Thoả thuận Xử lý Dữ liệu (DPA)

Cập nhật lần cuối: 2026-10-23

Trang nhà xử lý dữ liệu phụ cập nhật lần cuối: 2026-10-23

Hợp đồng xử lý dữ liệu này nêu rõ các điều khoản mà theo đó chúng tôi xử lý dữ liệu cá nhân thay mặt cho quý khách.

Thỏa thuận Xử lý Dữ liệu này (Thỏa thuận) nêu rõ các nghĩa vụ và điều kiện mà Petitions.com Group Oy (Nhà Cung Cấp Dịch Vụ) xử lý dữ liệu cá nhân thay mặt cho tác giả bản kiến nghị (Tác Giả Kiến Nghị hoặc Người Kiểm Soát Dữ Liệu) trong việc cung cấp dịch vụ lưu trữ kiến nghị trực tuyến (Dịch Vụ).

Thay đổi Điều khoản

Chúng tôi có quyền thay đổi hoặc điều chỉnh các Điều khoản này bất cứ lúc nào mà không cần thông báo trước.

Định nghĩa và Vai trò

• Nhà cung cấp dịch vụ: Petitions.com (Petitions.com Group Oy), hoạt động như một Nhà xử lý dữ liệu, xử lý dữ liệu cá nhân thay mặt cho Nhà kiểm soát dữ liệu khi cần thiết để cung cấp Dịch vụ.
• Người kiểm soát dữ liệu: Tác giả kiến nghị, người xác định mục đích và phương tiện xử lý dữ liệu cá nhân được thu thập từ những người ký tên vào kiến nghị của họ. Với tư cách là tác giả của một kiến nghị được lưu trữ trên Petitions.com, bạn được coi là Người Kiểm Soát Dữ Liệu. Bạn quyết định nội dung của bản kiến nghị, những yêu cầu đối với những người ký tên, mục đích xử lý dữ liệu cá nhân của họ, và thời gian lưu trữ dữ liệu cá nhân. Petitions.com cung cấp một nền tảng trực tuyến để tạo và lưu trữ các bản kiến nghị, hỗ trợ vai trò của bạn như là Người kiểm soát dữ liệu với quyền tự chủ để định hình việc thu thập và sử dụng dữ liệu của kiến nghị theo mục tiêu và nghĩa vụ pháp lý của bạn.

Phạm vi Xử lý

Nhà cung cấp dịch vụ sẽ xử lý dữ liệu cá nhân chỉ dựa trên hướng dẫn của Bên kiểm soát dữ liệu và chỉ khi cần thiết để cung cấp Dịch vụ, trừ khi bị yêu cầu bởi luật của Liên minh hoặc Quốc gia thành viên mà Nhà cung cấp dịch vụ phải tuân thủ. Trong trường hợp đó, Nhà cung cấp dịch vụ sẽ thông báo cho Bên kiểm soát dữ liệu về yêu cầu pháp lý đó trước khi xử lý, trừ khi luật đó cấm điều đó vì lý do quan trọng liên quan đến lợi ích công cộng. Phạm vi của các hoạt động xử lý chỉ giới hạn ở việc lưu trữ, quản lý và hỗ trợ các kiến nghị trực tuyến.

Như một Bên xử lý dữ liệu, Nhà cung cấp dịch vụ không tự ý xóa dữ liệu chữ ký. Mọi sự xóa bỏ dữ liệu chữ ký đều được thực hiện theo hướng dẫn được ghi lại của Người kiểm soát dữ liệu, cho dù được đưa ra cụ thể hay được thỏa thuận trước thông qua Thỏa thuận này.

Việc Bên kiểm soát dữ liệu chấp nhận Thỏa thuận này đồng nghĩa với việc đã cung cấp các hướng dẫn có tài liệu cho Nhà cung cấp dịch vụ, bao gồm các quy trình xử lý yêu cầu xóa chữ ký được mô tả dưới đây và bất kỳ công cụ tự phục vụ nào Nhà cung cấp dịch vụ cung cấp cho những người ký thay mặt Bên kiểm soát dữ liệu.

Số lượng và Danh sách Chữ ký

Để lưu trữ và công bố kiến nghị, Nhà cung cấp dịch vụ đếm những chữ ký của nó và hiển thị những thống kê trên Dịch vụ: tổng số chữ ký, số lượng chữ ký trong một khoảng thời gian, và số lượng chữ ký được thu thập trên mỗi trang web của Dịch vụ. Số lượng cũng được sử dụng để xếp hạng và liệt kê các kiến nghị công khai, ví dụ như các kiến nghị được ký nhiều nhất trên một trang web hoặc trong quốc gia mà Tác giả kiến nghị đã chỉ định. Xếp hạng theo số lượng chữ ký chỉ bao gồm các kiến nghị có ít nhất năm chữ ký.

Những số liệu này là thống kê ẩn danh và không xác định danh tính của bất kỳ người ký nào. Chúng không dựa trên quốc gia, thị trấn hoặc thông tin chi tiết khác mà người ký cung cấp trên mẫu chữ ký. Các chi tiết như vậy chỉ được công bố tổng hợp nếu Tác giả kiến nghị chọn công bố sự phân bổ chữ ký theo địa điểm trên trang thống kê của kiến nghị, nơi mà các địa điểm có ít hơn năm chữ ký được kết hợp.

Việc Bên kiểm soát dữ liệu chấp nhận Thỏa thuận này tạo thành hướng dẫn có tài liệu cho quy trình xử lý này.

Bảo Vệ Dữ Liệu

Nhà cung cấp dịch vụ cam kết thực hiện các biện pháp kỹ thuật và tổ chức để đảm bảo an toàn dữ liệu cá nhân chống lại truy cập trái phép, mất mát hoặc hư hỏng.

Thu thập Dữ liệu Bị Cấm

Nghiêm cấm yêu cầu số nhận dạng cá nhân (chẳng hạn như số ID quốc gia) từ những người ký tên.

Các bên xử lý phụ

Nhà cung cấp dịch vụ có thể thuê các bên xử lý phụ để hỗ trợ cung cấp các dịch vụ. Nhà Cung Cấp Dịch Vụ sẽ đảm bảo các nhà thầu phụ tuân thủ các nghĩa vụ bảo vệ dữ liệu phù hợp với Thỏa Thuận Xử Lý Dữ Liệu này. Bạn thừa nhận và đồng ý rằng Nhà cung cấp dịch vụ giữ quyền quyết định để lựa chọn và thay thế những nhà xử lý dữ liệu phụ khi cần thiết để cung cấp Dịch vụ một cách hiệu quả.

Danh sách các nhà thầu phụ. (Cập nhật lần cuối: 2026-10-23)

Trách Nhiệm của Bộ Điều Khiển Dữ Liệu

Người kiểm soát dữ liệu chịu trách nhiệm đảm bảo rằng việc thu thập, xử lý và quản lý dữ liệu cá nhân tuân thủ tất cả các luật và quy định hiện hành.

Nhận diện Người kiểm soát dữ liệu

Theo Quy định chung về bảo vệ dữ liệu (GDPR), yêu cầu rằng danh tính của bên kiểm soát dữ liệu phải được nêu rõ ràng. Các điều khoản sau đây được áp dụng cho các tác giả kiến nghị sử dụng trang web của chúng tôi:

Các Tác Giả Kiến Nghị Cá Nhân

Nếu bạn, với tư cách là một cá nhân, đang tạo một bản kiến nghị, bạn phải cung cấp tên hợp pháp đầy đủ của mình. Điều này đóng vai trò như sự nhận dạng của bạn với tư cách là nhà kiểm soát dữ liệu cho các mục đích của GDPR.

Các Tác Giả Lời Kêu Gọi Tổ Chức

Nếu một bản kiến nghị được tạo thay mặt cho một tổ chức, tên pháp lý đầy đủ của tổ chức đó phải được cung cấp. Ngoài ra, tổ chức nên chỉ định và cung cấp thông tin liên hệ của đại diện chịu trách nhiệm cho các hoạt động xử lý dữ liệu, chẳng hạn như Nhân viên bảo vệ dữ liệu (DPO) hoặc tương tự.

Quyền của Chủ thể Dữ liệu

Người kiểm soát dữ liệu phải đảm bảo rằng các chủ thể dữ liệu (người ký tên vào kiến nghị) có thể thực hiện các quyền của họ theo GDPR, chẳng hạn như quyền truy cập, chỉnh sửa hoặc xóa dữ liệu của họ, hoặc khiếu nại với cơ quan giám sát.

Xử lý yêu cầu xóa dữ liệu cá nhân từ những người ký

Vai trò khác nhau tùy thuộc vào dữ liệu được đề cập. Đối với dữ liệu cá nhân được thu thập thông qua chữ ký kiến nghị, Nhà cung cấp dịch vụ đóng vai trò Bên xử lý dữ liệu và Tác giả kiến nghị đóng vai trò Bên kiểm soát dữ liệu. Đối với dữ liệu hoạt động của riêng Nhà cung cấp dịch vụ, chẳng hạn như thông tin tài khoản, nhật ký kỹ thuật, và tin nhắn từ mẫu liên hệ, Nhà cung cấp dịch vụ đóng vai trò là Người kiểm soát dữ liệu độc lập.

Vì Nhà cung cấp dịch vụ chỉ hoạt động dựa trên những hướng dẫn được ghi lại của Người kiểm soát dữ liệu, quy trình dưới đây tạo thành chỉ dẫn thường trực của Người kiểm soát dữ liệu để xử lý những yêu cầu như vậy, ủy quyền cho Nhà cung cấp dịch vụ hoạt động mà không cần phải tìm kiếm sự phê duyệt riêng biệt cho mỗi yêu cầu.

Khi người ký yêu cầu Nhà cung cấp dịch vụ xóa dữ liệu cá nhân liên quan đến một chữ ký, Nhà cung cấp dịch vụ sẽ, không chậm trễ, che giấu chữ ký khỏi tầm nhìn công cộng và cung cấp thông tin về việc xóa cho Tác giả kiến nghị trong Dịch vụ (ví dụ, trên trang tổng quan bảo vệ dữ liệu và thông qua một chỉ báo trong tài khoản). Nhà cung cấp dịch vụ không bắt buộc phải gửi một email riêng cho từng lần xóa. Tác giả kiến nghị được nhận 14 ngày để xem xét yêu cầu và xóa bất kỳ bản sao dữ liệu cá nhân của người ký nào mà họ đã tải xuống, xuất, in ra hoặc lưu trữ ngoài Dịch vụ. Tác giả kiến nghị có thể phản đối sự xóa bỏ chỉ khi có một cơ sở hợp pháp để tiếp tục xử lý dữ liệu (ví dụ, thành lập, thực hiện, hoặc bảo vệ những yêu cầu pháp lý); sự ưa thích đơn thuần để giữ lại chữ ký không phải là một cơ sở hợp lệ. Mọi sự phản đối như vậy phải được thực hiện bằng cách liên hệ với Nhà cung cấp dịch vụ trong thời gian đó, nêu rõ cơ sở pháp lý; Nhà cung cấp dịch vụ không cung cấp phương tiện tự động để Tác giả kiến nghị đảo ngược việc xóa. Nếu Tác giả kiến nghị không phản đối trên cơ sở như vậy trong thời gian đó, Nhà cung cấp dịch vụ sẽ xóa vĩnh viễn dữ liệu chữ ký từ cơ sở dữ liệu đang hoạt động. Nhà cung cấp dịch vụ đặt mục tiêu hoàn thành quy trình trong khoảng thời gian một tháng theo yêu cầu của GDPR.

Nhà cung cấp dịch vụ cũng có thể cung cấp một công cụ tự phục vụ, chẳng hạn như một liên kết xóa bỏ trong những tin nhắn xác nhận chữ ký hoặc trên trang kiến nghị, cho phép những người ký xóa chữ ký của họ một cách trực tiếp. Khi một công cụ như vậy được sử dụng, Nhà cung cấp dịch vụ hành động thay mặt Bên kiểm soát dữ liệu theo các hướng dẫn có tài liệu được đặt ra trong Thỏa thuận này.

Dữ liệu cá nhân có thể tồn tại trong bản sao lưu định kỳ trong một thời gian giới hạn sau khi xóa khỏi cơ sở dữ liệu đang hoạt động. Các bản sao lưu này không được sử dụng cho quá trình xử lý hàng ngày và được ghi đè theo chu kỳ quay vòng, sau đó dữ liệu được xóa vĩnh viễn.

Nhật ký kỹ thuật có thể chứa dữ liệu cá nhân, chẳng hạn như địa chỉ IP hoặc siêu dữ liệu giao thư điện tử. Các nhật ký này được xóa trong vòng 30 ngày. Tin nhắn từ biểu mẫu liên hệ có thể được giữ lại tối đa 5 năm cho mục đích kiểm toán, bảo mật và giải quyết tranh chấp.

Nhà cung cấp dịch vụ giữ một ghi chép tối thiểu về việc một lần xóa đã được thực hiện (không giữ lại dữ liệu cá nhân đã xóa) để chứng minh tuân thủ. This record contains the number of the signature, the petition, who removed it (the signatory, the Petition Author or the Service Provider), a reason chosen from a fixed list and the time, but no name or email address.

In addition, the Service Provider keeps, as an independent Data Controller, a record of each removal containing a code computed from the signatory's email address (not the address itself), the day of the removal and who removed it, but not the petition. It is used only to answer the signatory's later questions about their data and to demonstrate compliance. It is deleted after 14 days, and from backups at most 30 days later.

If a signatory reports that someone else signed with their email address and asks for it, the Service Provider may, as an independent Data Controller, keep the technical details of that signature (such as the IP address, device details and times) for 30 days to 2 years, only for disclosure to the police or another authority on their official request. These details are not made available to the Petition Author.

Xử lý Yêu cầu Sửa chữa từ Người Ký

Quyền được sửa chữa được xử lý trên cùng cơ sở như xóa: như là một Bên xử lý dữ liệu, Nhà cung cấp dịch vụ không tự thay đổi dữ liệu chữ ký, mà chỉ dựa trên các hướng dẫn có tài liệu của Bên kiểm soát dữ liệu, bao gồm bất kỳ công cụ tự phục vụ nào mà Nhà cung cấp dịch vụ cung cấp cho người ký thay mặt Bên kiểm soát dữ liệu để sửa dữ liệu của họ.

Khi một sửa chữa được thực hiện, danh sách chữ ký hiện tại được duy trì trong Dịch vụ sẽ phản ánh giá trị đã được sửa chữa. Theo nghĩa vụ sử dụng dữ liệu chữ ký cập nhật, Bên kiểm soát dữ liệu phải chỉ dựa vào một bản sao mới lấy và cập nhật hoặc loại bỏ các bản sao lỗi thời tương ứng; Nhà cung cấp dịch vụ không bắt buộc phải tiết lộ giá trị trước đó (không chính xác) cho Bên kiểm soát dữ liệu.

Nhà cung cấp dịch vụ có thể giữ một ghi chép nội bộ về sự thay đổi (ví dụ như giá trị trước đó và giá trị mới, và thời gian thay đổi) cho mục đích phòng chống gian lận, bảo mật và giải quyết tranh chấp. Ghi chép này không được cung cấp cho Bên kiểm soát dữ liệu theo mặc định và chỉ được giữ lại trong thời gian cần thiết cho những mục đích đó.

Thông báo cho các Người nhận

Khi Bên kiểm soát dữ liệu đã tiết lộ dữ liệu chữ ký cho bất kỳ người nhận nào (như là nhà quyết định hoặc bên thứ ba khác), Bên kiểm soát dữ liệu chịu trách nhiệm, theo Điều 19 của GDPR, thông báo bất kỳ việc xóa hoặc sửa chữa sau đó của dữ liệu đó cho từng người nhận như vậy, trừ khi điều này chứng tỏ không thể thực hiện hoặc liên quan đến nỗ lực không tỷ lệ. Việc Nhà cung cấp dịch vụ xóa bỏ hoặc sửa dữ liệu trong Dịch vụ không giải phóng trách nhiệm này đối với các bản sao mà Bên kiểm soát dữ liệu đã chia sẻ ngoài Dịch vụ.

Trách nhiệm và Tuân thủ

Người kiểm soát dữ liệu phải có khả năng chứng minh sự tuân thủ GDPR, bao gồm việc trả lời các yêu cầu của chủ thể dữ liệu liên quan đến dữ liệu cá nhân của họ.

Chính sách hoặc Thông báo về Quyền riêng tư

Một chính sách quyền riêng tư hoặc thông báo rõ ràng và dễ tiếp cận phải được cung cấp, nêu rõ cách xử lý dữ liệu cá nhân, các mục đích xử lý, và cách mà các chủ thể dữ liệu có thể thực hiện các quyền của họ.

Thông Báo Thay Đổi

Các tác giả kiến nghị được yêu cầu thông báo cho Petitions.com (Petitions.com Group Oy) về bất kỳ thay đổi nào trong tình trạng của họ như là một người kiểm soát dữ liệu hoặc thay đổi thông tin liên lạc của đại diện của họ.

Đánh giá hàng năm về việc xử lý dữ liệu

Tác giả Kiến nghị được yêu cầu tiến hành rà soát hàng năm để xác định liệu còn lý do hợp lệ nào cho việc tiếp tục xử lý dữ liệu cá nhân của những người ký tên hay không. Đánh giá này cần kiểm tra sự cần thiết và tính liên quan của dữ liệu đối với mục đích của bản kiến nghị. Nếu Tác giả Kiến nghị xác định rằng không còn lý do hợp lý nào để tiếp tục xử lý dữ liệu, họ phải thực hiện các bước thích hợp để ngừng xử lý và bắt đầu xóa dữ liệu theo các luật bảo vệ dữ liệu hiện hành.

Sử dụng Dữ liệu Chữ ký Cập nhật

Trước khi Người kiểm soát dữ liệu tiết lộ dữ liệu chữ ký cho bất kỳ bên thứ ba nào (chẳng hạn như một người ra quyết định hoặc người nhận khác của kiến nghị), hoặc xử lý dữ liệu bên ngoài Dịch vụ theo cách khác (bao gồm liên hệ với những người ký qua email), Người kiểm soát dữ liệu phải lấy một bản sao mới của danh sách chữ ký từ Dịch vụ và chỉ sử dụng phiên bản hiện tại đó. Người ký có thể thực hiện quyền xóa của họ bất kỳ lúc nào, và chỉ danh sách hiện tại được duy trì trong Dịch vụ mới phản ánh những lần xóa đó. Bên kiểm soát dữ liệu không được dựa vào các bản sao đã tải xuống, xuất khẩu hoặc in ra trước đó cho các mục đích này, và phải loại bỏ một cách an toàn các bản sao lỗi thời.

Lưu trữ và Xóa dữ liệu

Nếu Bên kiểm soát dữ liệu (tác giả của kiến nghị) vi phạm bất kỳ điều khoản nào của Thỏa thuận Xử lý Dữ liệu (DPA), bao gồm nhưng không giới hạn việc không thực hiện đánh giá hàng năm về các hoạt động xử lý dữ liệu hoặc không cung cấp lý do hợp lệ cho việc tiếp tục xử lý dữ liệu cá nhân của những người ký tên, Nhà cung cấp dịch vụ có quyền xóa hoặc loại bỏ dữ liệu cá nhân liên quan đến kiến nghị của họ.

Giới Hạn Trách Nhiệm

Trong bất kỳ trường hợp nào, tổng trách nhiệm của bên xử lý dữ liệu đối với bên kiểm soát dữ liệu cho tất cả các thiệt hại, tổn thất và nguyên nhân của hành động, dù là trong hợp đồng, vi phạm ngoài hợp đồng (bao gồm sơ suất), hoặc cách khác, sẽ không vượt quá tổng số tiền mà bên kiểm soát dữ liệu đã thanh toán cho bên xử lý dữ liệu theo thỏa thuận này.

Luật áp dụng

Thoả thuận này được điều chỉnh bởi luật pháp của Phần Lan.