Phụ lục xử lý dữ liệu

Tóm tắt dễ hiểu về vai trò xử lý dữ liệu của ResumeCaliper, các thỏa thuận Điều 28 với nhà cung cấp dịch vụ, và cách nhận tài liệu liên quan. Trang này bổ sung Chính sách quyền riêng tư; không thay thế hợp đồng nhà cung cấp đã ký.

Cập nhật lần cuối: 24 tháng 9 năm 2026 (phiên bản 2026-09-24). Khi trang này được dịch, nếu có nghi ngờ thì bản tiếng Anh được ưu tiên, trừ khi luật quốc gia của bạn yêu cầu khác.

1. Trang này dành cho ai

ResumeCaliper là sản phẩm chỉ dành cho ứng viên: cá nhân phân tích chính CV của họ so với mô tả công việc. Với việc xử lý đó, Arseniy Rusentsov (đơn vị vận hành, thành lập tại Spain) là bên kiểm soát theo GDPR. Người dùng cuối là chủ thể dữ liệu, không phải bên kiểm soát chỉ định ResumeCaliper làm bên xử lý CV của bên thứ ba.

ResumeCaliper không cung cấp sản phẩm xếp hạng cho nhà tuyển dụng/HR và không xử lý CV của người khác theo chỉ thị của khách hàng. DPA cổ điển khách hàng–bên xử lý (bên kiểm soát → ResumeCaliper là bên xử lý) vì vậy không áp dụng cho tài khoản ứng viên thông thường.

Trang này giải thích:

vai trò bên kiểm soát đối với người dùng;
rằng các nhà cung cấp xử lý dữ liệu cá nhân theo chỉ thị của đơn vị vận hành làm vậy theo thỏa thuận Điều 28 GDPR;
cách yêu cầu bản sao các biện pháp bảo vệ liên quan;
danh sách bên xử lý hiện hành nằm ở đâu.

2. Cam kết của bên kiểm soát với người dùng

Với tư cách bên kiểm soát, đơn vị vận hành xử lý dữ liệu tài khoản, phân tích và thanh toán như mô tả trong Chính sách quyền riêng tư, bao gồm:

căn cứ pháp lý và mục đích (hợp đồng, nghĩa vụ pháp lý, lợi ích hợp pháp, đồng ý khi nêu);
lưu giữ và xóa (gồm Quyền riêng tư & xuất/xóa dữ liệu trong ứng dụng);
biện pháp bảo mật tóm tắt ở Quyền riêng tư §10;
chuyển dữ liệu quốc tế với biện pháp bảo vệ ở Quyền riêng tư §8;
quyền theo Điều 15–22 và cách thực hiện.

Không gì trên trang này làm giảm các quyền đó hoặc nghĩa vụ của đơn vị vận hành theo GDPR hay LOPDGDD Tây Ban Nha.

3. Bên xử lý (Điều 28)

Đơn vị vận hành dùng nhà cung cấp dịch vụ xử lý dữ liệu cá nhân theo chỉ thị của bên kiểm soát. Với các quan hệ đó, đơn vị vận hành:

Chỉ dùng bên xử lý cung cấp bảo đảm đủ (Điều 28(1)).
Đảm bảo việc xử lý được điều chỉnh bằng hợp đồng hoặc hành vi pháp lý khác có nội dung Điều 28(3) (hoặc DPA chuẩn của nhà cung cấp đáp ứng các yêu cầu đó).
Vẫn chịu trách nhiệm với chủ thể dữ liệu về việc chọn và chỉ thị các bên xử lý đó.
Công bố danh sách hiện hành trên trang Bên xử lý phụ (khớp với Quyền riêng tư §7).

Trạng thái ký. Việc chấp nhận gói DPA / SCC click-through của từng nhà cung cấp trên bảng điều khiển nhà cung cấp, và lưu bằng chứng, là nhiệm vụ vận hành. Cho đến khi xác minh trong hồ sơ đơn vị vận hành, hãy coi trạng thái ký là đang chờ — xem thêm sổ đăng ký nhà cung cấp nội bộ. Cách diễn đạt chính sách công khai phải chính xác; đừng coi trang này là bằng chứng rằng một DPA cụ thể đã có trong hồ sơ.

4. Bên xử lý chính (tóm tắt)

Nhà cung cấp	Vai trò với ResumeCaliper	Dữ liệu điển hình
OpenAI	Bên xử lý (chấm điểm và tạo nội dung AI)	Văn bản CV đã ẩn danh, mô tả công việc, ghi chú, văn bản tạo ra
Google (Firebase Authentication)	Bên xử lý (tài khoản / đăng nhập)	E-mail, mật khẩu đã băm (tài khoản e-mail/mật khẩu), tên/ảnh khi cung cấp, ID người dùng, token
Contabo GmbH	Bên xử lý (hosting / lưu trữ)	Tệp ứng dụng, cơ sở dữ liệu và tệp chạy đã mã hóa
Cloudflare	Bên xử lý (edge / bảo mật; quốc gia cho bảng giá)	IP, siêu dữ liệu yêu cầu, mã quốc gia edge
Stripe	Bên xử lý cho siêu dữ liệu checkout; bên kiểm soát độc lập cho phương thức thanh toán / gian lận khi Stripe nêu vậy	E-mail, số tiền, tiền tệ, gói, ID phiên Stripe — số thẻ không bao giờ chạm ResumeCaliper
Google AdSense / phân tích tùy chọn	Chỉ sau đồng ý; nhà cung cấp quảng cáo hoặc phân tích theo điều khoản của họ	Định danh quảng cáo/phân tích — không bao giờ nội dung CV

Chi tiết đầy đủ, vị trí và công cụ chuyển: Chính sách quyền riêng tư §7–8 và Bên xử lý phụ.

5. Chuyển dữ liệu quốc tế

Khi bên xử lý xử lý ngoài EEA, đơn vị vận hành dựa vào quyết định tương đương của EU (ví dụ Khung bảo vệ dữ liệu EU–Hoa Kỳ khi nhà cung cấp được chứng nhận) hoặc Điều khoản hợp đồng tiêu chuẩn cộng biện pháp bổ sung, như nêu trong Chính sách quyền riêng tư. Bạn có thể yêu cầu thông tin về biện pháp bảo vệ liên quan tại [email protected].

6. Yêu cầu tài liệu

Viết tới [email protected] (hoặc dùng Liên hệ) để:

thực hiện quyền GDPR;
yêu cầu tóm tắt thỏa thuận bên xử lý áp dụng cho dữ liệu của bạn;
hỏi liệu DPA / SCC của nhà cung cấp được nêu tên đã được chấp nhận chưa (theo bảo mật và điều khoản nhà cung cấp).

Đơn vị vận hành phản hồi trong thời hạn GDPR (thường một tháng).

7. Thay đổi

Khi bên xử lý thay đổi đáng kể, trang Bên xử lý phụ và Chính sách quyền riêng tư được cập nhật. Ngày phiên bản ở đầu trang này được cập nhật khi Phụ lục này thay đổi.

8. Tài liệu liên quan

Arseniy Rusentsov — Placa Catalana 1, 1-4, 08032 Barcelona, Spain — NIF Z0402379E — [email protected] — Liên hệ.