Phụ lục Xử lý Dữ liệu (GDPR)

Phụ lục Xử lý Dữ liệu theo GDPR / UK GDPR, áp dụng khi Taskworld xử lý dữ liệu cá nhân thay mặt cho Khách hàng.

Bản dịch này được cung cấp để thuận tiện cho bạn. Bản tiếng Anh là văn bản có giá trị pháp lý ràng buộc và được ưu tiên áp dụng nếu hai bản có sự khác biệt.

Phụ lục Xử lý Dữ liệu này (sau đây gọi là “DPA” (“Data Processing Addendum”)) áp dụng trong trường hợp Taskworld xử lý dữ liệu cá nhân thay mặt cho Khách hàng liên quan đến Ongo Audit và hoạt động xử lý của Khách hàng chịu sự điều chỉnh của Quy định chung về bảo vệ dữ liệu của EU (Quy định (EU) 2016/679) (“GDPR”) hoặc UK GDPR. DPA này là một phần của Thỏa thuận Khách hàng giữa Khách hàng và Pháp nhân Taskworld Áp dụng.

7.1 Định nghĩa. Các thuật ngữ viết hoa có nghĩa như được quy định trong Thỏa thuận Khách hàng hoặc, nếu không được định nghĩa tại đó, trong GDPR. “Taskworld” là Pháp nhân Taskworld Áp dụng là một bên của Thỏa thuận Khách hàng.

7.2 Vai trò. Khách hàng là Bên Kiểm soát dữ liệu (controller) và Taskworld là Bên Xử lý dữ liệu (processor) đối với Dữ liệu cá nhân của Khách hàng được xử lý liên quan đến Dịch vụ. Mỗi bên sẽ tuân thủ các nghĩa vụ của mình theo pháp luật hiện hành về bảo vệ dữ liệu.

7.3 Đối tượng, thời hạn, tính chất và mục đích xử lý.

  • Đối tượng: cung cấp Ongo Audit và các dịch vụ liên quan.
  • Thời hạn: thời hạn của Thỏa thuận Khách hàng, cộng với bất kỳ khoảng thời gian nào cần thiết cho việc hoàn trả hoặc xóa dữ liệu theo quy định dưới đây.
  • Tính chất và mục đích: lưu trữ trên máy chủ, lưu giữ, truyền tải, xử lý, hiển thị và cung cấp dưới hình thức khác Dữ liệu cá nhân của Khách hàng để Người dùng được Ủy quyền có thể thực hiện kiểm tra, kiểm toán và báo cáo sự cố; cung cấp dịch vụ hỗ trợ, bảo mật và phân tích liên quan cho Dịch vụ.
  • Các loại chủ thể dữ liệu: Người dùng được Ủy quyền (nhân viên, nhà thầu, đại lý của Khách hàng) và những người có dữ liệu được Khách hàng lựa chọn đưa vào câu trả lời biểu mẫu, ảnh và Dữ liệu Phiếu trả lời khác.
  • Các loại dữ liệu cá nhân: Dữ liệu Danh tính, Liên hệ, Xác thực, Thiết bị, Kỹ thuật, Phiếu trả lời, Vị trí địa lý, Ảnh, Sử dụng, Chẩn đoán và Hỗ trợ, như được mô tả trong Chính sách Quyền riêng tư.

7.4 Chỉ thị của Khách hàng. Taskworld sẽ chỉ xử lý Dữ liệu cá nhân của Khách hàng theo chỉ thị được ghi nhận bằng văn bản của Khách hàng, bao gồm cả chỉ thị liên quan đến việc chuyển dữ liệu ra quốc tế, trừ trường hợp pháp luật hiện hành yêu cầu (khi đó Taskworld sẽ thông báo cho Khách hàng về yêu cầu pháp lý đó trước khi xử lý, trừ khi pháp luật đó cấm việc thông báo). Thỏa thuận Khách hàng, Đơn đặt hàng và cấu hình Dịch vụ đã được ghi nhận cấu thành toàn bộ chỉ thị của Khách hàng.

7.5 Bảo mật thông tin. Taskworld sẽ bảo đảm rằng nhân sự được ủy quyền xử lý Dữ liệu cá nhân của Khách hàng bị ràng buộc bởi các nghĩa vụ bảo mật phù hợp.

7.6 An toàn bảo mật. Taskworld sẽ triển khai và duy trì các biện pháp kỹ thuật và tổ chức phù hợp nhằm bảo đảm mức độ an toàn tương xứng với rủi ro, có tính đến trình độ công nghệ hiện tại, chi phí triển khai, cũng như tính chất, phạm vi, bối cảnh và mục đích xử lý. Các biện pháp đang có hiệu lực bao gồm các biện pháp được nêu tại trang Bảo mật và tài liệu bảo mật hiện hành tại từng thời điểm của Taskworld, được cung cấp theo yêu cầu qua security@taskworld.com.

7.7 Bên Xử lý phụ.

  1. Khách hàng cho phép Taskworld sử dụng Bên Xử lý phụ để cung cấp Dịch vụ, theo các điều kiện tại Mục 7.7 này.

  2. Danh sách hiện hành các Bên Xử lý phụ được ủy quyền được công bố trên trang Bên Xử lý phụ của chúng tôi và được đưa vào DPA này bằng cách dẫn chiếu.

  3. Taskworld sẽ áp đặt cho mỗi Bên Xử lý phụ các nghĩa vụ bảo vệ dữ liệu có mức độ bảo vệ không thấp hơn các nghĩa vụ trong DPA này.

  4. Taskworld sẽ thông báo trước cho Khách hàng về mọi thay đổi dự kiến đối với danh sách Bên Xử lý phụ, bằng cách cập nhật trang Bên Xử lý phụ (và qua email, trong trường hợp Khách hàng đã đăng ký nhận thông báo). Khách hàng có thể phản đối dựa trên các căn cứ hợp lý về bảo vệ dữ liệu trong vòng mười bốn (14) ngày kể từ ngày thông báo; nếu các bên không thể thống nhất được giải pháp, Khách hàng có thể chấm dứt phần bị ảnh hưởng của Thỏa thuận Khách hàng.

7.8 Quyền của chủ thể dữ liệu. Có tính đến tính chất của hoạt động xử lý, Taskworld sẽ hỗ trợ Khách hàng bằng các biện pháp kỹ thuật và tổ chức phù hợp, trong phạm vi có thể, trong việc thực hiện nghĩa vụ của Khách hàng về phản hồi các yêu cầu của chủ thể dữ liệu theo Điều 12–22 GDPR. Nếu chủ thể dữ liệu gửi yêu cầu trực tiếp đến Taskworld, Taskworld sẽ chuyển yêu cầu đó cho Khách hàng mà không có sự chậm trễ bất hợp lý và sẽ không tự mình phản hồi yêu cầu, ngoại trừ việc xác nhận đã nhận được yêu cầu và hướng dẫn chủ thể dữ liệu liên hệ với Khách hàng.

7.9 Vi phạm dữ liệu cá nhân. Taskworld sẽ thông báo cho Khách hàng mà không có sự chậm trễ bất hợp lý (và trong mọi trường hợp trong vòng bảy mươi hai (72) giờ) sau khi biết về một vụ vi phạm dữ liệu cá nhân ảnh hưởng đến Dữ liệu cá nhân của Khách hàng, và sẽ cung cấp các thông tin mà Khách hàng yêu cầu một cách hợp lý để tuân thủ nghĩa vụ của mình theo Điều 33 và 34 GDPR.

7.10 Đánh giá tác động bảo vệ dữ liệu. Taskworld sẽ hỗ trợ hợp lý cho Khách hàng trong việc đánh giá tác động bảo vệ dữ liệu và, trong trường hợp bắt buộc, việc tham vấn trước với cơ quan giám sát, trong mỗi trường hợp chỉ liên quan đến Dịch vụ.

7.11 Hoàn trả và xóa. Khi Thỏa thuận Khách hàng chấm dứt, Taskworld sẽ, theo lựa chọn của Khách hàng, hoàn trả hoặc xóa Dữ liệu cá nhân của Khách hàng, theo các mốc thời gian được quy định trong Thỏa thuận Khách hàng và Chính sách Quyền riêng tư, trừ trường hợp pháp luật hiện hành yêu cầu lưu giữ.

7.12 Kiểm toán. Taskworld sẽ cung cấp cho Khách hàng các thông tin cần thiết để chứng minh việc tuân thủ DPA này, và sẽ cho phép và đóng góp vào các cuộc kiểm toán, bao gồm cả các cuộc kiểm tra, do Khách hàng hoặc kiểm toán viên độc lập được Khách hàng ủy nhiệm thực hiện, trong mỗi trường hợp phải tuân theo yêu cầu thông báo trước hợp lý, các nghĩa vụ bảo mật và giới hạn tối đa một (1) cuộc kiểm toán trong mỗi khoảng thời gian mười hai (12) tháng (thường xuyên hơn nếu cơ quan giám sát yêu cầu hoặc sau một sự cố bảo mật ảnh hưởng đến Dữ liệu cá nhân của Khách hàng). Khách hàng có thể dựa vào các chứng nhận hiện có của bên thứ ba (chẳng hạn như báo cáo ISO 27001 hoặc SOC 2) do Taskworld cung cấp thay cho cuộc kiểm toán tại chỗ, khi việc đó là hợp lý.

7.13 Chuyển dữ liệu ra quốc tế. Trường hợp Taskworld chuyển Dữ liệu cá nhân của Khách hàng ra ngoài EEA, Vương quốc Anh hoặc một khu vực tài phán khác có áp dụng các hạn chế về chuyển dữ liệu, Taskworld sẽ bảo đảm áp dụng các biện pháp bảo vệ thích hợp, bao gồm Điều khoản Hợp đồng Mẫu của EU (EU Standard Contractual Clauses) hoặc Phụ lục Chuyển giao Dữ liệu Quốc tế của Vương quốc Anh (UK International Data Transfer Addendum), tùy từng trường hợp, các văn bản này được đưa vào DPA này bằng cách dẫn chiếu.

7.14 Trách nhiệm pháp lý. Trách nhiệm của mỗi bên theo DPA này tuân theo các giới hạn trách nhiệm trong Thỏa thuận Khách hàng.

7.15 Mâu thuẫn. Trong trường hợp có mâu thuẫn giữa DPA này và Thỏa thuận Khách hàng, DPA này sẽ được ưu tiên áp dụng đối với việc xử lý Dữ liệu cá nhân của Khách hàng.

Phụ lục A — Các biện pháp kỹ thuật và tổ chức. Các biện pháp được mô tả tại trang Bảo mật, được bổ sung bởi tài liệu bảo mật hiện hành tại từng thời điểm của Taskworld, được cung cấp theo yêu cầu qua security@taskworld.com.

Phụ lục B — Các Bên Xử lý phụ được ủy quyền. Danh sách hiện hành các Bên Xử lý phụ được ủy quyền được công bố và duy trì trên trang Bên Xử lý phụ của chúng tôi.