1. MỤC ĐÍCH

Chính sách này được ban hành nhằm:

• Thiết lập nguyên tắc, yêu cầu và cơ chế kiểm soát đối với việc thu thập, ghi nhận, phân tích, xác minh, lưu trữ, truy cập, chia sẻ, truyền đưa, chỉnh sửa, hủy, xóa và các hình thức xử lý khác đối với dữ liệu cá nhân tại Công ty.
• Bảo đảm Công ty tuân thủ pháp luật Việt Nam về bảo vệ dữ liệu cá nhân, an ninh mạng, an toàn thông tin mạng, giao dịch điện tử và các quy định pháp luật có liên quan.
• Bảo vệ quyền và lợi ích hợp pháp của chủ thể dữ liệu, khách hàng, đối tác, nhân sự và các cá nhân có dữ liệu được xử lý trong quá trình Công ty cung cấp sản phẩm, dịch vụ, nền tảng, phần mềm, API và giải pháp công nghệ số.
• Giảm thiểu rủi ro pháp lý, rủi ro vận hành, rủi ro bảo mật và rủi ro uy tín phát sinh từ hoạt động xử lý dữ liệu cá nhân.
• Thiết lập nền tảng quản trị nội bộ để Công ty triển khai, giám sát, kiểm tra và chứng minh việc tuân thủ.

2. CĂN CỨ BAN HÀNH

Chính sách này được xây dựng trên cơ sở các quy định pháp luật hiện hành của Việt Nam, bao gồm nhưng không giới hạn:

• Luật Bảo vệ dữ liệu cá nhân năm 2025 số 91/2025/QH15 có hiệu lực ngày 01/01/2026 và văn bản hướng dẫn thi hành.
• Nghị định số 356/2025/NĐ-CP, có hiệu lực từ 01/01/2026, hướng dẫn thi hành Luật Bảo vệ dữ liệu cá nhân và thay thế Nghị định 13/2023/NĐ-CP.
• Luật An ninh mạng năm 2018 số 24/2018/QH14 ban hành ngày 12/06/2018 và có hiệu lực ngày 01/01/2019 và áp dụng hết ngày 30/06/2026.
• Luật An ninh mạng năm 2025 số 116/2025/QH15 ban hành ngày 10/12/2025 và có hiệu lực từ ngày 01/07/2026 (thay thế Luật An ninh mạng năm 2018).
• Luật An toàn thông tin mạng năm 2015.
• Luật Giao dịch điện tử năm 2023, có hiệu lực từ 01/7/2024, và các văn bản pháp luật có liên quan đến chữ ký điện tử, chữ ký số, chứng thư chữ ký điện tử, thông điệp dữ liệu và dịch vụ tin cậy. Luật này phân loại chữ ký điện tử theo phạm vi sử dụng và quy định giá trị pháp lý của chữ ký điện tử/chữ ký số.
• Các quy định pháp luật khác có liên quan tùy theo sản phẩm, dịch vụ, mô hình kinh doanh, hạ tầng công nghệ, ngành nghề và phạm vi hoạt động thực tế của Công ty.

3. PHẠM VI ÁP DỤNG

• Chính sách này áp dụng đối với toàn bộ hoạt động xử lý dữ liệu cá nhân do Công ty thực hiện hoặc do bên khác thực hiện thay mặt Công ty.
• Đối tượng áp dụng bao gồm:
  • Ban lãnh đạo.
  • Ban Điều hành, các phòng/ban/bộ phận.
  • Nhân viên, cộng tác viên, chuyên gia tư vấn, thực tập sinh.
  • Nhà thầu, nhà cung cấp, đối tác, đại lý, đơn vị tích hợp, bên thứ ba.
  • Tổ chức/cá nhân được Công ty cấp quyền truy cập, xử lý hoặc hỗ trợ xử lý dữ liệu cá nhân.
• Chính sách này áp dụng đối với:
  • Dữ liệu cá nhân của khách hàng cá nhân.
  • Dữ liệu cá nhân của người dùng cuối sử dụng sản phẩm/nền tảng của Công ty hoặc sản phẩm do Công ty vận hành cho khách hàng doanh nghiệp.
  • Dữ liệu cá nhân của khách hàng doanh nghiệp, người đại diện, người ký, người dùng quản trị, người được ủy quyền.
  • Dữ liệu cá nhân của nhân sự nội bộ, ứng viên tuyển dụng, đối tác và các cá nhân khác có liên quan.

4. MỤC TIÊU QUẢN TRỊ DỮ LIỆU CÁ NHÂN

Công ty áp dụng Chính sách này nhằm đạt các mục tiêu sau:

• Bảo vệ dữ liệu cá nhân theo nguyên tắc hợp pháp, minh bạch, an toàn và có trách nhiệm giải trình.
• Chỉ xử lý dữ liệu cá nhân trong phạm vi cần thiết – đúng mục đích – có kiểm soát.
• Tích hợp yêu cầu bảo vệ dữ liệu cá nhân vào vòng đời sản phẩm, phát triển phần mềm, vận hành hệ thống, quản trị nhà cung cấp và quản trị rủi ro doanh nghiệp.
• Thiết lập cơ chế phòng ngừa – phát hiện – ứng phó – khắc phục đối với sự cố dữ liệu cá nhân.
• Tạo cơ sở cho việc kiểm tra nội bộ, đánh giá tuân thủ, thanh tra, kiểm toán và thẩm định pháp lý.

5. THUẬT NGỮ VÀ ĐỊNH NGHĨA

Trong Chính sách này, các thuật ngữ dưới đây được hiểu như sau:

• Dữ liệu cá nhân là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự khác gắn với một con người cụ thể hoặc giúp xác định một con người cụ thể. Dữ liệu cá nhân bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.
• Dữ liệu cá nhân cơ bản là dữ liệu cá nhân thông thường phục vụ nhận diện, liên hệ, giao dịch hoặc quản trị, bao gồm:
  • Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có).
  • Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích.
  • Giới tính.
  • Nơi sinh, nơi đăng ký khai sinh, nơi đăng ký thường trú, nơi đăng ký tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ.
  • Quốc tịch.
  • Hình ảnh của cá nhân.
  • Số điện thoại, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe.
  • Tình trạng hôn nhân.
  • Thông tin về mối quan hệ gia đình (cha mẹ, con, vợ, chồng).
  • Thông tin về tài khoản số của cá nhân.
  • Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể không thuộc định nghĩa “Dữ liệu cá nhân nhạy cảm” bên dưới.
• Dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân mà khi bị xâm phạm có thể ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp, an toàn, bí mật đời sống riêng tư hoặc an ninh của chủ thể dữ liệu. Bao gồm:
  • Dữ liệu tiết lộ nguồn gốc chủng tộc, nguồn gốc dân tộc.
  • Quan điểm về chính trị, tôn giáo, tín ngưỡng.
  • Thông tin về đời sống riêng tư, bí mật cá nhân, bí mật gia đình.
  • Tình trạng sức khỏe.
  • Dữ liệu sinh trắc học, đặc điểm di truyền.
  • Dữ liệu tiết lộ đời sống tình dục, xu hướng tình dục của cá nhân.
  • Dữ liệu về tội phạm, vi phạm pháp luật được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật.
  • Vị trí của cá nhân được xác định qua dịch vụ định vị.
  • Thông tin tên đăng nhập và mật khẩu truy cập tài khoản định danh điện tử của cá nhân; hình ảnh thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân.
  • Tên đăng nhập, mật khẩu truy cập của tài khoản ngân hàng; thông tin thẻ ngân hàng, dữ liệu về lịch sử giao dịch của tài khoản ngân hàng; thông tin tài chính, tín dụng và các thông tin về hoạt động, lịch sử giao dịch tài chính, chứng khoán, bảo hiểm của khách hàng tại các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, chứng khoán, bảo hiểm, các tổ chức được phép khác.
  • Dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ truyền thông trực tuyến và các dịch vụ khác trên không gian mạng.
  • Dữ liệu cá nhân khác được pháp luật quy định cần giữ bí mật hoặc cần có biện pháp bảo mật chặt chẽ.
• Bảo vệ dữ liệu cá nhân là hoạt động phòng ngừa, phát hiện, ngăn chặn, xử lý hành vi vi phạm liên quan đến dữ liệu cá nhân theo quy định của pháp luật.
• Chủ thể dữ liệu là cá nhân mà dữ liệu cá nhân của họ được Công ty xử lý.
• Xử lý dữ liệu cá nhân là một hoặc nhiều hoạt động tác động tới dữ liệu cá nhân, bao gồm nhưng không giới hạn việc thu thập, ghi nhận, lưu trữ, phân loại, chỉnh sửa, phân tích, kết nối, chia sẻ, cung cấp, truyền đưa, mã hóa, giải mã, xóa, hủy.
• Sự đồng ý của chủ thể dữ liệu là việc thể hiện rõ ràng, tự nguyện, khẳng định việc cho phép xử lý dữ liệu cá nhân của chủ thể dữ liệu.

• Bên kiểm soát dữ liệu cá nhân là tổ chức/cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.
• Bên xử lý dữ liệu cá nhân là tổ chức/cá nhân thực hiện việc xử lý dữ liệu cá nhân thay mặt bên kiểm soát dữ liệu cá nhân.
• Bên kiểm soát và xử lý dữ liệu cá nhân là tổ chức/cá nhân đồng thời quyết định mục đích, phương tiện và trực tiếp thực hiện việc xử lý dữ liệu cá nhân.
• Bên thứ ba là tổ chức/cá nhân khác ngoài Công ty, chủ thể dữ liệu và các bên được phép xử lý theo phạm vi xác định.
• Sự cố dữ liệu cá nhân là sự kiện dẫn đến hoặc có nguy cơ dẫn đến truy cập trái phép, sử dụng trái phép, tiết lộ, mất, thay đổi, hủy, mã hóa trái phép hoặc làm gián đoạn khả năng sẵn sàng của dữ liệu cá nhân.
• Hệ thống thông tin xử lý dữ liệu cá nhân là hạ tầng, nền tảng, ứng dụng, cơ sở dữ liệu, máy chủ, thiết bị, API, dịch vụ cloud, phần mềm hoặc công cụ được sử dụng để xử lý dữ liệu cá nhân.
• Dữ liệu giao dịch điện tử là dữ liệu phát sinh trong quá trình xác thực, ký, gửi, nhận, lưu trữ, chứng minh hoặc đối soát giao dịch điện tử, thông điệp dữ liệu, tài liệu điện tử hoặc chữ ký điện tử.

6. NGUYÊN TẮC BẢO VỆ DỮ LIỆU CÁ NHÂN

Công ty thực hiện bảo vệ dữ liệu cá nhân theo các nguyên tắc sau:

6.1. Nguyên tắc hợp pháp

Mọi hoạt động xử lý dữ liệu cá nhân phải có căn cứ hợp pháp, phù hợp với pháp luật hiện hành, hợp đồng, nghĩa vụ pháp lý, yêu cầu bảo vệ an ninh/an toàn hệ thống hoặc căn cứ hợp lệ khác theo quy định.

6.2. Nguyên tắc đúng mục đích

Dữ liệu cá nhân chỉ được thu thập và xử lý cho các mục đích cụ thể, rõ ràng, hợp pháp và cần thiết. Không được sử dụng dữ liệu cho mục đích khác ngoài phạm vi đã xác định, trừ trường hợp pháp luật cho phép.

6.3. Nguyên tắc tối thiểu hóa dữ liệu

Công ty chỉ thu thập, lưu trữ và xử lý khối lượng dữ liệu cá nhân ở mức tối thiểu cần thiết để thực hiện mục đích xử lý.

6.4. Nguyên tắc chính xác và cập nhật

Công ty áp dụng biện pháp phù hợp để bảo đảm dữ liệu cá nhân được cập nhật, chính xác, đầy đủ và có thể chỉnh sửa khi cần thiết.

6.5. Nguyên tắc giới hạn lưu trữ

Dữ liệu cá nhân chỉ được lưu giữ trong thời hạn phù hợp với:

• Mục đích xử lý.
• Nghĩa vụ pháp lý.
• Yêu cầu kiểm toán, giải quyết tranh chấp, điều tra, chứng minh giao dịch.
• Yêu cầu bảo đảm an ninh, an toàn hệ thống.

6.6. Nguyên tắc bảo mật và toàn vẹn

Dữ liệu cá nhân phải được bảo vệ bằng các biện pháp kỹ thuật, tổ chức, nhân sự và pháp lý tương xứng với mức độ rủi ro.

6.7. Nguyên tắc minh bạch

Công ty bảo đảm chủ thể dữ liệu được thông tin phù hợp về hoạt động xử lý dữ liệu cá nhân liên quan đến họ theo quy định pháp luật.

6.8. Nguyên tắc trách nhiệm giải trình

Công ty có trách nhiệm xây dựng hồ sơ, quy trình, bằng chứng và cơ chế kiểm soát để chứng minh việc tuân thủ.

Các nguyên tắc này phù hợp với định hướng pháp luật bảo vệ dữ liệu cá nhân hiện hành, trong đó pháp luật yêu cầu việc xử lý phải đúng phạm vi, mục đích, bảo đảm tính chính xác, thời gian lưu trữ phù hợp và triển khai đồng bộ các biện pháp thể chế, kỹ thuật và con người.

7. PHÂN LOẠI DỮ LIỆU CÁ NHÂN

Tùy thuộc vào sản phẩm, dịch vụ và mô hình hoạt động thực tế, Công ty có thể xử lý các nhóm dữ liệu sau:

7.1. Dữ liệu khách hàng cá nhân/Người dùng cuối

Bao gồm nhưng không giới hạn:

• Họ và tên.
• Số điện thoại.
• Địa chỉ thư điện tử.
• Số định danh cá nhân/CCCD/hộ chiếu (nếu có áp dụng).
• Ảnh chân dung/hình ảnh định danh/dữ liệu eKYC (nếu có áp dụng).
• Thông tin đăng nhập, định danh tài khoản.
• Thông tin thiết bị, địa chỉ IP, cookie, nhật ký hệ thống, lịch sử truy cập.
• Dữ liệu giao dịch điện tử, thông điệp dữ liệu.
• Dữ liệu ký điện tử, metadata ký, lịch sử ký.
• Tài liệu điện tử, hợp đồng điện tử, hồ sơ số, file tải lên hoặc file được ký.
• Dữ liệu xác thực đa yếu tố, OTP, lịch sử xác minh.

7.2. Dữ liệu khách hàng doanh nghiệp và người dùng đại diện

Bao gồm nhưng không giới hạn:

• Thông tin doanh nghiệp, người đại diện, người liên hệ.
• Chức danh, đơn vị công tác, email công việc, số điện thoại công việc.
• Thông tin người ký, người được phân quyền, người dùng quản trị.
• Lịch sử cấu hình hệ thống, quyền truy cập, thao tác quản trị.
• Danh sách người dùng do khách hàng doanh nghiệp cung cấp cho Công ty xử lý.

7.3. Dữ liệu nội bộ Công ty

Bao gồm nhưng không giới hạn:

• Hồ sơ nhân sự, hồ sơ ứng viên.
• Hợp đồng lao động, phụ lục, thông tin thuế, bảo hiểm, chấm công.
• Tài khoản email, tài khoản hệ thống nội bộ, nhật ký đăng nhập.
• Hình ảnh camera, dữ liệu thiết bị, dữ liệu VPN, lịch sử truy cập.
• Thông tin đào tạo, đánh giá, xử lý kỷ luật, bảo mật nội bộ.

7.4. Dữ liệu đặc thù của sản phẩm, nền tảng và dịch vụ số

Bao gồm nhưng không giới hạn:

• Thông điệp dữ liệu.
• Chữ ký điện tử/chữ ký số.
• Chứng thư chữ ký điện tử/chứng thư chữ ký số (trong phạm vi Công ty được phép xử lý).
• Dấu thời gian, dữ liệu đối soát, bằng chứng giao dịch.
• API payload, access token, refresh token, session data.
• Dữ liệu xác thực, ủy quyền, luồng phê duyệt điện tử.
• Nhật ký hoạt động bảo mật, nhật ký vận hành và dữ liệu phục vụ điều tra sự cố.

7.5. Phân loại dữ liệu theo mức độ bảo vệ

Công ty áp dụng phân loại dữ liệu tối thiểu theo 04 cấp:

8. CƠ SỞ VÀ MỤC ĐÍCH XỬ LÝ DỮ LIỆU CÁ NHÂN

8.1. Mục đích xử lý dữ liệu cá nhân

Công ty chỉ xử lý dữ liệu cá nhân cho một hoặc nhiều mục đích chung hợp pháp sau:

• Thiết lập, cung cấp, duy trì và vận hành tài khoản, sản phẩm, dịch vụ, nền tảng hoặc giải pháp công nghệ của Công ty.
• Cung cấp dịch vụ phần mềm chữ ký số điện tử, xác thực điện tử, quản lý luồng ký, quản lý tài liệu điện tử, nền tảng giao dịch số, dịch vụ tích hợp hoặc API.
• Thực hiện xác thực người dùng, phân quyền, bảo đảm tính toàn vẹn, tính xác thực và khả năng kiểm chứng của giao dịch điện tử.
• Xử lý hồ sơ, hợp đồng, tài liệu, thông điệp dữ liệu, giao dịch điện tử hoặc các quy trình nghiệp vụ số.
• Bảo đảm an ninh mạng, an toàn thông tin mạng, phòng chống gian lận, giả mạo, truy cập trái phép, lạm dụng hệ thống.
• Hỗ trợ khách hàng, hỗ trợ kỹ thuật, bảo trì, khắc phục lỗi, điều tra sự cố.
• Đối soát giao dịch, lưu vết, chứng minh giao dịch, giải quyết tranh chấp, khiếu nại, yêu cầu kiểm tra/kiểm toán.
• Thực hiện nghĩa vụ pháp lý, nghĩa vụ hợp đồng, nghĩa vụ báo cáo, yêu cầu của cơ quan nhà nước có thẩm quyền.
• Quản trị nội bộ, tuyển dụng, quản lý nhân sự, quản trị hệ thống, đào tạo, đánh giá và kiểm soát nội bộ.
• Nghiên cứu, cải tiến, phát triển tính năng, tối ưu sản phẩm trong phạm vi được pháp luật và hợp đồng cho phép.
• Thực hiện các mục đích hợp pháp khác có liên quan trực tiếp đến hoạt động kinh doanh của Công ty.

Ngoài ra, các trường hợp cụ thể xử lý dữ liệu cá nhân như sau:

Đối với người lao động và ứng viên tham gia phỏng vấn

• Xác thực ứng viên, người lao động.
• Liên lạc, cung cấp/gửi tin nhắn, thư tín hoặc thông báo khác tới ứng viên hoặc các bên liên quan.
• Xác lập, thực hiện và chấm dứt quan hệ lao động.
• Phục vụ quản lý, điều hành nhân sự như quản lý nhân sự, tính lương, đóng bảo hiểm và đánh giá hiệu suất làm việc.
• Cung cấp dữ liệu người lao động cho bên thứ ba xử lý như chuyển lương, khai thuế, khám sức khỏe định kỳ, đào tạo, huấn luyện, mua bảo hiểm sức khỏe/BHTN và tham gia làm thầu.
• Cung cấp cho cơ quan nhà nước có thẩm quyền và các trường hợp khác theo pháp luật, ví dụ xuất hóa đơn, chứng từ thuế TNCN.
• Thực hiện các mục đích khác liên quan đến hoạt động kinh doanh của Công ty mà Công ty cho là phù hợp tại từng thời điểm.

Đối với đối tác, khách hàng

• Thực hiện các hợp đồng, thỏa thuận đã giao kết.
• Tiếp nhận và giải quyết phàn nàn, khiếu nại; nâng cao chất lượng hàng hóa, sản phẩm, dịch vụ.
• Liên hệ đối tác để trao đổi thông tin, cung cấp văn bản hoặc tài liệu liên quan đến giao dịch và việc cung cấp sản phẩm, dịch vụ.
• Đánh giá đề xuất liên quan đến quyền, lợi ích hoặc nghĩa vụ theo hợp đồng giữa các bên với Công ty.
• Phục vụ các mục đích khác liên quan đến hoạt động kinh doanh của Công ty mà Công ty cho là phù hợp tại từng thời điểm.
• Thực hiện mục đích khác được yêu cầu hoặc cho phép bởi luật, quy định, hướng dẫn hoặc yêu cầu của cơ quan nhà nước có thẩm quyền.

8.2. Căn cứ xử lý dữ liệu cá nhân

Công ty xử lý dữ liệu cá nhân trên cơ sở một hoặc nhiều căn cứ phù hợp sau:

• Sự đồng ý hợp lệ của chủ thể dữ liệu (nếu hoạt động xử lý thuộc trường hợp cần có sự đồng ý).
• Thực hiện hoặc chuẩn bị thực hiện hợp đồng, giao dịch, dịch vụ hoặc nghĩa vụ theo yêu cầu của chủ thể dữ liệu hoặc khách hàng.
• Tuân thủ nghĩa vụ pháp lý của Công ty.
• Bảo vệ quyền, lợi ích hợp pháp của Công ty, khách hàng, đối tác, chủ thể dữ liệu hoặc các bên liên quan.
• Bảo đảm an ninh, an toàn; phòng chống gian lận, giả mạo, lạm dụng, truy cập trái phép hoặc sự cố hệ thống.
• Các căn cứ hợp pháp khác theo quy định pháp luật.

Nguyên tắc áp dụng:

• Công ty không lạm dụng căn cứ “đồng ý” khi pháp luật hoặc bản chất giao dịch phù hợp hơn với căn cứ hợp đồng, nghĩa vụ pháp lý hoặc an ninh hệ thống.
• Bộ phận nghiệp vụ phải xác định rõ căn cứ xử lý trước khi triển khai sản phẩm, quy trình hoặc tính năng mới liên quan đến dữ liệu cá nhân.

9. HOẠT ĐỘNG XỬ LÝ DỮ LIỆU CÁ NHÂN

9.1. Cách thức thu thập dữ liệu cá nhân

Công ty có thể thu thập dữ liệu cá nhân của Chủ thể dữ liệu từ một hoặc một số nguồn dưới đây, bao gồm nhưng không giới hạn:

• Trực tiếp từ Bên cung cấp trong quá trình tiếp xúc, làm việc, phỏng vấn, gặp mặt, thực hiện hợp đồng và khi Bên cung cấp cung cấp thông tin.
• Từ trang tin điện tử của Công ty khi Bên cung cấp truy cập hoặc sử dụng tính năng, tài nguyên trên các trang này.
• Từ trao đổi với Bên cung cấp qua email, điện thoại, phương tiện điện tử hoặc phương tiện khác, bao gồm khảo sát và điều tra.
• Từ cơ quan Nhà nước có thẩm quyền tại Việt Nam.
• Từ nguồn công khai như danh bạ, quảng cáo/tờ rơi, thông tin trên mạng hoặc niêm yết tại nơi làm việc.
• Từ nhà cung cấp, bên cung cấp dịch vụ, đối tác, bên liên kết và bên thứ ba liên quan đến hoạt động kinh doanh.
• Từ nguồn khác mà Bên cung cấp đồng ý chia sẻ hoặc nguồn mà pháp luật yêu cầu hoặc cho phép thu thập.

Khi cung cấp dữ liệu cá nhân của người khác, Bên cung cấp cam đoan, bảo đảm và chịu trách nhiệm rằng:

• Thông tin cung cấp đầy đủ; Bên cung cấp thông báo các thay đổi, sai sót đối với dữ liệu đã cung cấp.
• Bên cung cấp đã thông báo cho chủ thể dữ liệu và có được sự đồng ý/chấp thuận hoặc ủy quyền hợp lệ để cung cấp dữ liệu, cho phép Công ty xử lý theo Chính sách này; Bên cung cấp chịu trách nhiệm lưu bằng chứng. Công ty được miễn trách nhiệm và có quyền yêu cầu bồi thường nếu cam kết không được thực hiện.
• Bên cung cấp thực hiện các cam đoan khác theo văn bản Cam kết về dữ liệu cá nhân ký với Công ty tại từng thời điểm.

9.2. Quản lý vòng đời dữ liệu cá nhân

Các giai đoạn vòng đời dữ liệu tối thiểu:

• Thu thập/tiếp nhận.
• Phân loại/ghi nhận.
• Sử dụng/xử lý.
• Lưu trữ/sao lưu.
• Chia sẻ/truyền đưa (nếu có).
• Lưu vết/kiểm chứng.
• Hạn chế/lưu kho/lưu trữ.
• Hủy/xóa/vô hiệu hóa.

9.3. Thời hạn lưu trữ

Mỗi loại dữ liệu cá nhân phải được xác định:

• Mục đích lưu trữ.
• Thời hạn lưu trữ.
• Điều kiện kéo dài hoặc chấm dứt lưu trữ.
• Phương thức hủy/xóa.

Không được lưu trữ dữ liệu cá nhân vô thời hạn nếu không có căn cứ pháp lý, nghĩa vụ chứng minh giao dịch hoặc yêu cầu nghiệp vụ hợp pháp.

9.4. Hủy, xóa và vô hiệu hóa dữ liệu

Khi dữ liệu cá nhân hết thời hạn lưu trữ hoặc không còn cần thiết cho mục đích xử lý, Công ty phải thực hiện một hoặc nhiều biện pháp phù hợp sau:

• Xóa logic.
• Xóa vật lý.
• Vô hiệu hóa truy cập.
• Ẩn danh hóa.
• Hủy bản sao, bản trích xuất, dữ liệu lưu cục bộ hoặc dữ liệu trên môi trường phụ trợ.

Việc hủy/xóa phải bảo đảm:

• Không thể phục hồi trái phép.
• Có lưu vết phù hợp.
• Tuân thủ quy định về sao lưu, phục hồi và chứng cứ điện tử.

Dữ liệu cá nhân được lưu trữ tại Việt Nam thông qua hệ thống cơ sở dữ liệu của Công ty. Công ty thực hiện các biện pháp hợp lý trong khả năng của mình để bảo vệ dữ liệu và cam kết không bán, cho thuê hoặc kinh doanh trái phép dữ liệu cá nhân.

Công ty sẽ xóa dữ liệu cá nhân theo yêu cầu của chủ thể dữ liệu, trừ trường hợp pháp luật không cho phép xóa. Theo đó, việc xóa được thực hiện như sau:

• Việc xóa được thực hiện trong 72 giờ sau khi có yêu cầu đối với toàn bộ dữ liệu do Bên Kiểm soát hoặc Bên Kiểm soát và xử lý thu thập, trừ trường hợp pháp luật có quy định khác.
• Tùy cách thức lưu trữ, Công ty xóa file mềm hoặc cắt xén tài liệu giấy.

Nếu chủ thể dữ liệu không yêu cầu xóa, tùy thời điểm Công ty có thể tiếp tục lưu trữ, bảo vệ dữ liệu phục vụ quản lý và xóa khi cần thiết.

9.5. Chuyển giao/chia sẻ

• Việc chuyển giao/chia sẻ dữ liệu đến các bên liên quan được mô tả tại mục 8.1.
• Việc chuyển giao/chia sẻ dữ liệu được thực hiện theo đúng trình tự, cách thức và quy định pháp luật hiện hành.

9.6. Thời gian bắt đầu và kết thúc xử lý dữ liệu cá nhân

• Thời điểm bắt đầu xử lý là khi Công ty bắt đầu tiếp nhận và/hoặc thu thập dữ liệu cá nhân hợp pháp cho đến khi hoàn thành mục đích xử lý.
• Công ty có thể phải lưu trữ dữ liệu sau khi hợp đồng chấm dứt để thực hiện nghĩa vụ theo pháp luật hoặc yêu cầu của cơ quan nhà nước có thẩm quyền.

9.7. Hậu quả, thiệt hại không mong muốn có thể xảy ra

Công ty coi trọng và nỗ lực bảo mật, bảo đảm an toàn dữ liệu cá nhân; áp dụng nhiều biện pháp ngăn chặn truy cập, sử dụng hoặc chia sẻ trái phép. Tuy nhiên, không thể cam kết bảo mật tuyệt đối trong một số trường hợp như:

• Lỗi phần cứng, phần mềm trong quá trình xử lý làm mất dữ liệu.
• Lỗ hổng bảo mật ngoài khả năng kiểm soát hoặc hệ thống bị tổ chức/cá nhân khác tấn công gây lộ dữ liệu.
• Chủ thể dữ liệu tự làm lộ dữ liệu do bất cẩn, bị lừa đảo, truy cập website hoặc tải ứng dụng có chứa phần mềm độc hại.
• Hậu quả, thiệt hại khác do nguyên nhân khách quan mà Công ty không thể lường trước.

Internet không phải môi trường an toàn và không thể bảo đảm tuyệt đối dữ liệu chia sẻ qua internet luôn được bảo mật. Chủ thể dữ liệu nên dùng hệ thống an toàn để truy cập website, ứng dụng hoặc thiết bị và có trách nhiệm giữ bí mật thông tin xác thực.

Trong phạm vi pháp luật cho phép, Công ty sẽ thông báo sự việc cho cơ quan có thẩm quyền và các bên liên quan trong thời hạn pháp luật quy định, đồng thời cố gắng hạn chế thiệt hại trong khả năng của mình.

10. VAI TRÒ, TRÁCH NHIỆM VÀ MÔ HÌNH QUẢN TRỊ

10.1. Mô hình vai trò của Công ty trong xử lý dữ liệu cá nhân

Tùy theo hoạt động, sản phẩm hoặc quan hệ hợp đồng, Công ty có thể đóng vai trò:

• Bên kiểm soát dữ liệu cá nhân, đối với dữ liệu mà Công ty quyết định mục đích và phương tiện xử lý.
• Bên xử lý dữ liệu cá nhân, khi xử lý theo chỉ đạo, hợp đồng hoặc yêu cầu hợp pháp của khách hàng/doanh nghiệp khác.
• Bên kiểm soát và xử lý dữ liệu cá nhân, khi Công ty đồng thời quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu.
• Bên thứ ba, nếu tham gia một phần hoạt động xử lý trong cấu trúc dịch vụ hoặc tích hợp.

Mọi dự án, sản phẩm, hợp đồng và luồng dữ liệu phải xác định rõ vai trò trong Ma trận Controller/Processor/Third Party.

Trong phạm vi pháp luật cho phép, chủ thể dữ liệu hiểu rằng Công ty có thể chia sẻ dữ liệu cho các tổ chức, cá nhân sau để tham gia xử lý:

• Người lao động, công ty con và công ty liên kết với Công ty.
• Tổ chức, cá nhân là đối tác hoặc nhà thầu của Công ty.
• Cá nhân, tổ chức đại diện hoặc được chủ thể dữ liệu ủy quyền hành động thay mặt họ.
• Đơn vị tư vấn, kiểm toán, luật sư, công chứng viên và các bên thay mặt Công ty.
• Cơ quan nhà nước có thẩm quyền theo quy định pháp luật.
• Các tổ chức, cá nhân tham gia xử lý dữ liệu và có nghĩa vụ bảo mật theo Chính sách này và pháp luật hiện hành.

10.2. Trách nhiệm Ban Lãnh đạo

Ban Lãnh đạo Công ty có trách nhiệm:

• Phê duyệt và chỉ đạo triển khai Chính sách này.
• Bố trí nguồn lực phù hợp về nhân sự, ngân sách, công nghệ và kiểm soát nội bộ.
• Chỉ đạo xây dựng quy trình, biểu mẫu, hồ sơ và hệ thống kiểm soát tuân thủ.
• Giám sát, đánh giá định kỳ hiệu quả bảo vệ dữ liệu cá nhân trong toàn Công ty.
• Chịu trách nhiệm cuối cùng về định hướng tuân thủ và quản trị rủi ro dữ liệu cá nhân.

10.3. Trách nhiệm của bộ phận bảo vệ dữ liệu cá nhân

Bộ phận phụ trách bảo vệ dữ liệu cá nhân có trách nhiệm:

• Chủ trì xây dựng, rà soát, cập nhật chính sách, quy trình, quy định và biểu mẫu liên quan.
• Theo dõi việc tuân thủ pháp luật về bảo vệ dữ liệu cá nhân.
• Phối hợp đánh giá rủi ro, tác động xử lý dữ liệu và chuyển dữ liệu ra nước ngoài (nếu có).
• Quản lý hồ sơ tuân thủ, hồ sơ đăng ký/khai báo/báo cáo nếu pháp luật yêu cầu.
• Tiếp nhận, điều phối và giám sát việc xử lý yêu cầu của chủ thể dữ liệu.
• Phối hợp xử lý sự cố dữ liệu cá nhân.
• Rà soát điều khoản hợp đồng, phụ lục xử lý dữ liệu với khách hàng, đối tác, nhà cung cấp.
• Tổ chức đào tạo, truyền thông và kiểm tra tuân thủ nội bộ.

Pháp luật hiện hành giao cho bộ phận/nhân sự bảo vệ dữ liệu cá nhân nhiệm vụ xây dựng chính sách, quy trình, biểu mẫu và tổ chức thực hiện quyền của chủ thể dữ liệu.

10.4. Trách nhiệm của Phòng kỹ thuật/Ban ISMS/Ban ISO

Các bộ phận kỹ thuật có trách nhiệm:

• Thiết lập và duy trì biện pháp bảo vệ kỹ thuật đối với dữ liệu cá nhân.
• Quản lý tài khoản, phân quyền, xác thực, nhật ký hệ thống, sao lưu, giám sát và cảnh báo.
• Tách biệt môi trường phát triển, kiểm thử và vận hành.
• Kiểm soát việc lưu trữ, truyền tải, sao lưu và phục hồi dữ liệu.
• Triển khai biện pháp ứng phó, cô lập, điều tra và khắc phục sự cố.
• Không cho phép truy cập production hoặc truy xuất dữ liệu cá nhân ngoài thẩm quyền được phê duyệt.
• Phối hợp đánh giá rủi ro khi triển khai hệ thống, tính năng, API hoặc tích hợp mới.

10.5. Trách nhiệm của nhân viên phát triển phần mềm, sản phẩm (Dev/Tester)

Nhân viên phụ trách phát triển phần mềm, sản phẩm có trách nhiệm:

• Áp dụng nguyên tắc Privacy by Design và Security by Design trong toàn bộ vòng đời sản phẩm.
• Đánh giá dữ liệu cá nhân từ giai đoạn thiết kế yêu cầu, phân tích nghiệp vụ, phát triển đến triển khai.
• Không triển khai tính năng xử lý dữ liệu cá nhân mới nếu chưa đánh giá mục đích, phạm vi, căn cứ xử lý và rủi ro.
• Không dùng dữ liệu thật của khách hàng để phát triển, kiểm thử, debug hoặc demo nếu chưa được phê duyệt và kiểm soát phù hợp.
• Không đưa dữ liệu cá nhân vào mã nguồn, repo, ticket, log hoặc môi trường không được phép.

10.6. Trách nhiệm của Phòng Kinh doanh/Hỗ trợ/Vận hành

10.6.1. Nhân viên Sales/Kế toán

• Chỉ thu thập và sử dụng dữ liệu khách hàng trong phạm vi cần thiết.
• Không tự ý trích xuất, chia sẻ hoặc dùng dữ liệu khách hàng ngoài phạm vi dịch vụ hoặc mục đích chưa được phê duyệt.

10.6.2. Nhân viên Chăm sóc khách hàng/Vận hành

• Chỉ truy cập dữ liệu ở mức cần thiết để hỗ trợ khách hàng.
• Không chụp màn hình, tải về hoặc gửi dữ liệu cá nhân qua kênh không được phép.

10.6.3. Nhân viên kinh doanh

• Chỉ sử dụng dữ liệu cá nhân cho tiếp thị khi có căn cứ phù hợp.
• Không dùng dữ liệu khách hàng sản phẩm cho marketing trái phạm vi hoặc cam kết.

10.6.4. Nhân viên bộ phận nhân sự

Quản lý hồ sơ ứng viên, hồ sơ nhân sự, chấm công, camera, tài khoản nội bộ và dữ liệu lao động đúng phạm vi công việc và quy định pháp luật.

10.6.5. Trách nhiệm của toàn thể nhân sự

Mọi cá nhân thuộc phạm vi áp dụng của Chính sách này có trách nhiệm:

• Tuân thủ đầy đủ quy định về bảo vệ dữ liệu cá nhân.
• Chỉ xử lý dữ liệu cá nhân theo đúng quyền hạn và mục đích công việc.
• Giữ bí mật dữ liệu cá nhân và không tiết lộ trái phép.
• Báo cáo ngay cho cấp quản lý và bộ phận phụ trách khi phát hiện hoặc nghi ngờ sự cố, vi phạm hoặc rủi ro.
• Tham gia đầy đủ chương trình đào tạo, phổ biến và kiểm tra về bảo vệ dữ liệu cá nhân.

11. YÊU CẦU BẮT BUỘC TRONG XỬ LÝ DỮ LIỆU CÁ NHÂN

11.1. Yêu cầu chung khi thu thập và xử lý dữ liệu

Mọi hoạt động xử lý dữ liệu cá nhân tại Công ty phải bảo đảm:

• Có mục đích rõ ràng và căn cứ hợp pháp.
• Chỉ thu thập dữ liệu thực sự cần thiết.
• Có thông báo, điều khoản hoặc cơ chế minh bạch phù hợp.
• Có chủ thể/bộ phận chịu trách nhiệm.
• Có biện pháp kiểm soát truy cập và bảo vệ tương xứng.
• Có thời hạn lưu trữ xác định hoặc có căn cứ xác định.
• Có khả năng truy vết, kiểm tra và giải trình.

11.2. Cấm và hạn chế trong xử lý dữ liệu cá nhân

Công ty nghiêm cấm các hành vi sau:

• Thu thập dữ liệu cá nhân không cần thiết hoặc ngoài phạm vi được phê duyệt.
• Sử dụng dữ liệu cá nhân cho mục đích cá nhân hoặc mục đích không liên quan công việc.
• Truy cập trái phép hoặc cố ý vượt quyền truy cập.
• Chia sẻ, sao chép, tải xuống, xuất file hoặc chuyển dữ liệu cá nhân ra ngoài hệ thống trái phép.
• Chụp màn hình, gửi qua ứng dụng chat cá nhân, email cá nhân hoặc thiết bị cá nhân không được phép.
• Dùng dữ liệu thật của khách hàng để kiểm thử, đào tạo, trình diễn, nghiên cứu hoặc huấn luyện mô hình mà chưa được phê duyệt.
• Che giấu, trì hoãn hoặc không báo cáo sự cố dữ liệu cá nhân.
• Tự ý kết nối, tích hợp, chia sẻ dữ liệu với bên thứ ba khi chưa có phê duyệt.

11.3. Quy tắc kiểm soát dữ liệu cá nhân

Do đặc thù hoạt động của Công ty trong lĩnh vực công nghệ thông tin, nền tảng số, chữ ký điện tử/chữ ký số và các sản phẩm liên quan, Công ty áp dụng thêm các nguyên tắc kiểm soát bắt buộc sau:

• Không cho phép kỹ sư, nhân sự kỹ thuật hoặc vendor truy cập môi trường production nếu không có phê duyệt và ghi log.
• Không sử dụng tài liệu đã ký, hợp đồng điện tử, hồ sơ giao dịch hoặc dữ liệu định danh của khách hàng cho mục đích trình diễn, đào tạo, marketing hoặc phát triển nội bộ trái phép.
• Không sử dụng dữ liệu thật để debug nếu chưa áp dụng biện pháp ẩn danh hóa, che dữ liệu hoặc kiểm soát truy cập phù hợp.
• Mọi hoạt động export dữ liệu phải có căn cứ nghiệp vụ, người phê duyệt và lưu vết.
• Mọi API, webhook, integration, batch job hoặc đồng bộ dữ liệu phải được đánh giá phạm vi trường dữ liệu được phép xử lý.
• Mọi tính năng AI, OCR, nhận diện, phân tích hành vi, anti-fraud, face match, analytics hoặc profiling phải được rà soát pháp lý và đánh giá rủi ro trước khi triển khai.

12. BIỆN PHÁP BẢO VỆ DỮ LIỆU CÁ NHÂN

12.1. Biện pháp tổ chức

Công ty áp dụng tối thiểu các biện pháp tổ chức sau:

• Ban hành chính sách, quy trình, hướng dẫn, biểu mẫu và hồ sơ tuân thủ.
• Phân công rõ vai trò và trách nhiệm.
• Thiết lập cơ chế phê duyệt đối với các hoạt động xử lý có rủi ro.
• Đào tạo và kiểm tra nhận thức định kỳ.
• Đánh giá nội bộ, rà soát định kỳ, xử lý sai lệch và cải tiến.
• Thiết lập cơ chế tiếp nhận phản ánh, yêu cầu và khiếu nại liên quan đến dữ liệu cá nhân.

12.2. Biện pháp kỹ thuật tối thiểu

Công ty áp dụng tối thiểu các biện pháp kỹ thuật sau:

12.2.1. Kiểm soát truy cập

• Tài khoản định danh riêng.
• Phân quyền theo vai trò (RBAC).
• Nguyên tắc least privilege.
• Xác thực đa yếu tố (MFA) đối với tài khoản quản trị và các tài khoản có rủi ro cao.
• Rà soát quyền truy cập định kỳ.

12.2.2. Bảo vệ dữ liệu

• Mã hóa dữ liệu lưu trữ và truyền tải khi phù hợp.
• Sử dụng giao thức bảo mật (TLS/HTTPS/VPN hoặc tương đương).
• Bảo vệ bí mật khóa, chứng thư, token, secret, credential.
• Áp dụng masking (che giấu dữ liệu), tokenization (token hóa/mã hóa kỹ thuật số), pseudonymization (giả danh hóa) hoặc anonymization (ẩn danh hóa) khi cần thiết.

12.2.3. Ghi log và giám sát

• Ghi log đăng nhập, log truy cập, log thao tác quản trị, log thay đổi dữ liệu quan trọng.
• Giám sát truy cập bất thường, hành vi bất thường, truy cập ngoài giờ, truy cập khối lượng lớn hoặc export bất thường.
• Lưu vết sự kiện phục vụ điều tra, kiểm tra và giải trình.

12.2.4. Bảo vệ hạ tầng và phần mềm

• Tách biệt môi trường dev/test/staging/prod.
• Quản lý lỗ hổng, vá lỗi, hardening, secure configuration.
• Kiểm thử bảo mật, rà soát mã nguồn, kiểm tra tích hợp và phụ thuộc.
• Kiểm soát API, endpoint, webhook và các kết nối hệ thống.

12.2.5. Backup và khôi phục

• Sao lưu dữ liệu phù hợp với mức độ quan trọng của hệ thống.
• Bảo vệ bản sao lưu.
• Kiểm tra khả năng khôi phục định kỳ.

12.2.6. Bảo vệ thiết bị đầu cuối và email

• Quản lý thiết bị đầu cuối.
• Mã hóa thiết bị khi phù hợp.
• Bảo vệ email, chống phishing, chống thất thoát dữ liệu.
• Kiểm soát lưu trữ cục bộ và thiết bị di động.

12.3 Privacy by Design (Bảo mật theo thiết kế) và Security by Design (An ninh theo thiết kế)

Mọi sản phẩm, tính năng, quy trình, tích hợp hoặc thay đổi hệ thống có liên quan đến dữ liệu cá nhân phải được xem xét tối thiểu các nội dung sau trước khi triển khai:

• Thu thập dữ liệu gì?
• Có dữ liệu cá nhân hay dữ liệu nhạy cảm không?
• Mục đích xử lý là gì?
• Có thật sự cần thu thập không?
• Dữ liệu được lưu ở đâu?
• Ai được quyền truy cập?
• Có chia sẻ với bên thứ ba hoặc xử lý ngoài lãnh thổ Việt Nam không?
• Có cần cập nhật thông báo quyền riêng tư, điều khoản hợp đồng hoặc hồ sơ đánh giá tác động không?

Không được đưa tính năng vào môi trường vận hành chính thức khi chưa hoàn thành các bước đánh giá cần thiết theo quy định nội bộ.

13. QUẢN LÝ BÊN THỨ BA, NHÀ CUNG CẤP

13.1. Quản lý bên thứ ba và nhà cung cấp

Trước khi cho phép bất kỳ bên thứ ba, nhà cung cấp, nhà thầu, đối tác tích hợp hoặc đơn vị hỗ trợ kỹ thuật nào truy cập hoặc xử lý dữ liệu cá nhân, Công ty thực hiện tối thiểu:

• Xác định rõ vai trò pháp lý của bên đó.
• Đánh giá mức độ cần thiết và rủi ro.
• Ký kết hợp đồng, phụ lục hoặc điều khoản xử lý dữ liệu phù hợp.
• Quy định rõ phạm vi dữ liệu, mục đích, thời hạn, biện pháp bảo vệ, quyền kiểm tra và nghĩa vụ thông báo sự cố.
• Áp dụng nguyên tắc truy cập tối thiểu và giới hạn theo nhiệm vụ.
• Tiến hành chấm dứt, thu hồi quyền truy cập, hoàn trả/xóa dữ liệu khi kết thúc quan hệ.

13.2 Quản lý tích hợp hệ thống, API và nền tảng cloud

Đối với hoạt động tích hợp hệ thống, sử dụng hạ tầng cloud, SaaS, API, dịch vụ giám sát, email, ticketing, CRM, xác thực, OTP, OCR, KYC, anti-fraud hoặc các dịch vụ công nghệ tương tự, Công ty thực hiện:

• Xác định dữ liệu nào được truyền, lưu, xử lý hoặc đồng bộ.
• Xác định vị trí lưu trữ và phạm vi truy cập.
• Đánh giá rủi ro pháp lý, kỹ thuật và vận hành.
• Giới hạn trường dữ liệu và tần suất chia sẻ ở mức cần thiết.
• Có cơ chế mã hóa, token hóa hoặc giảm thiểu dữ liệu khi phù hợp.
• Đảm bảo đã qua phê duyệt và lưu vết tích hợp.

14. QUYỀN CỦA CHỦ THỂ DỮ LIỆU VÀ CƠ CHẾ THỰC HIỆN

14.1. Quyền của chủ thể dữ liệu

Chủ thể dữ liệu có các quyền sau đây:

• Quyền được biết và đồng ý: Chủ thể dữ liệu được quyền biết và quyền đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân của mình, trừ trường hợp pháp luật có quy định khác. Thông qua Chính sách này, Chủ thể dữ liệu được biết về hoạt động xử lý dữ liệu cá nhân của Công ty. Chủ thể dữ liệu thể hiện sự đồng ý cho phép Công ty xử lý dữ liệu cá nhân của Chủ thể dữ liệu bằng các cách xác nhận đồng ý theo mẫu xác nhận của Chính sách này. Việc xác nhận được thực hiện bằng một trong những cách: Ký xác nhận đồng ý, hoặc xác nhận đồng ý qua email, hoặc xác nhận đồng ý qua link của Công ty.
• Quyền rút lại sự đồng ý: Chủ thể dữ liệu được quyền rút lại sự đồng ý của mình, trừ trường hợp pháp luật có quy định khác.
• Quyền xóa dữ liệu: Chủ thể dữ liệu được xóa hoặc yêu cầu xóa dữ liệu cá nhân của mình, trừ trường hợp pháp luật có quy định khác.
• Quyền hạn chế xử lý dữ liệu cá nhân: Chủ thể dữ liệu được yêu cầu hạn chế xử lý dữ liệu cá nhân của mình, trừ trường hợp pháp luật có quy định khác.
• Quyền truy cập để xem, chỉnh sửa hoặc yêu cầu chỉnh sửa Dữ liệu cá nhân của mình: trừ trường hợp pháp luật có quy định khác.
• Quyền yêu cầu cung cấp cho bản thân Dữ liệu cá nhân của mình: trừ trường hợp pháp luật có quy định khác.
• Quyền phản đối xử lý dữ liệu cá nhân của mình theo quy định của pháp luật.
• Quyền tự bảo vệ.
• Quyền khiếu nại, tố cáo, khởi kiện.
• Quyền yêu cầu bồi thường thiệt hại.

Những lưu ý khi thực hiện quyền của Chủ thể dữ liệu

• Ngoại trừ quyền được biết và quyền đồng ý, Chủ thể dữ liệu có thể thực hiện các quyền khác nêu trên bằng cách gửi yêu cầu đến Công ty. Yêu cầu phải có các nội dung cơ bản như: thông tin người yêu cầu, nội dung yêu cầu chi tiết (loại dữ liệu cần cung cấp, cần điều chỉnh, cần xóa…), lý do, thông tin khác liên quan đến nội dung yêu cầu (ví dụ: tài liệu yêu cầu cung cấp ở dạng file hay giấy tờ, địa chỉ nhận thông tin…).
• Công ty sẽ xử lý các yêu cầu hợp pháp và hợp lệ của Chủ thể dữ liệu trong thời hạn phù hợp với các quy định của pháp luật. Tuy nhiên, vì mục đích bảo mật, Công ty có thể yêu cầu Chủ thể dữ liệu xác nhận danh tính trước khi xử lý yêu cầu của Chủ thể dữ liệu.
• Trong trường hợp Chủ thể dữ liệu rút lại sự đồng ý của mình, yêu cầu xóa dữ liệu hoặc thực hiện các quyền khác đối với bất kỳ hoặc tất cả Dữ liệu cá nhân có thể làm ảnh hưởng đến khả năng cung cấp/duy trì quan hệ hợp đồng giữa Công ty và Chủ thể dữ liệu. Do vậy, các quyền được thực hiện bởi Chủ thể dữ liệu theo quy định tại mục 14.1 này được xem là sự đơn phương chấm dứt bất kỳ quan hệ nào giữa Chủ thể dữ liệu và Công ty, đồng thời có thể dẫn đến sự vi phạm nghĩa vụ/cam kết theo hợp đồng giữa Chủ thể dữ liệu và Công ty. Theo đó, Công ty sẽ không chịu trách nhiệm đối với Chủ thể dữ liệu về bất kỳ tổn thất nào phát sinh và các quyền hợp pháp của Công ty sẽ được bảo lưu một cách đầy đủ.
• Công ty có thể từ chối thực hiện các yêu cầu của Chủ thể dữ liệu trong một số trường hợp nhất định, bao gồm nhưng không giới hạn ở các trường hợp: (i) Chủ thể dữ liệu không cung cấp hoặc cung cấp không đầy đủ giấy tờ, tài liệu để xác minh danh tính. hoặc (ii) Quy định pháp luật không có phép thực hiện yêu cầu của Chủ thể dữ liệu.

14.2. Nghĩa vụ của chủ thể dữ liệu

• Tự bảo vệ dữ liệu cá nhân của mình. yêu cầu các tổ chức, cá nhân khác có liên quan bảo vệ dữ liệu cá nhân của mình.
• Tôn trọng, bảo vệ dữ liệu cá nhân của người khác.
• Cung cấp đầy đủ, chính xác dữ liệu cá nhân khi đồng ý cho phép xử lý dữ liệu cá nhân.
• Tham gia tuyên truyền, phổ biến kỹ năng bảo vệ dữ liệu cá nhân.
• Thực hiện quy định của pháp luật về bảo vệ dữ liệu cá nhân và tham gia phòng, chống các hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân.

14.3. Nguyên tắc bảo đảm quyền của chủ thể dữ liệu

Công ty cam kết tôn trọng và triển khai cơ chế thực hiện các quyền của chủ thể dữ liệu theo quy định pháp luật hiện hành.

Các quyền này được thực hiện thông qua quy trình nội bộ, đầu mối tiếp nhận, cơ chế xác minh danh tính và cơ chế phản hồi phù hợp.

14.4. Cơ chế tiếp nhận và xử lý yêu cầu

Công ty thiết lập đầu mối tiếp nhận yêu cầu của chủ thể dữ liệu thông qua một hoặc nhiều kênh:

• Email tiếp nhận hỗ trợ: info@mobile-id.vn.
• Số điện thoại: +84 28 3622 2982 hoặc số hotline 1900 6884.
• Các nhóm trao đổi, hỗ trợ trên các nền tảng: Zalo, telegram, what’sapp, MS Teams, … được lập để hỗ trợ khách hàng.

Công ty có quyền yêu cầu xác minh danh tính hoặc quyền đại diện hợp pháp trước khi xử lý yêu cầu.

Mọi yêu cầu phải được:

• Ghi nhận.
• Phân loại.
• Xử lý theo SLA nội bộ.
• Lưu hồ sơ chứng minh việc xử lý.

Công ty có thể từ chối hoặc giới hạn xử lý yêu cầu trong trường hợp pháp luật cho phép hoặc khi yêu cầu ảnh hưởng đến an ninh, nghĩa vụ pháp lý, quyền và lợi ích hợp pháp của các bên liên quan.

14.5. Hoạt động “Thông báo và sự đồng ý của Chủ thể dữ liệu”

Khi Công ty tiếp nhận Dữ liệu cá nhân từ Chủ thể dữ liệu, Chủ thể dữ liệu sẽ được thông báo về Chính sách này để đọc và xác nhận thông qua một trong các kênh từ Website Công ty hoặc xác nhận do Bộ phận Nhân sự của Công ty gửi đến Chủ thể dữ liệu.

15. QUẢN LÝ SỰ CỐ DỮ LIỆU CÁ NHÂN

15.1. Nguyên tắc xử lý sự cố

Mọi sự cố hoặc nghi ngờ sự cố liên quan đến dữ liệu cá nhân phải được xử lý theo nguyên tắc:

• Phát hiện sớm.
• Báo cáo kịp thời.
• Cô lập nhanh.
• Đánh giá đầy đủ.
• Khắc phục hiệu quả.
• Lưu hồ sơ và rút kinh nghiệm.

15.2. Nghĩa vụ báo cáo nội bộ

Mọi nhân sự, nhà thầu hoặc bên liên quan khi phát hiện hoặc nghi ngờ có sự cố dữ liệu cá nhân phải báo cáo ngay lập tức cho:

• Quản lý trực tiếp. và/hoặc
• Bộ phận phụ trách bảo vệ dữ liệu cá nhân. và/hoặc
• Bộ phận an toàn thông tin.

Nghiêm cấm:

• Che giấu sự cố.
• Tự ý xử lý ngoài quy trình.
• Xóa log, xóa bằng chứng hoặc thay đổi hiện trường số.

Mọi sự cố phải được ghi nhận vào Sổ đăng ký sự cố dữ liệu cá nhân.

15.3. Quy trình xử lý sự cố

Quy trình xử lý sự cố dữ liệu cá nhân tối thiểu bao gồm các bước sau:

• Tiếp nhận và ghi nhận sự cố.
• Xác minh và phân loại mức độ.
• Cô lập, kiểm soát và giảm thiểu ảnh hưởng.
• Điều tra nguyên nhân và phạm vi ảnh hưởng.
• Khắc phục, phục hồi và gia cố kiểm soát.
• Xem xét nghĩa vụ thông báo/báo cáo theo pháp luật và hợp đồng.
• Tổng kết, đánh giá và triển khai hành động khắc phục phòng ngừa (CAPA).

16. ĐÀO TẠO, KIỂM TRA VÀ XỬ LÝ VI PHẠM

16.1. Đào tạo và nâng cao nhận thức

Công ty tổ chức chương trình đào tạo, bồi dưỡng và truyền thông nội bộ về bảo vệ dữ liệu cá nhân tối thiểu như sau:

1. Đào tạo bắt buộc khi tiếp nhận nhân sự mới.
2. Đào tạo định kỳ tối thiểu hằng năm.
3. Đào tạo chuyên sâu cho các nhóm có rủi ro cao:
   • Kỹ thuật/DevOps/Security.
   • Product/Engineering.
   • CSKH/Support/Sales/Marketing.
   • HR/Admin/Finance.
   • Quản trị hệ thống/quản trị dữ liệu.
4. Kiểm tra nhận thức và lưu hồ sơ đào tạo.

16.2. Kiểm tra, giám sát và đánh giá tuân thủ

Công ty thực hiện:

1. Kiểm tra định kỳ hoặc đột xuất đối với việc tuân thủ Chính sách này.
2. Đánh giá rủi ro dữ liệu cá nhân theo chu kỳ hoặc theo dự án.
3. Rà soát quyền truy cập, luồng dữ liệu, hệ thống, nhà cung cấp và tích hợp bên ngoài.
4. Ghi nhận phát hiện, sai lệch, điểm yếu và hành động khắc phục.

16.3. Xử lý vi phạm

Mọi hành vi vi phạm Chính sách này tùy theo tính chất, mức độ có thể bị xử lý:

• Nhắc nhở.
• Yêu cầu đào tạo lại.
• Cảnh cáo.
• Tạm đình chỉ quyền truy cập.
• Xử lý kỷ luật lao động.
• Yêu cầu bồi thường thiệt hại.
• Chuyển xử lý theo quy định pháp luật hoặc nghĩa vụ hợp đồng.

Việc xử lý vi phạm không loại trừ trách nhiệm bồi thường, trách nhiệm hành chính, dân sự hoặc trách nhiệm pháp lý khác theo quy định pháp luật.

17. CAM KẾT CỦA CÔNG TY VỀ XỬ LÝ DỮ LIỆU CÁ NHÂN

• Công ty chỉ thu thập, xử lý và lưu trữ Dữ liệu cá nhân của Người lao động, ứng viên, đối tác phù hợp với quy định của pháp luật và/hoặc các hợp đồng, thỏa thuận, văn bản được giao kết và/ hoặc cho các mục đích chính đáng phù hợp với quy định của pháp luật.
• Phụ thuộc vào vai trò của Công ty trong từng tình huống cụ thể là (i) Bên Kiểm soát dữ liệu cá nhân, hoặc (ii) Bên Xử lý dữ liệu cá nhân, hoặc (iii) Bên kiểm soát và xử lý dữ liệu cá nhân, Công ty sẽ thực hiện các quyền hạn, trách nhiệm cũng như các nguyên tắc xử lý Dữ liệu cá nhân tương ứng theo quy định của pháp luật hiện hành.
• Công ty sẽ xử lý và bảo vệ Dữ liệu cá nhân do Chủ thể dữ liệu cung cấp phù hợp với quy định của pháp luật Việt Nam. Tuân thủ đầy đủ theo Chính sách bảo vệ dữ liệu cá nhân này và các hợp đồng, thỏa thuận, văn bản khác xác lập với Chủ thể dữ liệu cá nhân.
• Công ty thu thập, lưu trữ, sử dụng thông tin cá nhân do Chủ thể dữ liệu cung cấp với mục đích cụ thể, rõ ràng, hợp pháp, trong phạm vi các mục đích được nêu tại Chính sách bảo vệ dữ liệu cá nhân này và phù hợp với quy định của pháp luật Việt Nam.
• Công ty xem Dữ liệu cá nhân của Bên cung cấp là riêng tư và bí mật. Ngoài các trường hợp được đề cập tại Chính sách này, Công ty sẽ không chia sẻ, tiết lộ Dữ liệu cá nhân của Bên cung cấp cho bất kỳ bên nào khác.

18. ĐIỀU KHOẢN THI HÀNH

18.1. Hiệu lực thi hành

• Chính sách này có hiệu lực kể từ ngày được phê duyệt.
• Mọi quy định nội bộ trước đây trái với Chính sách này đều hết hiệu lực trong phạm vi mâu thuẫn.
• Trường hợp pháp luật thay đổi, bộ phận phụ trách có trách nhiệm rà soát và đề xuất cập nhật trong thời hạn phù hợp.

18.2. Tổ chức thực hiện

• Bộ phận phụ trách bảo vệ dữ liệu cá nhân là đầu mối tham mưu và điều phối thực hiện Chính sách này.
• Các bộ phận, đơn vị và cá nhân có liên quan có trách nhiệm nghiêm túc triển khai.
• Các phụ lục, quy chế, quy trình, biểu mẫu ban hành kèm theo là bộ phận không tách rời của Chính sách này.