Thỏa thuận xử lý dữ liệu cá nhân

Điều 1. Các bên và phạm vi

• 1. Bên A (bên xử lý dữ liệu): Công ty TNHH Giải pháp Trí tuệ Nhân tạo VNBOT, mã số thuế 0111582441.
• 2. Bên B (bên kiểm soát dữ liệu): tổ chức, cá nhân sử dụng Dịch vụ theo Điều khoản sử dụng.
• 3. Thỏa thuận xử lý dữ liệu cá nhân này (“Thỏa thuận”) là phụ lục không tách rời của Điều khoản sử dụng, được lập theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP.
• 4. Thỏa thuận áp dụng cho Dữ liệu khách hàng theo Điều 8 Điều khoản sử dụng, có hiệu lực khi Bên B đồng ý Điều khoản sử dụng và kéo dài đến khi Bên A xóa xong Dữ liệu khách hàng theo Điều 5 Thỏa thuận này.

Điều 2. Mục đích xử lý

Bên A chỉ xử lý Dữ liệu khách hàng cho các mục đích sau, theo cấu hình và chỉ dẫn của Bên B:

• -Trả lời tự động bằng trợ lý AI trên các kênh Bên B kết nối;
• -Lưu và hiển thị hội thoại để nhân viên của Bên B theo dõi, trả lời;
• -Tạo dữ liệu tìm kiếm (embedding) từ câu hỏi, tài liệu, sản phẩm và tin nhắn để chatbot tìm đúng thông tin;
• -Ghi nhận thông tin liên hệ, đơn hàng, lịch hẹn do khách hàng cung cấp;
• -Gửi tin nhắc, khảo sát mức độ hài lòng và các tin khác khi Bên B bật các tính năng đó;
• -Gợi ý câu hỏi thường gặp mới để Bên B duyệt;
• -Thực hiện cuộc gọi AI khi Bên B sử dụng tính năng gọi điện;
• -Bảo đảm an toàn hệ thống, khắc phục sự cố và đáp ứng yêu cầu của cơ quan nhà nước có thẩm quyền.

Bên A không bán Dữ liệu khách hàng, không sử dụng Dữ liệu khách hàng cho quảng cáo hay mục đích riêng của Bên A, và không sử dụng Dữ liệu khách hàng để huấn luyện mô hình AI.

Điều 3. Chủ thể và loại dữ liệu

• 1. Chủ thể dữ liệu: khách hàng và người liên hệ của Bên B, gồm người nhắn tin, bình luận, nghe máy cuộc gọi AI, hoặc được Bên B nhập trực tiếp, nhập từ tệp.
• 2. Loại dữ liệu:
• a) Thông tin định danh trên kênh: tên hiển thị, mã người dùng Facebook, Zalo, ảnh đại diện;
• b) Nội dung trao đổi: tin nhắn, bình luận, tệp đính kèm, hình ảnh, ghi âm do khách hàng gửi;
• c) Thông tin liên hệ và giao dịch: số điện thoại, email, địa chỉ, ghi chú, nhãn, đơn hàng, lịch hẹn, kết quả khảo sát;
• d) Cuộc gọi AI, nếu Bên B sử dụng: số điện thoại, nội dung và ghi âm cuộc gọi.
• 3. Hội thoại có thể chứa dữ liệu nhạy cảm do khách hàng tự gửi, ví dụ tình trạng sức khỏe. Bên B lưu ý điều này khi sử dụng chatbot trong các lĩnh vực như y tế, làm đẹp.

Điều 4. Cơ sở pháp lý

• 1. Bên B chuyển giao Dữ liệu khách hàng cho Bên A xử lý theo điểm d khoản 1 Điều 17 Luật Bảo vệ dữ liệu cá nhân.
• 2. Bên B bảo đảm có sự đồng ý của khách hàng hoặc căn cứ hợp pháp khác cho từng mục đích tại Điều 2, và đã thông báo cho khách hàng việc dữ liệu được xử lý tự động bằng AI, qua nhà cung cấp dịch vụ là Bên A, và một phần ở nước ngoài theo Điều 8 Thỏa thuận này.

Điều 5. Thời hạn xử lý và xóa dữ liệu

• 1. Bên A lưu Dữ liệu khách hàng trong suốt thời gian Bên B sử dụng Dịch vụ, trừ phần Bên B đã xóa hoặc yêu cầu xóa.
• 2. Bên B yêu cầu xóa dữ liệu của một khách hàng cụ thể thì Bên A thực hiện trong vòng 05 ngày làm việc.
• 3. Bên B yêu cầu xóa tổ chức hoặc tài khoản thì Bên A xóa Dữ liệu khách hàng trong vòng 20 ngày, trừ phần pháp luật bắt buộc lưu giữ lâu hơn. Trước khi xóa, Bên B có thể tự xuất danh sách khách hàng, sản phẩm và câu hỏi thường gặp ra tệp Excel.
• 4. Bản sao lưu, nếu có, được ghi đè theo chu kỳ sao lưu và không được sử dụng cho mục đích khác.

Điều 6. Biện pháp bảo vệ

• -Mã hóa dữ liệu trên đường truyền;
• -Kiểm soát truy cập, phân quyền theo vai trò và hỗ trợ xác minh hai bước khi đăng nhập;
• -Tách biệt dữ liệu giữa các tổ chức;
• -Nhân sự của Bên A chỉ truy cập Dữ liệu khách hàng khi cần để vận hành, khắc phục sự cố hoặc hỗ trợ theo yêu cầu của Bên B, và có trách nhiệm giữ bí mật;
• -Rà soát và cập nhật biện pháp bảo vệ định kỳ.

Điều 7. Nhà cung cấp phụ

Bên A sử dụng các nhóm nhà cung cấp phụ sau trong quá trình xử lý Dữ liệu khách hàng:

• -Nhà cung cấp hạ tầng máy chủ và cơ sở dữ liệu;
• -Nhà cung cấp dịch vụ trí tuệ nhân tạo: soạn câu trả lời, đọc hình ảnh, ghi âm và tạo dữ liệu tìm kiếm;
• -Nhà cung cấp lưu trữ đám mây cho hình ảnh, video và tệp;
• -Nền tảng nhắn tin Facebook và Zalo do Bên B chủ động kết nối; việc xử lý dữ liệu trên các nền tảng này theo điều khoản Bên B đã chấp nhận với các nền tảng đó;
• -Nhà cung cấp dịch vụ tổng đài, chỉ khi Bên B sử dụng tính năng gọi điện AI.

Danh sách cụ thể các nhà cung cấp phụ và nơi xử lý dữ liệu được cung cấp cho Bên B khi có yêu cầu qua support@vnbot.vn. Khi thêm hoặc thay nhà cung cấp phụ, Bên A thông báo cho Bên B qua email ít nhất 15 ngày trước khi áp dụng. Bên B phản đối vì lý do bảo vệ dữ liệu hợp lý mà hai bên không tìm được giải pháp thì Bên B có quyền chấm dứt và được hoàn phần phí còn lại theo Điều 5 Điều khoản sử dụng.

Điều 8. Chuyển dữ liệu ra nước ngoài

• 1. Một phần Dữ liệu khách hàng được xử lý trên hệ thống của nhà cung cấp phụ đặt ở nước ngoài. Đây là hoạt động chuyển dữ liệu cá nhân xuyên biên giới theo Điều 20 Luật Bảo vệ dữ liệu cá nhân.
• 2. Bên A thực hiện nghĩa vụ lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới đối với các luồng dữ liệu do Bên A thực hiện. Bên B tự xác định và thực hiện nghĩa vụ hồ sơ của Bên B nếu thuộc diện phải thực hiện; Bên A cung cấp các tài liệu cần thiết theo Điều 12 Thỏa thuận này.
• 3. Nhà cung cấp dịch vụ trí tuệ nhân tạo mà Bên A sử dụng không dùng dữ liệu gửi qua gói dịch vụ trả phí để huấn luyện mô hình của họ.

Điều 9. Hỗ trợ thực hiện quyền của chủ thể dữ liệu

• 1. Bên B tự xem, sửa thông tin liên hệ của khách hàng và xuất danh sách khách hàng ra tệp Excel trong tài khoản.
• 2. Đối với yêu cầu khác của khách hàng như cung cấp lịch sử trò chuyện, xóa hoặc hạn chế xử lý dữ liệu, Bên B gửi chỉ dẫn qua support@vnbot.vn. Bên A thực hiện trong vòng 05 ngày làm việc kể từ khi nhận chỉ dẫn, để Bên B kịp thời hạn theo Nghị định 356/2025/NĐ-CP.
• 3. Khách hàng gửi yêu cầu trực tiếp cho Bên A thì Bên A chuyển cho Bên B trong vòng 02 ngày làm việc và không tự xử lý khi chưa có chỉ dẫn của Bên B, trừ trường hợp pháp luật có quy định khác.

Điều 10. Sự cố dữ liệu

• 1. Bên A thông báo cho Bên B chậm nhất 24 giờ kể từ khi phát hiện sự cố lộ, mất hoặc truy cập trái phép Dữ liệu khách hàng, kèm những thông tin theo Điều 28 Nghị định 356/2025/NĐ-CP mà Bên A có được.
• 2. Bên A phối hợp với Bên B báo cáo cơ quan chuyên trách trong 72 giờ, lập biên bản, khắc phục hậu quả và thông báo cho khách hàng khi cần thiết.

Điều 11. Chỉ dẫn của Bên B và yêu cầu của cơ quan nhà nước

• 1. Bên A xử lý theo chỉ dẫn của Bên B thể hiện qua cấu hình trong tài khoản và yêu cầu gửi từ email đăng ký. Chỉ dẫn có dấu hiệu trái pháp luật thì Bên A thông báo cho Bên B và có quyền không thực hiện.
• 2. Khi cơ quan nhà nước có thẩm quyền yêu cầu cung cấp Dữ liệu khách hàng theo quy định của pháp luật, kể cả yêu cầu phải đáp ứng trong 24 giờ, hoặc 03 giờ trong trường hợp khẩn cấp, theo Luật An ninh mạng, Bên A thực hiện và thông báo cho Bên B nếu pháp luật cho phép.

Điều 12. Hồ sơ phục vụ kiểm tra

• 1. Bên A cung cấp cho Bên B mô tả luồng dữ liệu, danh sách nhà cung cấp phụ và nơi xử lý, biện pháp bảo vệ và bản Thỏa thuận này khi Bên B lập hồ sơ đánh giá tác động xử lý dữ liệu, hồ sơ chuyển dữ liệu xuyên biên giới, hoặc khi cơ quan chức năng kiểm tra.
• 2. Thỏa thuận này có thể in hoặc lưu thành tệp PDF ngay trên trang này.

Điều 13. Trách nhiệm bồi thường

• -Trách nhiệm bồi thường giữa hai bên thực hiện theo Điều 12 Điều khoản sử dụng, trong đó mức giới hạn đối với thiệt hại do Bên A vi phạm cam kết bảo vệ Dữ liệu khách hàng bằng ba lần mức chung.

Điều 14. Thông tin liên hệ của Bên A

• -Đầu mối bảo vệ dữ liệu cá nhân: support@vnbot.vn.