Thỏa thuận xử lý dữ liệu (DPA)
Effective date:
Phụ lục xử lý dữ liệu (DPA) này được ký kết theo Điều 28 của Quy định (EU) 2016/679 (GDPR) như một phụ lục bảo vệ dữ liệu cho thỏa thuận của bạn với PDFLean: bạn, với tư cách bộ điều khiển dữ liệu, quyết định mục đích và phương thức xử lý; PDFLean, với tư cách bộ xử lý dữ liệu, chỉ thực hiện xử lý đám mây theo chỉ dẫn bằng văn bản của bạn và không bao giờ dùng dữ liệu khách hàng cho hoạt động marketing, lập hồ sơ hay huấn luyện mô hình của riêng mình. Khi dùng các công cụ WASM cục bộ trên trình duyệt, tệp không bao giờ rời khỏi thiết bị của bạn và không phát sinh quan hệ ủy quyền xử lý nào theo DPA này.
1. Phạm vi & hiệu lực ưu tiên của Thỏa thuận
DPA này áp dụng cho việc xử lý dữ liệu cá nhân do khách hàng gửi hoặc được tạo ra thay mặt khách hàng thông qua các dịch vụ điện toán đám mây của PDFLean. Các công cụ cục bộ hoạt động phía máy khách bằng WebAssembly mà không truyền tệp tới hạ tầng của PDFLean không tạo ra quan hệ bộ xử lý, và DPA này không áp dụng cho chúng. Nếu có xung đột giữa DPA này và Điều khoản Dịch vụ chung, DPA này sẽ được ưu tiên áp dụng về quyền riêng tư và bảo vệ dữ liệu.
2. Vai trò Bộ điều khiển & Bộ xử lý
Theo luật bảo vệ dữ liệu hiện hành, khách hàng đóng vai trò Bộ điều khiển Dữ liệu và PDFLean đóng vai trò Bộ xử lý Dữ liệu. PDFLean chỉ xử lý tài liệu của khách hàng dựa trên chỉ dẫn bằng văn bản của bộ điều khiển (khởi tạo qua các lệnh web tương tác như hợp nhất, tách, OCR hoặc chuyển đổi) và không bao giờ xử lý dữ liệu cá nhân cho mục đích marketing, lập hồ sơ hay huấn luyện máy học của riêng mình.
3. Nghĩa vụ theo luật định của Bộ xử lý
PDFLean cam kết thực hiện các nghĩa vụ pháp lý sau theo GDPR Điều 28:
- Chỉ dẫn bằng văn bản & tối thiểu hóa dữ liệu: Chỉ xử lý dữ liệu theo chỉ dẫn của khách hàng, chỉ lưu giữ tài liệu tạm thời trong vòng đời kỹ thuật cần thiết để hoàn tất xử lý (tự động xóa khi hoàn tất hoặc hết hạn), và thông báo cho khách hàng nếu một chỉ dẫn có vẻ vi phạm các quy định bảo vệ dữ liệu hiện hành.
- Bảo mật nhân sự: Đảm bảo mọi nhân sự được ủy quyền vận hành hạ tầng hoặc xử lý yêu cầu hỗ trợ khách hàng đều phải tuân thủ bảo mật nghiêm ngặt theo hợp đồng.
- Thông báo sự cố: Khi xác nhận có sự cố bảo mật dữ liệu cá nhân, thông báo cho các bộ điều khiển bị ảnh hưởng trong vòng 72 giờ kèm đánh giá rủi ro kỹ thuật toàn diện.
- Hỗ trợ & Quyền của chủ thể dữ liệu: Hỗ trợ các bộ điều khiển thực hiện nghĩa vụ phản hồi các chủ thể dữ liệu đang thực thi quyền theo luật định (truy cập, xóa, đính chính).
4. Bộ xử lý phụ hạ tầng được ủy quyền
Chứng nhận của bộ xử lý phụ là những chứng nhận do từng nhà cung cấp công bố công khai (ví dụ Cloudflare, Stripe). Bản thân PDFLean không đưa ra tuyên bố chứng nhận SOC 2 / ISO 27001 nào:
| Bộ xử lý phụ | Chức năng dịch vụ | Vị trí | Tiêu chuẩn tuân thủ |
|---|---|---|---|
| Cloudflare, Inc. | Điện toán biên, phòng thủ DDoS & lưu trữ mã hóa R2 | Nút biên tại EU & Hoa Kỳ | SOC 2 Type II, ISO 27001 |
| Stripe, Inc. | Cổng thanh toán & lập hóa đơn VAT tuân thủ | Các trung tâm Tier 1 toàn cầu | PCI-DSS Level 1 |
| Resend, Inc. | Gửi email hệ thống giao dịch | Kênh Hoa Kỳ / EU | SOC 2 Type II |
| DeepSeek | Tóm tắt / dịch thuật AI tùy chọn (chỉ qua proxy phía máy chủ) | Trung Quốc (đại lục) — chuyển giao dữ liệu xuyên biên giới | Trọng số mô hình MIT; chỉ được gọi khi có yêu cầu tính năng AI; chuyển giao theo SCCs / chỉ dẫn của bạn |
5. Biện pháp Kỹ thuật & Tổ chức (TOMs)
Chúng tôi triển khai các biện pháp phòng thủ theo chiều sâu: mã hóa TLS 1.3 khi truyền; mã hóa AES-256 khi lưu trữ; không lưu trữ vĩnh viễn tài liệu khách hàng (tự động xóa khi hết hạn); và kiểm soát truy cập đặc quyền tối thiểu.
6. Ký kết DPA & Liên hệ pháp lý
Doanh nghiệp và đội ngũ pháp lý cần DPA được ký đối ứng chính thức với Các Điều khoản Hợp đồng Tiêu chuẩn (SCCs) có thể yêu cầu bộ hồ sơ ký kết qua bộ phận tuân thủ pháp lý của chúng tôi: support@pdflean.com; đội ngũ pháp lý của chúng tôi sẽ cung cấp bộ hồ sơ ký kết trong vòng một ngày làm việc.