Câu trả lời nhanh: AVV (Auftragsverarbeitungsvertrag) là một hợp đồng pháp lý bắt buộc theo Điều 28 GDPR giữa một nhà kiểm soát dữ liệu và một nhà xử lý dữ liệu. Bất kỳ tổ chức nào xử lý dữ liệu cá nhân thay mặt cho một bên khác đều phải có một hợp đồng như vậy. Hoạt động mà không có AVV sẽ khiến cả hai bên phải đối mặt với mức phạt lên tới 20 triệu euro hoặc 4% doanh thu toàn cầu hàng năm, tùy theo mức nào cao hơn.
Những điểm chính
- AVV là thuật ngữ tiếng Đức cho Hợp đồng Xử lý Dữ liệu (DPA), được yêu cầu theo Điều 28 GDPR bất cứ khi nào một nhà xử lý xử lý dữ liệu cá nhân cho một nhà kiểm soát.
- Hợp đồng phải chỉ rõ đối tượng, mục đích, thời gian, loại dữ liệu, các biện pháp kỹ thuật và tổ chức (TOMs), và quy tắc về các nhà xử lý phụ.
- Việc không có AVV hợp lệ có thể dẫn đến các khoản phạt quy định bất kể có xảy ra vi phạm dữ liệu hay không.
- Các doanh nghiệp nhỏ không được miễn trừ: dịch vụ lưu trữ đám mây, phần mềm quản lý tiền lương và công cụ tiếp thị qua email thường kích hoạt yêu cầu AVV.
- AVV là một hợp đồng giữa hai bên, không phải là thông báo quyền riêng tư, và nó không tự mình thực hiện các biện pháp bảo mật như mã hóa.
- AVV nên được xem xét bất cứ khi nào có sự thay đổi về các nhà xử lý phụ, khi có chuyển giao dữ liệu sang các quốc gia thứ ba, hoặc khi các hoạt động xử lý được sửa đổi.
- Tại khu vực DACH (Đức, Áo, Thụy Sĩ), AVV là thực tiễn tiêu chuẩn với các nhà cung cấp SaaS, nhà cung cấp dịch vụ lưu trữ và hệ thống ERP.
- Các mẫu hợp đồng có sẵn từ các tổ chức và nhà cung cấp tuân thủ, nhưng việc tùy chỉnh để phản ánh các hoạt động xử lý thực tế là rất quan trọng.
AVV là gì trong Xử lý Dữ liệu?
AVV là viết tắt của Auftragsverarbeitungsvertrag, một từ ghép tiếng Đức có nghĩa là "hợp đồng xử lý dữ liệu" trong tiếng Anh. Đây là công cụ hợp đồng được quy định bởi Điều 28 của Quy định Bảo vệ Dữ liệu Chung của EU (GDPR) để quản lý mối quan hệ giữa một nhà kiểm soát dữ liệu và một nhà xử lý dữ liệu.
Thuật ngữ này cụ thể cho các khu vực nói tiếng Đức (Đức, Áo và Thụy Sĩ), nhưng khái niệm pháp lý cơ bản áp dụng phổ quát trên toàn EU và EEA. Trong các ngữ cảnh tiếng Anh, tài liệu tương tự được gọi là Hợp đồng Xử lý Dữ liệu (DPA). Các tổ chức hoạt động quốc tế nên đảm bảo rằng các AVV của họ có sẵn bằng các ngôn ngữ liên quan để tạo điều kiện cho việc hiểu và tuân thủ [5].
AVV không phải là chính sách quyền riêng tư hay biểu ngữ đồng ý cookie. Đây là một hợp đồng song phương ràng buộc xác định cách mà một nhà xử lý có thể xử lý dữ liệu cá nhân, trong những điều kiện nào và với những biện pháp bảo vệ nào.
Tại Sao Các Nhà Xử Lý Dữ Liệu Cần Một AVV?
AVV là bắt buộc bất cứ khi nào một nhà kiểm soát dữ liệu thuê một nhà xử lý để xử lý dữ liệu cá nhân thay mặt cho mình. Đây không phải là hướng dẫn tùy chọn; đây là yêu cầu pháp lý nghiêm ngặt theo Điều 28 GDPR [1].
Các tình huống phổ biến kích hoạt yêu cầu AVV bao gồm:
- Lưu trữ đám mây và cơ sở hạ tầng (ví dụ: máy chủ lưu trữ cơ sở dữ liệu khách hàng)
- Xử lý tiền lương do một nhà cung cấp nhân sự bên thứ ba thực hiện
- Nền tảng tiếp thị qua email lưu trữ danh sách người đăng ký
- Nhà cung cấp SaaS ERP truy cập dữ liệu doanh nghiệp và nhân viên
- Công cụ phân tích và theo dõi xử lý dữ liệu hành vi của khách truy cập
Nếu không có AVV, cả hai bên đều không có cơ sở pháp lý được tài liệu hóa cho mối quan hệ xử lý. Các cơ quan giám sát coi việc thiếu AVV là một vi phạm tuân thủ độc lập, tách biệt với bất kỳ cuộc điều tra vi phạm dữ liệu nào [3].
AVV có giống với DPA không?
Có, AVV và DPA đề cập đến cùng một tài liệu pháp lý. AVV là thuật ngữ tiếng Đức; DPA là tương đương tiếng Anh được sử dụng ở hầu hết các quốc gia thành viên EU khác và trong các ngữ cảnh tuân thủ quốc tế [5].
Cả hai tài liệu đều đáp ứng các yêu cầu của Điều 28 GDPR và phải chứa các yếu tố bắt buộc giống nhau. Nếu một công ty Đức ký DPA với một nhà cung cấp SaaS có trụ sở tại Mỹ, DPA đó sẽ hoạt động như AVV cho mục đích tuân thủ GDPR, miễn là nó đáp ứng tất cả các yêu cầu về nội dung.
Điểm phân biệt quan trọng cần nhớ: Nhãn trên tài liệu ít quan trọng hơn nội dung của nó. Một tài liệu có tiêu đề "Phụ lục Xử lý Dữ liệu", "Hợp đồng Xử lý" hoặc "AVV" là tương đương về mặt pháp lý miễn là nó bao gồm tất cả các yếu tố cần thiết.
Ai Cần Một AVV Để Tuân Thủ GDPR?
Bất kỳ tổ chức nào là nhà kiểm soát dữ liệu và sử dụng dịch vụ của bên thứ ba xử lý dữ liệu cá nhân thay mặt cho mình đều cần một AVV. Điều này áp dụng cho các doanh nghiệp thuộc mọi quy mô trong tất cả các ngành [1].
Các nhà kiểm soát thường cần AVV:
| Tình huống | Nhà kiểm soát | Nhà xử lý |
|---|---|---|
| Công ty sử dụng CRM đám mây | Doanh nghiệp | Nhà cung cấp CRM |
| Trang web sử dụng phân tích | Chủ sở hữu trang web | Nhà cung cấp phân tích |
| HR thuê ngoài xử lý tiền lương | Nhà tuyển dụng | Văn phòng tiền lương |
| Cửa hàng trực tuyến sử dụng công cụ email | Nhà bán lẻ | Nền tảng email |
| Đại lý quản lý quảng cáo của khách hàng | Đại lý | Nền tảng công nghệ quảng cáo |
Ai không phải là nhà xử lý: Một bên xác định mục đích và phương tiện xử lý độc lập là một nhà kiểm soát theo đúng nghĩa của nó, không phải là nhà xử lý. Các nhà kiểm soát chung yêu cầu một loại hợp đồng khác theo Điều 26 GDPR.
Các doanh nghiệp nhỏ thường bỏ qua yêu cầu này, giả định rằng nó chỉ áp dụng cho các doanh nghiệp lớn. Giả định đó là sai. Bất kỳ chủ sở hữu trang web nào sử dụng nhà cung cấp dịch vụ lưu trữ bên thứ ba, dịch vụ bản tin hoặc hệ thống đặt chỗ đều có khả năng cần ít nhất một AVV [5].
Những gì cần được bao gồm trong một AVV?
Một AVV tuân thủ phải chứa các yếu tố bắt buộc cụ thể. Thiếu thậm chí một yếu tố có thể khiến hợp đồng không đủ điều kiện theo sự giám sát của GDPR [2].
Các thành phần bắt buộc:
- Đối tượng và thời gian của việc xử lý
- Tính chất và mục đích của việc xử lý
- Loại dữ liệu cá nhân và các loại đối tượng dữ liệu
- Nghĩa vụ và quyền của nhà kiểm soát
- Các biện pháp kỹ thuật và tổ chức (TOMs) được thực hiện bởi nhà xử lý
- Quy tắc quản lý việc thuê các nhà xử lý phụ
- Quy trình cho các yêu cầu quyền của đối tượng dữ liệu
- Nghĩa vụ thông báo vi phạm dữ liệu
- Trả lại hoặc xóa dữ liệu khi hợp đồng kết thúc
- Quyền kiểm toán cho nhà kiểm soát
Phần TOMs đặc biệt quan trọng. Mặc dù AVV không tự thực hiện các biện pháp bảo mật, nhưng nó phải ghi lại các biện pháp mà nhà xử lý đã thực hiện, chẳng hạn như tiêu chuẩn mã hóa, kiểm soát truy cập và thực tiễn giả danh [1].
Điều gì xảy ra nếu bạn không có AVV?
Hoạt động mà không có AVV hợp lệ sẽ khiến cả nhà kiểm soát và nhà xử lý phải đối mặt với các hình phạt quy định nghiêm trọng. Theo Điều 83(4) GDPR, các khoản phạt cho các vi phạm Điều 28 có thể lên tới 10 triệu euro hoặc 2% doanh thu toàn cầu hàng năm, và theo Điều 83(5) cho các vi phạm nghiêm trọng hơn, lên tới 20 triệu euro hoặc 4% doanh thu toàn cầu hàng năm, tùy theo mức nào cao hơn [3].
Điều quan trọng là, các khoản phạt này có thể được áp dụng bất kể có xảy ra vi phạm dữ liệu hay không. Một cơ quan giám sát thực hiện một cuộc kiểm toán định kỳ hoặc phản hồi một khiếu nại có thể xác định việc thiếu AVV và đưa ra phạt chỉ dựa trên điều đó.
Các hậu quả bổ sung bao gồm:
- Thiệt hại về danh tiếng và mất lòng tin của khách hàng
- Trách nhiệm hợp đồng giữa nhà kiểm soát và nhà xử lý
- Có thể đình chỉ các hoạt động xử lý cho đến khi khắc phục
AVV so với Hợp đồng Xử lý Dữ liệu: Sự khác biệt chính
AVV và DPA về cơ bản là cùng một tài liệu dưới các tên khác nhau. Tuy nhiên, có những khác biệt thực tiễn đáng lưu ý cho các tổ chức quốc tế.
| Kích thước | AVV | DPA |
|---|---|---|
| Ngôn ngữ | Tiếng Đức | Tiếng Anh (hoặc ngôn ngữ địa phương) |
| Tập trung vào quyền tài phán | Khu vực DACH | EU/EEA rộng rãi |
| Ngữ cảnh sử dụng phổ biến | Hợp đồng tiếng Đức | Hợp đồng SaaS quốc tế |
| Cơ sở pháp lý | Điều 28 GDPR | Điều 28 GDPR |
| Yêu cầu nội dung | Giống nhau | Giống nhau |
Khu vực DACH (Đức, Áo, Thụy Sĩ) có văn hóa thực thi đặc biệt mạnh mẽ xung quanh AVV, khiến chúng trở thành thực tiễn tiêu chuẩn trong các hợp đồng với nhà cung cấp dịch vụ lưu trữ, nhà cung cấp SaaS ERP và các đối tác dịch vụ khác [1].
Chi phí của một AVV là bao nhiêu?
Chi phí của một AVV thay đổi tùy thuộc vào cách nó được tạo ra và xem xét.
- AVV dựa trên mẫu: Nhiều nhà cung cấp cung cấp AVV của riêng họ như một phần của điều khoản dịch vụ, thường không tính thêm phí. Các tổ chức như NexDeck cung cấp các mẫu AVV chi tiết bao gồm danh sách các nhà xử lý phụ [4].
- Xem xét của luật sư: Việc có một luật sư bảo vệ dữ liệu soạn thảo hoặc xem xét một AVV tùy chỉnh thường có chi phí từ 300 đến 2.000 euro tùy thuộc vào độ phức tạp và quyền tài phán.
- Soạn thảo hỗ trợ từ DPO: Các tổ chức có Nhân viên Bảo vệ Dữ liệu (DPO) nội bộ hoặc bên ngoài thường có thể sử dụng nguồn lực đó để soạn thảo AVV mà không mất thêm chi phí ngoài phí giữ chân DPO.
Đối với các doanh nghiệp nhỏ, cách tiếp cận thực tế nhất là bắt đầu với một mẫu hợp lệ và có nó được xem xét bởi một chuyên gia đủ điều kiện trước khi ký.
Làm thế nào để tôi tạo một mẫu AVV?
Việc tạo một AVV bắt đầu bằng cách xác định tất cả các mối quan hệ xử lý mà bên thứ ba xử lý dữ liệu cá nhân thay mặt cho bạn. Từ đó, quy trình theo các bước sau:
- Kiểm kê các nhà xử lý của bạn: Liệt kê mọi nhà cung cấp, công cụ hoặc dịch vụ truy cập dữ liệu cá nhân mà bạn kiểm soát.
- Lấy hoặc soạn thảo AVV: Nhiều nhà xử lý (đặc biệt là các nhà cung cấp SaaS) cung cấp AVV tiêu chuẩn của riêng họ. Xem xét nó so với các yếu tố bắt buộc được liệt kê ở trên.
- Tùy chỉnh phần TOMs: Đảm bảo các biện pháp kỹ thuật và tổ chức phản ánh thực tế thực hành bảo mật của nhà xử lý.
- Liệt kê các nhà xử lý phụ: Bao gồm một phụ lục xác định bất kỳ nhà xử lý phụ nào mà nhà xử lý sử dụng, cùng với vai trò và vị trí của họ.
- Xác định cơ chế chuyển giao dữ liệu: Nếu dữ liệu được chuyển ra ngoài EU/EEA, hãy chỉ rõ cơ chế chuyển giao hợp pháp (ví dụ: Các điều khoản hợp đồng tiêu chuẩn).
- Ký và lưu giữ: Cả hai bên đều phải ký AVV. Giữ một bản sao cùng với hồ sơ xử lý dữ liệu của bạn.
Các mẫu từ các tổ chức tập trung vào tuân thủ cung cấp một nền tảng cấu trúc vững chắc, nhưng mỗi AVV nên được tùy chỉnh cho hoạt động xử lý cụ thể mà nó quản lý [2].
Yêu cầu AVV cho Doanh Nghiệp Nhỏ
Các doanh nghiệp nhỏ không được miễn trừ khỏi yêu cầu AVV. Bất kỳ tổ chức nào chịu sự điều chỉnh của GDPR mà sử dụng nhà xử lý bên thứ ba đều phải có AVV, bất kể quy mô công ty hay số lượng nhân viên [1].
Đối với các doanh nghiệp nhỏ, gánh nặng thực tiễn thấp hơn so với những gì có thể xuất hiện:
- Hầu hết các nhà cung cấp SaaS lớn (nền tảng email, hệ thống đặt chỗ, công cụ phân tích) đã cung cấp một AVV hoặc DPA tiêu chuẩn như một phần của điều khoản dịch vụ của họ. Việc chấp nhận các điều khoản này thường được coi là một thỏa thuận hợp lệ.
- Nhiệm vụ chính là đảm bảo bạn đã thực sự xem xét và chấp nhận các điều khoản đó, thay vì giả định rằng chúng đã tồn tại.
- Duy trì một sổ đăng ký đơn giản về các nhà xử lý của bạn và các AVV tương ứng.
Sai lầm phổ biến: Các chủ doanh nghiệp nhỏ thường giả định rằng vì một nhà cung cấp lớn và có uy tín, giấy tờ pháp lý sẽ tự động được xử lý. Việc chấp nhận một AVV phải là một bước chủ động, được tài liệu hóa.
Yêu cầu về Dấu Vết Kiểm Toán AVV
Một AVV phải bao gồm các điều khoản cấp quyền cho nhà kiểm soát quyền kiểm toán sự tuân thủ của nhà xử lý. Quyền kiểm toán này là một yếu tố bắt buộc theo Điều 28(3)(h) GDPR [2].
Trong thực tế, yêu cầu về dấu vết kiểm toán có nghĩa là:
- Nhà xử lý phải duy trì hồ sơ về các hoạt động xử lý theo Điều 30(2) GDPR.
- Nhà kiểm soát có quyền thực hiện các cuộc kiểm toán hoặc ủy quyền cho các kiểm toán viên bên thứ ba để xác minh sự tuân thủ.
- Nhiều nhà xử lý đáp ứng yêu cầu này thông qua các chứng nhận bên thứ ba như ISO 27001 hoặc SOC 2, có thể thay thế cho các cuộc kiểm toán tại chỗ trong nhiều trường hợp.
AVV có liên quan trực tiếp đến các kiểm soát A.5.19 đến A.5.22 của ISO 27001, điều chỉnh các mối quan hệ nhà cung cấp và bảo mật thông tin trong chuỗi cung ứng [2]. Các tổ chức có Hệ thống Quản lý An ninh Thông tin (ISMS) chính thức nên đảm bảo rằng các AVV của họ được tích hợp vào quy trình quản lý nhà cung cấp của họ.
AVV cho Chuyển Giao Dữ Liệu Quốc Tế
Khi một nhà xử lý nằm ngoài EU/EEA, AVV phải giải quyết cơ chế pháp lý để chuyển dữ liệu cá nhân sang quốc gia thứ ba đó. Các Điều khoản Hợp đồng Tiêu chuẩn (SCCs) là cơ chế được sử dụng phổ biến nhất và thường được đưa vào như một phụ lục của AVV [2].
Các cân nhắc chính cho các AVV quốc tế:
- Xác định xem quốc gia của nhà xử lý có quyết định đủ điều kiện của EU hay không.
- Nếu không, hãy đưa vào các SCCs thích hợp (từ nhà kiểm soát đến nhà xử lý hoặc từ nhà kiểm soát đến nhà kiểm soát, tùy thuộc vào mối quan hệ).
- Thực hiện Đánh giá Tác động Chuyển giao (TIA) khi cần thiết.
- Đảm bảo AVV có sẵn bằng các ngôn ngữ của cả hai bên ký kết [5].
Bao lâu thì bạn nên cập nhật AVV của mình?
Một AVV nên được xem xét và cập nhật bất cứ khi nào có thay đổi quan trọng trong mối quan hệ xử lý. Không có khoảng thời gian xem xét pháp lý cố định, nhưng thực tiễn tốt nhất chỉ ra rằng ít nhất nên xem xét hàng năm [2].
Các yếu tố kích hoạt việc cập nhật AVV ngay lập tức:
- Nhà xử lý thuê một nhà xử lý phụ mới hoặc loại bỏ một nhà xử lý hiện có
- Các hoạt động xử lý thay đổi về tính chất, mục đích hoặc phạm vi
- Dữ liệu được chuyển đến một quốc gia thứ ba mới
- Các TOM của nhà xử lý được cập nhật đáng kể
- Luật hoặc hướng dẫn quy định thay đổi
Việc xem xét AVV một cách chủ động là một kỷ luật tuân thủ cốt lõi. Các hợp đồng lỗi thời không còn phản ánh các hoạt động xử lý thực tế tạo ra cùng mức độ rủi ro quy định như việc không có AVV.
Những Sai Lầm Thường Gặp Khi Thiết Lập AVV
Ngay cả những tổ chức hiểu yêu cầu AVV cũng thường mắc lỗi trong việc thực hiện.
Sai lầm 1: Xem xét mẫu hợp đồng của nhà cung cấp là tự động đủ. Một mẫu AVV do nhà cung cấp cung cấp có thể không bao gồm các hoạt động xử lý cụ thể của bạn. Luôn xem xét nó so với các yếu tố bắt buộc.
Sai lầm 2: Bỏ qua hoặc mô tả mơ hồ về TOMs. Các cơ quan giám sát xem xét phần TOMs một cách kỹ lưỡng. Ngôn ngữ mơ hồ như "các biện pháp bảo mật thích hợp" mà không có chi tiết cụ thể là không đủ.
Sai lầm 3: Quên các nhà xử lý phụ. AVV phải liệt kê các nhà xử lý phụ. Việc không cập nhật danh sách này khi một nhà xử lý thay đổi các nhà xử lý phụ của mình là một khoảng trống tuân thủ phổ biến [2].
Sai lầm 4: Không giữ bản sao đã ký. Một AVV không thể được xuất trình trong một cuộc kiểm toán sẽ không cung cấp bất kỳ sự bảo vệ pháp lý nào. Duy trì hồ sơ có tổ chức.
Sai lầm 5: Nhầm lẫn AVV với chính sách quyền riêng tư. Đây là hai tài liệu hoàn toàn khác nhau phục vụ các mục đích khác nhau. Chính sách quyền riêng tư thông báo cho các đối tượng dữ liệu; AVV quản lý mối quan hệ giữa nhà kiểm soát và nhà xử lý [1].
Kết luận
Hướng Dẫn Tối Ưu Về AVV: Tại Sao Mỗi Nhà Xử Lý Dữ Liệu Đều Cần Một cuối cùng trở về một thực tế tuân thủ đơn giản: nếu dữ liệu cá nhân được chuyển giao giữa một nhà kiểm soát và một nhà xử lý, một AVV hợp lệ phải tồn tại trước khi việc xử lý đó bắt đầu. Không có miễn trừ về kích thước, không có ngoại lệ ngành nghề, và không có thời gian ân hạn cho các tổ chức đã hoạt động theo GDPR.
Các bước hành động có thể thực hiện cho năm 2026:
- Kiểm toán mọi nhà cung cấp bên thứ ba truy cập dữ liệu cá nhân mà bạn kiểm soát và xác nhận rằng một AVV đã được thiết lập cho mỗi nhà cung cấp.
- Xem xét các AVV hiện có so với danh sách các yếu tố bắt buộc, đặc biệt chú ý đến TOMs và danh sách các nhà xử lý phụ.
- Thiết lập một nhắc nhở lịch cho việc xem xét AVV hàng năm và cập nhật dựa trên các yếu tố kích hoạt khi các hoạt động xử lý thay đổi.
- Đối với các tổ chức quản lý việc đồng ý và tuân thủ cookie cùng với các AVV của họ, hãy xem xét việc kết hợp tài liệu xử lý dữ liệu của bạn với một Nền tảng Quản lý Đồng ý tuân thủ như Biscotti CMP để duy trì một tư thế tuân thủ hoàn chỉnh và có thể bảo vệ.
- Tham khảo một chuyên gia bảo vệ dữ liệu đủ điều kiện cho bất kỳ AVV nào liên quan đến các hoạt động xử lý phức tạp hoặc chuyển giao dữ liệu quốc tế.
Chi phí để thực hiện đúng AVV là tối thiểu. Chi phí để thực hiện sai là không nhỏ.
Câu hỏi thường gặp
AVV là gì theo cách đơn giản? AVV là một hợp đồng bằng văn bản giữa một công ty sở hữu dữ liệu cá nhân (nhà kiểm soát) và một công ty xử lý dữ liệu đó thay mặt cho công ty đó (nhà xử lý). Nó chỉ rõ dữ liệu nào được xử lý, lý do, cách thức bảo vệ và nghĩa vụ của cả hai bên.
Có cần AVV cho mọi mối quan hệ với nhà cung cấp không? Chỉ đối với các nhà cung cấp xử lý dữ liệu cá nhân thay mặt cho bạn. Một nhà cung cấp chỉ cung cấp một công cụ mà bạn sử dụng để tự xử lý dữ liệu (không có quyền truy cập vào dữ liệu) thường không phải là nhà xử lý và không cần AVV.
Có thể một thỏa thuận bằng miệng thay thế cho AVV không? Không. Điều 28 GDPR rõ ràng yêu cầu hợp đồng xử lý phải được lập bằng văn bản, bao gồm cả hình thức điện tử.
AVV có bảo vệ khỏi các khoản phạt GDPR không? Có một AVV hợp lệ giảm thiểu rủi ro quy định một cách đáng kể, nhưng nó không cung cấp miễn trừ tuyệt đối. Các khoản phạt vẫn có thể được áp dụng cho các vi phạm khác. Một AVV chứng minh sự tuân thủ với Điều 28 một cách cụ thể.
Sự khác biệt giữa nhà xử lý phụ và nhà xử lý là gì? Nhà xử lý xử lý dữ liệu trực tiếp cho nhà kiểm soát. Một nhà xử lý phụ được nhà xử lý thuê để hỗ trợ trong việc xử lý đó. Nhà kiểm soát phải được thông báo về các nhà xử lý phụ, và nhà xử lý phải ràng buộc các nhà xử lý phụ theo các nghĩa vụ tương đương.
AVV phải được giữ lại bao lâu? Không có khoảng thời gian giữ lại cụ thể nào được quy định trong GDPR cho AVV, nhưng chúng nên được giữ trong suốt thời gian của mối quan hệ xử lý và trong một khoảng thời gian hợp lý sau đó, thường là phù hợp với thời hiệu cho hành động quy định trong quyền tài phán liên quan.
Có phải DPA ký với một công ty Mỹ được coi là AVV không? Có, miễn là nó chứa tất cả các yếu tố yêu cầu theo Điều 28 GDPR và bao gồm các cơ chế chuyển giao thích hợp như Các Điều khoản Hợp đồng Tiêu chuẩn.
Nhà xử lý có thể sử dụng dữ liệu cá nhân cho mục đích riêng của mình không? Không. Nhà xử lý chỉ có thể xử lý dữ liệu cá nhân theo hướng dẫn được tài liệu hóa của nhà kiểm soát. Việc xử lý cho mục đích riêng của nhà xử lý sẽ phân loại bên đó thành nhà kiểm soát, với các nghĩa vụ pháp lý riêng biệt.
TOM là gì trong bối cảnh của một AVV? TOM là viết tắt của Biện pháp Kỹ thuật và Tổ chức. Đây là các thực hành bảo mật mà một nhà xử lý thực hiện để bảo vệ dữ liệu cá nhân, chẳng hạn như mã hóa, kiểm soát truy cập và thực tiễn giả danh. AVV phải ghi lại các biện pháp này.
Có cần phải công chứng AVV không? Không. GDPR không yêu cầu công chứng. Một thỏa thuận bằng văn bản đã ký (bao gồm cả chữ ký điện tử) là đủ.
Tài liệu tham khảo
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai