Thỏa thuận Xử lý Dữ liệu

Thỏa thuận Xử lý Dữ liệu này (“DPA”) quy định cách thức Galah Enterprises Pty Ltd (ACN 682 927 779), hoạt động dưới tên DS160.io (“DS160.io”), xử lý dữ liệu cá nhân thay mặt cho một khách hàng doanh nghiệp sử dụng không gian làm việc doanh nghiệp của DS160.io (“Khách hàng” (Customer)). DPA này là một phần của Điều khoản Dịch vụ của DS160.io (“Thỏa thuận” (Agreement)) và có hiệu lực khi Khách hàng chấp nhận Điều khoản Dịch vụ đó, theo bất kỳ cách nào được quy định tại điều khoản 1(e) của Thỏa thuận: đánh dấu vào ô hoặc nhấp vào “I accept these Terms”, ký một thỏa thuận với DS160.io, hoặc thanh toán cho hay sử dụng một không gian làm việc doanh nghiệp.

1. Định nghĩa

Các thuật ngữ không được định nghĩa tại đây có nghĩa như được quy định trong GDPR (Quy định (EU) 2016/679). “Luật Bảo vệ Dữ liệu” (Data Protection Law) nghĩa là GDPR, UK GDPR và Đạo luật Bảo vệ Dữ liệu 2018 của Vương quốc Anh (UK Data Protection Act 2018), Đạo luật Liên bang Thụy Sĩ về Bảo vệ Dữ liệu (Swiss Federal Act on Data Protection), và bất kỳ luật bảo vệ dữ liệu nào khác áp dụng cho Dữ liệu Cá nhân của Khách hàng. “Dữ liệu Cá nhân của Khách hàng” (Customer Personal Data) nghĩa là dữ liệu cá nhân được mô tả tại Phụ lục I mà DS160.io xử lý thay mặt cho Khách hàng. “Người nộp đơn” (Applicant) nghĩa là người có đơn DS-160 được chuẩn bị trong không gian làm việc của Khách hàng. “Bên Xử lý Phụ” (Sub-processor) nghĩa là bên thứ ba mà DS160.io thuê để xử lý Dữ liệu Cá nhân của Khách hàng. “SCC” (SCCs) nghĩa là các điều khoản hợp đồng tiêu chuẩn đính kèm Quyết định Thi hành của Ủy ban (EU) 2021/914.

2. Vai trò và phạm vi

Khách hàng là bên kiểm soát Dữ liệu Cá nhân của Khách hàng và DS160.io là bên xử lý dữ liệu của Khách hàng. DPA này chỉ áp dụng cho Dữ liệu Cá nhân của Khách hàng: dữ liệu người nộp đơn trong không gian làm việc của Khách hàng. DS160.io xử lý dữ liệu tài khoản và thanh toán của chính Khách hàng, và dữ liệu đăng nhập của nhân viên Khách hàng, với tư cách là bên kiểm soát dữ liệu theo chính sách quyền riêng tư của mình.

Phụ lục I mô tả đối tượng, thời hạn, tính chất và mục đích của hoạt động xử lý, các loại dữ liệu cá nhân và các nhóm chủ thể dữ liệu.

3. Nghĩa vụ của Khách hàng

Khách hàng chịu trách nhiệm có cơ sở pháp lý cho hoạt động xử lý mà mình chỉ thị, và cung cấp cho Người nộp đơn các thông tin mà Điều 13 và Điều 14 GDPR yêu cầu. Vì DS-160 hỏi về sức khỏe và về việc bị bắt giữ và bị kết án, Khách hàng đặc biệt chịu trách nhiệm có một điều kiện theo Điều 9 GDPR đối với các câu trả lời về sức khỏe và một cơ sở theo Điều 10 GDPR đối với các câu trả lời về tiền sử tư pháp hình sự, ví dụ sự đồng ý rõ ràng của Người nộp đơn, trước khi các câu trả lời đó được nhập hoặc thu thập thông qua DS160.io.

Chỉ thị của Khách hàng đối với DS160.io là DPA này, Thỏa thuận, và việc Khách hàng sử dụng và cấu hình DS160.io, bao gồm gửi đường liên kết khách hàng, nhập và chỉnh sửa câu trả lời, và bắt đầu nộp đơn trên CEAC.

4. Nghĩa vụ của DS160.io

Chỉ thị. DS160.io chỉ xử lý Dữ liệu Cá nhân của Khách hàng theo chỉ thị bằng văn bản của Khách hàng, kể cả đối với việc chuyển dữ liệu ra ngoài EEA và Vương quốc Anh, trừ khi pháp luật yêu cầu khác; trong trường hợp đó DS160.io thông báo cho Khách hàng trước, trừ khi pháp luật cấm việc thông báo. DS160.io thông báo cho Khách hàng nếu DS160.io cho rằng một chỉ thị vi phạm Luật Bảo vệ Dữ liệu.

Bảo mật thông tin. Mọi người được DS160.io ủy quyền xử lý Dữ liệu Cá nhân của Khách hàng đều bị ràng buộc bởi nghĩa vụ bảo mật bằng văn bản và được đào tạo phù hợp về quyền riêng tư và an ninh. Nhân viên DS160.io chỉ mở không gian làm việc của Khách hàng hoặc đơn của một Người nộp đơn khi được Khách hàng cho phép điều tra một sự cố, và ngoài trường hợp đó chỉ xem hồ sơ chẩn đoán của các lượt nộp đơn thất bại.

An ninh. DS160.io thực hiện các biện pháp kỹ thuật và tổ chức tại Phụ lục II và duy trì chúng ở mức bảo vệ ít nhất như được mô tả tại đó.

Hỗ trợ. Có tính đến tính chất của hoạt động xử lý, DS160.io hỗ trợ Khách hàng:

• trả lời các yêu cầu của Người nộp đơn khi họ thực hiện quyền của mình. Khách hàng có thể tự xem, chỉnh sửa và xóa các câu trả lời của Người nộp đơn trong không gian làm việc của mình; DS160.io thực hiện việc xóa dữ liệu của Người nộp đơn và cung cấp bản sao theo yêu cầu của Khách hàng. DS160.io chuyển tiếp cho Khách hàng mọi yêu cầu mà DS160.io trực tiếp nhận được về Dữ liệu Cá nhân của Khách hàng và không trả lời yêu cầu đó trừ khi có chỉ thị của Khách hàng;
• đáp ứng các nghĩa vụ của Khách hàng theo các Điều từ 32 đến 36 GDPR, bao gồm đánh giá tác động bảo vệ dữ liệu và tham vấn trước, bằng những thông tin mà DS160.io có.

5. Vi phạm dữ liệu cá nhân

DS160.io thông báo cho Khách hàng không chậm trễ quá mức, và trong mọi trường hợp trong vòng 48 giờ, sau khi biết về một vi phạm dữ liệu cá nhân ảnh hưởng đến Dữ liệu Cá nhân của Khách hàng. Thông báo mô tả, trong phạm vi đã biết vào thời điểm đó, tính chất của vi phạm, các nhóm và số lượng ước tính Người nộp đơn và bản ghi liên quan, các hậu quả có thể xảy ra, và các biện pháp đã thực hiện hoặc đề xuất, và DS160.io bổ sung thông báo khi biết thêm thông tin. DS160.io thực hiện các bước hợp lý để ngăn chặn vi phạm và không thông báo cho cơ quan giám sát hoặc Người nộp đơn về vi phạm đó trừ khi Khách hàng chỉ thị hoặc pháp luật yêu cầu.

6. Bên Xử lý Phụ

Khách hàng trao cho DS160.io sự ủy quyền chung để thuê các Bên Xử lý Phụ. Các Bên Xử lý Phụ được thuê vào ngày của DPA này được liệt kê tại Phụ lục III.

DS160.io thông báo cho Khách hàng trước ít nhất 30 ngày, bằng email gửi chủ sở hữu không gian làm việc và bằng việc cập nhật Phụ lục III, trước khi bổ sung hoặc thay thế một Bên Xử lý Phụ. Khách hàng có thể phản đối trên cơ sở hợp lý về bảo vệ dữ liệu trong thời hạn đó; nếu các bên không thể giải quyết sự phản đối, Khách hàng có thể chấm dứt việc sử dụng DS160.io theo điều khoản 5(c) của Thỏa thuận, và được hoàn lại theo tỷ lệ mọi khoản Phí đã trả trước chưa sử dụng.

DS160.io áp đặt lên mỗi Bên Xử lý Phụ, bằng hợp đồng bằng văn bản, các nghĩa vụ bảo vệ dữ liệu đem lại mức bảo vệ ít nhất như DPA này, và vẫn chịu trách nhiệm trước Khách hàng về việc thực hiện của mỗi Bên Xử lý Phụ.

7. Chuyển dữ liệu ra nước ngoài

DS160.io xử lý Dữ liệu Cá nhân của Khách hàng trên máy chủ riêng của mình tại trụ sở chính ở Hoa Kỳ, và các Bên Xử lý Phụ của DS160.io đặt tại Hoa Kỳ. Trong trường hợp Khách hàng chịu sự điều chỉnh của GDPR và việc chuyển dữ liệu đến DS160.io là việc chuyển dữ liệu đến một nước thứ ba, các bên giao kết Mô-đun 2 (từ bên kiểm soát đến bên xử lý) của SCC, được đưa vào bằng cách dẫn chiếu, với Khách hàng là bên xuất dữ liệu và DS160.io là bên nhập dữ liệu, và với các lựa chọn sau:

• Điều khoản 7 (điều khoản gia nhập) không áp dụng;
• Điều khoản 9: phương án 2 (ủy quyền chung bằng văn bản), với thời hạn thông báo tại mục 6;
• Điều khoản 11: phần câu chữ tùy chọn không áp dụng;
• Điều khoản 13: cơ quan giám sát có thẩm quyền như được quy định tại Phụ lục I;
• Điều khoản 17 và 18: luật và tòa án của Ireland;
• Các Phụ lục I, II và III của SCC được hoàn thiện bằng các Phụ lục I, II và III của DPA này.

Trong trường hợp Khách hàng chịu sự điều chỉnh của UK GDPR, các bên cũng giao kết Phụ lục Chuyển Dữ liệu Quốc tế của Vương quốc Anh (UK International Data Transfer Addendum) đối với SCC (phiên bản B1.0), với các bảng được hoàn thiện từ DPA này và không bên nào được chấm dứt phụ lục đó theo mục 19 của phụ lục.

Trong trường hợp Khách hàng chịu sự điều chỉnh của Đạo luật Liên bang Thụy Sĩ về Bảo vệ Dữ liệu (FADP), SCC cũng áp dụng cho việc chuyển dữ liệu chịu sự điều chỉnh của FADP, với các điều chỉnh sau: các dẫn chiếu đến GDPR được hiểu là dẫn chiếu đến FADP; cơ quan giám sát có thẩm quyền là Ủy viên Liên bang về Bảo vệ Dữ liệu và Thông tin (Federal Data Protection and Information Commissioner); thuật ngữ “Quốc gia Thành viên” không ngăn cản chủ thể dữ liệu thường trú tại Thụy Sĩ khởi kiện trước tòa án tại đó, theo Điều khoản 18(c); và các Điều khoản 17 và 18 trong các trường hợp khác vẫn giữ nguyên như được quy định tại mục này.

Việc nộp DS-160 của Người nộp đơn trên CEAC sẽ gửi các câu trả lời của Người nộp đơn đến Bộ Ngoại giao Hoa Kỳ. Việc chuyển dữ liệu đó được thực hiện theo chỉ thị của Khách hàng, là mục đích của dịch vụ, và Bộ Ngoại giao Hoa Kỳ là một bên nhận, không phải là Bên Xử lý Phụ.

8. Xóa và hoàn trả

Khi Khách hàng chấm dứt việc sử dụng DS160.io, DS160.io cung cấp cho Khách hàng một bản xuất Dữ liệu Cá nhân của Khách hàng, ở định dạng máy có thể đọc được, trong 30 ngày, và sau đó xóa dữ liệu (điều khoản 11(e) của Thỏa thuận). Trong thời gian Khách hàng sử dụng DS160.io, DS160.io xóa Dữ liệu Cá nhân của Khách hàng thuộc một không gian làm việc hoặc một Người nộp đơn trong vòng 30 ngày kể từ khi có yêu cầu của Khách hàng. Dữ liệu đã xóa vẫn còn trong các bản sao lưu cơ sở dữ liệu của DS160.io, và các phiên bản trước đó của tệp đã lưu trữ vẫn còn tại nhà cung cấp lưu trữ của DS160.io, trong tối đa 7 ngày sau khi xóa, ở dạng mã hóa và sau đó bị ghi đè. DS160.io chỉ lưu giữ Dữ liệu Cá nhân của Khách hàng lâu hơn khi pháp luật yêu cầu, và khi đó chỉ cho mục đích đó.

9. Kiểm toán và thông tin

DS160.io cung cấp cho Khách hàng các thông tin cần thiết để chứng minh việc tuân thủ DPA này và Điều 28 GDPR, và trả lời các câu hỏi hợp lý bằng văn bản của Khách hàng về hoạt động xử lý của mình. DS160.io cho phép kiểm toán, bao gồm cả kiểm tra tại chỗ, do Khách hàng hoặc một kiểm toán viên độc lập do Khách hàng chỉ định thực hiện, một lần trong mỗi 12 tháng (hoặc thường xuyên hơn sau một vi phạm dữ liệu cá nhân hoặc khi cơ quan giám sát yêu cầu), với thông báo bằng văn bản trước ít nhất 30 ngày, trong giờ làm việc, theo nghĩa vụ bảo mật, và bằng chi phí của Khách hàng. DS160.io có thể đáp ứng yêu cầu kiểm toán bằng tài liệu hiện hành khi tài liệu đó trả lời được yêu cầu.

10. Trách nhiệm pháp lý và thứ tự ưu tiên

Trách nhiệm pháp lý của mỗi bên theo DPA này chịu sự giới hạn tại điều khoản 12 của Thỏa thuận (Trách nhiệm pháp lý), trừ trường hợp Luật Bảo vệ Dữ liệu không cho phép các giới hạn đó. Nếu DPA này mâu thuẫn với Thỏa thuận, DPA này được ưu tiên; nếu DPA này mâu thuẫn với SCC, SCC được ưu tiên.

DPA này có hiệu lực chừng nào DS160.io còn xử lý Dữ liệu Cá nhân của Khách hàng. Ngoại trừ SCC, vốn được điều chỉnh như quy định tại mục 7, DPA này được điều chỉnh bởi luật của bang New South Wales, Úc, và mỗi bên chấp nhận thẩm quyền riêng của các tòa án New South Wales và các tòa án phúc thẩm đối với các tòa án đó.

Phụ lục I: Mô tả hoạt động xử lý

A. Các bên

Bên xuất dữ liệu và bên kiểm soát dữ liệu: Khách hàng, như được xác định trong không gian làm việc doanh nghiệp DS160.io của mình. Liên hệ: chủ sở hữu không gian làm việc.

Bên nhập dữ liệu và bên xử lý dữ liệu: Galah Enterprises Pty Ltd, hoạt động dưới tên DS160.io, 26 Knight Street, Arncliffe NSW 2205, Australia. Liên hệ: privacy@ds160.io.

B. Mô tả việc chuyển và xử lý dữ liệu

Các nhóm chủ thể dữ liệu

• Người nộp đơn: các khách hàng của Khách hàng, và thành viên gia đình của họ, bao gồm trẻ em, có đơn DS-160 được chuẩn bị trong không gian làm việc của Khách hàng.
• Những người được nêu tên trong các câu trả lời của Người nộp đơn, chẳng hạn như thành viên gia đình, người sử dụng lao động, bạn đồng hành và người liên hệ tại Hoa Kỳ.
• Nhân viên của Khách hàng, như được ghi nhận trong lịch sử chỉnh sửa của một đơn.

Các loại dữ liệu cá nhân

• Mọi thông tin mà DS-160 yêu cầu: họ tên, ngày và nơi sinh, quốc tịch, thông tin giấy tờ tùy thân quốc gia và hộ chiếu, địa chỉ, số điện thoại, địa chỉ email và định danh mạng xã hội, kế hoạch và lịch sử đi lại, thành viên gia đình, quá trình học tập và làm việc.
• Ảnh thị thực của Người nộp đơn và mọi tài liệu được tải lên cho đơn.
• Hồ sơ nộp đơn: Mã số Đơn CEAC (Application ID), câu trả lời cho câu hỏi bảo mật, trang xác nhận, và một tệp PDF của mọi trang mà CEAC hiển thị lại.
• Lịch sử chỉnh sửa của mỗi câu trả lời: giá trị cũ và mới, người thực hiện thay đổi và thời điểm thực hiện.
• Dữ liệu sử dụng từ các trang tiếp nhận thông tin khách hàng mà Người nộp đơn mở thông qua đường liên kết khách hàng.

Dữ liệu thuộc loại đặc biệt và dữ liệu hình sự: dữ liệu sức khỏe (Điều 9 GDPR: bệnh truyền nhiễm, rối loạn tâm thần hoặc thể chất, sử dụng ma túy) và dữ liệu liên quan đến bản án và hành vi phạm tội hình sự (Điều 10 GDPR: bị bắt giữ, bị kết án và các vấn đề hình sự khác), từ các câu hỏi về an ninh và lý lịch của DS-160.

Tần suất chuyển dữ liệu: liên tục, chừng nào Khách hàng còn sử dụng DS160.io.

Tính chất của hoạt động xử lý: thu thập câu trả lời thông qua đường liên kết khách hàng và nhân viên của Khách hàng; lưu trữ và mã hóa chúng; dịch các câu trả lời dạng văn bản tự do sang tiếng Anh; kiểm tra ảnh thị thực tự động; gửi email chứa đường liên kết khách hàng; và, khi Khách hàng bắt đầu nộp đơn, nhập các câu trả lời trên CEAC và ghi nhận kết quả.

Mục đích: chuẩn bị và nộp đơn DS-160 của Người nộp đơn cho Khách hàng.

Thời hạn lưu giữ: chừng nào không gian làm việc của Khách hàng còn tồn tại, sau đó như tại mục 8. Hồ sơ chẩn đoán của một lượt nộp đơn thất bại bị xóa sau 90 ngày, và hồ sơ các bước của mỗi lượt nộp đơn bị xóa sau 30 ngày.

Chuyển dữ liệu cho Bên Xử lý Phụ: như tại Phụ lục III, cho các mục đích và dữ liệu được liệt kê tại đó, chừng nào DS160.io còn sử dụng họ.

C. Cơ quan giám sát có thẩm quyền

Cơ quan giám sát của quốc gia thành viên EU nơi Khách hàng được thành lập hoặc, trong trường hợp Khách hàng không được thành lập tại EU nhưng chịu sự điều chỉnh của GDPR, cơ quan của quốc gia thành viên nơi đại diện của Khách hàng theo Điều 27 GDPR được thành lập. Đối với UK GDPR, Văn phòng Ủy viên Thông tin (Information Commissioner’s Office). Đối với Đạo luật Liên bang Thụy Sĩ về Bảo vệ Dữ liệu, Ủy viên Liên bang về Bảo vệ Dữ liệu và Thông tin (Federal Data Protection and Information Commissioner).

Phụ lục II: Các biện pháp kỹ thuật và tổ chức

Mã hóa khi lưu trữ. Các câu trả lời của Người nộp đơn, lịch sử chỉnh sửa của chúng, bản sao của đơn được tạo mỗi lần nộp, Mã số Đơn CEAC và câu trả lời bảo mật, và hồ sơ chẩn đoán của các lượt nộp đơn được mã hóa bằng AES-256 (GCM). Khóa mã hóa được lưu giữ trong một kho khóa được quản lý, tách biệt với cơ sở dữ liệu và các bản sao lưu của nó, do đó không thể đọc được cơ sở dữ liệu hay bản sao lưu nếu không có khóa. Chỉ có tên, năm sinh, lãnh sự quán và loại thị thực của Người nộp đơn là vẫn đọc được, phục vụ danh sách đơn.

Mã hóa khi truyền tải. Mọi lưu lượng truy cập đến DS160.io đều được phục vụ qua HTTPS. Các bí mật như mật khẩu máy chủ thư và khóa xác thực được lưu trữ ở dạng mã hóa.

Lưu trữ máy chủ. Cơ sở dữ liệu, các máy chủ ứng dụng và trình duyệt nộp mỗi DS-160 đều chạy trên phần cứng riêng của DS160.io, đặt tại trụ sở chính của DS160.io ở Hoa Kỳ. Cơ sở này luôn được khóa.

Kiểm soát truy cập. Chỉ đội ngũ của DS160.io mới có thể truy cập các hệ thống vận hành thực tế. Nhân viên chỉ mở một không gian làm việc hoặc một đơn khi được Khách hàng cho phép điều tra một sự cố, và ngoài trường hợp đó chỉ xem hồ sơ chẩn đoán của các lượt nộp đơn thất bại. Các thay đổi mà nhân viên thực hiện trong quá trình điều tra được ghi nhận là do DS160.io thực hiện. Mọi tài khoản đều có thể bật xác thực đa yếu tố, và quyền truy cập trong một không gian làm việc tuân theo các vai trò mà Khách hàng phân công.

Giảm thiểu dữ liệu trong vận hành. Các cảnh báo vận hành của DS160.io chạy trên máy chủ riêng của DS160.io và xác định không gian làm việc và đơn bằng mã định danh nội bộ, không bao giờ bằng tên hoặc địa chỉ email. Ảnh thị thực được kiểm tra trên máy chủ riêng của DS160.io, không phải bởi bên thứ ba.

Sao lưu và khôi phục. Cơ sở dữ liệu được sao lưu, và các bản sao lưu được lưu giữ trong 7 ngày. Các phiên bản trước đó của tệp đã lưu trữ được nhà cung cấp lưu trữ lưu giữ trong 7 ngày. Khôi phục sau thảm họa đặt mục tiêu điểm khôi phục và thời gian khôi phục là 24 giờ.

Ghi nhật ký, giám sát và vá lỗi. Các hệ thống của DS160.io được ghi nhật ký và giám sát, và các lỗ hổng được quản lý bằng việc vá lỗi kịp thời.

Đào tạo. Mọi người có quyền truy cập Dữ liệu Cá nhân của Khách hàng đều được đào tạo về quyền riêng tư và an ninh.

Thời hạn lưu giữ. Hồ sơ chẩn đoán của các lượt nộp đơn thất bại bị xóa sau 90 ngày, hồ sơ các bước của lượt nộp đơn bị xóa sau 30 ngày, và dữ liệu theo yêu cầu xóa bị xóa trong vòng 30 ngày, như tại mục 8.

Phụ lục III: Bên Xử lý Phụ