Proton
Cập nhật lần cuối: ngày 1 tháng 9 năm 2026

Thỏa thuận xử lý dữ liệu MSP

Thỏa thuận Xử lý Dữ liệu này ("Thỏa thuận") là một phần của Thỏa thuận Nhà cung cấp Dịch vụ được Quản lý ("Thỏa thuận chính") giữa Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Thụy Sĩ, Mã số nhận dạng công ty CHE-354.686.492 (được gọi là "Bên xử lý"), và MSP được xác định trong Thỏa thuận chính (được gọi là "Công ty", và được hiểu là nhà cung cấp dịch vụ được quản lý sử dụng Dịch vụ để cung cấp, tính phí và hỗ trợ Khách hàng được Quản lý của chính mình, bất kể hình thức pháp lý nào).

Thỏa thuận này quy định các yêu cầu cụ thể của Luật bảo vệ dữ liệu trong phạm vi việc Công ty sử dụng Dịch vụ, bao gồm cả việc Công ty cung cấp Dịch vụ cho Khách hàng được quản lý, có liên quan đến việc Xử lý dữ liệu cá nhân tuân theo Luật bảo vệ dữ liệu.

Thời hạn của Thỏa thuận này tuân theo thời hạn của Thỏa thuận chính. Các thuật ngữ không được định nghĩa trong tài liệu này sẽ có ý nghĩa như được nêu trong Thỏa thuận chính.


XÉT RẰNG

A) Công ty đóng vai trò là Bên kiểm soát dữ liệu, hoặc trong trường hợp Khách hàng được quản lý tự hướng dẫn việc Xử lý Dữ liệu cá nhân của chính mình, đóng vai trò là Bên xử lý dữ liệu thay mặt cho Khách hàng được quản lý đó (trong cả hai trường hợp, đều là "Bên kiểm soát").

B) Công ty muốn ký hợp đồng phụ cho một số Dịch vụ nhất định, có liên quan đến việc Xử lý dữ liệu cá nhân, với Proton AG, đóng vai trò là Bên xử lý dữ liệu ("Bên xử lý dữ liệu").

C) Các Bên tìm cách thực hiện thỏa thuận xử lý dữ liệu tuân thủ các yêu cầu của khung pháp lý hiện hành liên quan đến xử lý dữ liệu, bao gồm Quy định (EU) 2016/679 ("GDPR") và Đạo luật liên bang Thụy Sĩ về bảo vệ dữ liệu ("FADP"), cũng như các Luật bảo vệ dữ liệu hiện hành khác.

D) Các Bên muốn quy định các quyền và nghĩa vụ tương ứng của mình.


HAI BÊN THỎA THUẬN NHƯ SAU:

1. Định nghĩa, Vai trò và Phạm vi

1.1 Định nghĩa. Trừ khi được định nghĩa khác trong tài liệu này, các thuật ngữ viết hoa có ý nghĩa được quy định trong Thỏa thuận chính hoặc nếu không được định nghĩa ở đó thì có ý nghĩa như sau:

  • "Dữ liệu cá nhân của công ty" có nghĩa là bất kỳ Dữ liệu cá nhân nào liên quan đến Công ty, Khách hàng được quản lý của công ty hoặc khách hàng hay nhân viên tương ứng của họ, được Xử lý liên quan đến Thỏa thuận chính.
  • "Bên xử lý theo hợp đồng" có nghĩa là Bên xử lý phụ.
  • "Luật bảo vệ dữ liệu" có nghĩa là GDPR, FADP và trong phạm vi áp dụng, luật bảo vệ dữ liệu hoặc quyền riêng tư của bất kỳ quốc gia nào khác.
  • "Chuyển giao dữ liệu" có nghĩa là (i) việc chuyển giao Dữ liệu cá nhân của công ty từ Công ty sang Bên xử lý dữ liệu hoặc Bên xử lý theo hợp đồng, hoặc (ii) việc chuyển tiếp Dữ liệu cá nhân của công ty từ Bên xử lý dữ liệu sang Bên xử lý phụ, hoặc giữa hai cơ sở của Bên xử lý phụ.
  • "Khách hàng được quản lý" có ý nghĩa như được quy định trong Thỏa thuận chính: một pháp nhân người dùng cuối mà Công ty cung cấp và phân phối Dịch vụ như một phần của dịch vụ được quản lý do chính Công ty cung cấp.
  • “Bên xử lý phụ” có nghĩa là bất kỳ thể nhân hoặc pháp nhân nào được Bên xử lý dữ liệu hoặc người đại diện của Bên xử lý dữ liệu chỉ định để Xử lý dữ liệu cá nhân liên quan đến Thỏa thuận.
  • Các thuật ngữ "Ủy ban", "Bên kiểm soát", "Chủ thể dữ liệu", "Quốc gia thành viên", "Dữ liệu cá nhân", "Vi phạm dữ liệu cá nhân", "Xử lý" và "Cơ quan giám sát" có cùng ý nghĩa như trong GDPR hoặc Luật bảo vệ dữ liệu hiện hành khác.

1.2 Vai trò của các bên. Trong mối quan hệ giữa Proton và Công ty, Công ty là Bên kiểm soát (hoặc tùy theo từng trường hợp, là Bên xử lý dữ liệu hành động theo hướng dẫn của Khách hàng được quản lý) và Proton là Bên xử lý dữ liệu, đối với tất cả Dữ liệu cá nhân của công ty được Xử lý theo Thỏa thuận chính, bao gồm Dữ liệu cá nhân của hoặc liên quan đến Khách hàng được quản lý và người dùng cuối tương ứng của họ. Thỏa thuận này là thỏa thuận xử lý dữ liệu toàn bộ và độc quyền giữa Proton và bất kỳ bên nào trong chuỗi Khách hàng được quản lý. Proton không có mối quan hệ hợp đồng trực tiếp, mối quan hệ Bên kiểm soát - Bên xử lý dữ liệu hoặc Bên xử lý dữ liệu - Bên xử lý phụ với bất kỳ Khách hàng được quản lý nào và không có Khách hàng được quản lý nào là một bên hoặc bên thụ hưởng thứ ba của Thỏa thuận này. Công ty tự chịu trách nhiệm về các thỏa thuận và nghĩa vụ của mình đối với Khách hàng được quản lý, bao gồm mọi điều khoản bảo vệ dữ liệu mà Công ty phải tuân thủ đối với họ theo luật hiện hành hoặc hợp đồng.

1.3 Trách nhiệm của Công ty đối với chuỗi hạ nguồn. Công ty phải ký kết một thỏa thuận bằng văn bản với từng Khách hàng được quản lý nhằm áp đặt các nghĩa vụ bảo vệ dữ liệu lên Công ty với mức độ bảo vệ Dữ liệu cá nhân của Khách hàng được quản lý đó không kém hơn các nghĩa vụ mà Proton có đối với Công ty theo Thỏa thuận này, trong phạm vi áp dụng đối với tính chất của Dịch vụ mà Công ty cung cấp cho Khách hàng được quản lý đó. Các nghĩa vụ của Proton theo Thỏa thuận này chỉ áp dụng đối với Công ty; Công ty vẫn là bên chịu trách nhiệm duy nhất đối với Khách hàng được quản lý của mình về việc Xử lý dữ liệu cá nhân của họ, bao gồm mọi hành vi hoặc thiếu sót của Proton, trong mối quan hệ giữa Công ty và Khách hàng được quản lý của mình.

2. Xử lý Dữ liệu Cá nhân của Công ty

Bên xử lý sẽ:

  • tuân thủ tất cả các Luật bảo vệ dữ liệu hiện hành trong việc Xử lý Dữ liệu cá nhân của công ty; và
  • không Xử lý Dữ liệu cá nhân của công ty ngoài các hướng dẫn bằng văn bản của Công ty, như được nêu dưới đây.

Công ty hướng dẫn Bên xử lý dữ liệu Xử lý Dữ liệu cá nhân của công ty để:

  • cung cấp Dịch vụ và hỗ trợ kỹ thuật liên quan cho Công ty và thông qua Công ty cho Khách hàng được quản lý;
  • thực hiện các nghĩa vụ pháp lý hoặc giải quyết tranh chấp;
  • thực hiện bất kỳ nhiệm vụ nội bộ nào nhằm tối ưu hóa tính bảo mật, quyền riêng tư, tính bí mật và chức năng của Dịch vụ; và
  • thực hiện báo cáo nội bộ, báo cáo tài chính và các nhiệm vụ nội bộ tương tự khác.

3. Nhân sự của Bên xử lý

Bên xử lý dữ liệu phải thực hiện các bước hợp lý để đảm bảo độ tin cậy của bất kỳ nhân viên, đại lý hoặc nhà thầu nào của bất kỳ Bên xử lý theo hợp đồng nào có thể có quyền truy cập vào Dữ liệu cá nhân của công ty, đảm bảo trong từng trường hợp rằng quyền truy cập được giới hạn nghiêm ngặt ở những cá nhân cần biết hoặc truy cập Dữ liệu cá nhân của công ty có liên quan, khi thực sự cần thiết cho các mục đích của Thỏa thuận chính và/hoặc để tuân thủ Luật bảo vệ dữ liệu, đồng thời đảm bảo rằng tất cả các cá nhân đó phải tuân thủ cam kết bảo mật hoặc các nghĩa vụ bảo mật theo luật định hoặc chuyên môn.

4. Bảo mật

Theo Điều 32(1) GDPR, Bên xử lý dữ liệu phải thực hiện các biện pháp kỹ thuật và tổ chức phù hợp để đảm bảo mức độ bảo mật phù hợp với rủi ro, có tính đến trình độ kỹ thuật hiện đại, chi phí thực hiện cũng như bản chất, phạm vi, bối cảnh và mục đích của việc Xử lý. Các biện pháp này được thiết kế để bảo vệ các quyền và tự do của thể nhân, có cân nhắc đến các rủi ro có khả năng xảy ra và mức độ nghiêm trọng khác nhau, bao gồm cả rủi ro Vi phạm dữ liệu cá nhân. Công ty phải triển khai các biện pháp kỹ thuật và tổ chức phù hợp cho việc Xử lý Dữ liệu cá nhân của công ty do chính mình thực hiện, bao gồm cả việc quản trị các tài khoản Khách hàng được quản lý thông qua Giấy phép quản trị viên MSP, đồng thời phải đảm bảo rằng quyền truy cập vào các tài khoản đó chỉ giới hạn ở nhân viên của Công ty có nhu cầu, được bảo vệ bằng các biện pháp kiểm soát xác thực thích hợp và nhanh chóng bị thu hồi khi không còn cần thiết.

5. Xử lý phụ

Tuân theo Thỏa thuận này, Công ty cấp ủy quyền chung cho Bên xử lý dữ liệu để thuê các Bên xử lý phụ và tiết lộ hoặc chuyển giao Dữ liệu cá nhân của công ty cho họ. Công ty xác nhận và phê duyệt danh sách các Bên xử lý phụ được nêu trong Chính sách quyền riêng tư của Bên xử lý dữ liệu, hiểu rằng danh sách này có thể được Bên xử lý dữ liệu cập nhật theo từng thời điểm, trong trường hợp đó Công ty sẽ được thông báo theo quy trình thông báo của Chính sách quyền riêng tư. Công ty cũng ủy quyền cho Bên xử lý dữ liệu tiết lộ và chuyển giao Dữ liệu cá nhân cho bất kỳ công ty nào trong tập đoàn doanh nghiệp của mình. Bên xử lý dữ liệu phải đảm bảo rằng các Bên xử lý phụ phải tuân thủ một thỏa thuận với Bên xử lý dữ liệu có mức độ hạn chế và bảo vệ không kém hơn Thỏa thuận này đối với việc bảo vệ Dữ liệu cá nhân của công ty, trong phạm vi áp dụng cho tính chất của các dịch vụ do Bên xử lý phụ đó cung cấp. Để tránh hiểu nhầm, Công ty không phải là Bên xử lý phụ của Proton và Phần này không áp dụng cho việc Công ty tự hợp tác với bất kỳ Khách hàng được quản lý hoặc bên thứ ba nào.

6. Quyền của Chủ thể Dữ liệu

Có tính đến bản chất của việc Xử lý, Bên xử lý dữ liệu sẽ hỗ trợ hợp lý cho Công ty trong việc thực hiện các nghĩa vụ của Công ty nhằm phản hồi các yêu cầu thực hiện quyền của Chủ thể dữ liệu theo Luật bảo vệ dữ liệu, bao gồm các yêu cầu mà Công ty nhận được từ hoặc thay mặt cho Khách hàng được quản lý hoặc người dùng cuối của chính Khách hàng được quản lý đó.

Bên xử lý sẽ:

  • thông báo kịp thời cho Công ty nếu nhận được yêu cầu từ Chủ thể dữ liệu theo bất kỳ Luật bảo vệ dữ liệu nào liên quan đến Dữ liệu cá nhân của công ty; và
  • đảm bảo không phản hồi yêu cầu đó trừ khi có hướng dẫn bằng văn bản của Công ty hoặc theo yêu cầu của luật hiện hành, trong trường hợp đó, Bên xử lý dữ liệu sẽ thông báo cho Công ty về yêu cầu pháp lý đó trước khi phản hồi trong phạm vi luật pháp cho phép.

Công ty chịu trách nhiệm duy nhất trong việc phản hồi và phối hợp với bất kỳ Khách hàng được quản lý nào về bất kỳ yêu cầu nào của Chủ thể dữ liệu liên quan đến Dữ liệu cá nhân của Khách hàng được quản lý đó; Bên xử lý dữ liệu không có nghĩa vụ xác định hoặc liên lạc trực tiếp với bất kỳ Khách hàng được quản lý nào.

7. Vi phạm Dữ liệu Cá nhân

Bên xử lý dữ liệu phải quản lý mọi Vi phạm dữ liệu cá nhân theo đúng các Luật bảo vệ dữ liệu hiện hành và quy trình xử lý Vi phạm dữ liệu cá nhân nội bộ của mình. Trong trường hợp xảy ra Vi phạm dữ liệu cá nhân ảnh hưởng đến Dữ liệu cá nhân của công ty, Bên xử lý dữ liệu sẽ thông báo cho Công ty ngay lập tức, cung cấp đầy đủ thông tin để cho phép Công ty thực hiện các nghĩa vụ của mình theo Luật bảo vệ dữ liệu, bao gồm cả việc thông báo cho Khách hàng được quản lý và Chủ thể dữ liệu bị ảnh hưởng nếu áp dụng. Bên xử lý dữ liệu sẽ hợp tác với Công ty và thực hiện các bước thương mại hợp lý theo chỉ đạo của Công ty để hỗ trợ điều tra, giảm thiểu và khắc phục từng sự cố Vi phạm dữ liệu cá nhân như vậy. Mỗi Bên sẽ chịu các chi phí điều tra, khắc phục, giảm thiểu và các chi phí liên quan khác trong phạm vi sự cố Vi phạm dữ liệu cá nhân do Bên đó gây ra. Mỗi Bên sẽ chịu chi phí cho bất kỳ khoản tiền phạt, hình phạt, bồi thường thiệt hại hoặc các khoản tiền liên quan khác do cơ quan quản lý có thẩm quyền áp đặt trong phạm vi phát sinh từ việc Bên đó vi phạm các nghĩa vụ của mình theo Thỏa thuận này. Công ty chịu trách nhiệm duy nhất về các thông báo vi phạm gửi tới Khách hàng được quản lý và Chủ thể dữ liệu của họ, cũng như về thời gian và nội dung của các thông báo đó.

8. Đánh giá Tác động Bảo vệ Dữ liệu và Tham vấn Trước

Bên xử lý dữ liệu sẽ hỗ trợ hợp lý cho Công ty trong việc đánh giá tác động bảo vệ dữ liệu và tham vấn trước với các cơ quan giám sát mà Công ty thấy cần thiết một cách hợp lý theo Điều 35 hoặc 36 GDPR hoặc các quy định tương đương của bất kỳ Luật bảo vệ dữ liệu nào khác, trong từng trường hợp chỉ liên quan đến việc Xử lý Dữ liệu cá nhân của công ty bởi các Bên xử lý theo hợp đồng, có tính đến bản chất của việc Xử lý và thông tin có sẵn cho họ.

9. Xóa hoặc trả lại dữ liệu cá nhân của công ty

Khi chấm dứt bất kỳ Dịch vụ nào liên quan đến việc Xử lý Dữ liệu cá nhân của công ty, Bên xử lý dữ liệu sẽ xóa toàn bộ Dữ liệu cá nhân của công ty trong phạm vi luật hiện hành cho phép và theo đúng Các điều khoản và điều kiện cùng Chính sách quyền riêng tư của Bên xử lý dữ liệu. Nếu Công ty yêu cầu một bản sao Dữ liệu cá nhân của công ty, yêu cầu đó phải được đưa ra trước khi xóa; các yêu cầu được thực hiện sau khi xóa sẽ không còn được xem xét. Khi chấm dứt Thỏa thuận chính, Công ty vẫn là bên chịu trách nhiệm duy nhất trong việc quản lý việc xóa, trả lại hoặc chuyển giao Dữ liệu cá nhân của bất kỳ Khách hàng được quản lý nào trong mối quan hệ giữa Công ty và Khách hàng được quản lý đó, phù hợp với Mục 5.4 của Thỏa thuận chính (Hỗ trợ chuyển tiếp).

10. Quyền kiểm toán

Tuân theo Mục 10 này, Bên xử lý dữ liệu sẽ cung cấp cho Công ty, theo yêu cầu, tất cả thông tin cần thiết để chứng minh việc tuân thủ Thỏa thuận này, đồng thời sẽ cho phép và đóng góp vào các cuộc kiểm toán, bao gồm cả thanh tra, do Công ty hoặc kiểm toán viên được Công ty ủy quyền thực hiện, liên quan đến việc Xử lý Dữ liệu cá nhân của công ty bởi các Bên xử lý theo hợp đồng. Công ty không được thực hiện quyền kiểm toán theo Mục này quá một lần mỗi năm dương lịch, ngoại trừ sau khi xảy ra sự cố Vi phạm dữ liệu cá nhân hoặc theo chỉ thị của cơ quan quản lý. Công ty phải gửi thông báo bằng văn bản cho Bên xử lý dữ liệu trước ít nhất sáu mươi (60) ngày về ý định kiểm toán của mình. Cuộc kiểm toán sẽ được tiến hành trong giờ làm việc của Bên xử lý dữ liệu, không làm gián đoạn hoạt động của Bên xử lý dữ liệu và phải đảm bảo bảo vệ Dữ liệu cá nhân của Công ty, Bên xử lý dữ liệu và các Chủ thể dữ liệu khác. Các Bên sẽ cùng nhau thỏa thuận trước về ngày, phạm vi, thời lượng cũng như các biện pháp kiểm soát bảo mật và tính bí mật áp dụng cho cuộc kiểm toán; Bên xử lý dữ liệu có thể yêu cầu thỏa thuận không tiết lộ thông tin trước khi kiểm toán. Quyền thông tin và kiểm toán theo Mục này chỉ phát sinh trong phạm vi Thỏa thuận này không trao cho Công ty các quyền thông tin và kiểm toán đáp ứng các yêu cầu liên quan của Luật bảo vệ dữ liệu. Khi Khách hàng được quản lý yêu cầu thông tin về việc Xử lý của Proton như một phần trong nghĩa vụ thẩm định của chính Công ty đối với Khách hàng được quản lý đó, Công ty có thể dựa vào Mục này để lấy thông tin cần thiết từ Bên xử lý dữ liệu và chuyển giao thông tin đó, nhưng bản thân Khách hàng được quản lý không có quyền kiểm toán độc lập đối với Bên xử lý dữ liệu.

11. Chuyển giao Dữ liệu

Trong phạm vi có thể, Bên xử lý dữ liệu sẽ chỉ chuyển giao hoặc cho phép chuyển giao Dữ liệu cá nhân của công ty đến các quốc gia thuộc Thụy Sĩ, EU và/hoặc các quốc gia tuân theo quyết định thỏa đáng, như được quy định tại Điều 45 GDPR và Điều 16 của FADP Thụy Sĩ. Nếu Dữ liệu Cá nhân của Công ty được Xử lý theo Thỏa thuận này được chuyển từ Thụy Sĩ, EU hoặc một quốc gia tuân theo quyết định thỏa đáng đến một quốc gia nằm ngoài phạm vi đó, các Bên sẽ đảm bảo rằng Dữ liệu Cá nhân được bảo vệ thỏa đáng, dựa trên các điều khoản hợp đồng tiêu chuẩn hiện hành đã được Thụy Sĩ, EU và/hoặc Vương quốc Anh phê duyệt, trừ khi có thỏa thuận khác, hoặc các cơ chế chuyển giao khác được quy định bởi Luật Bảo vệ Dữ liệu. Bên xử lý dữ liệu sẽ được ủy quyền thực hiện các chuyển giao như vậy cho Bên xử lý phụ với điều kiện là các biện pháp bảo vệ thỏa đáng được thực hiện có tính đến bản chất của việc chuyển giao.

12. Điều khoản Chung

12.1 Tuân thủ luật hiện hành. Bên xử lý dữ liệu sẽ Xử lý Dữ liệu cá nhân của công ty theo Thỏa thuận này và Luật bảo vệ dữ liệu áp dụng cho vai trò của mình theo Thỏa thuận này. Bên xử lý dữ liệu không chịu trách nhiệm tuân thủ Luật bảo vệ dữ liệu chỉ áp dụng riêng cho Công ty, hoặc cho bất kỳ Khách hàng được quản lý nào, theo đặc thù hoạt động kinh doanh hoặc ngành nghề tương ứng của họ.

12.2 Bảo mật. Mỗi Bên phải giữ bí mật mọi thông tin nhận được về Bên kia liên quan đến Thỏa thuận này, đồng thời không được sử dụng hoặc tiết lộ thông tin đó nếu không có sự đồng ý trước bằng văn bản của Bên kia, trừ trường hợp (a) việc tiết lộ là bắt buộc theo luật định, hoặc (b) thông tin đã được công khai không phải do lỗi của các Bên.

12.3 Thông báo. Các thông báo theo Thỏa thuận này phải được đưa ra theo các quy định về thông báo của Thỏa thuận chính. Các thông báo gửi đến Bên xử lý dữ liệu về các vấn đề bảo vệ dữ liệu phải được đồng gửi tới legal@proton.ch

12.4 Trách nhiệm pháp lý. Trách nhiệm pháp lý của mỗi Bên phát sinh từ hoặc liên quan đến Thỏa thuận này phải tuân theo và được giới hạn theo các điều khoản giới hạn trách nhiệm pháp lý của Thỏa thuận chính, bao gồm mọi mức giới hạn cụ thể được nêu trong đó đối với các vi phạm nghĩa vụ bảo mật và bảo vệ dữ liệu. Không có điều khoản nào trong Thỏa thuận này giới hạn trách nhiệm pháp lý của mỗi Bên đối với các khoản tiền phạt hoặc hình phạt do cơ quan giám sát có thẩm quyền áp đặt trực tiếp lên Bên đó phát sinh từ việc chính Bên đó vi phạm Luật bảo vệ dữ liệu hiện hành. Công ty thừa nhận rằng, với tư cách là bên duy nhất đóng vai trò Bên kiểm soát đối với Khách hàng được quản lý của mình, Công ty chịu trách nhiệm duy nhất đối với mọi trách nhiệm pháp lý mà Công ty phải gánh chịu đối với Khách hàng được quản lý vượt quá mức Công ty có thể bồi hoàn từ Bên xử lý dữ liệu theo giới hạn trách nhiệm pháp lý của Thỏa thuận chính.

12.5 Luật điều chỉnh và thẩm quyền giải quyết tranh chấp. Thỏa thuận này được điều chỉnh bởi luật pháp Thụy Sĩ mà không xét đến các quy định về lựa chọn hoặc xung đột pháp luật của bất kỳ khu vực tài phán nào khác, và các tranh chấp phát sinh từ hoặc liên quan đến Thỏa thuận này thuộc thẩm quyền giải quyết duy nhất của các tòa án tại Geneva, Thụy Sĩ.

12.6 Thứ tự ưu tiên. Trong trường hợp có sự khác biệt giữa Thỏa thuận này và Thỏa thuận chính liên quan đến việc Xử lý dữ liệu cá nhân, Thỏa thuận này sẽ được ưu tiên áp dụng, phù hợp với Mục 10.1 của Thỏa thuận chính. Trong trường hợp có sự khác biệt giữa bản tiếng Anh của Thỏa thuận này và bất kỳ bản dịch nào, bản tiếng Anh sẽ được ưu tiên áp dụng.