theo luật bảo vệ dữ liệu áp dụng.

13.2 DPA này có hiệu lực từ Ngày Hiệu lực và duy trì hiệu lực trong suốt thời gian Nhà cung cấp xử lý Dữ liệu Khách hàng. Trong trường hợp có xung đột giữa DPA này và thỏa thuận Dịch vụ, DPA này được ưu tiên đối với Việc xử lý Dữ liệu Cá nhân.

13.3 DPA này chịu sự chi phối của luật chi phối thỏa thuận Dịch vụ, ngoại trừ việc Các Điều khoản Hợp đồng Tiêu chuẩn chịu sự chi phối của luật được chọn trong Mục 12.2.

Đại diện Khách hàng	Đại diện Nhà cung cấp
Tên: [TÊN]	Tên: [TÊN]
Chức danh: [CHỨC DANH]	Chức danh: [CHỨC DANH]
Ngày: [NGÀY]	Ngày: [NGÀY]
Chữ ký:	Chữ ký:

---

Mục	Mô tả
Đối tượng	Cung cấp Dịch vụ GPT Workspace: hỗ trợ AI bên trong Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, tiện ích mở rộng Chrome và máy chủ MCP.
Thời hạn	Thời hạn của thỏa thuận Dịch vụ, cộng với các thời gian lưu giữ trong Phụ lục 2.
Tính chất và mục đích	Đọc nội dung mà người dùng trỏ đến trong tài khoản Google của họ, gửi cùng với câu lệnh của người dùng đến nhà cung cấp mô hình AI, và ghi câu trả lời trở lại tệp hoặc cuộc trò chuyện của người dùng. Quản trị tài khoản, thanh toán và hỗ trợ.
Danh mục Chủ thể Dữ liệu	Nhân viên và nhà thầu của Khách hàng sử dụng Dịch vụ; những người có dữ liệu xuất hiện trong tài liệu, bảng tính, email và tệp của Khách hàng được xử lý thông qua Dịch vụ.
Các loại Dữ liệu Cá nhân	Dữ liệu tài khoản (tên, địa chỉ email, ảnh đại diện, mã định danh tài khoản Google); dữ liệu thanh toán (tên thanh toán, địa chỉ, số VAT); siêu dữ liệu sử dụng (số lượng yêu cầu, ngày tháng, tiêu đề tài liệu); nội dung của các câu lệnh và các tệp Google, email cùng tệp đính kèm mà người dùng gửi, có thể chứa bất kỳ danh mục Dữ liệu Cá nhân nào mà Khách hàng đặt ở đó.
Danh mục đặc biệt	Không có theo thiết kế. Dịch vụ không yêu cầu dữ liệu danh mục đặc biệt; Khách hàng quyết định nội dung người dùng của mình gửi. [Khách hàng cho biết nếu dự kiến có danh mục đặc biệt: KHÔNG CÓ / MÔ TẢ]
Tần suất	Liên tục, theo mỗi yêu cầu người dùng thực hiện.
Lưu giữ	Xem Phụ lục 2, “Lưu giữ”.

Lĩnh vực	Biện pháp
Chứng nhận	Hệ thống quản lý bảo mật thông tin được chứng nhận ISO 27001 (có báo cáo kiểm toán). Đánh giá CASA Tier III (App Defense Alliance) cho tích hợp Google Workspace. Tuân thủ Chính sách Dữ liệu Người dùng của Google API Services, bao gồm các yêu cầu Sử dụng Hạn chế.
Lưu trữ	Google Cloud Platform (Firebase), Hoa Kỳ, khu vực US East và US West. Các thành phần xử lý Dữ liệu Khách hàng chạy bên trong mạng riêng của Nhà cung cấp, phía sau bộ cân bằng tải và tường lửa ứng dụng web.
Mã hóa	TLS 1.2 hoặc cao hơn cho tất cả dữ liệu đang truyền. Mã hóa phía máy chủ AES-256 khi lưu trữ trên Firebase, quản lý khóa thông qua GCP IAM. Mã truy cập và làm mới của Google được mã hóa khi lưu trữ.
Không sao chép tệp của Khách hàng	Các tệp Google, email và bảng tính được đọc theo thời gian thực bằng mã thông báo OAuth của chính người dùng và không được sao chép vào bộ nhớ của Nhà cung cấp. Ngoại lệ duy nhất là tệp người dùng đính kèm để tìm kiếm tệp, được tải lên kho lưu trữ vector OpenAI (xem Phụ lục 3): chỉ mục tìm kiếm bị xóa 1 ngày sau lần sử dụng cuối và bản sao bị xóa sau 7 ngày.
Nhà cung cấp mô hình	Được sử dụng theo điều khoản API cấm huấn luyện trên các yêu cầu. Nhà cung cấp không bao giờ huấn luyện hoặc tinh chỉnh mô hình trên Dữ liệu Khách hàng.
Kiểm soát truy cập	Quyền truy cập vào hệ thống sản xuất bị hạn chế cho nhân viên được ủy quyền với tài khoản cá nhân, xác thực đa yếu tố và đặc quyền tối thiểu thông qua GCP IAM. Cô lập dữ liệu theo từng người dùng được thực thi bởi quy tắc bảo mật Firebase. Xác thực đa yếu tố là bắt buộc cho mọi tài khoản có quyền truy cập sản xuất; quyền truy cập được xem xét hàng tuần.
Giám sát và kiểm thử	Trung tâm Lệnh Bảo mật GCP quét lỗ hổng liên tục tất cả tài sản trong phạm vi; chính sách công bố lỗ hổng cho các nhà nghiên cứu bên ngoài.
Lưu giữ	Dữ liệu tài khoản, chuỗi trò chuyện, cài đặt và siêu dữ liệu sử dụng: 18 tháng sau hoạt động cuối của người dùng, hoặc 24 giờ sau yêu cầu xóa. Tệp đính kèm để tìm kiếm tệp: chỉ mục tìm kiếm bị xóa 1 ngày sau lần sử dụng cuối, bản sao đã tải lên bị xóa sau 7 ngày. Nhật ký yêu cầu cổng mô hình: 30 ngày, chỉ dùng cho hỗ trợ. Câu lệnh và câu trả lời: xử lý theo thời gian thực, không được Nhà cung cấp lưu trữ dài hạn. Hóa đơn: thời hạn luật thuế yêu cầu.
Xóa	Tự xóa tài khoản và tất cả dữ liệu liên quan trong Dịch vụ; xóa theo yêu cầu trong vòng 24 giờ.
Tính liên tục hoạt động kinh doanh	Công cụ sao lưu và khả năng sẵn sàng đa vùng gốc trên Google Cloud; sao lưu đầy đủ cứ mỗi 7 ngày.
Nhân viên	Nghĩa vụ bảo mật thông tin trong thỏa thuận lao động và nhà thầu; nhận thức bảo mật cho nhân viên có quyền truy cập sản xuất.

Danh sách hiện tại được duy trì tại https://gpt.space/trust và được sao chép lại đây tính đến Ngày Hiệu lực.

Bên xử lý phụ	Mục đích	Vị trí
Google Cloud Platform / Firebase (Google LLC)	Lưu trữ, cơ sở dữ liệu, kho dữ liệu, xác thực, bí mật	Hoa Kỳ
OpenRouter, Inc.	Cổng chuyển định tuyến mọi yêu cầu mô hình đến nhà cung cấp bên dưới; nhật ký yêu cầu lưu 30 ngày chỉ cho hỗ trợ, không bao giờ dùng để huấn luyện	Hoa Kỳ
OpenAI	Mô hình văn bản và hình ảnh; kho lưu trữ vector để tìm kiếm tệp	Hoa Kỳ
Anthropic	Mô hình Claude (ghim đến endpoint riêng của Anthropic)	Hoa Kỳ
Google (AI Studio)	Mô hình văn bản và hình ảnh Gemini	Hoa Kỳ
Perplexity	Mô hình tìm kiếm web	Hoa Kỳ
Máy chủ suy luận OpenRouter	Máy chủ suy luận cho các mô hình trọng số mở GLM-5.3-flash và gpt-oss-120b	Qua OpenRouter
Typesafe	Mô hình quyết định đằng sau công thức GPT_CLASSIFY	Qua OpenRouter
Google Programmable Search	Tra cứu hình ảnh cổ phiếu cho các slide được tạo (chỉ truy vấn)	Hoa Kỳ
Stripe	Thanh toán, hóa đơn, cổng thông tin thanh toán	Hoa Kỳ và Ireland, theo DPA của Stripe
PostHog (phiên bản tự lưu trữ)	Phân tích sản phẩm	Liên minh Châu Âu
Sentry	Giám sát lỗi	Liên minh Châu Âu (khu vực dữ liệu EU)