Thỏa thuận xử lý dữ liệu

1.Mục đích và cách áp dụng thỏa thuận này

1.1  Khách hàng sử dụng các dịch vụ quiz, khảo sát, bài đánh giá và khóa học trực tuyến của Quiz Maker (các "Dịch vụ") theo Điều khoản dịch vụ của Quiz Maker ("Điều khoản dịch vụ"). Khi mọi người mở hoặc trả lời quiz của Khách hàng, Quiz Maker xử lý dữ liệu cá nhân của họ thay mặt cho Khách hàng.

1.2  Thỏa thuận xử lý dữ liệu này ("Thỏa thuận xử lý dữ liệu") quy định các điều khoản của hoạt động xử lý đó theo yêu cầu của Điều 28 GDPR (Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu), và cung cấp cơ sở pháp lý cho việc chuyển dữ liệu cá nhân đó ra ngoài Khu vực kinh tế châu Âu.

1.3  Thỏa thuận xử lý dữ liệu này được ký kết giữa My Plaza Pty Ltd (ABN 58 110 054 245), hoạt động dưới tên Quiz Maker ("Quiz Maker") và khách hàng có tài khoản Quiz Maker ("Khách hàng"). Thỏa thuận là một phần của Điều khoản dịch vụ và tự động áp dụng, không cần chữ ký, bất cứ khi nào Quiz Maker xử lý Dữ liệu cá nhân của Khách hàng thuộc phạm vi điều chỉnh của Luật bảo vệ dữ liệu. Khách hàng chấp nhận thỏa thuận này bằng việc chấp nhận Điều khoản dịch vụ.

1.4  Khách hàng cần bản có chữ ký có thể yêu cầu qua trang liên hệ của Quiz Maker. Bản có chữ ký có nội dung giống hệt Thỏa thuận xử lý dữ liệu này.

1.5  Nếu có mâu thuẫn, thứ tự ưu tiên áp dụng như sau: trước tiên là Điều khoản hợp đồng tiêu chuẩn (khi được áp dụng), sau đó là Thỏa thuận xử lý dữ liệu này, rồi đến Điều khoản dịch vụ. Về mọi khía cạnh khác, Điều khoản dịch vụ tiếp tục được áp dụng.

2.Định nghĩa

Các thuật ngữ được sử dụng trong Thỏa thuận xử lý dữ liệu này nhưng không được định nghĩa tại đây (như bên kiểm soát dữ liệu, bên xử lý dữ liệu, chủ thể dữ liệu, dữ liệu cá nhân, xử lý và cơ quan giám sát) có nghĩa như được quy định trong GDPR. Ngoài ra:

3.Vai trò và phạm vi

3.1  Khách hàng là Bên kiểm soát dữ liệu đối với Dữ liệu cá nhân của Khách hàng và Quiz Maker là Bên xử lý dữ liệu của Khách hàng.

3.2  Quiz Maker là Bên kiểm soát dữ liệu đối với thông tin tài khoản, đăng nhập và thanh toán của chính Khách hàng, được Quiz Maker xử lý theo Chính sách quyền riêng tư và bảo mật của mình. Thông tin đó không phải là Dữ liệu cá nhân của Khách hàng và Thỏa thuận xử lý dữ liệu này không áp dụng cho thông tin đó.

3.3  Khách hàng chịu trách nhiệm có cơ sở pháp lý để thu thập Dữ liệu cá nhân của Khách hàng qua quiz của mình, đối với các thông báo đưa ra và sự đồng ý thu được từ chủ thể dữ liệu (bao gồm mọi sự đồng ý cần thiết đối với cookie hoặc công nghệ tương tự trên quiz của mình và trên các trang web nơi Khách hàng nhúng quiz), và về việc không thu thập dữ liệu cá nhân nhạy cảm hoặc dữ liệu khác mà Điều khoản dịch vụ cấm, trừ khi Quiz Maker đã đồng ý bằng văn bản.

4.Xử lý theo chỉ dẫn của Khách hàng

4.1  Quiz Maker sẽ chỉ xử lý Dữ liệu cá nhân của Khách hàng theo chỉ dẫn được ghi nhận của Khách hàng, kể cả đối với việc chuyển dữ liệu sang nước thứ ba. Chỉ dẫn của Khách hàng là Thỏa thuận xử lý dữ liệu này, Điều khoản dịch vụ, và việc Khách hàng sử dụng và cấu hình các Dịch vụ (ví dụ xuất bản một quiz, chọn nội dung quiz hỏi, bật email kết quả hoặc Tính năng AI, và xuất hoặc xóa lượt trả lời).

4.2  Quiz Maker chỉ được xử lý Dữ liệu cá nhân của Khách hàng theo cách khác khi luật của Liên minh hoặc của Quốc gia thành viên mà Quiz Maker phải tuân theo yêu cầu. Trong trường hợp đó, Quiz Maker sẽ thông báo cho Khách hàng về yêu cầu pháp lý đó trước khi xử lý, trừ khi pháp luật cấm việc thông báo vì lý do quan trọng liên quan đến lợi ích công cộng.

4.3  Quiz Maker sẽ thông báo kịp thời cho Khách hàng nếu, theo ý kiến của Quiz Maker, một chỉ dẫn vi phạm Luật bảo vệ dữ liệu.

4.4  Quiz Maker sẽ không bán Dữ liệu cá nhân của Khách hàng, không sử dụng dữ liệu đó cho quảng cáo, để huấn luyện mô hình trí tuệ nhân tạo, hoặc cho mục đích riêng của mình theo cách khác, ngoại trừ việc tạo số liệu thống kê tổng hợp không nhận diện Khách hàng hoặc bất kỳ chủ thể dữ liệu nào, như được mô tả trong Điều khoản dịch vụ.

5.Bảo mật thông tin

5.1  Quiz Maker sẽ bảo đảm rằng mọi người được Quiz Maker cho phép xử lý Dữ liệu cá nhân của Khách hàng đều bị ràng buộc bởi nghĩa vụ bảo mật phù hợp, và quyền truy cập được giới hạn cho những nhân viên cần đến để cung cấp, bảo vệ và hỗ trợ các Dịch vụ.

6.Bảo mật

6.1  Quiz Maker sẽ triển khai và duy trì các biện pháp kỹ thuật và tổ chức được mô tả tại Phụ lục II để bảo vệ Dữ liệu cá nhân của Khách hàng, theo yêu cầu của Điều 32 GDPR.

6.2  Quiz Maker có thể cập nhật các biện pháp đó khi công nghệ và các mối đe dọa thay đổi, với điều kiện mức độ bảo vệ tổng thể không bị giảm đáng kể.

7.Bên xử lý dữ liệu phụ

7.1  Khách hàng cấp cho Quiz Maker sự cho phép chung bằng văn bản để thuê các Bên xử lý dữ liệu phụ. Các Bên xử lý dữ liệu phụ được liệt kê tại Phụ lục III được chấp thuận.

7.2  Quiz Maker công bố danh sách hiện hành các Bên xử lý dữ liệu phụ dưới dạng Phụ lục III của Thỏa thuận xử lý dữ liệu này tại quiz-maker.com/Data-Processing-Agreement, và sẽ cập nhật danh sách ít nhất 30 ngày trước khi bổ sung hoặc thay thế một Bên xử lý dữ liệu phụ. Quiz Maker cũng sẽ gửi email thông báo đó cho bất kỳ Khách hàng nào đã yêu cầu qua trang liên hệ.

7.3  Khách hàng có thể phản đối một Bên xử lý dữ liệu phụ mới dựa trên căn cứ hợp lý về bảo vệ dữ liệu trong thời hạn 30 ngày đó, và các bên sẽ thảo luận về sự phản đối một cách thiện chí. Nếu không thể giải quyết, Khách hàng có thể chấm dứt các Dịch vụ bị ảnh hưởng và Quiz Maker sẽ hoàn lại mọi khoản phí đã trả trước cho thời gian chưa sử dụng.

7.4  Quiz Maker sẽ thuê mỗi Bên xử lý dữ liệu phụ theo một hợp đồng bằng văn bản áp đặt các nghĩa vụ bảo vệ dữ liệu không kém hơn các nghĩa vụ trong Thỏa thuận xử lý dữ liệu này, và vẫn chịu trách nhiệm pháp lý đầy đủ trước Khách hàng đối với việc mỗi Bên xử lý dữ liệu phụ thực hiện các nghĩa vụ đó.

8.Yêu cầu của Chủ thể dữ liệu

8.1  Nếu Quiz Maker nhận được yêu cầu từ một chủ thể dữ liệu về Dữ liệu cá nhân của Khách hàng, Quiz Maker sẽ chuyển yêu cầu đó cho Khách hàng không chậm trễ quá mức và sẽ không trả lời yêu cầu, ngoại trừ việc hướng dẫn chủ thể dữ liệu liên hệ với Khách hàng, trừ khi Khách hàng cho phép khác.

8.2  Các Dịch vụ cho phép Khách hàng tự xem, xuất, chỉnh sửa và xóa Dữ liệu cá nhân của Khách hàng. Khi Khách hàng không thể làm việc đó qua các Dịch vụ, Quiz Maker sẽ hỗ trợ hợp lý, có tính đến bản chất của hoạt động xử lý, để Khách hàng có thể đáp ứng các yêu cầu thực hiện quyền của chủ thể dữ liệu.

9.Sự cố dữ liệu cá nhân

9.1  Quiz Maker sẽ thông báo cho Khách hàng không chậm trễ quá mức sau khi biết về một Sự cố dữ liệu cá nhân, và khi khả thi là trong vòng 48 giờ.

9.2  Thông báo sẽ mô tả, trong phạm vi đã biết vào thời điểm đó, bản chất của sự cố, các loại và số lượng ước tính chủ thể dữ liệu và bản ghi liên quan, hậu quả có thể xảy ra, và các biện pháp đã thực hiện hoặc đề xuất. Khi chưa biết hết tất cả các thông tin này cùng lúc, Quiz Maker sẽ cung cấp theo từng giai đoạn khi có thông tin.

9.3  Quiz Maker sẽ thực hiện các biện pháp hợp lý để ngăn chặn và khắc phục sự cố và sẽ cung cấp cho Khách hàng thông tin mà Khách hàng cần một cách hợp lý để đáp ứng nghĩa vụ thông báo của chính mình cho cơ quan giám sát và chủ thể dữ liệu. Việc thông báo một sự cố không phải là sự thừa nhận lỗi hay trách nhiệm pháp lý.

10.Hỗ trợ tuân thủ

10.1  Có tính đến bản chất của hoạt động xử lý và thông tin sẵn có, Quiz Maker sẽ hỗ trợ hợp lý cho Khách hàng trong việc thực hiện các nghĩa vụ theo Điều 32 đến Điều 36 GDPR, bao gồm đánh giá tác động bảo vệ dữ liệu và tham vấn trước với cơ quan giám sát.

11.Xóa và trả lại dữ liệu

11.1  Trong thời gian sử dụng các Dịch vụ, Khách hàng có thể xuất hoặc xóa Dữ liệu cá nhân của Khách hàng bất cứ lúc nào.

11.2  Khi các Dịch vụ kết thúc, Khách hàng có ít nhất 30 ngày để xuất dữ liệu của mình. Sau thời hạn đó, Quiz Maker sẽ xóa Dữ liệu cá nhân của Khách hàng, trừ khi luật của Liên minh hoặc của Quốc gia thành viên yêu cầu lưu giữ.

11.3  Các bản sao trong bản sao lưu được mã hóa sẽ bị ghi đè theo chu kỳ sao lưu thông thường và vẫn được bảo vệ theo Thỏa thuận xử lý dữ liệu này cho đến lúc đó. Theo yêu cầu, Quiz Maker sẽ xác nhận bằng văn bản rằng việc xóa đã được thực hiện.

12.Thông tin và kiểm toán

12.1  Quiz Maker sẽ cung cấp cho Khách hàng thông tin cần thiết để chứng minh việc tuân thủ Điều 28 GDPR, bao gồm thông tin bằng văn bản về các biện pháp bảo mật và câu trả lời cho các bảng câu hỏi bảo mật hợp lý.

12.2  Việc kiểm toán được thực hiện bằng cách Quiz Maker cung cấp thông tin đó và trả lời các câu hỏi tiếp theo hợp lý bằng văn bản của Khách hàng về thông tin đó.

12.3  Việc thanh tra cơ sở hoặc hệ thống của Quiz Maker chỉ được tiến hành khi một cơ quan giám sát có thẩm quyền yêu cầu, hoặc sau một Sự cố dữ liệu cá nhân ảnh hưởng đến Dữ liệu cá nhân của Khách hàng. Việc thanh tra phải do một kiểm toán viên độc lập bị ràng buộc bởi nghĩa vụ bảo mật và không phải là đối thủ cạnh tranh của Quiz Maker thực hiện, với thông báo bằng văn bản trước ít nhất 30 ngày (hoặc thời hạn ngắn hơn theo yêu cầu của cơ quan đó), trong giờ làm việc thông thường, với chi phí do Khách hàng chịu, và chỉ giới hạn ở hoạt động xử lý Dữ liệu cá nhân của Khách hàng. Việc thanh tra sẽ không bao gồm quyền truy cập dữ liệu của các khách hàng khác hoặc thông tin có thể làm tổn hại đến bảo mật của các Dịch vụ.

12.4  Điều này quy định cách thức thực hiện các quyền của Khách hàng theo điều 8.9 của Điều khoản hợp đồng tiêu chuẩn, và không giới hạn quyền hạn của bất kỳ cơ quan giám sát nào.

13.Chuyển dữ liệu ra nước ngoài

13.1  Khách hàng thừa nhận rằng Quiz Maker được thành lập tại Úc, Dữ liệu cá nhân của Khách hàng được lưu trữ trên các máy chủ tại Hoa Kỳ, đi qua mạng lưới toàn cầu của Cloudflare, và các Bên xử lý dữ liệu phụ tại Phụ lục III xử lý dữ liệu đó tại các địa điểm được liệt kê ở đó.

13.2  Trong phạm vi việc Khách hàng chuyển Dữ liệu cá nhân của Khách hàng cho Quiz Maker là việc chuyển dữ liệu sang nước thứ ba theo Chương V GDPR, Điều khoản hợp đồng tiêu chuẩn được dẫn chiếu và đưa vào Thỏa thuận xử lý dữ liệu này, với Khách hàng là bên xuất dữ liệu và Quiz Maker là bên nhập dữ liệu, cùng các lựa chọn sau:

1. Điều 7 (điều khoản gia nhập) được áp dụng.
2. Điều 9(a): Phương án 2 (sự cho phép chung bằng văn bản) được áp dụng, thời hạn là 30 ngày, và thông báo được đưa ra như mô tả tại điều 7.2 của Thỏa thuận xử lý dữ liệu này.
3. Điều 11(a): nội dung tùy chọn không được áp dụng.
4. Điều 13: cơ quan giám sát có thẩm quyền là cơ quan được xác định tại Phụ lục I, mục C.
5. Điều 17: Phương án 1 được áp dụng, và luật điều chỉnh là luật của Ireland.
6. Điều 18(b): tranh chấp được giải quyết tại các tòa án của Ireland.
7. Phụ lục I, II và III của Điều khoản hợp đồng tiêu chuẩn được hoàn thiện bằng Phụ lục I, II và III của Thỏa thuận xử lý dữ liệu này.

13.3  Khi Quiz Maker chuyển Dữ liệu cá nhân của Khách hàng cho một Bên xử lý dữ liệu phụ ở nước thứ ba, Quiz Maker sẽ bảo đảm việc chuyển dữ liệu được áp dụng một biện pháp bảo vệ phù hợp theo Chương V GDPR, như các điều khoản hợp đồng tiêu chuẩn hoặc một quyết định về mức độ bảo vệ tương xứng (bao gồm EU-U.S. Data Privacy Framework (Khung bảo vệ dữ liệu EU - Hoa Kỳ) khi Bên xử lý dữ liệu phụ được chứng nhận theo khung này).

13.4  Quiz Maker sẽ cung cấp thông tin hợp lý để giúp Khách hàng đánh giá việc chuyển dữ liệu theo điều 14 của Điều khoản hợp đồng tiêu chuẩn, và sẽ xử lý mọi yêu cầu của cơ quan công quyền đối với Dữ liệu cá nhân của Khách hàng như quy định tại điều 15 của Điều khoản hợp đồng tiêu chuẩn.

13.5  Khi UK GDPR được áp dụng, International Data Transfer Addendum to the EU Commission Standard Contractual Clauses (Phụ lục bổ sung về chuyển dữ liệu quốc tế đối với Điều khoản hợp đồng tiêu chuẩn của Ủy ban châu Âu) do UK Information Commissioner (Ủy viên Thông tin Vương quốc Anh) ban hành (phiên bản B1.0) được áp dụng, với Bảng 1 đến Bảng 3 được hoàn thiện bằng các thông tin trong Thỏa thuận xử lý dữ liệu này và các Phụ lục, và mỗi bên có thể chấm dứt phụ lục bổ sung đó theo Bảng 4. Khi Swiss Federal Act on Data Protection được áp dụng, Điều khoản hợp đồng tiêu chuẩn được áp dụng với Swiss Federal Data Protection and Information Commissioner (Ủy viên Liên bang Thụy Sĩ về bảo vệ dữ liệu và thông tin) là cơ quan giám sát có thẩm quyền, và các dẫn chiếu đến GDPR được hiểu là dẫn chiếu đến Luật đó.

14.Trách nhiệm pháp lý

14.1  Tổng trách nhiệm pháp lý của mỗi bên đối với bên kia phát sinh từ hoặc liên quan đến Thỏa thuận xử lý dữ liệu này và Điều khoản hợp đồng tiêu chuẩn, gộp chung với mọi khiếu nại theo Điều khoản dịch vụ, chịu sự giới hạn và loại trừ trách nhiệm pháp lý trong Điều khoản dịch vụ, bao gồm việc loại trừ tổn thất gián tiếp và tổn thất phát sinh do hệ quả và mức trần trách nhiệm pháp lý tổng thể, trong phạm vi pháp luật cho phép.

14.2  Không điều gì trong Thỏa thuận xử lý dữ liệu này giới hạn trách nhiệm pháp lý của mỗi bên đối với chủ thể dữ liệu theo Điều khoản hợp đồng tiêu chuẩn, hoặc bất kỳ trách nhiệm pháp lý nào không thể bị giới hạn hoặc loại trừ theo pháp luật.

15.Thời hạn, thay đổi và điều khoản chung

15.1  Thỏa thuận xử lý dữ liệu này có hiệu lực từ ngày 25 tháng 8 năm 2026, hoặc từ khi Khách hàng chấp nhận Điều khoản dịch vụ nếu thời điểm đó muộn hơn, và tiếp tục có hiệu lực trong suốt thời gian Quiz Maker xử lý Dữ liệu cá nhân của Khách hàng. Các điều mà theo bản chất cần được duy trì hiệu lực sau khi chấm dứt sẽ tiếp tục có hiệu lực.

15.2  Thỏa thuận xử lý dữ liệu này chịu sự điều chỉnh của luật điều chỉnh Điều khoản dịch vụ, ngoại trừ việc Điều khoản hợp đồng tiêu chuẩn chịu sự điều chỉnh của luật được chọn tại điều 13.2. Không điều gì trong Thỏa thuận xử lý dữ liệu này làm giảm các quyền của chủ thể dữ liệu theo Điều khoản hợp đồng tiêu chuẩn.

15.3  Quiz Maker có thể cập nhật Thỏa thuận xử lý dữ liệu này theo cách mà Điều khoản dịch vụ cho phép Quiz Maker cập nhật Điều khoản dịch vụ. Việc cập nhật sẽ không làm giảm đáng kể mức độ bảo vệ mà Thỏa thuận xử lý dữ liệu này dành cho Dữ liệu cá nhân của Khách hàng, trừ khi thay đổi của Luật bảo vệ dữ liệu hoặc các điều khoản hợp đồng tiêu chuẩn mới do Ủy ban châu Âu thông qua yêu cầu như vậy.

15.4  Nếu bất kỳ điều khoản nào của Thỏa thuận xử lý dữ liệu này vô hiệu hoặc không thể thi hành, phần còn lại vẫn có hiệu lực.

15.5  Khi các bên ký một bản của Thỏa thuận xử lý dữ liệu này, bản đó có thể được ký điện tử và thành nhiều bản, mỗi bản đều là bản gốc.

Phụ lục I: Mô tả hoạt động xử lý

A. Danh sách các bên

B. Mô tả việc chuyển dữ liệu

C. Cơ quan giám sát có thẩm quyền

Khi Khách hàng được thành lập tại Liên minh châu Âu, cơ quan giám sát của Quốc gia thành viên nơi Khách hàng được thành lập (hoặc cơ quan giám sát chính của Khách hàng, khi Khách hàng có nhiều cơ sở). Khi Khách hàng không được thành lập tại Liên minh châu Âu nhưng GDPR áp dụng đối với Khách hàng, cơ quan giám sát của Quốc gia thành viên nơi người đại diện của Khách hàng theo Điều 27 GDPR được thành lập, hoặc, khi Khách hàng không bắt buộc phải chỉ định người đại diện, của Quốc gia thành viên nơi Người trả lời liên quan đang ở.

Phụ lục II: Biện pháp kỹ thuật và tổ chức

Phụ lục III: Bên xử lý dữ liệu phụ được chấp thuận

Stripe, Inc. xử lý thông tin thanh toán của chính Khách hàng; Quiz Maker là Bên kiểm soát dữ liệu đối với thông tin này. Stripe không nhận Dữ liệu cá nhân của Khách hàng và không phải là Bên xử lý dữ liệu phụ theo Thỏa thuận xử lý dữ liệu này.