Chính sách bảo mật — Datapot

1. Mục đích thu thập và xử lý thông tin

Tạo, xác thực và quản lý tài khoản (nếu có); tiếp nhận đăng ký, đặt hàng, yêu cầu tư vấn; xác định đúng người mua, sử dụng dịch vụ/sản phẩm, tổ chức và dịch vụ liên quan.
Cung cấp sản phẩm, dịch vụ; hỗ trợ và chăm sóc khách hàng trong quá trình sử dụng sản phẩm, dịch vụ.
Xử lý giao dịch, đối soát thanh toán, lập hóa đơn/chứng từ, thực hiện nghĩa vụ kế toán, thuế và giải quyết hoàn tiền, sai sót hoặc tranh chấp.
Gửi thông báo vận hành, thông tin dịch vụ, sản phẩm, thay đổi chính sách; tiếp nhận và giải quyết yêu cầu, phản ánh, khiếu nại; cải thiện chất lượng, thống kê và phát triển nền tảng.
Bảo đảm an toàn hệ thống, xác thực truy cập, phát hiện và ngăn chặn gian lận, lạm dụng, tấn công mạng; thực hiện nghĩa vụ pháp lý. Việc tiếp thị, quảng cáo hoặc giới thiệu ưu đãi chỉ được thực hiện trên căn cứ hợp lý.

2. Phạm vi thông tin có thể được thu thập

Thông tin nhận diện và liên hệ: họ tên, số điện thoại, số định danh cá nhân, giới tính, độ tuổi, ngày tháng năm sinh, hòm thư điện tử, địa chỉ, đơn vị công tác/học tập, chức danh và thông tin người đại diện hoặc người thanh toán khi cần thiết.
Thông tin tài khoản và xác thực: tên đăng nhập, mật khẩu ở dạng được bảo vệ, mã người dùng, lịch sử đăng nhập, trạng thái tài khoản, bằng chứng đồng ý và lựa chọn quyền riêng tư.
Thông tin đăng ký và sử dụng dịch vụ: sản phẩm/dịch vụ quan tâm hoặc đã mua, lịch sử sử dụng sản phẩm/dịch vụ, nội dung hỗ trợ và tương tác trên nền tảng.
Thông tin giao dịch: mã đơn hàng, số tiền, phương thức và trạng thái thanh toán, nội dung chuyển khoản, thông tin hóa đơn/chứng từ. Datapot không yêu cầu cung cấp mật khẩu ngân hàng, mã PIN hoặc mã OTP; dữ liệu thẻ hoặc dữ liệu xác thực thanh toán do đơn vị trung gian xử lý theo phạm vi dịch vụ của đơn vị đó.
Dữ liệu kỹ thuật: địa chỉ IP, loại thiết bị, trình duyệt, hệ điều hành, thời gian truy cập, nhật ký lỗi, mã phiên, cookie hoặc công nghệ tương tự cần thiết cho vận hành, an toàn, đo lường và cải thiện dịch vụ.
Nội dung trao đổi và dữ liệu từ nguồn hợp pháp: email, cuộc gọi, tin nhắn, phản hồi, khiếu nại; dữ liệu do đối tác thanh toán, đối tác hoặc tổ chức của người dùng chuyển cho Datapot trên cơ sở có thẩm quyền, ủy quyền, sự đồng ý hoặc căn cứ pháp luật phù hợp.
Các thông tin khác phục vụ mục đích khảo sát, nâng cao/cải thiện dịch vụ… được người mua/người sử dụng tự nguyện cung cấp.

3. Phương thức và nguyên tắc thu thập

Thông tin được thu thập trực tiếp qua biểu mẫu, tài khoản, đơn đăng ký, giao dịch, email, điện thoại, trò chuyện hoặc tài liệu người dùng cung cấp; tự động qua cookie, nhật ký hệ thống và thiết bị; hoặc từ bên thứ ba hợp pháp.
Datapot chỉ thu thập dữ liệu phù hợp, cần thiết với mục đích đã công khai; mục đích mới ngoài phạm vi hợp lý sẽ được thông báo và xin sự đồng ý khi pháp luật yêu cầu. Dữ liệu nhạy cảm, dữ liệu trẻ em hoặc người cần được đại diện được xử lý theo điều kiện bảo vệ đặc thù và thông qua người đại diện hợp pháp khi cần.

4, Phạm vi sử dụng thông tin

Datapot sử dụng thông tin, dữ liệu cá nhân trong phạm vi phù hợp với mục đích đã thông báo, sự đồng ý của chủ thể dữ liệu, việc thực hiện hợp đồng/thỏa thuận hoặc trường hợp xử lý không cần sự đồng ý theo quy định pháp luật. Phạm vi sử dụng bao gồm:

Xác thực người dùng, quản trị tài khoản, phân quyền và duy trì hoạt động liên tục của nền tảng.
Tư vấn, xác nhận đăng ký/đơn hàng; cung cấp, cá nhân hóa ở mức cần thiết và quản lý sản phẩm, dịch vụ đã lựa chọn.
Liên hệ qua email, điện thoại, SMS, tài khoản hoặc kênh phù hợp để thông báo lịch học, trạng thái giao dịch, cập nhật dịch vụ, cảnh báo an toàn và hỗ trợ người dùng.
Đối soát, thanh toán, hoàn tiền, lập hóa đơn/chứng từ, quản lý công nợ và thực hiện nghĩa vụ tài chính, kế toán, thuế.
Ghi nhận tiến độ, kết quả học tập, phản hồi, cấp hoặc xác minh chứng nhận; phân tích chất lượng và cải tiến nội dung, chức năng, trải nghiệm người dùng.
Tổng hợp, thống kê hoặc nghiên cứu trên dữ liệu đã được ẩn danh/khử nhận diện ở mức phù hợp nhằm đánh giá hiệu quả và phát triển sản phẩm, dịch vụ.
Phòng ngừa gian lận, giả mạo, truy cập trái phép, hành vi vi phạm; giám sát, điều tra, khắc phục sự cố và bảo vệ quyền, tài sản, an toàn của người dùng, Công ty và cộng đồng.
Tiếp nhận, xác minh và giải quyết yêu cầu thực hiện quyền, phản ánh, khiếu nại, tranh chấp; cung cấp thông tin cho cơ quan có thẩm quyền khi có yêu cầu hợp pháp.
Gửi thông tin tiếp thị, ưu đãi hoặc khảo sát khi có căn cứ hợp pháp; người dùng có thể hủy đăng ký trong nội dung nhận được hoặc liên hệ Datapot để rút lại sự đồng ý. Datapot không bán hoặc cho thuê dữ liệu cá nhân cho bên khác để họ tự tiếp thị độc lập trái với mục đích đã công khai.
Trường hợp cần xử lý cho mục đích khác, Datapot sẽ thông báo rõ mục đích, loại dữ liệu, bên liên quan, thời gian xử lý và thực hiện cơ chế đồng ý hoặc căn cứ pháp lý tương ứng trước khi xử lý.

5, Thời gian lưu trữ thông tin

Thông tin, dữ liệu của người sử dụng được lưu trữ trong thời gian cần thiết để thực hiện các mục đích thu thập, xử lý và cung cấp dịch vụ đã được nêu tại Chính sách này.
Thời gian lưu trữ được xác định căn cứ vào mục đích xử lý dữ liệu, thời gian người sử dụng duy trì tài khoản hoặc sử dụng dịch vụ, thời hạn thực hiện các quyền và nghĩa vụ giữa các bên, yêu cầu đối soát, xác minh, giải quyết khiếu nại, tranh chấp và các yêu cầu lưu trữ theo quy định của pháp luật.
Sau khi người sử dụng ngừng sử dụng dịch vụ hoặc chấm dứt tài khoản, Công ty có thể tiếp tục lưu trữ thông tin trong thời gian cần thiết và hợp lý để phục vụ việc đối soát, truy xuất lịch sử giao dịch, hỗ trợ khách hàng, phòng ngừa gian lận, giải quyết khiếu nại, tranh chấp, thực hiện nghĩa vụ hợp đồng, bảo vệ quyền và lợi ích hợp pháp của các bên hoặc đáp ứng yêu cầu của cơ quan nhà nước có thẩm quyền.
Khi thông tin, dữ liệu không còn cần thiết cho mục đích xử lý và không còn căn cứ pháp lý để tiếp tục lưu trữ, Công ty sẽ thực hiện xóa, hủy, ẩn hoặc khử nhận diện dữ liệu theo quy định của pháp luật.
Trường hợp pháp luật chuyên ngành quy định thời hạn lưu trữ dài hơn, Công ty sẽ lưu trữ dữ liệu theo thời hạn tương ứng.

6, Tổ chức, cá nhân có quyền tiếp cận thông tin

Tùy mục đích và phạm vi cần thiết, các chủ thể sau đây có thể được tiếp cận dữ liệu cá nhân:

Chính chủ thể dữ liệu, người đại diện hợp pháp hoặc người được ủy quyền sau khi Datapot xác minh phù hợp.
Nhân sự, bộ phận được Datapot phân quyền, như tư vấn, chăm sóc khách hàng, kế toán, pháp chế/tuân thủ, công nghệ thông tin, an toàn thông tin, bộ phận vận hành, trực tiếp cung cấp dịch vụ và ban lãnh đạo, quyền truy cập được giới hạn theo nhiệm vụ.
Nhà cung cấp dịch vụ theo hợp đồng, gồm đơn vị hosting/lưu trữ đám mây, quản trị tên miền, nền tảng, bảo trì kỹ thuật, gửi email/SMS, phân tích hệ thống, cổng thanh toán/ngân hàng, kế toán, kiểm toán, tư vấn pháp lý và dịch vụ hỗ trợ khác.
Cơ quan nhà nước, cơ quan tiến hành tố tụng, tổ chức có thẩm quyền hoặc bên cần thiết để Datapot tuân thủ yêu cầu hợp pháp, phòng chống vi phạm, bảo vệ quyền và giải quyết tranh chấp.
Tổ chức tiếp nhận trong trường hợp sáp nhập, chia, tách, chuyển đổi, chuyển nhượng dự án hoặc tài sản, với điều kiện dữ liệu tiếp tục được bảo vệ và việc chuyển giao tuân thủ pháp luật.

Điều kiện tiếp cận, chia sẻ và chuyển giao

Datapot áp dụng nguyên tắc tối thiểu cần thiết, đúng mục đích, đúng thẩm quyền; yêu cầu bên nhận bảo mật, chỉ xử lý theo hướng dẫn/thỏa thuận, áp dụng biện pháp an toàn và hỗ trợ thực hiện quyền của chủ thể dữ liệu.
Datapot không công khai hoặc cung cấp dữ liệu cá nhân cho bên không có thẩm quyền, trừ khi có sự đồng ý hợp lệ hoặc căn cứ pháp luật. Trong trường hợp phát sinh chuyển dữ liệu cá nhân ra nước ngoài, Datapot thực hiện yêu cầu đánh giá, hồ sơ, bảo vệ và thủ tục liên quan theo pháp luật hiện hành.

7, Biện pháp bảo mật thông tin, dữ liệu

Datapot áp dụng và duy trì các biện pháp quản lý, kỹ thuật và tổ chức phù hợp nhằm bảo vệ thông tin, dữ liệu của người sử dụng trước các nguy cơ truy cập, sử dụng, tiết lộ, thay đổi, mất mát, phá hủy hoặc xử lý trái phép.
Các biện pháp bảo mật được xây dựng và áp dụng phù hợp với tính chất của dữ liệu, mục đích xử lý, phạm vi hoạt động, mức độ rủi ro và yêu cầu của pháp luật, có thể bao gồm việc kiểm soát quyền truy cập, bảo vệ hệ thống và cơ sở dữ liệu, sao lưu và phục hồi dữ liệu, giám sát an toàn thông tin, quản lý nhân sự và bên thứ ba có liên quan, cũng như các biện pháp phòng ngừa và xử lý sự cố phù hợp.
Datapot định kỳ rà soát và có thể điều chỉnh, bổ sung các biện pháp bảo mật phù hợp với sự thay đổi của công nghệ, hoạt động kinh doanh, mức độ rủi ro và quy định pháp luật hiện hành.
Sử dụng cơ chế xác thực, quản lý phiên, kiểm soát truy cập, ghi nhật ký và cảnh báo bất thường; áp dụng xác thực nhiều lớp ở vị trí phù hợp; khóa hoặc hạn chế tài khoản khi có dấu hiệu rủi ro.

Trách nhiệm của người dùng

Người dùng cần bảo mật thông tin đăng nhập, không chia sẻ mật khẩu, mã PIN, mã OTP; đăng xuất khỏi thiết bị dùng chung; kiểm tra địa chỉ website và kênh liên hệ chính thức; thông báo ngay cho Datapot khi nghi ngờ mất tài khoản, giả mạo hoặc lộ dữ liệu.
Không có biện pháp an toàn nào loại bỏ hoàn toàn mọi rủi ro. Khi xảy ra sự cố ngoài khả năng kiểm soát hợp lý, Datapot ưu tiên khoanh vùng, giảm thiểu thiệt hại, phục hồi an toàn và thực hiện nghĩa vụ thông báo theo quy định.

8, Thực hiện các quyền xem, chỉnh sửa hoặc yêu cầu chỉnh sửa

a, Phương thức thực hiện

Người dùng có thể tự xem và cập nhật các trường thông tin được hỗ trợ tại mục tài khoản/hồ sơ cá nhân trên nền tảng (nếu có); hoặc gọi hotline, gửi yêu cầu email đến địa chỉ liên hệ của Datapot.
Tiêu đề khuyến nghị: "YÊU CẦU THỰC HIỆN QUYỀN DỮ LIỆU CÁ NHÂN - [HỌ TÊN]". Yêu cầu nên nêu họ tên, email/số điện thoại đã đăng ký, nội dung cần xem/chỉnh sửa, dữ liệu liên quan và tài liệu chứng minh tư cách chủ thể dữ liệu, người đại diện hoặc người được ủy quyền.
Datapot có thể yêu cầu thông tin bổ sung ở mức cần thiết để xác minh danh tính và ngăn chặn việc truy cập trái phép. Datapot không yêu cầu mật khẩu ngân hàng, mã PIN hoặc mã OTP để xác minh yêu cầu quyền dữ liệu.

b, Quy trình tiếp nhận và xử lý

Bước 1. Tiếp nhận và ghi nhận: Datapot xác định kênh phản hồi và phạm vi dữ liệu liên quan.
Bước 2. Phản hồi ban đầu: trong thời hạn 05 ngày làm việc kể từ khi nhận yêu cầu đúng thủ tục, Datapot thông báo việc tiếp nhận, thủ tục, thông tin cần bổ sung hoặc lý do chưa đủ điều kiện xử lý.
Bước 3. Xác minh: kiểm tra danh tính, tư cách đại diện/ủy quyền, tính xác định của yêu cầu và nguy cơ ảnh hưởng đến quyền của người khác, bí mật kinh doanh hoặc an toàn hệ thống.
Bước 4. Thực hiện: Datapot cung cấp khả năng xem, bản dữ liệu phù hợp hoặc chỉnh sửa dữ liệu chính xác trong thời hạn 15 ngày làm việc. Trường hợp cần yêu cầu bên xử lý dữ liệu hoặc bên thứ ba chỉnh sửa, thời hạn thực hiện là 20 ngày làm việc.
Bước 5. Thông báo kết quả: Datapot gửi kết quả, dữ liệu đã cập nhật hoặc giải thích phần không thể thực hiện; đồng thời lưu dấu vết xử lý để kiểm soát tuân thủ.

c,. Gia hạn và giới hạn

Tùy tính chất, mức độ phức tạp, thời gian xử lý có thể được gia hạn tối đa 01 lần, không quá 15 ngày làm việc; Datapot thông báo lý do và chứng minh việc gia hạn là cần thiết, hợp lý.
Datapot có thể từ chối hoặc giới hạn yêu cầu khi người yêu cầu không xác minh được tư cách, yêu cầu lặp lại/lạm dụng, việc cung cấp xâm phạm quyền của người khác, làm lộ bí mật cần bảo vệ, gây rủi ro an toàn hoặc thuộc trường hợp pháp luật không cho phép; lý do được thông báo trong phạm vi có thể.

9, Xóa, hủy, hạn chế và rút lại sự đồng ý

a, Phương thức gửi yêu cầu

Chủ thể dữ liệu có thể yêu cầu xóa/hủy dữ liệu, hạn chế hoặc phản đối xử lý, rút lại sự đồng ý qua tài khoản (nếu có chức năng), email, hotline hoặc văn bản gửi đến Datapot. Yêu cầu cần mô tả rõ loại dữ liệu, phạm vi, lý do và dịch vụ/tài khoản liên quan.
Việc rút lại sự đồng ý không ảnh hưởng đến tính hợp pháp của hoạt động xử lý đã thực hiện trước thời điểm Datapot nhận và xử lý yêu cầu; một số chức năng hoặc dịch vụ có thể bị gián đoạn nếu dữ liệu là cần thiết để thực hiện thỏa thuận hoặc nghĩa vụ pháp lý.

b, Quy trình xử lý

Bước 1. Tiếp nhận, phản hồi trong 05 ngày làm việc và hướng dẫn thủ tục;
Bước 2. Xác minh danh tính, tư cách, phạm vi yêu cầu;
Bước 3. Đánh giá căn cứ tiếp tục lưu/xử lý và quyền, lợi ích của các bên;
Bước 4. Thực hiện trên hệ thống Datapot và gửi yêu cầu tương ứng cho bên xử lý/bên thứ ba;
Bước 5. Thông báo kết quả, tác động đến tài khoản/dịch vụ và lưu hồ sơ xử lý.

c, Thời hạn thực hiện

Đối với rút lại sự đồng ý, hạn chế xử lý hoặc phản đối xử lý: Datapot thực hiện trong thời hạn 15 ngày làm việc; trường hợp cần yêu cầu bên xử lý dữ liệu hoặc bên thứ ba ngừng xử lý thì thời hạn là 20 ngày làm việc. Có thể gia hạn tối đa 01 lần, không quá 15 ngày làm việc, và phải thông báo lý do.
Đối với yêu cầu xóa dữ liệu: Datapot thực hiện trong thời hạn 20 ngày làm việc; trường hợp cần yêu cầu bên xử lý dữ liệu hoặc bên thứ ba cung cấp, xóa hoặc hạn chế xử lý thì thời hạn là 30 ngày làm việc. Có thể gia hạn tối đa 01 lần, không quá 20 ngày làm việc, và phải thông báo lý do.

d, Trường hợp không thể xóa/hủy hoặc phải tiếp tục lưu

Datapot không thực hiện hoặc tạm hoãn xóa/hủy khi pháp luật quy định phải lưu; dữ liệu cần thiết để thực hiện nghĩa vụ, hoàn tất giao dịch, kế toán/thuế, giải quyết tranh chấp, bảo vệ quyền và lợi ích hợp pháp, bảo đảm an toàn, phòng chống vi phạm hoặc theo yêu cầu của cơ quan có thẩm quyền.
Trong trường hợp phải tiếp tục lưu, Datapot giới hạn mục đích, phạm vi truy cập và thời gian lưu ở mức cần thiết. Sau khi căn cứ lưu giữ chấm dứt, dữ liệu được xóa, hủy, ẩn danh hoặc xử lý theo chính sách lưu trữ.
Dữ liệu trên hệ thống hoạt động được loại bỏ hoặc hạn chế theo kết quả xử lý; dữ liệu trong bản sao lưu được xóa theo chu kỳ sao lưu kỹ thuật. Nếu bản sao lưu được phục hồi, Datapot áp dụng lại trạng thái xóa/hạn chế trong phạm vi khả thi.

10, Tiếp nhận, giải quyết khiếu nại, yêu cầu, phản ánh

a, Kênh tiếp nhận

Email: [email protected];
Hotline: 076 2266 990;
Trường hợp nghi ngờ lộ, mất dữ liệu hoặc chiếm đoạt tài khoản, người dùng nên ghi tiêu đề "[KHẨN] SỰ CỐ BẢO MẬT" và cung cấp thông tin sớm nhất có thể.
Nội dung nên gồm: họ tên và thông tin liên hệ; tài khoản/dịch vụ liên quan; diễn biến, thời điểm, dữ liệu bị ảnh hưởng; tài liệu, hình ảnh hoặc mã giao dịch (nếu có); yêu cầu mong muốn. Người dùng không gửi mật khẩu, mã PIN, mã OTP hoặc dữ liệu không cần thiết.

b, Quy trình giải quyết

Bước 1. Tiếp nhận, lập hồ sơ và gửi phản hồi ban đầu trong 05 ngày làm việc; trường hợp thông tin chưa đủ, Datapot hướng dẫn bổ sung.
Bước 2. Phân loại mức độ, khoanh vùng rủi ro, bảo toàn nhật ký/chứng cứ và áp dụng biện pháp tạm thời khi cần, như khóa phiên, đổi thông tin xác thực hoặc hạn chế truy cập.
Bước 3. Xác minh với các bộ phận, nhân sự và nhà cung cấp liên quan; đánh giá nguyên nhân, phạm vi ảnh hưởng, nghĩa vụ thông báo và biện pháp khắc phục.
Bước 4. Thông báo phương án xử lý. Khiếu nại thông thường được dự kiến giải quyết trong 15 ngày làm việc kể từ khi nhận đủ thông tin; vụ việc phức tạp có thể kéo dài nhưng không quá 30 ngày làm việc, trừ trường hợp pháp luật quy định khác. Datapot thông báo lý do và tiến độ nếu cần gia hạn.
Bước 5. Thực hiện biện pháp khắc phục, trả lời kết quả qua kênh đã đăng ký, cập nhật hồ sơ và theo dõi nguy cơ tái diễn.

c, Nguyên tắc và quyền tiếp tục khiếu nại

Yêu cầu liên quan trực tiếp đến quyền xem/chỉnh sửa, xóa, hạn chế, phản đối hoặc rút lại sự đồng ý được áp dụng thời hạn tại Mục VII và Mục VIII. Datapot giải quyết trên nguyên tắc thiện chí, bảo mật, khách quan, đúng thẩm quyền và không trả đũa người phản ánh hợp pháp.
Trường hợp không đồng ý với kết quả, chủ thể dữ liệu có quyền gửi khiếu nại đến cơ quan có thẩm quyền, yêu cầu hòa giải hoặc khởi kiện theo quy định pháp luật. Datapot phối hợp cung cấp hồ sơ trong phạm vi hợp pháp và bảo vệ quyền của các bên liên quan.