Thỏa thuận xử lý dữ liệu này (“Thỏa thuận”) quy định, theo Điều 28 của GDPR, cách Nubbo xử lý dữ liệu cá nhân mà bạn quản lý bằng dịch vụ khi bạn sử dụng dịch vụ với tư cách doanh nghiệp hoặc người hành nghề chuyên môn. Thỏa thuận là một phần của Điều khoản và điều kiện, văn bản có liên kết đến Thỏa thuận và được bạn chấp nhận khi đăng ký. Bạn chấp nhận Thỏa thuận khi sử dụng Nubbo.
1. Các bên và vai trò
- Bên kiểm soát dữ liệu: bạn, với tư cách chủ tài khoản Nubbo, sau đây gọi là “người dùng”.
- Bên xử lý dữ liệu: Gonzalo Vasco López, NIF ES34884272B, địa chỉ tại Rúa Farillon 10, 1ºE, 27890 San Ciprián, Lugo, Tây Ban Nha, chủ sở hữu Nubbo, sau đây gọi là “Nubbo”.
Thỏa thuận này không áp dụng cho dữ liệu mà Nubbo là bên kiểm soát: dữ liệu tài khoản của chính bạn, dữ liệu Nubbo xử lý vì sự an toàn của chính mình và để ngăn chặn lạm dụng, dữ liệu đo lường tổng hợp không dùng cookie, nhật ký gửi và danh sách chặn gửi của các email gửi thay mặt bạn, và việc nhận dạng người dùng Nubbo truy cập tài nguyên của bạn khi đã đăng nhập, như được mô tả trong Chính sách quyền riêng tư.
2. Đối tượng và thời hạn
Đối tượng của Thỏa thuận là việc xử lý dữ liệu cá nhân cần thiết để cung cấp cho bạn dịch vụ Nubbo được mô tả trong Điều khoản và điều kiện. Thỏa thuận có hiệu lực trong thời gian bạn duy trì tài khoản và sau đó cho đến khi dữ liệu bị xóa như quy định tại mục 11.
3. Bản chất và mục đích của việc xử lý
Nubbo chỉ xử lý dữ liệu để cung cấp dịch vụ cho bạn. Việc xử lý bao gồm: lưu chỉ mục tệp của bạn (tên, đường dẫn, kích thước và loại); tạo URL ký trước để tệp được truyền trực tiếp giữa trình duyệt và bộ lưu trữ của bạn; xuất bản và phục vụ các liên kết chia sẻ, thư viện ảnh, yêu cầu tệp và thành phần nhúng của bạn; ghi lại lượt xem, lượt tải xuống, lượt thích, bình luận và tệp tải lên của khách truy cập và hiển thị thống kê cho bạn; thay mặt bạn gửi qua email lời mời, bản giao, lời nhắc và mật khẩu; đọc tạm thời nội dung tệp để tạo hình thu nhỏ, kích thước thư viện ảnh và hình mờ, cũng như chạy các tự động hóa của bạn; và chỉ khi bạn đồng ý, gửi tới Nubbo AI nội dung cần thiết cho những gì bạn yêu cầu.
4. Chủ thể dữ liệu và loại dữ liệu
Chủ thể dữ liệu: khách truy cập liên kết, thư viện ảnh, yêu cầu tệp và thành phần nhúng của bạn; những người bạn mời hoặc gửi nội dung; những người có dữ liệu xuất hiện trong tệp, tên tệp hoặc trong các cuộc trò chuyện của bạn với Nubbo AI; và bất kỳ người nào khác mà bạn quyết định xử lý dữ liệu bằng Nubbo.
Loại dữ liệu: dữ liệu nhận dạng và liên hệ (tên và email); dữ liệu sử dụng tài nguyên của bạn (lượt xem, lượt tải xuống, lượt thích, bình luận, tìm kiếm và tệp tải lên); một mã nhận dạng khách truy cập thay đổi mỗi ngày, được suy ra từ địa chỉ IP và trình duyệt, quốc gia và loại thiết bị; siêu dữ liệu tệp (tên, đường dẫn, kích thước và loại); nội dung tệp, được xử lý tạm thời; và dữ liệu bạn đưa vào tệp và văn bản của mình.
Loại dữ liệu đặc biệt: Nubbo không được thiết kế để xử lý các loại dữ liệu cá nhân đặc biệt (Điều 9 của GDPR). Nếu bạn lưu chúng trong Nubbo, bạn phải bảo đảm có cơ sở pháp lý cho phép việc đó. Để bảo vệ chúng, chúng tôi khuyên dùng mã hóa zero-knowledge, với đó Nubbo không thể đọc cả nội dung lẫn tên các tệp của bạn. Xin lưu ý rằng nếu bạn gửi một trong các tệp đó tới Nubbo AI, nội dung của tệp vẫn được xử lý để trả lời bạn (mục 9 của Chính sách quyền riêng tư).
5. Chỉ dẫn bằng văn bản
Nubbo chỉ xử lý dữ liệu theo chỉ dẫn bằng văn bản của bạn. Việc bạn sử dụng dịch vụ và cấu hình của dịch vụ (những gì bạn tải lên, chia sẻ, xuất bản, gửi, tự động hóa hoặc yêu cầu Nubbo AI) tạo thành các chỉ dẫn đó. Nubbo không xử lý dữ liệu cho mục đích riêng. Nếu một quy định của Liên minh châu Âu hoặc của một quốc gia thành viên buộc Nubbo xử lý dữ liệu theo cách khác, Nubbo sẽ thông báo cho bạn trước, trừ khi quy định đó cấm. Nếu Nubbo cho rằng một chỉ dẫn vi phạm quy định về bảo vệ dữ liệu, Nubbo sẽ thông báo ngay cho bạn.
6. Bảo mật thông tin
Những người được Nubbo ủy quyền xử lý dữ liệu có nghĩa vụ giữ bí mật, theo cam kết rõ ràng hoặc theo nghĩa vụ pháp lý.
7. An ninh
Nubbo áp dụng các biện pháp kỹ thuật và tổ chức theo Điều 32 của GDPR được mô tả trong Phụ lục I và có thể cải thiện chúng, miễn là không làm giảm mức độ bảo vệ.
8. Bên xử lý phụ
- Bạn trao cho Nubbo sự cho phép chung để sử dụng các bên xử lý phụ trong danh sách bên xử lý phụ. Danh sách đó cũng bao gồm các nhà cung cấp chỉ xử lý dữ liệu mà Nubbo là bên kiểm soát, như Creem.
- Nubbo ký với mỗi bên xử lý phụ một hợp đồng áp đặt các nghĩa vụ bảo vệ dữ liệu giống như Thỏa thuận này, với các bảo đảm đầy đủ, theo Điều 28.4 của GDPR, và vẫn chịu trách nhiệm trước bạn về việc tuân thủ của họ.
- Trước khi bổ sung hoặc thay thế một bên xử lý phụ, Nubbo sẽ cập nhật danh sách và thông báo qua email hoặc trong ứng dụng không chậm trễ và trước ít nhất 10 ngày.
- Bạn có thể phản đối thay đổi vì lý do hợp lý về bảo vệ dữ liệu bằng cách viết thư đến [email protected]. Nếu chúng tôi không tìm được giải pháp, bạn có thể chấm dứt dịch vụ bằng cách xóa tài khoản trước khi thay đổi được áp dụng, và chúng tôi sẽ hoàn lại phần tương ứng của số tiền bạn đã trả trước mà chưa sử dụng.
9. Hỗ trợ
- Quyền của chủ thể dữ liệu: Nubbo giúp bạn đáp ứng các quyền này bằng các tính năng của dịch vụ (xem, xuất, tắt và xóa tài nguyên của bạn; khi xóa một tài nguyên, dữ liệu của khách truy cập tài nguyên đó cũng bị xóa) và, nếu chưa đủ, bằng cách trả lời các yêu cầu của bạn qua email. Nếu một chủ thể dữ liệu liên hệ với Nubbo, Nubbo sẽ chuyển yêu cầu cho bạn không chậm trễ.
- An ninh, vi phạm, đánh giá tác động và tham vấn trước: Nubbo sẽ giúp bạn tuân thủ các Điều từ 32 đến 36 của GDPR, có tính đến bản chất của việc xử lý và thông tin mà Nubbo có: bằng các biện pháp trong Phụ lục I, bằng việc thông báo vi phạm theo mục 10 và bằng cách cung cấp cho bạn thông tin cần thiết cho đánh giá tác động hoặc tham vấn trước với cơ quan giám sát.
10. Vi phạm an ninh
Nếu Nubbo gặp sự cố vi phạm an ninh ảnh hưởng đến dữ liệu mà Nubbo xử lý thay mặt bạn, Nubbo sẽ thông báo cho bạn không chậm trễ quá mức và, trong mọi trường hợp, trong vòng tối đa 48 giờ kể từ khi biết, qua email đến địa chỉ của tài khoản bạn. Thông báo sẽ bao gồm thông tin theo Điều 33.3 của GDPR mà Nubbo có tại thời điểm đó và Nubbo sẽ bổ sung phần còn lại ngay khi có.
11. Kết thúc việc xử lý
Trước khi xóa tài khoản, bạn có thể tải dữ liệu của mình từ Cài đặt › Hồ sơ. Khi xóa tài khoản, dữ liệu được lưu giữ trong thời gian ân hạn 30 ngày, trừ khi bạn chọn xóa ngay, rồi sau đó bị xóa. Dữ liệu có thể còn trong các bản sao lưu tối đa 14 ngày trước khi bị xóa. Các tệp trong bộ lưu trữ của bạn thuộc về bạn và Nubbo không xóa chúng, trừ các hình thu nhỏ và phiên bản mà Nubbo đã tạo ở đó. Tất cả những điều trên áp dụng trừ khi một quy định buộc phải lưu giữ một số dữ liệu.
Vì nguyên tắc tối thiểu hóa, bản xuất cung cấp dữ liệu của khách truy cập và người nhận ở dạng bí danh hóa (email bị che, tên rút gọn còn chữ cái đầu và bí danh thay cho mã nhận dạng phiên). Với tư cách bên kiểm soát những dữ liệu đó, bạn có thể xem chúng trong ứng dụng hoặc yêu cầu chúng tôi phiên bản đầy đủ qua [email protected] và chúng tôi sẽ cung cấp trong thời hạn tối đa một tháng.
12. Kiểm toán
Nubbo cung cấp cho bạn thông tin cần thiết để chứng minh việc tuân thủ Thỏa thuận này: tài liệu này, Chính sách quyền riêng tư, danh sách bên xử lý phụ và câu trả lời bằng văn bản cho các câu hỏi hợp lý của bạn. Nếu một cơ quan giám sát yêu cầu hoặc thông tin đó không đủ để chứng minh việc tuân thủ, chúng tôi sẽ thống nhất với bạn một cuộc kiểm toán hợp lý, do bạn hoặc một kiểm toán viên do bạn chỉ định thực hiện, bằng chi phí của bạn, với thông báo trước đầy đủ, với nghĩa vụ bảo mật và không truy cập dữ liệu của người dùng khác.
13. Chuyển dữ liệu quốc tế
Nubbo chỉ chuyển dữ liệu ra ngoài Khu vực Kinh tế châu Âu cho các bên xử lý phụ trong danh sách và với các biện pháp bảo đảm theo Chương V của GDPR được nêu trong đó: Điều khoản Hợp đồng Tiêu chuẩn được Ủy ban châu Âu phê duyệt và, khi phù hợp, EU-U.S. Data Privacy Framework.
14. Trách nhiệm
Trách nhiệm của mỗi bên được điều chỉnh bởi mục giới hạn trách nhiệm của Điều khoản và điều kiện, không ảnh hưởng đến trách nhiệm đối với chủ thể dữ liệu theo Điều 82 của GDPR.
15. Thứ tự ưu tiên và luật áp dụng
Về vấn đề bảo vệ dữ liệu, Thỏa thuận này được ưu tiên hơn Điều khoản và điều kiện. Đối với các vấn đề khác, Điều khoản và điều kiện được áp dụng, bao gồm luật áp dụng và thẩm quyền của văn bản đó.
Phụ lục I. Biện pháp an ninh
- Mã hóa AES-256-GCM cho thông tin xác thực của các bucket của bạn, các khóa bí mật xác thực hai yếu tố và các cuộc trò chuyện với Nubbo AI, với khóa được lưu ngoài cơ sở dữ liệu.
- Mã hóa zero-knowledge tùy chọn trong trình duyệt của bạn, với đó Nubbo không thể đọc nội dung hay tên của các tệp đã mã hóa, trừ khi chính bạn gửi một tệp cụ thể tới Nubbo AI (mục 9 của Chính sách quyền riêng tư).
- Mật khẩu được lưu bằng hàm băm bcrypt.
- Xác thực hai yếu tố (TOTP) tùy chọn, kèm mã khôi phục.
- Tệp được truyền trực tiếp giữa trình duyệt và bộ lưu trữ của bạn bằng URL ký trước; máy chủ chỉ đọc nội dung tạm thời, không lưu giữ.
- Kết nối được mã hóa bằng HTTPS (TLS 1.2 trở lên) và máy chủ web chỉ truy cập được qua mạng bảo vệ của Cloudflare.
- Phiên tự động hết hạn, quản lý các phiên đang hoạt động và cảnh báo đăng nhập từ thiết bị mới.
- Nhật ký hoạt động của tài khoản và của các lượt truy cập vào nội dung được chia sẻ với mọi người.
- Giới hạn yêu cầu theo địa chỉ IP và captcha trên các biểu mẫu.
- Bản sao lưu cơ sở dữ liệu (liên tục, hằng ngày và hằng đêm), được mã hóa trước khi rời khỏi máy chủ và lưu tại Liên minh châu Âu trong 14 ngày. Việc khôi phục được kiểm tra hằng tuần.
- Máy chủ và cơ sở dữ liệu tại Liên minh châu Âu, chỉ truy cập được qua mạng riêng; quyền truy cập vào hệ thống vận hành chính thức chỉ giới hạn cho chủ sở hữu và những người được ủy quyền, với đặc quyền tối thiểu cần thiết.
Phụ lục II. Bên xử lý phụ
Danh sách cập nhật các bên xử lý phụ, với mục đích, dữ liệu họ xử lý, vị trí và biện pháp bảo đảm của họ, có trên trang bên xử lý phụ.
Liên hệ
Mọi câu hỏi về Thỏa thuận này, vui lòng viết thư đến [email protected].