Chính sách Bảo vệ Dữ liệu Cá nhân -

1. Giới thiệu

Công ty Cổ phần Công nghệ X-TECH cam kết bảo vệ dữ liệu cá nhân của khách hàng, nhân viên và đối tác, tuân thủ các quy định pháp luật hiện hành tại Việt Nam (như Luật An ninh mạng 2018, Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân) và các tiêu chuẩn quốc tế như GDPR (nếu áp dụng cho dữ liệu liên quan đến khách hàng quốc tế).

Tài liệu này mô tả chính sách bảo vệ dữ liệu cá nhân, định nghĩa các nguyên tắc, quy trình và trách nhiệm nhằm đảm bảo tính minh bạch, bảo mật và an toàn trong việc xử lý dữ liệu cá nhân.

2. Mục đích và Phạm vi

2.1 Mục đích

Đảm bảo việc thu thập, xử lý và lưu trữ dữ liệu cá nhân tuân thủ pháp luật và bảo vệ quyền riêng tư.
Tăng cường niềm tin của khách hàng, nhân viên và đối tác vào các hoạt động của công ty.
Ngăn chặn rủi ro vi phạm dữ liệu và các hậu quả pháp lý liên quan.
Thiết lập quy trình rõ ràng để quản lý dữ liệu cá nhân trong tất cả các hoạt động của công ty.

2.2 Phạm vi

Áp dụng cho tất cả các phòng ban, nhân viên, nhà thầu và đối tác của X-TECH có liên quan đến việc xử lý dữ liệu cá nhân.
Bao gồm dữ liệu cá nhân thu thập từ khách hàng, nhân viên, đối tác và bên thứ ba.
Áp dụng cho dữ liệu được xử lý trên hệ thống nội bộ, nền tảng đám mây và các thiết bị bên ngoài.

3. Định nghĩa Thuật ngữ

Dữ liệu cá nhân: Thông tin liên quan đến một cá nhân được xác định hoặc có thể xác định (ví dụ: họ tên, số CMND/CCCD, địa chỉ, email, số điện thoại).
Xử lý dữ liệu: Bất kỳ hoạt động nào liên quan đến thu thập, lưu trữ, sử dụng, chia sẻ hoặc xóa dữ liệu cá nhân.
Chủ thể dữ liệu: Cá nhân mà dữ liệu cá nhân liên quan đến.
Vi phạm dữ liệu: Việc truy cập, sử dụng hoặc tiết lộ dữ liệu cá nhân không được phép.
GDPR: Quy định Bảo vệ Dữ liệu Chung của Liên minh Châu Âu (nếu áp dụng).

4. Nguyên tắc Bảo vệ Dữ liệu

X-TECH tuân thủ các nguyên tắc sau khi xử lý dữ liệu cá nhân:

Hợp pháp, minh bạch: Dữ liệu chỉ được thu thập và xử lý khi có sự đồng ý rõ ràng hoặc cơ sở pháp lý.
Hạn chế mục đích: Dữ liệu chỉ được sử dụng cho mục đích đã được thông báo và đồng ý.
Tối thiểu hóa dữ liệu: Chỉ thu thập dữ liệu cần thiết và phù hợp với mục đích.
Chính xác: Đảm bảo dữ liệu được cập nhật và chính xác, sửa chữa hoặc xóa dữ liệu không đúng.
Giới hạn lưu trữ: Dữ liệu chỉ được lưu trữ trong thời gian cần thiết theo quy định pháp luật.
Bảo mật: Áp dụng các biện pháp kỹ thuật và tổ chức để bảo vệ dữ liệu khỏi truy cập trái phép.
Trách nhiệm giải trình: X-TECH chịu trách nhiệm chứng minh việc tuân thủ các nguyên tắc trên.

5. Quy trình Quản lý Dữ liệu Cá nhân

5.1 Thu thập Dữ liệu

Thu thập dữ liệu chỉ được thực hiện khi có sự đồng ý rõ ràng từ chủ thể dữ liệu (trừ trường hợp pháp luật yêu cầu).
Cung cấp thông báo minh bạch về mục đích, phạm vi và thời gian lưu trữ dữ liệu.
Đầu ra: Biểu mẫu đồng ý hoặc hợp đồng dịch vụ.

5.2 Lưu trữ Dữ liệu

Dữ liệu được lưu trữ trên hệ thống mã hóa (ví dụ: sử dụng AES-256).
Dữ liệu nhạy cảm được lưu trữ trong môi trường an toàn, hạn chế truy cập.
Đầu ra: Nhật ký lưu trữ và phân quyền truy cập.

5.3 Sử dụng và Chia sẻ Dữ liệu

Dữ liệu chỉ được sử dụng đúng mục đích đã thông báo.
Việc chia sẻ dữ liệu với bên thứ ba phải có hợp đồng bảo mật (NDA) và sự đồng ý của chủ thể dữ liệu.
Đầu ra: Hợp đồng chia sẻ dữ liệu và nhật ký sử dụng.

5.4 Xóa Dữ liệu

Dữ liệu được xóa an toàn (ví dụ: sử dụng phương pháp xóa dữ liệu không thể khôi phục) khi không còn cần thiết.
Chủ thể dữ liệu có quyền yêu cầu xóa dữ liệu theo quy định pháp luật.
Đầu ra: Báo cáo xóa dữ liệu.

6. Trách nhiệm và Vai trò

Giám đốc Công nghệ (CTO): Phê duyệt chính sách và giám sát việc thực hiện.
Nhân viên An ninh Thông tin: Quản lý các biện pháp kỹ thuật và kiểm tra bảo mật định kỳ.
Nhân viên Quản lý Dữ liệu: Đảm bảo dữ liệu được xử lý đúng quy trình.
Nhân viên: Tuân thủ chính sách và báo cáo vi phạm ngay lập tức.
Chủ thể dữ liệu: Có quyền truy cập, chỉnh sửa hoặc yêu cầu xóa dữ liệu của mình.

7. Công cụ và Biện pháp Kỹ thuật

Mã hóa: Sử dụng AES-256 cho dữ liệu lưu trữ và truyền tải.
Kiểm soát truy cập: Áp dụng phân quyền dựa trên vai trò (RBAC) và xác thực đa yếu tố (MFA).
Công cụ giám sát: Sử dụng SIEM (Security Information and Event Management) để phát hiện truy cập trái phép.
Sao lưu: Sao lưu dữ liệu định kỳ trên hệ thống an toàn, mã hóa.
Kiểm thử bảo mật: Thực hiện kiểm tra thâm nhập (penetration testing) hàng năm.

8. Quản lý Rủi ro và Xử lý Vi phạm

Đánh giá rủi ro: Thực hiện đánh giá rủi ro bảo mật dữ liệu định kỳ (ít nhất mỗi năm).
Kế hoạch ứng phó: Lập kế hoạch xử lý vi phạm dữ liệu, bao gồm thông báo cho cơ quan chức năng và chủ thể dữ liệu trong vòng 72 giờ theo quy định.
Hậu quả vi phạm: Nhân viên vi phạm chính sách sẽ bị xử lý kỷ luật (cảnh cáo, chấm dứt hợp đồng) và có thể chịu trách nhiệm pháp lý.

9. Đào tạo và Nhận thức

Tất cả nhân viên phải tham gia khóa đào tạo về bảo vệ dữ liệu cá nhân khi gia nhập công ty và định kỳ hàng năm.
Tổ chức các buổi nâng cao nhận thức về bảo mật dữ liệu và các mối đe dọa như phishing, malware.
Đầu ra: Chứng chỉ hoàn thành đào tạo.

10. Đánh giá và Cải tiến

Thực hiện kiểm toán nội bộ hàng năm để đánh giá hiệu quả của chính sách.
Thu thập phản hồi từ nhân viên và khách hàng để cải tiến quy trình.
Cập nhật chính sách khi có thay đổi về pháp luật hoặc công nghệ.

11. Phụ lục

Mẫu biểu đồng ý thu thập dữ liệu.
Mẫu hợp đồng chia sẻ dữ liệu với bên thứ ba.
Danh sách tham khảo: Luật An ninh mạng 2018, Nghị định 13/2023/NĐ-CP, GDPR (nếu áp dụng).

Chia sẻ cho bạn bè