THỎA THUẬN XỬ LÝ DỮ LIỆU
Thỏa thuận Xử lý Dữ liệu, diễn đạt dễ hiểu.
v1.2.1 · Có hiệu lực kể từ ngày công bố
Được viết để DPO của bạn có thể phê duyệt trong một lần ngồi xuống. Mọi điều khoản, đơn vị xử lý phụ và biện pháp bảo vệ đều được ghi đầy đủ. Bản PDF đã ký mang đúng nội dung này.
PHẠM VI & VAI TRÒ
Ai làm việc gì, với dữ liệu của ai.
Theo DPA này, Khách hàng là bên kiểm soát dữ liệu và Sageio đóng vai trò là bên xử lý dữ liệu thay mặt cho Khách hàng. Sageio chỉ xử lý dữ liệu cá nhân để cung cấp các dịch vụ đã ký hợp đồng — dịch thuật cuộc họp thời gian thực, phiên âm và tóm tắt — và chỉ theo các chỉ dẫn được ghi thành văn bản của Khách hàng. DPA này là một phần của Thỏa thuận Đăng ký giữa Sageio và Khách hàng; trong trường hợp có xung đột, DPA được ưu tiên áp dụng đối với các vấn đề xử lý dữ liệu cá nhân. Thỏa thuận áp dụng cho mọi hoạt động xử lý được thực hiện liên quan đến nền tảng Sageio.
DỮ LIỆU ĐƯỢC XỬ LÝ
Chúng tôi xử lý gì, và vì sao được phép.
| Loại dữ liệu | Mục đích xử lý | Cơ sở pháp lý (GDPR Điều 6) | Thời gian lưu giữ |
|---|---|---|---|
| Âm thanh cuộc họp | Phiên âm giọng nói thành văn bản và dịch trong cuộc họp. | Điều 6(1)(b) — thực hiện hợp đồng. | Truyền trực tuyến để phiên âm thời gian thực và chỉ xử lý trong bộ nhớ; không bao giờ ghi vào bộ lưu trữ. Không dùng để huấn luyện mô hình. |
| Bản ghi & bản dịch cuộc họp | Lưu trữ và truy xuất bởi các thành viên workspace của Khách hàng. | Điều 6(1)(b) — thực hiện hợp đồng. | Giữ cho đến khi Khách hàng xóa hoặc khi tài khoản bị xóa. |
| Tóm tắt & hạng mục hành động | Kết quả cuộc họp do AI tạo ra từ bản ghi. | Điều 6(1)(b) — thực hiện hợp đồng. | Theo thời gian lưu giữ của bản ghi. |
| Định danh tài khoản (tên, email, vai trò) | Xác thực, truy cập workspace và ghi nhật ký kiểm toán. | Điều 6(1)(b) — thực hiện hợp đồng. | Suốt thời gian tài khoản hoạt động cộng thêm 30 ngày sau khi đóng. |
| Siêu dữ liệu workspace & sử dụng | Vận hành dịch vụ, đối soát thanh toán và ngăn chặn lạm dụng. | Điều 6(1)(b) và Điều 6(1)(f) — lợi ích chính đáng trong việc bảo đảm tính toàn vẹn của dịch vụ. | 12 tháng kể từ khi tạo. |
| Nhật ký kiểm toán | Giám sát bảo mật và rà soát truy cập của Khách hàng. | Điều 6(1)(f) — lợi ích chính đáng trong việc bảo mật. | 12 tháng kể từ khi tạo. |
| Định danh thanh toán | Quản lý gói đăng ký. Dữ liệu thẻ thanh toán được xử lý bởi LemonSqueezy với tư cách Merchant of Record và không được Sageio lưu trữ. | Điều 6(1)(b) — thực hiện hợp đồng. | Suốt thời gian tài khoản hoạt động cộng thêm 7 năm cho hồ sơ thuế. |
ĐƠN VỊ XỬ LÝ PHỤ
Toàn bộ chuỗi lưu giữ dữ liệu.
| Đơn vị xử lý phụ | Mục đích | Vị trí xử lý |
|---|---|---|
| Amazon Web Services | Lưu trữ đám mây, object storage, quản lý khóa mã hóa. | Khu vực do Khách hàng chọn (mặc định: Singapore, Châu Á - Thái Bình Dương). EU và Hoa Kỳ trên gói Enterprise. |
| Neon | Cơ sở dữ liệu PostgreSQL được quản lý cho dữ liệu ứng dụng. | Khu vực khớp với khu vực AWS chính của Khách hàng. |
| Vercel | Lưu trữ cho trang marketing và ứng dụng web hướng đến khách hàng. | Mạng edge toàn cầu. Máy chủ gốc: khu vực do khách hàng chọn. |
| Clerk | Xác thực, đăng nhập một lần và quản lý danh tính. | Hoa Kỳ. |
| Deepgram | Phiên âm giọng nói thành văn bản từ âm thanh cuộc họp. | Hoa Kỳ. |
| OpenAI | Phiên âm giọng nói thành văn bản theo thời gian thực cho âm thanh cuộc họp (công cụ mặc định cho không gian làm việc mới) và phiên âm tệp âm thanh tải lên. | Hoa Kỳ. |
| DeepL | Dịch các đoạn phiên âm tạm thời và bản dịch cuối cùng cho một số ngôn ngữ đích. | Đức (EU). |
| Google (Gemini API) | Tinh chỉnh bản dịch của các đoạn đã hoàn thiện; tóm tắt và mục hành động do AI tạo. | Hoa Kỳ. Dữ liệu không được dùng để huấn luyện các mô hình của Google theo điều khoản Gemini API gói trả phí. |
| Resend | Gửi email giao dịch (thông báo tài khoản và dịch vụ; email tóm tắt cuộc họp gửi theo yêu cầu của người dùng). | Hoa Kỳ. |
Lemon Squeezy (công ty thuộc Stripe) không phải là bên xử lý phụ: với vai trò Merchant of Record, họ tự quyết định mục đích xử lý cho thanh toán, thuế và hóa đơn, và hoạt động như một bên kiểm soát dữ liệu độc lập theo chính sách quyền riêng tư của riêng họ.
Plausible (phân tích web không cookie) chỉ hoạt động trên trang tiếp thị và không xử lý dữ liệu cá nhân nền tảng theo DPA này; được công bố trong Chính sách quyền riêng tư.
PROCESSOR COMMITMENTS
Article 28, written into the contract.
These commitments form part of the DPA. The English text is the authoritative version; localized translations will follow the signed-off text.
- Sub-processor changes
- Sageio maintains the current sub-processor list at sageio.net/subprocessors. Sageio will give Customer at least 30 days' notice (by email or in-app notice) before adding or replacing a sub-processor. Customer may object on reasonable data-protection grounds within the notice period; if the parties cannot resolve the objection, Customer may terminate the affected services and receive a pro-rata refund of prepaid fees for the unused period. Sageio imposes data-protection obligations equivalent to this DPA on each sub-processor and remains liable for their performance.
- Personal-data breach notification
- Sageio will notify Customer without undue delay, and in any event within 24 hours of confirming a personal-data breach affecting Customer personal data, and will provide the information reasonably required for Customer's obligations under Articles 33–34 GDPR, with updates as the investigation proceeds.
- Deletion and return
- Upon termination or expiry of the services, Sageio will, at Customer's choice, delete or return all Customer personal data within 30 days, and delete remaining copies, except where applicable law requires retention. Personal data in encrypted backups is purged on the standard 30-day backup rotation cycle.
- Assistance and audits
- Taking into account the nature of the processing, Sageio will assist Customer with appropriate technical and organizational measures in responding to data-subject requests, and with Customer's obligations under Articles 32–36 GDPR, including data-protection impact assessments and prior consultations. Sageio will make available information reasonably necessary to demonstrate compliance with Article 28 — including summaries of penetration tests and, when available, audit reports — and will allow audits, including inspections, by Customer or its mandated auditor, no more than once per twelve months, on 30 days' notice, at Customer's expense and subject to confidentiality.
- Confidentiality and instructions
- Sageio ensures that persons authorized to process personal data are committed to confidentiality. Sageio will inform Customer without undue delay if, in its opinion, an instruction infringes applicable data-protection law.
- Customer warranties
- Customer warrants that it has established a lawful basis for the processing it instructs under this DPA, including any notices to and consents from meeting participants required by applicable law and — where meeting content incidentally contains special categories of personal data — a condition under Article 9(2) GDPR. Sageio does not use meeting content to identify any person by voice and creates no biometric templates.
- Term, governing law, and liability
- This DPA takes effect with, and lasts for the duration of, the Subscription Agreement; it is governed by the same law, and the limitations of liability in the Terms of Service apply to it, except where mandatory data-protection law provides otherwise.
CÁC BIỆN PHÁP BẢO MẬT
Kỹ thuật đi cùng cam kết.
Sageio triển khai các biện pháp kỹ thuật và tổ chức phù hợp với rủi ro của việc xử lý, bao gồm mã hóa khi truyền (TLS 1.3) và khi lưu trữ (AES-256-GCM), kiểm soát truy cập theo vai trò, ghi nhật ký kiểm toán, kiểm thử xâm nhập định kỳ, và một quy trình ứng phó sự cố được ghi thành văn bản. Truy cập môi trường production đòi hỏi lý do nghiệp vụ rõ ràng, giới hạn thời gian và được ghi log. Danh mục đầy đủ các biện pháp, bao gồm tình trạng hiện tại của chương trình tuân thủ, được công bố trên trang Bảo mật và cập nhật khi chương trình tiến triển.
CHUYỂN DỮ LIỆU QUỐC TẾ
Dữ liệu xuyên biên giới, chuyển hợp pháp.
Khi dữ liệu cá nhân được chuyển ra ngoài Khu vực Kinh tế Châu Âu, Vương quốc Anh, hoặc các khu vực pháp lý khác có hạn chế tương đương, Sageio áp dụng các Điều khoản Hợp đồng Tiêu chuẩn của Ủy ban Châu Âu (Module Hai: Bên kiểm soát đến Bên xử lý) và, khi phù hợp, Phụ lục Chuyển Dữ liệu Quốc tế của Vương quốc Anh. Đối với các chuyển giao đến các khu vực pháp lý được bao phủ bởi một quyết định công nhận mức độ bảo vệ tương xứng, Sageio dựa vào quyết định đó. Các đơn vị xử lý phụ bị ràng buộc bởi các nghĩa vụ tương đương thông qua việc chuyển tiếp các điều khoản hợp đồng. Đánh giá tác động chuyển dữ liệu được thực hiện cho từng đơn vị xử lý phụ xử lý dữ liệu cá nhân bên ngoài khu vực pháp lý của bên xuất khẩu dữ liệu.
The SCCs (Module Two: Controller-to-Processor) and the UK International Data Transfer Addendum are incorporated into this DPA by reference. Annex I (parties; description of processing) is constituted by the parties' details and the "Data processed" table above, which may incidentally include special categories of data contained in meeting content; Annex II (technical and organizational measures) by the "Security measures" section; Annex III (authorized sub-processors) by the "Sub-processors" table. In case of conflict, the SCCs prevail.
QUYỀN CỦA CHỦ THỂ DỮ LIỆU
Quyền của người dùng bạn, nghĩa vụ của chúng tôi.
- Quyền truy cập — xác nhận và một bản sao dữ liệu cá nhân đã được xử lý.
- Quyền chỉnh sửa — sửa dữ liệu không chính xác hoặc không đầy đủ.
- Quyền xóa — xóa trong vòng 30 ngày kể từ một yêu cầu hợp lệ, tùy thuộc vào các yêu cầu lưu giữ theo luật.
- Quyền hạn chế — giới hạn việc xử lý trong các trường hợp được xác định.
- Quyền chuyển dữ liệu — xuất ra ở định dạng có cấu trúc, máy đọc được.
- Quyền phản đối — bao gồm phản đối việc xử lý dựa trên lợi ích chính đáng.
- Quyền khiếu nại lên cơ quan giám sát có thẩm quyền liên quan.
LIÊN HỆ
Người thật, hộp thư có tên cụ thể.
- Privacy: privacy@sageio.net
- Security: security@sageio.net
Sageio được vận hành bởi 好客網路股份有限公司 (mã số đăng ký doanh nghiệp 29041135), một pháp nhân đăng ký tại Đài Loan. Địa chỉ đăng ký: No. 205, Hulin Street, Xinyi District, Taipei City, Taiwan (臺北市信義區虎林街205號). Liên hệ về quyền riêng tư: privacy@sageio.net.
Lịch sử phiên bản
- v1.2.114 tháng 6, 2026Hoàn tất xác nhận gói trả phí Gemini (gỡ chú thích tạm thời); cam kết bên xử lý phụ trỏ đến trang /subprocessors đã hoạt động; bổ sung bản dịch tiếng Trung phồn thể của các cam kết bên xử lý và điều khoản tích hợp SCC.
- v1.2June 13, 2026Đính chính bảng bên xử lý phụ: thêm OpenAI (phiên âm giọng nói thời gian thực, công cụ mặc định cho không gian làm việc mới); mở rộng mục đích DeepL sang bản dịch cuối cùng cho một số ngôn ngữ; mục đích Resend bao gồm email tóm tắt cuộc họp; căn cứ điều khoản Gemini được sửa thành API gói trả phí (đang xác nhận). Gỡ bỏ tuyên bố về thời gian lưu giữ có thể cấu hình để khớp với hệ thống hiện tại.
- v1.113 tháng 6, 2026Bổ sung các cam kết bên xử lý theo Art 28; mở rộng bảng bên xử lý phụ (DeepL, Resend); sửa các mục lưu giữ theo hành vi thực tế của hệ thống; tích hợp SCC và UK Addendum với ánh xạ Annex.
- v1.0Có hiệu lực kể từ ngày công bốCông bố lần đầu.