Mosaqo và GDPR

01

Bên kiểm soát, bên xử lý và không gian làm việc của bạn

Mosaqo do Andrii Petlovanyi vận hành — một hộ kinh doanh cá thể đăng ký tại Ukraine, có thể liên hệ qua hello@mosaqo.app. Ukraine nằm ngoài Khu vực Kinh tế châu Âu, và GDPR áp dụng ở đây vì Mosaqo cung cấp dịch vụ cho những người bên trong khu vực đó. Vai trò theo GDPR tùy thuộc vào loại dữ liệu, và chính sự phân biệt đó quyết định yêu cầu nên gửi cho ai.

Đối với tài khoản của chính bạn — danh tính đăng nhập, liên hệ thanh toán, tin nhắn hỗ trợ, bản ghi phiên bảo mật — Mosaqo là bên kiểm soát và trả lời yêu cầu trực tiếp.

Đối với những gì một không gian làm việc đưa vào mã của mình và thu thập qua đó — câu trả lời biểu mẫu, sự kiện quét, tệp tải lên — bên kiểm soát là không gian làm việc, còn Mosaqo là bên xử lý, hành động theo hướng dẫn được ghi lại. Nếu bạn đã quét mã QR của một doanh nghiệp và muốn xóa dữ liệu của mình, doanh nghiệp phát hành mã đó là bên quyết định. Mosaqo sẽ chuyển yêu cầu tới không gian làm việc ấy và hỗ trợ họ trả lời.

02

Cơ sở pháp lý để xử lý

Mọi việc sử dụng dữ liệu cá nhân đều cần một cơ sở pháp lý theo Điều 6. Mosaqo dựa vào bốn cơ sở, và không bao giờ viện dẫn lợi ích chính đáng ở nơi luật đòi hỏi sự đồng ý.

• Thực hiện hợp đồng — tạo tài khoản, lưu nội dung không gian làm việc, phục vụ chuyển hướng và tạo ra phần phân tích mà không gian làm việc đã bật.
• Lợi ích chính đáng — giữ dịch vụ an toàn, ngăn lạm dụng ở các điểm cuối không xác thực, và nhật ký vận hành cần thiết để chạy dịch vụ.
• Sự đồng ý — bản tin và mọi thứ khác bạn tự chọn tham gia. Có thể rút lại bất cứ lúc nào, và việc rút lại không khiến hoạt động xử lý trước đó trở nên trái luật.
• Nghĩa vụ pháp lý — những bản ghi mà quy định về thuế, kế toán hoặc thực thi pháp luật buộc phải lưu.

03

Quyền của bạn theo GDPR

Những quyền này là của bạn bất kể bạn có trả tiền cho Mosaqo hay không, và việc thực hiện chúng không mất phí.

• Truy cập — một bản sao dữ liệu cá nhân được lưu về bạn, và mục đích sử dụng chúng.
• Chỉnh sửa — sửa những gì không chính xác hoặc chưa đầy đủ.
• Xóa — gỡ bỏ dữ liệu của bạn khi không có lý do nào lớn hơn để giữ lại.
• Hạn chế — tạm dừng việc xử lý trong khi giải quyết tranh chấp về tính chính xác hoặc căn cứ.
• Chuyển giao — dữ liệu của bạn ở định dạng có cấu trúc, máy đọc được, hoặc gửi sang một nhà cung cấp khác.
• Phản đối — chấm dứt hoạt động xử lý dựa trên lợi ích chính đáng.
• Rút lại sự đồng ý — với mọi thứ bạn đã chọn tham gia, không cần nêu lý do.

04

Quyết định tự động và lập hồ sơ cá nhân

Mosaqo không đưa ra quyết định tự động nào về bạn tạo ra hệ quả pháp lý hoặc hệ quả tương tự đáng kể, nên quyền tại Điều 22 không phát sinh. Phân tích lượt quét đếm sự kiện và nhóm chúng theo thời gian, khu vực rộng và loại thiết bị. Nó không được xây dựng để nhận diện một người và không dùng để chấm điểm, xếp hạng hay lập hồ sơ về ai cả.

05

Gửi một yêu cầu

Hãy viết tới hello@mosaqo.app với tiêu đề “GDPR request” và cho biết bạn đang thực hiện quyền nào. Mosaqo có thể đề nghị bạn chứng minh quyền kiểm soát tài khoản hoặc hộp thư liên quan — không phải để cản trở yêu cầu, mà vì trao dữ liệu cá nhân cho nhầm người tự nó đã là một vi phạm.

Bạn sẽ có câu trả lời trong vòng một tháng, đúng như Điều 12 yêu cầu. Một yêu cầu phức tạp bất thường có thể cần thêm tối đa hai tháng nữa; khi đó lý do sẽ được nêu cho bạn ngay trong tháng đầu tiên.

06

Hợp đồng xử lý dữ liệu

Ở nơi không gian làm việc của bạn là bên kiểm soát và Mosaqo là bên xử lý, Điều 28 đòi hỏi một hợp đồng bằng văn bản giữa hai bên. Mosaqo cung cấp hợp đồng đó theo yêu cầu: gửi thư tới hello@mosaqo.app với tiêu đề “DPA” kèm tên pháp lý của pháp nhân sẽ ký.

07

Bên xử lý, chuyển dữ liệu và thời gian lưu

Mosaqo dùng một nhóm nhỏ nhà cung cấp để vận hành sản phẩm: lưu trữ ứng dụng và cơ sở dữ liệu, email giao dịch, lưu trữ đối tượng cho tệp tải lên, và các nhà cung cấp đăng nhập mà bạn chọn. Mỗi bên đều bị ràng buộc bởi hợp đồng xử lý và chỉ làm việc với dữ liệu cho phần dịch vụ của mình. Không bên nào nhận dữ liệu cá nhân cho mục đích riêng, và Mosaqo không bán dữ liệu cá nhân cũng không dùng chúng cho quảng cáo.

Một số nhà cung cấp trong đó hoạt động ngoài Khu vực Kinh tế châu Âu. Khi đó, việc chuyển dữ liệu dựa trên quyết định về mức bảo vệ tương xứng của Ủy ban châu Âu hoặc trên các điều khoản hợp đồng mẫu của Ủy ban.

Sự kiện quét bị xóa khi thời hạn lưu của không gian làm việc kết thúc, mặc định là 90 ngày. Dữ liệu tài khoản và không gian làm việc được giữ chừng nào tài khoản còn tồn tại và bị xóa khi tài khoản đóng, trừ khi nghĩa vụ pháp lý buộc phải giữ một bản sao lâu hơn.

08

Bảo mật, sự cố và khiếu nại

Dữ liệu được mã hóa khi truyền, quyền truy cập hệ thống sản xuất chỉ dành cho những người vận hành chúng, và các khóa bí mật được lưu tách khỏi dữ liệu ứng dụng.

Nếu xảy ra sự cố có khả năng đe dọa quyền của bạn, Mosaqo sẽ thông báo cho cơ quan giám sát có thẩm quyền trong vòng 72 giờ kể từ khi biết, và báo trực tiếp cho những người bị ảnh hưởng khi rủi ro với họ ở mức cao.

Nếu bạn không hài lòng với cách một yêu cầu được xử lý, bạn có thể khiếu nại lên cơ quan bảo vệ dữ liệu của quốc gia nơi bạn sống hoặc làm việc. Bạn không bắt buộc phải tìm đến Mosaqo trước, dù thường thì cách đó nhanh hơn.