Google và Khách hàng đã ký kết Các điều khoản bảo vệ dữ liệu giữa đơn vị kiểm soát và đơn vị kiểm soát thông tin đo lường của Google (“Các điều khoản dành cho đơn vị kiểm soát”) để bổ sung cho Thoả thuận. Phụ lục này, dành cho đơn vị kiểm soát theo Luật về quyền riêng tư của các tiểu bang ở Hoa Kỳ (“Phụ lục dành cho đơn vị kiểm soát theo Luật về quyền riêng tư của tiểu bang”), được ký kết giữa Google và Khách hàng để bổ sung cho Thoả thuận. Phụ lục này sẽ có hiệu lực kể từ ngày 1 tháng 1 năm 2023 hoặc ngày mà Khách hàng nhấp để chấp nhận hoặc ngày mà các bên đồng ý với Phụ lục này, tuỳ thuộc vào ngày nào muộn hơn.
1. Giới thiệu.
Google có thể cung cấp và Khách hàng có thể bật một số chế độ cài đặt, cấu hình hoặc chức năng khác trong sản phẩm cho Dịch vụ đo lường liên quan đến việc xử lý dữ liệu bị hạn chế (như mô tả trong tài liệu hỗ trợ có tại business.safety.google/rdp) được cập nhật tuỳ từng thời điểm (“Xử lý dữ liệu bị hạn chế”). Phụ lục dành cho đơn vị kiểm soát theo Luật về quyền riêng tư của tiểu bang chỉ đặt ra các quy định về việc bảo vệ dữ liệu liên quan đến Chế độ cài đặt cách chia sẻ dữ liệu (khi chế độ Xử lý dữ liệu bị hạn chế không được bật), chứ không áp dụng cho việc cung cấp các Dịch vụ đo lường. Khách hàng hoàn toàn chịu trách nhiệm về việc tuân thủ từng Luật hiện hành của tiểu bang về quyền riêng tư khi sử dụng các dịch vụ của Google, bao gồm cả việc Xử lý dữ liệu bị hạn chế.
Phụ lục dành cho đơn vị kiểm soát theo Luật về quyền riêng tư của tiểu bang phản ánh thoả thuận giữa các bên về việc xử lý Dữ liệu cá nhân và Dữ liệu đã loại bỏ thông tin nhận dạng cá nhân của Khách hàng (như định nghĩa bên dưới) theo Chế độ cài đặt cách chia sẻ dữ liệu liên quan đến các Luật hiện hành của tiểu bang về quyền riêng tư (như định nghĩa bên dưới). Phụ lục này chỉ có hiệu lực trong phạm vi áp dụng của mỗi Luật hiện hành của tiểu bang về quyền riêng tư.
2. Định nghĩa và diễn giải.
2.1 “Luật hiện hành của tiểu bang về quyền riêng tư” (tuỳ trường hợp áp dụng) là: (a) CCPA (Đạo luật về quyền riêng tư của người tiêu dùng tại California); (b) Đạo luật bảo vệ dữ liệu của người tiêu dùng tại Virginia, mục Chú giải § 59.1-571 trở đi trong Luật của Virginia; (c) Đạo luật về quyền riêng tư của Colorado, từ § 6-1-1301 trở đi trong tập hợp các đạo luật đã được sửa đổi của Colorado, cùng với tất cả các quy định thực hiện; (d) Đạo luật của Connecticut về quyền riêng tư đối với dữ liệu và giám sát trực tuyến, Đạo luật công cộng số 22015; và (e) Đạo luật về quyền riêng tư của người tiêu dùng ở Utah, mục Chú giải § 13-61-101 trở đi trong Luật của Utah.
2.2 “CCPA” là Đạo luật về quyền riêng tư của người tiêu dùng tại California năm 2018, kèm theo các điều khoản sửa đổi, bao gồm cả việc sửa đổi theo Đạo luật về quyền riêng tư của California năm 2020, cùng với tất cả các quy định thực hiện.
2.3 “Dữ liệu đã loại bỏ thông tin nhận dạng cá nhân” là thông tin dữ liệu “đã loại bỏ thông tin nhận dạng cá nhân” (theo định nghĩa của thuật ngữ đó trong CCPA) và “dữ liệu đã loại bỏ thông tin nhận dạng cá nhân” (theo định nghĩa trong các Luật hiện hành khác về quyền riêng tư của tiểu bang), khi một bên tiết lộ cho một bên kia.
2.4 Các thuật ngữ “doanh nghiệp”, người tiêu dùng”, đơn vị kiểm soát”, “dữ liệu cá nhân”, “thông tin cá nhân”, “xử lý”, việc xử lý”, “việc bán” và “bán”, được sử dụng trong Phụ lục dành cho đơn vị kiểm soát theo Luật về quyền riêng tư của tiểu bang, sẽ có ý nghĩa như được quy định trong các Luật hiện hành của tiểu bang về quyền riêng tư.
2.5 Các cụm từ viết hoa được sử dụng nhưng không được định nghĩa trong Phụ lục dành cho đơn vị kiểm soát theo Luật về quyền riêng tư của tiểu bang sẽ có ý nghĩa như được quy định trong Các điều khoản dành cho đơn vị kiểm soát.
3. Các điều khoản theo Luật hiện hành của tiểu bang về quyền riêng tư.
3.1 Dữ liệu đã loại bỏ thông tin nhận dạng cá nhân. Mỗi bên sẽ tuân thủ các yêu cầu đối với việc xử lý Dữ liệu đã loại bỏ thông tin nhận dạng cá nhân được nêu trong các Luật hiện hành của tiểu bang về quyền riêng tư, đối với mọi Dữ liệu đã loại bỏ thông tin nhận dạng cá nhân mà bên đó nhận được từ bên kia theo Chế độ cài đặt cách chia sẻ dữ liệu.
3.2 Nghĩa vụ của Google theo CCPA. Đối với Dữ liệu cá nhân của khách hàng được xử lý mà không bật chế độ Xử lý dữ liệu bị hạn chế theo Chế độ cài đặt cách chia sẻ dữ liệu, và trong phạm vi mà CCPA áp dụng cho việc xử lý Dữ liệu cá nhân của khách hàng:
- (a) Google sẽ xử lý Dữ liệu cá nhân của khách hàng đó theo Chế độ cài đặt cách chia sẻ dữ liệu, như được mô tả thêm trong Thoả thuận và tài liệu hỗ trợ (ví dụ: bài viết trong trung tâm trợ giúp) hoặc theo cách khác được phép theo CCPA, và các bên đồng ý rằng Khách hàng đang cung cấp Dữ liệu cá nhân của khách hàng như vậy cho Google theo các mục đích đó;
- (b) Google sẽ cho phép kiểm tra để xác minh xem Google có tuân thủ các nghĩa vụ của Google như nêu trong Phụ lục dành cho đơn vị kiểm soát theo Luật về quyền riêng tư của tiểu bang hay không. Cụ thể như sau:
- (i) Khách hàng có thể tiến hành kiểm tra để xác minh xem Google có tuân thủ các nghĩa vụ của Google như nêu trong Phụ lục dành cho đơn vị kiểm soát theo Luật về quyền riêng tư của tiểu bang hay không bằng cách yêu cầu và xem xét (1) chứng chỉ được cấp để xác minh vấn đề bảo mật, phản ánh kết quả của cuộc kiểm tra do kiểm tra viên bên thứ ba thực hiện (ví dụ: Giấy chứng nhận ISO/IEC 27001 hoặc giấy chứng nhận tương đương hoặc giấy chứng nhận bảo mật khác của một cuộc kiểm tra do kiểm tra viên bên thứ ba tiến hành mà Khách hàng và Google cùng đồng ý) trong vòng 12 tháng kể từ ngày Khách hàng yêu cầu và (2) mọi thông tin khác mà Google xác định là hợp lý, cần thiết để Khách hàng xác minh việc tuân thủ đó.
- (ii) Ngoài ra, theo quyết định riêng của mình và theo yêu cầu của Khách hàng, Google có thể giới thiệu một kiểm tra viên bên thứ ba để xác minh xem Google có tuân thủ các nghĩa vụ như nêu trong Phụ lục dành cho đơn vị kiểm soát theo Luật về quyền riêng tư của tiểu bang hay không. Trong quá trình kiểm tra đó, Google sẽ cung cấp cho kiểm tra viên bên thứ ba tất cả thông tin cần thiết để chứng minh sự tuân thủ đó. Khi Khách hàng yêu cầu tiến hành một cuộc kiểm tra như vậy, Google có thể tính phí kiểm tra (dựa trên chi phí hợp lý của Google). Google sẽ cung cấp cho Khách hàng thông tin chi tiết hơn về mọi khoản phí áp dụng và cơ sở tính toán trước khi tiến hành những cuộc kiểm tra nào như vậy. Khách hàng sẽ chịu trách nhiệm thanh toán mọi khoản phí mà kiểm toán viên bên thứ ba yêu cầu để tiến hành việc kiểm tra đó.
- (iii) Không có nội dung nào trong Phụ lục dành cho đơn vị kiểm soát theo Luật về quyền riêng tư của tiểu bang sẽ yêu cầu Google tiết lộ cho Khách hàng hoặc kiểm tra viên bên thứ ba của Khách hàng, hoặc cho phép Khách hàng hoặc kiểm tra viên bên thứ ba của Khách hàng truy cập vào:
- (1) dữ liệu của khách hàng nào khác của một Pháp nhân Google;
- (2) thông tin kế toán hoặc tài chính nội bộ của Pháp nhân Google;
- (3) bí mật thương mại của một Pháp nhân Google;
- (4) thông tin mà theo ý kiến hợp lý của Google, có thể: (A) xâm phạm tính bảo mật của các hệ thống hoặc cơ sở của Pháp nhân Google; hoặc (B) khiến một Pháp nhân Google vi phạm nghĩa vụ theo Luật hiện hành của tiểu bang về quyền riêng tư hoặc nghĩa vụ bảo mật và/hoặc quyền riêng tư của Pháp nhân này đối với Khách hàng hoặc một bên thứ ba; hoặc
- (5) thông tin mà Khách hàng hoặc kiểm tra viên bên thứ ba của Khách hàng mong muốn truy cập vì lý do nào khác ngoài lý do thực hiện nghĩa vụ của Khách hàng một cách thành thực theo các Luật hiện hành của tiểu bang về quyền riêng tư;
- (c) Google sẽ thông báo cho Khách hàng nếu Google xác định được rằng Google không còn đáp ứng các nghĩa vụ của mình theo CCPA nữa;
- (d) Nếu Khách hàng có lý do hợp lý để cho rằng Google đang xử lý Dữ liệu cá nhân của khách hàng theo cách trái phép, thì Khách hàng có quyền thông báo cho Google về việc đó thông qua các phương thức được mô tả tại privacy.google.com/businesses/processorsupport, và các bên sẽ cùng phối hợp một cách thành thực để khắc phục các hoạt động xử lý bị cáo buộc là vi phạm (nếu cần); và
- (e) Google sẽ tuân thủ các nghĩa vụ hiện hành theo CCPA và sẽ cung cấp cùng mức độ bảo vệ quyền riêng tư theo yêu cầu của CCPA.
4. Thay đổi đối với Phụ lục dành cho đơn vị kiểm soát theo Luật về quyền riêng tư của tiểu bang.
Ngoài Mục 9 trong các Điều khoản dành cho đơn vị kiểm soát (Thay đổi đối với các Điều khoản dành cho đơn vị kiểm soát này), Google có thể thay đổi Phụ lục dành cho đơn vị kiểm soát theo Luật về quyền riêng tư của tiểu bang mà không cần thông báo nếu thay đổi đó (a) là dựa trên luật hiện hành, quy định hiện hành, lệnh toà hoặc hướng dẫn do cơ quan quản lý hoặc cơ quan chính phủ ban hành hoặc (b) không có tác động bất lợi đáng kể đến Khách hàng theo Luật hiện hành của tiểu bang về quyền riêng tư, theo quyết định hợp lý của Google.
Ngày 1 tháng 1 năm 2023
