Data Processing Agreement (DPA) — OperonBiz-CST

1. Vai trò và Phạm vi

• 1.1. Khách hàng đóng vai trò Controller đối với dữ liệu cá nhân và dữ liệu nghiệp vụ được xử lý trong Tenant của mình.
• 1.2. OperonBiz-CST đóng vai trò Processor, chỉ xử lý dữ liệu theo chỉ thị hợp pháp của Khách hàng và trong phạm vi cung cấp Dịch vụ SaaS.
• 1.3. Dữ liệu được cô lập theo từng Tenant thông qua organization_id; RLS áp dụng cho truy cập JWT và API máy chủ lọc theo tổ chức. OperonBiz-CST không chuyển dữ liệu nghiệp vụ giữa các tổ chức (no cross-org transfer).
• 1.4. OperonBiz-CST không phải bên kiểm soát đối với dữ liệu do Khách hàng thu thập từ nhân viên / học viên nội bộ của họ, trừ khi pháp luật ấn định khác trong trường hợp cụ thể.

2. Nghĩa vụ của Controller (Khách hàng)

Khách hàng cam kết và bảo đảm rằng:

• 2.1. Có cơ sở pháp lý phù hợp để thu thập và đưa dữ liệu vào Tenant (hợp đồng lao động, đồng ý khi luật yêu cầu, nghĩa vụ pháp lý…).
• 2.2. Đã thông báo hoặc sẽ thông báo cho chủ thể dữ liệu theo quy định áp dụng về việc sử dụng OperonBiz-CST làm bên xử lý.
• 2.3. Không chỉ thị OperonBiz-CST xử lý dữ liệu theo cách trái pháp luật.
• 2.4. Chịu trách nhiệm đáp ứng quyền của chủ thể dữ liệu đối với dữ liệu trong Tenant; OperonBiz-CST hỗ trợ ở mức hợp lý theo mục 5.
• 2.5. Tự chịu trách nhiệm về dữ liệu đồng bộ qua connector và hệ thống bên thứ ba do Khách hàng cấu hình.

3. Đối tượng, Thời hạn, Tính chất và Mục đích xử lý

• Đối tượng xử lý: Dữ liệu cá nhân và dữ liệu nghiệp vụ do Khách hàng hoặc người dùng được ủy quyền nhập vào Dịch vụ.
• Thời hạn: Trong suốt thời gian Khách hàng sử dụng Dịch vụ và thêm tối đa 365 ngày sau khi chấm dứt Subscription (trừ khi pháp luật yêu cầu lưu trữ lâu hơn hoặc hai bên có thỏa thuận khác). Trong thời gian đó dữ liệu được xóa hoặc ẩn danh hóa theo cam kết tại mục 9; dữ liệu có thể còn trên sao lưu hạ tầng theo chu kỳ nhà cung cấp.
• Tính chất & Mục đích: Xử lý dữ liệu để cung cấp, duy trì, bảo mật và hỗ trợ Dịch vụ SaaS theo đúng chức năng của từng module / connector mà Khách hàng kích hoạt.

4. Loại dữ liệu và Nhóm chủ thể dữ liệu

Loại dữ liệu cá nhân có thể bao gồm: họ tên, email, số điện thoại, chức danh, vai trò, dữ liệu nhân sự, dữ liệu hiệu suất huấn luyện (KPI mô phỏng), dữ liệu tài chính giả lập và các dữ liệu nghiệp vụ khác do Khách hàng chủ động nhập.

Nhóm chủ thể dữ liệu: Nhân viên, học viên, cộng tác viên và các cá nhân khác có thông tin được Khách hàng đưa vào Tenant. Dữ liệu nhạy cảm (nếu có) chỉ được đưa vào khi Khách hàng tự chịu trách nhiệm về cơ sở pháp lý và biện pháp nội bộ phù hợp.

5. Nghĩa vụ của Processor (OperonBiz-CST)

OperonBiz-CST cam kết:

• 5.1. Chỉ xử lý dữ liệu theo chỉ thị hợp pháp của Khách hàng và theo nội dung DPA này.
• 5.2. Đảm bảo những người được ủy quyền xử lý dữ liệu cam kết bảo mật.
• 5.3. Áp dụng biện pháp kỹ thuật và tổ chức phù hợp (cô lập multi-tenant, RBAC, HTTPS, nhật ký truy cập).
• 5.4. Hỗ trợ Khách hàng ở mức hợp lý để đáp ứng yêu cầu chủ thể dữ liệu — qua privacy@operonbiz-cst.com. Mục tiêu hỗ trợ: trong thời hạn luật định; nội bộ hướng tới không quá 15 ngày làm việc với yêu cầu hợp lệ.
• 5.5. Thông báo cho Khách hàng khi nhận được yêu cầu từ chủ thể dữ liệu liên quan đến dữ liệu của Tenant đó (qua kênh hỗ trợ / email đã đăng ký), trừ khi pháp luật cấm thông báo.
• 5.6. Không huấn luyện mô hình AI riêng trên dữ liệu Tenant. Khi Khách hàng dùng OperonAI, ngữ cảnh có thể gửi tới nhà cung cấp AI đã chọn (Gemini/Claude/GPT/Grok/DeepSeek) để suy luận.

6. Sub-processors

• 6.1. Khách hàng đồng ý rằng OperonBiz-CST được sử dụng các sub-processors cần thiết để cung cấp Dịch vụ, bao gồm tối thiểu: Supabase (dữ liệu, xác thực, lưu trữ); nhà cung cấp AI (Google Gemini / Anthropic Claude / OpenAI / xAI / DeepSeek — khi dùng OperonAI); Resend (email giao dịch). Có thể bổ sung: Railway hoặc tương đương (hosting, khi triển khai chính thức), và tích hợp do Tenant tự cấu hình (ví dụ Google Drive).
• 6.2. OperonBiz-CST sẽ ký kết / dựa trên thỏa thuận với sub-processors (vendor DPA; SCC hoặc biện pháp tương đương khi nhà cung cấp áp dụng) để duy trì mức bảo vệ phù hợp theo điều khoản của họ.
• 6.3. Khi thêm hoặc thay đổi sub-processor quan trọng, OperonBiz-CST thông báo trước tối thiểu 30 ngày qua email tổ chức. Khách hàng có quyền phản đối vì lý do hợp lý liên quan đến bảo vệ dữ liệu trong cửa sổ đó; nếu không đạt thỏa thuận, Khách hàng có thể ngừng phần liên quan hoặc chấm dứt theo Terms.
• 6.4. Danh sách sub-processors được cập nhật tại Privacy Policy (/privacy) và Legal Center (/legal).

7. Thông báo sự cố bảo mật (Data Breach)

Khi phát hiện sự cố bảo mật ảnh hưởng đến dữ liệu của Khách hàng, OperonBiz-CST sẽ:

• Ghi nhận sự cố và thông báo cho Khách hàng trong thời gian sớm nhất có thể và không muộn hơn 72 giờ sau khi biết sự cố (trừ khi pháp luật có quy định khác) — qua email tổ chức và/hoặc thông báo in-app;
• Cung cấp thông tin hợp lý về tính chất sự cố, dữ liệu bị ảnh hưởng (ở mức đã xác định) và biện pháp đã/đang thực hiện.

Khách hàng (Controller) tự đánh giá và thực hiện nghĩa vụ thông báo tới cơ quan nhà nước có thẩm quyền và/hoặc chủ thể dữ liệu theo NĐ 13 và quy định áp dụng. OperonBiz-CST không thay mặt Khách hàng thông báo tới cơ quan nhà nước, trừ khi pháp luật bắt buộc OperonBiz-CST phải thông báo hoặc hai bên thỏa thuận bằng văn bản.

8. Quyền kiểm toán và Xuất dữ liệu

• 8.1. Tenant Admin có quyền yêu cầu xuất dữ liệu Tenant và hỗ trợ bổ sung qua privacy@operonbiz-cst.com.
• 8.2. Khách hàng có quyền yêu cầu thông tin hoặc chứng từ hợp lý để kiểm tra việc tuân thủ DPA. OperonBiz-CST có thể đáp ứng bằng báo cáo, trả lời văn bản, hoặc hình thức phù hợp; chi phí kiểm toán độc lập tại chỗ (nếu yêu cầu vượt mức hợp lý) do Khách hàng chịu trừ khi phát hiện vi phạm trọng yếu của OperonBiz-CST.

9. Xóa và Trả dữ liệu

• 9.1. Khi chấm dứt Subscription, chúng tôi cam kết xóa hoặc ẩn danh hóa dữ liệu trong vòng 365 ngày, trừ khi pháp luật yêu cầu lưu lâu hơn hoặc còn trên sao lưu hạ tầng theo chu kỳ nhà cung cấp.
• 9.2. Trong thời gian đó, Tenant Admin vẫn có thể yêu cầu xuất dữ liệu.

10. Chuyển dữ liệu quốc tế và vùng lưu trữ

OperonBiz-CST là dịch vụ SaaS đám mây. Để cung cấp Dịch vụ, dữ liệu có thể được xử lý hoặc lưu trữ tại hạ tầng của các bên xử lý (sub-processors) đặt tại Việt Nam và/hoặc ngoài Việt Nam, tùy cấu hình vùng của từng nhà cung cấp (Supabase; nhà cung cấp AI khi dùng OperonAI; Resend; Railway khi triển khai; tích hợp do Tenant cấu hình).

Cơ chế chuyển: thỏa thuận xử lý dữ liệu / điều khoản bảo mật của từng sub-processor (vendor DPA), và khi áp dụng SCC hoặc biện pháp tương đương; kèm mã hóa khi truyền tải (HTTPS) và kiểm soát truy cập. Khách hàng (Controller) xác nhận rằng việc chuyển/xử lý nêu trên là cần thiết để thực hiện hợp đồng cung cấp Dịch vụ.

11. Trách nhiệm

Mỗi bên chịu trách nhiệm đối với thiệt hại phát sinh từ việc mình vi phạm nghĩa vụ bảo vệ dữ liệu theo quy định pháp luật áp dụng và theo DPA này. Các giới hạn trách nhiệm trong Terms of Service (/terms) áp dụng ở mức độ pháp luật cho phép đối với khiếu nại liên quan đến xử lý dữ liệu.

12. Luật áp dụng

DPA này được điều chỉnh bởi pháp luật Việt Nam. Tranh chấp phát sinh được giải quyết theo cơ chế nêu trong Terms of Service, trừ khi pháp luật bảo vệ dữ liệu có quy định bắt buộc khác.

13. Hiệu lực và Thứ tự ưu tiên

• 13.1. DPA này có hiệu lực từ khi Khách hàng chấp nhận khi đăng ký gói tổ chức hoặc hình thức chấp nhận khác.
• 13.2. Trong phạm vi liên quan đến bảo vệ dữ liệu, DPA này được ưu tiên áp dụng nếu có mâu thuẫn với Terms of Service. Các giới hạn trách nhiệm và bồi thường trong Terms vẫn áp dụng trừ khi DPA nêu rõ khác bằng văn bản.

Liên hệ về bảo vệ dữ liệu: privacy@operonbiz-cst.com