Chính sách bảo vệ dữ liệu cá nhân

1. Phạm vi và bên kiểm soát dữ liệu

1.1. Chính sách này áp dụng cho mọi hoạt động thu thập và xử lý dữ liệu cá nhân diễn ra trên website Thuê Máy Ảnh Giá Rẻ, Uy Tín Toàn Quốc | thuemayanh.vn, giao diện quản trị cửa hàng và các dịch vụ liên quan (gọi chung là “Nền tảng”).

1.2. Đơn vị vận hành Nền tảng là Bên Kiểm soát dữ liệu cá nhân đối với dữ liệu được thu thập qua Nền tảng, và là Bên Kiểm soát và xử lý dữ liệu trong các trường hợp vừa thu thập vừa trực tiếp xử lý.

1.3. Chính sách này được xây dựng theo pháp luật Việt Nam về bảo vệ dữ liệu cá nhân, an ninh mạng, giao dịch điện tử và bảo vệ quyền lợi người tiêu dùng. Khi quy định pháp luật thay đổi, chính sách sẽ được cập nhật tương ứng.

1.4. Chính sách này không áp dụng cho các website, ứng dụng của bên thứ ba mà bạn truy cập qua đường dẫn trên Nền tảng. Bạn cần đọc chính sách riêng của họ.

2. Nguyên tắc xử lý dữ liệu

• Hợp pháp: chỉ thu thập và xử lý khi có căn cứ pháp lý rõ ràng.
• Minh bạch: bạn được biết dữ liệu nào bị thu thập và dùng vào việc gì.
• Đúng mục đích: không dùng dữ liệu cho mục đích khác với mục đích đã thông báo.
• Tối thiểu: chỉ thu thập dữ liệu thực sự cần cho mục đích đó.
• Chính xác: cập nhật, đính chính khi phát hiện dữ liệu sai.
• Có thời hạn: xoá hoặc ẩn danh khi đã hết mục đích sử dụng.
• An toàn: áp dụng biện pháp kỹ thuật và tổ chức để bảo vệ dữ liệu.

3. Dữ liệu chúng tôi thu thập

Bảng dưới đây liệt kê đúng các nhóm dữ liệu hệ thống đang lưu trữ:

3.1. Dữ liệu nhạy cảm. Hồ sơ xác thực danh tính (số giấy tờ tuỳ thân, ảnh giấy tờ, ảnh chân dung) là dữ liệu cá nhân nhạy cảm. Chúng tôi chỉ thu thập khi bạn chủ động thực hiện xác thực, chỉ dùng cho mục đích xác minh và phòng chống gian lận, và không hiển thị công khai.

3.2. Chúng tôi không cố ý thu thập: dữ liệu về quan điểm chính trị, tôn giáo, tình trạng sức khoẻ, đời sống tình dục, dữ liệu sinh trắc học dùng để định danh, hay dữ liệu về vị trí thời gian thực của cá nhân.

3.3. Chúng tôi không lưu số thẻ ngân hàng, mã CVV hay mật khẩu giao dịch của bạn. Số tài khoản nhận tiền của Chủ shop được lưu để hiển thị cho khách chuyển khoản, theo yêu cầu của chính Chủ shop.

3.4. Hộp thư đa kênh. Khi Chủ shop kết nối kênh nhắn tin bên ngoài, Nền tảng nhận và lưu tin nhắn cùng thông tin cơ bản của người nhắn. Dữ liệu này thuộc về khách hàng của Chủ shop; Chủ shop là bên quyết định mục đích sử dụng và chịu trách nhiệm tương ứng (xem mục 12).

4. Mục đích và căn cứ xử lý

Chúng tôi xử lý dữ liệu của bạn cho các mục đích sau, mỗi mục đích gắn với một căn cứ pháp lý:

• Tạo và quản lý tài khoản — căn cứ: thực hiện hợp đồng dịch vụ với bạn.
• Kết nối và thực hiện giao dịch thuê, hiển thị thông tin liên hệ cho bên kia của giao dịch — căn cứ: thực hiện hợp đồng.
• Xác thực danh tính, phòng chống gian lận, bảo vệ tài sản của Chủ shop và Người thuê — căn cứ: sự đồng ý của bạn và lợi ích hợp pháp của Nền tảng cùng cộng đồng người dùng.
• Hỗ trợ khách hàng, giải quyết khiếu nại và tranh chấp — căn cứ: thực hiện hợp đồng và lợi ích hợp pháp.
• Bảo đảm an toàn hệ thống: ghi nhật ký truy cập, phát hiện tấn công, giới hạn tần suất — căn cứ: lợi ích hợp pháp và tuân thủ pháp luật an ninh mạng.
• Cải thiện dịch vụ: thống kê tổng hợp, đo hiệu năng — căn cứ: lợi ích hợp pháp; dữ liệu được tổng hợp, không định danh cá nhân.
• Gửi thông báo vận hành liên quan tới đơn thuê, tài khoản, thay đổi chính sách — căn cứ: thực hiện hợp đồng.
• Gửi thông tin tiếp thị (bản tin, khuyến mại) — căn cứ: sự đồng ý riêng của bạn; bạn có thể rút lại bất kỳ lúc nào.
• Tuân thủ yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền — căn cứ: nghĩa vụ pháp lý.

4.1. Chúng tôi không dùng dữ liệu của bạn để quyết định tự động gây ảnh hưởng pháp lý đáng kể tới bạn mà không có sự xem xét của con người.

5. Sự đồng ý và quyền rút lại

5.1. Sự đồng ý của bạn được thể hiện qua hành vi rõ ràng: tạo tài khoản, tích chọn ô đồng ý, chủ động tải lên giấy tờ xác thực, hoặc gửi báo cáo. Im lặng hoặc không phản hồi không được coi là đồng ý.

5.2. Bạn có quyền rút lại sự đồng ý bất kỳ lúc nào bằng cách gửi yêu cầu tới [email protected]. Việc rút lại không ảnh hưởng tới tính hợp pháp của hoạt động xử lý đã thực hiện trước đó.

5.3. Sau khi bạn rút lại sự đồng ý, một số tính năng có thể không còn dùng được (ví dụ: không xác thực thì không mở được gian hàng). Chúng tôi sẽ nêu rõ hệ quả trước khi thực hiện.

5.4. Với dữ liệu được xử lý trên căn cứ thực hiện hợp đồng hoặc nghĩa vụ pháp lý, việc rút lại đồng ý không tự động dẫn tới xoá dữ liệu; trường hợp này áp dụng thời hạn lưu trữ tại mục 8.

6. Chia sẻ dữ liệu với ai

6.1. Chúng tôi không bán, không cho thuê và không trao đổi dữ liệu cá nhân của bạn vì mục đích thương mại.

6.2. Dữ liệu chỉ được chia sẻ trong các trường hợp sau:

• Với bên còn lại của giao dịch: khi bạn gửi yêu cầu thuê, Chủ shop nhận được tên và số điện thoại của bạn để liên hệ bàn giao. Đây là điều kiện bắt buộc để giao dịch diễn ra.
• Với nhà cung cấp dịch vụ kỹ thuật: theo bảng dưới đây, giới hạn ở dữ liệu cần thiết cho dịch vụ đó.
• Với cơ quan nhà nước có thẩm quyền: khi có yêu cầu hợp pháp bằng văn bản, hoặc khi cần thiết để ngăn chặn thiệt hại nghiêm trọng.
• Khi chuyển giao doanh nghiệp: nếu Nền tảng được sáp nhập hoặc chuyển nhượng, dữ liệu có thể được chuyển giao; bạn sẽ được thông báo trước và có quyền yêu cầu xoá.

6.3. Nền tảng yêu cầu các bên nhận dữ liệu chỉ xử lý theo đúng mục đích đã thoả thuận và áp dụng biện pháp bảo vệ tương xứng.

7. Chuyển dữ liệu ra nước ngoài

7.1. Một phần dữ liệu của bạn được lưu trữ hoặc xử lý trên hạ tầng đặt tại nước ngoài của các nhà cung cấp dịch vụ nêu tại mục 6. Cụ thể:

• Tệp ảnh (ảnh thiết bị, ảnh thư viện cộng đồng, ảnh bằng chứng) có thể được lưu trên dịch vụ lưu trữ đám mây của Google.
• Ảnh bằng chứng trong Check Scam được gửi tới dịch vụ trí tuệ nhân tạo của Google để nhận diện vùng chứa thông tin nhạy cảm cần làm mờ. Việc gửi diễn ra một lần cho mỗi ảnh, phục vụ chính mục đích bảo vệ dữ liệu của người bị phản ánh.
• Tin nhắn từ kênh liên lạc bên ngoài đi qua hạ tầng của nhà cung cấp kênh đó.
• Thông tin đăng nhập bằng Google được xác thực trên hệ thống của Google.

7.2. Khi sử dụng Nền tảng, bạn được thông báo và đồng ý với việc chuyển dữ liệu này. Nếu bạn không đồng ý, vui lòng không tải lên hình ảnh và không sử dụng đăng nhập bằng Google; bạn vẫn có thể dùng các tính năng còn lại.

7.3. Nền tảng lưu hồ sơ về hoạt động chuyển dữ liệu ra nước ngoài theo quy định pháp luật và cung cấp cho cơ quan có thẩm quyền khi được yêu cầu.

8. Thời gian lưu trữ

Dữ liệu được lưu không lâu hơn mức cần thiết cho mục đích thu thập. Thời hạn cụ thể:

8.1. Sau khi hết thời hạn, dữ liệu được xoá vĩnh viễn hoặc ẩn danh để không còn khả năng nhận diện cá nhân. Dữ liệu đã ẩn danh có thể được giữ lại phục vụ thống kê.

8.2. Bản sao lưu hệ thống có thể còn chứa dữ liệu đã xoá trong tối đa 90 ngày trước khi bị ghi đè theo chu kỳ.

9. Quyền của bạn và cách thực hiện

Đối với dữ liệu cá nhân của mình, bạn có các quyền sau:

• Quyền được biết về hoạt động xử lý dữ liệu của mình.
• Quyền đồng ý và rút lại đồng ý đối với từng mục đích xử lý.
• Quyền truy cập: xem và nhận bản sao dữ liệu chúng tôi đang giữ về bạn.
• Quyền chỉnh sửa dữ liệu không chính xác hoặc chưa đầy đủ.
• Quyền xoá dữ liệu, trừ phần phải lưu theo nghĩa vụ pháp lý hoặc đang phục vụ tranh chấp.
• Quyền hạn chế xử lý trong thời gian khiếu nại đang được xem xét.
• Quyền phản đối việc xử lý dữ liệu, đặc biệt với mục đích tiếp thị.
• Quyền yêu cầu cung cấp dữ liệu ở định dạng có thể đọc được.
• Quyền khiếu nại, tố cáo và khởi kiện theo quy định pháp luật.
• Quyền yêu cầu bồi thường thiệt hại khi có vi phạm gây thiệt hại cho bạn.
• Quyền tự bảo vệ theo quy định của Bộ luật Dân sự.

Cách gửi yêu cầu

Gửi email tới [email protected] với tiêu đề “Yêu cầu về dữ liệu cá nhân”, nêu rõ quyền bạn muốn thực hiện và thông tin để chúng tôi xác minh bạn là chủ thể dữ liệu (email hoặc số điện thoại đã đăng ký).

Chúng tôi phản hồi trong vòng 72 giờ kể từ khi nhận yêu cầu hợp lệ. Với yêu cầu phức tạp cần xác minh thêm, thời hạn có thể kéo dài nhưng chúng tôi sẽ thông báo lý do và tiến độ.

Chúng tôi có thể từ chối một phần yêu cầu nếu việc đáp ứng sẽ xâm phạm quyền của người khác, cản trở giải quyết tranh chấp đang diễn ra, hoặc trái với nghĩa vụ pháp lý. Trong trường hợp đó chúng tôi nêu rõ lý do bằng văn bản.

Việc thực hiện các quyền này không mất phí. Với yêu cầu lặp lại quá nhiều lần một cách rõ ràng bất hợp lý, chúng tôi có quyền từ chối hoặc thu phí hành chính hợp lý.

10. Biện pháp bảo mật

Chúng tôi áp dụng các biện pháp kỹ thuật và tổ chức sau:

• Toàn bộ kết nối tới Nền tảng dùng giao thức mã hoá HTTPS.
• Mật khẩu được lưu ở dạng băm một chiều, không thể khôi phục về mật khẩu gốc.
• Số giấy tờ tuỳ thân dùng để đối chiếu trong Check Scam được lưu ở dạng băm một chiều.
• Ảnh bằng chứng được tự động làm mờ vùng chứa thông tin nhạy cảm trước khi hiển thị.
• Phân quyền theo vai trò: nhân sự chỉ tiếp cận dữ liệu cần cho công việc của mình.
• Giới hạn tần suất truy cập và chặn địa chỉ có dấu hiệu tấn công.
• Ghi nhật ký truy cập để phát hiện và điều tra sự cố.
• Sao lưu định kỳ và kiểm tra khả năng khôi phục.

10.1. Không hệ thống nào an toàn tuyệt đối. Chúng tôi cam kết áp dụng biện pháp phù hợp với mức độ rủi ro, nhưng không thể bảo đảm tuyệt đối rằng dữ liệu sẽ không bao giờ bị truy cập trái phép.

10.2. Bạn cũng có trách nhiệm bảo vệ dữ liệu của mình: đặt mật khẩu mạnh, không dùng chung mật khẩu với dịch vụ khác, không chia sẻ tài khoản, và đăng xuất khi dùng máy chung.

11. Dữ liệu trong chuyên mục Check Scam

11.1. Nguồn gốc dữ liệu

Dữ liệu hiển thị trong chuyên mục đến từ hai nguồn:

• Dữ liệu do bên thứ ba công bố công khai và cho phép truy xuất qua giao diện lập trình mở. Đường dẫn nguồn được ghi kèm trong từng bản ghi.
• Báo cáo do người dùng gửi về sự việc mà họ là bên bị thiệt hại.

11.2. Căn cứ xử lý

Việc xử lý được thực hiện trên căn cứ lợi ích hợp pháp của cộng đồng người cho thuê thiết bị trong việc phòng ngừa gian lận và bảo vệ tài sản, và chỉ trong phạm vi cần thiết cho mục đích đó. Chúng tôi không sử dụng dữ liệu này cho mục đích tiếp thị, chấm điểm tín dụng hay bất kỳ mục đích thương mại nào khác.

11.3. Giới hạn chúng tôi tự đặt ra

• Số điện thoại bị che một phần trên danh sách công khai.
• Nội dung đầy đủ chỉ hiển thị cho tài khoản đã đăng nhập, không cho khách vãng lai và không cho công cụ tự động.
• Số giấy tờ tuỳ thân không bao giờ được hiển thị, chỉ lưu mã băm để đối chiếu.
• Ảnh bằng chứng được làm mờ vùng nhạy cảm trước khi hiển thị.
• Chúng tôi không thu thập thêm dữ liệu về người bị phản ánh ngoài những gì có trong báo cáo hoặc nguồn công khai.
• Chúng tôi không cung cấp dữ liệu chuyên mục này cho bên thứ ba, trừ yêu cầu hợp pháp của cơ quan có thẩm quyền.

11.4. Nếu bạn là người bị phản ánh

Bạn có quyền, và chúng tôi cam kết thực hiện các quyền đó như sau:

• Quyền được biết: gửi yêu cầu để nhận bản sao nội dung phản ánh liên quan tới bạn.
• Quyền phản đối: yêu cầu ngừng xử lý dữ liệu của bạn trong chuyên mục.
• Quyền yêu cầu tạm ẩn: bản ghi được ẩn ngay khi khiếu nại của bạn có căn cứ ban đầu, trong thời gian chúng tôi xác minh.
• Quyền yêu cầu xoá: bản ghi bị gỡ vĩnh viễn nếu người gửi không bổ sung được bằng chứng, nếu sự việc đã được giải quyết, hoặc nếu nội dung sai sự thật.
• Quyền đính chính: yêu cầu bổ sung thông tin phản hồi của bạn vào bản ghi.
• Quyền khiếu nại và khởi kiện theo quy định pháp luật.

Gửi yêu cầu tới [email protected] với tiêu đề “Yêu cầu gỡ bản ghi Check Scam”, kèm thông tin nhận diện bản ghi và giấy tờ chứng minh bạn là người được nêu trong đó. Chúng tôi phản hồi trong 72 giờ làm việc.

Nếu dữ liệu bắt nguồn từ bên thứ ba, chúng tôi sẽ gỡ khỏi Nền tảng của mình và thông báo cho bạn về nguồn gốc để bạn liên hệ trực tiếp với bên đó, vì chúng tôi không có quyền xoá dữ liệu trên hệ thống của họ.

12. Nghĩa vụ của Chủ shop với dữ liệu khách hàng

12.1. Khi Chủ shop tiếp nhận thông tin của Người thuê qua Nền tảng, Chủ shop trở thành bên xử lý dữ liệu độc lập đối với phần dữ liệu đó và phải tự tuân thủ pháp luật về bảo vệ dữ liệu cá nhân.

12.2. Chủ shop cam kết:

• Chỉ dùng thông tin khách hàng để thực hiện giao dịch thuê;
• Không bán, không chuyển giao danh sách khách hàng cho bên thứ ba;
• Không gửi tin nhắn tiếp thị khi khách chưa đồng ý;
• Không giữ giấy tờ tuỳ thân bản gốc của khách làm vật bảo đảm nếu pháp luật không cho phép;
• Xoá dữ liệu khách hàng khi khách yêu cầu và khi không còn nghĩa vụ lưu giữ;
• Bảo mật tài khoản quản trị cửa hàng, không chia sẻ cho người không có thẩm quyền.

12.3. Nền tảng không chịu trách nhiệm về việc Chủ shop sử dụng sai dữ liệu khách hàng, và có quyền khoá gian hàng khi phát hiện vi phạm.

13. Cookie và nhật ký truy cập

13.1. Nền tảng sử dụng cookie cần thiết cho hoạt động: duy trì phiên đăng nhập, ghi nhớ lựa chọn của bạn và bảo vệ biểu mẫu khỏi tấn công giả mạo yêu cầu. Không có cookie nào trong nhóm này dùng cho quảng cáo.

13.2. Nền tảng hiện không cài đặt mã theo dõi quảng cáo hay công cụ phân tích hành vi của bên thứ ba trên các trang công khai. Nếu điều này thay đổi, chúng tôi sẽ cập nhật chính sách và xin sự đồng ý của bạn trước.

13.3. Máy chủ tự động ghi nhật ký truy cập gồm địa chỉ IP, đường dẫn, mã trạng thái, thời gian phản hồi và chuỗi nhận dạng trình duyệt. Nhật ký phục vụ mục đích bảo đảm an toàn hệ thống và đo hiệu năng, được xoá tự động sau tối đa 30 ngày.

13.4. Bạn có thể chặn cookie trong trình duyệt, nhưng khi đó tính năng đăng nhập và giỏ hàng sẽ không hoạt động.

14. Dữ liệu của trẻ em

14.1. Nền tảng không dành cho người dưới 18 tuổi và không chủ động thu thập dữ liệu của trẻ em.

14.2. Khi phát hiện đã thu thập dữ liệu của người dưới 16 tuổi mà không có sự đồng ý của cha, mẹ hoặc người giám hộ, chúng tôi sẽ xoá dữ liệu đó ngay.

14.3. Nếu bạn là cha mẹ hoặc người giám hộ và cho rằng con em mình đã cung cấp dữ liệu cho Nền tảng, vui lòng liên hệ [email protected] để được xử lý.

15. Xử lý sự cố lộ lọt dữ liệu

Khi xảy ra sự cố làm lộ, mất hoặc hỏng dữ liệu cá nhân, chúng tôi sẽ:

• Khoanh vùng và ngăn chặn ngay khi phát hiện;
• Thông báo cho cơ quan nhà nước có thẩm quyền trong vòng 72 giờ kể từ khi phát hiện, theo quy định pháp luật;
• Thông báo trực tiếp cho bạn nếu sự cố có khả năng gây rủi ro cao tới quyền và lợi ích của bạn, nêu rõ dữ liệu bị ảnh hưởng và biện pháp bạn nên thực hiện;
• Điều tra nguyên nhân, khắc phục và công bố biện pháp phòng ngừa tái diễn.

16. Xử lý tự động và trí tuệ nhân tạo

16.1. Nền tảng sử dụng công cụ tự động cho một số tác vụ: làm mờ vùng thông tin nhạy cảm trên ảnh bằng chứng, hỗ trợ biên tập mô tả tin đăng và nội dung trang, phân loại nội dung.

16.2. Với tác vụ làm mờ ảnh, nội dung ảnh được gửi tới nhà cung cấp dịch vụ trí tuệ nhân tạo (xem mục 7). Đây là xử lý một lần cho mỗi ảnh, nhằm chính mục đích bảo vệ dữ liệu cá nhân.

16.3. Chúng tôi không dùng dữ liệu cá nhân của bạn để huấn luyện mô hình, và không cho phép bên thứ ba dùng dữ liệu của bạn cho mục đích đó khi chúng tôi có quyền lựa chọn.

16.4. Không có quyết định nào ảnh hưởng đáng kể tới quyền lợi của bạn (khoá tài khoản, gỡ tin, xử lý khiếu nại) được đưa ra hoàn toàn tự động; luôn có sự xem xét của con người.

17. Thay đổi chính sách

17.1. Chính sách này có thể được cập nhật khi dịch vụ hoặc quy định pháp luật thay đổi. Phiên bản và ngày hiệu lực luôn được ghi ở đầu trang.

17.2. Với thay đổi ảnh hưởng đáng kể tới quyền của bạn hoặc mở rộng mục đích xử lý, chúng tôi thông báo trước ít nhất 07 ngày và xin lại sự đồng ý nếu pháp luật yêu cầu.

18. Liên hệ về dữ liệu cá nhân

Mọi yêu cầu, thắc mắc hoặc khiếu nại liên quan tới dữ liệu cá nhân:

• Email: [email protected]
• Điện thoại: 0399242912
• Tiêu đề email nên ghi rõ: “Yêu cầu về dữ liệu cá nhân” hoặc “Yêu cầu gỡ bản ghi Check Scam”.

Nếu bạn không hài lòng với cách chúng tôi xử lý yêu cầu, bạn có quyền khiếu nại tới cơ quan nhà nước có thẩm quyền về bảo vệ dữ liệu cá nhân hoặc khởi kiện theo quy định pháp luật.