This Data Processing Addendum («DPA») is incorporated into the agreement between HỘ KINH DOANH ALL THE BEST («Processor» or «ALLiw») and the Customer («Controller») whenever the Controller uses the Service to process personal data for which the Controller is responsible. It is drafted to meet GDPR Article 28, the UK GDPR, and the requirements of Vietnam's Law 91/2025/QH15 and Decree 356/2025/NĐ-CP.Phụ lục Xử lý Dữ liệu («DPA») này là một phần của thoả thuận giữa HỘ KINH DOANH ALL THE BEST («Bên Xử lý» hoặc «ALLiw») và Khách hàng («Bên Kiểm soát») mỗi khi Khách hàng dùng Dịch vụ để xử lý dữ liệu cá nhân mà Khách hàng chịu trách nhiệm. Phụ lục được soạn để đáp ứng Điều 28 GDPR, UK GDPR và các yêu cầu của Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP của Việt Nam.
1. Subject matter and duration1. Đối tượng và thời hạn
The subject matter is the processing of personal data on behalf of the Controller to deliver the Service. The duration is from the Controller's first use of the Service until deletion of all Customer Data under section 11 below.Đối tượng là việc xử lý dữ liệu cá nhân thay cho Bên Kiểm soát để cung cấp Dịch vụ. Thời hạn là từ lần đầu Bên Kiểm soát sử dụng Dịch vụ đến khi xoá toàn bộ Dữ liệu Khách hàng theo mục 11 bên dưới.
2. Nature and purpose2. Bản chất và mục đích
ALLiw processes personal data to receive, store, transmit, analyse and respond to Controller prompts; to carry Controller settings across devices; to secure the account; and to meet legal obligations. ALLiw does not use Customer Data to train or fine-tune any model.ALLiw xử lý dữ liệu cá nhân để nhận, lưu, truyền, phân tích và phản hồi câu hỏi của Bên Kiểm soát; mang cài đặt qua các thiết bị; bảo đảm an toàn tài khoản; đáp ứng nghĩa vụ pháp lý. ALLiw không dùng Dữ liệu Khách hàng để huấn luyện hay tinh chỉnh bất kỳ mô hình nào.
3. Types of data and categories of data subjects3. Loại dữ liệu và nhóm chủ thể
Types of personal data: account identifiers, authentication, session, billing, telemetry, and whatever the Controller or its users choose to put into prompts and files. Categories of data subjects: the Controller's end users and any individual whose data is included in prompts or files.Loại dữ liệu cá nhân: định danh tài khoản, xác thực, phiên, thanh toán, đo lường, và bất cứ gì Bên Kiểm soát hoặc người dùng của họ chọn đưa vào câu hỏi và tệp. Nhóm chủ thể dữ liệu: người dùng cuối của Bên Kiểm soát và bất kỳ cá nhân nào có dữ liệu nằm trong câu hỏi hoặc tệp.
4. Controller instructions4. Chỉ dẫn của Bên Kiểm soát
ALLiw processes personal data only on the documented instructions of the Controller, including with regard to transfers of personal data to a third country, unless required to do so by Vietnamese or EU/UK law; in that case, ALLiw will inform the Controller of that legal requirement before processing, unless that law prohibits such information on important grounds of public interest. ALLiw immediately informs the Controller if, in its opinion, an instruction infringes applicable data-protection law.ALLiw chỉ xử lý dữ liệu cá nhân theo chỉ dẫn được tài liệu hoá của Bên Kiểm soát, kể cả về việc chuyển dữ liệu cá nhân sang quốc gia thứ ba, trừ khi pháp luật Việt Nam hoặc EU/UK yêu cầu; trong trường hợp đó, ALLiw sẽ thông báo cho Bên Kiểm soát về yêu cầu pháp lý này trước khi xử lý, trừ khi pháp luật cấm thông báo vì lý do lợi ích công cộng quan trọng. ALLiw thông báo ngay cho Bên Kiểm soát nếu cho rằng một chỉ dẫn vi phạm pháp luật bảo vệ dữ liệu áp dụng.
5. Confidentiality5. Bảo mật
ALLiw ensures that persons authorised to process personal data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality.ALLiw bảo đảm những người được uỷ quyền xử lý dữ liệu cá nhân đã cam kết bảo mật hoặc đang chịu nghĩa vụ bảo mật theo pháp luật.
6. Security measures6. Biện pháp an toàn
ALLiw implements the technical and organisational measures described in the Security Overview, which are updated regularly and reflect state of the art.ALLiw áp dụng các biện pháp kỹ thuật và tổ chức mô tả tại Tổng quan Bảo mật, được cập nhật thường xuyên và phản ánh trình độ công nghệ.
7. Sub-processors7. Bên xử lý phụ
The Controller grants a general authorisation to ALLiw to engage sub-processors listed on the Sub-processors page. ALLiw gives at least 14 days' notice of any change to that list; the Controller may object on reasonable data-protection grounds, and if ALLiw cannot accommodate the objection the Controller may terminate the Service.Bên Kiểm soát cấp uỷ quyền chung cho ALLiw tham gia các bên xử lý phụ liệt kê tại trang Bên xử lý phụ. ALLiw báo trước ít nhất 14 ngày với mọi thay đổi; Bên Kiểm soát có thể phản đối trên căn cứ bảo vệ dữ liệu hợp lý, và nếu ALLiw không thể giải quyết thì Bên Kiểm soát có thể chấm dứt Dịch vụ.
8. International transfers8. Chuyển dữ liệu quốc tế
ALLiw processes Customer Data in Vietnam. Where the Controller is subject to the EU or UK GDPR, transfers of personal data to ALLiw in Vietnam, and any onward transfer to a sub-processor, are governed by the EU Standard Contractual Clauses (Commission Implementing Decision (EU) 2021/914 — Module 2, or Module 3 where the Controller is itself a processor) and, for the UK, the International Data Transfer Addendum, both incorporated by reference. For the Clauses, the governing law and courts are those of Ireland (Clauses 17 and 18), unless the Controller is established in another EU Member State, whose law and courts then apply. ALLiw maintains the cross-border transfer impact assessment required by Law 91/2025/QH15 and Decree 356/2025/NĐ-CP for transfers it makes out of Vietnam (today: transactional email through Apple iCloud Mail, United States).ALLiw xử lý Dữ liệu Khách hàng tại Việt Nam. Khi Bên Kiểm soát chịu sự điều chỉnh của GDPR EU hoặc UK, việc chuyển dữ liệu cá nhân tới ALLiw tại Việt Nam, và mọi chuyển tiếp tới bên xử lý phụ, tuân theo Điều khoản Hợp đồng Chuẩn của EU (Quyết định thi hành (EU) 2021/914 — Mô-đun 2, hoặc Mô-đun 3 khi Bên Kiểm soát cũng là bên xử lý) và, với Vương quốc Anh, Phụ lục Chuyển Dữ liệu Quốc tế, được dẫn chiếu vào Phụ lục này. Với các Điều khoản Hợp đồng Chuẩn, luật và toà án điều chỉnh là của Ireland (Điều 17 và 18), trừ khi Bên Kiểm soát thành lập tại một Quốc gia Thành viên EU khác thì áp dụng luật và toà án của quốc gia đó. ALLiw duy trì hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài theo Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP cho các lần ALLiw chuyển dữ liệu ra khỏi Việt Nam (hiện nay: email giao dịch qua Apple iCloud Mail, Hoa Kỳ).
9. Assistance to the Controller9. Hỗ trợ Bên Kiểm soát
Taking into account the nature of the processing, ALLiw assists the Controller by appropriate technical and organisational measures, insofar as this is possible, for the fulfilment of the Controller's obligation to respond to requests for exercising the data subject's rights (access, rectification, erasure, restriction, portability, objection) and in ensuring compliance with the Controller's obligations around security, breach notification and data-protection impact assessment.Có xét đến bản chất của việc xử lý, ALLiw hỗ trợ Bên Kiểm soát bằng các biện pháp kỹ thuật và tổ chức phù hợp, trong khả năng, để Bên Kiểm soát thực hiện nghĩa vụ phản hồi yêu cầu của chủ thể dữ liệu (truy cập, chỉnh sửa, xoá, hạn chế, mang theo, phản đối) và bảo đảm tuân thủ các nghĩa vụ về an toàn, thông báo vi phạm và đánh giá tác động bảo vệ dữ liệu.
10. Personal data breach10. Vi phạm dữ liệu cá nhân
ALLiw notifies the Controller without undue delay — and in any case within 72 hours of becoming aware — of a personal data breach affecting Customer Data, with the information required by Article 33 GDPR and by Law 91/2025/QH15 and Decree 356/2025/NĐ-CP, and gives reasonable co-operation to investigate and remediate.ALLiw thông báo cho Bên Kiểm soát không chậm trễ bất hợp lý — và trong mọi trường hợp trong vòng 72 giờ kể từ khi phát hiện — về vi phạm dữ liệu cá nhân ảnh hưởng tới Dữ liệu Khách hàng, với các thông tin yêu cầu theo Điều 33 GDPR và theo Luật 91/2025/QH15, Nghị định 356/2025/NĐ-CP, và hợp tác hợp lý để điều tra và khắc phục.
11. Return or deletion11. Trả lại hoặc xoá
On termination of the Service, and at the Controller's choice, ALLiw deletes or returns all Customer Data, and deletes existing copies unless Vietnamese or EU/UK law requires storage. Deletion from the live service is completed within 60 days of termination. Backups that may still contain Customer Data — the nightly backups and the copies taken before a system upgrade — are kept for up to 90 days and then deleted automatically.Khi chấm dứt Dịch vụ, theo lựa chọn của Bên Kiểm soát, ALLiw xoá hoặc trả lại toàn bộ Dữ liệu Khách hàng và xoá các bản sao hiện có, trừ khi pháp luật Việt Nam hoặc EU/UK yêu cầu lưu. Việc xoá khỏi dịch vụ đang chạy hoàn tất trong 60 ngày kể từ chấm dứt. Các bản sao lưu có thể còn chứa Dữ liệu Khách hàng — bản sao lưu hằng đêm và bản chép trước mỗi lần nâng cấp hệ thống — được giữ tối đa 90 ngày rồi tự động xoá.
12. Audit12. Kiểm toán
ALLiw makes available to the Controller all information necessary to demonstrate compliance with GDPR Article 28 and allows for and contributes to audits, including inspections, conducted by the Controller or an auditor the Controller mandates, at the Controller's reasonable expense and without disrupting the Service. For most Controllers, the Security Overview, the sub-processor list, and ALLiw's incident reports will satisfy this duty.ALLiw cung cấp cho Bên Kiểm soát mọi thông tin cần thiết để chứng minh tuân thủ Điều 28 GDPR và cho phép, đóng góp vào các kiểm toán, kể cả thanh tra, do Bên Kiểm soát hoặc kiểm toán viên do Bên Kiểm soát uỷ quyền thực hiện, với chi phí hợp lý do Bên Kiểm soát chi trả và không làm gián đoạn Dịch vụ. Với phần lớn Bên Kiểm soát, Tổng quan Bảo mật, danh sách bên xử lý phụ và các báo cáo sự cố của ALLiw là đủ cho nghĩa vụ này.
13. Order of precedence13. Thứ tự ưu tiên
If there is a conflict between this DPA and the Terms of Service, this DPA controls as to the processing of personal data.Nếu có xung đột giữa DPA này và Điều khoản Dịch vụ, DPA này áp dụng cho các vấn đề liên quan tới xử lý dữ liệu cá nhân.