DPA (thỏa thuận xử lý dữ liệu)

Khi doanh nghiệp của bạn giao dữ liệu khách hàng cho một công ty khác, ví dụ dịch vụ đám mây, nền tảng gửi email, hay chatbot AI, thì Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15), có hiệu lực từ ngày 1/1/2026, yêu cầu phải có một hợp đồng bằng văn bản nói rõ công ty đó được làm gì với dữ liệu. Điều 2 định nghĩa bên xử lý là bên làm việc theo yêu cầu của bạn thông qua hợp đồng, còn Điều 37 buộc thỏa thuận phải nêu rõ trách nhiệm, quyền và nghĩa vụ của từng bên. Hợp đồng đó chính là thỏa thuận xử lý dữ liệu, hay DPA. Nó chốt những điều cốt lõi: bên xử lý chỉ làm theo chỉ dẫn của bạn, giữ dữ liệu an toàn, báo cho bạn khi có rò rỉ, và xóa dữ liệu khi hợp đồng kết thúc.

Phiên bản đời thường: một tiệm sửa ống nước nhỏ muốn trợ lý AI soạn tin nhắn trả lời có kèm tên và địa chỉ khách. Trên tài khoản cá nhân thường không có DPA, nên nếu khách hàng hay cơ quan chuyên trách thuộc Bộ Công an hỏi dữ liệu đó được bảo vệ ra sao, tiệm sẽ khó trả lời. Trên gói doanh nghiệp, các hãng như OpenAI, Anthropic và Google có sẵn DPA để bạn chấp nhận, nhiều khi chỉ cần một cú nhấp khi thiết lập.

Vậy quy tắc đơn giản và nhẹ nhàng là: dữ liệu khách hàng thật cộng với AI thường dẫn tới một gói doanh nghiệp có DPA. Công cụ chọn gói giúp bạn thấy gói nào phù hợp, và hãy xem trang trust hoặc pháp lý của nhà cung cấp để biết điều khoản DPA hiện hành.

Bạn gặp thuật ngữ này ở đâu

• Trang trust hoặc pháp lý của các hãng AI: OpenAI, Anthropic và Google đều công bố DPA của họ
• Phần cài đặt quản trị hoặc thanh toán của gói doanh nghiệp, nơi bạn chấp nhận DPA
• Danh sách kiểm tra nhà cung cấp của chính bạn, nếu doanh nghiệp đã làm theo chuẩn bảo vệ dữ liệu

Thuật ngữ liên quan

• Bên kiểm soát dữ liệu →
• GDPR →
• Gói doanh nghiệp (Enterprise) →
• Dữ liệu cá nhân →