CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúc
THỎA THUẬN XỬ LÝ DỮ LIỆU CÁ NHÂN
Thành phố Hồ Chí Minh, ngày 26 tháng 07 năm 2026
- Căn cứ Bộ luật Dân sự số 91/2015/QH13;
- Căn cứ Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15;
- Căn cứ Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân;
- Căn cứ vào nhu cầu và khả năng của các bên.
BÊN KIỂM SOÁT DỮ LIỆU CÁ NHÂN
Họ và tên:
................
Sinh ngày:
................
Số CCCD:
................
Ngày cấp:
................
Nơi cấp:
................
Địa chỉ thường trú:
................
Nơi ở hiện tại:
................
(Sau đây gọi tắt là Bên kiểm soát)
BÊN XỬ LÝ DỮ LIỆU CÁ NHÂN
Họ và tên:
................
Sinh ngày:
................
Số CCCD:
................
Ngày cấp:
................
Nơi cấp:
................
Địa chỉ thường trú:
................
Nơi ở hiện tại:
................
(Sau đây gọi tắt là Bên xử lý)
DỮ LIỆU CÁ NHÂN ĐƯỢC XỬ LÝ
Theo Thỏa thuận này, Bên kiểm soát là bên quyết định mục đích và phương tiện xử lý dữ liệu cá nhân. Bên xử lý thực hiện việc xử lý dữ liệu cá nhân theo yêu cầu của Bên kiểm soát.
Dữ liệu cá nhân được xử lý bao gồm:
Việc xử lý dữ liệu cá nhân được thực hiện theo các thông tin sau:
Chủ thể dữ liệu: ................;
Nguồn dữ liệu: ................;
Mục đích xử lý: ................;
Hoạt động xử lý: ................;
Thời hạn xử lý: ................;
Biện pháp bảo vệ dữ liệu cá nhân: .................
Phạm vi và nguyên tắc xử lý dữ liệu cá nhân
Bên xử lý chỉ được xử lý dữ liệu cá nhân theo đúng mục đích, phạm vi, hoạt động và thời hạn đã được các bên thỏa thuận trong Thỏa thuận này và theo hướng dẫn hợp pháp của Bên kiểm soát.
Bên xử lý không được tự xác định mục đích xử lý, sử dụng dữ liệu cá nhân cho lợi ích riêng hoặc cung cấp, tiết lộ, chuyển giao dữ liệu cá nhân cho bên thứ ba khi chưa có sự đồng ý bằng văn bản của Bên kiểm soát, trừ trường hợp pháp luật có quy định khác.
Trường hợp thuê bên thứ ba tham gia xử lý dữ liệu cá nhân, Bên xử lý phải được Bên kiểm soát chấp thuận trước bằng văn bản và bảo đảm bên thứ ba đó chịu các nghĩa vụ bảo vệ dữ liệu cá nhân tương đương với nghĩa vụ của Bên xử lý theo Thỏa thuận này.
THỜI HẠN XỬ LÝ DỮ LIỆU CÁ NHÂN
Bên xử lý chỉ được xử lý dữ liệu cá nhân trong thời hạn ................. Việc xử lý phải chấm dứt khi hết thời hạn, khi mục đích xử lý đã hoàn thành hoặc khi Thỏa thuận này chấm dứt, tùy thời điểm nào xảy ra trước.
Khi chấm dứt xử lý, việc hoàn trả, xóa hoặc hủy dữ liệu cá nhân và các bản sao được thực hiện theo quy định tại Thỏa thuận này.
Nghĩa vụ bảo mật và bảo vệ dữ liệu cá nhân tiếp tục có hiệu lực trong suốt thời gian Bên xử lý còn lưu giữ hoặc có khả năng truy cập dữ liệu cá nhân.
QUYỀN KIỂM SOÁT VÀ GIỚI HẠN SỬ DỤNG DỮ LIỆU CÁ NHÂN
Bên kiểm soát giữ quyền quyết định mục đích và phương tiện xử lý đối với dữ liệu cá nhân được giao cho Bên xử lý xử lý theo Thỏa thuận này.
Việc tiếp nhận dữ liệu cá nhân không làm phát sinh cho Bên xử lý quyền sở hữu, quyền tự quyết định mục đích xử lý hoặc quyền sử dụng dữ liệu cá nhân cho hoạt động riêng của mình.
Các quyền của chủ thể dữ liệu đối với dữ liệu cá nhân của họ không bị hạn chế bởi Thỏa thuận này.
QUYỀN VÀ NGHĨA VỤ CỦA Bên kiểm soát
Quyền của Bên kiểm soát
Bên kiểm soát có quyền yêu cầu Bên xử lý xử lý dữ liệu cá nhân đúng mục đích, phạm vi, hoạt động và thời hạn đã thỏa thuận.
Bên kiểm soát có quyền yêu cầu Bên xử lý cung cấp thông tin, tài liệu và xác nhận cần thiết để kiểm tra việc tuân thủ Thỏa thuận này.
Bên kiểm soát có quyền yêu cầu Bên xử lý tạm dừng việc xử lý, khắc phục vi phạm, hoàn trả, xóa hoặc hủy dữ liệu cá nhân khi phát hiện việc xử lý không phù hợp với Thỏa thuận này.
Nghĩa vụ của Bên kiểm soát
Bên kiểm soát có nghĩa vụ bảo đảm việc thu thập và cung cấp dữ liệu cá nhân cho Bên xử lý có căn cứ hợp pháp.
Bên kiểm soát có nghĩa vụ cung cấp cho Bên xử lý đầy đủ thông tin và hướng dẫn cần thiết để thực hiện việc xử lý dữ liệu cá nhân.
Bên kiểm soát có nghĩa vụ thông báo kịp thời cho Bên xử lý khi có thay đổi về mục đích, phạm vi, hoạt động hoặc thời hạn xử lý.
Bên kiểm soát có nghĩa vụ phối hợp với Bên xử lý xử lý yêu cầu của chủ thể dữ liệu và sự cố liên quan đến dữ liệu cá nhân.
QUYỀN VÀ NGHĨA VỤ CỦA Bên xử lý
Quyền của Bên xử lý
Bên xử lý có quyền yêu cầu Bên kiểm soát cung cấp đầy đủ dữ liệu, thông tin và hướng dẫn cần thiết để thực hiện việc xử lý.
Bên xử lý có quyền yêu cầu Bên kiểm soát làm rõ hoặc điều chỉnh hướng dẫn nếu phát hiện hướng dẫn không đầy đủ, không rõ ràng hoặc có dấu hiệu không phù hợp với quy định pháp luật.
Nghĩa vụ của Bên xử lý
Bên xử lý chỉ được xử lý dữ liệu cá nhân theo phạm vi đã thỏa thuận và hướng dẫn hợp pháp của Bên kiểm soát.
Bên xử lý có nghĩa vụ áp dụng các biện pháp cần thiết để bảo mật, bảo vệ và ngăn ngừa việc truy cập, sử dụng, tiết lộ, thay đổi hoặc mất dữ liệu cá nhân trái phép.
Bên xử lý có nghĩa vụ bảo đảm nhân sự được phép tiếp cận dữ liệu cá nhân tuân thủ nghĩa vụ bảo mật và chỉ được tiếp cận trong phạm vi cần thiết để thực hiện công việc.
Bên xử lý không được cung cấp dữ liệu cá nhân hoặc thuê bên thứ ba xử lý dữ liệu khi chưa được Bên kiểm soát chấp thuận bằng văn bản.
Bên xử lý có nghĩa vụ thông báo và phối hợp xử lý hành vi vi phạm, sự cố hoặc nguy cơ ảnh hưởng đến dữ liệu cá nhân theo quy định tại Thỏa thuận này.
Bên xử lý có nghĩa vụ hỗ trợ Bên kiểm soát xử lý yêu cầu của chủ thể dữ liệu trong phạm vi công việc được giao.
Trường hợp hoạt động xử lý dữ liệu cá nhân thuộc diện phải đánh giá tác động theo quy định pháp luật, Bên xử lý có nghĩa vụ lập, lưu trữ và cập nhật hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo thỏa thuận với Bên kiểm soát, đồng thời cung cấp thông tin, tài liệu liên quan khi Bên kiểm soát yêu cầu.
Khi chấm dứt việc xử lý, Bên xử lý phải hoàn trả, xóa hoặc hủy dữ liệu cá nhân theo thỏa thuận tại Thỏa thuận này.
Thông báo và xử lý sự cố, vi phạm dữ liệu cá nhân
Khi phát hiện hành vi vi phạm, sự cố hoặc nguy cơ ảnh hưởng đến dữ liệu cá nhân, Bên xử lý phải thông báo cho Bên kiểm soát trong vòng 24 (hai mươi bốn) giờ kể từ thời điểm phát hiện.
Thông báo phải bao gồm các thông tin đã xác định được về tính chất sự việc, thời điểm xảy ra, loại dữ liệu và số lượng chủ thể dữ liệu bị ảnh hưởng, hậu quả có thể phát sinh và các biện pháp đã hoặc dự kiến áp dụng để xử lý.
Bên xử lý phải kịp thời ngăn chặn, hạn chế thiệt hại, bảo toàn thông tin cần thiết để xác minh sự việc và phối hợp với Bên kiểm soát thực hiện nghĩa vụ thông báo, khắc phục hậu quả theo quy định pháp luật.
Tạm ngừng và chấm dứt xử lý dữ liệu cá nhân
Bên kiểm soát có quyền yêu cầu Bên xử lý tạm ngừng toàn bộ hoặc một phần hoạt động xử lý dữ liệu cá nhân khi phát hiện việc xử lý không phù hợp với Thỏa thuận này, có nguy cơ ảnh hưởng đến quyền của chủ thể dữ liệu hoặc không bảo đảm an toàn dữ liệu cá nhân.
Khi nhận được yêu cầu tạm ngừng, Bên xử lý phải ngừng hoạt động xử lý có liên quan và áp dụng các biện pháp cần thiết để bảo vệ dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác.
Ngoài các trường hợp quy định tại Điều 3, Bên kiểm soát có quyền yêu cầu Bên xử lý chấm dứt toàn bộ hoặc một phần hoạt động xử lý dữ liệu cá nhân. Bên xử lý phải thực hiện yêu cầu này, trừ trường hợp pháp luật có quy định khác.
Việc tạm ngừng hoặc chấm dứt xử lý dữ liệu cá nhân không làm chấm dứt nghĩa vụ bảo mật, bảo vệ, hoàn trả, xóa hoặc hủy dữ liệu cá nhân của Bên xử lý.
Hoàn trả, xóa và hủy dữ liệu cá nhân
Khi hết thời hạn xử lý hoặc khi Thỏa thuận này chấm dứt, Bên xử lý phải chấm dứt toàn bộ hoạt động xử lý dữ liệu cá nhân. Trường hợp nhận được yêu cầu hợp pháp của Bên kiểm soát về việc chấm dứt toàn bộ hoặc một phần hoạt động xử lý, Bên xử lý phải chấm dứt phần hoạt động xử lý tương ứng.
Trong vòng 7 (bảy) ngày làm việc kể từ thời điểm chấm dứt xử lý, Bên xử lý phải hoàn trả, xóa hoặc hủy dữ liệu cá nhân, tài liệu có chứa dữ liệu cá nhân và các bản sao thuộc phạm vi chấm dứt xử lý theo phương án do Bên kiểm soát chỉ định, trừ phần dữ liệu phải tiếp tục lưu giữ theo quy định pháp luật.
Trường hợp dữ liệu cá nhân được lưu trong hệ thống sao lưu và không thể xóa ngay, Bên xử lý phải cô lập dữ liệu, không tiếp tục xử lý và thực hiện việc xóa theo chu kỳ sao lưu áp dụng.
Đối với phần dữ liệu phải tiếp tục lưu giữ theo quy định pháp luật, Bên xử lý chỉ được sử dụng dữ liệu để thực hiện nghĩa vụ lưu giữ và phải tiếp tục áp dụng các biện pháp bảo mật, bảo vệ dữ liệu cá nhân.
Bên xử lý phải xác nhận việc hoàn trả, xóa hoặc hủy dữ liệu cá nhân bằng văn bản hoặc email cho Bên kiểm soát trong vòng 7 (bảy) ngày làm việc kể từ ngày hoàn tất.
BẤT KHẢ KHÁNG
Bên bị ảnh hưởng bởi sự kiện bất khả kháng phải thông báo kịp thời cho bên còn lại và áp dụng các biện pháp cần thiết để hạn chế ảnh hưởng đến dữ liệu cá nhân.
Sự kiện bất khả kháng không loại trừ nghĩa vụ bảo mật, bảo vệ dữ liệu cá nhân, thông báo sự cố và phối hợp khắc phục hậu quả của các bên.
Sửa đổi và chấm dứt Thỏa thuận
Mọi sửa đổi, bổ sung đối với Thỏa thuận này chỉ có giá trị khi được các bên thỏa thuận và xác nhận bằng văn bản hoặc email.
Thỏa thuận này chấm dứt khi các bên thỏa thuận bằng văn bản, khi mục đích xử lý dữ liệu cá nhân đã hoàn thành và các bên đã thực hiện xong các nghĩa vụ liên quan hoặc khi một bên đơn phương chấm dứt thực hiện Thỏa thuận này theo quy định tại Điều này.
Một bên có quyền đơn phương chấm dứt thực hiện Thỏa thuận này nếu bên còn lại vi phạm nghĩa vụ và không khắc phục trong thời hạn 5 (năm) ngày làm việc kể từ ngày nhận được thông báo yêu cầu khắc phục.
Trường hợp vi phạm nghĩa vụ bảo mật, xử lý dữ liệu cá nhân sai mục đích hoặc cung cấp, tiết lộ, chuyển giao dữ liệu cá nhân trái phép, bên bị vi phạm có quyền đơn phương chấm dứt thực hiện Thỏa thuận này ngay sau khi thông báo cho bên vi phạm.
Việc đơn phương chấm dứt thực hiện Thỏa thuận này phải được thông báo cho bên còn lại bằng văn bản hoặc email và có hiệu lực kể từ thời điểm bên còn lại nhận được thông báo, trừ khi thông báo có nêu thời điểm khác.
Việc chấm dứt Thỏa thuận này không làm chấm dứt nghĩa vụ bảo mật, bảo vệ, hoàn trả, xóa hoặc hủy dữ liệu cá nhân, trách nhiệm bồi thường thiệt hại và thỏa thuận về giải quyết tranh chấp.
Trách nhiệm do vi phạm Thỏa thuận
Bên vi phạm nghĩa vụ theo Thỏa thuận này có trách nhiệm chấm dứt hành vi vi phạm, khắc phục hậu quả và tiếp tục thực hiện nghĩa vụ nếu nghĩa vụ vẫn còn có thể thực hiện.
Bên vi phạm phải bồi thường toàn bộ thiệt hại thực tế, trực tiếp phát sinh từ hành vi vi phạm cho bên bị vi phạm.
Bên yêu cầu bồi thường có trách nhiệm chứng minh thiệt hại và áp dụng các biện pháp hợp lý để hạn chế thiệt hại.
Việc bồi thường thiệt hại không loại trừ quyền yêu cầu tiếp tục thực hiện nghĩa vụ, tạm ngừng hoặc đơn phương chấm dứt thực hiện Thỏa thuận này.
Giải quyết tranh chấp
Mọi tranh chấp phát sinh từ hoặc liên quan đến Thỏa thuận này, bao gồm cả các vấn đề về hiệu lực hoặc chấm dứt Thỏa thuận, sẽ được ưu tiên giải quyết thông qua thương lượng.
Nếu thương lượng không thành, tranh chấp sẽ được đưa ra giải quyết tại Tòa án nhân dân có thẩm quyền.
ĐIỀU KHOẢN CHUNG
Thỏa thuận này có hiệu lực kể từ ngày ký.
Không bên nào được tự ý chuyển giao quyền và nghĩa vụ theo Thỏa thuận này cho bên thứ ba khi chưa có sự đồng ý của bên còn lại.
Nếu một điều khoản bị cơ quan có thẩm quyền tuyên vô hiệu hoặc không thể thi hành, các điều khoản còn lại vẫn có hiệu lực, với điều kiện việc đó không ảnh hưởng đến mục đích và khả năng thực hiện Thỏa thuận. Các bên sẽ thỏa thuận thay thế điều khoản đó bằng điều khoản hợp pháp có mục đích tương đương.
Thỏa thuận này được lập thành 2 (hai) bản có giá trị như nhau, mỗi bên giữ 1 (một) bản.
BÊN KIỂM SOÁT DỮ LIỆU CÁ NHÂN
................................
BÊN XỬ LÝ DỮ LIỆU CÁ NHÂN
................................