Câu trả lời nhanh: AVV (Auftragsverarbeitungsvertrag) và DPA (Data Processing Agreement) đề cập đến cùng một hợp đồng hợp pháp theo yêu cầu của Điều 28 GDPR, thuật ngữ tiếng Đức AVV được sử dụng trong các khu vực pháp lý DACH, trong khi DPA là tương đương bằng tiếng Anh được sử dụng ở hầu hết các quốc gia thành viên EU khác và quốc tế. Cả hai đều quy định cách mà một nhà xử lý dữ liệu xử lý dữ liệu cá nhân thay mặt cho một nhà kiểm soát. Việc chọn khung không đúng hoặc bỏ qua thỏa thuận hoàn toàn có thể khiến tổ chức của bạn phải đối mặt với các hình phạt quy định nghiêm trọng.
Những điểm chính
- AVV là viết tắt tiếng Đức của Auftragsverarbeitungsvertrag; DPA là viết tắt của Data Processing Agreement, chúng là công cụ chức năng giống nhau theo GDPR.
- Cả hai thỏa thuận đều là bắt buộc theo Điều 28 GDPR bất cứ khi nào một nhà kiểm soát thuê một nhà xử lý để xử lý dữ liệu cá nhân.
- Sự khác biệt về thuật ngữ là theo vùng miền: AVV là tiêu chuẩn ở Đức, Áo và Thụy Sĩ; DPA được sử dụng trong các ngữ cảnh nói tiếng Anh và hầu hết các quốc gia EU khác.
- Một thỏa thuận hợp lệ phải bao gồm chủ đề, thời gian xử lý, loại dữ liệu, quyền của chủ thể dữ liệu, điều kiện của nhà xử lý phụ, các biện pháp bảo mật và các điều khoản kiểm toán. [1]
- Việc không có thỏa thuận đúng có thể dẫn đến các cuộc điều tra của cơ quan giám sát, phạt tiền và tranh chấp hợp đồng.
- Chi phí thực hiện dao động từ không (sử dụng mẫu tiêu chuẩn của nhà cung cấp) đến vài nghìn euro cho việc soạn thảo pháp lý tùy chỉnh.
- Một số doanh nghiệp hoạt động trên các thị trường DACH và không DACH hợp pháp sử dụng cả hai thuật ngữ trong cùng một thỏa thuận để làm rõ.
- Một Nền tảng Quản lý Đồng ý như Biscotti CMP có thể hỗ trợ tư thế tuân thủ GDPR rộng hơn của bạn, nhưng không thay thế cho một AVV hoặc DPA được thực hiện đúng cách.
AVV có nghĩa là gì trong Bảo vệ Dữ liệu, và Nó có giống với DPA không?
AVV là viết tắt của Auftragsverarbeitungsvertrag, thuật ngữ tiếng Đức cho một Thỏa thuận Xử lý Dữ liệu. Về mặt pháp lý thực tiễn, một AVV và một DPA là cùng một tài liệu, cả hai đều đáp ứng yêu cầu được nêu trong Điều 28 của GDPR về một hợp đồng bằng văn bản giữa một nhà kiểm soát dữ liệu và một nhà xử lý dữ liệu. [1]
Sự phân biệt này hoàn toàn là ngôn ngữ và khu vực pháp lý. Các chuyên gia bảo vệ dữ liệu ở Đức, Áo và Thụy Sĩ sử dụng AVV như là thuật ngữ tiêu chuẩn trong các hợp đồng, chính sách bảo mật và thư từ quy định. Các chuyên gia nói tiếng Anh và hầu hết các quốc gia thành viên EU khác sử dụng DPA. Khi một nhà cung cấp SaaS Đức cung cấp cho bạn một "AVV", họ đang cung cấp cùng một công cụ pháp lý mà một nhà cung cấp có trụ sở tại Vương quốc Anh sẽ gọi là "DPA."
Làm rõ chính: Không có thuật ngữ nào ngụ ý một tiêu chuẩn pháp lý khác nhau. Cả hai đều phải đáp ứng các yêu cầu nội dung giống nhau theo Điều 28(3) của GDPR để có hiệu lực. [1]
Sự khác biệt giữa AVV và DPA là gì?
Sự khác biệt giữa AVV và DPA là về thuật ngữ, không phải về nội dung. Cả hai đều mô tả hợp đồng được quy định bởi Điều 28 GDPR giữa một nhà kiểm soát dữ liệu (thực thể xác định mục đích và phương tiện xử lý) và một nhà xử lý dữ liệu (thực thể xử lý dữ liệu thay mặt cho nhà kiểm soát).
Nơi mà sự khác biệt thực sự có thể xuất hiện là trong phong cách soạn thảo và hướng dẫn quy định địa phương:
- Các cơ quan giám sát Đức (Datenschutzbehörden) đã công bố các điều khoản mẫu và ghi chú hướng dẫn cụ thể mà các tài liệu AVV thường bao gồm.
- Các DPA bằng tiếng Anh được soạn thảo cho các khu vực pháp lý của Vương quốc Anh hoặc Ireland có thể tham chiếu đến các luật thực hiện quốc gia bên cạnh GDPR.
- Các AVV của Thụy Sĩ cũng phải tính đến Luật Bảo vệ Dữ liệu Liên bang sửa đổi (revFADP), điều này khác biệt so với GDPR ở một số khía cạnh.
Kết luận: Nếu một nhà cung cấp gửi cho bạn một AVV và bạn cần một DPA, bạn đã nhận được những gì bạn cần, miễn là nội dung đáp ứng các yêu cầu của Điều 28(3). [1]
Khi nào bạn cần AVV so với DPA?
Bạn cần một trong những thỏa thuận này bất cứ khi nào tổ chức của bạn chia sẻ dữ liệu cá nhân với một nhà cung cấp dịch vụ bên thứ ba xử lý dữ liệu đó theo chỉ dẫn của bạn. Yếu tố kích hoạt là mối quan hệ giữa nhà kiểm soát và nhà xử lý, không phải ngôn ngữ của hợp đồng.
Sử dụng AVV khi:
- Đối tác của bạn có trụ sở tại Đức, Áo hoặc Thụy Sĩ và hợp đồng tiêu chuẩn của họ sử dụng thuật ngữ đó.
- Tổ chức của bạn hoạt động theo luật bảo vệ dữ liệu của Đức và các mẫu nội bộ của bạn tuân theo hướng dẫn của BfDI hoặc DPA của tiểu bang.
Sử dụng DPA khi:
- Đối tác của bạn hoạt động trong một khu vực pháp lý nói tiếng Anh hoặc sử dụng tiếng Anh làm ngôn ngữ hợp đồng.
- Bạn đang ký hợp đồng với một nhà cung cấp đám mây có trụ sở tại Hoa Kỳ, một nhà cung cấp SaaS của Vương quốc Anh, hoặc bất kỳ nhà xử lý quốc tế nào mà các mẫu của họ mặc định là "DPA."
Sai lầm phổ biến: Giả định rằng vì một nhà cung cấp gọi tài liệu của họ là AVV thay vì DPA, các quy tắc pháp lý khác nhau sẽ áp dụng. Các yêu cầu nội dung là giống nhau theo GDPR. Điều quan trọng là nội dung, không phải nhãn trên trang bìa.
Ai cần AVV và ai cần DPA?
Bất kỳ tổ chức nào đủ điều kiện là một nhà kiểm soát dữ liệu theo GDPR và thuê một bên thứ ba để xử lý dữ liệu cá nhân thay mặt cho mình đều cần một trong những thỏa thuận này. Điều này áp dụng cho:
- Các doanh nghiệp thương mại điện tử sử dụng các nhà xử lý thanh toán bên thứ ba hoặc nền tảng tiếp thị qua email.
- Các doanh nghiệp sử dụng các nhà cung cấp hạ tầng đám mây (IaaS, PaaS, SaaS).
- Các cơ quan tiếp thị trực tuyến xử lý dữ liệu khách hàng của khách hàng.
- Các nhà phát triển xây dựng ứng dụng xử lý dữ liệu cá nhân của người dùng cuối thông qua các API bên ngoài.
- Các chủ sở hữu trang web sử dụng các công cụ phân tích, CDN hoặc hệ thống CRM xử lý dữ liệu của khách truy cập.
Các tổ chức có trụ sở tại các thị trường DACH thường sẽ gặp nhãn AVV; những tổ chức hoạt động quốc tế sẽ thường xuyên làm việc với DPA. Cả hai loại tổ chức đều phải đối mặt với cùng một nghĩa vụ pháp lý.
Những gì nên được bao gồm trong AVV so với DPA?
Cả AVV và DPA đều phải chứa các yếu tố bắt buộc giống nhau theo Điều 28(3) của GDPR. Việc thiếu bất kỳ điều khoản nào trong số này sẽ khiến thỏa thuận không tuân thủ. [1]
| Điều khoản bắt buộc | Mô tả |
|---|---|
| Chủ đề và thời gian | Dữ liệu nào được xử lý và trong bao lâu |
| Tính chất và mục đích | Tại sao và cách xử lý diễn ra |
| Loại dữ liệu và chủ thể dữ liệu | Các loại dữ liệu cá nhân và các cá nhân bị ảnh hưởng |
| Quyền và nghĩa vụ của nhà kiểm soát | Hướng dẫn mà nhà xử lý phải tuân theo |
| Các biện pháp bảo mật | Các biện pháp bảo vệ kỹ thuật và tổ chức (TOMs) |
| Điều kiện của nhà xử lý phụ | Quy tắc cho việc thuê các nhà xử lý phụ |
| Hỗ trợ quyền của chủ thể dữ liệu | Hỗ trợ cho các yêu cầu truy cập, xóa, chuyển nhượng |
| Thông báo vi phạm | Nghĩa vụ của nhà xử lý thông báo cho nhà kiểm soát về các sự cố |
| Trả lại hoặc xóa dữ liệu | Điều gì xảy ra với dữ liệu khi hợp đồng kết thúc |
| Quyền kiểm toán | Quyền của nhà kiểm soát để xác minh sự tuân thủ |
Trường hợp đặc biệt: Nếu mẫu của nhà cung cấp thiếu quyền kiểm toán hoặc điều kiện của nhà xử lý phụ, đừng ký nó như vậy. Đây là những điều không thể thương lượng theo Điều 28(3). [1]
Chi phí để thiết lập AVV hoặc DPA là bao nhiêu?
Chi phí hoàn toàn phụ thuộc vào việc bạn sử dụng mẫu tiêu chuẩn của nhà cung cấp hay thuê soạn thảo pháp lý tùy chỉnh.
- Mẫu do nhà cung cấp cung cấp (phổ biến nhất): Miễn phí. Hầu hết các nhà cung cấp SaaS và đám mây lớn công bố một AVV hoặc DPA tiêu chuẩn mà các nhà kiểm soát có thể chấp nhận trực tuyến hoặc thông qua quy trình nhấp chuột.
- Thỏa thuận tùy chỉnh đã thương lượng: Phí pháp lý thường dao động từ 500 đến 5.000 euro tùy thuộc vào độ phức tạp, khu vực pháp lý và mức phí của luật sư. Các hợp đồng doanh nghiệp với khối lượng dữ liệu lớn hoặc các loại dữ liệu nhạy cảm thường nằm ở mức cao hơn.
- Phát triển mẫu nội bộ: Một khoản đầu tư một lần cho thời gian của luật sư để tạo ra một mẫu có thể tái sử dụng; chi phí tiếp theo là tối thiểu.
Lưu ý thực tiễn: Đối với hầu hết các SME và chủ sở hữu trang web, mẫu tiêu chuẩn của nhà cung cấp là đủ. Việc thương lượng tùy chỉnh là cần thiết khi việc xử lý liên quan đến dữ liệu loại đặc biệt (sức khỏe, sinh trắc học, tài chính) hoặc khi nhà kiểm soát phải chịu trách nhiệm pháp lý lớn.
Các yêu cầu AVV và DPA khác nhau theo quốc gia như thế nào?
Theo GDPR, các yêu cầu nội dung được hài hòa trên tất cả các quốc gia thành viên EU, vì vậy nội dung cốt lõi của một AVV và một DPA là giống nhau cho dù bạn ở Berlin, Paris hay Warsaw. Tuy nhiên, có những khác biệt ở cấp quốc gia:
- Đức: BfDI và các DPA cấp tiểu bang đã phát hành hướng dẫn chi tiết và các điều khoản mẫu. Các AVV của Đức thường bao gồm tài liệu về các biện pháp kỹ thuật và tổ chức (TOMs) chi tiết hơn.
- Thụy Sĩ: revFADP (có hiệu lực từ tháng 9 năm 2023) áp đặt các yêu cầu bổ sung ngoài GDPR, bao gồm các điều khoản cụ thể cho việc chuyển dữ liệu qua biên giới và thời gian thông báo vi phạm dữ liệu.
- Vương quốc Anh (sau Brexit): UK GDPR áp dụng; DPA phải tham chiếu đến hướng dẫn của UK ICO thay vì các cơ quan giám sát EU. Các điều khoản hợp đồng tiêu chuẩn khác với SCC của EU.
- Các quốc gia thành viên EU khác: Điều 28 GDPR áp dụng trực tiếp; hướng dẫn DPA địa phương có thể bổ sung nhưng không thể giảm yêu cầu tối thiểu.
Chọn điều khoản luật điều chỉnh một cách cẩn thận. Một AVV theo luật Đức và một DPA theo luật Ireland có thể trông giống nhau nhưng sẽ được giải thích bởi các tòa án và cơ quan giám sát khác nhau.
Bạn có thể sử dụng AVV thay cho DPA, hoặc sử dụng cả hai cùng một lúc không?
Có, một AVV có thể thay thế cho một DPA vì chúng là những công cụ pháp lý tương đương. Một công ty hoạt động trên các thị trường DACH và không DACH có thể bao gồm cả hai thuật ngữ trong cùng một tiêu đề hợp đồng (ví dụ: "Thỏa thuận Xử lý Dữ liệu / Auftragsverarbeitungsvertrag") để tránh nhầm lẫn, điều này là thực hành phổ biến trong các hợp đồng doanh nghiệp song ngữ và hoàn toàn được phép.
Việc sử dụng cả hai nhãn cùng một lúc không tạo ra hai nghĩa vụ pháp lý riêng biệt. Nó chỉ đảm bảo rằng các bên nói tiếng Đức và tiếng Anh hiểu rằng họ đang xem cùng một tài liệu.
Những sai lầm phổ biến khi chọn giữa AVV và DPA là gì?
Những sai lầm nghiêm trọng nhất không phải là về thuật ngữ bạn sử dụng, mà là về nội dung của thỏa thuận và liệu nó có tồn tại hay không.
- Bỏ qua thỏa thuận hoàn toàn vì mối quan hệ với nhà cung cấp cảm thấy không chính thức hoặc có rủi ro thấp. Theo GDPR, nghĩa vụ được kích hoạt bởi hành động xử lý, không phải bởi mức độ rủi ro cảm nhận.
- Chấp nhận một mẫu không đầy đủ mà thiếu các điều khoản của nhà xử lý phụ hoặc quyền kiểm toán, tin rằng phiên bản của nhà cung cấp tự động tuân thủ.
- Nhầm lẫn DPA với thỏa thuận chia sẻ dữ liệu. Một DPA điều chỉnh các mối quan hệ giữa nhà xử lý; một thỏa thuận chia sẻ dữ liệu điều chỉnh các trao đổi dữ liệu giữa các nhà kiểm soát hoặc giữa nhà kiểm soát với nhà kiểm soát. Đây là những công cụ khác nhau.
- Không cập nhật các thỏa thuận khi một nhà xử lý thuê các nhà xử lý phụ mới hoặc thay đổi tính chất của việc xử lý.
- Giả định rằng việc tuân thủ GDPR bao gồm cả luật Thụy Sĩ. Các tổ chức có chủ thể dữ liệu Thụy Sĩ phải đảm bảo rằng AVV của họ cũng đáp ứng các yêu cầu của revFADP.
Hậu quả pháp lý của việc sai lầm giữa AVV và DPA là gì?
Việc không có một thỏa thuận hợp lệ và đầy đủ có thể khiến cả nhà kiểm soát và nhà xử lý phải đối mặt với trách nhiệm pháp lý và dân sự.
Theo Điều 83(4) của GDPR, các vi phạm Điều 28 (yêu cầu DPA/AVV) có thể dẫn đến các khoản phạt hành chính lên đến 10 triệu euro hoặc 2% doanh thu toàn cầu hàng năm, tùy theo mức nào cao hơn. Các cơ quan giám sát ở Đức đã thể hiện sự sẵn sàng điều tra và phạt các tổ chức vì thiếu hoặc không đầy đủ các thỏa thuận xử lý.
Ngoài các khoản phạt, các hậu quả bao gồm:
- Các cuộc kiểm tra của cơ quan giám sát và các lệnh khắc phục.
- Không thể thực thi các điều khoản hợp đồng chống lại một nhà xử lý không tuân thủ.
- Rủi ro trách nhiệm dân sự nếu xảy ra vi phạm dữ liệu mà không có thỏa thuận hợp lệ ghi lại nghĩa vụ bảo mật.
- Thiệt hại về danh tiếng trong các bối cảnh B2B nơi các khách hàng doanh nghiệp thực hiện thẩm định nhà cung cấp.
Làm thế nào để bạn biết tổ chức của bạn thực sự cần thỏa thuận nào?
Quyết định là đơn giản khi bạn xác định mối quan hệ và khu vực pháp lý.
Bước 1: Xác định xem tổ chức của bạn là nhà kiểm soát (bạn quyết định lý do và cách dữ liệu được xử lý) hay nhà xử lý (bạn xử lý dữ liệu theo chỉ dẫn của người khác).
Bước 2: Xác định ngôn ngữ và khu vực pháp lý của đối tác của bạn. Nếu họ ở khu vực DACH, hãy mong đợi một AVV. Nếu họ ở nơi khác, hãy mong đợi một DPA.
Bước 3: Xác minh rằng bất kỳ tài liệu nào bạn nhận được đều chứa tất cả mười yếu tố bắt buộc theo Điều 28(3) GDPR. [1]
Bước 4: Nếu tổ chức của bạn cũng cần quản lý sự đồng ý của người dùng cho cookie và công nghệ theo dõi, một Nền tảng Quản lý Đồng ý như Biscotti CMP sẽ giải quyết lớp tuân thủ GDPR đó, nhưng nó hoạt động song song, không thay thế cho một AVV hoặc DPA được thực hiện đúng cách.
Quy tắc quyết định: Nếu bạn xử lý dữ liệu cá nhân thay mặt cho một tổ chức khác, bạn cần một DPA hoặc AVV bất kể mối quan hệ được gọi là gì về mặt thương mại. Nếu một tổ chức khác xử lý dữ liệu thay mặt bạn, bạn có trách nhiệm đảm bảo rằng thỏa thuận đó được thực hiện trước khi việc xử lý bắt đầu.
Câu hỏi thường gặp
Q: AVV có hợp lệ về mặt pháp lý ngoài Đức không? Một AVV hợp lệ ở bất kỳ đâu mà GDPR áp dụng, miễn là nó đáp ứng các yêu cầu nội dung của Điều 28(3). Thuật ngữ tiếng Đức không giới hạn khả năng thi hành của nó ở các khu vực pháp lý khác trong EU.
Q: DPA có cần được ký bởi cả hai bên không? Có. Điều 28(9) của GDPR yêu cầu thỏa thuận phải bằng văn bản, bao gồm cả hình thức điện tử. Cả nhà kiểm soát và nhà xử lý đều phải bị ràng buộc bởi các điều khoản của nó.
Q: Liệu DPA trực tuyến mà nhà cung cấp cung cấp có đáp ứng yêu cầu của GDPR không? Có, nếu nội dung đáp ứng các yêu cầu của Điều 28(3). Nhiều nhà cung cấp đám mây lớn cung cấp DPA nhấp chuột tuân thủ đã được các cơ quan giám sát xem xét.
Q: Nhà xử lý phụ là gì, và tại sao điều đó lại quan trọng trong một DPA hoặc AVV? Nhà xử lý phụ là bên thứ ba được nhà xử lý thuê để thực hiện các hoạt động xử lý. DPA hoặc AVV phải chỉ rõ các điều kiện mà theo đó các nhà xử lý phụ có thể được thuê, bao gồm quyền của nhà kiểm soát để phản đối. [1]
Q: Tôi có cần một AVV hoặc DPA mới mỗi khi nhà xử lý cập nhật danh sách nhà xử lý phụ của họ không? Không nhất thiết. Nhiều thỏa thuận bao gồm một ủy quyền chung cho các thay đổi nhà xử lý phụ, miễn là nhà xử lý thông báo cho nhà kiểm soát và nhà kiểm soát giữ quyền phản đối trong một khoảng thời gian xác định.
Q: DPA có bao gồm việc chuyển dữ liệu ra ngoài EU không? Một DPA điều chỉnh mối quan hệ xử lý nhưng không tự động ủy quyền cho việc chuyển dữ liệu qua biên giới. Các cơ chế chuyển giao riêng biệt (Các điều khoản hợp đồng tiêu chuẩn, quyết định đầy đủ) là cần thiết cho việc chuyển dữ liệu đến các quốc gia thứ ba.
Q: DPA hoặc AVV nên được giữ lại trong bao lâu? Giữ thỏa thuận trong suốt thời gian mối quan hệ xử lý và trong một khoảng thời gian hợp lý sau đó, thường là ít nhất ba đến năm năm, để chứng minh sự tuân thủ trong trường hợp có cuộc điều tra của cơ quan giám sát.
Q: Sự khác biệt giữa DPA và DPIA là gì? Một DPA (Thỏa thuận Xử lý Dữ liệu) là một hợp đồng giữa nhà kiểm soát và nhà xử lý. Một DPIA (Đánh giá Tác động Bảo vệ Dữ liệu) là một đánh giá rủi ro nội bộ cần thiết cho các hoạt động xử lý có rủi ro cao. Chúng phục vụ các mục đích khác nhau và không thay thế cho nhau.
Q: Một freelancer hoặc cơ quan nhỏ có thể bị yêu cầu ký AVV hoặc DPA không? Có. Nghĩa vụ này áp dụng bất kể kích thước của nhà xử lý. Một nhà phát triển tự do xử lý dữ liệu khách hàng của khách hàng là một nhà xử lý và phải ký một DPA hoặc AVV với mỗi nhà kiểm soát khách hàng.
Q: Biscotti CMP có thay thế nhu cầu về DPA hoặc AVV không? Không. Biscotti CMP là một Nền tảng Quản lý Đồng ý giúp quản lý sự đồng ý của người dùng cho cookie và theo dõi, một yêu cầu tuân thủ GDPR riêng biệt. Một DPA hoặc AVV vẫn cần thiết cho bất kỳ mối quan hệ xử lý nào liên quan đến dữ liệu cá nhân.
Kết luận
Câu hỏi AVV so với DPA được giải quyết nhanh chóng khi bạn nhận ra rằng cả hai thuật ngữ đều mô tả cùng một công cụ hợp pháp theo yêu cầu của Điều 28 GDPR. Thách thức thực sự không phải là chọn giữa chúng, mà là đảm bảo rằng bất kỳ tài liệu nào điều chỉnh các mối quan hệ xử lý của bạn đều chứa mọi điều khoản bắt buộc, được thực hiện đúng cách và được cập nhật khi các hoạt động xử lý phát triển.
Các bước tiếp theo có thể hành động:
- Kiểm tra tất cả các mối quan hệ nhà cung cấp hiện tại để xác nhận rằng một DPA hoặc AVV hợp lệ đã được thiết lập cho mỗi nhà xử lý xử lý dữ liệu cá nhân thay mặt bạn.
- Xem xét các thỏa thuận hiện có so với mười yếu tố bắt buộc của Điều 28(3) GDPR và yêu cầu sửa đổi cho bất kỳ khoảng trống nào. [1]
- Nếu hoạt động tại Thụy Sĩ, xác minh rằng các thỏa thuận cũng đáp ứng các yêu cầu của revFADP ngoài các yêu cầu cơ bản của GDPR.
- Thiết lập một quy trình nội bộ để tiếp nhận các nhà xử lý mới, không có việc xử lý nào nên bắt đầu trước khi thỏa thuận được ký.
- Để quản lý sự đồng ý và tuân thủ cookie trên trang web hoặc ứng dụng của bạn, đánh giá Biscotti CMP như một phần của khung tuân thủ GDPR rộng hơn của bạn.
Tuân thủ bảo vệ dữ liệu không phải là một dự án một lần. Các thỏa thuận cần được xem xét khi có sự thay đổi trong việc xử lý, khi các nhà xử lý phụ được thêm vào và khi hướng dẫn quy định phát triển. Xây dựng nhịp độ xem xét đó vào chương trình tuân thủ của bạn là biện pháp bảo vệ thực tiễn nhất chống lại rủi ro quy định.
Tài liệu tham khảo
[1] Thỏa thuận Xử lý Dữ liệu - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai