1Office công bố văn bản Cam kết về xử lý dữ liệu cá nhân (“DPA”) này nhằm quy định các nội dung về bảo mật và xử lý dữ liệu cá nhân phát sinh trong quá trình cung cấp Dịch vụ. DPA là một phần không thể tách rời của Hợp đồng nguyên tắc theo Điều 1.5 Hợp đồng, và tự động có hiệu lực ràng buộc đối với Khách hàng ngay khi Khách hàng ký Hợp đồng hoặc bắt đầu sử dụng Dịch vụ, không yêu cầu ký kết thành văn bản riêng cho từng Khách hàng.

Trong DPA này, “1Office” hoặc “Bên xử lý dữ liệu” là Công ty Cổ phần 1Office; “Khách hàng” hoặc “Bên kiểm soát dữ liệu” là Khách hàng được xác định trong Hợp đồng.

Trên cơ sở tuân thủ quy định tại Luật Bảo vệ dữ liệu cá nhân 2025, DPA (sau đây gọi tắt là “DPA” hoặc “Cam kết”) quy định các nội dung về bảo mật và xử lý dữ liệu cá nhân với các điều kiện và điều khoản cụ thể như sau:

Điều 1. Định nghĩa và giải thích các thuật ngữ

1.1. Dữ liệu cá nhân

Là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu sau khi khử nhận dạng không còn là dữ liệu cá nhân.
Dữ liệu cá nhân được đề cập trong thỏa thuận này có thể là dữ liệu của khách hàng của Khách hàng, của cá nhân đại diện, người lao động của mỗi Bên và/hoặc cá nhân bất kỳ có liên quan đến Hợp đồng và DPA này mà trong quá trình ký kết, thực hiện, triển khai Hợp đồng này các bên có thể trao đổi, chuyển giao Dữ liệu của các chủ thể dữ liệu cho nhau.

1.2. Dữ liệu cá nhân cơ bản

Dữ liệu cá nhân cơ bản là dữ liệu phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong các giao dịch, quan hệ xã hội, thuộc danh mục Chính phủ ban hành, bao gồm:

Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có);
Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích;
Giới tính;
Nơi sinh, nơi đăng ký khai sinh, nơi thường trú, nơi tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ;
Quốc tịch;
Hình ảnh của cá nhân;
Số điện thoại, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe;
Tình trạng hôn nhân;
Thông tin về mối quan hệ gia đình (cha mẹ, con, vợ chồng);
Thông tin về tài khoản số của cá nhân;
Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể được hiểu theo quy định tại Nghị định 356 và các quy định khác của pháp luật hiện hành.

1.3. Dữ liệu cá nhân nhạy cảm

Là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân mà khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp tới quyền và lợi ích hợp pháp của cá nhân, thuộc danh mục do Chính phủ ban hành, bao gồm:

Dữ liệu tiết lộ nguồn gốc chủng tộc, nguồn gốc dân tộc;
Quan điểm về chính trị, tôn giáo; tín ngưỡng;
Thông tin về đời sống riêng tư, bí mật cá nhân, bí mật gia đình;
Tình trạng sức khỏe;
Dữ liệu sinh trắc học, đặc điểm di truyền;
Dữ liệu tiết lộ đời sống tình dục, xu hướng tình dục của cá nhân;
Dữ liệu về tội phạm, hành vi phạm tội được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật;
Vị trí của cá nhân được xác định qua dịch vụ định vị;
Thông tin tên đăng nhập và mật khẩu truy cập tài khoản định danh điện tử của cá nhân, hình thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân;
Tên đăng nhập, mật khẩu truy cập của tài khoản ngân hàng; thông tin thẻ ngân hàng, dữ liệu về lịch sử giao dịch của tài khoản ngân hàng; thông tin tài chính, tín dụng và các thông tin về hoạt động, lịch sử giao dịch tài chính, chứng khoán, bảo hiểm của khách hàng tại các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, chứng khoán, bảo hiểm, các tổ chức được phép khác;
Dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ truyền thông trực tuyến và các dịch vụ khác trên không gian mạng;
Dữ liệu cá nhân khác được pháp luật quy định cần giữ bí mật hoặc cần có biện pháp bảo mật chặt chẽ.

1.4. Xử lý dữ liệu cá nhân / xử lý dữ liệu

Là hoạt động tác động đến dữ liệu cá nhân bao gồm một hoặc nhiều hoạt động như sau: thu thập, phân tích, tổng hợp, mã hóa, giải mã, chỉnh sửa, xóa, hủy, khử nhận dạng, cung cấp, công khai, chuyển giao dữ liệu cá nhân và hoạt động khác tác động đến dữ liệu cá nhân.

1.5. Chủ thể dữ liệu

Là người được dữ liệu cá nhân phản ánh.

1.6. Bên kiểm soát dữ liệu

Là cơ quan, tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.

1.7. Bên xử lý dữ liệu cá nhân

Là cơ quan, tổ chức, cá nhân thực hiện việc xử lý dữ liệu cá nhân theo yêu cầu của Bên kiểm soát dữ liệu cá nhân theo Hợp đồng/DPA hoặc thỏa thuận với Bên kiểm soát dữ liệu.

1.8. Bên thứ ba

Là tổ chức, cá nhân ngoài chủ thể dữ liệu cá nhân, bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân tham gia vào việc xử lý dữ liệu cá nhân theo quy định của pháp luật.

1.9. Sự cố vi phạm dữ liệu

Là sự kiện làm lộ, mất mát, truy cập trái phép, thay đổi trái phép hoặc hủy dữ liệu cá nhân; hoặc các hành vi khác vi phạm quy định về bảo vệ dữ liệu cá nhân.

1.10. Dữ liệu kỹ thuật (nhật ký hệ thống)

Là dữ liệu phát sinh từ việc sử dụng dịch vụ nhằm mục đích vận hành, an toàn thông tin, đo lường và cải tiến dịch vụ.

Điều 2. Vai trò và phạm vi xử lý

Trong phạm vi cung cấp, vận hành dịch vụ theo Hợp đồng, Khách hàng là Bên kiểm soát dữ liệu; 1Office là Bên xử lý dữ liệu đối với dữ liệu cá nhân do Khách hàng nhập/lưu trên hệ thống.
Bên xử lý dữ liệu cam kết không lưu giữ, sử dụng và khai thác các Dữ liệu cá nhân được Bên kiểm soát dữ liệu truyền sang cho các mục đích khác ngoài phạm vi được quy định tại Hợp đồng và DPA này và/hoặc quy định của pháp luật có liên quan. Trong mọi trường hợp, Bên xử lý dữ liệu cam kết áp dụng các biện pháp, chuẩn bị các điều kiện cần thiết để đảm bảo an ninh, an toàn thông tin cho các Dữ liệu cá nhân được xử lý.
Các loại dữ liệu cá nhân các Bên có thể xử lý bao gồm: Dữ liệu cá nhân cơ bản và Dữ liệu cá nhân nhạy cảm
Khách hàng sở hữu toàn bộ dữ liệu do Khách hàng nhập vào hệ thống trong suốt thời gian thuê bao và chịu trách nhiệm về tính hợp pháp của nguồn dữ liệu, mục đích xử lý, nội dung thông báo cho chủ thể dữ liệu và các căn cứ pháp lý tương ứng.
Trường hợp Khách hàng yêu cầu 1Office xử lý các nhóm dữ liệu cá nhân nhạy cảm, Khách hàng bảo đảm đã có cơ sở pháp lý và điều kiện xử lý phù hợp theo quy định pháp luật, đồng thời cung cấp cho 1Office các chỉ dẫn được ghi nhận bằng văn bản (hoặc hình thức tương đương). Trường hợp 1Office yêu cầu làm rõ, Khách hàng sẽ bổ sung hoặc xác nhận các chỉ dẫn chi tiết bằng văn bản trước khi 1Office tiếp tục xử lý.
1Office chỉ chịu trách nhiệm đối với việc xử lý dữ liệu cá nhân trong phạm vi truy cập, quản lý và kiểm soát của mình theo Hợp đồng và DPA này. 1Office không có nghĩa vụ kiểm tra hoặc xác minh tính hợp pháp, tính chính xác, đầy đủ, cập nhật của dữ liệu do Khách hàng cung cấp và không chịu trách nhiệm đối với bất kỳ vi phạm hoặc thiệt hại nào phát sinh từ việc Khách hàng thu thập, cung cấp dữ liệu không hợp pháp, không chính xác hoặc sử dụng, chia sẻ, xử lý dữ liệu đó cho các mục đích riêng của Khách hàng.
Sau khi 1Office đã bàn giao, hoặc chấm dứt quyền truy cập đối với dữ liệu theo yêu cầu của Khách hàng, 1Office không chịu trách nhiệm đối với mọi hành vi lưu trữ, sử dụng, chia sẻ hoặc xử lý tiếp theo đối với dữ liệu đó do Khách hàng hoặc bên thứ ba do Khách hàng chỉ định thực hiện, trừ phần trách nhiệm thuộc về 1Office theo quy định pháp luật và thỏa thuận tại Hợp đồng và DPA này.
Trường hợp Bên kiểm soát dữ liệu bị chủ thể dữ liệu khiếu nại, tố cáo, khởi kiện và/hoặc bồi thường thiệt hại, Bên kiểm soát dữ liệu sẽ tự chịu trách nhiệm và giải quyết vấn đề bằng chi phí của mình, đồng thời, giữ cho Bên xử lý dữ liệu không bị ảnh hưởng và được miễn trừ mọi nghĩa vụ phát sinh (nếu có), trừ trường hợp việc khiếu nại, tố cáo, khởi kiện và/hoặc bồi thường thiệt hại của chủ thể dữ liệu đó phát sinh do lỗi của Bên xử lý dữ liệu.

Điều 3. Biện pháp an ninh và quản trị

Hạ tầng và lưu trữ: Dữ liệu được lưu trữ tại Trung tâm dữ liệu (Data Centre) và được kiểm soát theo tiêu chuẩn an ninh thông tin quốc tế ISO 27001:2022.
Biện pháp kỹ thuật: 1Office áp dụng mã hóa trong quá trình truyền; kiểm soát truy cập đa lớp; quét lỗ hổng và khắc phục theo chu kỳ hợp lý; giám sát an toàn thông tin và phát hiện bất thường; kiểm soát thay đổi và quản lý cấu hình.
Tổ chức và nhân sự: Nhân sự 1Office có liên quan đến việc truy cập, xử lý dữ liệu của Khách hàng phải ký Cam kết bảo mật và an toàn thông tin; được phân quyền phù hợp; được đào tạo định kỳ về bảo vệ dữ liệu và an toàn thông tin; chịu giám sát tuân thủ khi truy cập dữ liệu của Khách hàng.
Kiểm thử và đánh giá: 1Office định kỳ đánh giá an toàn thông tin với quy mô dịch vụ. Khi 1Office có yêu cầu kiểm tra/đối soát, hai Bên phối hợp theo kế hoạch, phạm vi và điều kiện bảo mật phù hợp (không làm gián đoạn dịch vụ).

Điều 4. Bên thứ ba

1Office được phép thuê Bên xử lý thứ ba là tổ chức, cá nhân khác để thực hiện một phần hoạt động xử lý dữ liệu nhằm cung cấp dịch vụ khi có sự chấp thuận trước đó bằng văn bản của Khách hàng (bao gồm cả sự chấp thuận thể hiện qua việc Khách hàng tuân thủ trình tự thông báo và không phản đối theo Điều 4.2 dưới đây). 1Office có trách nhiệm lựa chọn, ràng buộc Bên thứ ba bằng hợp đồng hoặc thỏa thuận bảo mật và bảo vệ dữ liệu với mức bảo vệ không thấp hơn các nghĩa vụ tương ứng quy định tại DPA này, và giám sát việc tuân thủ của Bên thứ ba trong phạm vi công việc được 1Office giao.
1Office sẽ thông báo cho Khách hàng về danh mục Bên thứ ba chủ yếu có liên quan trực tiếp tới dữ liệu cá nhân của Khách hàng, cũng như các thay đổi quan trọng trong danh mục này, thông qua email hoặc kênh liên lạc đã thống nhất. Danh mục Bên thứ ba bao gồm nhưng không giới hạn: đơn vị hạ tầng/lưu trữ đám mây, nhà cung cấp dịch vụ ký số điện tử, SMS, và nhà cung cấp mô hình hoặc nền tảng trí tuệ nhân tạo (AI) được sử dụng để xử lý AI Input, AI Output của Khách hàng theo Điều 10 ToS, nếu việc xử lý đó có chuyển giao Dữ liệu cá nhân cho nhà cung cấp đó. Khách hàng có quyền nêu ý kiến hoặc phản đối bằng văn bản trong vòng 07 (bảy) ngày làm việc kể từ ngày nhận được thông báo; quá thời hạn nêu trên mà Khách hàng không có ý kiến thì được hiểu là không phản đối việc sử dụng (hoặc tiếp tục sử dụng) Bên thứ ba đó.
Trường hợp Khách hàng đưa ra phản đối có căn cứ hợp lý đối với một Bên thứ ba, hai Bên sẽ thiện chí trao đổi để lựa chọn phương án phù hợp nhằm duy trì dịch vụ.

Điều 5. Quyền chủ thể dữ liệu và hỗ trợ tuân thủ

Khi nhận được yêu cầu thực hiện quyền của chủ thể dữ liệu, Khách hàng sẽ thông báo cho 1Office và chỉ thực hiện theo chỉ dẫn hợp pháp bằng văn bản được đại diện có thẩm quyền hợp pháp của Khách hàng ký tên và đóng dấu xác nhận, trừ khi pháp luật có quy định khác.
1Office hỗ trợ Khách hàng đáp ứng các yêu cầu hợp pháp của chủ thể dữ liệu trong các thời hạn quy định tại Nghị định 356/2025/NĐ-CP, cụ thể: 02 (hai) ngày làm việc đối với yêu cầu rút lại sự đồng ý, hạn chế hoặc phản đối xử lý dữ liệu cá nhân; 10 (mười) ngày đối với yêu cầu truy cập, chỉnh sửa hoặc cung cấp dữ liệu cá nhân; 20 (hai mươi) ngày đối với yêu cầu xóa dữ liệu cá nhân, hoặc thời hạn khác theo quy định pháp luật có liên quan được sửa đổi, bổ sung tại từng thời điểm. Để Khách hàng có đủ thời gian xử lý trong các thời hạn nêu trên, 1Office cam kết phản hồi và hỗ trợ kỹ thuật cho yêu cầu của Khách hàng trong vòng 24 (hai mươi bốn) giờ kể từ khi nhận được thông báo từ Khách hàng theo Điều 5.1, đối với các yêu cầu thuộc phạm vi dịch vụ chuẩn. Trường hợp việc hỗ trợ của 1Office vượt quá phạm vi dịch vụ chuẩn hoặc phát sinh khối lượng công việc đáng kể, hai Bên sẽ thỏa thuận trước bằng văn bản về phạm vi công việc, thời hạn thực hiện và chi phí tương ứng (nếu có).
Khách hàng chủ trì và chịu trách nhiệm thực hiện đánh giá tác động xử lý dữ liệu cá nhân, đánh giá việc chuyển dữ liệu ra nước ngoài (nếu có) theo quy định pháp luật, đồng thời hợp tác cung cấp cho 1Office các thông tin, tài liệu và chỉ dẫn cần thiết trong phạm vi liên quan đến dịch vụ.

Điều 6. Sự cố và thông báo vi phạm dữ liệu

Trường hợp 1Office phát hiện hoặc có căn cứ hợp lý cho rằng đã xảy ra sự cố vi phạm dữ liệu cá nhân, 1Office phải thông báo cho Khách hàng không chậm hơn 72 (bảy mươi hai) giờ kể từ thời điểm 1Office xác nhận sự cố, khớp với thời hạn quy định tại Điều 12.3 ToS, đồng thời phối hợp với Khách hàng trong việc đánh giá, khắc phục sự cố và thực hiện các nghĩa vụ pháp lý liên quan.
Thông báo văn bản bao gồm, trong phạm vi có thể: mô tả sự cố, nhóm dữ liệu bị ảnh hưởng, quy mô ước tính, nguy cơ đối với quyền lợi của chủ thể dữ liệu, biện pháp đã áp dụng/đề xuất, thông tin đầu mối liên hệ. Trong trường hợp điều tra chưa hoàn tất trong thời hạn 72 giờ nêu trên, 1Office sẽ gửi thông báo sơ bộ trong thời hạn đó và cập nhật thêm khi có thông tin.
Trường hợp Khách hàng hoặc Bên thứ ba phát hiện hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân có khả năng gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến quyền, lợi ích hợp pháp của chủ thể dữ liệu, Khách hàng có trách nhiệm phải thông báo cho cơ quan nhà nước có thẩm quyền trong thời hạn 72 (bảy mươi hai) giờ kể từ thời điểm phát hiện vi phạm theo quy định của pháp luật.

Điều 7. Lưu trữ, xuất dữ liệu và xóa/ẩn danh

Trong thời gian hiệu lực Hợp đồng, Khách hàng có quyền yêu cầu xuất dữ liệu theo định dạng hỗ trợ bởi hệ thống, trên cơ sở bảo đảm an toàn và chi phí hợp lý.
Khi Hợp đồng chấm dứt (bao gồm trường hợp tự động chấm dứt do hết thời hạn chờ gia hạn theo Kỳ License, quy định tại Hợp đồng), 1Office duy trì dữ liệu của Khách hàng trên hệ thống tối đa 06 (sáu) tháng kể từ ngày Hợp đồng chấm dứt, khớp với thời hạn quy định tại Điều 22 ToS, để phục vụ việc bàn giao. Trong thời hạn này, Khách hàng có quyền yêu cầu xuất dữ liệu. Hết thời hạn trên, 1Office xóa/ẩn danh dữ liệu theo quy trình nội bộ về lưu trữ và bảo vệ dữ liệu, trừ trường hợp pháp luật hoặc cơ quan nhà nước có thẩm quyền yêu cầu 1Office phải lưu giữ lâu hơn.
Sau khi hoàn tất việc xóa hoặc ẩn danh dữ liệu theo khoản 7.2, 1Office sẽ xác nhận cho Khách hàng bằng văn bản hoặc hình thức điện tử tương đương, nêu rõ thời điểm hoàn tất việc xóa/ẩn danh và phạm vi dữ liệu đã xử lý.

Điều 8. Tiết lộ theo yêu cầu cơ quan nhà nước

Trường hợp 1Office nhận được yêu cầu bằng văn bản từ cơ quan nhà nước có thẩm quyền liên quan đến dữ liệu hoặc thông tin của Khách hàng, 1Office trong phạm vi pháp luật cho phép sẽ thông báo bằng văn bản cho Khách hàng trong thời gian sớm nhất có thể và cung cấp thông tin về nội dung, phạm vi yêu cầu. 1Office chỉ tiết lộ thông tin, dữ liệu trong phạm vi tối thiểu cần thiết để tuân thủ yêu cầu đó và quy định pháp luật có liên quan.
Các Bên phối hợp trong việc xử lý yêu cầu của cơ quan nhà nước có thẩm quyền, bao gồm nhưng không giới hạn ở việc trao đổi thông tin, tài liệu cần thiết, nhằm bảo đảm tuân thủ quy định pháp luật và bảo vệ tối đa quyền và lợi ích hợp pháp của Khách hàng và chủ thể dữ liệu. Trường hợp pháp luật yêu cầu 1Office không được phép thông báo cho Khách hàng (ví dụ: yêu cầu mật, yêu cầu phục vụ điều tra), 1Office được miễn nghĩa vụ thông báo nêu tại khoản 8.1 cho đến khi có thông báo tiếp theo từ cơ quan nhà nước.

Điều 9. Thông tin đầu mối phụ trách bảo vệ dữ liệu cá nhân

Bên kiểm soát dữ liệu (Khách hàng) và Bên xử lý dữ liệu (1Office) thông báo thông tin đầu mối phụ trách bảo vệ dữ liệu cá nhân của mình (bộ phận/địa chỉ/email liên hệ) cho nhau qua email hoặc kênh liên lạc đã thống nhất trong quá trình triển khai Dịch vụ, không cần ghi trực tiếp tại DPA này.
Thông tin đầu mối của 1Office được công bố tại trang thông tin sản phẩm chính thức hoặc cung cấp qua kênh hỗ trợ khi Khách hàng có yêu cầu.

Điều 10. Chế tài, trách nhiệm và giới hạn

Nghĩa vụ bảo mật thông tin, bảo vệ dữ liệu cá nhân và chế tài đối với hành vi vi phạm nghĩa vụ bảo mật, vi phạm quy định về bảo vệ dữ liệu cá nhân của mỗi Bên được áp dụng theo Điều 17 ToS (Bảo mật thông tin), DPA này và các quy định pháp luật hiện hành về bảo vệ dữ liệu cá nhân. Mọi biện pháp xử lý nội bộ, yêu cầu bồi thường thiệt hại được thực hiện trên cơ sở quy định tại Điều 10.2 dưới đây.
Thiệt hại hoặc xử phạt vi phạm (nếu có) đều được thực hiện trên cơ sở lỗi, mức độ vi phạm và thiệt hại thực tế phát sinh.
Các Bên phối hợp khắc phục, giảm thiểu thiệt hại và thực hiện nghĩa vụ bồi thường (nếu có) theo thỏa thuận trên tinh thần hợp tác và các quy định pháp luật hiện hành.

Điều 11. Hiệu lực và áp dụng

DPA này tự động có hiệu lực đồng thời với Hợp đồng, ngay khi Khách hàng ký Hợp đồng hoặc bắt đầu sử dụng Dịch vụ (tùy thời điểm nào đến trước), không yêu cầu ký kết thành văn bản riêng. DPA là một phần không thể tách rời của Hợp đồng và có hiệu lực trong thời gian hiệu lực của Hợp đồng, ngoại trừ trường hợp các Bên có thỏa thuận khác bằng văn bản.
Hai Bên cam kết thực hiện đúng và đủ nghĩa vụ của mình theo các điều khoản của DPA này và theo quy định tại Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP ký ngày 31/12/2025 (“Nghị Định 356”) của Chính phủ và các văn bản quy định sửa đổi, bổ sung khác đối với Hợp đồng được Hai Bên ký kết bao gồm nhưng không giới hạn các Hợp đồng đã, đang và sẽ ký kết trong tương lai.
Các nội dung không được đề cập tại DPA này sẽ áp dụng theo quy định tại Hợp đồng.
1Office có quyền sửa đổi, bổ sung DPA này với thông báo trước tối thiểu 15 ngày qua email đăng ký của Khách hàng, theo cùng thủ tục cập nhật Điều khoản dịch vụ (ToS) quy định tại Điều 1.2 ToS. Việc Khách hàng tiếp tục sử dụng Dịch vụ sau thời hạn thông báo được coi là chấp nhận DPA sửa đổi.
DPA này được công bố kèm theo Hợp đồng và áp dụng thống nhất cho Khách hàng, không yêu cầu lập thành văn bản ký riêng cho từng Khách hàng.

Cam kết về xử lý dữ liệu cá nhân (DPA)