Thỏa thuận xử lý dữ liệu (mẫu)

Đây là mẫu thỏa thuận xử lý dữ liệu (DPA) mà GPT Workspace ký với khách hàng doanh nghiệp. Để nhận bản đã điền sẵn thông tin, hãy viết thư cho contact@gpt.space kèm tên pháp lý, địa chỉ, người liên hệ và số lượng giấy phép của công ty bạn. Các bên xử lý được nêu tên trong thỏa thuận được liệt kê và cập nhật thường xuyên tại Trust Center.

Mẫu này được cung cấp cho mục đích tham khảo thông tin và không phải là tư vấn pháp lý. Hãy nhờ luật sư của bạn xem xét trước khi ký. Các trường trong ngoặc vuông sẽ được điền trước khi ký.

---

Thỏa thuận Xử lý Dữ liệu này (“DPA”) là một phần của thỏa thuận sử dụng GPT Workspace (“Dịch vụ”) giữa:

• [TÊN PHÁP LÝ KHÁCH HÀNG], [ĐỊA CHỈ KHÁCH HÀNG], [SỐ ĐĂNG KÝ] (“Khách hàng” hoặc “Bên kiểm soát”), và
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, USA (“Nhà cung cấp” hoặc “Bên xử lý”),

cùng nhau gọi là (“Các bên”). Thỏa thuận này có hiệu lực từ [NGÀY HIỆU LỰC] và áp dụng trong suốt thời gian Nhà cung cấp xử lý Dữ liệu cá nhân thay mặt Khách hàng.

“GDPR” có nghĩa là Quy định (EU) 2016/679, và khi áp dụng, là UK GDPR như được định nghĩa trong Đạo luật Bảo vệ Dữ liệu 2018. “Dữ liệu cá nhân”, “Xử lý”, “Bên kiểm soát”, “Bên xử lý”, “Chủ thể dữ liệu”, “Cơ quan giám sát” và “Vi phạm Dữ liệu cá nhân” có ý nghĩa như được quy định tại Điều 4 GDPR. “Bên xử lý phụ” có nghĩa là bên thứ ba được Nhà cung cấp thuê để xử lý Dữ liệu cá nhân thay mặt Khách hàng. “Dữ liệu khách hàng” có nghĩa là Dữ liệu cá nhân mà Nhà cung cấp xử lý cho Khách hàng theo thỏa thuận dịch vụ, như được mô tả trong Phụ lục 1.

2.1 Khách hàng là Bên kiểm soát và Nhà cung cấp là Bên xử lý Dữ liệu khách hàng. Khi Khách hàng đóng vai trò là bên xử lý cho khách hàng của chính mình, Nhà cung cấp đóng vai trò là bên xử lý phụ và Khách hàng đảm bảo rằng các chỉ thị của chính Khách hàng được bên kiểm soát có thẩm quyền cho phép.

2.2 Đối tượng, thời hạn, tính chất và mục đích của Xử lý, các loại Dữ liệu cá nhân và các danh mục Chủ thể dữ liệu được quy định trong Phụ lục 1.

3.1 Nhà cung cấp chỉ xử lý Dữ liệu khách hàng theo chỉ thị được ghi nhận của Khách hàng, bao gồm cả việc chuyển dữ liệu sang quốc gia thứ ba, trừ khi pháp luật của Liên minh hoặc Quốc gia thành viên áp dụng cho Nhà cung cấp yêu cầu这样做; trong trường hợp đó, Nhà cung cấp thông báo cho Khách hàng về yêu cầu pháp lý đó trước khi xử lý, trừ khi luật cấm.

3.2 Các chỉ thị của Khách hàng bao gồm: thỏa thuận dịch vụ, DPA này, cấu hình mà Khách hàng và người dùng của họ thiết lập trong Dịch vụ, và các yêu cầu mà người dùng của Khách hàng gửi đến Dịch vụ. Nhà cung cấp thông báo ngay lập tức cho Khách hàng nếu, theo ý kiến của Nhà cung cấp, một chỉ thị vi phạm GDPR.

Nhà cung cấp đảm bảo rằng những người được ủy quyền xử lý Dữ liệu khách hàng đã cam kết bảo mật hoặc chịu nghĩa vụ bảo mật theo quy định pháp luật phù hợp, và quyền truy cập được giới hạn ở mức độ cần thiết để mỗi người thực hiện Dịch vụ.

Nhà cung cấp triển khai các biện pháp kỹ thuật và tổ chức được liệt kê trong Phụ lục 2 và liên tục xem xét lại. Cân nhắc trình độ công nghệ hiện tại, chi phí triển khai và tính chất, phạm vi, bối cảnh và mục đích của Xử lý, các biện pháp đảm bảo mức độ bảo mật phù hợp với rủi ro.

6.1 Khách hàng cấp cho Nhà cung cấp sự ủy quyền bằng văn bản chung để thuê các Bên xử lý phụ được liệt kê trong Phụ lục 3.

6.2 Nhà cung cấp thông báo cho Khách hàng về bất kỳ dự định thêm hoặc thay thế Bên xử lý phụ ít nhất [30] ngày trước khi thay đổi có hiệu lực, qua email đến [EMAIL THÔNG BÁO KHÁCH HÀNG] và bằng cách cập nhật danh sách tại https://gpt.space/trust. Khách hàng có thể phản đối dựa trên cơ sở bảo vệ dữ liệu hợp lý trong khoảng thời gian đó; nếu Các bên không thể giải quyết được sự phản đối, Khách hàng có thể chấm dứt phần Dịch vụ bị ảnh hưởng mà không bị phạt.

6.3 Nhà cung cấp áp đặt cho mỗi Bên xử lý phụ, thông qua hợp đồng, các nghĩa vụ bảo vệ dữ liệu tương tự như quy định trong DPA này, đặc biệt là đảm bảo đủ các biện pháp kỹ thuật và tổ chức phù hợp. Khi một Bên xử lý phụ không thực hiện được nghĩa vụ của mình, Nhà cung cấp vẫn chịu hoàn toàn trách nhiệm với Khách hàng về việc thực hiện nghĩa vụ của Bên xử lý phụ đó.

Cân nhắc tính chất của Xử lý, Nhà cung cấp hỗ trợ Khách hàng bằng các biện pháp kỹ thuật và tổ chức phù hợp, trong phạm vi có thể, để thực hiện nghĩa vụ của Khách hàng trong việc phản hồi các yêu cầu thực thi quyền của Chủ thể dữ liệu theo Chương III GDPR. Nhà cung cấp chuyển tiếp cho Khách hàng, không chậm trễ, bất kỳ yêu cầu nào nhận được trực tiếp từ Chủ thể dữ liệu liên quan đến Dữ liệu khách hàng, và không phản hồi yêu cầu đó trừ khi có chỉ thị của Khách hàng hoặc khi pháp luật yêu cầu.

Nhà cung cấp hỗ trợ Khách hàng đảm bảo tuân thủ các nghĩa vụ theo Điều 32 đến Điều 36 GDPR (bảo mật, thông báo vi phạm, đánh giá tác động bảo vệ dữ liệu và tham vấn trước), cân nhắc tính chất của Xử lý và thông tin có sẵn cho Nhà cung cấp.

Nhà cung cấp thông báo cho Khách hàng không chậm trễ, và trong mọi trường hợp trong vòng [48] giờ, sau khi nhận biết được Vi phạm Dữ liệu cá nhân ảnh hưởng đến Dữ liệu khách hàng, qua email đến [EMAIL THÔNG BÁO KHÁCH HÀNG]. Thông báo mô tả, theo mức độ đã biết tại thời điểm đó, tính chất của vi phạm, các danh mục và số lượng xấp xỉ của Chủ thể dữ liệu và hồ sơ liên quan, hậu quả có thể xảy ra, các biện pháp đã thực hiện hoặc đề xuất, và điểm liên lạc; thông tin chưa có sẵn sẽ được cung cấp theo từng giai đoạn không chậm trễ thêm.

10.1 Theo lựa chọn của Khách hàng, Nhà cung cấp xóa hoặc trả lại toàn bộ Dữ liệu khách hàng sau khi kết thúc việc cung cấp Dịch vụ, và xóa các bản sao hiện có, trừ khi pháp luật của Liên minh hoặc Quốc gia thành viên yêu cầu lưu trữ Dữ liệu cá nhân.

10.2 Không phụ thuộc vào điều 10.1, Khách hàng và mỗi người dùng của họ có thể xóa tài khoản và dữ liệu do Nhà cung cấp lưu trữ khỏi Dịch vụ bất cứ lúc nào; việc xóa được thực hiện trong vòng 24 giờ kể từ yêu cầu. Hóa đơn và hồ sơ thanh toán được lưu giữ trong thời gian pháp luật về thuế yêu cầu.

11.1 Nhà cung cấp cung cấp cho Khách hàng mọi thông tin cần thiết để chứng minh sự tuân thủ các nghĩa vụ quy định tại Điều 28 GDPR, và cho phép và đóng góp vào các cuộc kiểm toán, bao gồm thanh tra, do Khách hàng hoặc kiểm toán viên được Khách hàng ủy quyền tiến hành.

11.2 Nhà cung cấp trước tiên đáp ứng các yêu cầu kiểm toán bằng cách cung cấp chứng chỉ ISO 27001 và báo cáo kiểm toán (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), đánh giá CASA Tier III và các câu trả lời bằng văn bản cho bảng câu hỏi bảo mật. Một cuộc thanh tra tại chỗ hoặc từ xa được tiến hành tối đa [một lần mỗi năm], với [30] ngày thông báo bằng văn bản, trong giờ làm việc, theo thỏa thuận bảo mật, và chi phí do Khách hàng chi trả, trừ khi Cơ quan giám sát yêu cầu khác hoặc đã xảy ra Vi phạm Dữ liệu cá nhân.

12.1 Nhà cung cấp được thành lập tại Hoa Kỳ và Dịch vụ được lưu trữ trên Google Cloud Platform tại Hoa Kỳ. Khi Dữ liệu khách hàng của Chủ thể dữ liệu ở EEA, Vương quốc Anh hoặc Thụy Sĩ được chuyển sang một quốc gia không có quyết định tương đương, Các bên dựa vào các Điều khoản Hợp đồng Tiêu chuẩn được Ủy ban Châu Âu thông qua trong Quyết định (EU) 2021/914 (Mô-đun Hai, từ bên kiểm soát đến bên xử lý, hoặc Mô-đun Ba, từ bên xử lý đến bên xử lý, tùy trường hợp áp dụng), được lồng ghép bằng cách dẫn chiếu, cùng với Phụ lục Bổ sung Chuyển giao Dữ liệu Quốc tế UK khi liên quan đến dữ liệu UK. Các Bên xử lý phụ của Nhà cung cấp nhận Dữ liệu khách hàng tham gia vào Khung Quyền riêng tư Dữ liệu EU-US khi khung đó có sẵn cho họ; các Điều khoản Hợp đồng Tiêu chuẩn chi phối mọi chuyển giao do chính Nhà cung cấp thực hiện.

12.2 Đối với các tùy chọn trong Điều khoản Hợp đồng Tiêu chuẩn: Điều khoản 7 (ghép nối) áp dụng; Điều khoản 9 tùy chọn 2 (ủy quyền chung) với thời hạn thông báo của Mục 6.2; Điều khoản 11 ngôn ngữ tùy chọn không áp dụng; Điều khoản 13 và Điều khoản 17: luật của [QUỐC GIA THÀNH VIÊN, ví dụ Ireland]; Điều khoản 18: tòa án của [QUỐC GIA THÀNH VIÊN]. Phụ lục I và Phụ lục II của các Điều khoản tương ứng với Phụ lục 1 và 2 của DPA này.

13.1 Trách nhiệm của mỗi Bên theo DPA này tuân theo các giới hạn và loại trừ trách nhiệm trong thỏa thuận dịch vụ, trừ khi những giới hạn đó không thể được hạn chế theo luật bảo vệ dữ liệu áp dụng.

13.2 DPA này có hiệu lực từ Ngày hiệu lực và duy trì hiệu lực trong thời gian Nhà cung cấp xử lý Dữ liệu khách hàng. Trong trường hợp có xung đột giữa DPA này và thỏa thuận dịch vụ, DPA này được ưu tiên đối với việc Xử lý Dữ liệu cá nhân.

13.3 DPA này chịu sự điều chỉnh của luật điều chỉnh thỏa thuận dịch vụ, ngoại trừ việc các Điều khoản Hợp đồng Tiêu chuẩn chịu sự điều chỉnh của luật được chọn tại Mục 12.2.

Đại diện Khách hàng	Đại diện Nhà cung cấp
Họ tên: [HỌ TÊN]	Họ tên: [HỌ TÊN]
Chức danh: [CHỨC DANH]	Chức danh: [CHỨC DANH]
Ngày: [NGÀY]	Ngày: [NGÀY]
Chữ ký:	Chữ ký:

---

Hạng mục	Mô tả
Đối tượng	Cung cấp Dịch vụ GPT Workspace: hỗ trợ AI trong Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, tiện ích Chrome và máy chủ MCP.
Thời hạn	Thời hạn của thỏa thuận dịch vụ, cộng với các thời gian lưu trữ trong Phụ lục 2.
Tính chất và mục đích	Đọc nội dung mà người dùng trỏ đến trong tài khoản Google của họ, gửi cùng với câu lệnh của người dùng đến nhà cung cấp mô hình AI, và ghi câu trả lời trở lại tệp hoặc cuộc trò chuyện của người dùng. Quản trị tài khoản, thanh toán và hỗ trợ.
Danh mục Chủ thể dữ liệu	Nhân viên và nhà thầu của Khách hàng sử dụng Dịch vụ; những người có dữ liệu xuất hiện trong tài liệu, bảng tính, email và tệp của Khách hàng được xử lý thông qua Dịch vụ.
Các loại Dữ liệu cá nhân	Dữ liệu tài khoản (tên, địa chỉ email, ảnh đại diện, mã định danh tài khoản Google); dữ liệu thanh toán (tên thanh toán, địa chỉ, số VAT); siêu dữ liệu sử dụng (số lượng yêu cầu, ngày tháng, tiêu đề tài liệu); nội dung các câu lệnh và các tệp Google, email và tệp đính kèm mà người dùng gửi, có thể chứa bất kỳ danh mục Dữ liệu cá nhân nào mà Khách hàng đặt ở đó.
Danh mục đặc biệt	Không có theo thiết kế. Dịch vụ không yêu cầu dữ liệu danh mục đặc biệt; Khách hàng quyết định nội dung người dùng gửi. [Khách hàng chỉ định nếu danh mục đặc biệt được dự kiến: KHÔNG / MÔ TẢ]
Tần suất	Liên tục, theo mỗi yêu cầu người dùng thực hiện.
Lưu trữ	Xem Phụ lục 2, “Lưu trữ”.

Lĩnh vực	Biện pháp
Chứng nhận	Hệ thống quản lý bảo mật thông tin được chứng nhận ISO 27001 (có báo cáo kiểm toán). Đánh giá CASA Tier III (App Defense Alliance) cho tích hợp Google Workspace. Tuân thủ Chính sách Dữ liệu Người dùng của Google API Services, bao gồm các yêu cầu Sử dụng Hạn chế.
Lưu trữ	Google Cloud Platform (Firebase), Hoa Kỳ, khu vực US East và US West. Các thành phần xử lý Dữ liệu khách hàng chạy bên trong mạng riêng của Nhà cung cấp, phía sau bộ cân bằng tải và tường lửa ứng dụng web.
Mã hóa	TLS 1.2 trở lên cho toàn bộ dữ liệu trong quá trình truyền. Mã hóa AES-256 phía máy chủ khi lưu trữ trên Firebase, quản lý khóa thông qua GCP IAM. Mã truy cập và làm mới của Google được mã hóa khi lưu trữ.
Không sao chép tệp khách hàng	Các tệp Google, email và bảng tính được đọc theo thời gian thực bằng mã OAuth của chính người dùng và không được sao chép sang bộ nhớ của Nhà cung cấp. Ngoại lệ duy nhất là tệp mà người dùng đính kèm cho tìm kiếm tệp, được tải lên kho lưu trữ vector OpenAI (xem Phụ lục 3): chỉ mục tìm kiếm bị xóa 1 ngày sau lần sử dụng cuối và bản sao bị xóa sau 7 ngày.
Nhà cung cấp mô hình	Được sử dụng theo điều khoản API cấm huấn luyện trên các yêu cầu. Nhà cung cấp không bao giờ huấn luyện hoặc tinh chỉnh mô hình trên Dữ liệu khách hàng.
Kiểm soát truy cập	Truy cập vào hệ thống sản xuất bị giới hạn cho nhân viên được ủy quyền có tài khoản cá nhân, xác thực đa yếu tố và quyền tối thiểu thông qua GCP IAM. Cô lập dữ liệu theo từng người dùng được thực thi bằng quy tắc bảo mật Firebase. Xác thực đa yếu tố là bắt buộc cho mọi tài khoản có quyền truy cập sản xuất; quyền truy cập được xem xét hàng tuần.
Giám sát và kiểm tra	GCP Security Command Center quét lỗ hổng liên tục trên toàn bộ tài sản trong phạm vi; chính sách công bố lỗ hổng cho các nhà nghiên cứu bên ngoài.
Lưu trữ	Dữ liệu tài khoản, chuỗi trò chuyện, cài đặt và siêu dữ liệu sử dụng: 18 tháng sau hoạt động cuối cùng của người dùng, hoặc 24 giờ sau yêu cầu xóa. Tệp đính kèm cho tìm kiếm tệp: chỉ mục tìm kiếm bị xóa 1 ngày sau lần sử dụng cuối, bản sao tải lên bị xóa sau 7 ngày. Nhật ký yêu cầu cổng mô hình: 30 ngày, chỉ dùng cho hỗ trợ. Câu lệnh và câu trả lời: xử lý theo thời gian thực, không được lưu trữ dài hạn bởi Nhà cung cấp. Hóa đơn: thời gian pháp luật thuế yêu cầu.
Xóa	Xóa tự phục vụ tài khoản và toàn bộ dữ liệu liên quan trong Dịch vụ; xóa theo yêu cầu trong vòng 24 giờ.
Tính liên tục hoạt động	Công cụ sao lưu và khả dụng đa vùng gốc của Google Cloud; sao lưu đầy đủ mỗi 7 ngày.
Nhân viên	Nghĩa vụ bảo mật trong thỏa thuận nhân viên và nhà thầu; nhận thức bảo mật cho nhân viên có quyền truy cập sản xuất.

Danh sách hiện tại được duy trì tại https://gpt.space/trust và được tái lập tại đây tính đến Ngày hiệu lực.

Bên xử lý phụ	Mục đích	Vị trí
Google Cloud Platform / Firebase (Google LLC)	Lưu trữ, cơ sở dữ liệu, bộ nhớ, xác thực, bí mật	Hoa Kỳ
OpenRouter, Inc.	Cổng định tuyến mỗi yêu cầu mô hình đến nhà cung cấp bên dưới; nhật ký yêu cầu lưu 30 ngày chỉ để hỗ trợ, không bao giờ dùng để huấn luyện	Hoa Kỳ
OpenAI	Mô hình văn bản và hình ảnh; kho lưu trữ vector cho tìm kiếm tệp	Hoa Kỳ
Anthropic	Mô hình Claude (ghim vào endpoint riêng của Anthropic)	Hoa Kỳ
Google (AI Studio)	Mô hình văn bản và hình ảnh Gemini	Hoa Kỳ
Perplexity	Mô hình tìm kiếm web	Hoa Kỳ
Máy chủ suy luận OpenRouter	Máy chủ suy luận cho các mô hình open-weight GLM-5.3-flash và gpt-oss-120b	Qua OpenRouter
Typesafe	Mô hình quyết định cho công thức GPT_CLASSIFY	Qua OpenRouter
Google Programmable Search	Tra cứu hình ảnh cho slide được tạo (chỉ truy vấn)	Hoa Kỳ
Stripe	Thanh toán, hóa đơn, cổng thông tin thanh toán	Hoa Kỳ và Ireland, theo Stripe DPA
PostHog (phiên bản tự lưu trữ)	Phân tích sản phẩm	Liên minh Châu Âu
Sentry	Giám sát lỗi	Liên minh Châu Âu (khu vực dữ liệu EU)