Chính sách bảo mật và bảo vệ dữ liệu cá nhân
Chính sách này giải thích cách CÔNG TY TNHH BESOFT (“chúng tôi”) xử lý dữ liệu cá nhân khi vận hành VLookup, theo Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân và pháp luật có liên quan. Chính sách áp dụng cho hai nhóm: khách hàng (người đăng ký tài khoản, thành viên workspace) và người tra cứu (người dùng trang tra cứu công khai).
1. Vai trò của chúng tôi
- Với dữ liệu tài khoản và thanh toán của khách hàng: chúng tôi là bên kiểm soát và xử lý dữ liệu cá nhân.
- Với dữ liệu trong file khách hàng tải lên (ví dụ danh sách điểm thi, phiếu lương): khách hàng là bên kiểm soát, chúng tôi là bên xử lý theo chỉ dẫn của khách hàng. Người tra cứu muốn hỏi, sửa hoặc xoá dữ liệu của mình trong một bảng tra cứu vui lòng liên hệ đơn vị sở hữu trang tra cứu đó; chúng tôi hỗ trợ chủ workspace thực hiện yêu cầu.
2. Dữ liệu chúng tôi thu thập
| Nhóm | Dữ liệu | Mục đích |
|---|---|---|
| Tài khoản | Họ tên, email, mật khẩu (chỉ lưu dạng băm), tên và mã workspace, vai trò thành viên | Tạo và bảo vệ tài khoản, phân quyền, gửi email xác minh, đặt lại mật khẩu, thông báo dịch vụ |
| Đăng nhập Google (nếu dùng) | Họ tên, email, ảnh đại diện do Google cung cấp | Đăng nhập không cần mật khẩu |
| Thanh toán | Mã đơn hàng, gói, số tiền, thời điểm, nội dung chuyển khoản do ngân hàng báo về | Kích hoạt gói, đối soát, kế toán, hoá đơn |
| Dữ liệu bảng tra cứu | Nội dung file khách hàng tải lên | Hiển thị kết quả tra cứu theo cấu hình của khách hàng |
| Tra cứu | Giá trị băm (không đảo ngược được) của khoá tra cứu, một phần địa chỉ IP, trình duyệt, thời điểm, kết quả tìm thấy hay không; email nhận mã OTP (lấy từ dữ liệu của workspace) | Chống dò dữ liệu, giới hạn tần suất, gửi mã OTP, thống kê cho workspace |
| Nhật ký thao tác | Ai làm gì, lúc nào trong trang quản trị | An toàn, truy vết, giải quyết khiếu nại |
Cơ sở xử lý: sự đồng ý của chủ thể khi đăng ký; thực hiện hợp đồng dịch vụ; nghĩa vụ pháp lý (kế toán, thuế); và chỉ dẫn của khách hàng đối với dữ liệu trong bảng tra cứu. Chúng tôi không dùng dữ liệu cho quảng cáo, không bán dữ liệu và không chuyển dữ liệu cho bên thứ ba vì mục đích thương mại.
3. Cookie
Chúng tôi chỉ dùng cookie cần thiết: phiên đăng nhập và workspace đang chọn trong trang quản trị. Trang tra cứu công khai không đặt cookie theo dõi; phiên xem kết quả sau OTP được giữ trong bộ nhớ trang, đóng trang là mất.
4. Bảo vệ dữ liệu
- Mọi kết nối dùng HTTPS (TLS). Dữ liệu lưu trên máy chủ đặt tại Việt Nam.
- Mỗi workspace có khoá mã hoá riêng, được bọc bởi khoá chủ quản lý trong hệ thống quản lý khoá (KMS); các cột dữ liệu cá nhân khách hàng chọn được mã hoá AES-256-GCM trước khi ghi vào cơ sở dữ liệu.
- Khoá tra cứu chỉ lưu dạng băm có khoá bí mật; dữ liệu giữa các workspace được cách ly ở tầng cơ sở dữ liệu.
- Trang tra cứu chỉ trả về các trường có trong mẫu kết quả, có che bớt, giới hạn tần suất, captcha và OTP tuỳ cấu hình.
- File gốc bị xoá ngay sau khi nhập xong dữ liệu. Cơ sở dữ liệu được sao lưu hằng ngày và mã hoá.
- Nhân sự chỉ truy cập dữ liệu khi cần hỗ trợ theo yêu cầu của khách hàng và có ghi nhật ký.
5. Thời gian lưu trữ
- Dữ liệu bảng tra cứu: theo thời hạn khách hàng chọn (giới hạn theo gói); hết hạn hoặc khi khách hàng xoá bảng, dữ liệu dòng bị xoá vĩnh viễn.
- Mã OTP: tối đa 24 giờ. Nhật ký tra cứu: theo gói (ví dụ 21 ngày với gói Free). Nhật ký thao tác: 30 ngày gần nhất.
- Dữ liệu tài khoản: trong thời gian sử dụng dịch vụ và tối đa 30 ngày sau khi yêu cầu xoá; chứng từ thanh toán lưu theo thời hạn pháp luật kế toán quy định.
- Bản sao lưu được ghi đè theo chu kỳ, tối đa 30 ngày.
6. Bên cung cấp dịch vụ liên quan
Chúng tôi dùng một số nhà cung cấp để vận hành dịch vụ, mỗi bên chỉ nhận phần dữ liệu cần thiết:
- Nhà cung cấp hạ tầng điện toán đám mây tại Việt Nam: lưu trữ toàn bộ dữ liệu dịch vụ.
- Nhà cung cấp dịch vụ gửi email: địa chỉ email người nhận và nội dung email giao dịch, mã OTP.
- Cloudflare Turnstile (khi trang tra cứu bật chống tra cứu tự động): địa chỉ IP và tín hiệu trình duyệt để phân biệt người và máy; dữ liệu này có thể được xử lý ngoài lãnh thổ Việt Nam.
- Google (khi khách hàng chọn đăng nhập bằng Google).
- Ngân hàng và dịch vụ đối soát giao dịch: thông tin giao dịch chuyển khoản để kích hoạt gói.
Chúng tôi cung cấp dữ liệu cho cơ quan nhà nước có thẩm quyền khi có yêu cầu hợp pháp theo quy định của pháp luật.
7. Quyền của chủ thể dữ liệu
Theo Nghị định 13/2023/NĐ-CP, bạn có quyền được biết; đồng ý hoặc rút lại sự đồng ý; truy cập; chỉnh sửa; xoá; hạn chế xử lý; được cung cấp dữ liệu; phản đối xử lý; khiếu nại, tố cáo, khởi kiện; yêu cầu bồi thường thiệt hại; và tự bảo vệ dữ liệu cá nhân của mình. Gửi yêu cầu tới vlookup@besoft.vn; chúng tôi phản hồi trong vòng 72 giờ và hoàn tất trong thời hạn pháp luật quy định. Việc rút lại sự đồng ý có thể khiến chúng tôi không tiếp tục cung cấp được một phần hoặc toàn bộ dịch vụ.
8. Sự cố dữ liệu
Khi phát hiện vi phạm quy định bảo vệ dữ liệu cá nhân, chúng tôi thông báo cho cơ quan chuyên trách và khách hàng bị ảnh hưởng theo thời hạn của Nghị định 13/2023/NĐ-CP, đồng thời áp dụng biện pháp khắc phục.
9. Trẻ em
Tài khoản quản trị dành cho người từ đủ 18 tuổi. Khi bảng tra cứu chứa dữ liệu của trẻ em (ví dụ học sinh), chủ workspace chịu trách nhiệm có sự đồng ý của cha, mẹ hoặc người giám hộ theo quy định, và nên bật mã hoá, che bớt thông tin, xác thực OTP.
10. Thay đổi chính sách
Phiên bản mới được đăng tại trang này và thông báo qua email cho chủ workspace khi có thay đổi quan trọng.
11. Liên hệ
Bộ phận bảo vệ dữ liệu cá nhân, CÔNG TY TNHH BESOFT · Email vlookup@besoft.vn.