GoDaddy - PHỤ LỤC HỢP ĐỒNG VỀ XỬ LÝ DỮ LIỆU

1.2. “Bên kiểm soát” nghĩa là thể nhân hoặc pháp nhân, cơ quan công quyền, cơ quan hay tổ chức khác, hoạt động riêng lẻ hoặc chung với những bên khác, xác định mục đích và cách thức xử lý Dữ liệu cá nhân của Khách hàng theo Thỏa thuận.

1.3 "Dữ liệu cá nhân của Khách hàng" nghĩa là bất kỳ Dữ liệu cá nhân nào (theo định nghĩa dưới đây) do GoDaddy thay mặt Khách hàng xử lý liên quan đến việc Khách hàng sử dụng Dịch vụ. Dữ liệu cá nhân của Khách hàng không bao gồm Dữ liệu của GoDaddy.

1.4 “Luật bảo vệ dữ liệu” nghĩa là bất kỳ luật hoặc quy định nào áp dụng cho việc xử lý Dữ liệu cá nhân của Khách hàng theo Thỏa thuận.

1.5 “Chủ thể dữ liệu” nghĩa là một thể nhân đã xác định hoặc có thể xác định liên quan đến Dữ liệu cá nhân cụ thể.

1.6 “Dữ liệu mất khả năng nhận dạng” nghĩa là dữ liệu không thể xác định một cách hợp lý, liên quan đến, mô tả, có khả năng liên tưởng hoặc được liên kết, trực tiếp hay gián tiếp, với một Chủ thể dữ liệu cụ thể.

1.7 “Dữ liệu của GoDaddy” nghĩa là (a) tất cả thông tin liên quan đến hoạt động kinh doanh và cung cấp Dịch vụ của GoDaddy, bao gồm nhưng không giới hạn ở Dữ liệu cá nhân về Khách hàng và nhân viên hoặc đại diện của Khách hàng, (b) dữ liệu khác về hoặc liên quan đến tài khoản, lịch sử giao dịch, việc sử dụng Dịch vụ và xác minh danh tính của Khách hàng và (c) phải tuân theo mọi hạn chế trong Luật bảo vệ dữ liệu hiện hành, Dữ liệu mất khả năng nhận dạng.

1.8 “Dữ liệu cá nhân” nghĩa là thông tin liên quan đến một thể nhân đã xác định hoặc có thể xác định, bao gồm mọi thông tin được định nghĩa là Dữ liệu cá nhân, Thông tin cá nhân hoặc Thông tin nhận dạng cá nhân (“PII”) trong Luật bảo vệ dữ liệu hiện hành bất kỳ. Dữ liệu cá nhân không bao gồm Dữ liệu mất khả năng nhận dạng.

1.10 "Bên xử lý” nghĩa là thể nhân hoặc pháp nhân, cơ quan công quyền, cơ quan hay tổ chức xử lý Dữ liệu cá nhân của Khách hàng thay mặt cho Bên kiểm soát theo Thỏa thuận.

1.9 "Xử lý” nghĩa là mọi hoạt động được thực hiện đối với Dữ liệu cá nhân của Khách hàng, ví dụ: thu thập, sử dụng, lưu trữ, tiết lộ, phân tích, xóa hoặc sửa đổi, cho dù theo cách thức thủ công hay tự động.

1.11 “Dữ liệu cá nhân nhạy cảm” nghĩa là (a) số an sinh xã hội, số hộ chiếu, số giấy phép lái xe hoặc mã số định danh tương tự; (b) thông tin thẻ tín dụng hoặc thẻ ghi nợ, thông tin tài chính, số tài khoản ngân hàng hoặc mật khẩu tài khoản; (c) thông tin nghề nghiệp, tài chính, di truyền, sinh trắc học hoặc sức khỏe; (d) chủng tộc, sắc tộc, đảng phái chính trị hoặc tôn giáo, tư cách thành viên công đoàn hoặc thông tin về đời sống tình dụng hoặc xu hướng tính dục; (e) mật khẩu tài khoản, tên thời con gái của mẹ, ngày sinh và các thông tin tương tự khác dùng để xác thực danh tính người dùng; (f) tiền án; (g) dữ liệu sinh trắc học dùng để nhận dạng một người cụ thể (ví dụ: dấu vân tay); hoặc (h) bất kỳ thông tin nào khác hoặc cách kết hợp thông tin nằm trong định nghĩa về “các loại dữ liệu đặc biệt” theo Luật bảo vệ dữ liệu hiện hành bất kỳ.

1.12 "Dịch vụ” nghĩa là sản phẩm hoặc dịch vụ mà GoDaddy đã đồng ý cung cấp theo Thỏa thuận, đòi hỏi phải xử lý Dữ liệu cá nhân của Khách hàng.

1.13 “Bên xử lý phụ” nghĩa là thể nhân hoặc pháp nhân, cơ quan công quyền, cơ quan hay tổ chức bất kỳ mà GoDaddy ký hợp đồng xử lý Dữ liệu cá nhân của Khách hàng.

1.14 “Chuyển” nghĩa là (a) chuyển Dữ liệu cá nhân của Khách hàng từ Bên kiểm soát đến Bên xử lý, dù bằng cách chuyển vật lý hay cấp quyền truy cập vào Dữ liệu cá nhân của Khách hàng do Bên kiểm soát nắm giữ hoặc kiểm soát hoặc (b) chuyển tiếp Dữ liệu cá nhân của Khách hàng từ Bên xử lý đến Bên xử lý phụ (rồi Bên xử lý phụ chuyển tiếp đến một Bên xử lý phụ khác).

4.2 Trừ phi bị luật cấm, GoDaddy sẽ nhanh chóng thông báo với Khách hàng nếu tiếp nhận Quy trình pháp lý yêu cầu GoDaddy cung cấp quyền truy cập hoặc tiết lộ Dữ liệu cá nhân của Khách hàng.

4.3 Trừ phi luật có yêu cầu khác, GoDaddy sẽ hợp tác với Khách hàng (chi phí hợp lý do Khách hàng gánh chịu) trong mọi nỗ lực của Khách hàng để ngăn việc tiết lộ Dữ liệu cá nhân của Khách hàng khi đáp ứng Quy trình pháp lý.

5.2 Khách hàng công nhận rõ ràng rằng GoDaddy cung cấp chức năng và tính năng bảo mật mà Khách hàng dùng để bảo vệ Dữ liệu cá nhân của Khách hàng. Khách hàng hoàn toàn chịu trách nhiệm thực hiện các bước thích hợp theo mức độ rủi ro để bảo vệ sự an toàn cho tài khoản của Khách hàng và Dữ liệu cá nhân của Khách hàng trong tầm kiểm soát của Khách hàng, bao gồm cả cách sử dụng chức năng và tính năng bảo mật do GoDaddy cung cấp. Khách hàng cũng hoàn toàn chịu trách nhiệm đảm bảo rằng tất cả nội dung mà Khách hàng đưa vào hoặc khiến cho được đưa vào Dịch vụ không có lỗ hổng bảo mật mà có thể dẫn đến sự cố xâm phạm Dữ liệu cá nhân của Khách hàng và hệ thống của GoDaddy, bao gồm nhưng không giới hạn ở phần mềm độc hại. GoDaddy không có trách nhiệm sao lưu Dữ liệu cá nhân của Khách hàng.

5.3 Khách hàng phải tuân thủ tất cả Yêu cầu của tiêu chuẩn bảo mật dữ liệu ngành thẻ thanh toán (“PCI-DSS”) và chỉ được cung cấp cho GoDaddy Dữ liệu cá nhân của Khách hàng chứa thông tin thẻ tín dụng, thẻ ghi nợ hoặc thông tin khác của chủ thẻ thanh toán (“Dữ liệu PCI-DSS”) liên quan đến Dịch vụ của GoDaddy chuyên để Xử lý Dữ liệu PCI-DSS đó. Khách hàng hoàn toàn chịu trách nhiệm về mọi hành vi vi phạm yêu cầu của PCI-DSS nếu Khách hàng sử dụng Dịch vụ của GoDaddy để xử lý hoặc lưu trữ Dữ liệu PCI-DSS ngoài Dịch vụ tuân thủ PCI-DSS của GoDaddy.

5.4 Ngoài mọi biện pháp GoDaddy buộc phải thực hiện để tuân thủ nghĩa vụ theo Luật bảo vệ dữ liệu hiện hành và Yêu cầu của PCI-DSS đối với Dịch vụ khiếu nại về PCI-DSS của GoDaddy, GoDaddy sẽ thực hiện các biện pháp cụ thể về kỹ thuật và tổ chức được xác định trong Danh mục 2 của DPA này.

6.2 GoDaddy sẽ nỗ lực hợp lý về mặt thương mại để thông báo với Khách hàng về sự cố xâm phạm bảo mật hệ thống của GoDaddy dẫn đến trường hợp do vô tình hoặc dùng cách bất hợp pháp để tiêu hủy, làm mất, thay đổi, tiết lộ trái phép hoặc truy cập vào Dữ liệu cá nhân của Khách hàng (“Sự cố bảo mật”) trong thời gian quy định của luật hiện hành.

6.3 GoDaddy sẽ thực hiện các bước thích hợp, tùy theo rủi ro, cần thiết một cách hợp lý để ngăn chặn, giảm thiểu và khắc phục Sự cố bảo mật sớm nhất có thể.

6.4 GoDaddy sẽ cung cấp thông tin do Khách hàng yêu cầu một cách hợp lý để đánh giá tác động của Sự cố bảo mật đối với Dữ liệu cá nhân của Khách hàng và để Khách hàng thông báo về Sự cố bảo mật cho cơ quan chính quyền, Chủ thể dữ liệu bị ảnh hưởng hoặc bất kỳ người nào khác.

6.5 Việc GoDaddy ghi nhận Sự cố bảo mật hoặc quyết định thông báo cho Khách hàng về Sự cố bảo mật không phải là công nhận lỗi hoặc trách nhiệm pháp lý.

7.2 GoDaddy sẽ không đáp ứng Yêu cầu của Chủ thể dữ liệu ngoại trừ theo tài liệu hướng dẫn của Khách hàng hoặc theo yêu cầu khác của luật hiện hành.

7.3 GoDaddy sẽ thông báo cho Khách hàng về mọi Yêu cầu của Chủ thể dữ liệu. Khách hàng hoàn toàn chịu trách nhiệm đáp ứng yêu cầu của Chủ thể dữ liệu. Nếu Khách hàng đã tận dụng hết mọi cách có thể để đáp ứng Yêu cầu của Chủ thể dữ liệu – theo thỏa thuận Khách hàng thanh toán trước chi phí hợp lý của GoDaddy – GoDaddy sẽ cung cấp cho Khách hàng sự hỗ trợ cần thiết một cách hợp lý để Khách hàng có thể đáp ứng Yêu cầu của Chủ thể dữ liệu.

8.2 Yêu cầu thông tin về sự tuân thủ. Khách hàng có thể định kỳ yêu cầu cung cấp thông tin cần thiết một cách hợp lý để xác nhận sự tuân thủ nghĩa vụ của GoDaddy theo Luật bảo vệ dữ liệu hiện hành. Nếu GoDaddy không phản hồi yêu cầu của Khách hàng trong vòng bốn mươi lăm (45) ngày, Khách hàng có thể chấm dứt Thỏa thuận. Để tránh nhầm lẫn, nội dung trong DPA này không cấp cho Khách hàng quyền tiến hành kiểm tra hoạt động kinh doanh, hệ thống hoặc dịch vụ của GoDaddy. Nghĩa vụ của GoDaddy trong phần này giới hạn ở việc cung cấp cho Khách hàng thông tin cần thiết một cách hợp lý để xác nhận rằng GoDaddy đang tuân thủ nghĩa vụ theo Luật bảo vệ dữ liệu hiện hành.

9.2 Nếu Dữ liệu cá nhân của Khách hàng bắt nguồn từ Hoa Kỳ thì các điều khoản liên quan đến Luật bảo vệ dữ liệu của Hoa Kỳ nêu trong Danh mục 3 (Phần 1) của DPA này sẽ được áp dụng.

9.3 Nếu Dữ liệu cá nhân của Khách hàng bắt nguồn từ Liên minh châu Âu/Khu vực kinh tế châu Âu (“EU/EEA”), Vương quốc Anh hoặc Thụy Sĩ hoặc nếu cơ sở của Khách hàng ở một hoặc nhiều khu vực pháp lý đó, thì sẽ áp dụng các điều khoản liên quan đến Luật bảo vệ dữ liệu hiện hành tại EU/EEA, Vương quốc Anh và/hoặc Thụy Sĩ nêu trong Danh mục 3 (Phần 2) của DPA này.

9.4 Nếu phải có cơ chế hợp lệ về chuyển dữ liệu ra quốc tế (“Cơ chế chuyển bắt buộc”) để Chuyển dữ liệu cá nhân của Khách hàng một cách hợp pháp thì các điều khoản nêu trong Danh mục 4 của DPA này sẽ được áp dụng.

10.2 Sửa đổi. GoDaddy có toàn quyền quyết định thay đổi hoặc sửa đổi DPA này theo các quy trình nêu trong Thỏa thuận. Nếu Khách hàng không đồng ý với sửa đổi đó, biện pháp khắc phục duy nhất của Khách hàng là chấm dứt phần Thỏa thuận liên quan đến việc Xử lý dữ liệu cá nhân của Khách hàng bằng thông báo trước ba mươi (30) ngày. Trừ phi có thỏa thuận rõ ràng bằng văn bản của Các bên, mọi sửa đổi với Thỏa thuận này chỉ có hiệu lực đối với hoạt động Xử lý diễn ra sau ngày sửa đổi đó.

10.3 Miễn trừ. Việc miễn trừ bất kỳ hành vi vi phạm nào đối với DPA này chỉ có hiệu lực nếu được đại diện có thẩm quyền của Bên miễn trừ hành vi vi phạm đó cho phép bằng văn bản và không có sự miễn trừ nào được hiểu là miễn trừ hành vi vi phạm sau đó.

10.4 Hiệu lực riêng biệt. Nếu bất kỳ điều khoản nào của DPA này được phát hiện là không thể thực thi thì điều khoản đó phải được sửa đổi trong phạm vi cần thiết để có thể thực thi và phần còn lại của DPA này sẽ vẫn có hiệu lực như đã lập. Tuy nhiên, nếu việc sửa đổi bất kỳ điều khoản không thể thực thi nào dẫn đến không thực hiện được mục đích thiết yếu của DPA này, toàn bộ DPA sẽ được coi là vô giá trị và vô hiệu, trừ phi được sửa đổi theo Phần 10.2.

10.5 Thông báo. Trừ phi được nêu rõ ràng trong tài liệu này, các thông báo theo yêu cầu của DPA này sẽ được cung cấp theo các yêu cầu về Thông báo được nêu trong Thỏa thuận.

10.6 Trách nhiệm pháp lý. DPA này không cung cấp cơ sở cho Bên nào hoặc bất kỳ cá nhân nào khác để bồi thường bất kỳ loại thiệt hại nào khác ngoài những loại thiệt hại đã nêu trong Thỏa thuận và phải tuân theo tất cả giới hạn đã nêu trong đó.

10.7 Thực thi. Chỉ Các bên đại diện cho chính mình và Đơn vị liên kết tương ứng mới được thực thi các điều khoản của DPA này theo các điều khoản giải quyết tranh chấp đã nêu trong Thỏa thuận. Tuy nhiên, quy định hạn chế thực thi này không có hiệu lực cho khả năng của cá nhân Chủ thể dữ liệu trong việc thực thi quyền của họ theo Luật bảo vệ dữ liệu.

10.8 Chấm dứt. Trừ phi bị chấm dứt sớm hơn theo Thỏa thuận hay bất kỳ điều khoản hiện hành nào khác của DPA này hoặc Luật bảo vệ dữ liệu hiện hành bất kỳ, DPA này sẽ chấm dứt sau khi hoàn thành Xử lý hoặc chấm dứt Thỏa thuận, tùy theo thời điểm nào đến sau. Sau khi chấm dứt DPA này, GoDaddy sẽ trả lại, xóa hoặc làm mất khả năng nhận dạng Dữ liệu cá nhân của Khách hàng theo điều khoản của Thỏa thuận và DPA này, trừ phi GoDaddy bắt buộc phải duy trì Dữ liệu cá nhân của Khách hàng theo luật hiện hành. Nếu GoDaddy phải giữ lại Dữ liệu cá nhân của Khách hàng sau khi chấm dứt Thỏa thuận, GoDaddy sẽ tiếp tục tuân thủ các nghĩa vụ của mình liên quan đến việc Xử lý dữ liệu cá nhân của Khách hàng theo DPA này và sẽ nhanh chóng trả lại hoặc xóa mọi Dữ liệu cá nhân của Khách hàng đó sau khi không còn bắt buộc phải giữ lại theo luật nữa.

10.9 Luật điều chỉnh và khu vực pháp lý. DPA này chịu sự điều chỉnh của các luật nêu trong Thỏa thuận, ngoại trừ phạm vi yêu cầu khác của Luật bảo vệ dữ liệu. Trong trường hợp đó, các luật của khu vực pháp lý theo chỉ định của Luật bảo vệ dữ liệu sẽ được áp dụng. Mọi điều khoản của DPA này sẽ không được hiểu là giới hạn quyền hoặc nghĩa vụ của cá nhân theo bất kỳ Luật bảo vệ dữ liệu hiện hành nào.

5. Thỏa thuận chuyển dữ liệu ra quốc tế của Vương quốc Anh

5.3 Ủy ban thông tin Vương quốc Anh sẽ đóng vai trò cơ quan giám sát có thẩm quyền trong phạm vi việc Chuyển dữ liệu liên quan chịu sự điều chỉnh của Luật và quy định bảo vệ dữ liệu của Vương quốc Anh.

5.4 Xung đột. Trong phạm vi có bất kỳ sự xung đột hoặc không nhất quán nào giữa Các điều khoản hợp đồng tiêu chuẩn của Liên minh châu Âu hoặc IDTA Vương quốc Anh và bất kỳ điều khoản nào khác trong Hợp đồng bổ sung về xử lý dữ liệu này, các điều khoản trong Các điều khoản hợp đồng tiêu chuẩn của Liên minh châu Âu hoặc IDTA Vương quốc Anh (tùy trường hợp áp dụng), sẽ được ưu tiên áp dụng.