Thỏa thuận xử lý dữ liệu của QR Code AI

THỎA THUẬN XỬ LÝ DỮ LIỆU (DPA)

Cập nhật lần cuối: ngày 2 tháng 3 năm 2026

Thỏa thuận xử lý dữ liệu này ("DPA") là một phần của Điều khoản dịch vụ ("Thỏa thuận") giữa Supernovae, công ty đăng ký tại Pháp ở địa chỉ 27 Rue Wurtz, Juvisy-sur-Orge 91260, mã số thuế giá trị gia tăng FR67948452891 ("Bên xử lý", "chúng tôi"), và chủ thể đồng ý với DPA này ("Bên kiểm soát", "bạn"), gọi chung là "Các bên".

DPA này áp dụng khi chúng tôi thay mặt bạn xử lý dữ liệu cá nhân liên quan đến dịch vụ QR Code AI, bao gồm dịch vụ qua API.

1. ĐỊNH NGHĨA

• "Dữ liệu cá nhân" là mọi thông tin liên quan đến một cá nhân đã được xác định hoặc có thể xác định danh tính, theo định nghĩa tại Điều 4(1) GDPR.
• "Xử lý" là bất kỳ thao tác hoặc tập hợp thao tác nào được thực hiện đối với Dữ liệu cá nhân, theo định nghĩa tại Điều 4(2) GDPR.
• "Chủ thể dữ liệu" là cá nhân đã được xác định hoặc có thể xác định danh tính mà Dữ liệu cá nhân liên quan đến.
• "Nhà xử lý phụ" là bất kỳ bên thứ ba nào được Bên xử lý thuê để xử lý Dữ liệu cá nhân thay mặt Bên kiểm soát.
• "GDPR" là Quy định (EU) 2016/679 của Nghị viện Châu Âu và Hội đồng.
• "GDPR của Vương quốc Anh" là Quy định chung về bảo vệ dữ liệu của Vương quốc Anh, được áp dụng trong pháp luật Vương quốc Anh và được đọc cùng Đạo luật Bảo vệ dữ liệu năm 2018.
• "SCC" là các Điều khoản hợp đồng tiêu chuẩn được Ủy ban Châu Âu phê duyệt để chuyển Dữ liệu cá nhân sang các nước thứ ba.
• "Vi phạm dữ liệu" là vi phạm an ninh dẫn đến việc vô tình hoặc trái pháp luật phá hủy, làm mất, thay đổi, tiết lộ trái phép hoặc truy cập trái phép Dữ liệu cá nhân.

2. PHẠM VI VÀ VAI TRÒ

2.1 Bên kiểm soát và Bên xử lý

Trong DPA này:

• Bạn (Bên kiểm soát): Bạn quyết định mục đích và phương thức xử lý Dữ liệu cá nhân khi sử dụng Dịch vụ của chúng tôi, đặc biệt khi dùng API để tạo mã QR cho khách hàng của mình hoặc tích hợp Dịch vụ của chúng tôi vào sản phẩm của bạn.
• Chúng tôi (Bên xử lý): Chúng tôi xử lý Dữ liệu cá nhân thay mặt bạn theo chỉ dẫn của bạn, như mô tả trong DPA này và Thỏa thuận.

2.2 Các trường hợp áp dụng DPA này

DPA này áp dụng khi:

• Bạn sử dụng API QR Code AI để tạo mã QR xử lý dữ liệu của người dùng cuối, chẳng hạn URL chứa thông tin cá nhân, dữ liệu vCard hoặc thông tin liên hệ được mã hóa trong mã QR.
• Bạn sử dụng các tính năng theo dõi và phân tích của QR Code AI để thu thập dữ liệu quét từ người dùng cuối.
• Trong bất kỳ trường hợp nào khác mà chúng tôi xử lý Dữ liệu cá nhân thay mặt bạn với tư cách là bên xử lý dữ liệu.

Khi bạn sử dụng QR Code AI với tư cách người dùng cá nhân cho mục đích riêng, chúng tôi hoạt động như bên kiểm soát dữ liệu độc lập và việc xử lý dữ liệu chịu sự điều chỉnh của Chính sách bảo mật của chúng tôi.

3. CHI TIẾT XỬ LÝ DỮ LIỆU

3.1 Đối tượng và thời hạn

Chúng tôi xử lý Dữ liệu cá nhân trong thời hạn của Thỏa thuận để cung cấp dịch vụ QR Code AI, bao gồm tạo mã QR, theo dõi, phân tích và các chức năng liên quan.

3.2 Tính chất và mục đích xử lý

• Tạo mã QR dựa trên dữ liệu đầu vào do Bên kiểm soát cung cấp
• Theo dõi lượt quét mã QR và thu thập dữ liệu phân tích
• Lưu trữ cấu hình mã QR và siêu dữ liệu liên quan
• Xử lý yêu cầu tạo mã QR nghệ thuật bằng AI
• Cung cấp báo cáo và bảng điều khiển phân tích

3.3 Các loại Dữ liệu cá nhân

Các loại Dữ liệu cá nhân được xử lý có thể bao gồm:

• Thông tin liên hệ (tên, địa chỉ email, số điện thoại) được mã hóa trong mã QR
• URL và địa chỉ web
• Dữ liệu vị trí từ lượt quét mã QR
• Thông tin thiết bị và địa chỉ IP từ lượt quét mã QR
• Câu lệnh văn bản và hình ảnh được cung cấp để tạo mã QR bằng AI
• Bất kỳ dữ liệu nào khác mà Bên kiểm soát chọn mã hóa trong mã QR

3.4 Các nhóm Chủ thể dữ liệu

• Người dùng cuối quét mã QR do Bên kiểm soát tạo
• Cá nhân có thông tin liên hệ được mã hóa trong mã QR
• Người dùng sản phẩm hoặc dịch vụ của Bên kiểm soát tương tác với mã QR

4. NGHĨA VỤ CỦA BÊN XỬ LÝ

4.1 Chỉ dẫn xử lý

Chúng tôi chỉ xử lý Dữ liệu cá nhân theo chỉ dẫn được ghi nhận của bạn, trừ khi pháp luật EU hoặc quốc gia thành viên mà chúng tôi chịu sự điều chỉnh yêu cầu xử lý. Trong trường hợp đó, chúng tôi sẽ thông báo cho bạn về yêu cầu pháp lý trước khi xử lý, trừ khi pháp luật cấm thông báo vì lý do quan trọng liên quan đến lợi ích công cộng.

Chúng tôi sẽ thông báo ngay cho bạn nếu, theo nhận định của chúng tôi, một chỉ dẫn vi phạm GDPR hoặc các quy định bảo vệ dữ liệu khác của EU hoặc quốc gia thành viên đang áp dụng.

4.2 Bảo mật thông tin

Chúng tôi bảo đảm những người được phép xử lý Dữ liệu cá nhân đã cam kết giữ bí mật hoặc chịu nghĩa vụ bảo mật phù hợp theo luật định.

4.3 Biện pháp bảo vệ

Chúng tôi thực hiện các biện pháp kỹ thuật và tổ chức phù hợp để bảo đảm mức độ an toàn tương xứng với rủi ro, bao gồm:

• Mã hóa Dữ liệu cá nhân khi truyền tải (TLS/HTTPS) và mã hóa thông tin nhạy cảm khi lưu trữ
• Kiểm soát truy cập và xác thực dựa trên vai trò cho các hệ thống nội bộ
• Đánh giá an ninh và quét lỗ hổng thường xuyên
• Hạ tầng do Scaleway và DigitalOcean lưu trữ, với các biện pháp an ninh và tuân thủ phụ thuộc vào nhà cung cấp và dịch vụ lưu trữ
• Bảo vệ chống DDoS và tường lửa ứng dụng web (Cloudflare)
• Sao lưu định kỳ với vùng lưu trữ được mã hóa
• Ghi nhật ký và giám sát truy cập Dữ liệu cá nhân

4.4 Nhà xử lý phụ

Chúng tôi sử dụng các nhà xử lý phụ trong trang Nhà xử lý phụ. Chúng tôi sẽ chủ động thông báo bằng văn bản cho bạn về mọi dự định bổ sung hoặc thay thế nhà xử lý phụ, để bạn có 30 ngày kể từ thông báo đó để phản đối trước khi thay đổi có hiệu lực. Bạn có thể phản đối bằng cách liên hệ [email protected] trong thời hạn này. Nếu bạn phản đối và chúng tôi không thể đáp ứng một cách hợp lý ý kiến phản đối của bạn, một trong hai bên có thể chấm dứt phần Dịch vụ bị ảnh hưởng.

Chúng tôi chỉ thuê nhà xử lý phụ xử lý Dữ liệu cá nhân thay mặt bạn theo hợp đồng bằng văn bản, bao gồm các điều khoản điện tử áp dụng, quy định các nghĩa vụ bảo vệ dữ liệu theo Điều 28(4) GDPR. Chúng tôi tiếp tục chịu trách nhiệm đối với các nhà xử lý phụ theo yêu cầu của Điều đó.

4.5 Quyền của Chủ thể dữ liệu

Chúng tôi sẽ hỗ trợ bạn trả lời các yêu cầu của Chủ thể dữ liệu khi họ thực hiện quyền theo pháp luật bảo vệ dữ liệu áp dụng (truy cập, chỉnh sửa, xóa, hạn chế xử lý, chuyển dữ liệu, phản đối). Nếu nhận yêu cầu trực tiếp từ Chủ thể dữ liệu, chúng tôi sẽ kịp thời hướng dẫn họ liên hệ với bạn, trừ khi được chỉ dẫn khác.

4.6 Hỗ trợ tuân thủ

Chúng tôi sẽ hỗ trợ bạn bảo đảm tuân thủ các nghĩa vụ theo Điều 32 đến Điều 36 GDPR, có tính đến tính chất xử lý và thông tin chúng tôi có sẵn.

5. THÔNG BÁO VI PHẠM DỮ LIỆU

5.1 Thời hạn thông báo

Chúng tôi sẽ thông báo cho bạn về Vi phạm dữ liệu mà không chậm trễ một cách không chính đáng và trong mọi trường hợp không quá 72 giờ kể từ khi biết về vi phạm. Thông báo sẽ được gửi tới địa chỉ email liên kết với tài khoản của bạn.

5.2 Nội dung thông báo

Trong phạm vi thông tin có sẵn, thông báo sẽ bao gồm:

• Mô tả tính chất của Vi phạm dữ liệu, bao gồm các nhóm và số lượng gần đúng của Chủ thể dữ liệu và bản ghi bị ảnh hưởng.
• Tên và thông tin liên hệ của đầu mối bảo vệ dữ liệu của chúng tôi.
• Mô tả những hậu quả có thể xảy ra của Vi phạm dữ liệu.
• Mô tả các biện pháp đã thực hiện hoặc đề xuất để xử lý Vi phạm dữ liệu, bao gồm biện pháp giảm thiểu tác động bất lợi có thể xảy ra.

5.3 Hợp tác liên tục

Chúng tôi sẽ hợp tác và hỗ trợ hợp lý cho bạn trong việc điều tra, giảm thiểu và khắc phục Vi phạm dữ liệu, cũng như thực hiện các thông báo mà bạn có nghĩa vụ gửi cho cơ quan giám sát hoặc Chủ thể dữ liệu.

6. CHUYỂN DỮ LIỆU QUỐC TẾ

6.1 Vị trí dữ liệu

Dữ liệu cá nhân chủ yếu được lưu trữ và xử lý trong Liên minh Châu Âu:

• Pháp (EU) thông qua Scaleway
• Hà Lan (EU) thông qua DigitalOcean

6.2 Chuyển dữ liệu ra ngoài EU/EEA

Một số nhà xử lý phụ của chúng tôi nằm ngoài EU/Khu vực Kinh tế Châu Âu (EEA), chủ yếu tại Hoa Kỳ. Đối với các hoạt động chuyển dữ liệu này, chúng tôi dựa vào:

• Khung bảo vệ quyền riêng tư dữ liệu EU–Hoa Kỳ: Khi áp dụng, đối với việc chuyển dữ liệu cho nhà cung cấp có trụ sở tại Hoa Kỳ được chứng nhận theo khung này.
• Điều khoản hợp đồng tiêu chuẩn (SCC): Chúng tôi đưa SCC do Ủy ban Châu Âu phê duyệt (Quyết định thực thi của Ủy ban (EU) 2021/914) vào thỏa thuận với các nhà xử lý phụ nằm ngoài EU/EEA khi Khung bảo vệ quyền riêng tư dữ liệu không áp dụng.

6.3 Đánh giá tác động chuyển dữ liệu

Chúng tôi đánh giá tác động của việc chuyển dữ liệu sang các nước thứ ba và thực hiện biện pháp bổ sung khi cần thiết để bảo đảm mức độ bảo vệ dữ liệu phù hợp.

7. KIỂM TOÁN VÀ KIỂM TRA

7.1 Quyền kiểm toán

Bạn có quyền kiểm toán việc chúng tôi tuân thủ DPA này. Chúng tôi sẽ cung cấp mọi thông tin cần thiết để chứng minh sự tuân thủ, đồng thời cho phép và hỗ trợ các cuộc kiểm toán, bao gồm kiểm tra, do bạn hoặc kiểm toán viên do bạn chỉ định thực hiện.

7.2 Quy trình kiểm toán

Các quy định sau chỉ áp dụng cho kiểm toán trong phạm vi không hạn chế quyền hoặc nghĩa vụ theo pháp luật bảo vệ dữ liệu áp dụng:

• Bạn phải gửi thông báo bằng văn bản ít nhất 30 ngày trước mỗi cuộc kiểm toán.
• Kiểm toán được thực hiện không quá một lần mỗi năm, trừ khi cơ quan giám sát yêu cầu hoặc sau khi xảy ra Vi phạm dữ liệu.
• Kiểm toán phải được tiến hành trong giờ làm việc bình thường và không được gây cản trở bất hợp lý cho hoạt động của chúng tôi.
• Bạn chịu chi phí kiểm toán, trừ khi cuộc kiểm toán phát hiện vi phạm nghiêm trọng DPA này.
• Thông tin mật của các khách hàng khác không được tiết lộ trong quá trình kiểm toán.

8. LƯU GIỮ VÀ XÓA DỮ LIỆU

8.1 Trong thời hạn Thỏa thuận

Chúng tôi lưu giữ Dữ liệu cá nhân trong thời hạn Thỏa thuận ở mức cần thiết để cung cấp Dịch vụ.

8.2 Khi chấm dứt

Khi Thỏa thuận chấm dứt hoặc khi bạn yêu cầu bằng văn bản:

• Theo lựa chọn của bạn, trong vòng 30 ngày, chúng tôi sẽ xóa Dữ liệu cá nhân hoặc trả lại cho bạn và xóa các bản sao còn lại khỏi hệ thống đang hoạt động của chúng tôi.
• Dữ liệu cá nhân trong kho lưu trữ sao lưu sẽ được xóa trong vòng 6 tháng. Cho đến thời điểm đó, dữ liệu vẫn được bảo vệ và không được sử dụng cho mục đích khác, trừ khi pháp luật áp dụng yêu cầu khác.
• Chúng tôi có thể giữ lại Dữ liệu cá nhân trong phạm vi pháp luật áp dụng yêu cầu, chẳng hạn nghĩa vụ thuế hoặc kế toán. Khi đó, chúng tôi sẽ tách biệt, bảo vệ dữ liệu và giới hạn việc xử lý tiếp theo ở mức pháp luật yêu cầu.

8.3 Xác nhận

Theo yêu cầu của bạn, chúng tôi sẽ cung cấp xác nhận bằng văn bản rằng Dữ liệu cá nhân đã được xóa theo mục này.

9. TRÁCH NHIỆM

Trách nhiệm của mỗi bên theo DPA này chịu các giới hạn trách nhiệm quy định trong Thỏa thuận. Không nội dung nào của DPA này hạn chế trách nhiệm của bất kỳ bên nào đối với Chủ thể dữ liệu hoặc cơ quan giám sát theo pháp luật bảo vệ dữ liệu áp dụng.

10. LUẬT ĐIỀU CHỈNH

DPA này chịu sự điều chỉnh của pháp luật Pháp. GDPR và GDPR của Vương quốc Anh áp dụng trong phạm vi hoạt động xử lý thuộc phạm vi pháp lý tương ứng của từng văn bản. Mọi tranh chấp phát sinh từ DPA này sẽ được giải quyết theo các điều khoản giải quyết tranh chấp của Thỏa thuận.

11. CÁCH CHẤP THUẬN DPA NÀY

DPA này được đưa vào và là một phần của Điều khoản dịch vụ. Khi sử dụng Dịch vụ QR Code AI, bạn đồng ý với DPA này.

Nếu cần bản DPA được ký riêng để lưu hồ sơ, hãy liên hệ [email protected]. Chúng tôi sẽ cung cấp trong vòng 10 ngày làm việc.

12. LIÊN HỆ

Nếu có câu hỏi về DPA này hoặc hoạt động xử lý dữ liệu của chúng tôi, hãy liên hệ:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 Pháp [email protected]