Bên xử lý phụ

Tài liệu này được công bố bằng nhiều ngôn ngữ. Nếu có bất kỳ khác biệt nào giữa các phiên bản ngôn ngữ, phiên bản tiếng Ba Lan có giá trị ràng buộc.

Phiên bản 1.1 · Cập nhật lần cuối: ngày 22 tháng 10 năm 2026

Những bên thứ ba nhận dữ liệu tại formexposed, cho mục đích gì, ở đâu và trên cơ sở nào. Danh sách này là một phần của Thỏa thuận xử lý dữ liệu dưới dạng Phụ lục 3. Bên xử lý phụ được chấp thuận theo nghĩa của thỏa thuận đó chỉ là những bên được liệt kê tại phần 2; phần 3 đến 6 cung cấp thông tin về các người nhận khác và không cấu thành chấp thuận.

1. Câu trả lời ngắn gọn

Chúng tôi tự vận hành máy chủ, cơ sở dữ liệu và năng lực tính toán, bao gồm cho mô hình ngôn ngữ, tại Ba Lan. Không có nhà cung cấp dịch vụ lưu trữ, đám mây hoặc AI tham gia. Bên xử lý phụ theo nghĩa của Điều 28(2) và (4) GDPR, tức bên thứ ba xử lý dữ liệu của Khách hàng thay mặt chúng tôi, chỉ tồn tại cho một nhiệm vụ: e-mail.

Ngoài ra, có những người nhận không phải bên xử lý phụ. Tuy vậy, chúng tôi vẫn liệt kê tại đây, phân theo lý do, để bức tranh được đầy đủ:

• người nhận xử lý dữ liệu với tư cách bên kiểm soát độc lập (phần 3),
• người nhận do Khách hàng lựa chọn khi yêu cầu gửi cảnh báo tới đó (phần 4),
• truy vấn tới bên thứ ba không chứa dữ liệu cá nhân (phần 5).

2. Bên xử lý phụ

Người nhận và trụ sở đăng ký	Mục đích	Dữ liệu	Nơi xử lý	Cơ sở chuyển dữ liệu
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Gửi e-mail của dịch vụ (xác nhận, cảnh báo, báo cáo, báo cáo hằng tháng cho người đăng ký cổng khách hàng); hộp thư kiểm tra giao thư	Địa chỉ e-mail người nhận, chủ đề và nội dung e-mail. Trong hộp thư kiểm tra giao thư: bản sao e-mail từ biểu mẫu của website Khách hàng cùng mọi thứ khách truy cập nhập tại đó, cho đến khi chúng tôi xử lý	Vẫn cần xác minh	Thỏa thuận xử lý dữ liệu của nhà cung cấp; dữ liệu có được chuyển sang nước thứ ba hay không và trên cơ sở nào vẫn cần xác minh, xem phần 7
Namecheap, Inc., Phoenix, Arizona, USA	Đăng ký tên miền, DNS; cho đến khi hộp thư tại Namecheap, Inc. (Private Email), Phoenix, Arizona, USA được thiết lập, chuyển tiếp e-mail thông thường gửi tới các địa chỉ thuộc tên miền chúng tôi. Bản sao kiểm soát của kiểm tra giao thư không đi qua Namecheap; chúng đến thẳng hộp thư	Dữ liệu tên miền; đối với chuyển tiếp, nội dung và tiêu đề e-mail thông thường gửi cho chúng tôi, không có bản sao e-mail biểu mẫu	Hoa Kỳ, cần xác minh	Phụ lục xử lý dữ liệu của Namecheap; điều khoản hợp đồng tiêu chuẩn hoặc Khuôn khổ bảo vệ dữ liệu – cần xác minh, xem phần 7

Dữ liệu được xử lý thay mặt Khách hàng có đến các người nhận này hay không phụ thuộc vào cài đặt của họ: không có kiểm tra giao thư thì không có e-mail biểu mẫu được gửi tới đó; không có cổng khách hàng thì không có e-mail gửi tới người đăng ký cổng. Chúng tôi cung cấp đầu mối liên hệ về bảo vệ dữ liệu của từng bên xử lý phụ theo yêu cầu.

Không tham gia: Không có bên thứ ba tham gia kiểm tra, ảnh chụp màn hình, thông tin đăng nhập để quét sau khi đăng nhập, hành trình trình duyệt hoặc “Fix it for me”. Mô hình ngôn ngữ chạy trên máy chủ riêng của chúng tôi. Chúng tôi xác định quốc gia của địa chỉ IP từ tệp cơ sở dữ liệu cục bộ; không có địa chỉ nào gửi tới dịch vụ định vị địa lý. Nhà cung cấp dịch vụ internet chỉ truyền lưu lượng, phần lớn được mã hóa, và không phải bên xử lý phụ.

3. Người nhận với tư cách bên kiểm soát độc lập

Người nhận và trụ sở đăng ký	Mục đích	Dữ liệu	Địa điểm	Cơ sở
Stripe Payments Europe, Ltd., Dublin, Ireland; đối với chuyển sang Hoa Kỳ, Stripe, Inc.	Xử lý thanh toán và hóa đơn cho tài khoản khách hàng	Địa chỉ e-mail, tên, địa chỉ thanh toán, mã số VAT, thông tin thanh toán (chỉ nhập tại Stripe, không bao giờ đến chúng tôi); phía chúng tôi chỉ có ID khách hàng, ID đăng ký và trạng thái	EU / Hoa Kỳ	Đối với dữ liệu thanh toán, Stripe phần lớn hoạt động với tư cách bên kiểm soát độc lập; việc phân định vai trò chính xác cần xác minh. Chuyển sang Hoa Kỳ: Khuôn khổ bảo vệ dữ liệu hoặc điều khoản hợp đồng tiêu chuẩn – cần xác minh
Google Ireland Limited, Dublin, Ireland; Google LLC, USA	Chống bot (reCAPTCHA) trên biểu mẫu riêng của chúng tôi: đăng ký, đăng nhập, mật khẩu, kiểm tra miễn phí, công cụ tiêu đề, từ chối tham gia, hỗ trợ và liên hệ	Địa chỉ IP, dữ liệu trình duyệt và thiết bị, hành vi trên trang, cookie Google. Tập lệnh chỉ được tải khi gửi. Tập lệnh không chạy trên website của Khách hàng	EU / Hoa Kỳ	Điều khoản của Google; Khuôn khổ bảo vệ dữ liệu hoặc điều khoản hợp đồng tiêu chuẩn – cần xác minh

Các người nhận này liên quan đến việc xử lý riêng của chúng tôi, không phải dữ liệu được xử lý thay mặt khách hàng. Chi tiết có trong Chính sách quyền riêng tư.

4. Người nhận do Khách hàng lựa chọn

Cảnh báo và bản tổng hợp được gửi tới nơi Khách hàng muốn: qua e-mail (thông qua nhà cung cấp dịch vụ thư tại phần 2), tới địa chỉ webhook hoặc dịch vụ trò chuyện. Các lựa chọn hiện tại là:

• Slack, Discord, Microsoft Teams và Google Chat qua địa chỉ mà Khách hàng tạo trong tài khoản của mình tại dịch vụ đó;
• Telegram: đích do Khách hàng lựa chọn; chúng tôi gửi thông điệp qua bot của mình sau khi chính người nhận đã liên kết cuộc trò chuyện với bot;
• webhook tới bất kỳ địa chỉ HTTPS công khai nào trên cổng tiêu chuẩn, có chữ ký theo yêu cầu.

Dữ liệu: tên miền, sự kiện, thời điểm và liên kết vào dịch vụ, đối với cảnh báo về một lần kiểm tra là liên kết tới báo cáo có thể đọc qua liên kết đó mà không cần đăng nhập; đối với webhook, cùng những thông tin này ở dạng máy có thể đọc. Không có nội dung e-mail biểu mẫu; cảnh báo từ kiểm tra giao thư có thể nêu tên miền e-mail người gửi nếu tên miền đó không thuộc website.

Vai trò: Slack, Discord, Microsoft Teams, Google Chat và người nhận webhook không phải bên xử lý phụ của chúng tôi. Việc chuyển chỉ diễn ra vì Khách hàng thiết lập đích; đó là chỉ dẫn của Khách hàng. Đối với Slack, Discord, Microsoft Teams, Google Chat và webhook, quan hệ hợp đồng với nhà cung cấp tương ứng và mọi cơ sở cần thiết để chuyển sang nước thứ ba thuộc về Khách hàng. Đối với Telegram, chúng tôi gửi thông điệp qua bot riêng; tại đây việc chọn đích cũng là chỉ dẫn rõ ràng của Khách hàng để chuyển cảnh báo tới đó. Telegram có phải bên xử lý phụ của chúng tôi trong khía cạnh này hay không và việc chuyển diễn ra trên cơ sở nào vẫn chưa được xác định dứt điểm và đang được luật sư của chúng tôi rà soát. Nếu Telegram là bên xử lý phụ, việc Khách hàng chọn đích này được coi là chấp thuận cụ thể của Khách hàng theo Điều 28(2) GDPR cho mục đích này. Một số nhà cung cấp này xử lý dữ liệu tại Hoa Kỳ; Telegram có cơ sở ngoài EU tại quốc gia không có quyết định về mức độ bảo vệ đầy đủ, và cơ sở theo Chương V GDPR để chuyển dữ liệu tới Telegram vẫn chưa được xác định dứt điểm. Người không muốn điều này chọn e-mail hoặc đích khác.

5. Truy vấn không chứa dữ liệu cá nhân

Một số chức năng truy vấn bên thứ ba. Chỉ tên miền, địa chỉ máy chủ, giá trị tổng kiểm tra hoặc số phiên bản được gửi đi, không có thông tin về Khách hàng hoặc khách truy cập. Vì vậy, các bên thứ ba này không phải bên xử lý phụ.

Người nhận	Mục đích	Những gì được gửi đi
Dịch vụ RDAP của các tổ chức quản lý tên miền, được tìm qua danh mục IANA; để kiểm tra tuổi tên miền trong kiểm tra miễn phí, qua dịch vụ trung chuyển rdap.org	Tuổi và thời hạn hết hạn của tên miền	chỉ tên miền
WPVulnerability (wpvulnerability.net)	Lỗ hổng bảo mật đã biết trong WordPress, các tiện ích và giao diện WordPress	chỉ mã định danh tiện ích hoặc giao diện, hoặc số phiên bản WordPress
Trang trạng thái của nhà cung cấp mà Khách hàng sử dụng (chẳng hạn dịch vụ CAPTCHA và thư điện tử)	Thông báo sự cố ngừng hoạt động tại các nhà cung cấp này	không có gì ngoài chính yêu cầu
Tổ chức cấp dấu thời gian Certum (Asseco Data Systems S.A., Poland), thay thế là DigiCert, Inc. (USA)	Dấu thời gian cho nhật ký bằng chứng	chỉ giá trị tổng kiểm tra (SHA-512) của nhật ký, không phải nội dung
Danh sách chặn DNS đối với thư rác: SpamCop, PSBL, Mailspike và SURBL (Spamhaus chỉ khi có quyền truy cập riêng)	Kiểm tra máy chủ thư hoặc tên miền của Khách hàng có trong danh sách hay không	tên miền và địa chỉ IP máy chủ (máy chủ thư, máy chủ web), không có dữ liệu cá nhân của khách truy cập
Google Web Risk, chỉ khi được thiết lập	Kiểm tra trang chủ của Khách hàng có bị đưa vào danh sách do phần mềm độc hại hoặc lừa đảo hay không	chỉ địa chỉ trang chủ
Telegram, thông báo vận hành	Tín hiệu tới đơn vị vận hành khi ngừng hoạt động và có yêu cầu hỗ trợ mới	văn bản cố định không có người gửi, nội dung hoặc địa chỉ
Tổ chức cấp chứng chỉ TLS	Cấp chứng chỉ cho các tên miền của chúng tôi	chỉ tên miền riêng của chúng tôi

6. Đã chuẩn bị, hiện chưa sử dụng

Dịch vụ có thể cho xác nhận bổ sung các kiểm tra trình duyệt và yêu cầu biểu mẫu từ một địa điểm thứ hai độc lập. Điểm kiểm tra này hiện chưa được thiết lập. Nếu sau này bên thứ ba vận hành điểm đó, bên này là bên xử lý phụ và sẽ được thông báo trước theo phần 8. Bên đó sẽ nhận tên miền, cấu hình hành trình trình duyệt đã được làm sạch và ID tác vụ, nhưng không nhận thông tin đăng nhập hoặc thông tin từ khách truy cập.

7. Những gì còn mở

Danh sách này là bản nháp trước khi ra mắt. Chúng tôi nêu rõ những gì chưa được giải quyết:

• Nhà cung cấp dịch vụ thư: dự kiến là Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Nhà cung cấp xử lý dữ liệu ở đâu và trên cơ sở nào dữ liệu có thể được chuyển sang nước thứ ba vẫn cần xác minh. Việc thỏa thuận xử lý dữ liệu của nhà cung cấp đã được chấp nhận cho việc sử dụng này hay chưa, hộp thư thực tế đặt ở đâu, nhà cung cấp sử dụng những bên xử lý phụ tiếp theo nào và mô-đun nào của các điều khoản hợp đồng tiêu chuẩn áp dụng vẫn cần được ghi nhận. Chỉ riêng Phụ lục xử lý dữ liệu công khai không chứng minh hợp đồng đã được giao kết. Cho đến khi có ghi nhận, không có dữ liệu được xử lý thay mặt khách hàng nào được gửi đi qua nhà cung cấp này; vì vậy, việc này phải được giải quyết trước khi ra mắt.
• Khuôn khổ bảo vệ dữ liệu: Đối với phiên bản này, chúng tôi chưa kiểm tra liệu Namecheap, Stripe và Google có được chứng nhận theo Khuôn khổ bảo vệ dữ liệu EU–Hoa Kỳ cho các dịch vụ liên quan hay không. Vì vậy, chúng tôi không tuyên bố điều đó; khi thiếu chứng nhận, các điều khoản hợp đồng tiêu chuẩn được áp dụng.
• Vai trò của Stripe đối với từng loại dữ liệu.
• Cảnh báo Telegram: cơ sở chuyển dữ liệu khi Khách hàng chọn Telegram làm đích và chúng tôi gửi thông điệp qua bot của mình.

8. Thay đổi danh sách này

Chúng tôi thuê bên xử lý phụ dựa trên chấp thuận chung trong Thỏa thuận xử lý dữ liệu. Trước khi bên xử lý phụ mới bắt đầu xử lý hoặc bên hiện tại được thay thế, chúng tôi thông báo cho Khách hàng trước ít nhất 30 ngày qua e-mail tới địa chỉ chủ tài khoản và công bố thay đổi trên trang này cùng tổng quan Thay đổi tài liệu hợp đồng. Thông báo nêu người nhận, trụ sở đăng ký, mục đích, dữ liệu, địa điểm và cơ sở chuyển dữ liệu.

Trong thời hạn này, Khách hàng có thể phản đối bằng hình thức văn bản vì lý do bảo vệ dữ liệu hợp lý. Cho đến khi tìm được giải pháp, chúng tôi không sử dụng bên xử lý phụ mới cho dữ liệu được xử lý thay mặt Khách hàng hoặc tạm dừng chức năng bị ảnh hưởng cho Khách hàng. Nếu không thể tìm được giải pháp, Khách hàng có thể chấm dứt hợp đồng dịch vụ hoặc phần dịch vụ bị ảnh hưởng; chúng tôi hoàn lại theo tỷ lệ mọi khoản phí đã thanh toán trước cho thời gian sau khi chấm dứt. Chi tiết được nêu trong Thỏa thuận xử lý dữ liệu. Chúng tôi chịu trách nhiệm với Khách hàng về bên xử lý phụ như về hành vi của chính mình.

Chúng tôi công bố những thay đổi ở phần 3 đến 5 không liên quan đến bên xử lý phụ tại đây với số phiên bản mới, không thông báo trước.

9. Trạng thái và phiên bản

• Phiên bản 1.1 · Cập nhật lần cuối: ngày 22 tháng 10 năm 2026 · trong trường hợp có khác biệt giữa các phiên bản ngôn ngữ, bản tiếng Ba Lan được ưu tiên thay cho bản tiếng Đức; không có thay đổi nào khác.
• Phiên bản 1.0 · Cập nhật lần cuối: ngày 11 tháng 10 năm 2026 · phiên bản đầu tiên dưới dạng trang riêng; trước đây là Phụ lục 3 của Thỏa thuận xử lý dữ liệu. Nội dung mới: phân biệt bên xử lý phụ, người nhận với tư cách bên kiểm soát độc lập, đích do Khách hàng lựa chọn và truy vấn không chứa dữ liệu cá nhân; nêu rõ các điểm còn mở.
• Trong trường hợp có khác biệt giữa các phiên bản ngôn ngữ, bản tiếng Ba Lan được ưu tiên áp dụng.