Truyền tiếp dữ liệu cá nhân

Để cung cấp dịch vụ cho bạn một cách hiệu quả, dữ liệu cá nhân mà bạn cung cấp cho pháp nhân Shopify mà bạn ký hợp đồng sẽ được truyền đến các bên nhận sau:

• một số pháp nhân khác của Shopify và
• các bên xử lý phụ đáng tin cậy được lựa chọn cẩn thận

Phần này cung cấp thông tin về cách quản lý hoạt động truyền tiếp dữ liệu.

Truyền tiếp dữ liệu cá nhân từ Khu vực Kinh tế châu Âu (EEA) và Vương quốc Anh (UK)

Shopify International Limited, một pháp nhân đăng ký tại Ireland, là pháp nhân ký hợp đồng chính của Shopify với các thương nhân ở khu vực EMEA (Châu Âu, Trung Đông và Châu Phi) và LATAM (Mỹ Latinh). International Limited cũng đóng vai trò là cơ sở chính của Shopify cho các mục đích của Quy định bảo vệ dữ liệu chung (GDPR).

GDPR và quy định tương đương của Vương quốc Anh yêu cầu rằng khi chia sẻ dữ liệu cá nhân với một pháp nhân bên ngoài EEA và Vương quốc Anh, phải có mức độ bảo vệ tương đương cơ bản ở quốc gia điểm đến. Vì lý do này, hoạt động truyền dữ liệu quốc tế như vậy phải được bảo vệ bằng các cơ chế pháp lý mạnh mẽ.

Cách Shopify đáp ứng yêu cầu của GDPR về truyền dữ liệu quốc tế

Để đáp ứng yêu cầu này, Shopify dựa vào quyết định về tính đầy đủ của Ủy ban Châu Âu đối với Canada khi Shopify International Limited truyền dữ liệu cá nhân cho công ty mẹ đăng ký tại Canada là Shopify Inc. Tìm hiểu thêm về các quyết định về tính đầy đủ.

Ngoài ra, Shopify cũng sử dụng các thỏa thuận xử lý và truyền dữ liệu (DPA) toàn diện tích hợp phiên bản mới nhất của Điều khoản hợp đồng tiêu chuẩn (SCC) do Ủy ban Châu Âu phê duyệt để điều chỉnh:

• mọi hoạt động truyền dữ liệu trong tập đoàn Shopify và
• hoạt động truyền tiếp dữ liệu đến các bên xử lý phụ của chúng tôi

Chúng tôi đánh giá cẩn thận các bên xử lý phụ để đảm bảo họ có các biện pháp kỹ thuật và tổ chức phù hợp nhằm bảo vệ dữ liệu cá nhân, đồng thời thực hiện các đánh giá tác động truyền dữ liệu phù hợp. Tìm hiểu thêm về SCC

Cả quyết định về tính đầy đủ và SCC đều được các cơ quan bảo vệ dữ liệu tại EEA và Vương quốc Anh coi là cơ chế truyền dữ liệu hợp lệ và đáp ứng đủ tính pháp lý.

Là một biện pháp bổ sung, Shopify cũng đã đăng ký Quy tắc Ràng buộc Của Công ty để quản lý thêm hoạt động truyền dữ liệu trong tập đoàn Shopify. Đơn đăng ký đó đã được nộp cho cơ quan giám sát chính của Shopify đối với các mục đích GDPR là Ủy ban bảo vệ dữ liệu Ireland. Đây sẽ là một cơ chế truyền dữ liệu hợp pháp bổ sung để bảo đảm cho hoạt động truyền dữ liệu trong nhóm các công ty của chúng tôi. Chúng tôi đang ở giai đoạn cuối của quá trình đăng ký này và dự kiến quy tắc sẽ sớm được phê duyệt.

Truyền tiếp dữ liệu cá nhân từ tất cả các khu vực khác

Một số luật quyền riêng tư tại các khu vực tài phán khác ngoài EEA và Vương quốc Anh cũng yêu cầu các biện pháp bảo vệ cụ thể khi truyền dữ liệu cá nhân ra quốc tế. Để đáp ứng các yêu cầu này, các DPA của Shopify quản lý hoạt động truyền dữ liệu trong tập đoàn Shopify và các DPA quản lý hoạt động truyền tiếp dữ liệu cho các bên xử lý phụ của chúng tôi đều bao gồm các biện pháp bảo vệ phù hợp để đảm bảo tuân thủ luật quyền riêng tư tại Canada, Hoa Kỳ (Mỹ) và Singapore khi có thể áp dụng. Chúng tôi cũng cập nhật và duy trì các DPA này theo yêu cầu.

Vị trí lưu trữ dữ liệu

Shopify tự động cân bằng lại khả năng lưu trữ giữa nhiều khu vực của Google Cloud Platform để đảm bảo cung cấp hạ tầng có thể mở rộng và đáng tin cậy, có thể xử lý lượng dữ liệu khó dự đoán trên toàn bộ cơ sở dữ liệu thương nhân. Chúng tôi cần có khả năng di chuyển dữ liệu về mặt địa lý để vận hành dịch vụ, đồng thời chúng tôi có sẵn các cơ chế để thực hiện điều đó theo đúng quy định và luật pháp hiện hành, bao gồm cả GDPR.

Shopify hiện lưu trữ một số dữ liệu cá nhân nhất định của thương nhân và khách hàng ở châu Âu (cụ thể là EEA, Vương quốc Anh và/hoặc Thụy Sĩ) như sau:

• Các thương nhân mới ở châu Âu sẽ tự động sử dụng hạ tầng mới này, đồng thời dữ liệu cửa hàng, dữ liệu đơn hàng và dữ liệu cá nhân của khách hàng sẽ được lưu trữ cục bộ tại châu Âu theo mặc định.
• Tất cả các tính năng hiện tại của Shopify sẽ tiếp tục hoạt động.
• Ngay cả khi dữ liệu cá nhân của khách hàng của thương nhân được lưu trữ ở châu Âu, chúng tôi vẫn sẽ dựa vào hoạt động truyền dữ liệu quốc tế để xử lý dữ liệu cá nhân đó.

Cách Shopify chọn các Bên xử lý phụ

Theo GDPR và các luật bảo vệ dữ liệu hiện hành khác, Shopify áp dụng một loạt các biện pháp thực hành tốt nhất khi chọn bên xử lý phụ:

• Chúng tôi lựa chọn cẩn thận các công ty mà mình hợp tác.
• Chúng tôi chỉ sử dụng số lượng hạn chế các nhà cung cấp dịch vụ bên thứ ba.
• Chúng tôi yêu cầu các bên xử lý phụ ký một thỏa thuận DPA toàn diện, kết hợp các điều khoản SCC ngoài các biện pháp bảo vệ phù hợp để đảm bảo tuân thủ luật quyền riêng tư tại Canada, Hoa Kỳ và Singapore.
• Chúng tôi giới hạn việc sử dụng các bên xử lý phụ cho các dịch vụ kỹ thuật: lưu trữ đám mây, ghi nhật ký lỗi, cân bằng tải, phân phối nội dung, phân phối bản đồ, phân tích dữ liệu và ghi nhật ký nội bộ (tệp nhật ký).
• Việc chuyển dữ liệu diễn ra liên tục và an toàn.
• Không có dữ liệu cá nhân nhạy cảm hoặc thuộc danh mục đặc biệt nào được cố ý xử lý, trừ khi có chỉ đạo của bên kiểm soát.
• Chúng tôi xem xét cẩn thận các chương trình quyền riêng tư và bảo mật của các bên xử lý phụ.

Tìm hiểu thêm về các bên xử lý phụ cốt lõi của Shopify.