Phụ lục DPA (data processing addendum) là phần hợp đồng quy định cách nhà cung cấp SaaS quốc tế xử lý dữ liệu cá nhân mà doanh nghiệp đưa lên nền tảng của họ, như AWS, Google Cloud, Microsoft Azure, Salesforce, HubSpot hay Zendesk. Trong quan hệ này, doanh nghiệp thường là bên kiểm soát dữ liệu, còn nhà cung cấp là bên xử lý dữ liệu. Luật 91/2025/QH15 không bắt buộc văn bản phải mang tên "DPA". Nhưng bên xử lý chỉ được tiếp nhận dữ liệu sau khi có thỏa thuận, hợp đồng về xử lý dữ liệu với bên kiểm soát (điểm a khoản 2 Điều 37), và hợp đồng đó phải có những nội dung Nghị định 356/2025/NĐ-CP liệt kê. Điều khoản dịch vụ mẫu của vendor thường thiếu một phần các nội dung này, nên phụ lục DPA là nơi bổ sung. Nếu chính doanh nghiệp là nhà cung cấp phần mềm, xem lộ trình tuân thủ PDPD cho startup và SaaS. Nghĩa vụ nhìn từ phía nhà cung cấp được tổng hợp trong trang bảo vệ dữ liệu cá nhân ngành SaaS.
1. Vì sao điều khoản dịch vụ mặc định của SaaS quốc tế chưa đủ#
Điều khoản dịch vụ trực tuyến (online terms of service) của các nhà cung cấp Mỹ hoặc châu Âu thường được thiết kế theo GDPR hoặc CCPA. Chúng thường thiếu ba điểm mà pháp luật Việt Nam yêu cầu:
- Thông báo vi phạm. Bên kiểm soát phải thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện, khi vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu (khoản 1 Điều 23 Luật). Muốn kịp hạn này, doanh nghiệp cần vendor báo ngay khi phát hiện. Luật cũng buộc bên xử lý thông báo kịp thời cho bên kiểm soát.
- Phạm vi xử lý. Bên xử lý chỉ được xử lý theo đúng thỏa thuận, hợp đồng (điểm b khoản 2 Điều 37 Luật). Hợp đồng cần ghi rõ vendor không được dùng dữ liệu cho mục đích riêng, ví dụ huấn luyện mô hình AI của vendor.
- Nội dung hợp đồng với nhà cung cấp điện toán đám mây tại khoản 2 Điều 12 Nghị định 356, như cam kết chấp hành pháp luật Việt Nam về bảo vệ dữ liệu cá nhân và thông tin về nhân sự bảo vệ dữ liệu cá nhân của vendor.
Bên kiểm soát vẫn chịu trách nhiệm trước chủ thể dữ liệu về thiệt hại do quá trình xử lý gây ra (điểm g khoản 1 Điều 37 Luật), kể cả khi lỗi nằm ở vendor. Không có DPA, doanh nghiệp khó đòi lại thiệt hại từ vendor theo hợp đồng.
2. Các điều khoản bắt buộc phải có trong phụ lục DPA theo Nghị định 356/2025/NĐ-CP#
Chuyển dữ liệu cho bên xử lý là một trường hợp chuyển giao dữ liệu cá nhân (điểm d khoản 1 Điều 17 Luật). Vì vậy, phụ lục hợp đồng xử lý dữ liệu (DPA annex) phải có các nội dung của thỏa thuận chuyển giao tại khoản 1 Điều 7 Nghị định 356: mục đích chuyển giao; đối tượng chủ thể và loại dữ liệu; thời hạn xử lý và yêu cầu xóa, hủy; cơ sở pháp lý; trách nhiệm bảo vệ dữ liệu; trách nhiệm thực hiện quyền của chủ thể; trách nhiệm phối hợp khi phát hiện vi phạm. Với nhà cung cấp điện toán đám mây, thêm các nội dung tại khoản 2 Điều 12 Nghị định 356. Trên thực tế, có thể tổ chức DPA annex thành sáu nhóm điều khoản:
- Phạm vi và mục đích xử lý: mục đích và cơ sở pháp lý, loại dữ liệu (cơ bản hay nhạy cảm), đối tượng chủ thể dữ liệu, thời hạn xử lý.
- Xử lý theo chỉ thị: vendor chỉ xử lý theo chỉ thị bằng văn bản của bên kiểm soát.
- Biện pháp bảo mật kỹ thuật và tổ chức: chuẩn mã hóa khi lưu trữ và khi truyền (ví dụ AES-256, TLS 1.3), phân quyền truy cập tối thiểu (least privilege), đánh giá an toàn thông tin định kỳ. Nếu chuyển giao dữ liệu nhạy cảm, Nghị định 356 yêu cầu có biện pháp mã hóa, ẩn danh và bảo mật vật lý thiết bị lưu trữ, truyền tải (khoản 2 Điều 7).
- Hỗ trợ thực hiện quyền của chủ thể dữ liệu: vendor hỗ trợ trích xuất, chỉnh sửa hoặc xóa dữ liệu khi người dùng yêu cầu, trong thời hạn luật định.
- Thông báo sự cố: vendor báo cho doanh nghiệp ngay khi phát hiện dấu hiệu xâm nhập hoặc lộ dữ liệu. Nên ghi thời hạn cụ thể, ví dụ 12–24 giờ, để doanh nghiệp còn thời gian chuẩn bị thông báo trong 72 giờ.
- Chấm dứt hợp đồng: vendor xóa hoặc hoàn trả toàn bộ dữ liệu, kèm biên bản xác nhận hủy.
Bản sao hợp đồng xử lý dữ liệu là một thành phần của hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (điểm b khoản 2 Điều 19 Nghị định 356). Vì vậy, DPA đã ký cần được đưa vào hồ sơ khi lập hồ sơ đánh giá tác động (DPIA).
3. SCC và hồ sơ chuyển dữ liệu xuyên biên giới của Việt Nam#
Nhà cung cấp SaaS quốc tế thường đưa ra điều khoản hợp đồng mẫu của EU (standard contractual clauses, SCC) làm cơ chế chuyển dữ liệu. SCC không thay thế thủ tục của Việt Nam. Dùng nền tảng ở nước ngoài để xử lý dữ liệu cá nhân thu thập tại Việt Nam là chuyển dữ liệu xuyên biên giới (điểm c khoản 1 Điều 20 Luật). Doanh nghiệp phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên chuyển (khoản 2 Điều 20 Luật). Một ngoại lệ đáng chú ý: tổ chức lưu trữ dữ liệu cá nhân của chính người lao động của mình trên dịch vụ điện toán đám mây không phải lập hồ sơ này (điểm b khoản 6 Điều 20 Luật).
Trong phụ lục DPA, doanh nghiệp có thể đề nghị hai điều khoản:
- Thứ tự ưu tiên (order of precedence): khi SCC mâu thuẫn với pháp luật Việt Nam, quy định bảo vệ dữ liệu của Việt Nam được ưu tiên áp dụng đối với dữ liệu thu thập tại Việt Nam.
- Thông tin vị trí trung tâm dữ liệu: vendor cho biết nơi đặt máy chủ và các bên nhận dữ liệu, để doanh nghiệp điền hồ sơ chuyển dữ liệu.
4. Quyền kiểm toán và sub-processor trong phụ lục DPA#
Nhà cung cấp SaaS thường thuê lại hạ tầng của bên thứ ba (sub-processor). Nghị định 356 yêu cầu nhà cung cấp điện toán đám mây đề nghị các nhà thầu phụ thực hiện nghĩa vụ bảo vệ dữ liệu cá nhân theo pháp luật (điểm b khoản 3 Điều 12). Trong DPA, doanh nghiệp nên yêu cầu vendor:
- Công bố danh sách sub-processor hiện tại.
- Báo trước, ví dụ 30 ngày, khi thay đổi hoặc bổ sung sub-processor.
- Cho doanh nghiệp quyền phản đối (right to object) việc bổ sung đó.
Về quyền kiểm toán (right to audit): vendor lớn thường từ chối cho khách hàng kiểm tra trực tiếp trung tâm dữ liệu. Giải pháp thay thế là yêu cầu báo cáo kiểm toán độc lập hằng năm như SOC 2 Type II, ISO/IEC 27001, ISO/IEC 27701 hoặc PCI-DSS.
5. Quy trình đàm phán phụ lục DPA với vendor SaaS quốc tế#
- Phân loại vendor theo khối lượng và loại dữ liệu cá nhân họ tiếp cận.
- Gửi mẫu phụ lục DPA của doanh nghiệp, hoặc dùng cổng DPA tự phục vụ của vendor nếu có.
- Rà soát các tùy chọn trên cổng: bổ sung điều khoản theo pháp luật Việt Nam, chọn vùng lưu trữ dữ liệu.
- Đối chiếu bản DPA cuối cùng với danh sách nội dung ở mục 2. Phần nào vendor không chấp nhận, ghi lại lý do và biện pháp bù đắp.
- Lưu bản DPA đã ký hoặc đã xác nhận trực tuyến vào hồ sơ tuân thủ, cùng hồ sơ đánh giá tác động.
Nếu doanh nghiệp dùng nhiều nền tảng SaaS cùng lúc, nên bắt đầu từ vendor giữ dữ liệu nhạy cảm hoặc dữ liệu khách hàng số lượng lớn. Việc rà soát toàn bộ danh sách vendor và hợp đồng có thể làm trong khuôn khổ tư vấn tuân thủ bảo vệ dữ liệu cá nhân.
