Phụ lục xử lý dữ liệu

PHẦN 1

Định nghĩa

“Pháp luật bảo vệ dữ liệu” là các luật về quyền riêng tư, bảo vệ dữ liệu và bảo mật áp dụng cho việc xử lý Dữ liệu cá nhân của Khách hàng, có thể bao gồm GDPR, UK GDPR, Đạo luật liên bang Thụy Sĩ về bảo vệ dữ liệu, CCPA/CPRA và các luật áp dụng khác.

“Dữ liệu cá nhân của Khách hàng” là dữ liệu cá nhân, thông tin cá nhân hoặc dữ liệu tương tự chịu sự điều chỉnh pháp luật mà Khách hàng cung cấp hoặc cho phép Giftpack tiếp cận để xử lý thay mặt Khách hàng.

“GDPR” là Quy định (EU) 2016/679. “CCPA” là Đạo luật quyền riêng tư người tiêu dùng California, được sửa đổi bởi Đạo luật quyền riêng tư California và các quy định thi hành.

Các thuật ngữ như bên kiểm soát, bên xử lý, doanh nghiệp, nhà cung cấp dịch vụ, nhà thầu, dữ liệu cá nhân, thông tin cá nhân, xử lý và chủ thể dữ liệu có nghĩa theo Pháp luật bảo vệ dữ liệu áp dụng.

PHẦN 2

Vai trò và phạm vi

Đối với Dữ liệu cá nhân của Khách hàng được xử lý liên quan đến chiến dịch do khách hàng quản lý, quy trình người nhận, hoàn tất đơn hàng, quản trị nền tảng, báo cáo và dịch vụ liên quan, Khách hàng là bên kiểm soát hoặc doanh nghiệp và Giftpack là bên xử lý, nhà cung cấp dịch vụ, nhà thầu hoặc vai trò tương tự. Giftpack có thể xử lý một số dữ liệu với tư cách bên kiểm soát độc lập hoặc doanh nghiệp để quản trị tài khoản, bảo mật, phòng chống gian lận, phân tích, tuân thủ pháp luật, cải thiện dịch vụ, lập hóa đơn và vận hành nội bộ như mô tả trong Chính sách quyền riêng tư.

PHẦN 3

Chỉ dẫn của Khách hàng

Giftpack chỉ xử lý Dữ liệu cá nhân của Khách hàng theo chỉ dẫn được lập thành văn bản của Khách hàng, gồm DPA này, Điều khoản dịch vụ, biểu mẫu đặt hàng áp dụng, Đơn đặt chiến dịch, cấu hình nền tảng, chỉ dẫn khách hàng gửi qua dịch vụ và các chỉ dẫn bằng văn bản khác được các bên thống nhất, trừ khi pháp luật yêu cầu. Giftpack sẽ thông báo cho Khách hàng nếu cho rằng chỉ dẫn vi phạm Pháp luật bảo vệ dữ liệu, trừ khi pháp luật cấm thông báo.

PHẦN 4

Chi tiết xử lý

Đối tượng, thời hạn, tính chất, mục đích, loại dữ liệu cá nhân và nhóm chủ thể dữ liệu được mô tả tại Phụ lục A. Khách hàng chịu trách nhiệm đảm bảo chỉ dẫn của mình hợp pháp và đã cung cấp thông báo bắt buộc, có được các quyền, sự cho phép, chấp thuận và cơ sở pháp lý cần thiết để Giftpack xử lý Dữ liệu cá nhân của Khách hàng.

PHẦN 5

Bảo mật và nhân sự

Giftpack đảm bảo nhân sự được phép xử lý Dữ liệu cá nhân của Khách hàng chịu nghĩa vụ bảo mật hoặc nghĩa vụ bảo mật nghề nghiệp và được hướng dẫn phù hợp về xử lý dữ liệu.

PHẦN 6

Biện pháp bảo mật

Giftpack triển khai và duy trì các biện pháp kỹ thuật và tổ chức phù hợp nhằm bảo vệ Dữ liệu cá nhân của Khách hàng khỏi việc xử lý trái phép hoặc bất hợp pháp và mất mát, hủy hoại, hư hỏng, tiết lộ hoặc truy cập ngoài ý muốn. Các biện pháp bảo mật hiện tại được mô tả tại Phụ lục B và trang Bảo mật của Giftpack. Giftpack có thể cập nhật biện pháp bảo mật từng thời điểm, với điều kiện cập nhật không làm giảm đáng kể mức bảo vệ tổng thể đối với Dữ liệu cá nhân của Khách hàng.

PHẦN 7

Bên xử lý phụ

Khách hàng cho phép Giftpack sử dụng bên xử lý phụ để cung cấp và hỗ trợ dịch vụ. Giftpack sẽ áp đặt nghĩa vụ bảo vệ dữ liệu bằng văn bản lên bên xử lý phụ về cơ bản tương tự DPA này, trong phạm vi áp dụng cho dịch vụ của bên xử lý phụ. Giftpack tiếp tục chịu trách nhiệm về hoạt động xử lý của bên xử lý phụ theo yêu cầu của Pháp luật bảo vệ dữ liệu. Giftpack cung cấp thông tin về bên xử lý phụ theo yêu cầu hoặc qua kênh tin cậy, bảo mật hay quyền riêng tư. Khách hàng có thể phản đối bên xử lý phụ mới trên cơ sở bảo vệ dữ liệu hợp lý trong khoảng thời gian hợp lý sau thông báo, nếu có thông báo.

PHẦN 8

Sự cố bảo mật

Giftpack sẽ thông báo cho Khách hàng không chậm trễ bất hợp lý sau khi biết về sự cố bảo mật đã xác nhận dẫn đến việc hủy hoại, mất mát, thay đổi, tiết lộ hoặc truy cập trái phép đối với Dữ liệu cá nhân của Khách hàng được xử lý thay mặt Khách hàng, do vô ý hoặc bất hợp pháp. Giftpack cung cấp thông tin sẵn có một cách hợp lý để giúp Khách hàng thực hiện nghĩa vụ thông báo vi phạm. Việc thông báo không phải là thừa nhận lỗi hay trách nhiệm pháp lý.

PHẦN 9

Yêu cầu của chủ thể dữ liệu và người tiêu dùng

Có tính đến tính chất xử lý, Giftpack sẽ hỗ trợ Khách hàng hợp lý thông qua biện pháp kỹ thuật và tổ chức phù hợp khi khả thi, giúp Khách hàng đáp ứng yêu cầu của chủ thể dữ liệu, người tiêu dùng hoặc yêu cầu về quyền riêng tư theo Pháp luật bảo vệ dữ liệu áp dụng. Nếu Giftpack nhận trực tiếp yêu cầu từ một cá nhân liên quan đến Dữ liệu cá nhân của Khách hàng, Giftpack có thể hướng cá nhân đó đến Khách hàng, trừ khi pháp luật yêu cầu phản hồi khác.

PHẦN 10

Hỗ trợ và tuân thủ

Giftpack sẽ hỗ trợ Khách hàng hợp lý đối với đánh giá tác động bảo vệ dữ liệu, tham vấn trước, đánh giá an ninh mạng và các nghĩa vụ tuân thủ khác khi Pháp luật bảo vệ dữ liệu yêu cầu và khi hỗ trợ được yêu cầu liên quan đến việc Giftpack xử lý Dữ liệu cá nhân của Khách hàng. Giftpack có thể tính phí hợp lý cho hỗ trợ vượt quá hỗ trợ tiêu chuẩn, trừ khi pháp luật áp dụng cấm hoặc có thỏa thuận khác.

PHẦN 11

Hoàn trả và xóa

Khi dịch vụ chấm dứt hoặc khi Khách hàng yêu cầu bằng văn bản, Giftpack sẽ xóa hoặc hoàn trả Dữ liệu cá nhân của Khách hàng theo thỏa thuận, chức năng nền tảng và pháp luật áp dụng. Giftpack có thể giữ lại Dữ liệu cá nhân của Khách hàng theo yêu cầu pháp luật, cho hồ sơ kinh doanh hợp pháp, phòng chống gian lận, bảo mật, giải quyết tranh chấp, thuế, kế toán, tuân thủ hoặc sao lưu, với điều kiện dữ liệu được giữ lại vẫn được bảo vệ theo DPA này cho đến khi xóa.

PHẦN 12

Kiểm toán và tài liệu

Giftpack sẽ cung cấp thông tin cần thiết một cách hợp lý để chứng minh tuân thủ DPA này. Khi Pháp luật bảo vệ dữ liệu yêu cầu, Khách hàng có thể yêu cầu kiểm toán hoặc đánh giá các biện pháp kiểm soát liên quan của Giftpack. Việc kiểm toán phải hợp lý về phạm vi, tần suất, thời điểm và bảo mật, và có thể được đáp ứng bằng báo cáo SOC 2, bảng câu hỏi bảo mật, chứng nhận, bản tổng hợp hoặc tài liệu phù hợp khác. Kiểm toán tại chỗ yêu cầu thông báo trước bằng văn bản, phạm vi hợp lý và sự chấp thuận của Giftpack về an ninh và bảo mật.

PHẦN 13

Chuyển dữ liệu quốc tế

Khách hàng cho phép Giftpack và các bên xử lý phụ xử lý Dữ liệu cá nhân của Khách hàng tại Hoa Kỳ và các khu vực pháp lý khác nơi Giftpack hoặc bên xử lý phụ hoạt động. Khi Dữ liệu cá nhân của Khách hàng được chuyển từ Khu vực Kinh tế châu Âu, Vương quốc Anh hoặc Thụy Sĩ đến quốc gia không cung cấp mức bảo vệ đầy đủ, các bên sẽ sử dụng cơ chế chuyển dữ liệu phù hợp, có thể gồm Điều khoản hợp đồng tiêu chuẩn, Phụ lục Vương quốc Anh hoặc cơ chế chuyển hợp pháp khác khi áp dụng. Các bên đồng ý rằng SCC áp dụng được đưa vào bằng dẫn chiếu khi bắt buộc, với Giftpack là bên nhập khẩu dữ liệu và Khách hàng là bên xuất khẩu dữ liệu, trừ khi thực tế yêu cầu cấu hình khác.

PHẦN 14

Điều khoản nhà cung cấp dịch vụ và nhà thầu CCPA / CPRA

Khi CCPA áp dụng, Giftpack sẽ xử lý Dữ liệu cá nhân của Khách hàng với tư cách nhà cung cấp dịch vụ hoặc nhà thầu cho mục đích kinh doanh mô tả tại Phụ lục A. Giftpack sẽ không bán hoặc chia sẻ Dữ liệu cá nhân của Khách hàng; giữ lại, sử dụng hoặc tiết lộ dữ liệu đó cho mục đích ngoài mục đích kinh doanh nêu trong thỏa thuận hoặc được CCPA cho phép; giữ lại, sử dụng hoặc tiết lộ dữ liệu đó ngoài quan hệ kinh doanh trực tiếp với Khách hàng, trừ khi CCPA cho phép; hoặc kết hợp Dữ liệu cá nhân của Khách hàng với thông tin cá nhân từ nguồn khác, trừ khi CCPA cho phép. Giftpack sẽ tuân thủ nghĩa vụ CCPA áp dụng cho nhà cung cấp dịch vụ và nhà thầu, đồng thời thông báo cho Khách hàng nếu xác định không còn đáp ứng được các nghĩa vụ đó.

PHẦN 15

Dữ liệu đã khử định danh và tổng hợp

Giftpack có thể xử lý dữ liệu đã khử định danh, tổng hợp hoặc ẩn danh để phân tích, đối sánh, cải thiện sản phẩm, độ tin cậy dịch vụ và vận hành kinh doanh, với điều kiện dữ liệu không xác định Khách hàng hoặc bất kỳ cá nhân nào và được xử lý theo pháp luật áp dụng.

PHẦN 16

Thứ tự ưu tiên

Nếu DPA này mâu thuẫn với thỏa thuận, DPA này được ưu tiên đối với việc xử lý Dữ liệu cá nhân của Khách hàng. Nếu SCC được yêu cầu và mâu thuẫn với DPA này, SCC được ưu tiên trong phạm vi pháp luật yêu cầu.

PHỤ LỤC A

Chi tiết xử lý

Trường	Chi tiết
Đối tượng	Việc Giftpack cung cấp nền tảng, quà tặng, phần thưởng, tìm nguồn hàng, quản lý chiến dịch, gắn kết người nhận, điều phối hoàn tất đơn hàng, phân bổ quyên góp/tác động, báo cáo, hỗ trợ và dịch vụ liên quan.
Thời hạn	Trong thời hạn thỏa thuận và theo yêu cầu khác về lưu giữ, xóa, tuân thủ pháp luật, giải quyết tranh chấp và sao lưu.
Tính chất và mục đích	Lưu trữ trên hệ thống, lưu giữ, sắp xếp, truyền, hiển thị, phân tích, bảo mật, hỗ trợ, hoàn tất đơn hàng, vận chuyển, giao tiếp, báo cáo, khắc phục sự cố và xử lý Dữ liệu cá nhân của Khách hàng theo cách khác để cung cấp dịch vụ.
Chủ thể dữ liệu	Quản trị viên khách hàng, người dùng được ủy quyền, nhân viên, người nhận, người dùng cuối, người mua, người quyên góp, đầu mối nhà cung cấp, đầu mối bên thụ hưởng và cá nhân khác có dữ liệu được gửi cho Giftpack.
Loại dữ liệu cá nhân	Tên, thông tin liên hệ công việc, thông tin liên hệ cá nhân khi được cung cấp, địa chỉ giao hàng, email, số điện thoại, công ty, chức danh, thông tin đăng nhập, thông tin chiến dịch, sở thích quà tặng, lời nhắn, hoạt động đổi quà, chi tiết đơn hàng, siêu dữ liệu thanh toán, trạng thái giao hàng, trao đổi hỗ trợ, dữ liệu thiết bị/nhật ký và dữ liệu khác được gửi qua dịch vụ.
Dữ liệu nhạy cảm	Giftpack không yêu cầu Khách hàng gửi dữ liệu cá nhân nhạy cảm trừ khi được hỗ trợ rõ ràng và chấp thuận bằng văn bản. Khách hàng không được gửi dữ liệu nhạy cảm trừ khi được cho phép theo thỏa thuận và pháp luật áp dụng.
Nghĩa vụ Khách hàng	Khách hàng chịu trách nhiệm về cơ sở pháp lý, thông báo, sự cho phép, độ chính xác dữ liệu, điều kiện tham gia chiến dịch và chỉ dẫn.

PHỤ LỤC B

Biện pháp kỹ thuật và tổ chức

Giftpack duy trì các biện pháp nhằm bảo vệ Dữ liệu cá nhân của Khách hàng, gồm kiểm soát hạ tầng đám mây, mã hóa khi truyền và lưu trữ, kiểm soát truy cập theo vai trò, nguyên tắc đặc quyền tối thiểu, nghĩa vụ bảo mật nội bộ, nhận thức an ninh, ghi nhật ký và giám sát, quét lỗ hổng và kiểm tra định kỳ, quy trình ứng phó sự cố, sao lưu và khôi phục sau thảm họa, quản lý thay đổi, đánh giá nhà cung cấp và bên xử lý phụ, cùng biện pháp bảo vệ vật lý, quản trị và kỹ thuật phù hợp với tính chất dịch vụ. Trang Bảo mật công khai của Giftpack cung cấp tổng quan và có thể được cập nhật từng thời điểm.