Chính sách bảo mật

1. Phạm vi và đơn vị vận hành

Vietnam Compliance Assistant là nền tảng B2B do FACS (VIETNAM) CO., LTD vận hành tại compliance.facs.vn. Chính sách này áp dụng cho người dùng được FACS hoặc doanh nghiệp khách hàng mời truy cập nền tảng.

FACS có thể xử lý dữ liệu với tư cách bên kiểm soát dữ liệu đối với thông tin tài khoản, bảo mật và vận hành nền tảng; đồng thời có thể là bên xử lý dữ liệu theo chỉ dẫn của doanh nghiệp khách hàng đối với dữ liệu mà khách hàng nhập vào hệ thống.

2. Nhóm dữ liệu được xử lý

• Dữ liệu định danh tài khoản: email, tên hiển thị và thông tin xác thực do hệ thống đăng nhập ChatGPT chuyển tiếp.
• Dữ liệu doanh nghiệp: tên doanh nghiệp, mã số thuế, ngành nghề, quy mô, thông tin lao động, đầu tư, thuế, giao dịch và các thuộc tính hồ sơ tuân thủ.
• Dữ liệu nghiệp vụ: trạng thái nghĩa vụ, ghi chú bằng chứng, quy tắc nghiệp vụ và nội dung người dùng chủ động nhập.
• Dữ liệu kỹ thuật và bảo mật: thời điểm truy cập, sự kiện quản trị, lỗi hệ thống, thiết bị/trình duyệt ở mức cần thiết và nhật ký kiểm soát truy cập.
• Dữ liệu chấp thuận: phiên bản tài liệu, nội dung băm, tài khoản, tenant, thời điểm và mã bằng chứng chấp thuận.

3. Nguồn và mục đích xử lý

Dữ liệu được cung cấp trực tiếp bởi người dùng, doanh nghiệp khách hàng, tài khoản đăng nhập và các hệ thống được khách hàng cho phép kết nối. FACS xử lý dữ liệu để xác thực, phân quyền, tạo hồ sơ doanh nghiệp, xác định lịch tuân thủ, lưu trạng thái công việc, bảo đảm an ninh, hỗ trợ khách hàng, duy trì nhật ký kiểm toán và thực hiện nghĩa vụ pháp lý.

FACS không bán dữ liệu cá nhân. Dữ liệu không được sử dụng cho quảng cáo hành vi nếu chưa có thông báo và cơ sở xử lý phù hợp.

4. Cơ sở xử lý và sự chấp thuận

Việc xử lý cần thiết để cung cấp dịch vụ được thực hiện trên cơ sở quan hệ hợp đồng, chỉ dẫn hợp lệ của doanh nghiệp khách hàng, nghĩa vụ pháp lý và các căn cứ khác được pháp luật cho phép. Trường hợp pháp luật yêu cầu sự đồng ý, FACS sẽ thu thập sự đồng ý riêng, có thể chứng minh và không lựa chọn sẵn.

Người dùng có thể rút lại sự đồng ý đối với hoạt động dựa riêng trên sự đồng ý. Việc rút lại không ảnh hưởng tính hợp pháp của hoạt động đã thực hiện trước đó và có thể khiến một số chức năng không còn khả dụng.

5. Bên nhận dữ liệu và nhà cung cấp hạ tầng

Trong phạm vi cần thiết, dữ liệu có thể được xử lý bởi nhân sự FACS được phân quyền, doanh nghiệp khách hàng tương ứng, OpenAI/ChatGPT cho chức năng xác thực và nền tảng ứng dụng, Cloudflare cho hạ tầng lưu trữ và phân phối, cùng nhà cung cấp chuyên môn khác được FACS phê duyệt. Các bên này chỉ được tiếp cận theo chức năng, hợp đồng và biện pháp bảo mật phù hợp.

FACS không chia sẻ dữ liệu giữa các khách hàng. Mỗi doanh nghiệp được phân vùng theo tenant và mọi quyền đọc/ghi đều phải được kiểm tra phía máy chủ.

6. Xử lý ngoài Việt Nam

Một số hạ tầng xác thực, điện toán đám mây hoặc hỗ trợ kỹ thuật có thể xử lý dữ liệu ngoài Việt Nam. Khi phát sinh chuyển dữ liệu cá nhân ra nước ngoài, FACS áp dụng yêu cầu đánh giá, hồ sơ, hợp đồng và biện pháp bảo vệ theo pháp luật hiện hành.

7. Thời hạn lưu trữ

• Tài khoản, hồ sơ và dữ liệu nghiệp vụ: trong thời hạn dịch vụ và tối đa 24 tháng sau khi kết thúc, trừ khi hợp đồng hoặc pháp luật yêu cầu khác.
• Nhật ký bảo mật và quản trị: thông thường 24 tháng, có thể kéo dài khi cần điều tra sự cố hoặc giải quyết tranh chấp.
• Bằng chứng chấp thuận và tài liệu pháp lý: tối đa 5 năm sau khi chấp thuận cuối cùng hoặc chấm dứt dịch vụ.
• Dữ liệu phải lưu theo yêu cầu pháp luật, tranh chấp hoặc nghĩa vụ bảo toàn chứng cứ sẽ được giữ trong thời hạn cần thiết.

8. Biện pháp bảo vệ

FACS áp dụng phân quyền theo vai trò, cách ly tenant, truyền dữ liệu qua kết nối mã hóa, kiểm soát truy cập phía máy chủ, nhật ký quản trị, nguyên tắc quyền tối thiểu, quản lý phiên bản và quy trình sao lưu/khôi phục phù hợp với mức độ rủi ro.

Không hệ thống nào tuyệt đối an toàn. Khi phát hiện sự cố có khả năng ảnh hưởng quyền của chủ thể dữ liệu, FACS sẽ đánh giá, hạn chế tác động, lưu hồ sơ và thông báo theo yêu cầu pháp luật hoặc hợp đồng.

9. Quyền và yêu cầu của chủ thể dữ liệu

Yêu cầu được gửi đến contact@facs.vn. FACS có thể xác minh danh tính, thẩm quyền đại diện và phạm vi yêu cầu trước khi xử lý; một số yêu cầu có thể bị giới hạn bởi nghĩa vụ lưu trữ, quyền của bên thứ ba hoặc quy định pháp luật.

• Được biết, truy cập, chỉnh sửa, hạn chế, phản đối, rút lại sự đồng ý, yêu cầu xóa hoặc cung cấp dữ liệu trong phạm vi pháp luật cho phép.
• Khiếu nại hoặc yêu cầu giải thích về hoạt động xử lý dữ liệu.
• Được bảo vệ khỏi việc xử lý trái pháp luật và yêu cầu bồi thường theo quy định áp dụng.

10. Cookie, lưu trữ cục bộ và trẻ em

Nền tảng chỉ sử dụng cookie hoặc lưu trữ trình duyệt cần thiết cho xác thực, bảo mật và tùy chọn giao diện. Nền tảng được thiết kế cho doanh nghiệp và người dùng có đủ năng lực hành vi; không chủ đích cung cấp dịch vụ trực tiếp cho trẻ em.

11. Cập nhật và liên hệ

FACS có thể cập nhật chính sách khi dịch vụ hoặc pháp luật thay đổi. Phiên bản mới sẽ có ngày hiệu lực rõ ràng và hệ thống sẽ yêu cầu chấp thuận lại nếu thay đổi làm phát sinh yêu cầu pháp lý tương ứng.

Đầu mối bảo mật và dữ liệu cá nhân: FACS — contact@facs.vn — https://facs.vn/contact.