PHỤ LỤC Số 4 của Điều khoản sử dụng: Các điều khoản hợp đồng tiêu chuẩn

MÔ-ĐUN BỐN: Chuyển từ bên xử lý sang bên kiểm soát

Có hiệu lực kể từ ngày 30 tháng 9 năm 2026 | Xem phiên bản trước của các điều khoản hợp đồng tiêu chuẩn | So sánh các thay đổi

Ngoài các Điều khoản, các Điều khoản Hợp đồng Tiêu chuẩn này (bao gồm các Điều khoản Hợp đồng Tiêu chuẩn của Ủy ban Châu Âu (2021/914/EU)), như được nêu dưới đây, sẽ được áp dụng mà không cần ký kết thêm, nếu các Bên được yêu cầu phải giao kết các điều khoản đó trong bối cảnh cung cấp Dịch vụ liên quan đến việc mua hoặc nhận Đăng ký, và trong phạm vi có hoạt động chuyển dữ liệu cá nhân đến một tổ chức tại quốc gia thứ ba nằm ngoài Khu vực Kinh tế Châu Âu hoặc không được công nhận là có mức bảo vệ đầy đủ theo quyết định của Ủy ban Châu Âu (bên nhập dữ liệu).

Trừ khi một điều khoản cụ thể của các Điều khoản Hợp đồng Tiêu chuẩn này có quy định khác, ý nghĩa của tất cả các thuật ngữ viết hoa trong tài liệu này sẽ được hiểu theo định nghĩa trong các Điều khoản và Phụ lục 3 - Thỏa thuận Xử lý Dữ liệu ("Thỏa thuận Xử lý Dữ liệu") của các Điều khoản đó.

PHẦN I

Điều khoản 1 Mục đích và phạm vi

(a) Mục đích của các điều khoản hợp đồng tiêu chuẩn này là đảm bảo tuân thủ các yêu cầu của Quy định (EU) 2016/679 của Nghị viện Châu Âu và Hội đồng ngày 27 tháng 4 năm 2016 về bảo vệ thể nhân liên quan đến việc xử lý dữ liệu cá nhân và về tự do lưu chuyển dữ liệu đó (Quy định chung về bảo vệ dữ liệu) (1) đối với việc chuyển dữ liệu cá nhân sang nước thứ ba.

(b) Các Bên:

(i) (các) thể nhân hoặc pháp nhân, (các) cơ quan công quyền, (các) cơ quan hoặc (các) tổ chức khác (sau đây gọi là "thực thể") chuyển giao dữ liệu cá nhân, như được liệt kê trong Phụ lục I.A (sau đây mỗi bên được gọi là "bên xuất khẩu dữ liệu"), và

(ii) (các) thực thể tại một nước thứ ba nhận dữ liệu cá nhân từ nhà xuất khẩu dữ liệu, trực tiếp hoặc gián tiếp thông qua một thực thể khác cũng là Bên tham gia các Điều khoản này, như được liệt kê trong Phụ lục I.A (sau đây mỗi bên gọi là "nhà nhập khẩu dữ liệu")

đã đồng ý với các điều khoản hợp đồng tiêu chuẩn này (sau đây gọi là: "Điều khoản").

(c) Các Điều khoản này áp dụng đối với việc chuyển giao dữ liệu cá nhân như được nêu cụ thể tại Phụ lục I.B.

(d) Phụ đính của các Điều khoản này, bao gồm các Phụ lục được đề cập trong đó, là một phần không thể tách rời của các Điều khoản này.

Điều khoản 2 Hiệu lực và tính bất biến của các Điều khoản

(a) Các Điều khoản này quy định các biện pháp bảo vệ thích hợp, bao gồm các quyền có thể thực thi của chủ thể dữ liệu và các biện pháp khắc phục pháp lý hiệu quả, theo Điều 46(1) và Điều 46(2)(c) của Quy định (EU) 2016/679 và, đối với việc chuyển dữ liệu từ bên kiểm soát dữ liệu sang bên xử lý dữ liệu và/hoặc từ bên xử lý dữ liệu sang bên xử lý dữ liệu, là các điều khoản hợp đồng tiêu chuẩn theo Điều 28(7) của Quy định (EU) 2016/679, với điều kiện là các Điều khoản này không bị sửa đổi, ngoại trừ việc lựa chọn (các) Mô-đun phù hợp hoặc bổ sung, cập nhật thông tin trong Phụ lục. Điều này không ngăn cản các Bên đưa các điều khoản hợp đồng tiêu chuẩn được quy định trong các Điều khoản này vào một hợp đồng rộng hơn và/hoặc bổ sung các điều khoản khác hoặc các biện pháp bảo vệ bổ sung, với điều kiện là chúng không mâu thuẫn, một cách trực tiếp hoặc gián tiếp, với các Điều khoản này hoặc không làm phương hại đến các quyền và tự do cơ bản của chủ thể dữ liệu.

(b) Các Điều khoản này không ảnh hưởng đến các nghĩa vụ mà bên xuất khẩu dữ liệu phải tuân thủ theo Quy định (EU) 2016/679.

Điều khoản 3 Người thụ hưởng là bên thứ ba

(a) Chủ thể dữ liệu có thể viện dẫn và thực thi các Điều khoản này, với tư cách là bên thứ ba thụ hưởng, đối với bên xuất khẩu dữ liệu và/hoặc bên nhập khẩu dữ liệu, với các ngoại lệ sau:

(i) Điều khoản 1, Điều khoản 2, Điều khoản 3, Điều khoản 6, Điều khoản 7;

(ii) Điều khoản 8 – Mô-đun Một: Điều khoản 8.5 (e) và Điều khoản 8.9(b); Mô-đun Hai: Khoản 8.1(b), 8.9(a), (c), (d) và (e); Mô-đun Ba: Điều khoản 8.1(a), (c) và (d) và Điều khoản 8.9(a), (c), (d), (e), (f) và (g); Mô-đun Bốn: Điều khoản 8.1 (b) và Điều khoản 8.3(b);

(iii) Điều 9 – Mô-đun Hai: Khoản 9(a), (c), (d) và (e); Mô-đun Ba: Điều khoản 9(a), (c), (d) và (e);

(iv) Điều khoản 12 – Mô-đun Một: Điều khoản 12(a) và (d); Mô-đun Hai và Ba: Khoản 12(a), (d) và (f);

(v) Điều khoản 13;

(vi) Khoản 15.1(c), (d) và (e);

(vii) Khoản 16(e);

(viii) Điều 18 – Mô-đun Một, Hai và Ba: Điều khoản 18(a) và (b); Mô-đun Bốn: Điều 18.

(b) Khoản (a) không ảnh hưởng đến quyền của chủ thể dữ liệu theo Quy định (EU) 2016/679.

Điều 4 Giải thích

(a) Khi các Điều khoản này sử dụng các thuật ngữ được định nghĩa trong Quy định (EU) 2016/679, các thuật ngữ đó sẽ có cùng ý nghĩa như trong Quy định đó.

(b) Các Điều khoản này phải được đọc và diễn giải theo các quy định của Quy định (EU) 2016/679.

(c) Các Điều khoản này không được diễn giải theo cách mâu thuẫn với các quyền và nghĩa vụ được quy định trong Quy định (EU) 2016/679.

Điều khoản 5 Hệ thống phân cấp

Trong trường hợp có mâu thuẫn giữa các Điều khoản này và các quy định của các thỏa thuận liên quan giữa các Bên, đang tồn tại tại thời điểm các Điều khoản này được thỏa thuận hoặc được ký kết sau đó, các Điều khoản này sẽ được ưu tiên áp dụng.

Điều khoản 6 Mô tả về (các) hoạt động chuyển giao dữ liệu

Chi tiết về (các) hoạt động chuyển giao, và cụ thể là các loại dữ liệu cá nhân được chuyển giao cũng như (các) mục đích chuyển giao, được quy định tại Phụ lục I.B.

Điều khoản 7 Điều khoản Ghép nối tùy chọn

(a) Một thực thể không phải là Bên của các Điều khoản này có thể, với sự đồng ý của các Bên, gia nhập các Điều khoản này vào bất kỳ thời điểm nào, với tư cách là bên xuất khẩu dữ liệu hoặc bên nhập khẩu dữ liệu, bằng cách hoàn thành Phụ lục và ký Phụ lục I.A.

(b) Sau khi đã hoàn thành Phụ lục và ký Phụ lục I.A, thực thể gia nhập sẽ trở thành một Bên của các Điều khoản này và có các quyền và nghĩa vụ của bên xuất khẩu dữ liệu hoặc bên nhập khẩu dữ liệu theo chỉ định của thực thể đó tại Phụ lục I.A.

(c) Thực thể gia nhập sẽ không có bất kỳ quyền hoặc nghĩa vụ nào phát sinh theo các Điều khoản này đối với giai đoạn trước khi trở thành một Bên.

PHẦN II – NGHĨA VỤ CỦA CÁC BÊN

Điều khoản 8 Các biện pháp bảo vệ dữ liệu

Bên xuất khẩu dữ liệu cam đoan rằng mình đã nỗ lực hợp lý để xác định rằng bên nhập khẩu dữ liệu có khả năng thực hiện các nghĩa vụ của mình theo các Điều khoản này thông qua việc triển khai các biện pháp kỹ thuật và tổ chức phù hợp.

8.1 Hướng dẫn

(a) Bên xuất khẩu dữ liệu chỉ được xử lý dữ liệu cá nhân theo các chỉ dẫn được lập thành văn bản của bên nhập khẩu dữ liệu với vai trò là bên kiểm soát dữ liệu của mình.

(b) Bên xuất khẩu dữ liệu phải thông báo ngay cho bên nhập khẩu dữ liệu nếu bên xuất khẩu không thể tuân theo các chỉ thị đó, kể cả trong trường hợp các chỉ thị đó vi phạm Quy định (EU) 2016/679 hoặc luật bảo vệ dữ liệu khác của Liên minh hoặc của Quốc gia Thành viên.

(c) Bên nhập khẩu dữ liệu phải tránh mọi hành động có thể ngăn cản bên xuất khẩu dữ liệu thực hiện các nghĩa vụ của mình theo Quy định (EU) 2016/679, bao gồm trong bối cảnh xử lý thứ cấp hoặc liên quan đến việc hợp tác với các cơ quan giám sát có thẩm quyền.

(d) Sau khi kết thúc việc cung cấp các dịch vụ xử lý, bên xuất khẩu dữ liệu phải, theo lựa chọn của bên nhập khẩu dữ liệu, xóa toàn bộ dữ liệu cá nhân đã được xử lý thay mặt cho bên nhập khẩu dữ liệu và xác nhận với bên nhập khẩu dữ liệu rằng mình đã thực hiện việc đó, hoặc trả lại cho bên nhập khẩu dữ liệu toàn bộ dữ liệu cá nhân đã được xử lý thay mặt cho bên đó và xóa các bản sao hiện có.

8.2 An toàn xử lý

(a) Các Bên sẽ triển khai các biện pháp kỹ thuật và tổ chức phù hợp để bảo đảm an toàn cho dữ liệu, kể cả trong quá trình truyền tải, và bảo vệ dữ liệu trước các hành vi vi phạm an ninh dẫn đến việc phá hủy, mất mát, thay đổi, tiết lộ hoặc truy cập trái phép một cách vô tình hoặc trái pháp luật (sau đây gọi là "vi phạm dữ liệu cá nhân"). Khi đánh giá mức độ bảo mật phù hợp, họ phải xem xét thỏa đáng trình độ công nghệ hiện tại, chi phí triển khai, bản chất của dữ liệu cá nhân (2), bản chất, phạm vi, bối cảnh và (các) mục đích xử lý cũng như các rủi ro phát sinh từ việc xử lý đối với các chủ thể dữ liệu, và đặc biệt là cân nhắc việc sử dụng mã hóa hoặc giả danh hóa, kể cả trong quá trình truyền dữ liệu, khi mục đích xử lý có thể đạt được theo cách đó.

(b) Bên xuất dữ liệu phải hỗ trợ bên nhập dữ liệu trong việc bảo đảm an ninh phù hợp cho dữ liệu theo quy định tại khoản (a). Trong trường hợp xảy ra vi phạm dữ liệu cá nhân liên quan đến dữ liệu cá nhân được bên xuất khẩu dữ liệu xử lý theo các Điều khoản này, bên xuất khẩu dữ liệu phải thông báo cho bên nhập khẩu dữ liệu mà không chậm trễ quá mức sau khi biết được vi phạm đó và hỗ trợ bên nhập khẩu dữ liệu khắc phục vi phạm.

(c) Bên xuất khẩu dữ liệu phải đảm bảo rằng những người được ủy quyền xử lý dữ liệu cá nhân đã cam kết bảo mật hoặc chịu nghĩa vụ bảo mật theo luật định phù hợp.

8.3 Tài liệu và tuân thủ

(a) Các Bên phải có khả năng chứng minh việc tuân thủ các Điều khoản này.

(b) Bên xuất dữ liệu phải cung cấp cho bên nhập dữ liệu mọi thông tin cần thiết để chứng minh việc tuân thủ các nghĩa vụ của mình theo các Điều khoản này, đồng thời cho phép và đóng góp vào các cuộc kiểm tra, đánh giá.

Điều khoản 9 Sử dụng các bên xử lý phụ

Không áp dụng đối với mô-đun tương ứng và bản chất của việc chuyển giao.

Điều khoản 10 Quyền của chủ thể dữ liệu

Các Bên sẽ hỗ trợ lẫn nhau trong việc phản hồi các thắc mắc và yêu cầu do chủ thể dữ liệu đưa ra theo luật địa phương áp dụng đối với bên nhập dữ liệu hoặc, đối với hoạt động xử lý dữ liệu do bên xuất dữ liệu thực hiện tại EU, theo Quy định (EU) 2016/679.

Điều khoản 11 Khắc phục

(a) Bên nhập dữ liệu phải thông báo cho các chủ thể dữ liệu theo định dạng minh bạch và dễ dàng tiếp cận, thông qua thông báo riêng cho từng cá nhân hoặc trên trang web của mình, về một đầu mối liên hệ được ủy quyền xử lý khiếu nại. Cơ quan này phải xử lý kịp thời mọi khiếu nại nhận được từ chủ thể dữ liệu.

Điều 12 Trách nhiệm pháp lý

(a) Mỗi Bên phải chịu trách nhiệm đối với Bên kia/các Bên kia về bất kỳ thiệt hại nào mà Bên đó gây ra cho Bên kia/các Bên kia do bất kỳ vi phạm nào đối với các Điều khoản này.

(b) Mỗi Bên phải chịu trách nhiệm đối với chủ thể dữ liệu, và chủ thể dữ liệu có quyền nhận bồi thường, đối với bất kỳ thiệt hại vật chất hoặc phi vật chất nào mà Bên đó gây ra cho chủ thể dữ liệu do vi phạm các quyền của bên thứ ba thụ hưởng theo các Điều khoản này. Điều này không làm ảnh hưởng đến trách nhiệm pháp lý của bên xuất khẩu dữ liệu theo Quy định (EU) 2016/679.

(c) Khi có nhiều hơn một Bên chịu trách nhiệm về bất kỳ thiệt hại nào gây ra cho chủ thể dữ liệu do hậu quả của việc vi phạm các Điều khoản này, tất cả các Bên chịu trách nhiệm phải chịu trách nhiệm chung và riêng, và chủ thể dữ liệu có quyền khởi kiện tại tòa án đối với bất kỳ Bên nào trong số các Bên này.

(d) Các Bên đồng ý rằng nếu một Bên bị quy trách nhiệm theo khoản (c), Bên đó có quyền đòi lại từ Bên/các Bên kia phần bồi thường tương ứng với trách nhiệm của Bên/các Bên đó đối với thiệt hại.

(e) Bên nhập khẩu dữ liệu không được viện dẫn hành vi của bên xử lý dữ liệu hoặc bên xử lý dữ liệu phụ để trốn tránh trách nhiệm của chính mình.

Điều khoản 13 Giám sát

Không áp dụng đối với mô-đun tương ứng và bản chất của việc chuyển giao.

PHẦN III – LUẬT PHÁP ĐỊA PHƯƠNG VÀ NGHĨA VỤ TRONG TRƯỜNG HỢP CƠ QUAN CÔNG QUYỀN TRUY CẬP

Điều khoản 14 Luật pháp và thông lệ địa phương ảnh hưởng đến việc tuân thủ các Điều khoản

MÔ-ĐUN BỐN: Chuyển dữ liệu từ bên xử lý sang bên kiểm soát (trường hợp bên xử lý tại EU kết hợp dữ liệu cá nhân nhận được từ bên kiểm soát ở nước thứ ba với dữ liệu cá nhân do bên xử lý thu thập tại EU)

(a) Các Bên cam đoan rằng họ không có lý do để tin rằng pháp luật và thông lệ tại nước thứ ba nơi đến, được áp dụng đối với việc xử lý dữ liệu cá nhân bởi bên nhập khẩu dữ liệu, bao gồm bất kỳ yêu cầu nào về việc tiết lộ dữ liệu cá nhân hoặc các biện pháp cho phép các cơ quan công quyền truy cập, sẽ ngăn cản bên nhập khẩu dữ liệu thực hiện các nghĩa vụ của mình theo các Điều khoản này. Điều này dựa trên cách hiểu rằng các luật và thông lệ tôn trọng bản chất của các quyền và tự do cơ bản và không vượt quá những gì cần thiết và tương xứng trong một xã hội dân chủ nhằm bảo vệ một trong các mục tiêu được liệt kê tại Điều 23(1) của Quy định (EU) 2016/679, thì không mâu thuẫn với các Điều khoản này.

(b) Các Bên tuyên bố rằng khi đưa ra bảo đảm tại khoản (a), họ đã đặc biệt xem xét thích đáng các yếu tố sau:

(i) các hoàn cảnh cụ thể của việc chuyển giao, bao gồm độ dài của chuỗi xử lý, số lượng các bên tham gia và các kênh truyền tải được sử dụng; các hoạt động chuyển giao tiếp theo dự kiến; loại bên nhận; mục đích xử lý; các loại và định dạng của dữ liệu cá nhân được chuyển giao; lĩnh vực kinh tế diễn ra việc chuyển giao; địa điểm lưu trữ dữ liệu được chuyển giao;

(ii) luật pháp và thực tiễn của nước thứ ba nơi tiếp nhận – bao gồm cả những quy định yêu cầu tiết lộ dữ liệu cho cơ quan công quyền hoặc cho phép các cơ quan đó truy cập – có liên quan xét theo các tình huống cụ thể của việc chuyển giao, cũng như các giới hạn và biện pháp bảo vệ được áp dụng (3);

(iii) bất kỳ biện pháp bảo vệ hợp đồng, kỹ thuật hoặc tổ chức liên quan nào được áp dụng nhằm bổ sung cho các biện pháp bảo vệ theo các Điều khoản này, bao gồm các biện pháp được áp dụng trong quá trình truyền tải và đối với việc xử lý dữ liệu cá nhân tại quốc gia đích.

(c) Bên nhập khẩu dữ liệu đảm bảo rằng, khi thực hiện việc đánh giá theo khoản (b), bên này đã nỗ lực hết sức để cung cấp cho bên xuất khẩu dữ liệu các thông tin liên quan và đồng ý rằng bên này sẽ tiếp tục hợp tác với bên xuất khẩu dữ liệu trong việc đảm bảo tuân thủ các Điều khoản này.

(d) Các Bên đồng ý lập thành văn bản việc đánh giá theo khoản (b) và cung cấp tài liệu đó cho cơ quan giám sát có thẩm quyền khi có yêu cầu.

(e) Bên nhập khẩu dữ liệu đồng ý thông báo kịp thời cho Bên xuất khẩu dữ liệu nếu, sau khi đã đồng ý với các Điều khoản này và trong suốt thời hạn của hợp đồng, Bên nhập khẩu có lý do để tin rằng mình đang hoặc đã trở thành đối tượng chịu sự điều chỉnh của các luật hoặc thông lệ không phù hợp với các yêu cầu tại khoản (a), bao gồm cả sau khi có sự thay đổi trong luật pháp của nước thứ ba hoặc một biện pháp (chẳng hạn như yêu cầu tiết lộ thông tin) cho thấy việc ứng dụng các luật đó trên thực tế không phù hợp với các yêu cầu tại khoản (a).

(f) Sau khi có thông báo theo khoản (e), hoặc nếu bên xuất khẩu dữ liệu có lý do khác để tin rằng bên nhập khẩu dữ liệu không còn khả năng thực hiện các nghĩa vụ của mình theo các Điều khoản này, bên xuất khẩu dữ liệu phải nhanh chóng xác định các biện pháp phù hợp (ví dụ: các biện pháp kỹ thuật hoặc tổ chức nhằm bảo đảm an ninh và tính bảo mật) để bên xuất khẩu dữ liệu và/hoặc bên nhập khẩu dữ liệu áp dụng nhằm xử lý tình huống đó. Bên xuất dữ liệu phải tạm ngừng việc chuyển dữ liệu nếu bên này cho rằng không thể bảo đảm các biện pháp bảo vệ thích hợp cho việc chuyển dữ liệu đó, hoặc nếu được cơ quan giám sát có thẩm quyền yêu cầu thực hiện điều đó. Trong trường hợp này, bên xuất khẩu dữ liệu có quyền chấm dứt hợp đồng, trong phạm vi liên quan đến việc xử lý dữ liệu cá nhân theo các Điều khoản này. Nếu hợp đồng có sự tham gia của nhiều hơn hai Bên, bên xuất dữ liệu chỉ có thể thực hiện quyền chấm dứt này đối với Bên có liên quan, trừ khi các Bên có thỏa thuận khác. Trong trường hợp hợp đồng bị chấm dứt theo Điều khoản này, Điều khoản 16(d) và (e) sẽ được áp dụng.

Điều khoản 15 Nghĩa vụ của bên nhập dữ liệu trong trường hợp cơ quan công quyền truy cập dữ liệu

MÔ-ĐUN BỐN: Chuyển giao từ bên xử lý sang bên kiểm soát (trường hợp bên xử lý tại EU kết hợp dữ liệu cá nhân nhận được từ bên kiểm soát ở nước thứ ba với dữ liệu cá nhân do bên xử lý thu thập tại EU)

15.1 Thông báo

(a) Bên nhập khẩu dữ liệu đồng ý thông báo kịp thời cho bên xuất khẩu dữ liệu và, nếu có thể, cho chủ thể dữ liệu (nếu cần thiết thì với sự hỗ trợ của bên xuất khẩu dữ liệu) nếu bên này:

(i) nhận được yêu cầu có tính ràng buộc pháp lý từ một cơ quan công quyền, bao gồm cả các cơ quan tư pháp, theo pháp luật của quốc gia nhận dữ liệu về việc tiết lộ dữ liệu cá nhân được chuyển giao theo các Điều khoản này; thông báo đó phải bao gồm thông tin về dữ liệu cá nhân được yêu cầu, cơ quan đưa ra yêu cầu, cơ sở pháp lý của yêu cầu và phản hồi đã cung cấp; hoặc

(ii) biết được bất kỳ việc truy cập trực tiếp nào của cơ quan công quyền vào dữ liệu cá nhân được chuyển giao theo các Điều khoản này phù hợp với luật pháp của quốc gia đích; thông báo đó phải bao gồm tất cả thông tin mà bên nhập khẩu có được.

(b) Nếu bên nhập khẩu dữ liệu bị cấm thông báo cho bên xuất khẩu dữ liệu và/hoặc chủ thể dữ liệu theo pháp luật của quốc gia đến, bên nhập khẩu dữ liệu đồng ý nỗ lực hết sức để xin được miễn áp dụng lệnh cấm đó, nhằm truyền đạt càng nhiều thông tin càng tốt, càng sớm càng tốt. Bên nhập khẩu dữ liệu đồng ý lập hồ sơ về những nỗ lực tối đa của mình để có thể chứng minh các nỗ lực đó theo yêu cầu của bên xuất khẩu dữ liệu.

(c) Trong phạm vi pháp luật của quốc gia nơi nhận dữ liệu cho phép, bên nhập khẩu dữ liệu đồng ý cung cấp cho bên xuất khẩu dữ liệu, theo định kỳ trong suốt thời hạn của hợp đồng, càng nhiều thông tin liên quan càng tốt về các yêu cầu đã nhận được (cụ thể là số lượng yêu cầu, loại dữ liệu được yêu cầu, cơ quan đưa ra yêu cầu, liệu các yêu cầu đó có bị khiếu nại hay không và kết quả của các khiếu nại đó, v.v.).

(d) Bên nhập khẩu dữ liệu đồng ý lưu giữ thông tin theo các khoản (a) đến (c) trong suốt thời hạn hợp đồng và cung cấp thông tin đó cho cơ quan giám sát có thẩm quyền khi được yêu cầu.

(e) Các đoạn (a) đến (c) không ảnh hưởng đến nghĩa vụ của bên nhập khẩu dữ liệu theo Điều khoản 14(e) và Điều khoản 16 trong việc thông báo kịp thời cho bên xuất khẩu dữ liệu khi bên nhập khẩu dữ liệu không thể tuân thủ các Điều khoản này.

15.2 Rà soát tính hợp pháp và tối thiểu hóa dữ liệu

(a) Bên nhập khẩu dữ liệu đồng ý xem xét tính hợp pháp của yêu cầu tiết lộ dữ liệu, đặc biệt là liệu yêu cầu đó có nằm trong phạm vi thẩm quyền được trao cho cơ quan công quyền đưa ra yêu cầu hay không, và phản đối yêu cầu đó nếu, sau khi đánh giá kỹ lưỡng, bên nhập khẩu dữ liệu kết luận rằng có căn cứ hợp lý để cho rằng yêu cầu đó là bất hợp pháp theo pháp luật của quốc gia đích, theo các nghĩa vụ hiện hành của luật quốc tế và các nguyên tắc tương nhượng quốc tế. Bên nhập khẩu dữ liệu, theo cùng các điều kiện đó, phải theo đuổi các khả năng kháng cáo. Khi phản đối một yêu cầu, bên nhập dữ liệu phải đề nghị áp dụng các biện pháp tạm thời nhằm đình chỉ hiệu lực của yêu cầu đó cho đến khi cơ quan tư pháp có thẩm quyền ra quyết định về nội dung của yêu cầu. Bên này sẽ không tiết lộ dữ liệu cá nhân được yêu cầu cho đến khi buộc phải làm như vậy theo các quy tắc tố tụng hiện hành. Các yêu cầu này không làm ảnh hưởng đến các nghĩa vụ của bên nhập khẩu dữ liệu theo Điều khoản 14(e).

(b) Bên nhập khẩu dữ liệu đồng ý lập thành văn bản đánh giá pháp lý của mình và mọi khiếu nại đối với yêu cầu tiết lộ dữ liệu và, trong phạm vi pháp luật của quốc gia tiếp nhận cho phép, cung cấp tài liệu đó cho bên xuất khẩu dữ liệu. Tổ chức này cũng phải cung cấp tài liệu đó cho cơ quan giám sát có thẩm quyền khi có yêu cầu.

(c) Bên nhập khẩu dữ liệu đồng ý cung cấp lượng thông tin tối thiểu được phép khi phản hồi một yêu cầu tiết lộ, dựa trên cách diễn giải hợp lý về yêu cầu đó.

MỤC IV – ĐIỀU KHOẢN CUỐI CÙNG

Điều khoản 16 Không tuân thủ các Điều khoản và chấm dứt

(a) Bên nhập khẩu dữ liệu phải thông báo ngay cho bên xuất khẩu dữ liệu nếu vì bất kỳ lý do nào mà bên nhập khẩu dữ liệu không thể tuân thủ các Điều khoản này.

(b) Trong trường hợp bên nhập dữ liệu vi phạm các Điều khoản này hoặc không thể tuân thủ các Điều khoản này, bên xuất dữ liệu phải tạm ngừng việc chuyển giao dữ liệu cá nhân cho bên nhập dữ liệu cho đến khi việc tuân thủ được đảm bảo trở lại hoặc hợp đồng bị chấm dứt. Điều này không ảnh hưởng đến Điều khoản 14(f).

(c) Bên xuất khẩu dữ liệu có quyền chấm dứt hợp đồng, trong phạm vi liên quan đến việc xử lý dữ liệu cá nhân theo các Điều khoản này, khi:

(i) bên xuất khẩu dữ liệu đã tạm ngừng việc chuyển giao dữ liệu cá nhân cho bên nhập khẩu dữ liệu theo khoản (b) và việc tuân thủ các Điều khoản này không được khôi phục trong một khoảng thời gian hợp lý và trong mọi trường hợp là trong vòng một tháng kể từ khi tạm ngừng;

(ii) bên nhập khẩu dữ liệu vi phạm nghiêm trọng hoặc vi phạm kéo dài các Điều khoản này; hoặc

(iii) bên nhập khẩu dữ liệu không tuân thủ quyết định có tính ràng buộc của tòa án hoặc cơ quan giám sát có thẩm quyền liên quan đến các nghĩa vụ của mình theo các Điều khoản này.

Trong những trường hợp này, tổ chức đó phải thông báo cho cơ quan giám sát có thẩm quyền về việc không tuân thủ đó. Khi hợp đồng có sự tham gia của nhiều hơn hai Bên, bên xuất dữ liệu chỉ có thể thực hiện quyền chấm dứt này đối với Bên có liên quan, trừ khi các Bên có thỏa thuận khác.

(d) Dữ liệu cá nhân do bên xuất dữ liệu thu thập tại EU đã được chuyển giao trước khi chấm dứt hợp đồng theo khoản (c) phải được xóa ngay lập tức toàn bộ, bao gồm mọi bản sao của dữ liệu đó. Bên nhập khẩu dữ liệu phải chứng nhận với bên xuất khẩu dữ liệu về việc xóa dữ liệu. Cho đến khi dữ liệu được xóa hoặc trả lại, bên nhập khẩu dữ liệu phải tiếp tục đảm bảo tuân thủ các Điều khoản này. Trong trường hợp luật địa phương áp dụng đối với bên nhập dữ liệu cấm việc trả lại hoặc xóa dữ liệu cá nhân đã được chuyển giao, bên nhập dữ liệu cam kết sẽ tiếp tục đảm bảo tuân thủ các Điều khoản này và chỉ xử lý dữ liệu trong phạm vi và trong thời gian mà luật địa phương đó yêu cầu.

(e) Mỗi Bên đều có thể thu hồi sự chấp thuận chịu ràng buộc bởi các Điều khoản này khi (i) Ủy ban Châu Âu ban hành một quyết định theo Điều 45(3) của Quy định (EU) 2016/679 bao gồm việc chuyển giao dữ liệu cá nhân mà các Điều khoản này áp dụng; hoặc (ii) Quy định (EU) 2016/679 trở thành một phần của khung pháp lý của quốc gia mà dữ liệu cá nhân được chuyển đến. Điều này không ảnh hưởng đến các nghĩa vụ khác áp dụng đối với hoạt động xử lý đang được đề cập theo Quy định (EU) 2016/679.

Điều 17 Luật điều chỉnh

Các Điều khoản này sẽ được điều chỉnh bởi luật pháp của một quốc gia cho phép quyền của bên thứ ba thụ hưởng. Các Bên đồng ý rằng luật điều chỉnh sẽ là luật của Cộng hòa Slovakia.

Điều khoản 18 Lựa chọn tòa án và thẩm quyền tài phán

Mọi tranh chấp phát sinh từ các Điều khoản này sẽ được giải quyết bởi tòa án của Cộng hòa Slovakia.

PHỤ LỤC

PHỤ LỤC I

A. DANH SÁCH CÁC BÊN

Bên xuất dữ liệu: Đơn vị xuất dữ liệu là ESET (được quy định trong Điều khoản) với vai trò là Bên xử lý dữ liệu dựa trên Thỏa thuận Xử lý Dữ liệu.

Bên nhập dữ liệu: Bên nhập dữ liệu là Bạn (được chỉ định trong Điều khoản) trong trường hợp Bạn là Bên kiểm soát theo Thỏa thuận Xử lý Dữ liệu.

B. MÔ TẢ VIỆC CHUYỂN GIAO

Các nhóm chủ thể dữ liệu có dữ liệu cá nhân được chuyển giao: Theo định nghĩa trong Chính sách Quyền riêng tư và/hoặc Thỏa thuận Xử lý Dữ liệu.

Các loại dữ liệu cá nhân được chuyển giao: Theo định nghĩa trong Chính sách Quyền riêng tư và/hoặc Thỏa thuận Xử lý Dữ liệu.

Dữ liệu nhạy cảm được chuyển giao (nếu có) và các hạn chế hoặc biện pháp bảo vệ được áp dụng có tính đến đầy đủ tính chất của dữ liệu và các rủi ro liên quan, chẳng hạn như giới hạn mục đích nghiêm ngặt, hạn chế truy cập (bao gồm chỉ cho phép truy cập đối với nhân viên đã tham gia đào tạo chuyên biệt), lưu giữ hồ sơ về việc truy cập dữ liệu, hạn chế đối với việc chuyển giao tiếp theo hoặc các biện pháp bảo mật bổ sung: Theo định nghĩa trong Chính sách Quyền riêng tư và/hoặc Thỏa thuận Xử lý Dữ liệu.

Tần suất chuyển dữ liệu (ví dụ: dữ liệu được chuyển một lần duy nhất hay chuyển liên tục): Trên cơ sở liên tục.

Bản chất của việc xử lý: Tự động.

Mục đích của việc chuyển giao dữ liệu và xử lý tiếp theo: Cung cấp Dịch vụ trong bối cảnh mua hoặc nhận Gói đăng ký theo định nghĩa trong Điều khoản và được quy định trong các Phụ lục, Chính sách Quyền riêng tư và Tài liệu của Điều khoản đó.

Thời hạn lưu giữ dữ liệu cá nhân, hoặc nếu không thể xác định, các tiêu chí được sử dụng để xác định thời hạn đó: Theo định nghĩa trong Chính sách Quyền riêng tư và/hoặc Thỏa thuận Xử lý Dữ liệu.

Tài liệu tham khảo:

(1) Khi bên xuất khẩu dữ liệu là một bên xử lý dữ liệu thuộc phạm vi điều chỉnh của Quy định (EU) 2016/679 hoạt động thay mặt cho một thể chế hoặc cơ quan của Liên minh với tư cách là bên kiểm soát dữ liệu, việc dựa vào các Điều khoản này khi thuê một bên xử lý dữ liệu khác (xử lý phụ) không thuộc phạm vi điều chỉnh của Quy định (EU) 2016/679 cũng bảo đảm việc tuân thủ Điều 29(4) của Quy định (EU) 2018/1725 của Nghị viện Châu Âu và của Hội đồng ngày 23 tháng 10 năm 2018 về bảo vệ thể nhân liên quan đến việc xử lý dữ liệu cá nhân bởi các thể chế, cơ quan, văn phòng và tổ chức của Liên minh và về việc tự do lưu chuyển dữ liệu đó, đồng thời bãi bỏ Quy định (EC) số 45/2001 và Quyết định số 1247/2002/EC (OJ L 295, 21.11.2018, tr. 39), trong phạm vi mà các Điều khoản này và các nghĩa vụ bảo vệ dữ liệu được quy định trong hợp đồng hoặc văn bản pháp lý khác giữa bên kiểm soát dữ liệu và bên xử lý dữ liệu theo Điều 29(3) của Quy định (EU) 2018/1725 là tương thích với nhau. Điều này đặc biệt đúng trong trường hợp bên kiểm soát và bên xử lý dựa vào các điều khoản hợp đồng tiêu chuẩn nêu trong Quyết định 2021/915.

(2) Điều này bao gồm việc xem xét liệu hoạt động chuyển giao và xử lý tiếp theo có liên quan đến dữ liệu cá nhân tiết lộ nguồn gốc chủng tộc hoặc dân tộc, quan điểm chính trị, tín ngưỡng tôn giáo hoặc triết học, hoặc tư cách thành viên công đoàn, dữ liệu di truyền hoặc dữ liệu sinh trắc học nhằm mục đích nhận dạng duy nhất một thể nhân, dữ liệu liên quan đến sức khỏe hoặc đời sống tình dục hay xu hướng tính dục của một người, hoặc dữ liệu liên quan đến các bản án hoặc hành vi phạm tội hình sự hay không.

(3) Về tác động của các luật và thực tiễn đó đối với việc tuân thủ các Điều khoản này, các yếu tố khác nhau có thể được xem xét như một phần của đánh giá tổng thể. Những yếu tố đó có thể bao gồm kinh nghiệm thực tiễn liên quan và được ghi nhận bằng tài liệu về các trường hợp yêu cầu tiết lộ trước đây từ các cơ quan công quyền, hoặc việc không có các yêu cầu như vậy, bao trùm một khung thời gian đủ tính đại diện. Điều này đặc biệt đề cập đến hồ sơ nội bộ hoặc các tài liệu khác, được lập một cách liên tục theo quy trình thẩm định và được chứng nhận ở cấp quản lý cấp cao, với điều kiện thông tin này có thể được chia sẻ hợp pháp với bên thứ ba. Khi kinh nghiệm thực tiễn này được viện dẫn để kết luận rằng bên nhập khẩu dữ liệu sẽ không bị cản trở trong việc tuân thủ các Điều khoản này, thì kinh nghiệm đó cần được hỗ trợ bởi các yếu tố khách quan, liên quan khác, và các Bên có trách nhiệm cân nhắc kỹ lưỡng xem liệu các yếu tố này gộp lại có đủ trọng lượng, xét về độ tin cậy và tính đại diện của chúng, để hỗ trợ kết luận này hay không. Cụ thể, các Bên phải xem xét liệu kinh nghiệm thực tiễn của mình có được chứng thực và không bị mâu thuẫn bởi những thông tin đáng tin cậy được công bố công khai hoặc có thể tiếp cận bằng cách khác về sự tồn tại hay không tồn tại của các yêu cầu trong cùng lĩnh vực và/hoặc việc ứng dụng pháp luật trên thực tế hay không, chẳng hạn như án lệ và các báo cáo của những cơ quan giám sát độc lập.