Hợp đồng xử lý dữ liệu (DPA) với nhà cung cấp: cần gì?

Hợp đồng xử lý dữ liệu DPA với nhà cung cấp là gì?

DPA là hợp đồng hoặc phụ lục quy định cách một bên xử lý dữ liệu cá nhân thay cho bên kia. Nói đơn giản: bạn là bên giao việc, nhà cung cấp là bên làm thay một phần công việc có liên quan đến dữ liệu.

Ví dụ rất phổ biến ở Việt Nam: công ty dùng CRM, email marketing, chatbot, phần mềm chấm công, cloud lưu hồ sơ nhân viên, hệ thống đặt hàng online. Các bên này có thể nhìn thấy, lưu, đồng bộ hoặc sao lưu dữ liệu khách hàng/người dùng của bạn.

DPA không phải “giấy cho có”. Nó là nơi bạn khóa lại các điểm hay bị bỏ sót: dữ liệu nào được xử lý, có được dùng cho mục đích riêng của nhà cung cấp không, ai chịu trách nhiệm nếu có rò rỉ, và khi ngừng dùng thì dữ liệu đi đâu.

Khi nào cần hợp đồng xử lý dữ liệu DPA với nhà cung cấp?

Câu trả lời ngắn: hầu như mỗi khi nhà cung cấp xử lý dữ liệu cá nhân thay cho bạn.

Bạn nên có DPA nếu nhà cung cấp:

• lưu trữ dữ liệu khách hàng trên cloud/hosting;
• gửi email/SMS/OTT theo danh sách bạn cung cấp;
• vận hành CRM, loyalty, POS, ticket, call center;
• xử lý dữ liệu nhân viên: chấm công, payroll, bảo hiểm, HRM;
• cung cấp AI/chatbot/analytics có dùng dữ liệu đầu vào của bạn;
• có subprocessor hoặc truy cập từ xa vào hệ thống của bạn.

Bạn càng nên làm sớm nếu dữ liệu có tính nhạy cảm, quy mô lớn, hoặc nhà cung cấp ở nước ngoài. Với dữ liệu cá nhân, Luật Bảo vệ Dữ liệu Cá nhân 91/2025/QH15 có hiệu lực từ 01/01/2026; thực tế doanh nghiệp nên chuẩn bị DPA, quy trình và bằng chứng ngay từ bây giờ.

Bên kiểm soát và bên xử lý khác nhau thế nào?

Hiểu đúng vai trò là bước quan trọng nhất để viết DPA không bị lỏng.

• Bên kiểm soát dữ liệu: bên quyết định mục đích và phương tiện xử lý dữ liệu. Thường là doanh nghiệp của bạn.
• Bên xử lý dữ liệu: bên xử lý dữ liệu thay mặt bên kiểm soát theo hợp đồng/chỉ dẫn.

Ví dụ: shop online quyết định thu thập tên, số điện thoại, địa chỉ để giao hàng. Đơn vị CRM chỉ lưu, đồng bộ, phân tích theo chỉ dẫn của shop thì thường là bên xử lý. Nhưng nếu nhà cung cấp tự dùng dữ liệu đó để quảng cáo riêng cho họ, phần đó cần xem lại vai trò và điều khoản.

DPA cần những điều khoản cốt lõi nào?

Bạn không cần văn vẻ. DPA tốt là DPA có đủ “xương sống” để vận hành khi có sự cố.

Trách nhiệm của bên kiểm soát dữ liệu là gì?

Bên kiểm soát không thể “khoán xong là xong”. Bạn vẫn là người phải thiết kế và giám sát cách dữ liệu được dùng.

Việc nên làm:

• chọn nhà cung cấp có mức bảo mật phù hợp;
• chỉ chuyển dữ liệu tối thiểu cần thiết;
• ký DPA trước khi đưa dữ liệu thật vào hệ thống;
• công bố thông báo xử lý dữ liệu rõ ràng cho khách hàng/nhân viên;
• kiểm tra định kỳ quyền truy cập, log, cấu hình, và việc dùng subprocessor;
• có quy trình phản ứng sự cố, xóa dữ liệu, đáp ứng yêu cầu truy cập/xóa/chỉnh sửa.

Nếu bạn là SME, đừng đợi đến lúc có rò rỉ mới đi tìm hợp đồng. Chỉ riêng việc lưu một file Excel khách hàng lên tài khoản dùng chung cũng đã cần phân quyền và quy tắc nội bộ tối thiểu.

Trách nhiệm của bên xử lý dữ liệu là gì?

Bên xử lý phải làm đúng chỉ dẫn và không “tự ý chơi thêm”.

Các trách nhiệm thực tế nên ghi rõ:

• xử lý đúng mục đích, đúng phạm vi;
• chỉ cho người có thẩm quyền truy cập;
• áp dụng biện pháp bảo mật phù hợp theo Luật An toàn thông tin mạng 2015 và chính sách nội bộ;
• hỗ trợ bên kiểm soát trả lời yêu cầu của chủ thể dữ liệu;
• hỗ trợ điều tra, khắc phục, ghi nhận sự cố;
• xóa hoặc trả dữ liệu khi hết hợp đồng hoặc khi có yêu cầu hợp lệ;
• không sao chép, không phân tích thứ cấp, không chuyển tiếp cho bên khác nếu chưa được phép.

Nếu nhà cung cấp là SaaS quốc tế, bạn nên hỏi thẳng: dữ liệu lưu ở đâu, ai có quyền truy cập admin, có subprocessor nào, có log xuất dữ liệu không, và họ xóa backup theo lịch nào.

Mẫu checklist DPA với nhà cung cấp nên có gì?

Dưới đây là checklist thực dụng để bạn dùng khi rà soát hợp đồng:

• [ ] Tên các bên, vai trò rõ ràng: bên kiểm soát / bên xử lý.
• [ ] Danh sách loại dữ liệu: khách hàng, nhân viên, đơn hàng, tài khoản, nhật ký truy cập.
• [ ] Mục đích xử lý: lưu trữ, gửi thông báo, đối soát, phân tích, hỗ trợ vận hành.
• [ ] Thời hạn xử lý và thời hạn lưu giữ.
• [ ] Cam kết chỉ xử lý theo chỉ dẫn bằng văn bản.
• [ ] Yêu cầu bảo mật: MFA, phân quyền, mã hóa, backup, log, kiểm thử.
• [ ] Quy định subprocessor và chuyển dữ liệu ra nước ngoài.
• [ ] Quy trình thông báo sự cố, phối hợp khắc phục, lưu bằng chứng.
• [ ] Nghĩa vụ xóa/trả dữ liệu khi chấm dứt.
• [ ] Quyền kiểm tra/audit và cung cấp tài liệu chứng minh.

Có cần dùng mẫu DPA riêng cho từng nhà cung cấp không?

Thường là có, nhưng không cần viết lại từ đầu mỗi lần.

Cách làm hiệu quả cho doanh nghiệp Việt Nam:

• dùng một mẫu DPA chuẩn làm phụ lục;
• có phần điều khoản chung áp cho mọi nhà cung cấp;
• có bảng điền riêng theo từng SaaS: loại dữ liệu, máy chủ, subprocessor, thời hạn, SLA thông báo sự cố;
• với nhà cung cấp quan trọng như CRM, HRM, payment, cloud, nên review riêng trước khi ký.

Nếu bạn đang làm cookie banner, form đồng ý, hoặc quy trình ghi nhận yêu cầu dữ liệu, consent.vn có thể giúp bạn chuẩn hóa bằng chứng đồng ý và DSAR để khớp với DPA và chính sách nội bộ.

Nguồn: Bộ luật Dân sự 2015: https://thuvienphapluat.vn ; Luật 91/2025/QH15: https://thuvienphapluat.vn ; Luật An toàn thông tin mạng 2015: https://thuvienphapluat.vn ; Bộ Công an: https://bocongan.gov.vn