Chính sách bảo mật

Phạm vi áp dụng

Chính sách bảo mật này ("Chính sách") mô tả cách Công ty Cổ phần Phần mềm DTH (sau đây gọi là "DTH", "chúng tôi") thu thập, xử lý, lưu trữ và bảo vệ dữ liệu cá nhân và dữ liệu nghiệp vụ của bạn khi:

• Bạn truy cập website dth.com.vn hoặc các tên miền phụ.
• Bạn đăng ký sử dụng các sản phẩm SaaS của DTH (iMate, MAP, D-OCR Cloud…).
• Bạn là người dùng cuối của các hệ thống do DTH triển khai cho đơn vị bạn.
• Bạn liên hệ với DTH qua email, hotline, biểu mẫu, hoặc các kênh truyền thông xã hội.
• Bạn ứng tuyển vào các vị trí tuyển dụng của DTH.

Chính sách này tuân thủ các văn bản pháp luật Việt Nam, trong đó có: Luật An toàn thông tin mạng 2015, Luật An ninh mạng 2018, Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, và Bộ luật Dân sự 2015.

Dữ liệu chúng tôi thu thập

Tuỳ vào mối quan hệ giữa bạn với DTH, chúng tôi có thể thu thập các nhóm dữ liệu sau:

2.1. Dữ liệu định danh cá nhân

• Họ và tên, ngày sinh, giới tính, ảnh đại diện (nếu bạn cung cấp).
• Số điện thoại, địa chỉ email, địa chỉ liên hệ.
• Số CCCD/CMND (chỉ khi pháp luật yêu cầu xác thực, ví dụ: hợp đồng).
• Chức danh, đơn vị công tác (đối với khách hàng doanh nghiệp).

2.2. Dữ liệu kỹ thuật

• Địa chỉ IP, loại trình duyệt, hệ điều hành, độ phân giải màn hình.
• Thông tin thiết bị (đối với ứng dụng di động): ID thiết bị, phiên bản OS.
• Nhật ký truy cập, thao tác trên hệ thống.
• Thông tin Cookie và session.

2.3. Dữ liệu nghiệp vụ do khách hàng cung cấp

Khi đơn vị của bạn ký hợp đồng triển khai/thuê bao sản phẩm DTH, đơn vị có thể đẩy lên hệ thống các dữ liệu phục vụ nghiệp vụ riêng (văn bản, hồ sơ, tài liệu, dữ liệu IoT…). DTH đóng vai trò đơn vị xử lý dữ liệu (data processor) thay mặt khách hàng — đơn vị khách hàng là chủ thể kiểm soát dữ liệu (data controller).

Mục đích sử dụng dữ liệu

DTH sử dụng dữ liệu thu thập được vào các mục đích sau:

Căn cứ pháp lý

DTH xử lý dữ liệu cá nhân của bạn dựa trên một hoặc nhiều căn cứ pháp lý sau (Điều 17 Nghị định 13/2023/NĐ-CP):

• Sự đồng ý của chủ thể dữ liệu — Ví dụ: bạn chủ động đăng ký nhận bản tin.
• Thực hiện hợp đồng — Xử lý dữ liệu cần thiết để cung cấp dịch vụ bạn đã đăng ký.
• Nghĩa vụ pháp lý của DTH — Ví dụ: lưu hồ sơ kế toán theo luật.
• Lợi ích hợp pháp của DTH — Ví dụ: bảo đảm an toàn hệ thống.
• Lợi ích thiết yếu của chủ thể dữ liệu hoặc lợi ích công cộng trong các trường hợp khẩn cấp.

Chia sẻ với bên thứ ba

DTH không bán, không trao đổi và không cho thuê dữ liệu cá nhân của bạn. Chúng tôi chỉ chia sẻ dữ liệu trong các trường hợp hạn chế sau:

• Đối tác cung cấp hạ tầng: Các nhà cung cấp cloud (VNG Cloud, FPT Cloud, Viettel IDC, AWS, Google Cloud) đặt máy chủ vận hành dịch vụ. Các đối tác này được ràng buộc bằng hợp đồng xử lý dữ liệu (DPA) và đều đạt chứng nhận tương đương ISO 27001 trở lên.
• Nhà thầu phụ kỹ thuật: Trong một số dự án, DTH có thể hợp tác với nhà thầu phụ — phạm vi truy cập dữ liệu được giới hạn nghiêm ngặt và phải ký NDA + DPA trước khi tham gia.
• Cơ quan nhà nước có thẩm quyền: Khi có yêu cầu hợp pháp bằng văn bản từ cơ quan tố tụng, thanh tra, kiểm tra hoặc cơ quan quản lý nhà nước.
• Trường hợp tái cấu trúc doanh nghiệp: Trong trường hợp DTH sáp nhập, mua bán hoặc chuyển nhượng, dữ liệu có thể được chuyển giao kèm theo cam kết tiếp tục bảo mật theo Chính sách này.

Thời hạn lưu trữ

DTH chỉ lưu trữ dữ liệu trong thời gian cần thiết cho mục đích thu thập, hoặc theo quy định của pháp luật:

• Tài khoản đang hoạt động: Lưu trữ đến khi bạn yêu cầu đóng tài khoản.
• Tài khoản không hoạt động ≥ 24 tháng: Thông báo trước và xoá theo quy trình tự động.
• Dữ liệu nghiệp vụ của khách hàng doanh nghiệp: Lưu trữ trong suốt thời hạn hợp đồng và 90 ngày sau khi chấm dứt để hỗ trợ chuyển giao.
• Hồ sơ kế toán, hợp đồng, hoá đơn: Lưu trữ tối thiểu 10 năm theo Luật Kế toán.
• Nhật ký an toàn thông tin: Lưu trữ tối thiểu 12 tháng theo quy định ngành.
• Hồ sơ ứng viên không trúng tuyển: Lưu trữ tối đa 12 tháng (trừ khi ứng viên đồng ý lưu lâu hơn để xem xét vị trí khác).

Biện pháp bảo mật

DTH áp dụng đồng thời các biện pháp kỹ thuật và biện pháp quản trị theo chuẩn ISO/IEC 27001:2022:

7.1. Biện pháp kỹ thuật

• Mã hoá truyền dẫn bằng TLS 1.3, hỗ trợ HSTS cho mọi tên miền.
• Mã hoá lưu trữ bằng AES-256 cho cơ sở dữ liệu và đối tượng lưu trữ.
• Phân quyền truy cập theo nguyên tắc tối thiểu (least privilege), RBAC + ABAC.
• Xác thực đa yếu tố (MFA) cho mọi tài khoản quản trị.
• Nhật ký kiểm soát (audit log) không thể chỉnh sửa, lưu tối thiểu 12 tháng.
• Sao lưu hằng ngày, lưu off-site và kiểm thử phục hồi định kỳ.
• Quét lỗ hổng tự động hằng tuần, vá lỗi theo CVE.
• Tách biệt môi trường dev / staging / production.

7.2. Biện pháp quản trị

• Quy trình phân loại và xử lý dữ liệu theo cấp độ nhạy cảm.
• Hợp đồng lao động kèm điều khoản bảo mật (NDA) với mọi nhân viên.
• Đào tạo an toàn thông tin định kỳ 6 tháng/lần cho toàn bộ nhân sự.
• Kiểm soát truy cập vật lý vào văn phòng và phòng máy chủ.
• Audit nội bộ hằng quý và audit độc lập hằng năm.
• Kế hoạch ứng phó sự cố và liên tục kinh doanh (BCP/DRP).

Quyền của chủ thể dữ liệu

Theo Nghị định 13/2023/NĐ-CP, bạn có các quyền sau đây đối với dữ liệu cá nhân của mình:

• Quyền được biết về việc xử lý dữ liệu cá nhân của bạn.
• Quyền đồng ý hoặc rút lại đồng ý đối với việc xử lý dữ liệu.
• Quyền truy cập để xem, chỉnh sửa dữ liệu cá nhân.
• Quyền xoá dữ liệu (right to be forgotten) trong các trường hợp luật cho phép.
• Quyền hạn chế xử lý dữ liệu.
• Quyền cung cấp dữ liệu (data portability) ở định dạng có thể chuyển giao.
• Quyền phản đối xử lý dữ liệu cho mục đích marketing.
• Quyền khiếu nại, tố cáo, khởi kiện theo quy định pháp luật.
• Quyền yêu cầu bồi thường thiệt hại theo quy định.
• Quyền tự bảo vệ dữ liệu cá nhân của mình.

Để thực hiện các quyền trên, vui lòng gửi yêu cầu qua email [email protected]. DTH sẽ phản hồi trong vòng 30 ngày kể từ khi nhận yêu cầu hợp lệ.

Cookie & công nghệ theo dõi

Website DTH sử dụng cookie và các công nghệ tương tự để cải thiện trải nghiệm. Cookie được phân thành các nhóm:

• Cookie thiết yếu — Cần thiết để website vận hành (đăng nhập, ghi nhớ ngôn ngữ). Không thể tắt.
• Cookie phân tích — Đo lường lưu lượng truy cập (Google Analytics, dữ liệu ẩn danh).
• Cookie marketing — Theo dõi hiệu quả quảng cáo. Chỉ kích hoạt khi bạn đồng ý.

Bạn có thể quản lý cookie thông qua thiết lập trình duyệt hoặc thanh quản lý cookie xuất hiện khi lần đầu truy cập website.

Dữ liệu trẻ em

Dịch vụ của DTH chủ yếu phục vụ tổ chức và người dùng từ 16 tuổi trở lên. Một số sản phẩm dành cho ngành giáo dục (D-SCHOOL, các giải pháp quản trị nhà trường) có thể xử lý dữ liệu học sinh — trong trường hợp này, DTH chỉ là đơn vị xử lý dữ liệu thay mặt nhà trường, và việc xử lý phải có sự đồng ý của cha mẹ/người giám hộ theo Điều 20 Nghị định 13/2023/NĐ-CP.

Chuyển dữ liệu ra nước ngoài

DTH ưu tiên lưu trữ dữ liệu của khách hàng Việt Nam trên các trung tâm dữ liệu đặt tại Việt Nam (VNG Cloud, FPT Cloud, Viettel IDC). Trong một số trường hợp đặc thù, dữ liệu có thể được chuyển ra nước ngoài (ví dụ: sử dụng API của các nhà cung cấp dịch vụ AI quốc tế).

Khi việc chuyển dữ liệu ra nước ngoài là cần thiết, DTH sẽ:

• Lập Hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài theo Điều 25 Nghị định 13/2023/NĐ-CP.
• Đăng ký với Bộ Công an theo quy định.
• Yêu cầu bên tiếp nhận có biện pháp bảo vệ tương đương.
• Thông báo cho chủ thể dữ liệu (trừ trường hợp luật cho phép miễn trừ).

Thay đổi chính sách

DTH có thể cập nhật Chính sách này định kỳ để phản ánh thay đổi trong sản phẩm, dịch vụ hoặc pháp luật. Khi có thay đổi quan trọng (mở rộng phạm vi xử lý dữ liệu, thêm bên thứ ba…), DTH sẽ:

• Đăng phiên bản mới tại trang này, kèm ngày hiệu lực.
• Gửi email thông báo cho người dùng đã đăng ký tài khoản.
• Yêu cầu xác nhận lại đồng ý đối với những thay đổi cần đồng ý mới.

Lịch sử các phiên bản trước được lưu tại privacy/history để bạn đối chiếu khi cần.

Liên hệ & khiếu nại

Mọi câu hỏi, yêu cầu thực hiện quyền, hoặc khiếu nại liên quan đến dữ liệu cá nhân vui lòng liên hệ:

Nếu bạn cho rằng quyền lợi của mình không được DTH bảo vệ thoả đáng, bạn có quyền khiếu nại đến Cục An toàn thông tin — Bộ Thông tin và Truyền thông hoặc Cục An ninh mạng và Phòng, chống tội phạm sử dụng công nghệ cao — Bộ Công an (A05).