Phụ lục: Danh sách Nhà cung cấp Bên thứ ba

Phụ lục này là một phần không tách rời của Điều Khoản Sử Dụng Dịch Vụ Trust AI và Chính sách Bảo vệ Dữ liệu Cá nhân.

Phần 1. Giới thiệu

Phụ lục này công bố danh sách các nhà cung cấp bên thứ ba mà Trust Soft sử dụng để vận hành nền tảng Trust AI, bao gồm:

• Nhà cung cấp hạ tầng điện toán đám mây và dịch vụ liên quan;
• Nhà cung cấp mô hình ngôn ngữ lớn (Large Language Models — LLM Providers);
• Nhà cung cấp dịch vụ giám sát, bảo mật và phân tích;
• Các đối tác kỹ thuật khác có tiếp xúc với dữ liệu trong quá trình vận hành dịch vụ.

1.1. Cách đọc Phụ lục

Mỗi nhà cung cấp được mô tả với các thông tin chính:

• Tên: tên thương mại và tên pháp nhân (nếu khác).
• Loại dịch vụ: vai trò của nhà cung cấp trong hệ sinh thái Trust AI.
• Vị trí xử lý dữ liệu: quốc gia/khu vực nơi máy chủ thực hiện xử lý — yếu tố quan trọng để đánh giá rủi ro chuyển dữ liệu xuyên biên giới.
• Loại dữ liệu được chia sẻ: phạm vi dữ liệu mà Trust Soft chuyển cho nhà cung cấp.
• Cơ sở pháp lý: hợp đồng xử lý dữ liệu (DPA), điều khoản tiêu chuẩn (SCC) hoặc cam kết tương đương.
• Đường dẫn chính sách: liên kết đến chính sách bảo mật của nhà cung cấp.

1.2. Cập nhật Phụ lục

• Trust Soft cập nhật Phụ lục khi có thay đổi nhà cung cấp;
• Thông báo cập nhật được gửi cho Quản trị viên các Tổ chức tối thiểu 30 ngày trước khi thay đổi có hiệu lực (theo Điều 14.2 Điều Khoản Sử Dụng);
• Phiên bản hiện hành luôn được công bố tại địa chỉ liên hệ chính thức của Trust Soft.

Phần 2. Nhà cung cấp Mô hình Ngôn ngữ Lớn (LLM)

Các mô hình ngôn ngữ lớn (LLM) thực hiện xử lý nội dung prompt và sinh phản hồi AI. Đây là các thành phần xử lý dữ liệu nội dung trực tiếp nhất và đòi hỏi mức độ minh bạch cao nhất.

2.1. FPT AI Factory (Việt Nam)

2.2. Microsoft Azure (Hoa Kỳ)

2.3. DeepSeek API (Trung Quốc)

2.4. Tổng hợp so sánh các nhà cung cấp LLM

Phần 3. Nhà cung cấp Hạ tầng Điện toán Đám mây

Trust AI ưu tiên triển khai trên hạ tầng đám mây có máy chủ đặt tại Việt Nam để đảm bảo chủ quyền dữ liệu và tuân thủ Luật An ninh mạng.

3.1. Hạ tầng chính

Ghi chú: Tên cụ thể của nhà cung cấp hạ tầng được công bố cho Tổ chức trong tài liệu kèm theo Hợp đồng Dịch vụ và có thể có yêu cầu bảo mật theo thỏa thuận song phương.

3.2. Dịch vụ phụ trợ

Phần 4. Nhà cung cấp Dịch vụ Giám sát và Bảo mật

Các dịch vụ này hỗ trợ Trust Soft phát hiện sự cố, đảm bảo hiệu năng và bảo vệ hệ thống. Các nhà cung cấp này KHÔNG xử lý nội dung của người dùng — chỉ xử lý log kỹ thuật và dữ liệu vận hành.

Phần 5. Đối tác Tích hợp Kênh ngoài

Khi Tổ chức kích hoạt các tính năng tích hợp với nền tảng bên ngoài, các nền tảng đó tham gia vào quá trình xử lý dữ liệu với vai trò riêng.

5.1. Zalo Official Account (Zalo OA)

5.2. Web Component (nhúng trên website của Tổ chức)

• Web Component được nhúng vào website của Tổ chức theo cấu hình của Tổ chức.
• Trust Soft cung cấp công nghệ; Tổ chức là chủ sở hữu website và là Bên Kiểm soát dữ liệu cá nhân của người dùng cuối truy cập website.
• Trust Soft xử lý các tin nhắn được gửi qua Web Component theo vai trò Bên Xử lý.
• Tổ chức chịu trách nhiệm: hiển thị thông báo bảo mật, cookie consent (nếu có), tuân thủ chính sách quyền riêng tư của website mình.

Phần 6. Cơ chế Kiểm soát và Đánh giá

6.1. Tiêu chí lựa chọn nhà cung cấp

Trust Soft áp dụng các tiêu chí sau khi lựa chọn nhà cung cấp bên thứ ba:

• Có chứng chỉ bảo mật quốc tế (ISO 27001, SOC 2, hoặc tương đương);
• Cam kết tuân thủ pháp luật Việt Nam, đặc biệt Nghị định 13/2023/NĐ-CP và Luật An ninh mạng;
• Có hợp đồng xử lý dữ liệu (DPA) hoặc cam kết tương đương được ký kết bằng văn bản;
• Có cam kết không sử dụng dữ liệu khách hàng để huấn luyện mô hình AI mà không có sự đồng ý;
• Có cơ chế thông báo sự cố bảo mật rõ ràng;
• Có chính sách quyền riêng tư công khai và đầy đủ.

6.2. Đánh giá định kỳ

• Trust Soft thực hiện đánh giá rủi ro các nhà cung cấp bên thứ ba tối thiểu mỗi 12 tháng.
• Đánh giá đột xuất khi có thay đổi đáng kể (chính sách của nhà cung cấp, sự cố bảo mật, thay đổi pháp luật).
• Kết quả đánh giá được lưu trữ và sẵn sàng cung cấp cho Tổ chức theo yêu cầu hợp lệ.

6.3. Quyền của Tổ chức

• Yêu cầu thông tin chi tiết về một nhà cung cấp cụ thể (chứng chỉ, DPA, vị trí lưu trữ).
• Yêu cầu loại trừ một nhà cung cấp khỏi quy trình xử lý dữ liệu của mình theo Điều 14.3 Điều Khoản Sử Dụng.
• Yêu cầu báo cáo định kỳ về danh sách nhà cung cấp đang tham gia xử lý dữ liệu của Tổ chức.
• Tham gia kiểm toán (audit) đối với hoạt động xử lý dữ liệu của Trust Soft, theo các điều khoản trong Hợp đồng Dịch vụ.

6.4. Đầu mối liên hệ