Chính sách Bảo vệ Dữ liệu Cá nhân & Quyền riêng tư

Tài liệu này có hiệu lực cùng với Điều Khoản Sử Dụng Dịch Vụ Trust AI và là một phần không tách rời của bộ tài liệu pháp lý của Trust AI.

Lời mở đầu

Tại Trust Soft, chúng tôi tôn trọng và cam kết bảo vệ quyền riêng tư cũng như dữ liệu cá nhân của tất cả người dùng và đối tác tương tác với hệ thống Trust AI. Chính sách này mô tả cách chúng tôi thu thập, sử dụng, chia sẻ, lưu trữ và bảo vệ dữ liệu cá nhân, đồng thời nêu rõ các quyền của bạn đối với dữ liệu của mình.

Chính sách này được xây dựng trên cơ sở Nghị định số 13/2023/NĐ-CP ngày 17/4/2023 của Chính phủ về bảo vệ dữ liệu cá nhân và các văn bản pháp luật Việt Nam có liên quan. Chính sách áp dụng cho tất cả các kênh tương tác với Trust AI: giao diện web cho người dùng có tài khoản, Zalo Official Account, Web Component nhúng vào website của Tổ chức.

Bằng việc sử dụng Trust AI hoặc tương tác với các kênh tích hợp của Trust AI, bạn xác nhận đã đọc và hiểu Chính sách này. Vui lòng đọc kỹ trước khi sử dụng dịch vụ.

Điều 1. Định nghĩa

Trong Chính sách này, các thuật ngữ được hiểu theo Nghị định 13/2023/NĐ-CP và bổ sung như sau:

• Dữ liệu cá nhân: thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể, bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.
• Dữ liệu cá nhân nhạy cảm: dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân mà khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp tới quyền và lợi ích hợp pháp của cá nhân, theo Khoản 4 Điều 2 NĐ 13/2023/NĐ-CP.
• Chủ thể dữ liệu: cá nhân được dữ liệu cá nhân phản ánh.
• Bên Kiểm soát dữ liệu cá nhân (Data Controller): tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.
• Bên Xử lý dữ liệu cá nhân (Data Processor): tổ chức, cá nhân thực hiện việc xử lý dữ liệu thay mặt cho Bên Kiểm soát thông qua hợp đồng hoặc thỏa thuận.
• Xử lý dữ liệu cá nhân: một hoặc nhiều hoạt động tác động tới dữ liệu cá nhân (thu thập, ghi, phân tích, xác nhận, lưu trữ, chỉnh sửa, công khai, kết hợp, truy cập, truy xuất, thu hồi, mã hóa, giải mã, sao chép, chia sẻ, truyền đưa, cung cấp, chuyển giao, xóa, hủy hoặc các hành động khác có liên quan).
• Người dùng cuối: cá nhân tương tác với hệ thống Trust AI qua các kênh tích hợp như Zalo OA, Web Component, không có tài khoản trực tiếp trên hệ thống.

Điều 2. Phân định vai trò kiểm soát và xử lý dữ liệu

Việc xử lý dữ liệu cá nhân thông qua hệ thống Trust AI được phân định vai trò như sau:

Điều 3. Dữ liệu cá nhân được thu thập

3.1. Dữ liệu cá nhân cơ bản

• Dữ liệu định danh tài khoản: họ và tên, địa chỉ email, vai trò trong Tổ chức, ảnh đại diện (nếu có), ngôn ngữ giao diện, múi giờ.
• Dữ liệu liên hệ và tổ chức: tên Tổ chức, chức danh, đơn vị/phòng ban (do Tổ chức cấu hình).
• Dữ liệu tương tác: nội dung trò chuyện với trợ lý AI, tài liệu tải lên kho dữ liệu, prompt và cấu hình bot, lịch sử thực thi luồng công việc.
• Dữ liệu kỹ thuật: địa chỉ IP, loại trình duyệt và thiết bị, hệ điều hành, độ phân giải màn hình, cookie và token phiên (session token), thời gian và thời lượng phiên truy cập.
• Dữ liệu sử dụng: số lượng token AI tiêu thụ, mô hình AI sử dụng, tần suất sử dụng tính năng, thời gian phản hồi.

3.2. Dữ liệu cá nhân nhạy cảm

Hệ thống không yêu cầu Tổ chức hoặc người dùng cung cấp dữ liệu cá nhân nhạy cảm để vận hành. Tuy nhiên, do đặc thù nghiệp vụ (đặc biệt với cơ quan nhà nước), người dùng có thể đưa vào hệ thống các dữ liệu sau dưới dạng tài liệu tham chiếu hoặc nội dung trò chuyện:

• Dữ liệu liên quan đến nguồn gốc dân tộc, quan điểm chính trị, tín ngưỡng tôn giáo;
• Dữ liệu về sức khỏe, đời sống tình dục;
• Dữ liệu vị trí địa lý chi tiết của cá nhân;
• Dữ liệu về hồ sơ tài chính, hồ sơ phạm tội;
• Các loại dữ liệu nhạy cảm khác theo Khoản 4 Điều 2 NĐ 13/2023/NĐ-CP.

3.3. Dữ liệu của Người dùng cuối qua kênh tích hợp

Khi bạn tương tác với một Tổ chức thông qua Zalo OA hoặc Web Component sử dụng Trust AI, các dữ liệu sau có thể được thu thập:

• Định danh kênh: ID người dùng Zalo (do Zalo cung cấp), tên hiển thị Zalo, ảnh đại diện Zalo;
• Đối với Web Component: định danh phiên ẩn danh được tạo tự động (không gắn với danh tính thực nếu Tổ chức không yêu cầu đăng nhập);
• Nội dung tin nhắn bạn gửi cho trợ lý AI;
• Dữ liệu kỹ thuật của thiết bị truy cập.

Điều 4. Mục đích và cơ sở pháp lý xử lý dữ liệu

Điều 5. Chia sẻ dữ liệu với bên thứ ba

5.1. Đối tác xử lý dữ liệu

Để cung cấp dịch vụ, Trust Soft sử dụng các đối tác sau (chi tiết tại Phụ lục Danh sách Nhà cung cấp Bên thứ ba):

• Nhà cung cấp hạ tầng đám mây: lưu trữ và xử lý dữ liệu trên hạ tầng được bảo mật theo tiêu chuẩn quốc tế. Trust Soft ưu tiên hạ tầng đặt tại Việt Nam.
• Nhà cung cấp mô hình ngôn ngữ lớn (LLM Providers): xử lý nội dung prompt và sinh phản hồi AI. Bao gồm FPT AI Factory (Việt Nam), Microsoft Azure (Hoa Kỳ), DeepSeek API (Trung Quốc) và các nhà cung cấp khác được công bố tại Phụ lục.
• Dịch vụ giám sát và bảo mật: hệ thống phát hiện và phản ứng sự cố, công cụ giám sát hiệu năng (APM).
• Dịch vụ thanh toán và kế toán: xử lý hóa đơn và giao dịch tài chính (chỉ áp dụng cho Tổ chức có hợp đồng dịch vụ trả phí).

5.2. Cơ chế bảo vệ

• Tất cả các nhà cung cấp bên thứ ba đều ký kết Thỏa thuận Bảo mật (NDA) và Thỏa thuận Xử lý Dữ liệu (DPA) với Trust Soft, cam kết tuân thủ NĐ 13/2023/NĐ-CP.
• Trust Soft chỉ chia sẻ dữ liệu trong phạm vi tối thiểu cần thiết cho mục đích đã thỏa thuận.
• Trust Soft thực hiện đánh giá rủi ro định kỳ đối với các nhà cung cấp.

5.3. Cơ quan nhà nước

Trust Soft có thể chia sẻ dữ liệu cá nhân với cơ quan nhà nước có thẩm quyền trong các trường hợp:

• Theo yêu cầu hợp pháp bằng văn bản của cơ quan có thẩm quyền (quyết định, lệnh hoặc văn bản yêu cầu của cơ quan điều tra, viện kiểm sát, tòa án hoặc cơ quan thanh tra);
• Khi cần thiết để bảo vệ an ninh quốc gia, trật tự công cộng;
• Khi có dấu hiệu vi phạm pháp luật cần phối hợp xử lý.

5.4. Chuyển dữ liệu xuyên biên giới

Khi xảy ra việc chuyển dữ liệu xuyên biên giới, Trust Soft cam kết:

• Đánh giá tác động: lập và lưu trữ Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài (TIA) theo Điều 25 NĐ 13/2023/NĐ-CP.
• Thông báo cho Bộ Công an: nộp Hồ sơ đánh giá theo quy định.
• Áp dụng biện pháp bảo vệ: yêu cầu nhà cung cấp nước ngoài cam kết tuân thủ tiêu chuẩn bảo vệ dữ liệu tương đương quy định Việt Nam (qua các điều khoản hợp đồng tiêu chuẩn).
• Thông báo cho Tổ chức: trong trường hợp Tổ chức yêu cầu chỉ sử dụng nhà cung cấp đặt máy chủ tại Việt Nam, Trust Soft hỗ trợ cấu hình theo phương án đó (xem Điều 14.3 Điều Khoản Sử Dụng).

Điều 6. Thời gian lưu trữ

Dữ liệu cá nhân được lưu trữ trong thời gian cần thiết để đạt được mục đích xử lý hoặc theo quy định pháp luật. Cụ thể:

Điều 7. Biện pháp bảo mật

Trust Soft áp dụng các biện pháp kỹ thuật và quản lý để bảo vệ dữ liệu cá nhân:

7.1. Biện pháp kỹ thuật

• Mã hóa dữ liệu khi truyền tải (TLS 1.2 trở lên) và khi lưu trữ (AES-256);
• Phân vùng dữ liệu của từng Tổ chức (data isolation) để tránh truy cập chéo;
• Hệ thống xác thực đa yếu tố (MFA) cho tài khoản quản trị;
• Sao lưu dữ liệu định kỳ với khả năng khôi phục;
• Hệ thống giám sát và phát hiện xâm nhập (IDS/IPS);
• Quản lý lỗ hổng bảo mật và vá lỗi định kỳ.

7.2. Biện pháp quản lý

• Chính sách kiểm soát truy cập theo nguyên tắc đặc quyền tối thiểu (least privilege);
• Đào tạo nhận thức bảo mật định kỳ cho nhân viên Trust Soft;
• Cam kết bảo mật từ tất cả nhân viên và đối tác có quyền tiếp cận hệ thống;
• Quy trình ứng phó sự cố và diễn tập định kỳ;
• Đánh giá độc lập về bảo mật theo định kỳ.

Điều 8. Quyền của chủ thể dữ liệu

Theo Điều 9 Nghị định 13/2023/NĐ-CP, bạn có các quyền sau đối với dữ liệu cá nhân của mình:

8.1. Cách thực hiện quyền

Để thực hiện các quyền nêu trên, bạn có thể:

• Đối với người dùng có tài khoản: sử dụng các chức năng tự phục vụ trong giao diện hệ thống (chỉnh sửa hồ sơ, xóa cuộc trò chuyện, xóa tài liệu...) hoặc liên hệ Quản trị viên Tổ chức.
• Đối với người dùng cuối: liên hệ trực tiếp Tổ chức triển khai kênh tích hợp (Zalo OA, Web Component) — đây là Bên Kiểm soát dữ liệu của bạn.
• Đối với mọi đối tượng: gửi yêu cầu trực tiếp đến Trust Soft qua email dpo@trustsoft.com.vn. Trust Soft sẽ chuyển tiếp đến đầu mối phù hợp nếu cần.

8.2. Thời hạn xử lý yêu cầu

• Phản hồi xác nhận tiếp nhận: trong vòng 03 ngày làm việc;
• Hoàn tất xử lý: trong vòng 15 ngày làm việc kể từ khi tiếp nhận yêu cầu hợp lệ;
• Trường hợp phức tạp: có thể kéo dài thêm tối đa 15 ngày, kèm thông báo lý do;
• Yêu cầu lần đầu trong năm: miễn phí. Yêu cầu lặp lại có thể phát sinh phí xử lý hợp lý.

Điều 9. Bảo vệ dữ liệu cá nhân của trẻ em

Theo Điều 20 Nghị định 13/2023/NĐ-CP, dữ liệu cá nhân của trẻ em (người dưới 16 tuổi) được áp dụng các biện pháp bảo vệ đặc biệt:

• Hệ thống Trust AI không chủ động thu thập dữ liệu của trẻ em. Trust AI được thiết kế dành cho người dùng là cán bộ, nhân viên trong môi trường công sở.
• Đối với việc xử lý dữ liệu trẻ em từ 7 tuổi trở lên: phải có sự đồng ý của trẻ em và sự đồng ý của cha, mẹ hoặc người giám hộ.
• Đối với trẻ em dưới 7 tuổi: phải có sự đồng ý của cha, mẹ hoặc người giám hộ.
• Trách nhiệm của Tổ chức: nếu kênh tích hợp Zalo OA hoặc Web Component có khả năng phục vụ người dùng dưới 16 tuổi (ví dụ: cổng thông tin của trường học, dịch vụ y tế nhi khoa), Tổ chức triển khai phải có cơ chế xác minh độ tuổi và xin phép người giám hộ trước khi xử lý dữ liệu.
• Khi phát hiện dữ liệu của trẻ em đã được thu thập mà không có sự đồng ý hợp lệ, Trust Soft sẽ phối hợp với Tổ chức để xóa dữ liệu trong thời gian sớm nhất.

Điều 10. Cookie và công nghệ tương tự

Trust AI sử dụng cookie và công nghệ tương tự (local storage, session storage) cho các mục đích sau:

• Hệ thống Trust AI không sử dụng cookie quảng cáo bên thứ ba.
• Web Component nhúng vào website của Tổ chức có thể sử dụng cookie phụ thuộc vào cấu hình của Tổ chức — chính sách cookie của Tổ chức được ưu tiên áp dụng cho người dùng cuối.

Điều 11. Thông báo sự cố bảo mật dữ liệu

Trust Soft cam kết thực hiện đầy đủ nghĩa vụ thông báo sự cố theo Điều 23 Nghị định 13/2023/NĐ-CP. Khi xảy ra sự cố bảo mật dữ liệu cá nhân, Trust Soft sẽ:

• Thông báo cho Tổ chức/người dùng bị ảnh hưởng trong vòng 24 giờ kể từ thời điểm phát hiện;
• Phối hợp với Tổ chức (với vai trò Bên Kiểm soát) thông báo cho Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao – A05) trong vòng 72 giờ;
• Áp dụng các biện pháp khắc phục và hạn chế thiệt hại;
• Lưu trữ hồ sơ sự cố trong thời gian tối thiểu 03 năm.

Chi tiết quy trình thông báo sự cố được quy định tại Điều 16 Điều Khoản Sử Dụng Dịch Vụ Trust AI.

Điều 12. Cập nhật chính sách

Trust Soft có quyền cập nhật Chính sách này khi cần thiết. Quy trình cập nhật:

• Thay đổi không đáng kể (điều chỉnh ngữ pháp, làm rõ ý...): công bố trên website và có hiệu lực ngay.
• Thay đổi đáng kể (thêm/bớt mục đích xử lý, thêm nhà cung cấp mới có chuyển dữ liệu xuyên biên giới...): thông báo cho Quản trị viên Tổ chức tối thiểu 30 ngày trước khi có hiệu lực.
• Thay đổi cơ bản (thay đổi mô hình kinh doanh, thay đổi căn cứ pháp lý xử lý...): có thể yêu cầu sự đồng ý mới từ Tổ chức/người dùng.

Phiên bản và ngày cập nhật được công bố ở phần đầu của tài liệu.

Điều 13. Liên hệ

Để gửi yêu cầu, khiếu nại hoặc câu hỏi liên quan đến Chính sách này:

Bạn cũng có quyền khiếu nại lên cơ quan quản lý nhà nước về bảo vệ dữ liệu cá nhân (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao – A05, Bộ Công an) nếu cho rằng quyền của mình bị xâm phạm.