Phụ lục xử lý dữ liệu

Cập nhật lần cuối: 05/11/2026.

Phụ lục xử lý dữ liệu (DPA) này áp dụng khi khách hàng sử dụng Valefront để xử lý dữ liệu cá nhân trong câu lệnh (prompt), phản hồi hoặc nội dung API khác. Khách hàng là bên kiểm soát dữ liệu (hoặc là bên xử lý dữ liệu thay mặt cho một bên kiểm soát khác) và Valefront là bên xử lý dữ liệu. Trang này mô tả các điều khoản có thể được ký kết; liên hệ với chúng tôi để ký.

1. Chỉ dẫn và phạm vi

Valefront chỉ xử lý dữ liệu của khách hàng theo chỉ dẫn được ghi nhận bằng văn bản của khách hàng, bao gồm để cung cấp, bảo mật, giám sát và hỗ trợ API, và để định tuyến yêu cầu đến nhà cung cấp do dịch vụ lựa chọn. Khách hàng chịu trách nhiệm bảo đảm rằng các chỉ dẫn và việc sử dụng dịch vụ của mình tuân thủ pháp luật hiện hành, và chịu trách nhiệm gửi các thông báo bắt buộc đến chủ thể dữ liệu.

2. Bảo mật thông tin

Valefront sẽ bảo đảm rằng những người được phép xử lý dữ liệu của khách hàng chịu ràng buộc bởi nghĩa vụ bảo mật và nhận được chỉ dẫn phù hợp. Valefront sẽ không tiết lộ dữ liệu của khách hàng, trừ khi theo chỉ dẫn, theo yêu cầu của pháp luật, hoặc thông qua các bên xử lý phụ cần thiết để cung cấp dịch vụ.

3. An ninh

Valefront sẽ duy trì các biện pháp kỹ thuật và tổ chức phù hợp với rủi ro của hoạt động xử lý, bao gồm kiểm soát truy cập, xác thực, mã hóa khi truyền tải, giám sát dịch vụ, quyền truy cập vận hành theo nguyên tắc đặc quyền tối thiểu và các biện pháp bảo đảm khả năng phục hồi phù hợp với dịch vụ. Dữ liệu của khách hàng được gửi đến các nhà cung cấp mô hình được xử lý theo điều khoản của nhà cung cấp và thỏa thuận xử lý dữ liệu tương ứng.

4. Bên xử lý phụ

Valefront có thể sử dụng các bên xử lý phụ để cung cấp hạ tầng, tài khoản, suy luận mô hình hoặc giọng nói, email, thanh toán, an ninh và hỗ trợ. Danh sách hiện hành có tại /subprocessors. Khách hàng được thông báo trước khi có thay đổi quan trọng và có thể liên hệ Valefront để đặt câu hỏi hoặc phản đối khi pháp luật yêu cầu.

5. Hỗ trợ

Có tính đến bản chất của hoạt động xử lý, Valefront sẽ hỗ trợ khách hàng một cách hợp lý đối với các yêu cầu từ chủ thể dữ liệu, nghĩa vụ về an ninh, đánh giá tác động và tham vấn với cơ quan quản lý có thẩm quyền. Các yêu cầu cần được gửi tới [email protected].

6. Vi phạm dữ liệu cá nhân

Valefront sẽ thông báo cho khách hàng không chậm trễ một cách bất hợp lý, và trong vòng 72 giờ nếu khả thi, sau khi biết về một vi phạm dữ liệu cá nhân ảnh hưởng đến dữ liệu của khách hàng. Thông báo sẽ mô tả, trong phạm vi đã biết tại thời điểm đó, bản chất của vi phạm, loại và khối lượng ước tính của dữ liệu liên quan, hậu quả có thể xảy ra và các biện pháp đã hoặc dự kiến thực hiện. Valefront sẽ cung cấp thêm thông tin khi có và sẽ thực hiện các bước hợp lý để ngăn chặn và khắc phục vi phạm.

7. Chuyển dữ liệu ra nước ngoài

Dữ liệu của khách hàng có thể được xử lý tại các địa điểm nêu tại trang bên xử lý phụ. Khi pháp luật hiện hành yêu cầu biện pháp bảo vệ cho việc chuyển dữ liệu, Valefront dựa vào Điều khoản hợp đồng mẫu (Standard Contractual Clauses) hoặc cơ chế tương đương, cùng điều khoản xử lý dữ liệu của các nhà cung cấp, và hoàn tất các hồ sơ cần nộp theo pháp luật Việt Nam về bảo vệ dữ liệu cá nhân.

8. Lưu giữ, trả lại và xóa dữ liệu

Valefront không lưu nội dung câu lệnh hoặc phản hồi sau khi yêu cầu đã được trả lời. Thông tin tài khoản, khóa API, hồ sơ sử dụng và hồ sơ thanh toán được lưu giữ trong thời gian tài khoản còn hoạt động. Khi khách hàng đóng tài khoản hoặc yêu cầu xóa, Valefront xóa hoặc trả lại dữ liệu cá nhân của khách hàng trong vòng 30 ngày, trừ các hồ sơ phải lưu giữ theo quy định của pháp luật: hồ sơ kế toán và thanh toán, bao gồm hóa đơn và chứng từ thanh toán, được lưu giữ trong 10 năm theo pháp luật kế toán Việt Nam.

9. Kiểm toán và thông tin

Valefront sẽ cung cấp các thông tin cần thiết một cách hợp lý để chứng minh việc tuân thủ DPA này, bao gồm bản tóm tắt các biện pháp an ninh và chứng nhận của các bên xử lý phụ nếu có. Trường hợp các thông tin đó không đủ và pháp luật yêu cầu, khách hàng có thể yêu cầu kiểm toán mỗi năm một lần, với thông báo trước ít nhất 30 ngày, do khách hàng tự chịu chi phí, và được thực hiện theo cách bảo vệ dữ liệu của các khách hàng khác và thông tin bảo mật của Valefront.

10. Thời hạn, trách nhiệm pháp lý và thứ tự ưu tiên áp dụng

DPA này có hiệu lực trong suốt thời gian Valefront xử lý dữ liệu của khách hàng cho khách hàng. DPA là một phần của Điều khoản dịch vụ, và các giới hạn trách nhiệm pháp lý trong Điều khoản được áp dụng cho DPA. Nếu DPA và Điều khoản mâu thuẫn về việc bảo vệ dữ liệu cá nhân, DPA được ưu tiên áp dụng.

11. Ký kết và liên hệ

Để ký DPA này, hoặc nếu có bất kỳ câu hỏi nào về DPA, vui lòng liên hệ [email protected].