Cập nhật lần cuối: 23 tháng 10 năm 2026
Thỏa thuận xử lý dữ liệu này ("DPA") là phụ lục của và tạo thành một phần Điều khoản dịch vụ ReplyBuddy (hoặc thỏa thuận áp dụng khác, sau đây gọi là "Thỏa thuận") giữa Khách hàng (như được định nghĩa trong Thỏa thuận) và PRIME RADIANT LLC ("Công ty"), công ty trách nhiệm hữu hạn đăng ký tại Cộng hòa Armenia (Reg. No. 286.110.1498160, TIN 02938343).
Khi dùng dịch vụ ReplyBuddy hoặc khi đồng ý với Thỏa thuận, Khách hàng giao kết DPA này thay mặt chính mình và, nếu luật bảo vệ dữ liệu áp dụng yêu cầu, nhân danh và thay mặt các Bên liên kết của mình. DPA này phản ánh thỏa thuận của các bên về việc Công ty xử lý Dữ liệu cá nhân thay mặt Khách hàng trong quá trình cung cấp Dịch vụ.
Diễn giải: Nếu không được định nghĩa trong DPA này, mọi thuật ngữ viết hoa có nghĩa như trong Thỏa thuận. Nếu có xung đột giữa DPA này và Thỏa thuận, các quy định của DPA này được ưu tiên trong phạm vi xung đột. Thuật ngữ "bao gồm" có nghĩa là "bao gồm nhưng không giới hạn".
1.1 "Affiliate" nghĩa là bất kỳ tổ chức nào trực tiếp hoặc gián tiếp Kiểm soát, bị Kiểm soát bởi, hoặc cùng chịu sự Kiểm soát chung với một bên, trong đó "Control" nghĩa là sở hữu ít nhất năm mươi phần trăm (50%) vốn chủ sở hữu hoặc quyền biểu quyết của tổ chức đó.
1.2 "Customer Personal Data" nghĩa là bất kỳ Dữ liệu cá nhân nào mà Khách hàng (hoặc người dùng cuối của Khách hàng) cung cấp hoặc nộp cho Dịch vụ, hoặc do Công ty thu thập thay mặt Khách hàng, để xử lý theo Thỏa thuận. Customer Personal Data có thể gồm, ví dụ, tin nhắn mạng xã hội, bản ghi hội thoại, bản nháp nội dung, thông tin liên hệ của khách tiềm năng hoặc khách hàng (chẳng hạn tên và tên người dùng), và dữ liệu khác liên quan đến cá nhân mà Khách hàng tương tác qua Dịch vụ.
1.3 "Authorized Sub-Processor" nghĩa là bất kỳ bên thứ ba nào (gồm bất kỳ Affiliate nào của Công ty) được Công ty thuê để xử lý Customer Personal Data nhằm hỗ trợ Công ty thực hiện nghĩa vụ theo Thỏa thuận hoặc DPA này. Các Authorized Sub-Processor có hiệu lực tại ngày DPA này có hiệu lực được liệt kê tại Exhibit B hoặc trên website của Công ty như mô tả tại Section 4.2.
1.4 "Company Account Data" nghĩa là Dữ liệu cá nhân liên quan đến quan hệ của Khách hàng với Công ty, có thể gồm tên và thông tin liên hệ của nhân sự hoặc người đại diện của Khách hàng được ủy quyền dùng hoặc quản trị Dịch vụ, thông tin thanh toán, và thông tin khác cần thiết để quản lý tài khoản và vận hành kinh doanh. Company Account Data cũng gồm mọi dữ liệu mà Công ty phải xử lý để xác minh danh tính, ngăn gian lận hoặc tuân thủ nghĩa vụ pháp lý khi quản lý quan hệ với Khách hàng.
1.5 "Company Usage Data" nghĩa là dữ liệu liên quan đến việc Khách hàng dùng Dịch vụ do Công ty thu thập nhằm duy trì, theo dõi và cải thiện Dịch vụ. Company Usage Data có thể gồm tệp nhật ký và siêu dữ liệu như dấu thời gian và số lượng tin nhắn, chỉ số sử dụng, dữ liệu hiệu năng, và thông tin kỹ thuật khác (ví dụ địa chỉ IP hoặc thông tin thiết bị) mà bản thân không nhất thiết xác định một cá nhân. Company Usage Data được dùng để tối ưu và duy trì hiệu năng cùng bảo mật của dịch vụ, và để ngăn lạm dụng Dịch vụ.
1.6 "Data Protection Laws" nghĩa là mọi luật và quy định áp dụng cho việc xử lý Dữ liệu cá nhân theo Thỏa thuận, bao gồm, khi áp dụng: Russian Federal Law No. 152-FZ "On Personal Data"; EU General Data Protection Regulation 2016/679 ("EU GDPR"); EU GDPR được đưa vào luật Vương quốc Anh ("UK GDPR"); Swiss Federal Act on Data Protection; California Consumer Privacy Act ("CCPA") và các sửa đổi của đạo luật này (gồm California Privacy Rights Act); và mọi luật bảo vệ dữ liệu hoặc quyền riêng tư áp dụng khác. Các thuật ngữ "Personal Data", "Data Subject", "processing", "Controller", "Processor", "Personal Data Breach" và các thuật ngữ liên quan khác có nghĩa được nêu trong GDPR và/hoặc Federal Law No. 152-FZ, tùy bối cảnh (theo thuật ngữ của Federal Law No. 152-FZ, "Controller" tương ứng với "operator" và "Processor" tương ứng với người xử lý dữ liệu cá nhân thay mặt operator), và thuật ngữ "Service Provider" có nghĩa được nêu trong CCPA.
1.7 "Standard Contractual Clauses" hoặc "SCCs" nghĩa là, gộp lại: (i) các điều khoản hợp đồng chuẩn cho việc chuyển dữ liệu cá nhân tới quốc gia thứ ba theo GDPR, được phê duyệt bởi European Commission Decision 2021/914 of 4 June 2021 ("EU SCCs"); và (ii) UK International Data Transfer Addendum do UK Information Commissioner's Office ban hành ("UK Addendum"), cùng với EU SCCs tạo thành "UK SCCs". Việc dẫn chiếu tới SCCs là dẫn chiếu tới các module và điều khoản phù hợp với quan hệ giữa các bên như nêu tại Section 6 của DPA này.
1.8 "Services" nghĩa là nền tảng phần mềm dạng dịch vụ và các dịch vụ liên quan do Công ty cung cấp cho Khách hàng theo Thỏa thuận. Cụ thể, ReplyBuddy cung cấp nền tảng SaaS cho phép giao tiếp khách hàng tự động và quy trình tác nhân AI trên các nền tảng nhắn tin (chẳng hạn Telegram, Instagram, Avito, MAX, VK và các kênh được hỗ trợ khác), quản lý giao dịch CRM và chiến dịch gửi tin ("ReplyBuddy Platform").
Giữa các bên, đối với việc xử lý Customer Personal Data, các bên xác nhận rằng Khách hàng đóng vai trò Data Controller (hoặc Processor thay mặt một controller khác) và Công ty đóng vai trò Data Processor thay mặt Khách hàng. Điều này có nghĩa Khách hàng quyết định mục đích và phương tiện xử lý Customer Personal Data, còn Công ty chỉ xử lý dữ liệu đó theo chỉ dẫn đã được ghi nhận của Khách hàng, như mô tả trong DPA này và Thỏa thuận. Nếu Khách hàng là Processor thay mặt một Controller bên thứ ba, thì Công ty là sub-Processor của Khách hàng, và Khách hàng bảo đảm rằng mình được (các) Controller liên quan ủy quyền để chỉ định Công ty làm sub-Processor và để giao kết DPA này.
Khách hàng, khi dùng Dịch vụ, phải bảo đảm rằng các chỉ dẫn xử lý Dữ liệu cá nhân của mình (gồm các chỉ dẫn nêu trong DPA này và Thỏa thuận) tuân thủ mọi Data Protection Laws. Khách hàng chịu trách nhiệm có được mọi sự đồng ý hoặc cơ sở pháp lý cần thiết cho việc xử lý Dữ liệu cá nhân, về độ chính xác và chất lượng của Dữ liệu cá nhân cung cấp cho Công ty, và về việc bảo đảm rằng việc Khách hàng dùng Dịch vụ (gồm việc Công ty xử lý) sẽ không khiến Công ty vi phạm bất kỳ luật áp dụng nào. Khách hàng không được cung cấp hoặc để Công ty tiếp cận bất kỳ Dữ liệu cá nhân nào không cần thiết cho việc dùng Dịch vụ hoặc mà Khách hàng không được phép chia sẻ về mặt pháp lý. Khách hàng sẽ bồi thường cho Công ty về mọi khiếu nại hoặc tổn thất phát sinh từ việc xử lý Dữ liệu cá nhân theo chỉ dẫn của Khách hàng mà xâm phạm luật áp dụng hoặc quyền của bên thứ ba.
(ii) thực hiện các chỉ dẫn và yêu cầu của Khách hàng liên quan đến Dịch vụ; và
(iii) tuân thủ các nghĩa vụ pháp lý của Công ty.
Công ty sẽ không xử lý Customer Personal Data cho bất kỳ mục đích nào khác ngoài những mục đích nêu trong Thỏa thuận, DPA này, hoặc theo chỉ dẫn khác của Khách hàng dưới dạng đã được ghi nhận. Cụ thể, Công ty sẽ không "sell" hoặc "share" Customer Personal Data theo nghĩa của CCPA, và Công ty sẽ không dùng Customer Personal Data cho mục đích riêng của mình (chẳng hạn tiếp thị hoặc lập hồ sơ) hoặc để huấn luyện mô hình trí tuệ nhân tạo, trừ khi thật sự cần thiết và được phép để cung cấp và cải thiện Dịch vụ và chỉ khi có sự ủy quyền của Khách hàng. Công ty xác nhận và đồng ý rằng mình bị cấm tiếp tục dùng hoặc tiết lộ Customer Personal Data cho bất kỳ mục đích nào khác ngoài việc cung cấp Dịch vụ theo Thỏa thuận và DPA này.
Khi giao kết DPA này, Khách hàng chỉ dẫn Công ty chỉ xử lý Customer Personal Data theo Thỏa thuận, DPA này, và mọi Order áp dụng hoặc chỉ dẫn bằng văn bản do Khách hàng đưa ra. Nếu Công ty cho rằng bất kỳ chỉ dẫn nào của Khách hàng xâm phạm Data Protection Laws, Công ty sẽ thông báo kịp thời cho Khách hàng (trừ khi pháp luật cấm). Các chỉ dẫn ban đầu của Khách hàng đối với Công ty về việc xử lý Dữ liệu cá nhân được nêu trong DPA này, gồm Exhibit A. Sau đó, Khách hàng có thể đưa thêm chỉ dẫn bằng văn bản cho Công ty, và các bên sẽ cùng thiện chí xác nhận và thực hiện các chỉ dẫn đó khi phù hợp.
Đối tượng và thời hạn xử lý, bản chất và mục đích xử lý, các loại Dữ liệu cá nhân, và các nhóm Data Subject liên quan đến việc xử lý theo DPA này được mô tả thêm tại Exhibit A (Details of Processing). Các bên đồng ý rằng Exhibit A phản ánh đúng phạm vi Công ty xử lý Customer Personal Data theo Thỏa thuận.
Khi Thỏa thuận chấm dứt hoặc hết hạn, hoặc khi Khách hàng yêu cầu bằng văn bản, Công ty sẽ ngừng xử lý Customer Personal Data và, theo lựa chọn của Khách hàng, xóa hoặc trả lại cho Khách hàng toàn bộ Customer Personal Data đang do Công ty nắm giữ hoặc kiểm soát (gồm mọi bản sao), trong một khoảng thời gian hợp lý, trừ khi luật áp dụng yêu cầu lưu Dữ liệu cá nhân. Nếu việc trả lại hoặc xóa một số dữ liệu là không khả thi về kỹ thuật hoặc pháp lý (ví dụ bản sao lưu được lưu trữ an toàn theo yêu cầu tuân thủ pháp luật), Công ty sẽ (i) thông báo cho Khách hàng lý do và (ii) bảo đảm tính bí mật của dữ liệu đó và ngừng mọi xử lý chủ động, và sẽ xóa dữ liệu đó ngay khi có thể. Khi Khách hàng yêu cầu, Công ty sẽ cung cấp giấy xác nhận đã xóa Dữ liệu cá nhân (ví dụ giấy xác nhận mà Clause 8.5 của EU SCCs yêu cầu).
Mỗi bên sẽ tuân thủ mọi Data Protection Laws áp dụng cho mình theo vai trò trong DPA này. Khách hàng chịu trách nhiệm duy nhất về tính hợp pháp của việc xử lý và về độ chính xác cùng tính hợp pháp của Customer Personal Data cung cấp cho Công ty. Công ty sẽ thông báo cho Khách hàng nếu cho rằng một chỉ dẫn của Khách hàng vi phạm luật áp dụng (mà không có nghĩa vụ rà soát pháp lý hoạt động của Khách hàng). Khi Russian Federal Law No. 152-FZ áp dụng, các bên phải tuân thủ luật đó, gồm các quy tắc về chuyển dữ liệu cá nhân xuyên biên giới (Article 12) và các biện pháp bảo vệ pháp lý, tổ chức và kỹ thuật mà Article 19 yêu cầu.
Trong phạm vi CCPA (California Consumer Privacy Act) áp dụng cho bất kỳ Customer Personal Data nào, các bên xác nhận và đồng ý rằng Công ty là Service Provider của Khách hàng, và Khách hàng là Business (hoặc Service Provider của một Business bên thứ ba) đối với dữ liệu đó. Công ty xác nhận rằng mình sẽ không bán Customer Personal Data hoặc chia sẻ dữ liệu đó cho quảng cáo hành vi xuyên ngữ cảnh, và sẽ không giữ, dùng hoặc tiết lộ Customer Personal Data cho bất kỳ mục đích nào khác ngoài mục đích cụ thể là thực hiện Dịch vụ hoặc theo cách khác được CCPA cho phép. Công ty sẽ không kết hợp Customer Personal Data với thông tin cá nhân nhận từ nguồn khác, trừ khi CCPA cho phép. Công ty hiểu và sẽ tuân thủ các hạn chế và nghĩa vụ áp đặt lên Service Provider theo CCPA.
Công ty phải bảo đảm rằng bất kỳ người nào được mình ủy quyền xử lý Customer Personal Data (gồm nhân viên, đại lý và nhà thầu phụ của Công ty) chịu nghĩa vụ bảo mật (dù theo hợp đồng hay theo nghĩa vụ pháp định) đối với dữ liệu đó. Công ty sẽ giới hạn quyền truy cập Customer Personal Data chỉ cho những cá nhân cần truy cập để thực hiện Dịch vụ và bị ràng buộc bởi các nghĩa vụ bảo mật đó.
Công ty sẽ không tiết lộ Customer Personal Data cho bất kỳ bên thứ ba nào, trừ khi việc đó cần thiết để cung cấp Dịch vụ (và được phép theo Section 4 của DPA này về Sub-Processor), hoặc khi luật hoặc quy định yêu cầu. Nếu một luật hoặc lệnh pháp lý yêu cầu Công ty tiết lộ Customer Personal Data, Công ty sẽ (trong phạm vi không bị cấm) thông báo cho Khách hàng trước khi tiết lộ và tuân thủ Section 8.2 của DPA này.
Bất kể những điều trên, Khách hàng đồng ý rằng Công ty có thể tiết lộ Customer Personal Data ở mức hạn chế cho cố vấn pháp lý, tài chính hoặc chuyên môn của Công ty (ví dụ luật sư, kiểm toán viên) chỉ trong phạm vi việc tiết lộ đó cần thiết để Công ty nhận tư vấn hoặc biện pháp bảo vệ liên quan đến Dịch vụ hoặc để thực thi quyền của mình, với điều kiện các cố vấn đó chịu nghĩa vụ nghề nghiệp hoặc nghĩa vụ bảo mật bằng văn bản.
Theo DPA này, Khách hàng đưa ra ủy quyền chung bằng văn bản để Công ty thuê sub-processor khi cần cho việc cung cấp Dịch vụ.
Công ty duy trì danh sách hiện hành các Authorized Sub-Processor ("Sub-Processor List") tại Exhibit B của DPA này. Tính đến ngày DPA có hiệu lực, Khách hàng xác nhận rằng Công ty dùng hạ tầng và nhà cung cấp bên thứ ba làm sub-processor để cung cấp Dịch vụ, gồm lưu trữ máy chủ (Hostinger), xác thực người dùng (Supabase), lưu trữ tệp và bản sao lưu (Cloudflare), giám sát (Grafana Labs), chẩn đoán trực ca (Anysphere (Cursor)), email giao dịch (Resend), điện thoại (Voximplant), API nền tảng nhắn tin (Telegram, Instagram, Avito, MAX, VK, Zalo và các nền tảng khác do Khách hàng kết nối), nhà cung cấp API mô hình AI và ngôn ngữ thương mại (chẳng hạn DeepSeek, OpenRouter, OpenAI, xAI, MiniMax và Groq), và nhà cung cấp thanh toán (Lemon Squeezy và CloudPayments).
Công ty giữ Sub-Processor List tại Exhibit B được cập nhật trên website của mình và có thể thuê hoặc thay nhà cung cấp hạ tầng và mô hình AI để bảo đảm tính liên tục, độ tin cậy và bảo mật của dịch vụ, với điều kiện các nhà cung cấp đó bị ràng buộc bởi nghĩa vụ bảo mật và bảo vệ dữ liệu phù hợp. Công ty cập nhật Sub-Processor List khi thuê hoặc thay một Sub-Processor. Các thay đổi đó có hiệu lực khi Sub-Processor List cập nhật được công bố, và việc Khách hàng tiếp tục dùng Dịch vụ sau khi công bố được coi là chấp nhận thay đổi. Khách hàng có thể phản đối theo cách mô tả tại Section 4.4.
Nếu Khách hàng có cơ sở hợp lý, thiện chí để tin rằng việc một Sub-Processor xử lý Customer Personal Data vi phạm Data Protection Laws áp dụng, Khách hàng có thể thông báo cho Công ty bằng văn bản tại support@replybuddy.io. Các bên sẽ thảo luận các lo ngại của Khách hàng một cách thiện chí. Nếu vấn đề không giải quyết được, Khách hàng có thể ngừng dùng Dịch vụ bị ảnh hưởng và hủy gia hạn Gói đăng ký cho kỳ thanh toán tiếp theo.
Việc Khách hàng tiếp tục dùng Dịch vụ sau khi Sub-Processor List cập nhật được công bố được coi là chấp nhận Sub-Processor mới, không ảnh hưởng đến quyền phản đối của Khách hàng theo Section 4.4. Công ty có thể tiếp tục dùng các Sub-Processor hiện có đã được thuê tính đến ngày DPA này có hiệu lực, và Khách hàng theo đây chấp nhận các bên đó.
Công ty chịu trách nhiệm về mọi hành vi, sai sót hoặc thiếu sót của Sub-Processor khiến Công ty vi phạm bất kỳ nghĩa vụ nào theo DPA này, như thể hành vi, sai sót hoặc thiếu sót đó là của chính Công ty.
Trong phạm vi luật áp dụng yêu cầu (ví dụ Clause 9(c) của EU SCCs), Công ty sẽ, khi Khách hàng yêu cầu, cung cấp cho Khách hàng điều khoản dịch vụ và, khi có, điều khoản xử lý dữ liệu mà theo đó Công ty thuê các Authorized Sub-Processor, hoặc liên kết tới các điều khoản đó.
Khi SCCs áp dụng, việc Khách hàng chấp nhận DPA này được coi là sự đồng ý trước bằng văn bản của Khách hàng đối với việc thuê các Sub-Processor của Công ty, và đối với việc Công ty xử lý tiếp Dữ liệu cá nhân cho các Sub-Processor đó, như Clause 9 của EU SCCs yêu cầu (ủy quyền chung bằng văn bản). Sub-Processor List (gồm các cập nhật được công bố theo Section 4 này) đáp ứng yêu cầu của Annex III của EU SCCs về danh sách sub-processor tiếp theo.
Công ty phải triển khai và duy trì các biện pháp kỹ thuật và tổ chức phù hợp để bảo vệ Dữ liệu cá nhân khỏi việc hủy hoại, mất, thay đổi, tiết lộ trái phép hoặc truy cập trái phép do tai nạn hoặc do hành vi trái pháp luật, như Article 32 của GDPR, Article 19 của Russian Federal Law No. 152-FZ (khi áp dụng), và các luật áp dụng khác yêu cầu. Khi đánh giá mức bảo mật phù hợp, Công ty sẽ xét đến trình độ kỹ thuật, chi phí triển khai, bản chất, phạm vi, bối cảnh và mục đích xử lý, cùng rủi ro đối với Data Subject. Các biện pháp Công ty áp dụng được nêu tại Exhibit C (Technical and Organizational Security Measures) và gồm: mã hóa dữ liệu khi truyền bằng TLS; quyền truy cập các hệ thống production được giới hạn cho nhân sự được ủy quyền; sao lưu cơ sở dữ liệu hằng ngày lên Cloudflare R2 (được nhà cung cấp lưu trữ mã hóa khi lưu trữ), lưu giữ trong 30 ngày; ghi nhật ký và giám sát ứng dụng qua Grafana; cập nhật phần mềm; và, khi áp dụng, các biện pháp mà Article 19 của Russian Federal Law No. 152-FZ yêu cầu.
Công ty bảo đảm rằng bất kỳ người nào hành động theo thẩm quyền của mình và có quyền truy cập Customer Personal Data đều chịu nghĩa vụ bảo mật phù hợp (xem Section 3.1). Sub-Processor được thuê theo cách mô tả tại Section 4.1.
Nếu Công ty biết về một Personal Data Breach (như được định nghĩa trong GDPR) ảnh hưởng đến Customer Personal Data, Công ty sẽ thông báo cho Khách hàng không chậm trễ quá mức và trong mọi trường hợp trong vòng 24 giờ kể từ khi biết về Personal Data Breach. Thông báo đó có thể được gửi tới đầu mối được chỉ định của Khách hàng qua email hoặc hình thức liên lạc trực tiếp khác, và sẽ gồm, trong phạm vi đã biết tại thời điểm đó, mọi thông tin sẵn có cần thiết một cách hợp lý để giúp Khách hàng thực hiện nghĩa vụ thông báo cho cơ quan quản lý hoặc Data Subject bị ảnh hưởng, gồm: mô tả bản chất của sự cố, các nhóm và khối lượng dữ liệu liên quan ở mức gần đúng, hậu quả đã xác định và tiềm ẩn, và các biện pháp Công ty đã thực hiện hoặc đề xuất để xử lý sự cố. Công ty sẽ cung cấp thông tin bổ sung khi có, gồm thông tin cần thiết một cách hợp lý để Khách hàng đáp ứng thời hạn thông báo tiếp theo 72 giờ theo Part 3.1 của Article 21 của Russian Federal Law No. 152-FZ. Công ty sẽ kịp thời thực hiện các bước hợp lý để khoanh vùng, điều tra và giảm nhẹ mọi Personal Data Breach. Khi Khách hàng yêu cầu, Công ty sẽ hợp tác thiện chí với Khách hàng và hỗ trợ nỗ lực của Khách hàng trong việc thông báo cho bất kỳ Supervisory Authority có thẩm quyền nào và/hoặc các Data Subject bị ảnh hưởng, theo yêu cầu của pháp luật. Các nghĩa vụ tại Section 5.3 này không áp dụng cho sự cố do Khách hàng hoặc bất kỳ ai hành động thay mặt Khách hàng gây ra.
Việc Công ty thông báo hoặc ứng phó với một Personal Data Breach theo Section này sẽ không được hiểu là Công ty thừa nhận bất kỳ lỗi hoặc trách nhiệm nào đối với sự cố.
Khách hàng chịu trách nhiệm xem xét thông tin do Công ty cung cấp về bảo mật dữ liệu và tự quyết định liệu Dịch vụ có đáp ứng yêu cầu và nghĩa vụ pháp lý của Khách hàng hay không. Khách hàng cũng chịu trách nhiệm cấu hình và dùng Dịch vụ đúng cách, và tự thực hiện các bước để duy trì bảo mật và kiểm soát truy cập phù hợp khi dùng Dịch vụ (ví dụ bảo vệ thông tin đăng nhập tài khoản, dùng mạng an toàn để truy cập Dịch vụ, và quản lý đúng các tích hợp hoặc cấu hình thuộc quyền kiểm soát của Khách hàng).
Khách hàng xác nhận rằng Công ty đặt tại Cộng hòa Armenia và việc cung cấp Dịch vụ có thể gồm việc chuyển Customer Personal Data tới Liên minh châu Âu (Lithuania), Armenia, Hoa Kỳ, Trung Quốc, Nhật Bản và các khu vực pháp lý khác ngoài European Economic Area (EEA), United Kingdom hoặc Switzerland. Khi GDPR áp dụng cho Customer Personal Data, việc chuyển đó được thực hiện trên cơ sở Standard Contractual Clauses nêu tại Section 6 này. Việc chuyển dữ liệu cá nhân từ Liên bang Nga được thực hiện theo Article 12 của Russian Federal Law No. 152-FZ.
Module Two (Controller-to-Processor) (hoặc Module Three (Processor-to-Processor), tùy trường hợp) của EU SCCs được áp dụng. Module Two áp dụng khi Khách hàng là Controller của Customer Personal Data và Công ty là Processor; Module Three áp dụng khi Khách hàng là Processor của Customer Personal Data thay mặt một Controller bên thứ ba và Công ty là sub-Processor. Để tránh nghi ngờ, Module One (Controller-to-Controller) chỉ có thể áp dụng cho Company Account Data và Company Usage Data theo Section 9 dưới đây, chứ không áp dụng cho Customer Personal Data được xử lý thay mặt Khách hàng.
Tại Clause 7 (Docking Clause), phần ngôn ngữ tùy chọn sẽ không áp dụng.
Tại Clause 9 (Use of sub-processors), Option 2 (General Written Authorization) áp dụng. Thay đổi về Sub-Processor được thông báo bằng cách công bố Sub-Processor List cập nhật như mô tả tại Section 4.3 của DPA này.
Tại Clause 11 (Redress), phần ngôn ngữ tùy chọn sẽ không áp dụng.
Tại Clause 17 (Governing law), Option 1 áp dụng. Các bên chọn luật của Ireland (với điều kiện Ireland là quốc gia thành viên EU cho phép quyền của bên thụ hưởng thứ ba) làm luật điều chỉnh SCCs.
Tại Clause 18 (Choice of forum and jurisdiction), các bên chọn tòa án của Ireland làm diễn đàn cho các tranh chấp phát sinh từ SCCs.
Annex I.A (List of Parties), Annex I.B (Description of Transfer) và Annex II (Technical and Organizational Measures) của EU SCCs được nêu lần lượt tại Exhibit B và Exhibit C của DPA này.
Annex I.C (Competent Supervisory Authority): Cơ quan giám sát của quốc gia thành viên EU nơi Khách hàng (với tư cách Data Exporter) được thành lập (hoặc, nếu Khách hàng không được thành lập trong EEA, cơ quan giám sát được nêu tại GDPR Article 27 theo nơi người đại diện của Khách hàng đặt trụ sở) sẽ là Supervisory Authority có thẩm quyền.
Khi giao kết DPA này, các bên được coi là đã cùng ký EU SCCs, gồm các Annex.
Đối với việc chuyển Dữ liệu cá nhân từ United Kingdom (UK) hoặc chịu UK GDPR theo cách khác, tới Công ty tại một quốc gia mà cơ quan UK không coi là đầy đủ, EU SCCs (Module Two hoặc Three, tùy trường hợp, như nêu tại Section 6.2) cũng được áp dụng theo Section 6.2, nhưng được sửa đổi và diễn giải bởi UK Addendum ban hành theo Section 119A của UK Data Protection Act 2018 ("UK Addendum"). Cụ thể, các bên xác nhận rằng: (a) Table 1 của UK Addendum được coi là đã hoàn thiện với thông tin các bên và đầu mối chính như nêu tại Exhibit B; (b) Table 2 được coi là đã hoàn thiện bằng cách dẫn chiếu EU SCCs như nêu tại Section 6.2 ("Approved EU SCCs"); (c) Table 3 được coi là đã hoàn thiện với thông tin từ Exhibit B và Exhibit C của DPA này (chứa thông tin mà Annex 1A, 1B và II của EU SCCs yêu cầu); và (d) đối với Table 4, các bên chọn "Neither Party" (nghĩa là Addendum sẽ chấm dứt khi Approved EU SCCs chấm dứt). UK Addendum, được hoàn thiện như vậy, được coi là các bên đã ký kể từ ngày DPA này có hiệu lực, và được đưa vào đây. Khi giao kết DPA này, các bên được coi là đã xem xét và chấp nhận UK Addendum do ICO ban hành, được đính kèm tại đây làm Exhibit D để tham chiếu.
Đối với việc chuyển Dữ liệu cá nhân từ Switzerland (chịu Swiss FADP), các bên đồng ý rằng EU SCCs (Module Two hoặc Three, tùy trường hợp) được đưa vào theo Section 6.2 ở trên cũng được áp dụng với các sửa đổi sau: (a) việc dẫn chiếu tới "GDPR" được hiểu là dẫn chiếu tới Swiss FADP đối với quyền của chủ thể dữ liệu và các điều khoản bị thay thế; (b) việc dẫn chiếu tới "EU", "Member State" và "Supervisory Authority" được diễn giải là bao gồm Switzerland và Swiss Federal Data Protection and Information Commissioner (trong phạm vi việc chuyển chịu FADP); và (c) luật điều chỉnh và diễn đàn tranh chấp đối với việc chuyển từ Switzerland là luật và tòa án của Switzerland.
Công ty sẽ cung cấp thông tin về thông lệ chuyển dữ liệu của mình khi được yêu cầu.
Nếu Data Protection Authority của Khách hàng yêu cầu một bản sao SCCs hoặc DPA này, các bên đồng ý rằng Công ty có thể tiết lộ các tài liệu đó cho Authority trong phạm vi được yêu cầu.
Nếu có xung đột giữa bất kỳ phần nào của DPA này và SCCs (khi áp dụng theo Section 6 này), SCCs được ưu tiên đối với việc chuyển Dữ liệu cá nhân.
Xét đến bản chất của Dịch vụ và của việc xử lý, Công ty sẽ hỗ trợ Khách hàng, bằng các biện pháp kỹ thuật và tổ chức phù hợp và trong chừng mực có thể, để thực hiện nghĩa vụ của Khách hàng trong việc trả lời các yêu cầu của cá nhân nhằm thực hiện quyền của họ theo Data Protection Laws (chẳng hạn quyền truy cập, đính chính, xóa, hạn chế, phản đối hoặc chuyển dữ liệu, và khi áp dụng, các quyền do Federal Law No. 152-FZ quy định). Nếu Công ty trực tiếp nhận bất kỳ yêu cầu nào từ một cá nhân ("Data Subject Request") liên quan đến Dữ liệu cá nhân là Customer Personal Data, Công ty sẽ (i) kịp thời thông báo cho Khách hàng về yêu cầu đó, và (ii) không tự trả lời yêu cầu (trừ khi luật áp dụng yêu cầu, trong trường hợp đó Công ty sẽ thông báo cho Khách hàng về yêu cầu đó trước khi trả lời, trừ khi pháp luật cấm).
Trong phạm vi Khách hàng không thể tự xử lý một Data Subject Request thông qua việc dùng Dịch vụ, Công ty sẽ, khi Khách hàng yêu cầu, cung cấp hỗ trợ bổ sung hợp lý để tạo điều kiện cho Khách hàng trả lời Data Subject Request. Công ty sẽ cung cấp hỗ trợ đó kịp thời, có xét đến mọi thời hạn trả lời mà Data Protection Laws ấn định. Khách hàng chịu trách nhiệm về mọi chi phí hợp lý phát sinh từ việc Công ty cung cấp hỗ trợ đó, trong phạm vi pháp luật cho phép (ví dụ nếu công sức cần thiết là đáng kể và vượt quá chức năng thông thường của Dịch vụ).
Khi Khách hàng yêu cầu, Công ty sẽ hỗ trợ Khách hàng một cách hợp lý (với chi phí của Khách hàng) trong các đánh giá tác động bảo vệ dữ liệu ("DPIAs") cần thiết và các tham vấn trước với Supervisory Authority mà Khách hàng phải thực hiện theo GDPR Articles 35 và 36, trong mỗi trường hợp chỉ liên quan đến việc Công ty xử lý Customer Personal Data và có xét đến bản chất của việc xử lý cùng thông tin mà Công ty có. Công ty sẽ cung cấp thông tin liên quan từ các thông lệ quyền riêng tư và bảo mật của mình, và mọi thông tin cần thiết một cách hợp lý khác, trong phạm vi Khách hàng không có cách khác để tiếp cận thông tin đó (ví dụ qua tài liệu hoặc DPA này).
Công ty sẽ hợp tác với mọi yêu cầu hoặc câu hỏi hợp lý từ một Data Protection Supervisory Authority có thẩm quyền (kể cả, khi áp dụng, Russian Federal Service for Supervision of Communications, Information Technology and Mass Media (Roskomnadzor)) liên quan đến việc xử lý Customer Personal Data theo Thỏa thuận. Nếu bất kỳ Supervisory Authority hoặc cơ quan thực thi pháp luật nào yêu cầu Công ty cung cấp Customer Personal Data (ví dụ qua trát hoặc lệnh tòa), Công ty sẽ, trừ khi pháp luật cấm, thông báo cho Khách hàng về yêu cầu đó và hợp tác để xử lý (ví dụ bằng cách cung cấp dữ liệu cho Khách hàng để xuất trình, hoặc bằng cách phản đối về mặt pháp lý các yêu cầu quá rộng).
Công ty duy trì hồ sơ hoạt động xử lý của mình như các Data Protection Laws áp dụng yêu cầu, và sẽ cung cấp các hồ sơ đó cho cơ quan có thẩm quyền khi được yêu cầu.
Khi Khách hàng yêu cầu bằng văn bản trước ít nhất 30 ngày (không quá một lần mỗi năm và chịu nghĩa vụ bảo mật), Công ty sẽ cung cấp câu trả lời bằng văn bản và tài liệu mô tả các biện pháp bảo mật kỹ thuật và tổ chức của mình để chứng minh việc tuân thủ DPA này.
Công ty sẽ kịp thời thông báo cho Khách hàng nếu Công ty biết rằng chỉ dẫn của Khách hàng về việc xử lý Dữ liệu cá nhân xung đột với bất kỳ yêu cầu pháp lý nào mà Công ty phải tuân theo (trừ khi luật đó cấm thông báo). Trong trường hợp đó, Công ty có quyền ngừng tuân theo chỉ dẫn xung đột (mà không phải chịu trách nhiệm) khi xung đột chưa được giải quyết, hoặc sửa đổi việc xử lý theo chỉ dẫn một cách hợp lý khi cần để tuân thủ luật áp dụng, sau khi tham vấn Khách hàng.
(Xem Section 5.3 ở trên về nghĩa vụ thông báo sự cố.) Công ty sẽ ghi lại các sự kiện liên quan đến mọi Personal Data Breach, hậu quả của nó và các biện pháp khắc phục đã thực hiện, và sẽ cung cấp tài liệu đó cho Khách hàng khi được yêu cầu.
Các bên đồng ý rằng nghĩa vụ hỗ trợ của Công ty theo Section 7 và 8 (và ở nơi khác trong DPA này) được cung cấp trong phạm vi Khách hàng không có cách khác để tiếp cận thông tin hoặc năng lực liên quan thông qua Dịch vụ hoặc phương tiện khác, và trong phạm vi sự hỗ trợ đó cần thiết để Khách hàng tuân thủ Data Protection Laws. Mọi dịch vụ hoặc hỗ trợ bổ sung vượt quá chức năng tiêu chuẩn của Dịch vụ có thể chịu phí riêng.
Bất kể các quy định trái ngược trong DPA này, các bên xác nhận rằng đối với Company Account Data và Company Usage Data (như được định nghĩa tại Section 1 ở trên), Công ty sẽ đóng vai trò Controller độc lập đối với dữ liệu đó, tự quyết định mục đích và phương tiện xử lý, tách khỏi vai trò của Khách hàng. Nói cách khác, Công ty không đóng vai trò Processor khi xử lý Company Account Data và Company Usage Data, vì các nhóm dữ liệu này được Công ty dùng cho các hoạt động kinh doanh chính đáng liên quan đến việc cung cấp Dịch vụ và vận hành hoạt động của Công ty.
(ii) liên lạc với Khách hàng về Dịch vụ (thông báo dịch vụ, hỗ trợ, thông báo thanh toán, v.v.);
(iii) thực thi Thỏa thuận và điều tra, ngăn chặn gian lận, lạm dụng hoặc sự cố bảo mật;
(iv) tuân thủ nghĩa vụ pháp lý, chẳng hạn lưu hồ sơ, kiểm toán, thuế, và tuân thủ yêu cầu của cơ quan thực thi pháp luật; và
Công ty có thể xử lý Company Usage Data để phân tích và cải thiện chức năng cùng hiệu năng của Dịch vụ, phát triển tính năng mới, và bảo đảm an ninh cùng tính toàn vẹn của Dịch vụ. Khi xử lý với tư cách Controller, Công ty phải bảo đảm mình có cơ sở pháp lý hợp lệ cho việc xử lý đó và phải tuân thủ Data Protection Laws áp dụng về việc thông báo cho chủ thể dữ liệu và, khi được yêu cầu, về việc có được mọi sự đồng ý cần thiết.
Mọi Dữ liệu cá nhân mà Công ty xử lý với tư cách Controller sẽ được xử lý theo Chính sách quyền riêng tư của ReplyBuddy (có tại https://replybuddy.io/privacy-policy) chứ không theo DPA này. Công ty sẽ duy trì một thông báo quyền riêng tư có thể truy cập công khai, đáp ứng yêu cầu của Data Protection Laws đối với hoạt động xử lý với tư cách controller, và sẽ tôn trọng quyền của chủ thể dữ liệu đối với việc xử lý đó.
Để rõ ràng, Section 9 này không ảnh hưởng đến nghĩa vụ của Công ty đối với Khách hàng theo các quy định khác của DPA này về Customer Personal Data được xử lý với tư cách Processor thay mặt Khách hàng. Tư cách Controller độc lập của Công ty đối với một số dữ liệu hạn chế (Account Data và Usage Data) là riêng biệt và không làm giảm nghĩa vụ của Công ty với tư cách Processor đối với Customer Personal Data.
Khách hàng xác nhận rằng Dịch vụ dùng công nghệ trí tuệ nhân tạo và học máy thông qua API thương mại của các nhà cung cấp mô hình AI bên thứ ba (chẳng hạn DeepSeek, OpenRouter, OpenAI, xAI, MiniMax, Groq và các bên khác). Các công nghệ này được dùng để cung cấp phản hồi của tác nhân AI, tóm tắt hội thoại, nhận dạng giọng nói của tin nhắn thoại và các tính năng liên quan của Dịch vụ.
Khách hàng xác nhận rằng phản hồi và nội dung do AI tạo ra có thể chứa lỗi hoặc thông tin không chính xác do các hạn chế vốn có của công nghệ AI. Công ty nỗ lực cung cấp kết quả AI chính xác nhưng không thể bảo đảm tính đầy đủ, độ chính xác hoặc sự phù hợp của chúng cho bất kỳ mục đích cụ thể nào. Khách hàng chịu trách nhiệm rà soát và kiểm tra nội dung do AI tạo ra trước khi dùng hoặc công bố.
Các nhà cung cấp AI bên thứ ba được liệt kê trong Sub-Processor List (Exhibit B). Công ty có thể cập nhật nhà cung cấp AI khi công nghệ thay đổi, theo Section 4.3.
Nếu có bất kỳ xung đột hoặc không nhất quán nào giữa DPA này và bất kỳ thỏa thuận nào khác giữa các bên (gồm Thỏa thuận và Chính sách quyền riêng tư), các quy định của các tài liệu sau (ưu tiên cao nhất trước) sẽ được áp dụng: (1) Standard Contractual Clauses (nếu áp dụng); (2) DPA này; (3) Thỏa thuận; và (4) Chính sách quyền riêng tư. Bất kể những điều trên, các quy định của Thỏa thuận về trách nhiệm (gồm mọi loại trừ hoặc giới hạn trách nhiệm) sẽ áp dụng cho DPA này với cùng hiệu lực như thể chúng được nêu tại đây (nghĩa là mọi trách nhiệm phát sinh theo DPA này hoặc SCCs sẽ chịu cùng các giới hạn và loại trừ như trong Thỏa thuận). DPA này có bản tiếng Anh và tiếng Nga. Nếu các phiên bản khác nhau, phiên bản bằng ngôn ngữ mà Khách hàng đã chấp nhận tài liệu được ưu tiên.
Trừ khi Standard Contractual Clauses hoặc Data Protection Laws khác yêu cầu cách khác, DPA này được điều chỉnh bởi pháp luật của Cộng hòa Armenia, và các tranh chấp thuộc thẩm quyền của các tòa án tại Yerevan, Republic of Armenia.
DPA này có hiệu lực trong suốt thời gian Công ty xử lý Customer Personal Data, bất kể Thỏa thuận chấm dứt hoặc hết hạn, và tự động chấm dứt khi Công ty không còn xử lý Customer Personal Data. Section 3, 5, 8, 9, 10, 11, và mọi quy định khác mà theo bản chất cần tiếp tục hiệu lực, sẽ tiếp tục hiệu lực sau khi DPA này chấm dứt.
DPA này có thể được sửa bằng một bản sửa đổi bằng văn bản do cả hai bên ký hoặc theo cách Thỏa thuận quy định cho việc thay đổi Thỏa thuận; Sub-Processor List được cập nhật theo Section 4. Nếu bất kỳ quy định nào của DPA này bị coi là vô hiệu hoặc không có hiệu lực theo Data Protection Laws, các bên sẽ đàm phán thiện chí một quy định thay thế hợp lệ, hợp pháp và có thể thi hành, đạt được gần nhất ý định ban đầu.
Nếu bất kỳ quy định nào của DPA này bị cơ quan có thẩm quyền cho là không thể thi hành hoặc vô hiệu, quy định đó sẽ bị giới hạn hoặc loại bỏ ở mức tối thiểu cần thiết để phần còn lại của DPA này vẫn có đầy đủ hiệu lực và có thể thi hành.
Trừ khi được DPA này bổ sung, Thỏa thuận vẫn có đầy đủ hiệu lực. DPA này và Thỏa thuận (gồm mọi phụ lục hoặc tài liệu đính kèm) cấu thành toàn bộ thỏa thuận giữa các bên về vấn đề nêu tại đây và thay thế mọi tuyên bố, hiểu biết hoặc thỏa thuận trước đó, bằng văn bản hoặc bằng lời, về cùng vấn đề.
Khi ký hoặc chấp nhận Thỏa thuận, hoặc bất kỳ tài liệu nào đưa DPA này vào, người đại diện được ủy quyền của mỗi bên được coi là đã ký DPA này kể từ ngày Thỏa thuận có hiệu lực, và không cần chữ ký nào khác.
EXHIBIT A – Chi tiết xử lý Customer Personal Data
A. Đối tượng
Đối tượng của việc xử lý là việc cung cấp ReplyBuddy Platform và các dịch vụ liên quan cho Khách hàng, như mô tả trong Thỏa thuận. Việc này gồm tác nhân AI và giao tiếp khách hàng tự động trên các nền tảng nhắn tin và mạng xã hội (chẳng hạn Telegram, Instagram, Avito, MAX, VK và các kênh được hỗ trợ khác), quản lý giao dịch CRM và chiến dịch gửi tin cho mục đích kinh doanh của Khách hàng, và việc xử lý Dữ liệu cá nhân liên quan khi cần để cung cấp các dịch vụ đó.
B. Thời hạn xử lý
Công ty sẽ xử lý Customer Personal Data trong thời hạn của Thỏa thuận, cho đến khi xóa toàn bộ Customer Personal Data như mô tả tại Section 2.6 của DPA. Một số dữ liệu có thể được giữ trong một thời gian giới hạn sau khi chấm dứt, chỉ khi cần cho mục đích pháp lý, tuân thủ hoặc sao lưu, sau đó sẽ được xóa hoặc ẩn danh. Theo mặc định, dữ liệu cá nhân chỉ được giữ trong thời gian cần thiết để thực hiện các mục đích xử lý và tuân thủ nghĩa vụ pháp lý, và Khách hàng có thể yêu cầu xóa một số dữ liệu bất kỳ lúc nào.
C. Bản chất và mục đích xử lý
Thu thập và nhận dữ liệu: nhận tin nhắn, bình luận và yêu cầu từ người dùng cuối của Khách hàng qua Telegram, Instagram, Avito, MAX, VK và các nền tảng tích hợp khác thay mặt Khách hàng; nhập thông tin liên hệ và hồ sơ mạng xã hội.
Lưu trữ và sắp xếp dữ liệu: lưu bản ghi hội thoại, nhật ký chat, bản nháp nội dung và dữ liệu liên quan trong cơ sở dữ liệu để Khách hàng truy cập và xem xét; duy trì hồ sơ tương tác và nội dung đã xuất bản.
Phân tích và trả lời: dùng xử lý ngôn ngữ tự nhiên và mô hình AI (qua API thương mại của các nhà cung cấp AI được liệt kê tại Exhibit B) để phân tích tin nhắn đến, chuyển tin nhắn thoại thành văn bản và tạo phản hồi tự động theo kịch bản và chỉ dẫn AI do Khách hàng xác định; việc này có thể gồm truyền nội dung văn bản tới dịch vụ AI để xử lý và hiểu nội dung.
Tạo nội dung: dùng mô hình AI để tạo, sửa và tối ưu tin nhắn và nội dung chiến dịch gửi tin theo chỉ dẫn và sở thích của Khách hàng.
Giao tiếp: gửi phản hồi, thông báo hoặc tin nhắn tự động tới người dùng cuối theo chỉ dẫn của Khách hàng qua các nền tảng nhắn tin và mạng xã hội (và qua điện thoại, nếu Khách hàng dùng tính năng điện thoại), điều này đòi hỏi dùng thông tin liên hệ của người dùng cuối thông qua API của nền tảng.
Hỗ trợ và cải thiện: theo dõi hiệu năng của hội thoại AI và nội dung, và khi được ủy quyền, dùng dữ liệu tương tác để cải thiện độ chính xác của phản hồi và chất lượng Dịch vụ theo thời gian. Công ty cũng có thể xử lý dữ liệu khi cần để hỗ trợ khách hàng cho Khách hàng. Nhân sự được ủy quyền của Công ty, cũng như các công cụ chẩn đoán tự động của Công ty, chỉ có thể truy cập tài khoản, cài đặt tác nhân và các hội thoại do Dịch vụ xử lý của Khách hàng trong phạm vi cần thiết cho chẩn đoán kỹ thuật và xử lý sự cố, trả lời yêu cầu hỗ trợ của Khách hàng, điều tra sự cố bảo mật và vi phạm Thỏa thuận, và tuân thủ yêu cầu pháp lý.
Xóa và trả lại: xóa hoặc trả lại Dữ liệu cá nhân khi Khách hàng yêu cầu hoặc khi chấm dứt, như mô tả trong DPA.
Mọi việc xử lý được thực hiện thay mặt Khách hàng nhằm cung cấp Dịch vụ và đáp ứng nhu cầu kinh doanh chính đáng của Khách hàng trong việc quản lý giao tiếp với người dùng cuối và tạo/xuất bản nội dung, theo chỉ dẫn thêm của Khách hàng khi dùng Platform.
D. Các loại dữ liệu cá nhân
Dữ liệu nhận dạng và liên hệ: tên, tên người dùng, tên hiển thị trên mạng xã hội của người dùng cuối, và có thể là địa chỉ email hoặc chi tiết liên hệ khác nếu được cung cấp.
Nội dung trao đổi: nội dung tin nhắn do người dùng cuối gửi qua các nền tảng mạng xã hội, bản ghi chat, bình luận, và phương tiện nếu được chia sẻ trong hội thoại.
Dữ liệu thoại và cuộc gọi: tin nhắn thoại và, nếu Khách hàng dùng tính năng điện thoại, số điện thoại, âm thanh cuộc gọi và bản ghi cuộc gọi.
Dữ liệu hồ sơ mạng xã hội: thông tin hồ sơ công khai từ các tài khoản mạng xã hội đã kết nối.
Dữ liệu nội dung: bản nháp, bài đã xuất bản, hình ảnh, video và nội dung khác được tạo hoặc quản lý qua Dịch vụ.
Thông tin kinh doanh do Khách hàng cung cấp: thông tin về doanh nghiệp, sản phẩm và dịch vụ của Khách hàng mà Khách hàng nhập vào Platform để tạo phản hồi và nội dung bằng AI.
Dữ liệu kỹ thuật: siêu dữ liệu như dấu thời gian tin nhắn, mã định danh nền tảng và nhật ký sử dụng chung.
Công ty không cố ý thu thập hoặc yêu cầu bất kỳ nhóm dữ liệu cá nhân đặc biệt nào (ví dụ dữ liệu nhạy cảm như sức khỏe, sinh trắc, số tài khoản tài chính, v.v.) để cung cấp Dịch vụ, và Khách hàng được chỉ dẫn không dùng Dịch vụ để thu hút hoặc thu thập dữ liệu đó.
E. Nhóm chủ thể dữ liệu
Người dùng cuối, người theo dõi, khách tiềm năng hoặc khách hàng của Khách hàng: các cá nhân tương tác với Khách hàng qua các nền tảng mạng xã hội và có trao đổi được xử lý qua ReplyBuddy Platform.
Nhân sự hoặc đại lý của Khách hàng (ở mức hạn chế): các cá nhân được Khách hàng ủy quyền dùng ReplyBuddy Platform hoặc có thể được nhắc tới trong nội dung hoặc hội thoại.
Bên thứ ba: trong phạm vi thông tin cá nhân của bất kỳ bên thứ ba nào được người dùng cuối chia sẻ trong hội thoại hoặc xuất hiện trong nội dung.
F. Nhóm dữ liệu đặc biệt
Công ty không cố ý xử lý bất kỳ nhóm Dữ liệu cá nhân đặc biệt nào (như được định nghĩa tại GDPR Art. 9 và Article 10 của Federal Law No. 152-FZ), dữ liệu cá nhân sinh trắc, hoặc dữ liệu liên quan đến kết án hình sự (GDPR Art. 10) như một phần của Dịch vụ. Dịch vụ không được thiết kế để thu thập hoặc xử lý dữ liệu cá nhân nhạy cảm, và Khách hàng đồng ý không chủ động thu hút dữ liệu đó qua nền tảng.
G. Tần suất xử lý
Liên tục hoặc đang diễn ra: Customer Personal Data sẽ được xử lý trên cơ sở liên tục, theo thời gian thực trong thời hạn của Thỏa thuận bất cứ khi nào người dùng cuối tương tác với Dịch vụ hoặc khi Khách hàng dùng Platform, và cho các hoạt động thường xuyên như lưu trữ và sao lưu dữ liệu, cho đến khi xóa theo DPA.
H. Nơi xử lý
Customer Personal Data được lưu trữ chủ yếu trên máy chủ ứng dụng và cơ sở dữ liệu của Công ty do Hostinger lưu trữ tại Lithuania (Liên minh châu Âu). Các tệp và phương tiện đã tải lên và đã nhận, cũng như bản sao lưu cơ sở dữ liệu, được lưu trong lưu trữ đối tượng Cloudflare R2. Trong quá trình cung cấp Dịch vụ, dữ liệu cũng được các Authorized Sub-Processor liệt kê tại Exhibit B xử lý, gồm các Sub-Processor thành lập tại Hoa Kỳ (ví dụ Supabase, Cloudflare, OpenAI, OpenRouter, xAI, Anthropic, Groq, Grafana Labs, Anysphere (Cursor) và Resend), DeepSeek, đơn vị xử lý dữ liệu tại Trung Quốc, và Resend, có khu vực gửi email là Nhật Bản. Các nền tảng nhắn tin do Khách hàng kết nối xử lý dữ liệu tại khu vực pháp lý của chính họ, và các khoản thanh toán bằng rúp Nga do CloudPayments xử lý tại Liên bang Nga. Công ty được thành lập tại Armenia, và nhân sự của Công ty có thể truy cập dữ liệu từ Armenia. Mọi việc xử lý đó chịu các biện pháp bảo vệ việc chuyển được mô tả tại Section 6 của DPA.
EXHIBIT B – EU/UK Standard Contractual Clauses: các bên và mô tả việc chuyển
Exhibit này là một phần của DPA và gồm các quy định được chọn mà Annex I của EU SCCs cùng Table 1 và Annex 1A/1B của UK Addendum yêu cầu.
Name: Tổ chức Khách hàng là một bên của Thỏa thuận (như được định nghĩa tại đó).
Address: Địa chỉ kinh doanh của Khách hàng như nêu trong Thỏa thuận hoặc trong chi tiết tài khoản khách hàng.
Contact Person & Contact Details: Chi tiết liên hệ của người đại diện Khách hàng về vấn đề bảo vệ dữ liệu là chi tiết nêu trong tài khoản của Khách hàng hoặc được cung cấp bằng văn bản cho mục đích thông báo.
Role: Data Controller (hoặc Processor thay mặt một Controller, tùy trường hợp)
Signature & Date: Khi giao kết Thỏa thuận và DPA này, Khách hàng được coi là đã ký các SCCs này kể từ ngày Thỏa thuận có hiệu lực.
Name: PRIME RADIANT LLC (vận hành dịch vụ "ReplyBuddy", Reg. No. 286.110.1498160, TIN 02938343).
Address: 26a Movses Khorenatsi St, Office 210, Yerevan 0010, Republic of Armenia
Contact Person & Contact Details: ReplyBuddy Data Protection Contact, email: support@replybuddy.io.
Activities relevant to the data transferred: Việc cung cấp ReplyBuddy Services, như mô tả trong Thỏa thuận và Exhibit A (tác nhân AI và giao tiếp khách hàng tự động, CRM, chiến dịch gửi tin, và xử lý dữ liệu liên quan thay mặt Khách hàng).
Role: Data Processor (hoặc sub-Processor, tùy trường hợp – xem Section 2 của DPA về chi tiết vai trò).
Signature & Date: Khi giao kết Thỏa thuận và DPA này, PRIME RADIANT LLC được coi là đã ký các SCCs này kể từ ngày Thỏa thuận có hiệu lực.
Categories of Data Subjects: Như chi tiết tại Exhibit A, Section E, các chủ thể dữ liệu gồm người dùng cuối của Khách hàng (người theo dõi, khách tiềm năng, lead hoặc khách hàng) giao tiếp qua Dịch vụ, và bất kỳ cá nhân nào khác có Dữ liệu cá nhân được nộp qua Dịch vụ.
Categories of Personal Data: Như chi tiết tại Exhibit A, Section D, dữ liệu cá nhân được chuyển có thể gồm thông tin liên hệ (tên, tên người dùng, tên hiển thị trên mạng xã hội, v.v.), nội dung tin nhắn và bản ghi hội thoại, bản nháp nội dung và tài liệu đã xuất bản, cùng dữ liệu trao đổi khác. Không có dữ liệu thuộc nhóm đặc biệt nào được cố ý xử lý.
Sensitive Data: Không áp dụng. Các bên không có ý định chuyển các nhóm dữ liệu đặc biệt.
Frequency of Transfer: Dữ liệu cá nhân được chuyển trên cơ sở liên tục, đang diễn ra trong thời hạn của Thỏa thuận, bất cứ khi nào người dùng cuối tương tác với Dịch vụ hoặc khi cần theo cách khác để cung cấp Dịch vụ.
Nature of Processing: Xem Exhibit A, Section C. Việc xử lý gồm thu thập tự động, phân tích (dùng thuật toán AI để hiểu ngôn ngữ tự nhiên và tạo nội dung), truyền và lưu trữ các cuộc trao đổi và nội dung thay mặt Khách hàng.
Purpose of Processing: Để Khách hàng tự động hóa và quản lý giao tiếp với khách hàng trên các nền tảng nhắn tin và mạng xã hội cùng các chiến dịch gửi tin, phục vụ gắn kết khách hàng, quản lý khách tiềm năng, và các mục đích khác do Khách hàng chỉ định.
Duration of Processing: Trong thời hạn của Thỏa thuận và cho đến khi Công ty xóa Dữ liệu cá nhân theo DPA.
Retention Period (or criteria): Công ty chỉ giữ Dữ liệu cá nhân trong thời gian cần thiết để thực hiện các mục đích xử lý và tuân thủ nghĩa vụ pháp lý.
Transfers to Sub-Processors: Dữ liệu cá nhân có thể được chuyển tiếp tới các Authorized Sub-Processor khi cần cho các mục đích trên, phù hợp với danh sách Sub-Processor đã cung cấp.
Đối với việc chuyển dữ liệu từ UK, Information Commissioner's Office (ICO) sẽ là cơ quan liên quan. Đối với việc chuyển dữ liệu từ Switzerland, Federal Data Protection and Information Commissioner (FDPIC) sẽ là cơ quan liên quan.
Các dịch vụ bên thứ ba mà Khách hàng tự kết nối (ví dụ lịch, hệ thống CRM hoặc endpoint API tùy chỉnh) xử lý dữ liệu theo chỉ dẫn của Khách hàng và không phải Sub-Processor của Công ty.
Các bên đồng ý rằng danh sách này sẽ được Công ty duy trì và cập nhật theo DPA. Khách hàng đồng ý với các sub-processor được liệt kê tại đây tính đến ngày có hiệu lực, và mọi cập nhật sẽ được quản lý theo Section 4 của DPA.
EXHIBIT C – Biện pháp bảo mật kỹ thuật và tổ chức
Phần sau mô tả các biện pháp bảo mật kỹ thuật và tổ chức do Công ty (PRIME RADIANT LLC / ReplyBuddy) triển khai với tư cách Data Importer, như Annex II của EU SCCs và Data Protection Laws áp dụng yêu cầu.
Mã hóa khi truyền: Giao tiếp mạng với Dịch vụ được mã hóa khi truyền bằng TLS.
Kiểm soát truy cập: Quyền truy cập các hệ thống production lưu trữ hoặc xử lý Dữ liệu cá nhân được giới hạn cho nhân sự được ủy quyền.
Sao lưu: Cơ sở dữ liệu được sao lưu hằng ngày lên lưu trữ đối tượng Cloudflare R2, nơi bản sao lưu được nhà cung cấp lưu trữ mã hóa khi lưu trữ. Bản sao lưu được lưu giữ trong 30 ngày.
Ghi nhật ký và giám sát: Nhật ký ứng dụng, số liệu và trace được thu thập và giám sát bằng Grafana.
Cập nhật phần mềm: Công ty cài đặt các bản cập nhật phần mềm cho các hệ thống dùng để cung cấp Dịch vụ.
Biện pháp theo Federal Law No. 152-FZ: Khi Russian Federal Law No. 152-FZ áp dụng, Công ty thực hiện các biện pháp mà Article 19 của luật đó yêu cầu.
Ghi nhận sự cố: Công ty ghi lại các Personal Data Breach, hậu quả của chúng và các biện pháp khắc phục đã thực hiện.
EXHIBIT D – Phụ lục UK GDPR (UK International Data Transfer Addendum)
Exhibit D này chỉ áp dụng trong phạm vi UK GDPR điều chỉnh việc chuyển Dữ liệu cá nhân theo Thỏa thuận. Exhibit nêu thông tin mà UK Addendum đối với EU SCCs, do UK Information Commissioner's Office (ICO) ban hành, yêu cầu.
Table 1: Parties – Danh tính và chi tiết liên hệ của "Exporter" (Customer) và "Importer" (Company) như nêu tại Exhibit B, Section 1 ở trên.
Table 2: Selected SCCs, Modules, and Clauses – UK Addendum áp dụng cùng với EU SCCs được dẫn chiếu tại Section 6.2 của DPA. Module Two hoặc Module Three (tùy trường hợp) được áp dụng.
Table 3: Appendix Information – Xem Exhibit B và Exhibit C của DPA này.
Table 4: Ending the UK Addendum – Không bên nào được đơn phương chấm dứt UK Addendum theo Section 19 của UK Addendum.
UK Addendum theo đây được đưa vào DPA này và Thỏa thuận.
Công ty trách nhiệm hữu hạn đăng ký tại Cộng hòa Armenia
Registration No.: 286.110.1498160 · TIN (ՀՎՀՀ): 02938343
Trụ sở đăng ký: 26a Movses Khorenatsi St, Office 210
Yerevan 0010, Republic of Armenia
Email: support@replybuddy.io
Website: https://replybuddy.io