3. Các loại đối tượng dữ liệu cá nhân

3.1. Nhà điều hành xử lý dữ liệu cá nhân của các loại chủ thể dữ liệu cá nhân sau:

3.1.1. Nhân viên của Đơn vị vận hành, nhân viên bị sa thải, ứng cử viên cho các vị trí trống, các hạng mục tương tự, việc xử lý do luật lao động quy định (sau đây gọi là Nhân viên của Đơn vị vận hành).

3.1.2. Người dùng.

3.1.3. Đối tác.

3.1.4. Đại diện của các Đối tác của Nhà điều hành.

4. Mục đích và cơ sở để xử lý dữ liệu cá nhân

4.1. Dữ liệu cá nhân của Nhân viên của Nhà điều hành được xử lý trên cơ sở Nghị định 15/2020/NĐ-CP quy định chi tiết về một số điều của luật an ninh mạng, với mục đích tuân thủ Bộ luật Lao động, thực hiện các quy định của hợp đồng lao động, cũng như liên quan đến Bộ luật Lao động của Việt Nam về các hành vi pháp lý quy phạm.

4.2. Dữ liệu cá nhân có thể được sử dụng cho các mục đích khác, nếu điều này là bắt buộc theo quy định của pháp luật Việt Nam.

4.3. Việc xử lý dữ liệu cá nhân được giới hạn trong việc đạt được các mục đích cụ thể, được xác định trước và hợp pháp. Không được phép xử lý dữ liệu cá nhân không tương thích với mục đích thu thập dữ liệu cá nhân.

5. Thành phần thông tin về chủ thể dữ liệu cá nhân

5.1. Nhà điều hành xử lý các loại dữ liệu cá nhân sau của Nhân viên: họ, tên, tên viết tắt, năm sinh, giới tính, tuổi, nghề nghiệp, thu nhập, địa vị xã hội, việc làm, dữ liệu hộ chiếu, giấy chứng nhận mã số thuế, giấy chứng nhận hưu trí bảo hiểm, các trường hợp có tài liệu về đào tạo, bồi dưỡng nâng cao, cấp chứng chỉ, điều tra nội bộ; dữ liệu khác, quá trình xử lý được quy định bởi luật lao động và hợp đồng đã ký với người lao động.

5.2. Nhà điều hành xử lý các loại dữ liệu cá nhân của Người dùng sau: họ, tên và chữ viết tắt, tháng, ngày và nơi sinh, dữ liệu hộ chiếu, giới tính, tài khoản tín hiệu (trong hệ thống của nhà điều hành), tài khoản giao dịch (trong hệ thống của nhà điều hành) , tài khoản đào tạo (trong hệ thống của nhà điều hành), địa chỉ email, địa chỉ đăng ký.

5.3. Nhà điều hành xử lý các danh mục sau của dữ liệu cá nhân của Đối tác: họ, tên và chữ viết tắt, trạng thái đối tác, thông tin tài khoản đối tác.

5.4. Đơn vị vận hành xử lý dữ liệu cá nhân của đại diện các Bên đối tác: họ, tên, chữ viết tắt (nếu có), chức vụ, các thông tin khác theo thỏa thuận với Bên đối tác.

5.5. Khi các đối tượng của dữ liệu cá nhân sử dụng Trang web và Ứng dụng Di động của Nhà điều hành, Nhà điều hành xử lý dữ liệu được cung cấp bởi các giao thức quốc tế để trao đổi dữ liệu qua Internet, bao gồm (nhưng không giới hạn): địa chỉ IP, địa chỉ MAC, ID thiết bị, IMEI , MEID, Dữ liệu cookie, thông tin trình duyệt, hệ điều hành, thời gian truy cập.

5.6. Khoảng thời gian lưu trữ dữ liệu cá nhân được xác định bởi hợp đồng hoặc các cơ sở khác để xử lý.

5.6.1. Thời hạn để xử lý dữ liệu cá nhân của Nhân viên là không quá 30 ngày kể từ thời điểm mất căn cứ để xử lý.

5.6.2. Thời hạn xử lý dữ liệu cá nhân của Người dùng là cho đến khi chấm dứt hợp đồng, trong trường hợp có khoản nợ - 3 năm, trong khi việc xử lý cho mục đích thu nợ chỉ được thực hiện trên các phương tiện hữu hình theo cách thức quy định.

5.6.3. Thời hạn xử lý dữ liệu cá nhân của Người nộp đơn là cho đến thời điểm dịch vụ được thực hiện.

5.6.4. Thời hạn xử lý dữ liệu cá nhân của các bên đối tác, cho đến khi chấm dứt hợp đồng, lưu trữ các phương tiện quan trọng có chứa dữ liệu cá nhân của đại diện các bên đối tác - cho đến khi hết thời hạn.

5.6.5. Để đảm bảo lưu trữ dữ liệu cá nhân trên các phương tiện vật lý, cơ sở trang bị thiết bị bảo vệ được xác định theo đơn đặt hàng của doanh nghiệp. Việc lưu trữ các tài liệu đã hoàn thành chứa dữ liệu cá nhân được thực hiện trong kho lưu trữ hoặc trong một phòng (tủ) riêng biệt.

5.6.6. Việc lưu trữ vật mang dữ liệu cá nhân được thực hiện riêng biệt cho từng loại đối tượng dữ liệu cá nhân.

6. Sử dụng ISPD (Hệ thống thông tin dữ liệu cá nhân)

6.1. Nhà điều hành xử lý dữ liệu cá nhân trong hệ thống thông tin dữ liệu cá nhân.

6.2. Trong trường hợp chuyển dữ liệu cá nhân để xử lý cho bên thứ ba, nơi dự kiến xử lý dữ liệu cá nhân, hợp đồng đã ký kết quy định nghĩa vụ bảo vệ dữ liệu cá nhân theo luật hiện hành.

7. Quyền của người dùng

Chủ thể của dữ liệu cá nhân có quyền:
7.1. Yêu cầu thay đổi đối với dữ liệu cá nhân được cung cấp, xóa chúng.

7.2. Yêu cầu thông báo về tất cả những người trước đây đã được cung cấp dữ liệu cá nhân không chính xác hoặc không đầy đủ.

7.3. Gửi các yêu cầu đến Nhà điều hành liên quan đến việc xử lý dữ liệu cá nhân của mình trong giới hạn của Nhà điều hành.

7.4. Thực hiện các quyền khác theo quy định của pháp luật hiện hành.

8. Thông tin về các yêu cầu đã thực hiện để bảo vệ dữ liệu cá nhân

8.1. Khi xử lý dữ liệu cá nhân, Người vận hành thực hiện các biện pháp pháp lý, tổ chức và kỹ thuật cần thiết và đảm bảo việc áp dụng các biện pháp này để bảo vệ dữ liệu cá nhân khỏi việc truy cập trái phép hoặc tình cờ vào chúng, phá hủy, sửa đổi, chặn, sao chép, cung cấp, phân phối dữ liệu cá nhân, cũng như từ các hành động bất hợp pháp khác liên quan đến dữ liệu cá nhân, cụ thể là (nhưng không giới hạn):

8.1.1. Chỉ định một người chịu trách nhiệm xử lý dữ liệu cá nhân.

8.1.2. Hạn chế thành phần nhân viên có quyền truy cập vào dữ liệu cá nhân.

8.1.3. Phần mềm nhận dạng Người dùng, nhân viên của Người vận hành và tính toán các hành động của họ.

8.1.4. Thực hiện kiểm soát chống vi rút và các biện pháp khác chống lại phần mềm độc hại và tác động toán học.

8.1.5. Ứng dụng các công cụ sao lưu và phục hồi.

8.1.6. Cập nhật phần mềm khi có các bản vá bảo mật dành riêng cho nhà cung cấp.

8.1.7. Thực hiện mã hóa khi truyền dữ liệu cá nhân trên Internet.

8.1.8. Thực hiện các biện pháp liên quan đến việc chỉ thu nhận những người thích hợp vào nơi lắp đặt các phương tiện kỹ thuật.

8.1.9. Việc sử dụng các phương tiện kỹ thuật để bảo vệ cơ sở đặt các phương tiện kỹ thuật của hệ thống thông tin dữ liệu cá nhân và nơi lưu trữ của vật mang dữ liệu cá nhân.

8.2. Nhà điều hành đảm bảo tính bảo mật của dữ liệu cá nhân, cụ thể là:

8.2.1. có tính đến tác hại có thể xảy ra đối với chủ thể của dữ liệu cá nhân, khối lượng và nội dung của dữ liệu cá nhân đã xử lý, loại hoạt động mà dữ liệu cá nhân được xử lý, mức độ liên quan của các mối đe dọa đối với tính bảo mật của dữ liệu cá nhân

8.2.2. việc sử dụng các biện pháp kỹ thuật phù hợp với các mối đe dọa đến an toàn dữ liệu cá nhân trong quá trình xử lý trong hệ thống thông tin dữ liệu cá nhân.

8.2.3. áp dụng các biện pháp tổ chức và kỹ thuật để đảm bảo an toàn cho dữ liệu cá nhân trong quá trình xử lý trong hệ thống thông tin dữ liệu cá nhân cần thiết để đáp ứng các yêu cầu về bảo vệ dữ liệu cá nhân, việc thực hiện các biện pháp đó đảm bảo các mức độ bảo vệ dữ liệu cá nhân do Chính phủ Liên bang Nga;

8.2.4. việc sử dụng các công cụ an toàn thông tin đã thông qua quy trình đánh giá sự phù hợp theo cách thức quy định;

8.2.5. đánh giá hiệu quả của các biện pháp đảm bảo an toàn dữ liệu cá nhân trước khi bắt đầu công việc trong hệ thống thông tin dữ liệu cá nhân do Công ty thực hiện;

8.2.6. tính đến các nhà cung cấp dữ liệu cá nhân của máy, nếu chúng được sử dụng;

8.2.7. các thủ tục liên quan đến việc phát hiện các dữ kiện về truy cập trái phép vào dữ liệu cá nhân và áp dụng các biện pháp;

8.2.8. phục hồi dữ liệu cá nhân bị sửa đổi hoặc bị phá hủy do truy cập trái phép vào chúng;

8.2.9. thiết lập các quy tắc truy cập vào dữ liệu cá nhân được xử lý trong hệ thống thông tin dữ liệu cá nhân, cũng như đảm bảo việc đăng ký và hạch toán tất cả các hành động được thực hiện với dữ liệu cá nhân trong hệ thống thông tin dữ liệu cá nhân;

8.2.10. kiểm soát các biện pháp được thực hiện để bảo đảm an toàn cho dữ liệu cá nhân và mức độ bảo mật của hệ thống thông tin dữ liệu cá nhân.​

9. Sử dụng các phần mềm bảo vệ chống vi-rút

9.1. Chỉ những phần mềm chống vi-rút được cấp phép mua từ nhà cung cấp những mới được phép sử dụng.

9.2. Việc cài đặt và cấu hình các thông số của công cụ kiểm soát diệt vi rút trên máy trạm và máy chủ của KVS do người quản lý an toàn thông tin hoặc người thực hiện theo thỏa thuận có các điều kiện liên quan.

9.3. Các công cụ chống vi-rút phải được cập nhật tự động. Phần mềm chống vi-rút được phép hoạt động với các bản cập nhật không quá 72 giờ.

9.4. Việc kiểm soát chống vi-rút của tất cả các đĩa và tệp của máy trạm nên được thực hiện hàng tuần.

9.5. Một trình theo dõi chống vi-rút phải đang chạy trên từng máy trạm và máy chủ ở chế độ thường trú.

9.6. Kiểm soát bắt buộc chống vi-rút tùy thuộc vào bất kỳ thông tin nào nhận được qua các kênh viễn thông và trên phương tiện di động.

9.7. Phần mềm được cài đặt phải được kiểm tra vi-rút trước đó.

10. Bảo vệ mật khẩu

10.1. Mật khẩu cá nhân phải được tạo bằng phần mềm dịch vụ quản trị đặc biệt.

10.2. Mật khẩu phải dài ít nhất 8 ký tự.

10.3. Mật khẩu phải chứa chữ hoa và chữ thường, số và các ký tự đặc biệt.

10.4. Mật khẩu không nên bao gồm: - các tổ hợp ký tự dễ tính toán; - dãy bàn phím của các ký tự và dấu hiệu; - các chữ viết tắt được chấp nhận chung; - các chữ viết tắt; - số điện thoại, ô tô; - các tổ hợp chữ cái và ký tự khác được liên kết với người dùng; - Khi thay đổi mật khẩu, tổ hợp ký tự mới phải khác ký tự trước đó ít nhất 2 ký tự.

10.5. Được phép sử dụng một mật khẩu duy nhất để truy cập đối tượng truy cập vào các nguồn thông tin khác nhau.

10.6. Việc thay đổi mật khẩu người dùng theo lịch trình đầy đủ nên được thực hiện thường xuyên, ít nhất một lần một tháng.

10.7. Việc thay đổi mật khẩu hoàn toàn đột xuất cho tất cả người dùng phải được thực hiện trong trường hợp chấm dứt quyền của quản trị viên các công cụ bảo mật hoặc các nhân viên khác, về bản chất dịch vụ của họ, đã được cấp quyền quản lý bảo vệ bằng mật khẩu.

10.8. Cần thực hiện thay đổi toàn bộ mật khẩu đột xuất trong trường hợp xâm phạm mật khẩu cá nhân của một trong các quản trị viên ISPD.

10.9. Trong trường hợp mật khẩu cá nhân của người dùng bị xâm phạm, quyền truy cập vào thông tin từ tài khoản này phải bị hạn chế ngay lập tức cho đến khi tài khoản hoặc mật khẩu người dùng mới có hiệu lực.

10.10. Khi bảo vệ bằng mật khẩu, người dùng bị cấm: - tiết lộ mật khẩu cá nhân của họ và các thông tin nhận dạng khác cho bất kỳ ai; - cung cấp quyền truy cập từ tài khoản của bạn vào thông tin được lưu trữ trong ISPD cho các bên thứ ba; - ghi lại mật khẩu trên giấy, tệp, điện tử và các phương tiện khác, bao gồm cả các đối tượng.

10.11. Người sử dụng chỉ cho phép lưu trữ mật khẩu của mình trên giấy trong một két an toàn cá nhân được niêm phong bởi chủ sở hữu của mật khẩu.

10.12. Khi mật khẩu được nhập, người dùng có nghĩa vụ loại trừ khả năng bị chặn bởi các bên thứ ba và các phương tiện kỹ thuật.

10.13. Thỏa hiệp nên được hiểu là: - tổn thất vật chất của người vận chuyển với thông tin; - truyền thông tin nhận dạng qua các kênh truyền thông mở; - sự xâm nhập của người không được phép vào cơ sở lưu trữ vật lý của người mang thông tin mật khẩu hoặc thuật toán hoặc nghi ngờ về nó (hoạt động báo động, hư hỏng thiết bị điều khiển UA (dấu ấn của con dấu), hư hỏng ổ khóa, v.v.); - kiểm tra trực quan vật mang thông tin nhận dạng bởi một người không được phép; - chặn mật khẩu trong quá trình phân phối số nhận dạng; - cố ý truyền tải thông tin cho bên thứ ba.

10.14. Các hành động khi mật khẩu bị xâm phạm: - một mật khẩu bị xâm phạm sẽ bị xóa ngay lập tức khỏi hành động và thay vào đó, một mật khẩu dự phòng hoặc mật khẩu mới sẽ được nhập; - tất cả những người tham gia trao đổi thông tin được thông báo ngay lập tức về sự thỏa hiệp. Mật khẩu được thêm vào danh sách đặc biệt chứa mật khẩu và tài khoản bị xâm phạm.

11. Xử lý thủ công dữ liệu cá nhân

11.1. Để đảm bảo tính bảo mật của dữ liệu cá nhân trong quá trình xử lý không tự động, các biện pháp sau được thực hiện:

11.1.1. tất cả các hành động để xử lý dữ liệu cá nhân chỉ được thực hiện bởi các nhân viên của Nhà điều hành, những người được lệnh của cơ quan điều hành duy nhất cho phép làm việc với dữ liệu cá nhân và chỉ trong phạm vi cần thiết để nhân viên thực hiện chức năng làm việc của họ;

11.1.2. Với việc bên thứ ba thay mặt nhà điều hành xử lý dữ liệu cá nhân không tự động, một thỏa thuận được ký kết bao gồm các điều kiện thực hiện các biện pháp thích hợp để bảo vệ dữ liệu cá nhân. 

12. Quyền riêng tư

12.1. Nhà điều hành và những người khác có quyền truy cập vào dữ liệu cá nhân có nghĩa vụ không tiết lộ cho bên thứ ba và không được phân phối dữ liệu cá nhân mà không tuân thủ nguyên tắc dựa trên sự đồng ý của chủ thể dữ liệu cá nhân, trừ khi luật hiện hành có quy định khác.

13. Phá hủy (phi cá nhân hóa) dữ liệu cá nhân

13.1. Việc phá hủy (phi cá nhân hóa) dữ liệu cá nhân của Đối tượng được thực hiện trong các trường hợp sau:

13.1.1. khi đạt được mục tiêu xử lý hoặc trong trường hợp mất đi nhu cầu đạt được trong khoảng thời gian không quá ba mươi ngày kể từ ngày đạt được mục tiêu xử lý dữ liệu cá nhân, trừ khi có quy định khác trong thỏa thuận mà chủ thể dữ liệu cá nhân là một bên, một thỏa thuận khác giữa Người vận hành và chủ thể của dữ liệu cá nhân (người đại diện, người sử dụng lao động);

13.1.2. trong trường hợp xử lý trái pháp luật dữ liệu cá nhân hoặc thu hồi hợp pháp dữ liệu cá nhân trong thời hạn không quá mười ngày làm việc, kể từ ngày phát hiện trường hợp đó;

13.1.3. trong trường hợp hết thời hạn lưu trữ dữ liệu cá nhân, được xác định theo luật pháp của Liên bang Nga và các tài liệu tổ chức và hành chính của Người vận hành;

13.1.4. trong trường hợp có lệnh từ cơ quan có thẩm quyền để bảo vệ quyền của các chủ thể dữ liệu cá nhân, cơ quan công tố của Nga hoặc quyết định của tòa án.

14. Chuyển giao cho bên thứ ba

14.1. Nhà điều hành không thực hiện xử lý xuyên biên giới đối với dữ liệu cá nhân. Khi lưu trữ dữ liệu cá nhân bằng ISPD của các nhà thầu, Người vận hành sử dụng cơ sở dữ liệu nằm trên lãnh thổ Việt Nam.

14.2. Nhà điều hành có thể chuyển dữ liệu cá nhân cho người khác, nhà cung cấp dịch vụ lưu trữ, dịch vụ phân tích, những người khác để thực hiện hợp đồng đã ký với Người dùng.

14.3. Người điều hành có quyền chuyển dữ liệu cá nhân cho các cơ quan điều tra và điều tra, các cơ quan có thẩm quyền khác trên cơ sở quy định của pháp luật hiện hành của Việt Nam.

15. Các trường hợp ngoại lệ đối với quá trình xử lý dữ liệu cá nhân

15.1. Nhà điều hành không xử lý các danh mục dữ liệu cá nhân đặc biệt, bao gồm cả dữ liệu sinh trắc học.

15.2. Nhà điều hành không có quy trình nào liên quan đến việc ra quyết định chỉ dựa trên cơ sở xử lý tự động dữ liệu cá nhân.

15.3. Nhà điều hành không cung cấp quyền truy cập không hạn chế vào dữ liệu cá nhân cho các bên thứ ba.

15.4. Nhà điều hành không thực hiện liên hệ chủ động cho các mục đích thông tin và quảng cáo. 

16. Điều khoản cuối

16.1. Thời hạn xử lý dữ liệu cá nhân do Nhà điều hành xử lý có thể được xác định (xác định lại) bởi các tài liệu tổ chức và hành chính của Nhà điều hành phù hợp với các quy định của Luật pháp sở tại về dữ liệu cá nhân và an ninh mạng.

16.2. Chính sách này có thể thay đổi, bổ sung trong trường hợp xuất hiện các đạo luật mới và các quy định đặc biệt về xử lý và bảo vệ dữ liệu cá nhân, cũng như theo quyết định của Nhà điều hành.

16.3. Việc kiểm soát việc thực hiện các yêu cầu của Chính sách này được thực hiện bởi người chịu trách nhiệm tổ chức xử lý dữ liệu cá nhân.

16.4. Các vấn đề không được quy định trong Chính sách này được điều chỉnh bởi luật hiện hành của Việt Nam.

16.5. Nhà điều hành có thể ban hành các hành vi địa phương khác làm rõ các nguyên tắc nhất định để xử lý dữ liệu cá nhân.