Thỏa thuận xử lý dữ liệu
Giữa trường mầm non và 4V3D OÜ, cho dịch vụ nhóm lớp Minute Mission. Phiên bản 1.0, ngày 23 tháng 9 năm 2026.
Đây là bản dịch tiếng Việt của thỏa thuận. Thỏa thuận cũng được công bố bằng tiếng Anh và tiếng Estonia, và khách hàng Estonia ký vào bản tiếng Estonia. Bản tiếng Anh và bản tiếng Estonia là hai bản có giá trị điều chỉnh; nếu bản dịch này có chỗ nào khác với bản tiếng Anh thì bản tiếng Anh là bản có giá trị.
Cách chấp nhận thỏa thuận này
Có hai cách, giá trị như nhau.
- Khi thanh toán. Đánh dấu vào ô ghi rằng bạn chấp nhận thỏa thuận này, phiên bản 1.0. Phiên bản và ngày được ghi lại trong tài khoản của bạn, một bản sao đúng nguyên văn mà bạn đã chấp nhận được gửi qua email cho bạn, và bản đó luôn có sẵn trong tài khoản.
- Trên giấy, nếu tổ chức của bạn cần chữ ký. Bạn hãy viết cho chúng tôi tại info@4v3d.ee và chúng tôi sẽ gửi đúng nội dung đó dưới dạng một văn bản kèm bảng để điền thông tin của bạn. Bạn ký điện tử (chữ ký đủ điều kiện theo eIDAS, DocuSign, Adobe Sign hoặc hệ thống chữ ký quốc gia của bạn) rồi gửi lại. 4V3D OÜ ký vào cùng tệp đó và gửi trả. Thỏa thuận có hiệu lực từ ngày ký muộn hơn trong hai chữ ký.
Bên xử lý dữ liệu: 4V3D OÜ, số đăng ký 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estonia. Người đại diện: Oskar Viil, thành viên hội đồng quản trị. Liên hệ: info@4v3d.ee.
1. Thỏa thuận này điều chỉnh những gì
Trường mầm non (bên kiểm soát dữ liệu) sử dụng Minute Mission, một ứng dụng web do 4V3D OÜ (bên xử lý dữ liệu) vận hành, trong đó giáo viên duy trì một bảng nhiệm vụ và phần thưởng của lớp. Để làm được việc đó, 4V3D OÜ xử lý dữ liệu cá nhân được mô tả trong Phụ lục II thay mặt trường mầm non và theo chỉ dẫn của trường.
Thỏa thuận này bao gồm toàn bộ những nội dung mà Article 28(3) của GDPR, và của UK GDPR, yêu cầu bên kiểm soát dữ liệu và bên xử lý dữ liệu phải thỏa thuận bằng văn bản. Thỏa thuận áp dụng bất kể trường mầm non có thành lập tại Khu vực Kinh tế châu Âu hay Vương quốc Anh hay không.
2. Luật nào áp dụng cho bạn
- Trường mầm non trong Khu vực Kinh tế châu Âu. GDPR được áp dụng. Mục 3 cũng được áp dụng.
- Trường mầm non tại Vương quốc Anh. UK GDPR và Data Protection Act 2018 được áp dụng. Những chỗ nhắc đến GDPR ở dưới được hiểu là nhắc đến UK GDPR, những chỗ nhắc đến cơ quan giám sát được hiểu là Information Commissioner, và Mục 3 không được áp dụng.
- Trường mầm non ở nơi khác. Luật bảo vệ dữ liệu của nước bạn áp dụng cho bạn, còn các điều khoản này ràng buộc 4V3D OÜ với tư cách hợp đồng. 4V3D OÜ thành lập tại Liên minh châu Âu, nên trong mọi trường hợp vẫn chịu sự điều chỉnh của GDPR đối với việc xử lý này. Không có nội dung nào ở đây làm giảm quyền mà luật nước bạn dành cho bạn.
3. Các điều khoản hợp đồng tiêu chuẩn của Ủy ban châu Âu
Nếu trường mầm non thành lập tại Khu vực Kinh tế châu Âu, các bên áp dụng các điều khoản hợp đồng tiêu chuẩn giữa bên kiểm soát dữ liệu và bên xử lý dữ liệu tại Phụ lục của Quyết định thi hành của Ủy ban Decision (EU) 2021/915, theo đúng bản tiếng Anh chính thức. Các điều khoản đó là một phần của thỏa thuận này, và các Phụ lục dưới đây chính là phụ lục của chúng. Clause 5 (điều khoản gia nhập) không được áp dụng. Tại Clause 7.7, Phương án 2 được áp dụng: chấp thuận chung bằng văn bản đối với các bên xử lý dữ liệu phụ, với thông báo trước 30 ngày cho mọi thay đổi. Nếu các điều khoản đó và thỏa thuận này có mâu thuẫn, các điều khoản đó được ưu tiên áp dụng.
4. Mỗi bên cam kết những gì
4V3D OÜ sẽ:
- Chỉ xử lý dữ liệu cá nhân để cung cấp dịch vụ và chỉ theo chỉ dẫn được lập thành văn bản của trường mầm non, kể cả chỉ dẫn về việc chuyển dữ liệu sang nước thứ ba. Thỏa thuận này và việc trường mầm non sử dụng dịch vụ chính là những chỉ dẫn đó. Nếu luật của Liên minh châu Âu hoặc của một quốc gia thành viên buộc 4V3D OÜ phải xử lý khác đi, 4V3D OÜ sẽ báo cho trường mầm non trước, trừ khi luật đó cấm việc báo trước.
- Không bao giờ dùng dữ liệu cho mục đích riêng của mình, không bao giờ bán dữ liệu, không bao giờ dùng dữ liệu để huấn luyện bất cứ thứ gì, và không bao giờ cho ai xem ngoài các bên xử lý dữ liệu phụ nêu tại Phụ lục IV.
- Bảo đảm mọi người có quyền truy cập đều bị ràng buộc bởi nghĩa vụ bảo mật.
- Duy trì các biện pháp an ninh tại Phụ lục III và không làm suy yếu chúng.
- Chỉ sử dụng các bên xử lý dữ liệu phụ nêu tại Phụ lục IV. 4V3D OÜ có thể bổ sung hoặc thay thế một bên, và sẽ thông báo trước bằng văn bản 30 ngày cho người liên hệ của trường mầm non. Trường mầm non có thể phản đối trong 30 ngày đó; nếu không giải quyết được phản đối, trường mầm non có thể chấm dứt dịch vụ và được hoàn tiền cho phần chưa sử dụng của tháng đó.
- Hỗ trợ trường mầm non trả lời yêu cầu của phụ huynh hoặc của nhân viên. Giáo viên và hiệu trưởng vốn đã có thể tự xem, sửa, xuất và xóa dữ liệu này ngay trong dịch vụ. Nếu một yêu cầu được gửi đến 4V3D OÜ, yêu cầu đó được chuyển cho người liên hệ của trường mầm non trong vòng năm ngày làm việc và không được trả lời trực tiếp.
- Hỗ trợ trường mầm non thực hiện nghĩa vụ theo Articles 32 to 36 (an ninh, thông báo vi phạm, đánh giá tác động, tham vấn trước), có tính đến những gì 4V3D OÜ thực sự biết.
- Báo cho người liên hệ của trường mầm non về một vi phạm dữ liệu cá nhân trong vòng 24 giờ kể từ khi biết được, kèm những thông tin đã biết tại thời điểm đó, phần còn lại được báo tiếp khi xác định được.
- Khi dịch vụ kết thúc, xóa dữ liệu trong vòng 30 ngày, hoặc trả lại dữ liệu trước nếu trường mầm non yêu cầu. Dữ liệu biến mất khỏi các bản sao lưu đã mã hóa trong vòng 90 ngày. 4V3D OÜ xác nhận bằng văn bản khi dữ liệu đã được xóa hết.
- Cung cấp những thông tin cần thiết để chứng minh các nghĩa vụ này được thực hiện, và cho phép kiểm toán. Trên thực tế, điều đó có nghĩa là trả lời bằng văn bản và cung cấp tài liệu khi được yêu cầu. Việc kiểm toán tại chỗ hoặc kiểm toán bởi bên thứ ba có thể được sắp xếp với thông báo trước 30 ngày, chi phí do trường mầm non chịu, không quá một lần mỗi năm trừ khi đã xảy ra vi phạm.
- Báo ngay cho trường mầm non nếu một chỉ dẫn có dấu hiệu vi phạm pháp luật bảo vệ dữ liệu.
Trường mầm non sẽ:
- Bảo đảm mình có căn cứ hợp pháp cho việc xử lý này và phụ huynh đã được thông báo. 4V3D OÜ không tiếp xúc với phụ huynh nên không thể làm việc này thay bạn.
- Giữ dữ liệu trong dịch vụ đúng trong phạm vi Phụ lục II mô tả. Cụ thể, đừng nhập họ của trẻ, thông tin sức khỏe, nhận xét đánh giá về trẻ, hay bất cứ điều gì về hoàn cảnh gia đình vào ô nhập chữ tự do.
- Giữ thông tin tài khoản của mình luôn chính xác, và báo cho 4V3D OÜ khi người liên hệ thay đổi.
- Tự quản lý tài khoản nhân viên của mình: xóa tài khoản đăng nhập của một giáo viên khi giáo viên đó nghỉ việc.
5. Hai việc không phải là xử lý thay mặt bạn
Nói rõ ở đây để sau này không ai phải đoán.
- Tài khoản nhân viên. Tên, địa chỉ email và mật khẩu của một giáo viên hoặc hiệu trưởng là thứ cần có thì dịch vụ mới chạy được, và 4V3D OÜ là bên quyết định cách vận hành. Riêng cho mục đích hẹp đó, 4V3D OÜ là bên kiểm soát dữ liệu chứ không phải bên xử lý dữ liệu, và chính sách quyền riêng tư của 4V3D OÜ được áp dụng. Mọi thứ liên quan đến các bé đều là xử lý thay mặt trường mầm non và thuộc phạm vi thỏa thuận này.
- Việc thanh toán. Nếu trường mầm non thanh toán bằng thẻ, khoản thanh toán do Stripe Payments Europe Ltd xử lý. Stripe nhận tên xuất hóa đơn, địa chỉ, mã số thuế giá trị gia tăng, email và thông tin thẻ của trường mầm non, và không nhận dữ liệu nào về bất kỳ trẻ nào. 4V3D OÜ là bên kiểm soát dữ liệu đối với dữ liệu thanh toán đó. Do đó Stripe không phải là bên xử lý dữ liệu phụ theo thỏa thuận này và không có trong Phụ lục IV.
6. Thời hạn, luật áp dụng và trách nhiệm
Thỏa thuận này có hiệu lực trong suốt thời gian 4V3D OÜ xử lý dữ liệu của trường mầm non, và vẫn tiếp tục sau khi dịch vụ kết thúc cho đến khi dữ liệu được xóa.
Luật Estonia được áp dụng và tòa án hạt Harju có thẩm quyền giải quyết, trừ khi trường mầm non là một cơ quan công lập mà quy định riêng buộc phải theo luật và tòa án của nước mình, trong trường hợp đó các bên thống nhất khác đi trước khi ký.
Trách nhiệm được quy định trong Điều khoản sử dụng Minute Mission, mà thỏa thuận này bổ sung chứ không thay thế.
Phụ lục I. Các bên
Bên kiểm soát dữ liệu: trường mầm non, được xác định theo thông tin trường cung cấp khi thanh toán hoặc điền vào bản có chữ ký. Vai trò: bên kiểm soát dữ liệu của các bé được lưu trên bảng lớp.
Bên xử lý dữ liệu: 4V3D OÜ, số đăng ký 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estonia. Liên hệ: Oskar Viil, thành viên hội đồng quản trị, info@4v3d.ee. Không có cán bộ bảo vệ dữ liệu nào được chỉ định, vì GDPR không yêu cầu điều đó trong trường hợp này.
Mỗi bên có thể thay đổi người liên hệ của mình bằng cách thông báo bằng văn bản cho bên kia.
Phụ lục II. Mô tả việc xử lý
| Dữ liệu của ai | Các bé trong lớp, cùng giáo viên và hiệu trưởng sử dụng dịch vụ. |
| Dữ liệu của trẻ | Tên hoặc tên gọi ở lớp, một hình vẽ được chọn (không bao giờ là ảnh chụp), điểm, các nhiệm vụ đã hoàn thành, phần thưởng đã nhận, danh hiệu tuần chọn từ một danh sách cố định, sao thưởng thêm kèm lý do chọn từ một danh sách cố định hoặc ghi chú riêng của giáo viên dài tối đa 60 ký tự, và dấu ghi trẻ vắng mặt hôm nay, không kèm lý do. |
| Dữ liệu của nhân viên | Tên, địa chỉ email, mật khẩu chỉ lưu dưới dạng băm, và bản ghi đăng nhập: giáo viên nào đã đánh dấu việc gì, chuỗi trình duyệt của phiên làm việc, và địa chỉ IP của các lần đăng nhập, chỉ lưu để chặn việc dò mật khẩu. |
| Không thu thập | Họ, số định danh cá nhân, ngày sinh, ảnh chụp, dữ liệu sức khỏe, địa chỉ, thông tin liên hệ của phụ huynh. Tài khoản lớp hoàn toàn không tải ảnh lên được. |
| Danh mục dữ liệu đặc biệt | Không có. Dịch vụ không được làm ra để chứa loại dữ liệu này, và giới hạn ký tự ở ô nhập chữ tự do nói trên là để giữ đúng như vậy. |
| Mục đích | Một bảng nhiệm vụ và phần thưởng cho lớp, như một công cụ hỗ trợ việc dạy và chăm sóc trẻ. |
| Bản chất của việc xử lý | Lưu trữ, hiển thị, sửa, xuất và xóa, tất cả đều do chính nhân viên của trường mầm non khởi tạo trong dịch vụ. Không lập hồ sơ cá nhân, không ra quyết định tự động, không đo lường phân tích, không quảng cáo. |
| Tần suất | Liên tục, trong suốt thời gian dịch vụ được sử dụng. |
| Thời gian | Trong suốt thời gian dịch vụ được sử dụng, hoặc trong thời gian dùng thử đã thỏa thuận. Việc xóa dữ liệu theo Mục 4. |
Phụ lục III. Các biện pháp an ninh
- Dữ liệu nằm trong Liên minh châu Âu. Ứng dụng và các bản sao lưu của nó chạy trong trung tâm dữ liệu của Hetzner Online GmbH tại Helsinki, Phần Lan (được chứng nhận ISO/IEC 27001). Email dịch vụ được gửi từ Scaleway SAS tại Pháp. Không có việc chuyển dữ liệu sang nước thứ ba.
- Mọi dữ liệu trên đường truyền đều được mã hóa (HTTPS, có Content Security Policy đang áp dụng). Mật khẩu không bao giờ được lưu, chỉ lưu giá trị băm của mật khẩu, và mã phiên cũng được lưu dưới dạng băm, nên một bản sao cơ sở dữ liệu không phải là một bộ chìa khóa dùng được.
- Mỗi lớp là một tài khoản riêng. Giáo viên chỉ nhìn thấy các bé trong lớp của mình. Hiệu trưởng có một tài khoản đăng nhập dùng chung cho các lớp của mình và không truy cập được lớp của người khác.
- Tài khoản lớp không tải ảnh lên được, thông báo đẩy được tắt, và hình của các bé cố định trong một bộ hình vẽ.
- Sao lưu mã hóa hằng ngày, giữ 14 ngày trên máy chủ và 90 ngày ở nơi lưu trữ bên ngoài. Bản sao lưu được mã hóa bằng một khóa công khai mà chính máy chủ không giữ, nên máy chủ không đọc được bản sao lưu của chính nó. Việc khôi phục từ bản sao lưu đã được thử nghiệm.
- Quyền truy cập máy chủ chỉ dành cho thành viên hội đồng quản trị của 4V3D OÜ. Không có nhân viên, nhà thầu hay người hỗ trợ nào có quyền truy cập.
- Không đo lường phân tích, không công cụ quảng cáo và không theo dõi dưới bất kỳ hình thức nào. Báo cáo thường lệ duy nhất là số liệu đếm hằng ngày về lượt đăng ký, tài khoản đang hoạt động và lỗi, trong đó không có tên ai cả.
- Giới hạn tần suất khi đăng nhập và đăng ký, cùng giới hạn 30 ngày cho việc đánh dấu hoàn thành một nhiệm vụ lùi về quá khứ, để một sai sót hay một hành vi lạm dụng không thể viết lại lịch sử của nhiều tháng.
- Một đợt rà soát an ninh bằng văn bản trên toàn bộ mã nguồn đã được một mô hình bên ngoài thực hiện hai lần, gần nhất là ngày 20 tháng 9 năm 2026, và các phát hiện đã được xử lý xong.
Phụ lục IV. Các bên xử lý dữ liệu phụ
| Hetzner Online GmbH (Đức) | Lưu trữ máy chủ và sao lưu. | Helsinki, Phần Lan (EU) |
| Scaleway SAS (Pháp) | Gửi email dịch vụ cho nhân viên, ví dụ email đặt lại mật khẩu. Không email nào chứa dữ liệu của trẻ. | Pháp (EU) |
Cả hai đều ở trong Liên minh châu Âu. Không có bên xử lý dữ liệu phụ nào ngoài EU, và không có việc chuyển dữ liệu quốc tế nào cần đánh giá.