Phụ lục xử lý dữ liệu — World-Meeting

PHỤ LỤC XỬ LÝ DỮ LIỆU — WORLD-MEETING

Phụ lục B2B
Phiên bản: 1.0
Ngày có hiệu lực: 27 tháng 5 năm 2026

1. Mục đích

Phụ lục xử lý dữ liệu này, hoặc “DPA”, quy định các điều kiện theo đó World-Meeting xử lý dữ liệu cá nhân thay mặt một Client doanh nghiệp trong liên quan đến Dịch vụ.

DPA bổ sung cho Điều kiện Sử dụng, Điều kiện Bán hàng, Chính sách bảo mật, Chính sách hoàn tiền và hủy và Thông báo pháp lý.

DPA áp dụng khi Client hành động với tư cách bên kiểm soát và World-Meeting hành động với tư cách bên xử lý theo nghĩa của GDPR hoặc luật bảo vệ dữ liệu tương đương áp dụng.

DPA này dành cho Client doanh nghiệp và không nhất thiết cần hiển thị trong footer chính của Site, miễn là được cung cấp cho Client doanh nghiệp liên quan khi cần.

2. Các bên

“Client” là thực thể chuyên nghiệp, tổ chức, hiệp hội, cơ sở, cơ sở giáo dục, tổ chức đào tạo, công ty hoặc người hành động trong bối cảnh chuyên nghiệp đặt mua hoặc sử dụng World-Meeting để tổ chức room có participant riêng của mình.

“World-Meeting” là đơn vị vận hành Dịch vụ.

Client và World-Meeting cùng được gọi là “Các bên”.

3. Vai trò của các bên

Đối với hoạt động xử lý được thực hiện để cung cấp room theo thiết lập do Client chọn, bao gồm chấp thuận participant, truyền âm thanh/video, dịch, phụ đề, tin nhắn và hoạt động của room, World-Meeting hành động với tư cách bên xử lý của Client khi Client xác định các mục đích và phương tiện thiết yếu của hoạt động xử lý.

Đối với hoạt động xử lý được thực hiện cho mục đích riêng của World-Meeting, bao gồm thanh toán, lập hóa đơn, thuế, phòng chống gian lận, bảo mật Site, quản lý tranh chấp, bằng chứng Stripe, cải thiện Dịch vụ, thống kê tổng hợp, tuân thủ pháp lý và bảo vệ quyền, World-Meeting hành động với tư cách bên kiểm soát độc lập.

DPA này chỉ áp dụng cho hoạt động xử lý do World-Meeting thực hiện với tư cách bên xử lý.

4. Chỉ dẫn được ghi nhận

Client chỉ dẫn World-Meeting xử lý dữ liệu cá nhân cần thiết để cung cấp Dịch vụ phù hợp với:

• Điều kiện Sử dụng;
• Điều kiện Bán hàng;
• Đơn hàng;
• thiết lập room đã chọn;
• tài liệu Dịch vụ;
• DPA này;
• các chỉ dẫn bằng văn bản hợp lý và hợp pháp của Client.

World-Meeting chỉ xử lý dữ liệu cá nhân với tư cách bên xử lý theo chỉ dẫn được ghi nhận của Client, trừ khi luật áp dụng yêu cầu xử lý. Trong trường hợp đó, World-Meeting thông báo cho Client về nghĩa vụ đó trước khi xử lý, trừ khi pháp luật cấm.

World-Meeting có thể từ chối chỉ dẫn bất hợp pháp, không tương xứng, không thể thực hiện về kỹ thuật, trái với bảo mật Dịch vụ, không tương thích với Điều kiện Sử dụng hoặc Điều kiện Bán hàng, hoặc có khả năng xâm phạm quyền của người dùng khác.

5. Mô tả hoạt động xử lý

5.1 Đối tượng

Đối tượng của hoạt động xử lý là việc cung cấp các room họp trực tuyến với âm thanh/video, chấp thuận bởi organizer, tính năng dịch tự động, phụ đề, giọng nói được dịch, tin nhắn, chia sẻ màn hình, kiểm soát lượt phát biểu và các tính năng liên quan.

5.2 Thời hạn

Hoạt động xử lý kéo dài trong thời gian Client sử dụng Dịch vụ, sau đó trong các thời hạn lưu giữ cần thiết cho bảo mật, hỗ trợ, lưu giữ vận hành, bằng chứng, nghĩa vụ pháp lý, tranh chấp và xóa hoặc ẩn danh.

5.3 Bản chất hoạt động xử lý

Hoạt động xử lý có thể bao gồm:

• thu thập;
• ghi nhận;
• cấu trúc;
• lưu trữ;
• truyền;
• hiển thị;
• đồng bộ;
• sửa đổi kỹ thuật;
• dịch tự động;
• transcription tạm thời hoặc hoàn tất;
• lưu trữ tạm thời;
• tham vấn giới hạn;
• logging;
• bảo mật;
• xóa;
• ẩn danh;
• trích xuất bằng chứng giới hạn khi cần.

5.4 Mục đích

Mục đích là:

• cho phép Client tạo và quản lý room;
• cho phép participant yêu cầu vào room;
• cho phép organizer chấp thuận hoặc từ chối truy cập;
• cung cấp âm thanh, video, chia sẻ màn hình và tin nhắn;
• cung cấp bản dịch, phụ đề và giọng nói được dịch theo yêu cầu;
• quản lý kiểm soát lượt phát biểu;
• duy trì bảo mật và tính sẵn sàng;
• cung cấp hỗ trợ;
• xử lý sự cố;
• tuân thủ nghĩa vụ hợp đồng và pháp lý;
• quản lý bằng chứng liên quan đến Dịch vụ.

5.5 Loại dữ liệu

Các loại dữ liệu có thể bao gồm:

• tên hiển thị;
• địa chỉ e-mail khi được cung cấp;
• mã định danh kỹ thuật của room, participant, organizer hoặc đơn hàng;
• tùy chọn ngôn ngữ;
• trạng thái chấp thuận;
• tin nhắn văn bản;
• dữ liệu âm thanh/video truyền theo thời gian thực;
• dữ liệu chia sẻ màn hình;
• phụ đề và bản dịch;
• tóm tắt dịch tạm thời;
• sự kiện kiểm soát lượt phát biểu;
• sự kiện hiện diện và heartbeat;
• dữ liệu kỹ thuật liên quan đến trình duyệt, thiết bị, mạng và lỗi;
• dữ liệu báo cáo hoặc hỗ trợ;
• metadata bảo mật và truy cập.

5.6 Loại chủ thể dữ liệu

Chủ thể dữ liệu có thể bao gồm:

• organizer;
• participant;
• khách mời;
• nhân viên, nhà thầu, khách hàng, học viên, diễn giả hoặc đối tác của Client;
• người xuất hiện hoặc được nghe trong room;
• người được đề cập trong tin nhắn, chia sẻ màn hình, phụ đề hoặc bản dịch;
• đại diện của Client.

5.7 Dữ liệu nhạy cảm

Dịch vụ không được thiết kế để xử lý dữ liệu nhạy cảm.

Client cam kết không truyền, hoặc khiến dữ liệu nhạy cảm, dữ liệu chịu quy định hoặc dữ liệu rất bí mật được truyền qua World-Meeting, trừ khi có cơ sở pháp lý phù hợp, thông tin cho chủ thể dữ liệu, biện pháp bổ sung và thỏa thuận bằng văn bản cụ thể khi cần.

Nếu dữ liệu nhạy cảm được Client hoặc participant của Client chia sẻ ngẫu nhiên trong room, Client vẫn chịu trách nhiệm về tính hợp pháp của hoạt động xử lý đó.

6. Nghĩa vụ của World-Meeting

Đối với hoạt động xử lý được thực hiện với tư cách bên xử lý, World-Meeting cam kết:

• chỉ xử lý dữ liệu theo chỉ dẫn được ghi nhận;
• bảo đảm người được phép xử lý dữ liệu chịu nghĩa vụ bảo mật;
• triển khai biện pháp bảo mật phù hợp;
• hỗ trợ hợp lý Client trong việc trả lời yêu cầu thực hiện quyền của chủ thể dữ liệu;
• hỗ trợ hợp lý Client trong việc tuân thủ nghĩa vụ về bảo mật, vi phạm dữ liệu cá nhân, đánh giá tác động bảo vệ dữ liệu và tham vấn trước khi áp dụng;
• thông báo cho Client khi một chỉ dẫn dường như vi phạm quy định áp dụng;
• không sử dụng bên xử lý phụ khác trừ theo điều kiện của DPA này;
• xóa, ẩn danh hoặc trả lại dữ liệu khi kết thúc việc cung cấp Dịch vụ, theo tính năng có sẵn và tùy thuộc vào nghĩa vụ pháp lý, tranh chấp, bằng chứng và sao lưu;
• cung cấp thông tin hợp lý cần thiết để chứng minh việc tuân thủ DPA này.

7. Nghĩa vụ của Client

Client cam kết:

• xử lý dữ liệu một cách hợp pháp, công bằng và minh bạch;
• thông báo cho participant và chủ thể dữ liệu;
• có cơ sở pháp lý phù hợp;
• có được các đồng ý cần thiết, bao gồm cho một số việc sử dụng âm thanh/video, ghi âm/ghi hình, dịch, phụ đề, dữ liệu nhạy cảm hoặc bối cảnh chuyên nghiệp cụ thể;
• không sử dụng World-Meeting cho hoạt động xử lý bất hợp pháp;
• không truyền dữ liệu quá mức;
• cấu hình room đúng cách;
• quản lý chấp thuận và participant;
• trả lời yêu cầu quyền khi Client là bên kiểm soát;
• ghi nhận hoạt động xử lý của mình;
• thực hiện đánh giá tác động bảo vệ dữ liệu nếu việc sử dụng yêu cầu;
• tuân thủ luật áp dụng tại quốc gia của participant;
• kiểm tra rằng Dịch vụ đáp ứng yêu cầu bảo mật, bí mật và tuân thủ của mình.

8. Bên xử lý phụ

Client cho phép World-Meeting sử dụng bên xử lý phụ cần thiết để cung cấp Dịch vụ.

Các bên xử lý phụ này có thể bao gồm, đặc biệt, nhà cung cấp lưu trữ, hạ tầng, thanh toán, WebRTC, dịch tự động, e-mail giao dịch, bảo mật, CDN, monitoring, phân tích kỹ thuật, hỗ trợ, kế toán hoặc dịch vụ tranh chấp.

Các loại nhà cung cấp và bên xử lý phụ chính được mô tả trong Chính sách bảo mật, bao gồm vai trò, loại dữ liệu liên quan, vị trí chính khi biết và bảo đảm chuyển dữ liệu khi áp dụng.

World-Meeting áp đặt cho bên xử lý phụ các nghĩa vụ bảo vệ dữ liệu về cơ bản tương đương với DPA này đối với hoạt động xử lý liên quan.

World-Meeting vẫn chịu trách nhiệm trước Client về việc thực hiện nghĩa vụ bảo vệ dữ liệu của bên xử lý phụ trong phạm vi luật áp dụng yêu cầu.

World-Meeting có thể thêm hoặc thay thế bên xử lý phụ. Khi thay đổi là đáng kể, World-Meeting có thể thông báo cho Client bằng cách cập nhật Chính sách bảo mật hoặc danh sách nhà cung cấp, thông báo, e-mail hoặc bất kỳ phương tiện hợp lý nào. Client có thể phản đối vì lý do bảo vệ dữ liệu hợp pháp trong thời hạn hợp lý. Nếu Các bên không tìm được giải pháp hợp lý, Client có thể ngừng sử dụng các tính năng bị ảnh hưởng hoặc chấm dứt Đơn hàng liên quan khi luật hoặc hợp đồng cho phép.

9. Chuyển dữ liệu quốc tế

World-Meeting và các bên xử lý phụ có thể xử lý dữ liệu tại Liên minh Châu Âu, Hoa Kỳ hoặc quốc gia khác.

Khi dữ liệu cá nhân được chuyển ra ngoài Liên minh Châu Âu hoặc Khu vực Kinh tế Châu Âu đến quốc gia không được hưởng quyết định đầy đủ, World-Meeting triển khai cơ chế chuyển dữ liệu phù hợp khi được yêu cầu, bao gồm:

• Standard Contractual Clauses;
• Data Privacy Framework khi có và áp dụng;
• quyết định đầy đủ;
• biện pháp hợp đồng và kỹ thuật bổ sung;
• mã hóa, giả danh hóa hoặc tối thiểu hóa khi phù hợp.

Client cho phép các chuyển dữ liệu đó trong phạm vi cần thiết để cung cấp Dịch vụ.

10. Bảo mật

World-Meeting triển khai biện pháp kỹ thuật và tổ chức phù hợp với rủi ro, bao gồm tùy theo cấu hình:

• mã hóa TLS khi truyền;
• kiểm soát truy cập hệ thống;
• xác thực admin;
• lưu trữ băm token, bí mật organizer và room access token khi có thể;
• bí mật OpenAI và khóa API được giữ phía server;
• bí mật client tạm thời ngắn hạn;
• tách biệt môi trường khi áp dụng;
• giới hạn tốc độ;
• bảo vệ chống lạm dụng;
• logging sự kiện quan trọng;
• tối thiểu hóa dữ liệu bằng chứng;
• che hoặc mã hóa một số dữ liệu truy cập;
• xóa bí mật trong exports;
• chính sách lưu giữ;
• sao lưu và khôi phục theo hạ tầng;
• monitoring và alerting;
• hạn chế truy cập cho người được ủy quyền;
• điều khoản bảo mật với người được ủy quyền hoặc nhà cung cấp liên quan.

Client thừa nhận rằng bảo mật cũng phụ thuộc vào hành động của chính Client, bao gồm bảo quản mã organizer, quản lý lời mời, chấp thuận participant, bảo mật thiết bị, mạng, trình duyệt và tài khoản e-mail.

11. Vi phạm dữ liệu cá nhân

World-Meeting thông báo cho Client không chậm trễ quá mức sau khi biết về một vi phạm dữ liệu cá nhân ảnh hưởng đến dữ liệu được xử lý với tư cách bên xử lý, khi thông báo đó được luật áp dụng yêu cầu.

Thông báo có thể bao gồm, trong phạm vi hợp lý có sẵn:

• bản chất của vi phạm;
• loại dữ liệu liên quan;
• loại chủ thể dữ liệu liên quan;
• hậu quả có thể xảy ra;
• biện pháp đã thực hiện hoặc đề xuất;
• thông tin cho phép Client tuân thủ nghĩa vụ của chính mình.

Client chịu trách nhiệm thông báo cơ quan giám sát hoặc chủ thể dữ liệu khi nghĩa vụ đó thuộc về Client với tư cách bên kiểm soát.

12. Hỗ trợ quyền của chủ thể dữ liệu

Khi World-Meeting nhận yêu cầu quyền liên quan đến dữ liệu được xử lý thay mặt Client, World-Meeting có thể:

• hướng người đó đến Client;
• chuyển yêu cầu cho Client;
• yêu cầu chỉ dẫn;
• trả lời trực tiếp khi World-Meeting cũng hành động với tư cách bên kiểm soát hoặc khi luật yêu cầu.

World-Meeting hỗ trợ hợp lý Client, trong phạm vi kỹ thuật có thể và tương xứng, trong việc trả lời yêu cầu truy cập, chỉnh sửa, xóa, hạn chế, phản đối hoặc chuyển dữ liệu.

Phí hợp lý có thể được tính nếu hỗ trợ vượt quá hỗ trợ tiêu chuẩn, trừ khi có nghĩa vụ pháp lý trái ngược.

13. Hỗ trợ tuân thủ

World-Meeting cung cấp hỗ trợ hợp lý cho Client về:

• bảo mật xử lý;
• đánh giá tác động bảo vệ dữ liệu;
• tham vấn trước với cơ quan giám sát;
• yêu cầu thông tin liên quan đến bên xử lý phụ;
• thông tin có sẵn về biện pháp kỹ thuật và tổ chức.

Sự hỗ trợ này tính đến bản chất Dịch vụ, thông tin có sẵn, vai trò của World-Meeting và rủi ro của hoạt động xử lý.

14. Xóa và trả lại dữ liệu

Khi kết thúc việc cung cấp Dịch vụ, World-Meeting xóa, ẩn danh hoặc trả lại dữ liệu cá nhân được xử lý thay mặt Client, theo tính năng có sẵn, bản chất dữ liệu và thời hạn lưu giữ áp dụng.

Một số dữ liệu có thể được giữ khi cần cho:

• nghĩa vụ pháp lý;
• kế toán và thuế;
• bảo mật;
• phòng chống gian lận;
• tranh chấp;
• tranh chấp thanh toán;
• bằng chứng cung cấp Dịch vụ;
• sao lưu tạm thời;
• bảo vệ quyền của World-Meeting hoặc bên thứ ba.

Dữ liệu được giữ sau khi kết thúc Dịch vụ được giới hạn, bảo mật và chỉ sử dụng cho các mục đích biện minh cho việc lưu giữ.

15. Kiểm toán

World-Meeting cung cấp cho Client thông tin hợp lý cần thiết để chứng minh việc tuân thủ DPA này, bao gồm tài liệu, tóm tắt biện pháp bảo mật, chứng nhận, câu trả lời bảng hỏi hoặc thông tin về bên xử lý phụ khi có.

Kiểm toán tại chỗ hoặc thử nghiệm kỹ thuật xâm nhập chỉ có thể thực hiện với thỏa thuận trước bằng văn bản, phạm vi hợp lý, bảo mật, thông báo trước đủ, không làm gián đoạn Dịch vụ và giới hạn ở những gì nghiêm ngặt cần thiết.

Client không được truy cập dữ liệu của client khác, bí mật, thông tin bảo mật nhạy cảm, mã nguồn, hạ tầng dùng chung hoặc thông tin bí mật không cần thiết.

Chi phí kiểm toán cụ thể có thể do Client chịu, trừ khi luật bắt buộc quy định khác.

16. Bảo mật thông tin

World-Meeting bảo đảm rằng người được phép xử lý dữ liệu cá nhân chịu nghĩa vụ bảo mật hợp đồng, pháp lý hoặc nghề nghiệp phù hợp.

Client cũng cam kết bảo vệ thông tin bí mật của World-Meeting, bao gồm kiến trúc, biện pháp bảo mật, bí mật, thông tin kỹ thuật, giá, bằng chứng, báo cáo và tài liệu không công khai.

17. Dữ liệu California và các luật quyền riêng tư khác của Hoa Kỳ

Khi Client chịu một luật quyền riêng tư Hoa Kỳ áp dụng, bao gồm luật quyền riêng tư của tiểu bang, World-Meeting hành động, tùy bối cảnh, như service provider, processor hoặc tương đương đối với dữ liệu được xử lý thay mặt Client.

Trong bối cảnh đó, World-Meeting cam kết, trong phạm vi áp dụng:

• không bán dữ liệu cá nhân được xử lý thay mặt Client;
• không chia sẻ dữ liệu đó cho quảng cáo hành vi liên ngữ cảnh, trừ khi được Client chỉ dẫn hợp pháp;
• không sử dụng dữ liệu đó cho mục đích khác ngoài cung cấp Dịch vụ, bảo mật, tuân thủ, bằng chứng hoặc các mục đích được luật cho phép;
• không kết hợp dữ liệu với dữ liệu khác trừ trong các trường hợp được phép;
• hỗ trợ hợp lý Client đối với yêu cầu quyền áp dụng.

18. Ưu tiên

Trong trường hợp mâu thuẫn giữa DPA này và Điều kiện Sử dụng hoặc Điều kiện Bán hàng liên quan đến bảo vệ dữ liệu cá nhân do World-Meeting xử lý với tư cách bên xử lý, DPA này được ưu tiên.

Điều kiện Sử dụng và Điều kiện Bán hàng vẫn áp dụng cho các vấn đề thương mại, trách nhiệm, thanh toán, hoàn tiền, tranh chấp, sở hữu trí tuệ và sử dụng Dịch vụ.

19. Thời hạn và chấm dứt

DPA này áp dụng trong thời gian Client sử dụng Dịch vụ và cho đến khi dữ liệu cá nhân liên quan được xóa, ẩn danh, trả lại hoặc hết hạn, tùy thuộc vào nghĩa vụ pháp lý và nhu cầu bằng chứng.

Việc chấm dứt Điều kiện Sử dụng, Điều kiện Bán hàng hoặc Đơn hàng chấm dứt DPA này đối với hoạt động xử lý tương lai, nhưng không ảnh hưởng đến nghĩa vụ liên quan đến dữ liệu được giữ cho mục đích hợp pháp hoặc pháp lý.

20. Luật điều chỉnh

DPA này được điều chỉnh bởi luật Pháp, trừ khi có quy tắc bắt buộc trái ngược được áp dụng.

Các quy tắc pháp lý bắt buộc về bảo vệ dữ liệu cá nhân, bao gồm GDPR khi áp dụng, được ưu tiên trong phạm vi chúng yêu cầu.

21. Liên hệ DPA

Đối với mọi câu hỏi liên quan đến DPA này:

• Liên hệ privacy: [email protected]
• Liên hệ chung: [email protected]