Thỏa thuận xử lý dữ liệu

Khi Mule lưu trữ hoặc bảo trì một hệ thống cho khách hàng, khách hàng là bên kiểm soát dữ liệu đối với dữ liệu cá nhân trong hệ thống đó và Mule là bên xử lý dữ liệu. Thỏa thuận Xử lý Dữ liệu (DPA) được ký với mọi khách hàng quy định cách Mule xử lý dữ liệu đó theo GDPR (Điều 28) và luật về quyền riêng tư của các tiểu bang Hoa Kỳ. Trang này là bản tóm tắt công khai. DPA đã ký có giá trị điều chỉnh; khách hàng có thể tải DPA từ Portal hoặc yêu cầu qua juastins@icloud.com.

1. Vai trò

• Dữ liệu của khách hàng trong một hệ thống do Mule vận hành thuộc về khách hàng. Mule chỉ xử lý dữ liệu đó theo chỉ dẫn bằng văn bản của khách hàng.
• Mule chỉ là bên kiểm soát dữ liệu độc lập đối với hồ sơ tài khoản, hồ sơ thanh toán và hồ sơ Portal của chính mình, các đầu mối liên hệ tiếp thị của mình và nhật ký bảo mật cần thiết để bảo vệ dịch vụ của mình. Các dữ liệu này được điều chỉnh bởi Thông báo về Quyền riêng tư.

2. Cam kết của Mule

1. Chỉ xử lý dữ liệu cá nhân theo chỉ dẫn của khách hàng, và thông báo nếu một chỉ dẫn có vẻ vi phạm pháp luật về bảo vệ dữ liệu.
2. Ràng buộc nghĩa vụ bảo mật đối với mọi người có quyền truy cập.
3. Áp dụng các biện pháp bảo mật được liệt kê dưới đây.
4. Chỉ sử dụng các bên xử lý phụ có trong danh sách công khai của chúng tôi, với thông báo trước 30 ngày trước bất kỳ thay đổi nào và khách hàng có quyền phản đối.
5. Hỗ trợ khách hàng trả lời các yêu cầu của chủ thể dữ liệu, thực hiện đánh giá tác động và xử lý vi phạm dữ liệu.
6. Thông báo cho khách hàng về vi phạm dữ liệu cá nhân không chậm trễ quá mức, và trong vòng 48 giờ kể từ khi biết được vi phạm đó.
7. Trả lời miễn phí các câu hỏi hợp lý về bảo mật mỗi năm một lần, và cho phép kiểm toán khi như vậy là chưa đủ.
8. Khi kết thúc, trả lại hoặc xóa dữ liệu theo lựa chọn của khách hàng, theo Kế hoạch Chấm dứt và Chuyển giao.

3. Chuyển dữ liệu ra nước ngoài

Mule được thành lập tại Hoa Kỳ, và một số nhân sự và bên xử lý phụ ở ngoài EEA. Việc chuyển dữ liệu từ EEA sử dụng Điều khoản Hợp đồng Tiêu chuẩn (SCC) của Ủy ban Châu Âu (Quyết định (EU) 2021/914, Mô-đun 2, và Mô-đun 3 khi chính khách hàng là bên xử lý dữ liệu), hoặc Khung Quyền riêng tư Dữ liệu EU-Hoa Kỳ (EU-US Data Privacy Framework) khi bên nhận đã được chứng nhận. Vị trí lưu trữ có thể được đặt tại EU hoặc Hoa Kỳ cho từng hệ thống.

4. Biện pháp bảo mật (tóm tắt)

• Xác thực đa yếu tố cho toàn bộ nhân sự Mule, vai trò với quyền truy cập tối thiểu cần thiết, ghi nhật ký mọi truy cập vào môi trường vận hành chính thức (production).
• TLS 1.2 trở lên khi truyền; mã hóa khi lưu trữ; thông tin bí mật được giữ tách khỏi mã nguồn.
• Mã hóa toàn bộ ổ đĩa và tự động khóa trên máy tính xách tay của nhân sự.
• Dữ liệu khách hàng được tách theo tổ chức: trong Mule Portal, vốn dùng một cơ sở dữ liệu chung, mọi thao tác đọc và ghi đều được ứng dụng giới hạn trong phạm vi khách hàng và được kiểm tra bằng công cụ kiểm toán truy cập tự động; tách biệt môi trường production và staging.
• Bản sao lưu được mã hóa hằng ngày, với việc khôi phục được kiểm thử ít nhất 6 tháng một lần.
• Rà soát mã nguồn, quét các thư viện phụ thuộc và quét thông tin bí mật; không sử dụng dữ liệu cá nhân production chưa được che trong môi trường phát triển.
• Chỉ sử dụng dịch vụ AI theo điều khoản thương mại cấm huấn luyện bằng dữ liệu của khách hàng.

5. Dữ liệu thiết bị và Đạo luật Dữ liệu EU (EU Data Act)

Khi một hệ thống bao gồm sản phẩm kết nối như thẻ Mule, khách hàng, với tư cách là người dùng, có thể truy cập và xuất dữ liệu sản phẩm và dữ liệu dịch vụ liên quan phát sinh từ việc sử dụng, miễn phí và ở định dạng máy có thể đọc được. Mule chỉ sử dụng dữ liệu thiết bị không mang tính cá nhân để cung cấp, bảo mật và cải thiện dịch vụ, và ở dạng tổng hợp không xác định được khách hàng, các địa điểm hoặc vật nuôi của khách hàng. Theo yêu cầu của khách hàng, Mule chia sẻ dữ liệu với bên thứ ba do khách hàng chỉ định, theo quy định của Đạo luật Dữ liệu.

6. Quyền sở hữu và chấm dứt

Khi hoàn thành và thanh toán đầy đủ, khách hàng sở hữu dự án. Dữ liệu xuất ở định dạng mở luôn sẵn có vào bất kỳ thời điểm nào và không bao giờ bị chặn, kể cả trong thời gian tạm ngừng dịch vụ do hóa đơn chưa thanh toán.