Thỏa thuận xử lý dữ liệu (DPA)
DPA này là phụ lục của Hợp đồng cung cấp ClinicViet giữa Khách hàng và đơn vị vận hành ClinicViet được nêu trong Hợp đồng. DPA áp dụng khi ClinicViet xử lý dữ liệu cá nhân thay mặt Khách hàng.
1. Đối tượng và thứ tự ưu tiên
DPA điều chỉnh việc ClinicViet tiếp nhận, lưu trữ, truy xuất, sao lưu, truyền, hỗ trợ và xóa dữ liệu cá nhân do Khách hàng kiểm soát. Nếu có xung đột về bảo vệ dữ liệu, DPA được ưu tiên so với Điều khoản sử dụng; Hợp đồng ký riêng được ưu tiên nếu quy định mức bảo vệ cao hơn hoặc nêu rõ thay thế DPA.
2. Vai trò và chỉ dẫn
Khách hàng là Bên Kiểm soát dữ liệu hoặc Bên Kiểm soát và xử lý dữ liệu; ClinicViet là Bên Xử lý dữ liệu, trừ hoạt động mà ClinicViet tự quyết định mục đích theo pháp luật. ClinicViet chỉ xử lý theo chỉ dẫn bằng văn bản trong Hợp đồng, cấu hình hợp lệ của Khách hàng và yêu cầu hỗ trợ đã xác thực.
Nếu cho rằng chỉ dẫn vi phạm pháp luật, ClinicViet sẽ thông báo và có thể tạm dừng phần xử lý liên quan cho đến khi các bên thống nhất phương án hợp pháp. Khách hàng chịu trách nhiệm về căn cứ xử lý, thông báo cho chủ thể dữ liệu, sự đồng ý khi cần và tính hợp pháp của dữ liệu cung cấp.
3. Mô tả hoạt động xử lý
- Chủ thể dữ liệu: bệnh nhân, người liên hệ, nhân viên, người hành nghề, nhà cung cấp và người dùng của Khách hàng.
- Dữ liệu: thông tin định danh, liên hệ, lịch hẹn, hồ sơ sức khỏe và khám chữa bệnh, đơn thuốc, hình ảnh, giao dịch, tài khoản và nhật ký hệ thống.
- Mục đích: cung cấp chức năng phần mềm, lưu trữ, sao lưu, bảo mật, hỗ trợ và khắc phục sự cố theo Hợp đồng.
- Thời hạn: trong thời hạn Hợp đồng và thời gian hoàn tất trả lại, xóa hoặc nghĩa vụ lưu trữ hợp pháp.
4. Nghĩa vụ của ClinicViet
- Bảo đảm người được phép xử lý dữ liệu chịu nghĩa vụ bảo mật và được đào tạo phù hợp;
- Duy trì biện pháp an toàn tương xứng với tính chất dữ liệu và rủi ro;
- Hỗ trợ hợp lý để Khách hàng thực hiện quyền của chủ thể dữ liệu, đánh giá tác động và nghĩa vụ báo cáo;
- Không bán, dùng cho quảng cáo hoặc xử lý dữ liệu của Khách hàng cho mục đích độc lập trái với chỉ dẫn;
- Cung cấp thông tin hợp lý chứng minh tuân thủ, với điều kiện không làm lộ bí mật hoặc ảnh hưởng an toàn của khách hàng khác.
5. Phân quyền và kiểm soát truy cập
- Quyền được cấp theo vai trò, phạm vi cơ sở và nguyên tắc tối thiểu cần thiết cho nhiệm vụ.
- Tài khoản quản trị, bác sĩ, điều dưỡng, dược sĩ, lễ tân, kế toán và nhân sự hỗ trợ phải được tách theo chức năng; quyền xem, tạo, sửa, xóa, xuất dữ liệu và cấu hình được kiểm soát độc lập khi hệ thống hỗ trợ.
- Tài khoản đặc quyền phải được giới hạn, rà soát định kỳ và dùng xác thực mạnh khi tính năng được cung cấp.
- Truy cập hỗ trợ của nhân sự ClinicViet chỉ thực hiện trong phạm vi cần thiết để hỗ trợ hoặc xử lý sự cố.
- Quyền phải được điều chỉnh ngay khi đổi nhiệm vụ và thu hồi khi người dùng nghỉ việc, chấm dứt hợp tác hoặc không còn nhu cầu.
- Khách hàng chịu trách nhiệm chỉ định quản trị viên, phê duyệt quyền, rà soát tài khoản và thông báo kịp thời yêu cầu khóa hoặc thu hồi.
6. Biện pháp bảo mật
- Mã hóa dữ liệu khi truyền qua mạng công cộng và áp dụng bảo vệ phù hợp cho dữ liệu lưu trữ;
- Bảo vệ dữ liệu và duy trì khả năng cung cấp dịch vụ theo phạm vi đã thỏa thuận;
- Quản lý bản vá, lỗ hổng, mã độc, thay đổi hệ thống và cấu hình an toàn;
- Giám sát, cảnh báo và điều tra hoạt động bất thường;
- Kiểm soát thiết bị, môi trường phát triển và dữ liệu thử nghiệm theo mức rủi ro;
- Đánh giá định kỳ và cải tiến biện pháp dựa trên rủi ro, công nghệ và yêu cầu pháp luật.
7. Bên xử lý phụ và chuyển dữ liệu
Khách hàng cho phép ClinicViet sử dụng nhà cung cấp hạ tầng và dịch vụ hỗ trợ cần thiết, với điều kiện ClinicViet ràng buộc họ bằng nghĩa vụ bảo vệ dữ liệu tương đương cho phạm vi công việc. ClinicViet chịu trách nhiệm quản lý bên xử lý phụ theo Hợp đồng. Thay đổi trọng yếu sẽ được thông báo theo cơ chế đã thỏa thuận để Khách hàng có cơ hội phản đối vì lý do chính đáng về bảo vệ dữ liệu.
Việc chuyển dữ liệu ra nước ngoài chỉ được thực hiện khi phù hợp chỉ dẫn và sau khi các bên hoàn thành hồ sơ, đánh giá hoặc biện pháp khác mà pháp luật áp dụng yêu cầu.
8. Sự cố dữ liệu cá nhân
ClinicViet sẽ thông báo cho Khách hàng không chậm trễ bất hợp lý sau khi xác nhận sự cố ảnh hưởng dữ liệu của Khách hàng. Thông báo sẽ cung cấp thông tin hiện có về tính chất sự cố, loại dữ liệu và chủ thể bị ảnh hưởng, hậu quả có thể xảy ra, biện pháp đã hoặc sẽ thực hiện và đầu mối phối hợp. Thông báo không mặc nhiên là thừa nhận lỗi hoặc trách nhiệm.
Các bên phối hợp khoanh vùng, khắc phục, bảo toàn chứng cứ và thực hiện thông báo cho cơ quan có thẩm quyền hoặc chủ thể dữ liệu. Khách hàng quyết định nội dung và việc thông báo khi mình là bên có nghĩa vụ, trừ trường hợp pháp luật yêu cầu ClinicViet trực tiếp thực hiện.
9. Yêu cầu của chủ thể dữ liệu và cơ quan nhà nước
ClinicViet chuyển yêu cầu liên quan dữ liệu của Khách hàng cho Khách hàng và không tự trả lời nội dung nghiệp vụ nếu chưa được ủy quyền hoặc pháp luật yêu cầu. ClinicViet hỗ trợ bằng chức năng sẵn có hoặc hỗ trợ hợp lý có tính phí nếu yêu cầu vượt phạm vi dịch vụ tiêu chuẩn.
10. Trả lại, xuất và xóa dữ liệu
Trong thời hạn nêu trong Hợp đồng sau khi chấm dứt, Khách hàng có thể yêu cầu xuất dữ liệu theo định dạng được hỗ trợ. Sau thời hạn đó, ClinicViet xóa hoặc ẩn danh dữ liệu khỏi hệ thống hoạt động, trừ dữ liệu phải lưu theo pháp luật. Bản sao lưu được xóa theo chu kỳ luân chuyển và vẫn chịu kiểm soát bảo mật.
11. Kiểm tra tuân thủ
Không quá một lần mỗi năm, trừ khi có sự cố hoặc yêu cầu của cơ quan có thẩm quyền, Khách hàng có thể yêu cầu tài liệu tuân thủ hợp lý. Kiểm tra tại chỗ cần thông báo trước, trong giờ làm việc, không truy cập dữ liệu của khách hàng khác và do Khách hàng chịu chi phí, trừ khi phát hiện vi phạm trọng yếu.
12. Hiệu lực và ký kết
DPA có hiệu lực cùng Hợp đồng hoặc khi Khách hàng chấp nhận điện tử. Với khách hàng cần văn bản ký riêng, thông tin pháp nhân, đại diện, địa chỉ, mã số thuế, đầu mối dữ liệu, địa điểm lưu trữ, danh sách bên xử lý phụ, thời hạn thông báo sự cố và thời hạn xuất dữ liệu phải được điền trong phụ lục ký kết.