Biện pháp bảo mật dành cho nhà cung cấp

Các Biện pháp bảo mật dành cho nhà cung cấp này áp dụng cho Nhà cung cấp khi Nhà cung cấp cung cấp hàng hóa, dịch vụ hoặc phần mềm cho OpenAI và được đưa vào thỏa thuận hiện hành giữa Nhà cung cấp và OpenAI (“Thỏa thuận”). Những thuật ngữ nào được sử dụng ở đây nhưng không có định nghĩa ở đây thì đều được định nghĩa trong Thỏa thuận.

Nhà cung cấp sẽ duy trì và điều hành một Chương trình bảo mật thông tin và tiến hành xem xét chương trình ít nhất hằng năm hoặc sớm hơn nếu có Sự cố bảo mật hoặc thay đổi đáng kể về luật hiện hành. Việc giám sát Chương trình bảo mật thông tin sẽ được giao cho nhân sự cấp cao có trình độ phù hợp. 

Để đáp ứng các nghĩa vụ về bảo mật và quyền riêng tư theo Thỏa thuận, Chương trình bảo mật thông tin của Nhà cung cấp sẽ bao gồm những nội dung sau:

• Duy trì các chính sách bảo mật thông tin và chính sách quyền riêng tư bằng văn bản phù hợp với Chương trình bảo mật thông tin và tất cả các Luật Bảo vệ Dữ liệu hiện hành. 
• Truyền đạt các chính sách này và Quy tắc ứng xử của Nhà cung cấp tới tất cả nhân viên liên quan và yêu cầu xác nhận chính thức.
• Giám sát việc tuân thủ và khắc phục tình trạng không tuân thủ thông qua các quy trình được lập thành văn bản; các hành vi vi phạm chính sách sẽ được giải quyết bằng hành động kỷ luật thích hợp.

• Duy trì và điều hành một chương trình quản lý rủi ro bao gồm đánh giá rủi ro thường xuyên và các biện pháp kiểm soát để xác định, phân tích, giám sát, báo cáo và thực hiện hành động khắc phục.
• Ít nhất mỗi năm một lần, hãy thực hiện đánh giá rủi ro (nội bộ hoặc thông qua các nguồn lực độc lập theo hợp đồng) để xác định các rủi ro đối với Dữ liệu OpenAI, rủi ro đối với tài sản kinh doanh của Nhà cung cấp (ví dụ: cơ sở hạ tầng kỹ thuật), các mối đe dọa đối với các yếu tố đó (cả nội bộ và bên ngoài), khả năng xảy ra các mối đe dọa đó và tác động đến tổ chức.
• Phân loại các mối rủi ro bảo mật đối với OpenAI Data và thiết lập mức độ ưu tiên cho các biện pháp khắc phục.

• Duy trì và thực hiện các thông lệ theo tiêu chuẩn ngành về thẩm tra, đào tạo và quản lý nhân sự.
• Tiến hành kiểm tra lý lịch trước khi tuyển dụng, trong phạm vi được pháp luật cho phép tại khu vực tài phán của mỗi người lao động, đối với tất cả nhân sự sẽ truy cập Dữ liệu OpenAI hoặc hỗ trợ việc thực hiện công việc của Nhà cung cấp.
• Tiến hành đào tạo hằng năm về bảo mật và quyền riêng tư cho Nhân sự của Nhà cung cấp và đào tạo bảo mật bổ sung khi cần thiết.
• Yêu cầu Nhân sự của Nhà cung cấp ký kết thỏa thuận bảo mật hoặc đảm bảo rằng Nhân sự của Nhà cung cấp phải tuân thủ các nghĩa vụ bảo mật phù hợp với các nghĩa vụ mà Nhà cung cấp phải tuân thủ liên quan đến việc thực hiện công việc cho OpenAI, như một điều kiện để được tuyển dụng hoặc thuê và tuân thủ các chính sách về bảo vệ dữ liệu của khách hàng và dữ liệu của các bên thứ ba khác.
• Xác minh danh tính của nhân viên và nhân viên thời vụ.
• Không tuyển dụng hoặc tìm nguồn Nhân sự của Nhà cung cấp tại bất kỳ quốc gia hoặc vùng lãnh thổ nào: (a) được Văn phòng Kiểm soát Tài sản Nước ngoài Hoa Kỳ (OFAC) xác định là bị áp đặt các biện pháp trừng phạt toàn diện; (b) thuộc diện khuyến cáo Cấp độ 4/Không đi lại của Bộ Ngoại giao Hoa Kỳ; hoặc (c) tại các khu vực đang xảy ra xung đột vũ trang.
• Cho phép OpenAI thực hiện các cuộc kiểm tra an ninh đột xuất đối với Nhân sự của Nhà cung cấp và nhanh chóng chia sẻ bất kỳ thông tin nào mà OpenAI yêu cầu một cách hợp lý để hỗ trợ các cuộc kiểm tra này.
• OpenAI có thể tiến hành kiểm tra an ninh bổ sung đối với Nhân sự của Nhà cung cấp làm việc từ xa, miễn là việc làm đó của OpenAI không hạn chế hoặc loại trừ nghĩa vụ của Nhà cung cấp trong việc tiến hành quy trình kiểm tra lý lịch và xác minh danh tính của riêng mình theo các Biện pháp bảo mật hoặc Thỏa thuận này.

Nhà cung cấp sẽ bảo mật tất cả máy tính xách tay, thiết bị di động, máy chủ tại cơ sở và phần cứng khác mà công ty sử dụng để xử lý Dữ liệu OpenAI bằng cách:

• Quản lý tập trung mọi điểm cuối và máy chủ, bao gồm cơ sở hạ tầng tại cơ sở, thông qua nền tảng quản lý điểm cuối đã được phê duyệt.
• Tự động thực thi các cấu hình bảo mật cơ bản và các bản vá kịp thời trên hệ điều hành, ứng dụng và chương trình cơ sở trên các máy trạm và máy chủ.
• Yêu cầu mã hóa khi lưu trữ: mã hóa toàn bộ ổ đĩa trên máy tính xách tay và máy trạm, và mã hóa cấp độ ổ đĩa hoặc khu vực lưu trữ trên máy chủ và thiết bị lưu trữ.
• Vô hiệu hóa hoặc kiểm soát chặt chẽ các phương tiện di động và có thể tháo rời trên tất cả các tài sản.

• Duy trì và thực hiện các thông lệ theo tiêu chuẩn ngành về kiểm soát danh tính, xác thực và quản lý truy cập.
• Lập tài liệu chính sách và thủ tục quản lý quyền truy cập đối với Nhân sự của Nhà cung cấp và các tài khoản dịch vụ.
• Duy trì danh sách chính xác và cập nhật về tất cả Nhân sự của Nhà cung cấp có quyền truy cập Hệ thống. 
• Vô hiệu hóa hoặc thu hồi thông tin đăng nhập trong vòng một ngày làm việc kể từ ngày chuyển giao hoặc chấm dứt.
• Sử dụng cơ chế đăng nhập một lần (SSO) cho mọi lần đăng nhập tương tác vào hệ thống nội bộ và dịch vụ của bên thứ ba hỗ trợ cung cấp Dịch vụ.
• Áp dụng chức năng xác thực đa yếu tố của nhà cung cấp danh tính trong luồng đăng nhập SSO. 
• Triển khai kiểm soát truy cập dựa trên vai trò (RBAC) với nguyên tắc phân chia trách nhiệm và đặc quyền tối thiểu.
• Chỉ sử dụng tài khoản có đặc quyền (“root”/“administrator”) khi cần thiết về mặt kỹ thuật theo các quy trình kiểm soát thay đổi đã được phê duyệt; nghiêm cấm người dùng không có đặc quyền thực hiện các chức năng có đặc quyền.
• Yêu cầu xem xét và phê duyệt chính thức đối với mọi yêu cầu truy cập vào hệ thống lưu trữ Dữ liệu OpenAI, cùng với các cuộc kiểm toán truy cập định kỳ (ít nhất là hàng quý) để xác nhận mức độ phù hợp của các đặc quyền.
• Thiết lập các thủ tục để báo cáo và thu hồi thông tin đăng nhập bị xâm phạm (ví dụ: mật khẩu, khóa API) và xác minh danh tính người dùng trước khi cấp lại hoặc cấp thông tin đăng nhập tạm thời.
• Đối với người dùng cuối của OpenAI, phụ thuộc vào dịch vụ quản lý quyền truy cập và danh tính của bên thứ ba; Nhà cung cấp không lưu trữ mật khẩu do người dùng cung cấp.

• Duy trì và vận hành một kế hoạch ứng phó Sự cố bảo mật để phản ứng và xử lý các sự kiện gây tổn hại đến tính bảo mật, tính khả dụng hoặc tính toàn vẹn của hoạt động của Nhà cung cấp hoặc Dữ liệu OpenAI.
• Khi biết về một Sự cố bảo mật thực tế hoặc bị nghi ngờ, hãy thông báo bằng văn bản cho OpenAI qua security@openai.com mà không chậm trễ một cách vô cớ và, trong mọi trường hợp, trong vòng 48 giờ kể từ khi biết về Sự cố bảo mật. Khi có thể, thông báo đó sẽ bao gồm tất cả các chi tiết có sẵn theo yêu cầu của Luật bảo vệ dữ liệu để OpenAI tuân thủ các nghĩa vụ thông báo của riêng mình cho các cơ quan quản lý hoặc cá nhân bị ảnh hưởng bởi Sự cố bảo mật.
• Thực hiện các biện pháp hợp lý để giảm thiểu rủi ro xảy ra các Sự cố bảo mật khác. Trong trường hợp Sự cố bảo mật xảy ra do Nhà cung cấp vi phạm các Biện pháp bảo mật của Nhà cung cấp này, Nhà cung cấp sẽ hoàn trả (tùy thuộc vào các giới hạn trách nhiệm pháp lý được nêu trong Thỏa thuận) cho OpenAI các chi phí khắc phục thực tế tự xuất túi và chi phí phát sinh do các hành động bắt buộc phải thực hiện theo Luật bảo vệ dữ liệu hoặc được thỏa thuận giữa các bên liên quan đến Sự cố bảo mật, bao gồm (nếu thích hợp): (i) tạo và gửi các thông báo theo yêu cầu của pháp luật tới các cá nhân bị ảnh hưởng; (ii) dịch vụ tổng đài hỗ trợ để trả lời các thắc mắc; và (iii) dịch vụ theo dõi tín dụng theo yêu cầu của pháp luật đối với các cá nhân bị ảnh hưởng. OpenAI có toàn quyền quyết định thời điểm, nội dung và cách thức gửi đi của bất kỳ thông báo nào được cung cấp theo đoạn này.

• Tạo và lưu giữ hồ sơ kiểm toán cho tất cả các hệ thống, mạng và cơ sở hạ tầng hỗ trợ được sử dụng để cung cấp Dịch vụ, cho phép giám sát, phân tích, điều tra và báo cáo các hoạt động bất hợp pháp hoặc trái phép.
• Ghi lại tất cả các hành động có đặc quyền sao cho mọi sự kiện đều được liên kết với một cá nhân nhất định.
• Ghi lại và liên tục giám sát hoạt động có đặc quyền trên các điểm cuối, máy chủ và cơ sở hạ tầng hỗ trợ để phát hiện những thay đổi trái phép hoặc hành vi vi phạm chính sách.
• Liên tục theo dõi trạng thái bảo mật và tính khả dụng, bao gồm cả lưu lượng mạng và nhật ký dịch vụ, và hành động kịp thời khi có bất kỳ cảnh báo nào. 
• Thường xuyên xem xét và phân tích nhật ký bảo mật và hoạt động để phát hiện hoạt động đáng ngờ, hành vi vi phạm chính sách hoặc sự kiện có thể ảnh hưởng đến tính bảo mật, toàn vẹn hoặc tính khả dụng của Dữ liệu OpenAI.
• Cung cấp nhật ký kiểm toán cho OpenAI khi có yêu cầu.

• Duy trì và vận hành quy trình Phát triển an toàn/Bảo mật theo thiết kế được lập thành văn bản bao gồm lập kế hoạch, viết mã, thử nghiệm, triển khai và bảo trì phần mềm hoặc các dịch vụ cung cấp cho OpenAI.
• SDLC phải bao gồm các hoạt động mô hình hóa mối đe dọa, đánh giá mã, quét lỗ hổng phụ thuộc tự động và thử nghiệm bảo mật (quét tĩnh, động và vùng chứa hoặc IaC) trước khi mã được chuyển sang giai đoạn triển khai. 
• Kết quả của các hoạt động này, cùng với bằng chứng khắc phục đối với các phát hiện có rủi ro cao, cần được lưu giữ trong ít nhất 12 tháng và cung cấp cho OpenAI khi được yêu cầu.

• Phân tách môi trường—tách biệt môi trường triển khai và phi triển khai và đảm bảo dữ liệu OpenAI chỉ nằm trong môi trường triển khai.
• Tách biệt dữ liệu OpenAI một cách hợp lý khỏi mọi dữ liệu khách hàng khác và áp dụng các ranh giới cấp độ người dùng riêng biệt trong mỗi tổ chức khách hàng của OpenAI.
• Đảm bảo các bộ phận backend chính được triển khai đằng sau các biện pháp kiểm soát mạng riêng (VPN, liên kết riêng hoặc kiến trúc yêu cầu xác thực tương đương).
• Chính sách an ninh mạng và tường lửa được cấu hình theo nguyên tắc đặc quyền tối thiểu, dựa trên tập hợp luồng lưu lượng cho phép đã được thiết lập trước. 
• Các luồng lưu lượng không được phép sẽ bị chặn.

• Duy trì và vận hành chương trình quản lý lỗ hổng theo tiêu chuẩn ngành được thiết kế để đảm bảo khắc phục kịp thời các lỗ hổng ảnh hưởng đến các dịch vụ mà Nhà cung cấp cung cấp.
• Duy trì và triển khai chương trình quản lý lỗ hổng có chức năng thường xuyên quét lỗ hổng, đăng ký dịch vụ thông báo lỗ hổng, thiết lập mức độ ưu tiên của các biện pháp khắc phục dựa trên mức độ rủi ro và thiết lập khung thời gian khắc phục dựa trên xếp hạng rủi ro.
• Sau khi bản vá được phát hành và lỗ hổng bảo mật liên quan đã được xem xét và đánh giá về khả năng áp dụng và tầm quan trọng, bản vá sẽ được áp dụng và xác minh trong khung thời gian tương xứng với rủi ro mà Hệ thống phải gánh chịu.
• Triển khai giải pháp quản lý nhật ký và lưu giữ nhật ký do hệ thống phát hiện xâm nhập tạo ra trong thời gian tối thiểu là một năm.

• Duy trì an ninh vật lý tại mọi vị trí có thể lưu trữ hoặc truy cập Dữ liệu OpenAI.
• Kiểm soát quyền ra vào văn phòng và trung tâm dữ liệu thông qua huy hiệu, sinh trắc học hoặc biện pháp xác thực tương đương.
• Ghi lại và đi cùng tất cả khách đến thăm.
• Vận hành hệ thống giám sát video 24/7 và hệ thống phát hiện xâm nhập vật lý.
• Xử lý và tiêu hủy phương tiện vật lý một cách an toàn bằng cách sử dụng kho lưu trữ có khóa, theo dõi quá trình chuyển giao và phương pháp tiêu hủy được chứng nhận.

Nhà cung cấp sẽ bảo vệ tính bảo mật, toàn vẹn và tính khả dụng của Dịch vụ và bất kỳ Dữ liệu OpenAI nào thông qua:

• Quản lý tính khả dụng
  • Liên tục theo dõi, phân tích và đánh giá hiệu suất và tính khả dụng của hệ thống.
  • Phát hiện và báo cáo lỗi kịp thời và khôi phục dịch vụ nhanh chóng sau khi bị gián đoạn.
  • Theo dõi, tự chứng nhận và ghi lại thời gian hoạt động của dịch vụ, các sự cố và việc tuân thủ các mục tiêu về mức dịch vụ đã thỏa thuận.
  • Khi được yêu cầu, hãy cung cấp cho OpenAI các số liệu hiệu suất có liên quan để chứng minh việc tuân thủ các mức dịch vụ.
• Kế hoạch kinh doanh liên tục và phục hồi sau thảm họa (BC/DR)
  • Duy trì các kế hoạch BC/DR được lập văn bản để giải quyết các trường hợp khẩn cấp hoặc các sự kiện khác có khả năng làm gián đoạn Dịch vụ hoặc làm tổn hại đến Dữ liệu OpenAI.
  • Sao lưu các hệ thống và dữ liệu quan trọng theo lịch trình thường xuyên phù hợp với các kế hoạch BC/DR.
  • Kiểm tra các kế hoạch BC/DR ít nhất mỗi năm một lần và khắc phục mọi khoảng trống quan trọng xác định được trong quá trình kiểm tra.
  • Xin OpenAI chấp thuận bằng văn bản trước khi thực hiện bất kỳ thay đổi nào có thể làm giảm đáng kể mức độ bảo vệ mà các kế hoạch đó cung cấp, và chấp thuận đó sẽ không bị từ chối một cách vô lý.

• Duy trì và vận hành một chương trình quản lý rủi ro theo tiêu chuẩn ngành đối với tất cả các đơn vị xử lý phụ, nhà thầu phụ và nhà cung cấp phụ quan trọng có quyền truy cập vào Dữ liệu OpenAI hoặc hỗ trợ phần mềm hoặc dịch vụ
• Ký kết các thỏa thuận bằng văn bản với mỗi bên thứ ba yêu cầu các biện pháp bảo vệ an ninh ít nhất phải nghiêm ngặt như các Biện pháp bảo mật dành cho Nhà cung cấp này.
• Yêu cầu tất cả các bên thứ ba tuân theo quy trình đánh giá bảo mật chính thức của Nhà cung cấp trước khi đưa vào hoạt động và sau đó lưu giữ tài liệu được lập sau đánh giá theo định kỳ.
• Theo yêu cầu của OpenAI, xác định mọi nhà cung cấp phụ quan trọng, quốc gia xuất xứ của họ và bất kỳ mối quan hệ phụ thuộc quan trọng nào có liên quan đến hoạt động của Nhà cung cấp.
• Duy trì các quy trình đánh giá rủi ro về CNTT và chuỗi cung ứng sản phẩm và thông báo kịp thời cho OpenAI về bất kỳ sự gián đoạn, lỗ hổng hoặc mối đe dọa mới nổi nào có thể gây tổn hại đến tính bảo mật, tính toàn vẹn hoặc tính khả dụng của phần mềm, dịch vụ, hoạt động của Nhà cung cấp hoặc Dữ liệu OpenAI.

• Bảo vệ dữ liệu OpenAI khi truyền tải qua bất kỳ mạng công cộng hoặc riêng tư nào bằng các giao thức mã hóa mạnh mẽ được công nhận trong ngành (TLS 1.2 trở lên, SSH 2, IPsec hoặc tương đương). Các giao thức cũ hoặc không an toàn (ví dụ: SSL v3, TLS 1.0/1.1) phải được vô hiệu hóa. 
• Mã hóa mọi dữ liệu OpenAI được lưu trữ trên bất kỳ phương tiện lưu trữ liên tục nào—bao gồm cơ sở dữ liệu, kho lưu trữ đối tượng, hệ thống tệp, thiết bị điểm cuối và bản sao lưu—bằng các thuật toán mạnh được công nhận trong ngành (ví dụ: AES-256 hoặc tương đương) và các mô-đun mã hóa được xác thực theo FIPS 140-2/3, ISO/IEC 19790 hoặc các tiêu chuẩn tương đương. 
• Quản lý khóa mã hóa bằng hệ thống quản lý khóa chuyên dụng; quyền truy cập khóa sẽ chỉ được cấp cho nhân viên được ủy quyền và được xoay vòng ít nhất hằng năm hoặc khi nghi ngờ có hành vi xâm phạm. Nhà cung cấp phải đảm bảo rằng bản sao lưu tức thời, bản sao và bản sao lưu ngoại tuyến được bảo vệ bằng cùng một biện pháp kiểm soát.

Khi Thỏa thuận hết hạn hoặc chấm dứt, theo lựa chọn của OpenAI, Nhà cung cấp sẽ xóa hoặc trả lại tất cả Dữ liệu OpenAI (trừ bất kỳ bản sao lưu hoặc bản lưu trữ nào sẽ bị xóa theo lịch trình lưu giữ dữ liệu của Nhà cung cấp), trừ trường hợp Nhà cung cấp được yêu cầu lưu giữ các bản sao theo luật hiện hành, trong trường hợp đó Nhà cung cấp sẽ cô lập và bảo vệ Dữ liệu OpenAI đó khỏi mọi hành động Xử lý tiếp theo, ngoại trừ trong phạm vi được luật hiện hành yêu cầu. Nhà cung cấp sẽ cho OpenAI khả năng cấu hình thời gian lưu giữ dữ liệu trong sản phẩm, nếu áp dụng cho các dịch vụ mà Nhà cung cấp cung cấp.

• Triển khai các biện pháp kiểm soát được thiết kế để đảm bảo việc xử lý an toàn Dữ liệu OpenAI theo luật hiện hành, có tính đến công nghệ hiện có, sao cho Dữ liệu OpenAI không thể đọc hoặc khôi phục được. 
• Xóa phương tiện điện tử một cách an toàn trước khi thải bỏ bằng các phương pháp được mô tả trong tiêu chuẩn NIST SP 800-88 hoặc tương đương bằng cách ghi đè hoặc khử từ, hoặc tiêu hủy vật lý trước khi thải bỏ hoặc chuyển sang hệ thống khác.

• Thường xuyên đánh giá hiệu quả của các biện pháp kiểm soát bảo mật thông qua các biện pháp quét tự động, đánh giá thủ công và kiểm tra tuân thủ chính sách, so với các khuôn khổ tiêu chuẩn của ngành và các chính sách của riêng công ty. 
• Thông báo trước cho OpenAI về bất kỳ thay đổi quan trọng nào đối với cơ sở hạ tầng, kiến trúc, sự phụ thuộc của bên thứ ba, luồng dữ liệu hoặc trạng thái bảo mật có thể ảnh hưởng một cách hợp lý đến tính bảo mật, tính toàn vẹn hoặc tính khả dụng của Dữ liệu OpenAI.

Ít nhất mỗi năm một lần, Nhà cung cấp sẽ:

• Thuê một kiểm toán viên độc lập, có trình độ để xem xét các biện pháp kiểm soát bảo mật theo một tiêu chuẩn ngành được công nhận (ví dụ: giám sát/chứng nhận lại SOC 2 Loại 2 hoặc ISO 27001).  
• Cung cấp bản tóm tắt hoặc báo cáo đầy đủ (nếu có) cho OpenAI khi được yêu cầu.

Nếu Nhà cung cấp cung cấp Dịch vụ lưu trữ hoặc dịch vụ trực tuyến, Nhà cung cấp sẽ:

• Sắp xếp các cuộc kiểm tra thâm nhập bên thứ ba hàng năm bao gồm: (i) Dịch vụ lưu trữ hoặc các dịch vụ; (ii) toàn bộ vùng biên giữa mạng nội bộ và internet; và (iii) mạng công ty nội bộ của Nhà cung cấp.
• Chia sẻ bằng chứng về việc các cuộc kiểm tra đã diễn ra, cùng với bản tóm tắt các phát hiện, theo NDA. 
• Khắc phục các lỗ hổng nghiêm trọng và có mức độ nghiêm trọng cao ảnh hưởng đến Dữ liệu OpenAI trong vòng 60 ngày kể từ ngày phát hiện hoặc thông báo kịp thời cho OpenAI về các biện pháp kiểm soát và rủi ro còn lại.

• Trong thời hạn Thỏa thuận và một năm sau đó, OpenAI (hoặc đơn vị kiểm toán được chỉ định) có thể, sau khi đưa ra thông báo hợp lý, xem xét các sổ sách, hồ sơ và cơ sở có liên quan để xác nhận việc tuân thủ các Biện pháp bảo mật của Nhà cung cấp này. Đánh giá sẽ chỉ được thực hiện với những thông tin cần thiết hợp lý cho mục đích đó và được thực hiện theo nghĩa vụ bảo mật. 
• Nhà cung cấp cũng sẽ thực hiện các nỗ lực hợp lý về mặt thương mại để hoàn thành các bảng câu hỏi bảo mật mà OpenAI có thể gửi tùy từng thời điểm.

Nhà cung cấp thừa nhận rằng Quy định cuối cùng thực thi Sắc lệnh Hành pháp 14117 do Bộ Tư pháp Hoa Kỳ ban hành, cấm hoặc hạn chế Quyền truy cập vào Dữ liệu được bảo vệ số lượng lớn đối với các Quốc gia đáng quan ngại hoặc Người thuộc phạm vi điều chỉnh (như định nghĩa của các thuật ngữ đó và các thuật ngữ viết hoa khác được sử dụng trong đoạn này theo Quy định cuối cùng).

• Nếu các dịch vụ mà Nhà cung cấp cung cấp yêu cầu Quyền truy cập vào Dữ liệu được bảo vệ của OpenAI hoặc các chi nhánh của OpenAI, thì Nhà cung cấp tuyên bố và bảo đảm rằng: (i) Nhà cung cấp hoặc bất kỳ chi nhánh nào của Nhà cung cấp không được hoặc sẽ không được thành lập hoặc cấp phép tại một Quốc gia đáng quan ngại, không có hoặc sẽ không có địa điểm kinh doanh chính tại một Quốc gia đáng quan ngại, hoặc không được hoặc sẽ không được sở hữu từ 50% trở lên, dù trực tiếp hay gián tiếp, riêng lẻ hoặc tổng hợp, bởi một hoặc nhiều Quốc gia đáng quan ngại hoặc Người được bảo vệ; và (ii) cả Nhà cung cấp, bất kỳ chi nhánh nào của Nhà cung cấp lẫn bất kỳ nhân viên hoặc nhà thầu nào của Nhà cung cấp có Quyền truy cập vào Dữ liệu được bảo vệ đó đều không đang hoặc sẽ không đặt tại một Quốc gia đáng quan ngại, không bị hoặc sẽ không bị Tổng Chưởng lý Hoa Kỳ xác định là Người được bảo vệ, hoặc không thuộc hoặc sẽ không thuộc diện Người được bảo vệ theo cách khác. Nếu (a) hoặc (b) thay đổi, Nhà cung cấp sẽ thông báo ngay cho OpenAI.
• Nhà cung cấp và các chi nhánh của nhà cung cấp sẽ không tham gia vào bất kỳ Giao dịch dữ liệu được bảo vệ nào liên quan đến Dữ liệu được bảo vệ của OpenAI với Quốc gia đáng quan ngại hoặc Người được bảo vệ. Nếu Nhà cung cấp tham gia vào Giao dịch bị hạn chế liên quan đến Dữ liệu được bảo vệ của OpenAI, thì Nhà cung cấp sẽ cung cấp cho OpenAI mọi thông tin cần thiết để OpenAI tuân thủ các yêu cầu của Quy định cuối cùng.

• Dữ liệu được bảo vệ có nghĩa là dữ liệu nhạy cảm số lượng lớn của Hoa Kỳ hoặc dữ liệu liên quan đến chính phủ Hoa Kỳ, vì thuật ngữ này có thể được định nghĩa rõ hơn theo Quy tắc cuối cùng thực thi Sắc lệnh Hành pháp 14117 do Bộ Tư pháp Hoa Kỳ ban hành.
• Luật bảo vệ dữ liệu có nghĩa là tất cả các luật bảo vệ dữ liệu áp dụng cho việc thực hiện Thỏa thuận của Nhà cung cấp.
• Dịch vụ được lưu trữ có nghĩa là phần mềm dưới dạng dịch vụ, nền tảng dưới dạng dịch vụ hoặc bất kỳ dịch vụ được lưu trữ hoặc trực tuyến tương tự nào mà Nhà cung cấp cung cấp cho OpenAI.
• Chương trình bảo mật thông tin có nghĩa là một khuôn khổ có cấu trúc gồm các chính sách, quy trình và biện pháp kiểm soát, bao gồm các biện pháp kiểm soát hành chính, kỹ thuật và vật lý phù hợp với các tiêu chuẩn ngành, tất cả đều được thiết kế để bảo vệ tính bảo mật, tính toàn vẹn và tính khả dụng của Dữ liệu OpenAI.
• Dữ liệu OpenAI có nghĩa là thông tin mà Nhà cung cấp đã nhận hoặc thu thập từ hoặc thay mặt cho OpenAI liên quan đến hoạt động của Nhà cung cấp cho OpenAI. Dữ liệu OpenAI bao gồm nhưng không giới hạn ở Dữ liệu cá nhân. 
• Dữ liệu cá nhân có nghĩa như được gán cho thuật ngữ “dữ liệu cá nhân” hoặc “thông tin cá nhân” theo Luật bảo vệ dữ liệu hiện hành.
• Xử lý có nghĩa là bất kỳ hoạt động nào được thực hiện với dữ liệu, dù thông qua phương tiện tự động hay không, bao gồm thu thập, ghi lại, tổ chức, lưu trữ, sử dụng, tiết lộ hoặc tiêu hủy.
• Sự cố bảo mật có nghĩa là bất kỳ sự kiện thực tế hoặc nghi ngờ nào liên quan đến việc truy cập, sử dụng, tiết lộ, thay đổi hoặc tiêu hủy Dữ liệu OpenAI trái phép, hoặc làm gián đoạn tính khả dụng hoặc tính toàn vẹn của dữ liệu này, trong Hệ thống của Nhà cung cấp hoặc đơn vị xử lý phụ.
• Quy tắc ứng xử của nhà cung cấp có nghĩa là Quy tắc ứng xử của nhà cung cấp OpenAI tại: https://openai.com/policies/supplier-code/.⁠
• Nhân sự của Nhà cung cấp có nghĩa là tất cả nhân sự thực hiện bất kỳ khía cạnh nào trong hoạt động của Nhà cung cấp khi hợp tác với OpenAI, bao gồm nhân viên, nhà thầu, nhân viên thời vụ và nhà thầu phụ.
• Hệ thống có nghĩa là hệ thống thông tin được Nhà cung cấp hoặc các đơn vị xử lý phụ của Nhà cung cấp sử dụng để xử lý, truyền tải hoặc lưu trữ Dữ liệu OpenAI. Trong đó bao gồm phần cứng, phần mềm, nhân sự và quy trình tích hợp hỗ trợ các chức năng đó.