Data Processing AgreementThỏa thuận xử lý dữ liệu

Version 2026-11-05 · Last updated: November 5, 2026Phiên bản 2026-11-05 · Cập nhật lần cuối: 05/11/2026

1. Parties and scope1. Các bên và phạm vi

This Data Processing Agreement (“DPA”) forms part of the Terms of Service between the customer organisation that uses the hosted Idemcore services (“Customer”, the controller) and Mateiam Co., Ltd. (MATEIAM COMPANY LIMITED; CÔNG TY TNHH MATEIAM), enterprise code 0319713929, registered office: MORE Building, 36 Mac Dinh Chi, Tan Dinh, Ho Chi Minh City, Vietnam, trading as Idemcore (“Idemcore”, the processor).Thỏa thuận xử lý dữ liệu này (“DPA”) là một phần của Điều khoản dịch vụ giữa tổ chức khách hàng sử dụng các dịch vụ Idemcore được lưu trữ (“Khách hàng”, bên kiểm soát dữ liệu) và CÔNG TY TNHH MATEIAM (MATEIAM COMPANY LIMITED; Mateiam Co., Ltd.), mã số doanh nghiệp 0319713929, trụ sở chính: MORE BUILDING, 36 Mạc Đĩnh Chi, Tân Định, TP. Hồ Chí Minh, hoạt động với tên Idemcore (“Idemcore”, bên xử lý dữ liệu).

It applies to personal data that Customer or its users submit to the hosted services: the Idemcore API at api.idemcore.net, Idemcore Chat and the console at console.idemcore.net (“Customer Personal Data”). It follows Article 28 of the EU GDPR and also applies where the UK GDPR or other data protection laws apply.Thỏa thuận áp dụng cho dữ liệu cá nhân mà Khách hàng hoặc người dùng của Khách hàng gửi vào các dịch vụ được lưu trữ: Idemcore API tại api.idemcore.net, Idemcore Chat và console tại console.idemcore.net (“Dữ liệu cá nhân của Khách hàng”). Thỏa thuận theo Điều 28 GDPR của EU và cũng áp dụng khi GDPR của Anh hoặc luật bảo vệ dữ liệu khác được áp dụng.

Software licensed for on-premises use runs on Customer’s own infrastructure; Idemcore does not receive that data and separate data protection terms in the on-premises contract apply. Account, sign-in and billing data that Idemcore handles for its own purposes is covered by the Privacy Policy, where Idemcore acts as an independent controller.Phần mềm cấp phép triển khai tại chỗ (on-prem) chạy trên hạ tầng của Khách hàng; Idemcore không nhận dữ liệu đó và áp dụng điều khoản bảo vệ dữ liệu riêng trong hợp đồng on-prem. Dữ liệu tài khoản, đăng nhập và thanh toán mà Idemcore xử lý cho mục đích của chính mình được điều chỉnh bởi Chính sách quyền riêng tư, trong đó Idemcore là bên kiểm soát độc lập.

2. Details of the processing2. Chi tiết việc xử lý

• Subject matter and purpose: providing the hosted services: running model requests, issuing signed receipts, storing data Customer chooses to keep, replay and verification, and support.Nội dung và mục đích: cung cấp các dịch vụ được lưu trữ: chạy yêu cầu tới model, phát hành biên nhận có chữ ký, lưu dữ liệu mà Khách hàng chọn giữ lại, phát lại và kiểm chứng, và hỗ trợ.
• Duration: for the term of the Terms of Service, then until deletion under section 8.Thời hạn: trong thời hạn của Điều khoản dịch vụ, sau đó cho tới khi xóa theo mục 8.
• Types of data: any personal data contained in prompts, messages, files and outputs; in the default hash-only mode these are processed in memory only and not stored, while full mode and saved Chat conversations store them. Receipts and logs hold identifiers, counts, timestamps and salted hashes.Loại dữ liệu: mọi dữ liệu cá nhân có trong prompt, tin nhắn, tệp và kết quả trả về; ở chế độ mặc định chỉ lưu hash, các dữ liệu này chỉ được xử lý trong bộ nhớ và không được lưu, còn chế độ full và các cuộc trò chuyện Chat đã lưu thì có lưu. Biên nhận và nhật ký chứa mã định danh, số lượng, thời gian và hash có salt.
• Data subjects: Customer’s users and staff, and any people whose data Customer includes in its requests.Chủ thể dữ liệu: người dùng và nhân viên của Khách hàng, và bất kỳ ai có dữ liệu được Khách hàng đưa vào yêu cầu.
• Special categories: Customer should not submit special-category or children’s data unless it needs to and has a lawful basis to do so.Dữ liệu nhạy cảm: Khách hàng không nên gửi dữ liệu cá nhân nhạy cảm hoặc dữ liệu của trẻ em trừ khi cần thiết và có cơ sở pháp lý.

3. Idemcore’s obligations3. Nghĩa vụ của Idemcore

• Process Customer Personal Data only on Customer’s documented instructions, which are the Terms, this DPA and Customer’s use and settings of the services, unless the law requires otherwise; Idemcore will tell Customer if it believes an instruction breaks data protection law.Chỉ xử lý Dữ liệu cá nhân của Khách hàng theo chỉ dẫn bằng văn bản của Khách hàng, gồm Điều khoản, DPA này và cách Khách hàng sử dụng và cài đặt dịch vụ, trừ khi pháp luật yêu cầu khác; Idemcore sẽ báo cho Khách hàng nếu cho rằng một chỉ dẫn vi phạm luật bảo vệ dữ liệu.
• Not use Customer Personal Data to train models, for advertising, or for any purpose of its own, and never sell it.Không dùng Dữ liệu cá nhân của Khách hàng để huấn luyện model, quảng cáo hay bất kỳ mục đích riêng nào, và không bao giờ bán dữ liệu.
• Ensure that people authorised to process it are bound by confidentiality.Bảo đảm người được phép xử lý dữ liệu có nghĩa vụ bảo mật.
• Help Customer, taking into account the nature of the processing, to answer data subject requests, and with security, breach notification, impact assessments and consultations with authorities.Hỗ trợ Khách hàng, tùy theo bản chất của việc xử lý, trả lời yêu cầu của chủ thể dữ liệu, cũng như về bảo mật, thông báo vi phạm, đánh giá tác động và tham vấn cơ quan chức năng.
• Make available the information needed to show compliance with this DPA (section 9).Cung cấp thông tin cần thiết để chứng minh việc tuân thủ DPA này (mục 9).

4. Customer’s obligations4. Nghĩa vụ của Khách hàng

Customer is responsible for having a lawful basis and giving any notices needed for the personal data it submits, for choosing the privacy mode and retention settings that suit its use, and for keeping its API keys and accounts secure.Khách hàng chịu trách nhiệm về cơ sở pháp lý và các thông báo cần thiết cho dữ liệu cá nhân mà mình gửi, về việc chọn chế độ quyền riêng tư và thời gian lưu phù hợp, và về việc bảo vệ khóa API và tài khoản của mình.

5. Security5. Bảo mật

Idemcore keeps appropriate technical and organisational measures in place, and reviews them regularly. They are designed to achieve the following:Idemcore duy trì các biện pháp kỹ thuật và tổ chức phù hợp và rà soát định kỳ, nhằm đạt được các kết quả sau:

• Data is encrypted in transit, and stored data is protected by the database provider’s encryption at rest.Dữ liệu được mã hóa khi truyền, và dữ liệu lưu trữ được bảo vệ bằng mã hóa lưu trữ của nhà cung cấp cơ sở dữ liệu.
• By default prompts and outputs are not stored; receipts carry salted hashes from which content cannot be recovered.Theo mặc định không lưu prompt và kết quả; biên nhận chỉ chứa hash có salt, không thể khôi phục nội dung từ đó.
• API keys and sign-in codes are stored only as hashes.Khóa API và mã đăng nhập chỉ được lưu dưới dạng hash.
• Access to production systems and data is limited to the personnel and services that need it, with multi-factor authentication.Quyền truy cập hệ thống và dữ liệu vận hành được giới hạn cho nhân sự và dịch vụ cần thiết, có xác thực đa yếu tố.
• Each organisation’s data is kept separate from other organisations’ data.Dữ liệu của mỗi tổ chức được tách biệt với dữ liệu của tổ chức khác.
• Receipts and audit records cannot be altered after they are written, and security-relevant events are logged.Biên nhận và bản ghi kiểm toán không thể bị sửa sau khi ghi, và các sự kiện liên quan tới bảo mật được ghi nhật ký.
• Services are protected against abuse and kept available, and vulnerabilities are fixed promptly.Dịch vụ được bảo vệ chống lạm dụng, duy trì tính sẵn sàng, và lỗ hổng được khắc phục kịp thời.

6. Subprocessors6. Bên xử lý phụ

Customer authorises Idemcore to use subprocessors in these categories:Khách hàng cho phép Idemcore sử dụng bên xử lý phụ thuộc các nhóm sau:

• Cloud hosting, network delivery and protection, and the API runtime.Lưu trữ đám mây, phân phối và bảo vệ mạng, và môi trường chạy API.
• GPU compute that runs the models (requests are processed in memory to produce the response).Hạ tầng GPU chạy model (yêu cầu được xử lý trong bộ nhớ để tạo phản hồi).
• Database and sign-in services.Dịch vụ cơ sở dữ liệu và đăng nhập.
• Transactional email (sign-in codes, invitations and alerts).Email giao dịch (mã đăng nhập, lời mời và cảnh báo).
• Payments and invoicing (billing data only, never prompts or outputs).Thanh toán và hóa đơn (chỉ dữ liệu thanh toán, không bao giờ có prompt hay kết quả).

The named providers are listed in the Privacy Policy (section 6); a full list is available on request. Idemcore imposes data protection terms on each subprocessor that are no less protective than this DPA and remains responsible for them. Idemcore will give at least 30 days’ notice by email or on this page before adding or replacing a subprocessor; Customer may object on reasonable data protection grounds, and if the parties cannot resolve the objection, Customer may end the affected service and receive a pro-rata refund of prepaid fees for it.Danh sách nhà cung cấp cụ thể nằm trong Chính sách quyền riêng tư (mục 6); danh sách đầy đủ được cung cấp khi có yêu cầu. Idemcore ràng buộc mỗi bên xử lý phụ bằng điều khoản bảo vệ dữ liệu không kém hơn DPA này và vẫn chịu trách nhiệm về họ. Idemcore sẽ thông báo trước ít nhất 30 ngày qua email hoặc trên trang này trước khi thêm hoặc thay bên xử lý phụ; Khách hàng có thể phản đối vì lý do bảo vệ dữ liệu hợp lý, và nếu hai bên không giải quyết được, Khách hàng có thể chấm dứt dịch vụ bị ảnh hưởng và được hoàn phần phí trả trước tương ứng.

7. International transfers7. Chuyển dữ liệu ra nước ngoài

Idemcore and its subprocessors may process data outside Customer’s country. Where the EU or UK GDPR requires a transfer mechanism, the EU Standard Contractual Clauses (Module 2, controller to processor, and Module 3 for onward transfers to subprocessors) and, for the UK, the International Data Transfer Addendum are incorporated by reference, with Customer as data exporter and Idemcore as data importer; the clauses are governed by the law and courts of Ireland, and the annexes are completed by sections 2, 5 and 6 of this DPA. Idemcore carries out any transfer assessment required of it by applicable law.Idemcore và các bên xử lý phụ có thể xử lý dữ liệu bên ngoài quốc gia của Khách hàng. Khi GDPR của EU hoặc Anh yêu cầu cơ chế chuyển dữ liệu, Điều khoản hợp đồng mẫu (SCC) của EU (Mô-đun 2, từ bên kiểm soát tới bên xử lý, và Mô-đun 3 cho việc chuyển tiếp tới bên xử lý phụ) và, với Vương quốc Anh, Phụ lục chuyển dữ liệu quốc tế được dẫn chiếu vào thỏa thuận này, trong đó Khách hàng là bên xuất dữ liệu và Idemcore là bên nhận; các điều khoản này áp dụng luật và tòa án Ireland, và các phụ lục được hoàn thiện bằng mục 2, 5 và 6 của DPA này. Idemcore thực hiện mọi đánh giá chuyển dữ liệu mà pháp luật áp dụng yêu cầu đối với mình.

8. Breach notification8. Thông báo vi phạm dữ liệu

Idemcore will notify Customer without undue delay, and in any case within 72 hours, after becoming aware of a breach affecting Customer Personal Data. The notice will describe what happened, the data and people likely affected, the likely consequences, and the measures taken or proposed, with further details as they become available.Idemcore sẽ thông báo cho Khách hàng không chậm trễ, và trong mọi trường hợp trong vòng 72 giờ, kể từ khi biết về một vi phạm ảnh hưởng tới Dữ liệu cá nhân của Khách hàng. Thông báo sẽ mô tả sự việc, dữ liệu và người có thể bị ảnh hưởng, hậu quả có thể xảy ra, và các biện pháp đã hoặc dự kiến thực hiện, kèm thông tin bổ sung khi có.

9. Deletion and return9. Xóa và trả lại dữ liệu

Customer can export its receipts, logs and stored data from the console and the API at any time, and can delete Chat conversations itself. When the services end, or on Customer’s request, Idemcore deletes Customer Personal Data within 30 days, unless the law requires it to keep some of it; data in backups is removed as the backups expire. Idemcore will confirm deletion on request.Khách hàng có thể xuất biên nhận, nhật ký và dữ liệu đã lưu từ console và API bất cứ lúc nào, và có thể tự xóa các cuộc trò chuyện Chat. Khi dịch vụ chấm dứt, hoặc theo yêu cầu của Khách hàng, Idemcore xóa Dữ liệu cá nhân của Khách hàng trong vòng 30 ngày, trừ khi pháp luật yêu cầu giữ lại một phần; dữ liệu trong bản sao lưu được xóa khi bản sao lưu hết hạn. Idemcore sẽ xác nhận việc xóa khi được yêu cầu.

10. Audits10. Kiểm tra

Idemcore answers reasonable security and compliance questionnaires. If that is not enough to show compliance, or an authority requires it, Customer may audit Idemcore once a year with 30 days’ written notice, during business hours, under confidentiality and at Customer’s cost, in a way that does not expose other customers’ data.Idemcore trả lời các bảng câu hỏi hợp lý về bảo mật và tuân thủ. Nếu như vậy chưa đủ để chứng minh tuân thủ, hoặc cơ quan chức năng yêu cầu, Khách hàng có thể kiểm tra Idemcore mỗi năm một lần với thông báo bằng văn bản trước 30 ngày, trong giờ làm việc, có cam kết bảo mật và do Khách hàng chịu chi phí, theo cách không làm lộ dữ liệu của khách hàng khác.

11. General11. Điều khoản chung

Liability under this DPA is subject to the limits in the Terms of Service. If this DPA conflicts with the Terms on the processing of personal data, this DPA prevails, and the Standard Contractual Clauses prevail over both. Idemcore may update this DPA to reflect changes in law or in its services; it will not reduce the overall protection for Customer Personal Data and will tell customers by email about material changes. Customers who need a countersigned copy can request one.Trách nhiệm theo DPA này tuân theo các giới hạn trong Điều khoản dịch vụ. Nếu DPA này mâu thuẫn với Điều khoản về việc xử lý dữ liệu cá nhân thì DPA này được ưu tiên, và Điều khoản hợp đồng mẫu được ưu tiên hơn cả hai. Idemcore có thể cập nhật DPA này theo thay đổi của pháp luật hoặc dịch vụ; việc cập nhật sẽ không làm giảm mức bảo vệ chung cho Dữ liệu cá nhân của Khách hàng và các thay đổi quan trọng sẽ được thông báo qua email. Khách hàng cần bản có chữ ký có thể yêu cầu.

12. Contact12. Liên hệ

Questions about this DPA or a signed copy: Câu hỏi về DPA này hoặc yêu cầu bản có chữ ký: dev@idemcore.net. Data subjects can write to . Chủ thể dữ liệu có thể viết tới privacy@idemcore.net.