Chính sách bảo vệ dữ liệu cá nhân sản phẩm V-ID

1. Giải thích từ ngữ

"Khách Hàng": là cá nhân đăng ký, sử dụng tài khoản V-ID, bao gồm cá nhân đang tìm hiểu, cân nhắc sử dụng V-ID và người sử dụng website, ứng dụng của V-ID. Định nghĩa này bao gồm cả người tiêu dùng theo quy định của pháp luật về bảo vệ quyền lợi người tiêu dùng, và được hiểu là bao gồm Đối Tác là cá nhân và Đầu Mối Liên Hệ của Đối Tác trong phạm vi các chủ thể này đăng ký, sử dụng tài khoản V-ID. Định nghĩa này không bao gồm Nhân Sự, là nhóm chủ thể được điều chỉnh riêng tại Mục 4.2 của Chính Sách này.

"Nhân Sự": là cá nhân hiện tại hoặc đã từng có mối quan hệ lao động với Công Ty, bao gồm nhưng không giới hạn ở: thành viên Ban lãnh đạo, người quản lý, người lao động; ứng viên, thực tập sinh, cộng tác viên.

"Người Tiêu Dùng": là cá nhân mua, sử dụng sản phẩm, hàng hóa, dịch vụ cho mục đích tiêu dùng, sinh hoạt của bản thân, gia đình hoặc cho cơ quan, tổ chức sử dụng nội bộ và không nhằm mục đích thương mại.

"Đối Tác": là các tổ chức, cá nhân làm việc với Công Ty để hợp tác, cung cấp sản phẩm, dịch vụ hoặc hỗ trợ hoạt động của Công Ty. Các đối tác là cá nhân bao gồm nhưng không giới hạn ở nhà thầu cá nhân, nhà tư vấn, nhân sự do bên thứ ba cung ứng cho Công Ty, tài xế, nhân viên giao hàng, đối tác bán vé và đối tác tham gia các chương trình do Công Ty hoặc các công ty trong hệ sinh thái Vingroup triển khai.

"Đầu Mối Liên Hệ": là cá nhân do Đối Tác chỉ định làm đầu mối liên hệ, làm việc với Công Ty và được cấp tài khoản V-ID để đăng nhập vào các ứng dụng dành cho đối tác.

"Dữ Liệu Cá Nhân": là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm: Dữ Liệu Cá Nhân Cơ Bản và Dữ Liệu Cá Nhân Nhạy Cảm. Dữ Liệu Cá Nhân sau khi khử nhận dạng không còn là Dữ Liệu Cá Nhân.

"Dữ Liệu Cá Nhân Cơ Bản": là dữ liệu cá nhân phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong các giao dịch, quan hệ xã hội, thuộc danh mục do Chính phủ ban hành.

"Dữ Liệu Cá Nhân Nhạy Cảm": là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân, thuộc danh mục do Chính phủ ban hành.

"Chủ Thể Dữ Liệu": là cá nhân được Dữ Liệu Cá Nhân phản ánh.

"Xử Lý Dữ Liệu Cá Nhân" hoặc "Xử Lý": là hoạt động tác động đến Dữ Liệu Cá Nhân, bao gồm một hoặc nhiều hoạt động như sau: thu thập, phân tích, tổng hợp, mã hóa, giải mã, chỉnh sửa, xóa, hủy, khử nhận dạng, cung cấp, công khai, chuyển giao Dữ Liệu Cá Nhân và hoạt động khác tác động đến Dữ Liệu Cá Nhân.

"Bên Kiểm Soát Dữ Liệu Cá Nhân": là bên quyết định mục đích và phương tiện Xử Lý Dữ Liệu Cá Nhân.

"Bên Xử Lý Dữ Liệu Cá Nhân": là bên thực hiện việc Xử Lý Dữ Liệu Cá Nhân thay mặt Bên Kiểm Soát Dữ Liệu Cá Nhân, trên cơ sở thỏa thuận với Bên Kiểm Soát Dữ Liệu Cá Nhân. Tùy từng hoạt động Xử Lý, Công Ty có thể là Bên Kiểm Soát Dữ Liệu Cá Nhân hoặc Bên Xử Lý Dữ Liệu Cá Nhân.

"Bên Kiểm Soát Và Xử Lý Dữ Liệu Cá Nhân": là bên đồng thời quyết định mục đích, phương tiện Xử Lý Dữ Liệu Cá Nhân và trực tiếp thực hiện việc Xử Lý Dữ Liệu Cá Nhân.

"Luật Áp Dụng" nghĩa là các văn bản quy phạm pháp luật Việt Nam (bao gồm các luật, nghị định, thông tư và văn bản hướng dẫn có liên quan) điều chỉnh hoặc liên quan đến việc bảo vệ Dữ Liệu Cá Nhân và các nghĩa vụ khác liên quan đến Dữ Liệu Cá Nhân.

"Chính Sách Bảo Vệ Dữ Liệu Cá Nhân" hay "Chính Sách" là toàn bộ nội dung của chính sách này bao gồm 14 mục.

"V-ID": là nền tảng định danh và xác thực điện tử do Công Ty phát triển, vận hành, cung cấp tài khoản V-ID, chức năng đăng nhập một lần (SSO) và chức năng xác minh danh tính điện tử cho người dùng và các ứng dụng trong hệ sinh thái Vingroup.

"eKYC": là hoạt động xác minh danh tính điện tử của Chủ Thể Dữ Liệu thông qua việc thu thập và đối chiếu thông tin trên giấy tờ tùy thân, dữ liệu đọc từ chip điện tử, hình ảnh khuôn mặt và kết quả kiểm tra người thật (liveness).

"Mức Độ Đảm Bảo Danh Tính" hay "LoA": là mức độ tin cậy của danh tính gắn với tài khoản V-ID, được xác định theo kết quả xác minh danh tính theo khung tin cậy của V-ID.

"Bên Tích Hợp": là tổ chức tích hợp với V-ID để sử dụng chức năng đăng nhập một lần và tiếp nhận các thuộc tính danh tính đã được Chủ Thể Dữ Liệu đồng ý chia sẻ.

"Bên Nhận Dữ Liệu": là tổ chức, cá nhân được Công Ty chia sẻ, cung cấp hoặc chuyển giao Dữ Liệu Cá Nhân theo quy định tại Mục 5 của Chính Sách này, bao gồm Bên Xử Lý Dữ Liệu Cá Nhân, Bên Tích Hợp và các bên thứ ba khác.

2. Cam kết bảo vệ dữ liệu cá nhân

Công Ty cam kết KHÔNG mua, bán Dữ Liệu Cá Nhân và tuân thủ các nguyên tắc sau đây khi Xử Lý Dữ Liệu Cá Nhân:

• Tuân thủ đầy đủ theo các thỏa thuận, văn kiện xác lập với Chủ Thể Dữ Liệu.
• Xử Lý Dữ Liệu Cá Nhân với mục đích cụ thể, rõ ràng, hợp pháp như nêu tại Chính Sách này và phù hợp với quy định của Luật Áp Dụng.
• Luôn áp dụng và thường xuyên cập nhật các biện pháp bảo vệ Dữ Liệu Cá Nhân phù hợp với quy định của Luật Áp Dụng để bảo vệ Dữ Liệu Cá Nhân khỏi sự cố hoặc khỏi sự truy cập trái phép và/hoặc sự phá hủy, mất, thiệt hại cho Dữ Liệu Cá Nhân.
• Lưu trữ Dữ Liệu Cá Nhân một cách thích hợp và trong phạm vi cần thiết phù hợp với quy định của Luật Áp Dụng.

3. Phạm vi áp dụng

Chính Sách này được áp dụng cho toàn bộ Chủ Thể Dữ Liệu có Dữ Liệu Cá Nhân được Xử Lý trong phạm vi sản phẩm V-ID, bao gồm:

• Khách Hàng là người dùng cá nhân đăng ký, sử dụng tài khoản V-ID và chức năng đăng nhập một lần (SSO) vào các ứng dụng trong hệ sinh thái Vingroup.
• Nhân Sự của Công Ty, bao gồm ứng viên, được cấp và sử dụng tài khoản V-ID nội bộ.
• Đối Tác cá nhân và Đầu Mối Liên Hệ của Đối Tác sử dụng tài khoản V-ID để đăng nhập vào các ứng dụng dành cho đối tác.

4. Các loại dữ liệu cá nhân được thu thập và mục đích xử lý

4.1. Dành cho Khách Hàng

4.1.1. Các loại Dữ Liệu Cá Nhân được thu thập

Mục 4.1 này áp dụng cho Khách Hàng theo định nghĩa tại Mục 1.1, bao gồm Đối Tác là cá nhân và Đầu Mối Liên Hệ của Đối Tác sử dụng tài khoản V-ID để đăng nhập vào các ứng dụng dành cho đối tác. Với mỗi loại Dữ Liệu Cá Nhân dưới đây, Công Ty nêu rõ mục đích Xử Lý tương ứng. Cơ sở pháp lý cho từng mục đích được quy định tại Mục 4.1.2 của Chính Sách này.

Dữ Liệu Cá Nhân Cơ Bản

• Thông tin liên hệ và nhận dạng: Họ và tên; ngày, tháng, năm sinh; giới tính; quốc tịch; quê quán; số điện thoại; địa chỉ email; nơi đăng ký thường trú; địa chỉ liên hệ. Mục đích Xử Lý: tạo và quản lý hồ sơ tài khoản V-ID; xác thực đăng nhập bằng mã xác thực một lần (OTP) và khôi phục tài khoản; liên hệ, thông báo và hỗ trợ Chủ Thể Dữ Liệu; đối chiếu thông tin do Chủ Thể Dữ Liệu khai báo với giấy tờ tùy thân khi thực hiện eKYC; riêng quốc tịch được sử dụng để xác định Mức Độ Đảm Bảo Danh Tính (LoA) tối đa có thể cấp cho tài khoản.
• Thông tin pháp lý và định danh: Số định danh cá nhân; số thẻ căn cước, căn cước công dân hoặc chứng minh nhân dân; số hộ chiếu. Mục đích Xử Lý: xác minh danh tính điện tử (eKYC) và xác định Mức Độ Đảm Bảo Danh Tính của tài khoản V-ID ở các mức từ L1 đến L3 thông qua việc đối chiếu số giấy tờ với dữ liệu đọc từ chip hoặc dữ liệu nhận dạng ký tự quang học (OCR); đối với Chủ Thể Dữ Liệu là người nước ngoài sử dụng hộ chiếu, mức xác minh tối đa là L2.
• Hình ảnh cá nhân: Ảnh đại diện của tài khoản V-ID do Chủ Thể Dữ Liệu tự tải lên. Mục đích Xử Lý: hiển thị ảnh đại diện trên hồ sơ tài khoản V-ID. Ảnh đại diện không được Xử Lý cho mục đích sinh trắc học hoặc xác minh danh tính điện tử.
• Dữ liệu về tài khoản số: Tên đăng nhập; địa chỉ email; tài khoản của nhà cung cấp dịch vụ đăng nhập liên kết được kết nối với tài khoản V-ID. Mục đích Xử Lý: quản lý việc đăng nhập; thiết lập và duy trì liên kết với tài khoản do nhà cung cấp dịch vụ đăng nhập bên thứ ba cấp; hiển thị và cá nhân hóa hồ sơ tài khoản.
• Dữ liệu kỹ thuật và vận hành hệ thống: Địa chỉ IP; thông tin thiết bị, hệ điều hành, trình duyệt; trạng thái tin cậy của thiết bị; nhật ký hệ thống phục vụ vận hành, bảo mật và cải thiện hệ thống. Mục đích Xử Lý: bảo mật tài khoản, bao gồm phát hiện thiết bị lạ và đăng nhập bất thường; hỗ trợ đăng nhập trên nhiều thiết bị; vận hành, khắc phục sự cố và cải thiện hệ thống; ghi và lưu nhật ký phục vụ tra soát, kiểm toán và tuân thủ quy định pháp luật. Dữ Liệu Cá Nhân trong nhật ký hệ thống được che (mask) khi ghi nhận.
• Dữ liệu về sự đồng ý: Phạm vi quyền đã cấp, thời điểm cấp và thời điểm thu hồi sự đồng ý. Mục đích Xử Lý: ghi nhận, quản lý và chứng minh phạm vi sự đồng ý của Chủ Thể Dữ Liệu; thực hiện yêu cầu rút lại sự đồng ý; đáp ứng nghĩa vụ chứng minh sự đồng ý theo quy định pháp luật về bảo vệ dữ liệu cá nhân.
• Dữ Liệu Cá Nhân khác: Mã giới thiệu; ngữ cảnh cá nhân hóa cho tính năng trợ lý ảo; lý do yêu cầu xóa tài khoản. Mục đích Xử Lý: cá nhân hóa trải nghiệm sản phẩm, bao gồm tính năng trợ lý ảo; ghi nhận nguồn giới thiệu; tiếp nhận, xử lý và lưu vết lý do khi Chủ Thể Dữ Liệu yêu cầu xóa tài khoản.

Dữ Liệu Cá Nhân Nhạy Cảm

• Dữ liệu sinh trắc học: Hình ảnh khuôn mặt, kết quả kiểm tra người thật (liveness) và dữ liệu đọc từ chip điện tử của giấy tờ tùy thân, được thu thập khi Chủ Thể Dữ Liệu thực hiện xác minh danh tính điện tử (eKYC). Mục đích Xử Lý: xác minh danh tính ở mức L2 thông qua đối chiếu khuôn mặt và kiểm tra người thật (liveness), và ở mức L3 thông qua đối chiếu khuôn mặt với hình ảnh đọc từ chip điện tử của giấy tờ tùy thân. Dữ liệu sinh trắc học không được Xử Lý cho mục đích khác ngoài mục đích xác minh danh tính nêu trên.
• Hình ảnh giấy tờ tùy thân: Hình ảnh thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân hoặc hộ chiếu. Mục đích Xử Lý: trích xuất thông tin trên giấy tờ bằng công nghệ nhận dạng ký tự quang học (OCR) và kiểm tra tính hợp lệ của giấy tờ phục vụ xác minh danh tính ở mức L1. Hình ảnh gốc được lưu tại đơn vị cung cấp dịch vụ eKYC với tư cách Bên Xử Lý Dữ Liệu Cá Nhân; Công Ty chỉ lưu mã tham chiếu.
• Thông tin tên đăng nhập và mật khẩu truy cập tài khoản định danh điện tử: Mã PIN, khóa công khai của passkey và mã xác thực một lần (OTP). Mã PIN và mã OTP chỉ được lưu ở dạng đã băm; dữ liệu sinh trắc học lưu trên thiết bị của Chủ Thể Dữ Liệu không được truyền về V-ID. Mục đích Xử Lý: xác thực đăng nhập không mật khẩu và xác thực nhiều yếu tố cho tài khoản định danh điện tử V-ID.
• Vị trí của cá nhân: Vị trí địa lý gần đúng được suy ra từ địa chỉ IP khi Chủ Thể Dữ Liệu đăng nhập, sử dụng dịch vụ. Mục đích Xử Lý: phát hiện đăng nhập bất thường và bảo mật tài khoản; hiển thị danh sách thiết bị, phiên đăng nhập để Chủ Thể Dữ Liệu tự kiểm soát tài khoản. Công Ty không sử dụng dịch vụ định vị của thiết bị và không xác định vị trí chính xác của Chủ Thể Dữ Liệu.
• Dữ liệu theo dõi hành vi trên không gian mạng: Nhật ký hoạt động tài khoản, phiên đăng nhập và thiết bị sử dụng khi truy cập V-ID và các ứng dụng tích hợp. Mục đích Xử Lý: bảo mật tài khoản, bao gồm phát hiện thiết bị lạ và truy cập trái phép; hỗ trợ đăng nhập trên nhiều thiết bị; ghi và lưu nhật ký phục vụ tra soát, kiểm toán và tuân thủ quy định pháp luật. Công Ty không Xử Lý dữ liệu này cho mục đích quảng cáo hoặc tiếp thị.

4.1.2. Cơ sở pháp lý để Xử Lý Dữ Liệu Cá Nhân và mục đích Xử Lý Dữ Liệu Cá Nhân

Công Ty Xử Lý Dữ Liệu Cá Nhân của Khách Hàng cho các mục đích sau, dựa trên sự đồng ý hoặc các cơ sở pháp lý khác như thực hiện thỏa thuận, tuân thủ các nghĩa vụ theo quy định của pháp luật như mô tả dưới đây.

Dựa trên sự đồng ý của Chủ Thể Dữ Liệu, Dữ Liệu Cá Nhân được Xử Lý để:

• Xác minh danh tính điện tử (eKYC) và xác định Mức Độ Đảm Bảo Danh Tính (LoA) của tài khoản V-ID, bao gồm việc Xử Lý dữ liệu sinh trắc học và hình ảnh giấy tờ tùy thân.
• Chia sẻ Mức Độ Đảm Bảo Danh Tính và các thuộc tính danh tính đã được xác minh cho Bên Tích Hợp, trong phạm vi Chủ Thể Dữ Liệu đồng ý tại từng lần đăng nhập.
• Cá nhân hóa trải nghiệm sản phẩm, bao gồm tính năng trợ lý ảo.
• Nghiên cứu, phát triển và cải thiện sản phẩm, dịch vụ, bao gồm việc ứng dụng dữ liệu lớn, thuật toán tự học và hệ thống trí tuệ nhân tạo theo quy định tại Mục 6 của Chính Sách này.

Thực hiện các mục đích khác được pháp luật cho phép Xử Lý Dữ Liệu Cá Nhân khi không có sự đồng ý của Chủ Thể Dữ Liệu, bao gồm:

• Thực hiện thỏa thuận với Chủ Thể Dữ Liệu: Tạo, quản lý tài khoản V-ID; xác thực đăng nhập, bao gồm đăng nhập một lần (SSO) vào các ứng dụng trong hệ sinh thái Vingroup; khôi phục tài khoản; tiếp nhận và xử lý yêu cầu của Chủ Thể Dữ Liệu, bao gồm yêu cầu xóa tài khoản; liên hệ, thông báo và hỗ trợ Chủ Thể Dữ Liệu.
• Bảo vệ quyền và lợi ích hợp pháp, chính đáng của Chủ Thể Dữ Liệu và của Công Ty: Bảo mật tài khoản; phát hiện, ngăn chặn đăng nhập bất thường, hành vi gian lận và vi phạm; hiển thị danh sách thiết bị, phiên đăng nhập để Chủ Thể Dữ Liệu tự kiểm soát tài khoản.
• Thực hiện nghĩa vụ pháp lý của Công Ty: Tuân thủ quy định pháp luật về bảo vệ dữ liệu cá nhân, giao dịch điện tử, an ninh mạng và các quy định pháp luật có liên quan; ghi và lưu nhật ký phục vụ tra soát, kiểm toán; tuân thủ yêu cầu, quyết định của cơ quan nhà nước có thẩm quyền.
• Giải quyết tình trạng khẩn cấp nhằm bảo vệ tính mạng, sức khỏe của Chủ Thể Dữ Liệu hoặc của người khác.

Việc Xử Lý Dữ Liệu Cá Nhân theo mục này bao gồm việc chuyển giao Dữ Liệu Cá Nhân cho Bên Xử Lý Dữ Liệu Cá Nhân và bên thứ ba theo quy định tại Mục 5 của Chính Sách này để thực hiện các mục đích nêu trên.

Trong quá trình hoạt động kinh doanh, Công Ty có thể thực hiện các hình thức tổ chức lại doanh nghiệp, bao gồm nhưng không giới hạn ở việc tái cấu trúc, chia, tách, sáp nhập hoặc hợp nhất. Trong các trường hợp này, Dữ Liệu Cá Nhân và quyền sử dụng thông tin có liên quan có thể được chuyển giao và/hoặc tiếp tục Xử Lý nhằm phục vụ việc thực hiện các hoạt động nêu trên, với điều kiện không làm phát sinh mục đích Xử Lý mới ngoài các mục đích đã nêu tại mục này.

4.2. Dành cho Nhân Sự, bao gồm ứng viên

4.2.1. Các loại Dữ Liệu Cá Nhân được thu thập

Với mỗi loại Dữ Liệu Cá Nhân dưới đây, Công Ty nêu rõ mục đích Xử Lý tương ứng. Cơ sở pháp lý và vai trò của Công Ty đối với từng mục đích được quy định tại Mục 4.2.2 của Chính Sách này.

Dữ Liệu Cá Nhân Cơ Bản

• Thông tin liên hệ và nhận dạng: Họ và tên; giới tính; số điện thoại; địa chỉ email công việc. Mục đích Xử Lý: cấp và quản lý hồ sơ tài khoản V-ID nội bộ; xác thực đăng nhập bằng mã xác thực một lần (OTP) và khôi phục tài khoản; liên hệ, thông báo và hỗ trợ Nhân Sự trong phạm vi vận hành tài khoản.
• Thông tin về tài khoản số: Tên đăng nhập; mã định danh tài khoản đăng nhập doanh nghiệp; các mã định danh nội bộ gắn với tài khoản V-ID. Mục đích Xử Lý: quản lý việc đăng nhập và xác thực vào các hệ thống, ứng dụng nội bộ; liên kết tài khoản V-ID với tài khoản đăng nhập doanh nghiệp để thực hiện đăng nhập một lần (SSO); đối chiếu, rà soát tài khoản trong quá trình vận hành.
• Thông tin nghề nghiệp và quan hệ lao động: Chức danh; cấp bậc; cấp độ vị trí; người quản lý trực tiếp; cơ cấu tổ chức; ngày bắt đầu công tác; trạng thái lao động. Mục đích Xử Lý: phân quyền truy cập hệ thống nội bộ theo chức danh, cấp bậc và cơ cấu tổ chức; quản lý vòng đời tài khoản V-ID theo trạng thái lao động, bao gồm vô hiệu hóa hoặc thu hồi quyền truy cập khi chấm dứt hoặc thay đổi vị trí công tác. Công Ty không Xử Lý các dữ liệu này cho mục đích đánh giá hiệu suất, tiền lương hoặc chế độ phúc lợi.
• Dữ liệu kỹ thuật và vận hành hệ thống: Địa chỉ IP; thông tin thiết bị, hệ điều hành, trình duyệt; nhật ký hệ thống phục vụ vận hành và bảo mật. Mục đích Xử Lý: bảo mật tài khoản; phát hiện, ngăn chặn đăng nhập bất thường và truy cập trái phép vào hệ thống nội bộ; vận hành và khắc phục sự cố hệ thống; ghi và lưu nhật ký phục vụ tra soát, kiểm toán và tuân thủ quy định pháp luật. Dữ Liệu Cá Nhân trong nhật ký hệ thống được che (mask) khi ghi nhận.
• Dữ liệu về sự đồng ý: Phạm vi quyền đã cấp, thời điểm cấp và thời điểm thu hồi sự đồng ý. Mục đích Xử Lý: ghi nhận, quản lý và chứng minh phạm vi sự đồng ý; thực hiện yêu cầu rút lại sự đồng ý của Nhân Sự hoặc ứng viên.

Dữ Liệu Cá Nhân Nhạy Cảm

• Thông tin tên đăng nhập và mật khẩu truy cập tài khoản định danh điện tử: Mã PIN, khóa công khai của passkey và mã xác thực một lần (OTP), chỉ được lưu ở dạng đã băm hoặc dạng khóa công khai. Mục đích Xử Lý: xác thực đăng nhập không mật khẩu và xác thực nhiều yếu tố khi truy cập các hệ thống, ứng dụng nội bộ.
• Vị trí của cá nhân: Vị trí địa lý gần đúng được suy ra từ địa chỉ IP khi đăng nhập, sử dụng dịch vụ. Mục đích Xử Lý: phát hiện đăng nhập bất thường và bảo mật tài khoản; hiển thị thiết bị, phiên đăng nhập để Nhân Sự tự kiểm soát tài khoản. Công Ty không sử dụng dữ liệu này để giám sát vị trí hoặc chấm công đối với Nhân Sự.
• Dữ liệu theo dõi hành vi trên không gian mạng: Nhật ký hoạt động tài khoản, phiên đăng nhập và thiết bị sử dụng khi truy cập các hệ thống, ứng dụng nội bộ. Mục đích Xử Lý: bảo mật tài khoản và hệ thống nội bộ, bao gồm phát hiện thiết bị lạ và truy cập trái phép; ghi và lưu nhật ký hoạt động phục vụ tra soát, kiểm toán và tuân thủ quy định pháp luật. Công Ty không Xử Lý dữ liệu này để đánh giá hiệu suất làm việc của Nhân Sự.

V-ID không thu thập và không Xử Lý các Dữ Liệu Cá Nhân khác trong hồ sơ nhân sự, bao gồm hồ sơ tuyển dụng, thông tin sức khỏe, nguồn gốc dân tộc, tôn giáo, tình trạng hôn nhân, quan hệ gia đình và người phụ thuộc, tiền lương, thuế, bảo hiểm, tài khoản ngân hàng, lý lịch tư pháp và dữ liệu ghi âm, ghi hình tại nơi làm việc. Các Dữ Liệu Cá Nhân này được xử lý bởi hệ thống quản trị nhân sự của tập đoàn theo chính sách bảo vệ dữ liệu cá nhân tương ứng.

4.2.2. Cơ sở pháp lý để Xử Lý Dữ Liệu Cá Nhân và mục đích Xử Lý Dữ Liệu Cá Nhân

Đối với Dữ Liệu Cá Nhân của Nhân Sự được đồng bộ một chiều từ hệ thống quản trị nhân sự của tập đoàn, Công Ty Xử Lý với tư cách là Bên Xử Lý Dữ Liệu Cá Nhân, theo chỉ định và trong phạm vi mục đích do bên kiểm soát dữ liệu xác định. Đối với Dữ Liệu Cá Nhân phát sinh trong quá trình thiết lập và sử dụng tài khoản V-ID, Công Ty Xử Lý cho các mục đích sau:

• Cấp, quản lý tài khoản V-ID nội bộ và xác thực đăng nhập vào các hệ thống, ứng dụng nội bộ của Công Ty và của tập đoàn.
• Phân quyền truy cập hệ thống nội bộ theo chức danh và cơ cấu tổ chức.
• Bảo mật tài khoản; phát hiện, ngăn chặn đăng nhập bất thường và truy cập trái phép.
• Ghi và lưu nhật ký hoạt động phục vụ tra soát, kiểm toán và tuân thủ quy định pháp luật.
• Đối với ứng viên: Cấp và quản lý tài khoản V-ID phục vụ việc tham gia quy trình tuyển dụng và truy cập các hệ thống liên quan trong phạm vi cần thiết.

Việc Xử Lý Dữ Liệu Cá Nhân theo mục này bao gồm việc chuyển giao Dữ Liệu Cá Nhân cho Bên Xử Lý Dữ Liệu Cá Nhân và bên thứ ba theo quy định tại Mục 5 của Chính Sách này để thực hiện các mục đích nêu trên.

Đối với Dữ Liệu Cá Nhân của Nhân Sự được đồng bộ từ hệ thống quản trị nhân sự của tập đoàn, Công Ty Xử Lý với tư cách là Bên Xử Lý Dữ Liệu Cá Nhân theo chỉ định của bên kiểm soát dữ liệu và không phải là bên thu thập gốc.

5. Chia sẻ và chuyển giao dữ liệu cá nhân

5.1. Nguyên tắc chung

Khi chia sẻ và chuyển giao Dữ Liệu Cá Nhân cho bên thứ ba, Công Ty cam kết:

• Chỉ chia sẻ trong phạm vi cần thiết phù hợp với các mục đích Xử Lý Dữ Liệu Cá Nhân đã nêu tương ứng với từng đối tượng Chủ Thể Dữ Liệu; và
• Yêu cầu bên nhận dữ liệu áp dụng biện pháp bảo vệ dữ liệu phù hợp.

5.2. Bên Nhận Dữ Liệu

Tùy từng đối tượng Chủ Thể Dữ Liệu, mục đích và hoạt động Xử Lý Dữ Liệu Cá Nhân, Công Ty chia sẻ, cung cấp hoặc chuyển giao Dữ Liệu Cá Nhân cho những bên nhận dữ liệu sau:

Việc chuyển giao Dữ Liệu Cá Nhân theo quy định tại Chính Sách này và tuân thủ quy định pháp luật hiện hành dù có thu phí hay không, không được xác định là mua, bán Dữ Liệu Cá Nhân.

6. Xử lý dữ liệu cá nhân trong hoạt động khoa học công nghệ

6.1. Chuyển giao Dữ Liệu Cá Nhân phục vụ phát triển khoa học – công nghệ

Trên cơ sở pháp lý phù hợp và tuân thủ nghiêm ngặt Luật Áp Dụng, Công Ty có thể chuyển giao Dữ Liệu Cá Nhân đến công ty mẹ, công ty con, công ty liên kết, đối tác công nghệ nhằm phục vụ các mục đích phát triển khoa học, công nghệ và đổi mới sáng tạo, bao gồm:

• Nghiên cứu, phát triển sản phẩm, dịch vụ công nghệ tài chính (Fintech);
• Xác minh danh tính điện tử, xác định Mức Độ Đảm Bảo Danh Tính (LoA) và phát hiện, ngăn chặn gian lận, đăng nhập bất thường bằng phương thức tự động;
• Xử lý dữ liệu lớn (Big Data);
• Xây dựng, vận hành công nghệ chuỗi khối (Blockchain), hệ thống vũ trụ ảo (Metaverse), điện toán đám mây;
• Công nghệ an ninh mạng;
• Các công nghệ ứng dụng thuật toán tự học, hệ thống trí tuệ nhân tạo (AI) và các hệ thống tự động khác.

6.2. Điều kiện tuân thủ khi chuyển giao và xử lý dữ liệu trong môi trường công nghệ

Mọi hoạt động chuyển giao và Xử Lý Dữ Liệu Cá Nhân trong môi trường dữ liệu lớn, trí tuệ nhân tạo, chuỗi khối, vũ trụ ảo, điện toán đám mây được thực hiện đúng mục đích, giới hạn trong phạm vi cần thiết và tuân thủ Luật Áp Dụng. Công Ty chỉ tiến hành Xử Lý Dữ Liệu Cá Nhân khi đảm bảo tuân thủ các yêu cầu sau:

• Hoạt động Xử Lý phù hợp với mục đích đã thông báo cho Chủ Thể Dữ Liệu và có căn cứ pháp lý phù hợp. Nếu pháp luật yêu cầu sự đồng ý của Chủ Thể Dữ Liệu đối với việc chuyển giao hoặc Xử Lý phục vụ trí tuệ nhân tạo, hệ thống tự động, Công Ty sẽ lấy sự đồng ý của Chủ Thể Dữ Liệu.
• Giám sát liên tục, kiểm tra, đánh giá định kỳ về an ninh mạng và bảo mật dữ liệu.
• Thực hiện phân loại theo mức độ rủi ro đối với việc Xử Lý bằng trí tuệ nhân tạo; thông báo cho Chủ Thể Dữ Liệu về việc Xử Lý tự động, giải thích nguyên tắc thuật toán và cho phép Chủ Thể Dữ Liệu lựa chọn không tham gia.
• Ràng buộc Bên Nhận Dữ Liệu bằng thỏa thuận chuyển giao/xử lý dữ liệu với nghĩa vụ bảo mật và chỉ Xử Lý trong phạm vi, mục đích do Công Ty xác định.
• Không sử dụng, phát triển hệ thống có sử dụng Dữ Liệu Cá Nhân để gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự an toàn xã hội hoặc xâm phạm quyền, lợi ích hợp pháp của người khác.

7. Thời hạn lưu trữ thông tin

Công Ty chỉ lưu trữ Dữ Liệu Cá Nhân của Chủ Thể Dữ Liệu trong thời hạn cần thiết để thực hiện các mục đích Xử Lý đã được nêu tại Chính Sách Bảo Vệ Dữ Liệu Cá Nhân này hoặc theo yêu cầu của pháp luật có liên quan. Đối với V-ID: (i) hồ sơ tài khoản, dữ liệu eKYC và nhật ký hoạt động, phiên đăng nhập, thiết bị được lưu trữ trong suốt thời gian tài khoản V-ID còn hoạt động và một thời hạn hợp lý sau đó để phục vụ tra soát, giải quyết khiếu nại và tuân thủ nghĩa vụ pháp lý; (ii) dữ liệu eKYC chỉ được sử dụng cho mục đích xác minh danh tính, không sử dụng cho mục đích khác; (iii) Dữ Liệu Cá Nhân của Nhân Sự được cập nhật hoặc xóa trong thời hạn 01 ngày kể từ khi có thay đổi tương ứng tại hệ thống quản trị nhân sự nguồn.

Ngay khi mục đích Xử Lý Dữ Liệu Cá Nhân đã hoàn thành hoặc không còn nhu cầu sử dụng Dữ Liệu Cá Nhân cho các mục đích đã thông báo, Công Ty sẽ thực hiện xóa, hủy hoặc khử nhận dạng Dữ Liệu Cá Nhân một cách kịp thời, trừ trường hợp pháp luật cho phép hoặc yêu cầu tiếp tục lưu trữ trong một thời hạn cụ thể. Công Ty có thể phải lưu trữ Dữ Liệu Cá Nhân ngay cả khi hợp đồng giữa các bên đã chấm dứt để thực hiện các nghĩa vụ theo quy định pháp luật và/hoặc yêu cầu của cơ quan nhà nước có thẩm quyền.

Trong các trường hợp pháp luật yêu cầu phải xóa, hủy Dữ Liệu Cá Nhân, Công Ty sẽ thực hiện việc xóa, hủy ngay theo đúng quy định, đồng thời áp dụng các biện pháp cần thiết để bảo đảm Dữ Liệu Cá Nhân không còn khả năng truy cập, khôi phục hoặc sử dụng trái phép.

Công Ty cam kết việc lưu trữ, xóa và hủy Dữ Liệu Cá Nhân luôn được thực hiện cẩn trọng, an toàn và phù hợp với quy định pháp luật, nhằm bảo vệ quyền và lợi ích hợp pháp của Chủ Thể Dữ Liệu và của Công Ty.

8. Biện pháp bảo vệ dữ liệu cá nhân

Để bảo vệ tốt nhất các thông tin của Khách Hàng, Công Ty đã và đang áp dụng các biện pháp cụ thể sau:

• Biện pháp kỹ thuật để ngăn chặn việc truy cập, sử dụng trái phép Dữ Liệu Cá Nhân. Công Ty thường xuyên phối hợp với các chuyên gia bảo mật nhằm cập nhật những kỹ thuật mới nhất về an ninh mạng để đảm bảo sự an toàn cho Dữ Liệu Cá Nhân. Mọi hệ thống phần mềm mới hoặc các bản cập nhật quan trọng đều phải trải qua quy trình đánh giá và kiểm thử xâm nhập (Pentest) nghiêm ngặt trước khi vận hành thực tế.
• Biện pháp tổ chức như thiết lập hệ thống quy định nội bộ về bảo vệ Dữ Liệu Cá Nhân; quy trình quản lý rủi ro từ các bên thứ ba; chỉ định nhân sự chuyên trách và bộ phận giám sát tuân thủ. Công Ty thực hiện cơ chế giám sát, kiểm tra định kỳ và đột xuất việc tuân thủ các chính sách bảo mật để kịp thời phát hiện, xử lý các rủi ro tiềm ẩn.
• Biện pháp vận hành như duy trì quy trình kiểm soát dữ liệu định kỳ và hàng ngày; triển khai kế hoạch sao lưu và dự phòng dữ liệu nhằm đảm bảo dữ liệu được lưu trữ, xử lý đúng mục đích và phạm vi đã cam kết. Thiết lập quy trình ứng phó sự cố an ninh mạng và đào tạo nhận thức bảo mật thường xuyên cho đội ngũ nhân sự.
• Biện pháp vật lý như thiết lập các rào cản vật lý và hệ thống kiểm soát truy cập nghiêm ngặt đối với khu vực hạ tầng công nghệ thông tin, máy chủ và các thiết bị lưu trữ dữ liệu. Đảm bảo an toàn vật lý cho phương tiện, thiết bị nhằm ngăn chặn mọi hành vi tiếp cận trái phép.

Bên cạnh đó, khi cần chia sẻ Dữ Liệu Cá Nhân với bên thứ ba để phục vụ các mục đích đã nêu trong Chính Sách này, Công Ty yêu cầu các bên liên quan áp dụng các biện pháp bảo vệ dữ liệu phù hợp, nhằm bảo đảm Dữ Liệu Cá Nhân tiếp tục được Xử Lý một cách an toàn.

Tuy nhiên, do đặc thù của môi trường công nghệ và Internet, không có biện pháp bảo mật nào có thể bảo đảm an toàn tuyệt đối. Vì vậy, mặc dù Công Ty luôn nỗ lực áp dụng các biện pháp phù hợp, chúng tôi không thể bảo đảm hoặc cam kết tuyệt đối rằng Dữ Liệu Cá Nhân của Khách Hàng sẽ luôn an toàn trong mọi trường hợp.

9. Bảo vệ quyền lợi của người tiêu dùng dễ bị tổn thương

Trường hợp Khách Hàng thuộc nhóm Người Tiêu Dùng dễ bị tổn thương theo Luật Áp Dụng, việc Xử Lý Dữ Liệu Cá Nhân của Khách Hàng phải được thực hiện cẩn trọng, phù hợp và tăng cường bảo vệ, nhằm bảo đảm quyền và lợi ích hợp pháp của Khách Hàng.

Khi cần thiết để tiếp nhận và xử lý yêu cầu của Khách Hàng, Công Ty có thể thu thập các thông tin, tài liệu liên quan nhằm xác định tình trạng Người Tiêu Dùng dễ bị tổn thương, trên cơ sở:

• Chỉ thu thập trong phạm vi cần thiết;
• Sử dụng dữ liệu đúng mục đích tiếp nhận và xử lý yêu cầu;
• Áp dụng các biện pháp bảo mật phù hợp đối với Dữ Liệu Cá Nhân phát sinh;
• Trường hợp quyền lợi của Khách Hàng bị xâm phạm và Khách Hàng có yêu cầu được bảo vệ: Cán bộ tiếp nhận có trách nhiệm gửi yêu cầu của Khách Hàng về đúng cấp có thẩm quyền giải quyết khiếu nại của Khách Hàng theo quy định của Công Ty tại từng thời điểm trên cơ sở đảm bảo Khách Hàng được hỗ trợ, phục vụ, giải đáp trong thời gian sớm nhất có thể;
• Công Ty ưu tiên trực tiếp tiếp nhận, xử lý các yêu cầu của Khách Hàng là Người Tiêu Dùng dễ bị tổn thương trước các yêu cầu của Khách Hàng thông thường.

Xử lý Dữ Liệu Cá Nhân của trẻ em và người bị mất hoặc hạn chế hành vi dân sự

Công Ty chỉ Xử Lý Dữ Liệu Cá Nhân trong phạm vi cần thiết, nhằm bảo đảm quyền, lợi ích hợp pháp và sự an toàn của các đối tượng nêu trên, ví dụ như:

• Giúp trẻ em hoặc người dễ bị tổn thương tiếp cận và sử dụng các dịch vụ, tiện ích;
• Bảo đảm an ninh, an toàn và môi trường cung cấp dịch vụ, sản phẩm phù hợp, thân thiện;
• Thực hiện các nghĩa vụ cần thiết theo quy định pháp luật.

Trong những trường hợp pháp luật yêu cầu phải có sự đồng ý đối với việc Xử Lý Dữ Liệu Cá Nhân, việc đồng ý sẽ do người đại diện theo pháp luật thực hiện thay mặt trẻ em hoặc người không có đầy đủ năng lực hành vi dân sự, trừ trường hợp pháp luật có quy định khác. Riêng đối với trẻ em từ đủ 07 tuổi trở lên, nếu việc xử lý dữ liệu nhằm công bố hoặc tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân, Công Ty chỉ thực hiện khi có sự đồng ý của cả trẻ em và người đại diện theo pháp luật.

Trường hợp từ chối giải quyết yêu cầu của Khách Hàng, Công Ty sẽ phản hồi Khách Hàng bằng văn bản; trong đó, nêu rõ căn cứ pháp lý và sự không phù hợp trong yêu cầu của Khách Hàng.

10. Quyền và nghĩa vụ của chủ thể dữ liệu

Chủ Thể Dữ Liệu có quyền liên quan đến Dữ Liệu Cá Nhân của mình bao gồm:

• Được biết về hoạt động Xử Lý Dữ Liệu Cá Nhân.
• Đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý cho phép Xử Lý Dữ Liệu Cá Nhân.
• Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa Dữ Liệu Cá Nhân.
• Yêu cầu cung cấp, xóa, hạn chế Xử Lý Dữ Liệu Cá Nhân; gửi yêu cầu phản đối Xử Lý Dữ Liệu Cá Nhân.
• Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo quy định pháp luật.
• Yêu cầu thực hiện các biện pháp, giải pháp bảo vệ Dữ Liệu Cá Nhân của mình theo quy định pháp luật.

Chủ Thể Dữ Liệu có thể thực hiện quyền liên quan đến Dữ Liệu Cá Nhân của mình bằng cách gửi yêu cầu đến Bộ phận phụ trách bảo vệ Dữ Liệu Cá Nhân theo thông tin liên hệ được cung cấp trong mục liên quan, bằng cách gửi yêu cầu trực tiếp bằng văn bản, qua email hoặc thông qua các phương tiện điện tử khác.

Mọi yêu cầu thực hiện quyền của Chủ Thể Dữ Liệu phải nêu rõ ít nhất các nội dung sau:

• Thông tin của Chủ Thể Dữ Liệu (họ tên, email hoặc số điện thoại).
• Quyền cụ thể mà Chủ Thể Dữ Liệu muốn thực hiện và loại Dữ Liệu Cá Nhân liên quan đến yêu cầu.
• Lý do, mục đích của việc thực hiện quyền (nếu có); và
• Thông tin, tài liệu liên quan đến việc thực hiện quyền của Chủ Thể Dữ Liệu.

Sau khi nhận được yêu cầu, chúng tôi sẽ xác minh danh tính và tính hợp lệ, tính đầy đủ và chính xác của yêu cầu theo quy định pháp luật, và đánh giá khả năng thực hiện yêu cầu. Chúng tôi có quyền yêu cầu bổ sung thông tin để xác minh, hoặc từ chối xử lý yêu cầu nếu:

• Chủ Thể Dữ Liệu không cung cấp đủ thông tin để xác minh danh tính và tính hợp lệ của yêu cầu; hoặc
• Quy định pháp luật không cho phép Công Ty thực hiện yêu cầu của Chủ Thể Dữ Liệu; hoặc
• Có yêu cầu cụ thể từ cơ quan nhà nước có thẩm quyền.

Xin lưu ý rằng các quyền nêu trên không phải là tuyệt đối và có thể bị giới hạn bởi một số quy định pháp luật, ngoại lệ cũng như các yêu cầu và nguyên tắc khác theo luật định. Trong những trường hợp cụ thể, Công Ty có thể được quyền từ chối hoặc hạn chế việc thực hiện các quyền này theo quy định pháp luật hiện hành.

11. Chỉnh sửa và cập nhật

Chính Sách này có thể được Công Ty cập nhật, sửa đổi, bổ sung hoặc thay thế tại từng thời điểm trên cơ sở việc cập nhật, sửa đổi, bổ sung hoặc thay thế này không trái quy định của Luật Áp Dụng và/hoặc nhằm mục đích bảo vệ tốt hơn thông tin của Chủ Thể Dữ Liệu.

Nội dung cập nhật, sửa đổi, bổ sung hoặc thay thế Chính Sách này (nếu có) sẽ được Công Ty niêm yết công khai theo quy định của Luật Áp Dụng tại từng thời điểm. Chủ Thể Dữ Liệu nên truy cập và kiểm tra trang web thường xuyên để cập nhật những thay đổi gần nhất.

12. Thông tin bộ phận phụ trách bảo vệ dữ liệu cá nhân

Nếu có bất kỳ câu hỏi nào về hoạt động bảo vệ Dữ Liệu Cá Nhân của Công Ty, vui lòng liên hệ với Bộ phận phụ trách bảo vệ Dữ Liệu Cá Nhân theo thông tin dưới đây.

13. Thông báo

Chính Sách này được coi là thông báo trước khi Dữ Liệu Cá Nhân được Xử Lý bởi Công Ty. Theo đó, Công Ty, tổ chức, cá nhân liên quan tham gia quá trình Xử Lý Dữ Liệu Cá Nhân không cần thực hiện thông báo lại trước khi Xử Lý Dữ Liệu Cá Nhân.

14. Hiệu lực

Chính Sách Bảo Vệ Dữ Liệu Cá Nhân có hiệu lực kể từ ngày […], thay thế cho Chính Sách Bảo Vệ Dữ Liệu Cá Nhân ban hành ngày 12/11/2025.