Điều khoản xử lý dữ liệu

1. Vai trò — ai chịu trách nhiệm về điều gì

Các điều khoản này là phụ lục không thể tách rời của Điều khoản dịch vụ và áp dụng cho mọi khách hàng sử dụng Tecrübe, dù có được ký riêng hay không.

Các bên: khách hàng sử dụng dịch vụ (“bạn”) và Hero Invest Ltd (“Tecrübe”), 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom · Quốc gia đăng ký: Vương quốc Anh (Anh và xứ Wales) · Số công ty: 14955675. Pháp nhân đảm nhận các nghĩa vụ của bên xử lý là Hero Invest Ltd; “Tecrübe” trong các điều khoản này có nghĩa là công ty đó.

DỮ LIỆU KHÁCH HÀNG (dữ liệu về chính khách hàng của bạn: danh sách liên hệ, tin nhắn đến, bản ghi chuyển đổi): ở đây bạn là bên kiểm soát và Tecrübe là bên xử lý. Bạn quyết định thu thập gì, xử lý trên cơ sở pháp lý nào và thông báo điều gì cho ai; Tecrübe chỉ xử lý theo chỉ thị của bạn.

DỮ LIỆU TÀI KHOẢN (tên, e-mail, bản ghi phiên và thông tin thanh toán của bạn và nhóm của bạn): ở đây Tecrübe là bên kiểm soát và Chính sách bảo mật được áp dụng. Sự phân biệt này quan trọng: một sản phẩm, hai vai trò pháp lý, và quyền của bạn khác nhau tùy theo loại dữ liệu liên quan.

Tecrübe không bao giờ sử dụng Dữ liệu khách hàng cho mục đích riêng — phát triển sản phẩm, huấn luyện mô hình, marketing. Không có ngoại lệ nào; nếu có, nó sẽ được ghi tại đây.

2. Đối tượng, thời hạn, tính chất và mục đích xử lý

Đối tượng: cung cấp dịch vụ Tecrübe. Thời hạn: trong suốt thời gian gói đăng ký của bạn còn hiệu lực, cộng thêm thời hạn hoàn trả/xóa tại mục 10.

Hoạt động xử lý: lưu trữ, sắp xếp, truy xuất, truyền (tới các nền tảng bạn kết nối), xóa và tạo văn bản bằng mô hình AI.

Loại dữ liệu: thông tin liên hệ (tên, e-mail, điện thoại), nội dung tin nhắn, dữ liệu hành vi và chuyển đổi, cùng các danh sách và nội dung bạn tải lên.

Nhóm chủ thể dữ liệu: khách hàng của bạn, khách hàng tiềm năng, những người nhắn tin cho bạn và thành viên nhóm của bạn.

Dữ liệu thuộc loại đặc biệt: dịch vụ không được thiết kế để xử lý loại dữ liệu này. Nếu bạn tải lên, các biện pháp bảo vệ bổ sung và nghĩa vụ xin đồng ý rõ ràng thuộc về bạn.

3. Xử lý theo chỉ thị

Tecrübe chỉ xử lý Dữ liệu khách hàng theo chỉ thị được ghi nhận bằng văn bản của bạn. Việc bạn sử dụng dịch vụ — khởi chạy chiến dịch, tải lên danh sách, bật một quy trình tự động — được coi là chỉ thị như vậy.

Nếu chúng tôi cho rằng một chỉ thị vi phạm pháp luật hiện hành, chúng tôi sẽ thông báo cho bạn và có thể ngừng thực hiện chỉ thị đó.

Nếu pháp luật buộc phải xử lý (lệnh của tòa án, yêu cầu hành chính) và việc thông báo không bị cấm, chúng tôi sẽ thông báo cho bạn trước khi xử lý.

4. Bảo mật và an toàn

Mọi người có quyền truy cập Dữ liệu khách hàng đều bị ràng buộc nghĩa vụ bảo mật, và quyền truy cập được giới hạn ở phạm vi hẹp nhất mà công việc đòi hỏi.

Các biện pháp kỹ thuật đang áp dụng: mã hóa khi truyền và khi lưu trữ, cách ly tenant được thực thi ở cấp cơ sở dữ liệu bằng bảo mật cấp hàng, băm mật khẩu bằng argon2id, bí mật của nhà cung cấp được mã hóa bằng khóa riêng, truy cập theo vai trò và bản ghi kiểm toán cho mọi thao tác đặc quyền.

Biện pháp tổ chức: quyền truy cập của nhân viên được ghi nhật ký; chế độ xem hỗ trợ đối với một tenant được hiển thị kèm biểu ngữ dễ thấy cho cả người xem lẫn tenant; sao lưu định kỳ kèm diễn tập khôi phục.

Các biện pháp này có thể thay đổi theo thời gian; mọi thay đổi không được làm giảm mức độ an toàn.

5. Bên xử lý phụ

Tecrübe sử dụng các bên xử lý phụ để cung cấp dịch vụ. Danh sách hiện hành — họ là ai, cho mục đích gì và ở quốc gia nào — được công bố đích danh tại mục 9 của Chính sách bảo mật.

Các bên xử lý phụ mới được công bố qua thông báo trong sản phẩm. Nếu bạn phản đối với lý do hợp lý, chúng tôi sẽ xem xét ý kiến phản đối của bạn; nếu không thể giải quyết, bạn có thể chấm dứt mà không bị phạt và được hoàn tiền cho thời gian chưa sử dụng.

Mỗi bên xử lý phụ đều bị ràng buộc bởi hợp đồng có các nghĩa vụ tương đương với các điều khoản này. Tecrübe vẫn chịu trách nhiệm về hành vi của bên xử lý phụ như đối với hành vi của chính mình.

Dữ liệu gửi tới nhà cung cấp AI chỉ giới hạn ở những gì công việc được yêu cầu cần đến: hồ sơ thương hiệu, bối cảnh chiến dịch và, khi có yêu cầu bản nháp trả lời, nội dung tin nhắn liên quan. Tên, số điện thoại và địa chỉ e-mail của khách hàng — kể cả những thông tin nằm trong nội dung tin nhắn — được che trước khi gửi (ví dụ “Khách hàng #ab12cd”, “+90 5 * **12”). Các nhà cung cấp này (OpenAI và, khi được sử dụng, Anthropic) ở Hoa Kỳ; việc chuyển giao được thực hiện theo các biện pháp bảo đảm tại mục 6.

6. Chuyển dữ liệu ra nước ngoài

Một số bên xử lý phụ nằm ngoài Vương quốc Anh, Khu vực Kinh tế châu Âu và Türkiye (đặc biệt là các nhà cung cấp AI và nền tảng quảng cáo). Việc chuyển giao được thực hiện theo UK GDPR, Chương V của GDPR và Điều 9 của KVKK, dựa trên, tùy trường hợp, các điều khoản hợp đồng mẫu (kèm UK International Data Transfer Addendum), quyết định về mức độ bảo vệ tương xứng hoặc sự đồng ý rõ ràng.

Bên xử lý phụ nào xử lý tại quốc gia nào được ghi bên cạnh từng mục trong danh sách của Chính sách bảo mật.

7. Yêu cầu của chủ thể dữ liệu và hỗ trợ dành cho bạn

Nếu một chủ thể dữ liệu liên hệ trực tiếp với Tecrübe, chúng tôi không trả lời thay bạn — chúng tôi chuyển họ đến bạn, vì bạn là bên kiểm soát đối với dữ liệu đó.

Các công cụ bạn cần để đáp ứng yêu cầu truy cập, chỉnh sửa, xóa và di chuyển dữ liệu đều có sẵn trong sản phẩm: có thể tải xuống bản sao máy đọc được dưới dạng ZIP tại Cài đặt › Bảo mật › “Tải dữ liệu của tôi” (tối đa 3 lần trong 24 giờ), và yêu cầu xóa được hoàn tất trong vòng 30 ngày. Khi công cụ không đủ, chúng tôi cung cấp hỗ trợ kỹ thuật hợp lý.

Nếu bạn phải thực hiện đánh giá tác động bảo vệ dữ liệu (Điều 35), chúng tôi sẽ cung cấp thông tin mà chúng tôi nắm giữ ở mức độ hợp lý.

8. Thông báo vi phạm

Chúng tôi thông báo cho bạn về sự cố vi phạm an ninh ảnh hưởng đến Dữ liệu khách hàng không chậm trễ quá mức và chậm nhất trong vòng 24 giờ kể từ khi biết được. Khung thời gian này được cố ý đặt ngắn để bạn có thể thực hiện nghĩa vụ thông báo trong 72 giờ của chính mình.

Thông báo bao gồm: bản chất của vi phạm, các loại dữ liệu và số lượng bản ghi ước tính bị ảnh hưởng, hậu quả có thể xảy ra, các biện pháp đã và sẽ thực hiện, và đầu mối liên hệ.

Nếu chưa nắm được đầy đủ thông tin ở lần thông báo đầu tiên, phần thông tin còn thiếu sẽ được bổ sung ngay; chờ đợi không thay thế cho việc thông báo.

9. Kiểm toán

Theo yêu cầu, chúng tôi cung cấp thông tin cần thiết để chứng minh việc tuân thủ các điều khoản này.

Mỗi năm một lần, với thông báo trước hợp lý và trong giờ làm việc, bạn có thể tiến hành kiểm toán thông qua một kiểm toán viên bị ràng buộc nghĩa vụ bảo mật. Cuộc kiểm toán không được bao gồm việc truy cập dữ liệu của khách hàng khác và được tiến hành sao cho không làm gián đoạn dịch vụ.

10. Hoàn trả và xóa khi kết thúc

Khi gói đăng ký của bạn kết thúc, Dữ liệu khách hàng vẫn có thể xuất trong ba mươi ngày; trong thời gian đó, bạn có thể tải xuống từ bảng điều khiển.

Khi hết ba mươi ngày, dữ liệu sẽ bị xóa. Việc xóa là không thể hoàn tác và được thông báo qua e-mail trước bảy ngày.

Các bản sao trong bản sao lưu sẽ tự hết hạn theo chu kỳ sao lưu (tối đa chín mươi ngày); trong thời gian đó, chúng vẫn được mã hóa và không thể truy cập.

Các hồ sơ mà pháp luật yêu cầu chúng tôi lưu giữ (hóa đơn, nhật ký kiểm toán) được lưu trong thời hạn luật định và chỉ được xử lý cho mục đích đó.