Chính sách bảo mật - Công ty cổ phần Chứng khoán Xuân Thiện

CHÍNH SÁCH BẢO MẬT VÀ RIÊNG TƯ DỮ LIỆU

CÔNG TY CỔ PHẦN CHỨNG KHOÁN XUÂN THIỆN

Điều 1. Mục tiêu và phạm vi của Chính sách

1. Chính sách bảo mật và riêng tư dữ liệu (sau đây gọi là “Chính sách”) quy định về việc Công ty Cổ phần Chứng khoán Xuân Thiện (XTSC) thu thập và xử lý dữ liệu cá nhân, bao gồm nhưng không giới hạn ở mục đích xử lý, loại dữ liệu được xử lý, phương thức, phạm vi, thời hạn xử lý, thời gian lưu trữ dữ liệu cá nhân và các biện pháp bảo vệ dữ liệu cá nhân trong quá trình Chủ thể dữ liệu sử dụng sản phẩm, dịch vụ và/hoặc thực hiện bất kỳ giao dịch, quan hệ nào với XTSC theo bất kỳ phương thức nào.

2. XTSC khuyến nghị Chủ thể dữ liệu đọc kỹ nội dung Chính sách này và thường xuyên kiểm tra các phiên bản cập nhật được đăng tải trên website chính thức của XTSC để kịp thời nắm bắt các thay đổi (nếu có).

3. Việc xử lý dữ liệu cá nhân được XTSC thực hiện trên cơ sở sự đồng ý hợp lệ của Chủ thể dữ liệu hoặc các căn cứ pháp lý khác theo quy định của pháp luật.

Tùy theo từng phương thức tương tác, loại dữ liệu và mục đích xử lý, XTSC sẽ áp dụng các cơ chế thông báo, xác nhận hoặc ghi nhận sự đồng ý phù hợp (bao gồm nhưng không giới hạn thông qua giao diện điện tử, điều khoản sử dụng, xác nhận điện tử hoặc các thiết lập/cài đặt liên quan). Việc truy cập, sử dụng các kênh thông tin của XTSC không mặc nhiên được hiểu là sự đồng ý cho toàn bộ hoạt động xử lý dữ liệu cá nhân.

Điều 2. Giải thích từ ngữ

1. XTSC/ Công ty: là Công ty cổ phần Chứng khoán Xuân Thiện, bao gồm Trụ sở chính (Hội sở), Chi nhánh và các đơn vị trực thuộc của Công ty tại từng thời kỳ.

2. Khách hàng: là tổ chức/cá nhân tiếp cận, đăng ký, sử dụng sản phẩm, dịch vụ của XTSC hoặc có giao dịch, liên hệ với XTSC, Khách hàng bao gồm:

• Người dùng: là tổ chức/cá nhân đã mở tài khoản giao dịch chứng khoán tại XTSC hoặc đã đăng ký, sử dụng các sản phẩm, dịch vụ, tiện ích do XTSC cung cấp.

• Người truy cập: là tổ chức/cá nhân tiếp cận, truy cập, tìm hiểu thông tin hoặc tương tác với website, ứng dụng, trang tin điện tử, nền tảng mạng xã hội, quảng cáo hoặc các kênh truyền thông, cung cấp sản phẩm, dịch vụ của XTSC hoặc có liên hệ, trao đổi, cung cấp thông tin cho XTSC.

3. Bên cung cấp Dữ liệu cá nhân: Là tổ chức, cá nhân trực tiếp hoặc gián tiếp cung cấp Dữ liệu cá nhân cho XTSC dưới bất kỳ hình thức nào, bao gồm nhưng không giới hạn: Khách hàng, người lao động, cán bộ nhân viên của XTSC, đối tác phát triển Khách hàng, đối tác ký kết hợp đồng/thỏa thuận với XTSC hoặc các tổ chức, cá nhân khác có liên quan trong quá trình hoạt động của XTSC.

Bên cung cấp Dữ liệu cá nhân có thể là bên thứ ba có liên quan cung cấp dữ liệu cá nhân của Chủ thể dữ liệu theo quy định của pháp luật và theo Chính sách này.

4. Dữ liệu/ Dữ liệu cá nhân: là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể. Dữ liệu cá nhân bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.

5. Dữ liệu cá nhân cơ bản: Là các thông tin nhận dạng cơ bản của cá nhân theo quy định của pháp luật về bảo vệ dữ liệu cá nhân, bao gồm nhưng không giới hạn: họ, chữ đệm và tên; ngày, tháng, năm sinh; giới tính; quốc tịch; số định danh cá nhân hoặc giấy tờ định danh hợp pháp; số điện thoại; địa chỉ liên hệ; hình ảnh cá nhân; và các dữ liệu cá nhân cơ bản khác theo quy định của pháp luật.

6. Dữ liệu cá nhân nhạy cảm: Là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân mà khi bị xâm phạm có thể ảnh hưởng trực tiếp đến quyền và lợi ích hợp pháp của cá nhân theo quy định của pháp luật, bao gồm nhưng không giới hạn: thông tin về sức khỏe, quan điểm chính trị, tôn giáo; dữ liệu sinh trắc học, dữ liệu vị trí; thông tin tài khoản và giao dịch tài chính; và các dữ liệu cá nhân nhạy cảm khác theo quy định của pháp luật.

7. Xử lý dữ liệu cá nhân: là một hoặc nhiều hoạt động tác động tới dữ liệu cá nhân, như: thu thập, ghi, phân tích, xác nhận, lưu trữ, chỉnh sửa, công khai, kết hợp, truy cập, truy xuất, thu hồi, mã hóa, giải mã, sao chép, chia sẻ, truyền đưa, cung cấp, chuyển giao, xóa, hủy dữ liệu cá nhân hoặc các hành động khác có liên quan.

8. Bên Kiểm soát dữ liệu cá nhân: là tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.

9. Bên Xử lý dữ liệu cá nhân: là tổ chức, cá nhân thực hiện việc xử lý dữ liệu thay mặt cho Bên Kiểm soát dữ liệu, thông qua một hợp đồng hoặc thỏa thuận với Bên Kiểm soát dữ liệu.

10. Bên Kiểm soát và xử lý dữ liệu cá nhân: là tổ chức, cá nhân đồng thời quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu cá nhân.

11. Chủ thể dữ liệu/ Chủ thể dữ liệu cá nhân: Là cá nhân được dữ liệu cá nhân phản ánh. Trong phạm vi Chính sách này, Chủ thể dữ liệu có thể bao gồm nhưng không giới hạn: Khách hàng của XTSC, người có liên quan của Khách hàng, người đại diện theo pháp luật, người được ủy quyền, người giám hộ, người phụ thuộc hoặc các cá nhân khác có dữ liệu cá nhân được XTSC thu thập và xử lý trong quá trình cung cấp sản phẩm, dịch vụ hoặc thực hiện các hoạt động nghiệp vụ của XTSC.

Điều 3. Nguyên tắc xử lý Dữ liệu cá nhân

1. XTSC xử lý và bảo vệ dữ liệu cá nhân phù hợp với quy định của pháp luật Việt Nam, đồng thời tuân thủ Chính sách này và các hợp đồng, thỏa thuận hoặc văn kiện có liên quan được thiết lập giữa XTSC và Chủ thể dữ liệu hoặc giữa XTSC với các tổ chức, cá nhân có liên quan đến Chủ thể dữ liệu.

2. XTSC thu thập dữ liệu cá nhân cho các mục đích cụ thể, rõ ràng và hợp pháp, trong phạm vi các mục đích đã được nêu tại Chính sách này và phù hợp với quy định của pháp luật Việt Nam;

3. Dữ liệu cá nhân của Chủ thể dữ liệu được XTSC xử lý theo các phương thức đã được XTSC thông báo cho Chủ thể dữ liệu tại thời điểm thu thập dữ liệu hoặc trước khi bắt đầu quá trình xử lý, hoặc theo thỏa thuận giữa XTSC với Chủ thể dữ liệu hoặc các tổ chức, cá nhân có liên quan, phù hợp với quy định của XTSC và pháp luật Việt Nam trong từng thời kỳ.

XTSC có thể thực hiện việc thông báo qua một hoặc nhiều phương thức như: văn bản, thư điện tử (email), tin nhắn SMS, điện thoại, thông báo trên website của XTSC, thông báo trên các ứng dụng giao dịch điện tử/trực tuyến của XTSC hoặc các phương thức khác theo quy định của XTSC trong từng thời kỳ.

4. XTSC áp dụng các biện pháp kỹ thuật và biện pháp quản lý phù hợp nhằm bảo đảm an toàn dữ liệu cá nhân, bao gồm việc bảo vệ dữ liệu cá nhân khỏi truy cập trái phép hoặc trái pháp luật, cũng như khỏi nguy cơ bị mất, bị thay đổi hoặc bị hủy ngoài ý muốn.

5. Dữ liệu cá nhân được XTSC lưu trong thời gian phù hợp với mục đích xử lý, đồng thời tuân thủ các quy định của XTSC và pháp luật Việt Nam có liên quan.

6. Ngoài các nguyên tắc nêu trên, XTSC cam kết tuân thủ các quy định của pháp luật liên quan đến bảo vệ dữ liệu cá nhân trong từng thời kỳ, bao gồm các quy định liên quan đến dữ liệu cá nhân của trẻ em và các đối tượng đặc thù khác theo quy định của pháp luật.

Điều 4. Quy định chung

1. Chính sách bảo mật và riêng tư dữ liệu này là một bộ phận không tách rời của các hợp đồng mở tài khoản giao dịch chứng khoán và các hợp đồng, thỏa thuận, đề nghị, đăng ký hoặc tài liệu khác thiết lập quan hệ giữa Chủ thể dữ liệu và XTSC.

2. Trường hợp tổ chức, cá nhân cung cấp dữ liệu cá nhân của cá nhân khác có liên quan (bao gồm nhưng không giới hạn: người phụ thuộc, người có liên quan theo quy định pháp luật, vợ/chồng, con cái, cha mẹ, người giám hộ, người được ủy quyền, người thụ hưởng, người tham chiếu, người liên hệ trong trường hợp khẩn cấp hoặc các cá nhân liên quan khác) cho XTSC, tổ chức, cá nhân cung cấp dữ liệu cam đoan và chịu trách nhiệm rằng các cá nhân này đã được thông báo đầy đủ và đã đồng ý hợp pháp đối với việc XTSC thu thập và xử lý dữ liệu cá nhân của họ theo quy định tại Chính sách này.

3. Chính sách này không áp dụng đối với các website, nền tảng hoặc ứng dụng của bên thứ ba không do XTSC vận hành hoặc kiểm soát, bao gồm cả các trường hợp các nền tảng này hiển thị quảng cáo, liên kết hoặc nội dung liên quan đến XTSC. Trong các trường hợp đó, việc thu thập và xử lý dữ liệu cá nhân sẽ được điều chỉnh theo chính sách bảo mật của bên thứ ba có liên quan. XTSC khuyến nghị Chủ thể dữ liệu tìm hiểu kỹ các chính sách bảo mật của các bên này trước khi cung cấp dữ liệu cá nhân.

Điều 5. Dữ liệu cá nhân được XTSC thu thập và xử lý

XTSC có thể thu thập và xử lý dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm của Chủ thể dữ liệu theo quy định của pháp luật, bao gồm các dữ liệu được Chủ thể dữ liệu hoặc tổ chức, cá nhân có liên quan cung cấp và/hoặc được XTSC thu thập trong quá trình thiết lập, thực hiện quan hệ dịch vụ, giao dịch hoặc tương tác với XTSC.

Các loại dữ liệu cá nhân có thể được XTSC thu thập và xử lý bao gồm nhưng không giới hạn các nhóm thông tin sau:

1. Thông tin nhận dạng và thông tin cá nhân cơ bản

Bao gồm các thông tin định danh của cá nhân như: họ, chữ đệm và tên; tên gọi khác (nếu có); ngày, tháng, năm sinh; giới tính; quốc tịch; quê quán; nơi cư trú; địa chỉ liên hệ; hình ảnh của cá nhân; số điện thoại; địa chỉ thư điện tử (nếu có); số định danh cá nhân, số căn cước công dân, số chứng minh nhân dân, số hộ chiếu hoặc giấy tờ tùy thân hợp pháp khác; mã số thuế cá nhân (nếu có) và các thông tin cá nhân khác theo quy định của pháp luật.

Trong một số trường hợp, XTSC có thể thu thập hình ảnh, dữ liệu sinh trắc học hoặc hình ảnh giấy tờ tùy thân của cá nhân phục vụ việc xác thực danh tính, bao gồm thông qua các phương thức định danh điện tử (eKYC).

2. Thông tin về cá nhân có liên quan

Bao gồm thông tin về các cá nhân có liên quan đến Chủ thể dữ liệu hoặc đến quan hệ giao dịch với XTSC, như: người phụ thuộc, người có liên quan theo quy định pháp luật, vợ/chồng, cha mẹ, con cái, người giám hộ, người được ủy quyền, người thụ hưởng, người tham chiếu, người liên hệ trong trường hợp khẩn cấp hoặc các cá nhân có liên quan khác.

3. Thông tin về tài khoản và giao dịch chứng khoán

Bao gồm các thông tin liên quan đến việc mở và sử dụng tài khoản giao dịch chứng khoán tại XTSC như: số tài khoản giao dịch chứng khoán; tài khoản ngân hàng liên kết; số dư tài khoản; lịch sử giao dịch chứng khoán; lịch sử nạp và rút tiền; thông tin về dư nợ ký quỹ; các nghĩa vụ tài chính của Khách hàng; thông tin về việc sử dụng các sản phẩm, dịch vụ chứng khoán; thông tin về các lệnh giao dịch và các dữ liệu liên quan phát sinh trong quá trình sử dụng sản phẩm, dịch vụ của XTSC.

4. Thông tin tài chính và thông tin phục vụ đánh giá khách hàng

Bao gồm các thông tin về tài khoản thanh toán hoặc tài khoản tiền gửi liên quan đến giao dịch chứng khoán; thông tin về tài sản, thu nhập, tình trạng tài chính; kinh nghiệm đầu tư; thông tin giao dịch tại tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán hoặc các tổ chức tài chính khác (trong phạm vi được pháp luật cho phép hoặc theo thỏa thuận với Chủ thể dữ liệu).

5. Thông tin kỹ thuật và dữ liệu về việc sử dụng dịch vụ

Khi Chủ thể dữ liệu truy cập hoặc sử dụng các nền tảng, ứng dụng, hệ thống giao dịch hoặc trang thông tin điện tử của XTSC, XTSC có thể tự động thu thập một số dữ liệu kỹ thuật như: địa chỉ IP, loại thiết bị, hệ điều hành, trình duyệt, khu vực địa lý ước tính, thời gian truy cập, các trang hoặc chức năng đã truy cập và các tương tác trên hệ thống.

XTSC cũng có thể sử dụng cookie hoặc các công nghệ theo dõi tương tự để thu thập thông tin về hoạt động sử dụng nhằm cải thiện trải nghiệm người dùng và chất lượng dịch vụ.

6. Các dữ liệu cá nhân khác

Bao gồm các dữ liệu cá nhân khác của Chủ thể dữ liệu được cung cấp cho XTSC hoặc được XTSC thu thập, xử lý trong phạm vi cần thiết để phục vụ việc cung cấp sản phẩm, dịch vụ, thực hiện nghĩa vụ pháp lý hoặc theo quy định của pháp luật.

Lưu ý:

Chủ thể dữ liệu có thể từ chối cung cấp một số dữ liệu cá nhân. Tuy nhiên, việc từ chối cung cấp các dữ liệu cần thiết có thể ảnh hưởng đến khả năng XTSC thiết lập, duy trì quan hệ dịch vụ hoặc cung cấp đầy đủ các sản phẩm, dịch vụ theo yêu cầu. Trong trường hợp dữ liệu cá nhân là thông tin bắt buộc theo quy định pháp luật, XTSC có thể không thể cung cấp dịch vụ hoặc thực hiện giao dịch nếu dữ liệu đó không được cung cấp.

Điều 6. Cách thức và nguồn thu thập dữ liệu cá nhân

XTSC có thể thu thập dữ liệu cá nhân của Chủ thể dữ liệu thông qua nhiều phương thức khác nhau, bao gồm việc thu thập trực tiếp từ Chủ thể dữ liệu hoặc gián tiếp từ các nguồn hợp pháp khác, bao gồm nhưng không giới hạn các nguồn sau:

1. Thu thập trực tiếp từ Chủ thể dữ liệu

XTSC có thể thu thập dữ liệu cá nhân khi Chủ thể dữ liệu trực tiếp cung cấp thông tin cho XTSC trong quá trình thiết lập hoặc thực hiện quan hệ giao dịch, sử dụng sản phẩm, dịch vụ hoặc làm việc trực tiếp với XTSC.

2. Thông qua trao đổi, liên hệ với XTSC

Dữ liệu cá nhân có thể được thu thập thông qua các kênh liên hệ giữa Chủ thể dữ liệu và XTSC như: thư điện tử (email), điện thoại, tổng đài chăm sóc khách hàng, văn bản, các kênh liên lạc điện tử hoặc các phương thức liên hệ khác, bao gồm cả các cuộc khảo sát hoặc chương trình thu thập ý kiến do XTSC thực hiện.

3. Thông qua các trang thông tin điện tử của XTSC

XTSC có thể thu thập dữ liệu cá nhân khi Chủ thể dữ liệu truy cập, đăng ký, khai báo thông tin hoặc sử dụng các chức năng trên các trang thông tin điện tử do XTSC vận hành.

4. Thông qua ứng dụng hoặc nền tảng giao dịch điện tử

XTSC có thể thu thập dữ liệu cá nhân khi Chủ thể dữ liệu tải xuống, cài đặt, đăng ký hoặc sử dụng các ứng dụng, nền tảng giao dịch điện tử hoặc các hệ thống trực tuyến do XTSC cung cấp.

5. Thông qua các công nghệ thu thập dữ liệu tự động

Trong quá trình Chủ thể dữ liệu truy cập hoặc sử dụng các nền tảng, ứng dụng hoặc trang thông tin điện tử của XTSC, hệ thống của XTSC có thể tự động thu thập một số dữ liệu thông qua các công nghệ như cookie, plug-in, công nghệ theo dõi hoặc các công nghệ tương tự nhằm ghi nhận thông tin về việc sử dụng hệ thống, thiết bị truy cập và các tương tác trên nền tảng.

6. Từ cơ quan nhà nước hoặc tổ chức có thẩm quyền

XTSC có thể thu thập dữ liệu cá nhân từ các cơ quan nhà nước, tổ chức có thẩm quyền theo quy định pháp luật, bao gồm nhưng không giới hạn: cơ quan quản lý nhà nước trong lĩnh vực chứng khoán, tổ chức đăng ký, lưu ký và bù trừ chứng khoán, sở giao dịch chứng khoán và các cơ quan, tổ chức có thẩm quyền khác theo quy định pháp luật.

7. Từ các nguồn thông tin công khai hợp pháp

XTSC có thể thu thập dữ liệu cá nhân từ các nguồn thông tin được công khai hợp pháp như các cơ sở dữ liệu công khai, trang thông tin điện tử, phương tiện truyền thông hoặc các nguồn thông tin công khai khác theo quy định pháp luật.

8. Từ các tổ chức, cá nhân hợp tác với XTSC

XTSC có thể nhận dữ liệu cá nhân từ các tổ chức, cá nhân hợp tác hoặc đối tác kinh doanh của XTSC (ví dụ: đối tác giới thiệu khách hàng, môi giới, tổ chức cung cấp dịch vụ liên quan) trong trường hợp việc cung cấp dữ liệu được thực hiện hợp pháp và phù hợp với quy định pháp luật.

9. Từ các nguồn hợp pháp khác

XTSC cũng có thể thu thập dữ liệu cá nhân từ các nguồn khác trong trường hợp:

a. Chủ thể dữ liệu đồng ý việc cung cấp hoặc chia sẻ dữ liệu; hoặc

b. Việc thu thập dữ liệu được pháp luật cho phép hoặc yêu cầu.

Điều 7. Mục đích xử lý Dữ liệu cá nhân

XTSC có thể xử lý dữ liệu cá nhân của Chủ thể dữ liệu cho một hoặc nhiều mục đích hợp pháp, phù hợp với quy định pháp luật, bao gồm nhưng không giới hạn ở các mục đích sau:

1. Cung cấp và vận hành sản phẩm, dịch vụ

a. Thiết lập, xác minh và quản lý tài khoản giao dịch chứng khoán.

b. Tiếp nhận và xử lý các yêu cầu mở tài khoản, đặt lệnh giao dịch, nạp tiền, rút tiền, chuyển khoản và các giao dịch khác.

c. Đảm bảo Chủ thể dữ liệu có thể sử dụng đầy đủ các chức năng, tiện ích trên hệ thống, ứng dụng hoặc nền tảng do XTSC cung cấp.

d. Đánh giá hồ sơ, nhu cầu tài chính và mức độ phù hợp của sản phẩm, dịch vụ; hỗ trợ thực hiện các giao dịch theo yêu cầu; duy trì và quản lý quan hệ dịch vụ.

e. Cung cấp dữ liệu cá nhân cho các tổ chức, cá nhân cung cấp dịch vụ hoặc đối tác hợp tác với XTSC nhằm hỗ trợ thực hiện hoạt động nghiệp vụ, vận hành hệ thống hoặc cung cấp sản phẩm, dịch vụ theo quy định pháp luật và thỏa thuận có liên quan.

2. Tuân thủ pháp luật và bảo vệ quyền, lợi ích hợp pháp

a. Thực hiện các yêu cầu xác minh danh tính (KYC), phòng chống rửa tiền, phòng chống tài trợ khủng bố.

b. Thực hiện nghĩa vụ báo cáo, cung cấp thông tin hoặc phối hợp với cơ quan nhà nước có thẩm quyền theo quy định pháp luật.

c. Thực hiện các biện pháp cần thiết nhằm bảo vệ quyền và lợi ích hợp pháp của XTSC, bao gồm thu các khoản phí, lệ phí, thu hồi các khoản nợ hoặc nghĩa vụ tài chính, xử lý tài sản bảo đảm, giải quyết khiếu nại, tranh chấp hoặc thực hiện các quyền và nghĩa vụ theo hợp đồng, thỏa thuận.

3. Chăm sóc khách hàng, truyền thông và phát triển sản phẩm, dịch vụ

a. Liên hệ nhằm giải đáp thắc mắc, cung cấp hỗ trợ kỹ thuật, gửi thông báo liên quan đến tài khoản, xác nhận giao dịch, báo cáo định kỳ hoặc thay đổi điều khoản, chính sách.

b. Cung cấp thông tin về sản phẩm, dịch vụ, chương trình ưu đãi hoặc tính năng mới mà Chủ thể dữ liệu có thể quan tâm, phù hợp quy định pháp luật; Chủ thể dữ liệu có quyền từ chối nhận các thông tin này.

c. Phân tích dữ liệu sử dụng dịch vụ, thực hiện khảo sát, nghiên cứu thị trường, đánh giá trải nghiệm người dùng nhằm nâng cao chất lượng hệ thống, cải tiến sản phẩm, dịch vụ hoặc phát triển sản phẩm, dịch vụ mới.

d. Trong một số trường hợp phù hợp, việc phân tích có thể được thực hiện trên dữ liệu đã được tổng hợp hoặc khử nhận dạng theo quy định pháp luật.

4. Bảo đảm an toàn hệ thống và quản trị rủi ro

a. Phát hiện, ngăn chặn và xử lý các hành vi gian lận, truy cập trái phép, giả mạo tài khoản hoặc các hành vi vi phạm pháp luật khác.

b. Bảo vệ an toàn hệ thống công nghệ thông tin, tài khoản giao dịch và tài sản của Chủ thể dữ liệu và XTSC.

5. Các mục đích hợp pháp khác

Thực hiện các mục đích xử lý khác phù hợp với quy định pháp luật, trên cơ sở sự đồng ý của Chủ thể dữ liệu hoặc căn cứ xử lý khác theo quy định pháp luất.

Điều 8. Chia sẻ và tiết lộ dữ liệu cá nhân

XTSC tôn trọng và bảo vệ quyền riêng tư của Chủ thể dữ liệu. XTSC không bán, trao đổi hoặc cho thuê dữ liệu cá nhân cho bất kỳ bên thứ ba nào, trừ các trường hợp được Chủ thể dữ liệu đồng ý hoặc pháp luật cho phép.

Trong phạm vi cần thiết để vận hành hệ thống, cung cấp sản phẩm, dịch vụ và thực hiện các nghĩa vụ pháp lý, XTSC có thể chia sẻ hoặc tiết lộ dữ liệu cá nhân cho các tổ chức, cá nhân sau đây:

1. Các đơn vị và cá nhân trong nội bộ XTSC

Dữ liệu cá nhân có thể được chia sẻ cho các phòng ban, đơn vị và nhân sự có liên quan trong nội bộ XTSC trên cơ sở “cần được biết” nhằm phục vụ việc mở tài khoản, xử lý giao dịch, cung cấp dịch vụ hoặc thực hiện các hoạt động quản lý nội bộ.

Các cá nhân và đơn vị này đều phải tuân thủ nghĩa vụ bảo mật và chỉ sử dụng dữ liệu trong phạm vi nhiệm vụ được giao.

2. Các công ty liên kết hoặc đơn vị trong cùng hệ thống

Trong trường hợp cần thiết, XTSC có thể chia sẻ dữ liệu cá nhân với công ty mẹ, công ty con hoặc các đơn vị thuộc cùng hệ thống sở hữu, kiểm soát hoặc có quan hệ liên kết với XTSC theo quy định pháp luật nhằm phục vụ các mục đích quản trị hệ thống, vận hành công nghệ, quản lý rủi ro hoặc phát triển sản phẩm, dịch vụ.

Các đơn vị nhận dữ liệu có trách nhiệm bảo mật và sử dụng dữ liệu phù hợp với Chính sách này.

3. Các đối tác cung cấp sản phẩm, dịch vụ theo yêu cầu của Chủ thể dữ liệu

XTSC có thể chia sẻ dữ liệu cá nhân với các đối tác kinh doanh hoặc tổ chức hợp tác với XTSC để cung cấp các sản phẩm, dịch vụ mà Chủ thể dữ liệu yêu cầu hoặc lựa chọn sử dụng.

Việc chia sẻ dữ liệu trong trường hợp này chỉ được thực hiện trong phạm vi cần thiết để cung cấp dịch vụ tương ứng và phù hợp với sự đồng ý của Chủ thể dữ liệu.

4. Các nhà cung cấp dịch vụ hỗ trợ hoạt động của XTSC

XTSC có thể chia sẻ dữ liệu cá nhân với các tổ chức cung cấp dịch vụ hỗ trợ như dịch vụ công nghệ thông tin, lưu trữ dữ liệu, thanh toán điện tử, xác minh danh tính điện tử (eKYC), phân tích dữ liệu hoặc các dịch vụ hỗ trợ vận hành khác.

Các nhà cung cấp dịch vụ này chỉ được xử lý dữ liệu cá nhân theo yêu cầu của XTSC và phải tuân thủ các nghĩa vụ bảo mật, an toàn dữ liệu theo thỏa thuận với XTSC và theo quy định pháp luật.

5. Các đơn vị tư vấn chuyên môn

Trong một số trường hợp cần thiết, XTSC có thể chia sẻ dữ liệu cá nhân với các đơn vị tư vấn chuyên môn như tổ chức kiểm toán, kế toán, tư vấn pháp lý hoặc tư vấn tài chính nhằm phục vụ hoạt động kiểm tra, đánh giá tuân thủ pháp luật hoặc bảo vệ quyền và lợi ích hợp pháp của XTSC.

Các đơn vị này có trách nhiệm bảo mật và chỉ sử dụng dữ liệu trong phạm vi mục đích tư vấn được giao.

6. Cơ quan nhà nước hoặc tổ chức có thẩm quyền theo quy định pháp luật

XTSC có thể tiết lộ dữ liệu cá nhân cho các cơ quan quản lý nhà nước, cơ quan thực thi pháp luật hoặc các tổ chức, cá nhân có thẩm quyền khác khi việc cung cấp dữ liệu được pháp luật yêu cầu hoặc cho phép.

7. Phục vụ việc thực hiện quyền và nghĩa vụ pháp lý của XTSC

XTSC có thể chia sẻ dữ liệu cá nhân trong trường hợp cần thiết để bảo vệ quyền và lợi ích hợp pháp của XTSC hoặc của Chủ thể dữ liệu, bao gồm nhưng không giới hạn việc giải quyết tranh chấp, khiếu nại, thực hiện nghĩa vụ tài chính, thu hồi nợ hoặc thực hiện các quyền và nghĩa vụ phát sinh từ hợp đồng, thỏa thuận đã ký kết.

8. Trường hợp thay đổi cơ cấu tổ chức hoặc chuyển giao doanh nghiệp

Trong trường hợp XTSC thực hiện sáp nhập, hợp nhất, chuyển nhượng doanh nghiệp hoặc tái cấu trúc, dữ liệu cá nhân có thể được chuyển giao cho tổ chức nhận chuyển giao trong phạm vi cần thiết. XTSC sẽ yêu cầu tổ chức nhận chuyển giao tiếp tục tuân thủ các nghĩa vụ bảo vệ dữ liệu cá nhân tương đương quy định tại Chính sách này.

9. Theo sự đồng ý hoặc yêu cầu của Chủ thể dữ liệu

Ngoài các trường hợp nêu trên, XTSC chỉ chia sẻ dữ liệu cá nhân cho bên thứ ba khi có sự đồng ý, yêu cầu hoặc ủy quyền hợp pháp của Chủ thể dữ liệu.

Trừ các trường hợp được nêu tại Điều này hoặc theo quy định pháp luật, XTSC cam kết không cung cấp dữ liệu cá nhân cho bất kỳ bên thứ ba nào khác. Các tổ chức, cá nhân được chia sẻ dữ liệu đều phải tuân thủ các nghĩa vụ bảo mật và chỉ được xử lý dữ liệu trong phạm vi mục đích đã được XTSC thông báo hoặc cho phép.

Điều 9. Bảo mật dữ liệu cá nhân

XTSC áp dụng các biện pháp kỹ thuật và tổ chức phù hợp nhằm bảo vệ dữ liệu cá nhân khỏi nguy cơ bị truy cập, sử dụng, tiết lộ, thay đổi hoặc phá hủy trái phép trong quá trình xử lý dữ liệu cá nhân.

Các biện pháp bảo mật được XTSC triển khai bao gồm nhưng không giới hạn ở các nội dung sau:

1. Bảo mật trong quá trình truyền tải dữ liệu

Dữ liệu cá nhân được truyền tải giữa thiết bị của Chủ thể dữ liệu và hệ thống của XTSC thông qua các giao thức truyền tải bảo mật như SSL/TLS hoặc các tiêu chuẩn bảo mật tương đương nhằm đảm bảo tính bảo mật và toàn vẹn của dữ liệu trong quá trình truyền dẫn.

XTSC cũng áp dụng các cơ chế mã hóa đối với các dữ liệu nhạy cảm để hạn chế nguy cơ truy cập trái phép trong quá trình trao đổi thông tin.

2. Bảo mật trong quá trình lưu trữ dữ liệu

Dữ liệu cá nhân được lưu trữ trên hệ thống máy chủ và hạ tầng công nghệ thông tin được kiểm soát an toàn, có các cơ chế bảo vệ như tường lửa, kiểm soát truy cập, quản lý phân quyền người dùng và các biện pháp bảo mật hệ thống phù hợp.

XTSC triển khai các lớp bảo vệ kỹ thuật nhằm ngăn chặn truy cập trái phép, bao gồm nhưng không giới hạn ở các cơ chế xác thực, quản lý quyền truy cập và giám sát hoạt động hệ thống.

3. Kiểm soát truy cập nội bộ

XTSC áp dụng nguyên tắc kiểm soát truy cập theo nhu cầu công việc (“cần được biết”), theo đó chỉ những cá nhân, bộ phận có nhiệm vụ liên quan mới được phép truy cập dữ liệu cá nhân trong phạm vi cần thiết để thực hiện chức năng, nhiệm vụ được giao.

Mọi nhân sự được phép truy cập dữ liệu cá nhân đều phải tuân thủ các nghĩa vụ bảo mật thông tin theo quy định nội bộ của XTSC.

4. Quy định nội bộ và đào tạo nhân sự

XTSC ban hành các quy định nội bộ liên quan đến việc bảo vệ dữ liệu cá nhân và tổ chức đào tạo, phổ biến cho nhân sự về trách nhiệm bảo mật thông tin trong quá trình thực hiện công việc.

Các hành vi vi phạm quy định bảo mật dữ liệu cá nhân có thể bị xử lý theo quy định nội bộ của XTSC và quy định pháp luật có liên quan.

5. Đánh giá và kiểm tra an ninh hệ thống

XTSC thực hiện kiểm tra, đánh giá an ninh hệ thống định kỳ nhằm phát hiện và khắc phục kịp thời các lỗ hổng bảo mật. Các biện pháp này bao gồm việc cập nhật bản vá bảo mật cho hệ thống, đánh giá rủi ro công nghệ thông tin, kiểm tra lỗ hổng và triển khai các phương án sao lưu, khôi phục dữ liệu khi cần thiết.

6. Quản lý nhà cung cấp và đối tác xử lý dữ liệu

Trong trường hợp XTSC sử dụng nhà cung cấp dịch vụ hoặc đối tác hỗ trợ xử lý dữ liệu cá nhân, XTSC yêu cầu các bên này tuân thủ các tiêu chuẩn bảo mật dữ liệu tương đương với quy định của XTSC và ký kết các thỏa thuận bảo mật hoặc thỏa thuận xử lý dữ liệu theo quy định pháp luật.

Mặc dù XTSC đã áp dụng các biện pháp bảo mật phù hợp để bảo vệ dữ liệu cá nhân, không có hệ thống truyền tải dữ liệu qua Internet hoặc phương thức lưu trữ điện tử nào có thể đảm bảo an toàn tuyệt đối. Trong trường hợp xảy ra sự cố vi phạm bảo mật dữ liệu cá nhân, XTSC sẽ thực hiện các biện pháp cần thiết để xử lý sự cố, hạn chế thiệt hại và thông báo cho Chủ thể dữ liệu cũng như cơ quan có thẩm quyền theo quy định của pháp luật.

Điều 10. Cookie và công nghệ theo dõi

Ứng dụng, nền tảng giao dịch và website của XTSC có thể sử dụng cookie và các công nghệ theo dõi tương tự nhằm hỗ trợ vận hành hệ thống, ghi nhớ tùy chọn của người dùng và thu thập thông tin về cách Chủ thể dữ liệu tương tác với các sản phẩm, dịch vụ của XTSC.

Cookie là các tệp dữ liệu nhỏ được lưu trữ trên thiết bị của người dùng khi truy cập ứng dụng hoặc website. Các tệp này giúp hệ thống nhận diện thiết bị truy cập và lưu giữ một số thông tin nhất định để cải thiện trải nghiệm sử dụng dịch vụ.

1. Mục đích sử dụng cookie

XTSC sử dụng cookie và các công nghệ theo dõi nhằm:

a. Hỗ trợ vận hành và duy trì hoạt động ổn định của ứng dụng và website;

b. Ghi nhớ các thiết lập hoặc tùy chọn của người dùng trong quá trình sử dụng dịch vụ;

c. Phân tích, thống kê việc sử dụng dịch vụ để cải thiện chức năng, giao diện và nội dung hệ thống;

d. Đánh giá hiệu quả của các tính năng, chương trình hoặc nội dung được cung cấp trên nền tảng của XTSC.

2. Loại thông tin có thể được thu thập thông qua cookie

Thông tin thu thập thông qua cookie và các công nghệ theo dõi có thể bao gồm các dữ liệu kỹ thuật như:

a. Mã định danh thiết bị hoặc trình duyệt;

b. Địa chỉ IP hoặc thông tin kết nối mạng;

c. Các trang hoặc chức năng đã truy cập;

d. Thời điểm và thời lượng truy cập;

e. Các tương tác của người dùng với ứng dụng hoặc website.

Các thông tin này thường được thu thập và xử lý dưới dạng dữ liệu kỹ thuật hoặc dữ liệu tổng hợp nhằm phục vụ mục đích phân tích và cải thiện dịch vụ.

3. Quản lý và kiểm soát cookie

Chủ thể dữ liệu có thể quản lý, chấp nhận hoặc từ chối cookie thông qua các thiết lập của trình duyệt web hoặc hệ điều hành trên thiết bị.

Tuy nhiên, việc tắt hoặc hạn chế cookie có thể ảnh hưởng đến khả năng hoạt động của một số chức năng trên ứng dụng hoặc website.

Ngoài cookie, XTSC có thể sử dụng các công nghệ theo dõi khác như pixel, beacon hoặc bộ công cụ phát triển phần mềm (SDK) trên thiết bị di động nhằm thu thập các dữ liệu kỹ thuật phục vụ cho việc vận hành hệ thống và cải thiện chất lượng dịch vụ.

XTSC cam kết việc sử dụng cookie và các công nghệ theo dõi được thực hiện phù hợp với quy định pháp luật và nội dung của Chính sách bảo mật và riêng tư dữ liệu này.

Trong trường hợp có thay đổi trọng yếu liên quan đến việc sử dụng cookie hoặc các công nghệ tương tự (bao gồm nhưng không giới hạn việc bổ sung mục đích xử lý mới, thay đổi loại dữ liệu thu thập, bổ sung bên thứ ba hoặc thay đổi phạm vi sử dụng dữ liệu), XTSC sẽ thông báo và đề nghị (nếu cần thiết) Chủ thể dữ liệu xác nhận hoặc lựa chọn lại về việc cho phép sử dụng các công nghệ này thông qua banner cookie, thông qua cài đặt trên website/ứng dụng hoặc các phương thức phù hợp khác theo quy định của pháp luật.

Điều 11. Thời gian bắt đầu và kết thúc xử lý dữ liệu cá nhân

Việc xử lý dữ liệu cá nhân của Chủ thể dữ liệu được bắt đầu kể từ thời điểm XTSC thu thập hoặc nhận được dữ liệu cá nhân do Chủ thể dữ liệu cung cấp, do các tổ chức, cá nhân có liên quan cung cấp hoặc phát sinh trong quá trình sử dụng sản phẩm, dịch vụ của XTSC.

XTSC thực hiện việc xử lý dữ liệu cá nhân trong suốt thời gian cần thiết để thực hiện các mục đích xử lý dữ liệu đã được thông báo, bao gồm nhưng không giới hạn ở việc cung cấp sản phẩm, dịch vụ, quản lý quan hệ với khách hàng, thực hiện nghĩa vụ theo hợp đồng, thỏa thuận đã ký kết và tuân thủ các nghĩa vụ pháp lý theo quy định của pháp luật.

Việc xử lý dữ liệu cá nhân có thể kết thúc trong các trường hợp sau:

a. Khi mục đích xử lý dữ liệu cá nhân đã hoàn thành;

b. Khi Chủ thể dữ liệu rút lại sự đồng ý đối với việc xử lý dữ liệu cá nhân và việc tiếp tục xử lý dữ liệu không còn cơ sở pháp lý khác;

c. Khi có yêu cầu hợp pháp từ Chủ thể dữ liệu theo quy định của pháp luật;

d. Khi XTSC không còn nhu cầu xử lý dữ liệu cá nhân và việc lưu trữ dữ liệu không còn cần thiết theo quy định pháp luật;

e. Khi có yêu cầu hoặc quyết định từ cơ quan nhà nước có thẩm quyền hoặc theo quy định của pháp luật.

Trong trường hợp Chủ thể dữ liệu rút lại sự đồng ý hoặc yêu cầu chấm dứt xử lý dữ liệu cá nhân, XTSC có thể tiếp tục lưu trữ và xử lý dữ liệu cá nhân trong phạm vi cần thiết để thực hiện các nghĩa vụ pháp lý, nghĩa vụ lưu trữ hồ sơ, giải quyết tranh chấp hoặc bảo vệ quyền và lợi ích hợp pháp của XTSC theo quy định pháp luật có liên quan.

Điều 12. Quyền và nghĩa vụ của Chủ thể dữ liệu

XTSC tôn trọng và bảo vệ quyền riêng tư của Chủ thể dữ liệu theo quy định của pháp luật về bảo vệ dữ liệu cá nhân. Trong quá trình cung cấp và sử dụng dữ liệu cá nhân tại XTSC, Chủ thể dữ liệu có các quyền và nghĩa vụ sau:

1. Quyền của Chủ thể dữ liệu

1.1. Quyền được biết và quyền đồng ý

Chủ thể dữ liệu có quyền được thông báo về việc thu thập, xử lý dữ liệu cá nhân của mình và có quyền đồng ý đối với việc xử lý dữ liệu, trừ các trường hợp pháp luật cho phép xử lý dữ liệu mà không cần sự đồng ý.

Trong trường hợp XTSC thay đổi mục đích xử lý dữ liệu hoặc xử lý dữ liệu cho mục đích mới, XTSC sẽ thông báo và chỉ thực hiện khi có sự đồng ý của Chủ thể dữ liệu theo quy định pháp luật.

1.2. Quyền truy cập dữ liệu

Chủ thể dữ liệu có quyền yêu cầu XTSC cung cấp thông tin về dữ liệu cá nhân của mình đang được XTSC lưu trữ hoặc xử lý, bao gồm bản sao dữ liệu cá nhân trong phạm vi pháp luật cho phép.

1.3. Quyền chỉnh sửa hoặc cập nhật dữ liệu

Chủ thể dữ liệu có quyền yêu cầu XTSC chỉnh sửa, cập nhật hoặc bổ sung dữ liệu cá nhân trong trường hợp thông tin không chính xác, không đầy đủ hoặc đã thay đổi.

1.4. Quyền rút lại sự đồng ý và hạn chế xử lý dữ liệu

Chủ thể dữ liệu có quyền rút lại sự đồng ý đối với việc xử lý dữ liệu cá nhân vào bất kỳ thời điểm nào, trừ trường hợp pháp luật có quy định khác.

Chủ thể dữ liệu cũng có quyền yêu cầu XTSC hạn chế việc xử lý dữ liệu cá nhân trong một số trường hợp nhất định (ví dụ: hạn chế sử dụng dữ liệu cho mục đích tiếp thị hoặc quảng cáo).

Việc rút lại sự đồng ý không làm ảnh hưởng đến tính hợp pháp của việc xử lý dữ liệu đã được thực hiện trước thời điểm rút lại sự đồng ý.

1.5. Quyền yêu cầu xóa dữ liệu cá nhân

Chủ thể dữ liệu có quyền yêu cầu XTSC xóa hoặc hủy dữ liệu cá nhân của mình trong các trường hợp theo quy định pháp luật, ví dụ khi dữ liệu không còn cần thiết cho mục đích xử lý hoặc khi dữ liệu được xử lý trái quy định pháp luật.

Tuy nhiên, XTSC có thể tiếp tục lưu trữ dữ liệu cá nhân trong trường hợp việc lưu trữ là cần thiết để thực hiện nghĩa vụ pháp lý, nghĩa vụ lưu trữ hồ sơ, giải quyết tranh chấp hoặc bảo vệ quyền và lợi ích hợp pháp của XTSC theo quy định pháp luật.

1.6. Quyền phản đối và khiếu nại

Chủ thể dữ liệu có quyền phản đối việc xử lý dữ liệu cá nhân trong một số trường hợp theo quy định pháp luật và có quyền gửi khiếu nại đến XTSC khi cho rằng việc xử lý dữ liệu cá nhân của mình không phù hợp với quy định pháp luật hoặc nội dung của chính sách này.

Chủ thể dữ liệu cũng có quyền gửi khiếu nại đến cơ quan quản lý nhà nước có thẩm quyền theo quy định pháp luật về bảo vệ dữ liệu cá nhân.

1.7. Quyền yêu cầu chuyển giao dữ liệu

Trong phạm vi kỹ thuật cho phép và theo quy định của pháp luật, Chủ thể dữ liệu có quyền yêu cầu XTSC chuyển giao dữ liệu cá nhân của mình cho tổ chức, cá nhân khác theo yêu cầu của Chủ thể dữ liệu.

1.8. Quyền liên quan đến quyết định xử lý dữ liệu tự động

Chủ thể dữ liệu có quyền yêu cầu XTSC xem xét lại các quyết định được đưa ra hoàn toàn dựa trên việc xử lý dữ liệu cá nhân bằng phương thức tự động trong trường hợp các quyết định này ảnh hưởng đáng kể đến quyền và lợi ích hợp pháp của Chủ thể dữ liệu.

Để thực hiện các quyền nêu trên, Chủ thể dữ liệu có thể liên hệ với XTSC theo thông tin liên hệ được công bố tại Chính sách này. XTSC có thể yêu cầu Chủ thể dữ liệu cung cấp thông tin xác minh danh tính cần thiết trước khi xử lý yêu cầu nhằm đảm bảo an toàn và bảo mật dữ liệu.

2. Nghĩa vụ của Chủ thể dữ liệu

2.1. Nghĩa vụ bảo vệ dữ liệu cá nhân

Chủ thể dữ liệu có trách nhiệm tự bảo vệ dữ liệu cá nhân của mình và tôn trọng, bảo vệ dữ liệu cá nhân của người khác theo quy định pháp luật.

2.2. Nghĩa vụ cung cấp thông tin chính xác

Chủ thể dữ liệu có trách nhiệm cung cấp đầy đủ, chính xác dữ liệu cá nhân khi thiết lập quan hệ, giao kết hợp đồng và trong quá trình sử dụng sản phẩm, dịch vụ của XTSC.

2.3. Nghĩa vụ tuân thủ quy định pháp luật

Chủ thể dữ liệu có trách nhiệm tuân thủ các quy định của pháp luật về bảo vệ dữ liệu cá nhân và không thực hiện các hành vi vi phạm quy định pháp luật liên quan đến dữ liệu cá nhân.

2.4. Nghĩa vụ cập nhật thông tin

Khi có sự thay đổi về dữ liệu cá nhân đã cung cấp, Chủ thể dữ liệu có trách nhiệm chủ động cập nhật thông tin trên hệ thống (nếu được hỗ trợ) hoặc thông báo cho XTSC để được cập nhật kịp thời.

Trường hợp việc chậm trễ cập nhật hoặc thông báo thay đổi dữ liệu cá nhân dẫn đến phát sinh rủi ro hoặc thiệt hại, Chủ thể dữ liệu phải tự chịu trách nhiệm đối với các hậu quả phát sinh từ việc chậm trễ đó.

Điều 13. Tổ chức, cá nhân tham gia vào hoạt động xử lý dữ liệu cá nhân

Trong quá trình cung cấp sản phẩm, dịch vụ và vận hành hệ thống, việc xử lý dữ liệu cá nhân có thể có sự tham gia của nhiều tổ chức, cá nhân khác nhau. Tùy theo từng hoạt động xử lý dữ liệu cụ thể, XTSC có thể đóng vai trò là Bên kiểm soát dữ liệu cá nhân/ Bên xử lý dữ liệu cá nhân/ Bên kiểm soát và xử lý dữ liệu cá nhân theo quy định của pháp luật về bảo vệ dữ liệu cá nhân.

Trong phạm vi các vai trò nêu trên, XTSC thực hiện các quyền, trách nhiệm và nghĩa vụ tương ứng liên quan đến việc xử lý dữ liệu cá nhân, bao gồm việc đảm bảo các nguyên tắc xử lý dữ liệu, áp dụng các biện pháp bảo vệ dữ liệu và tuân thủ các quy định pháp luật có liên quan.

Chủ thể dữ liệu hiểu và đồng ý rằng, để cung cấp sản phẩm, dịch vụ và vận hành hệ thống, XTSC có thể chia sẻ hoặc chuyển giao dữ liệu cá nhân cho các tổ chức, cá nhân có liên quan tham gia vào quá trình xử lý dữ liệu theo các trường hợp được quy định tại Điều 8 của Chính sách này.

Các tổ chức, cá nhân tiếp nhận dữ liệu cá nhân từ XTSC có trách nhiệm:

• Xử lý dữ liệu cá nhân đúng mục đích và phạm vi được XTSC cho phép;

• Áp dụng các biện pháp bảo mật cần thiết để bảo vệ dữ liệu cá nhân;

• Tuân thủ các nghĩa vụ bảo mật thông tin theo thỏa thuận với XTSC và theo quy định của pháp luật về bảo vệ dữ liệu cá nhân.

XTSC yêu cầu các tổ chức, cá nhân tham gia vào quá trình xử lý dữ liệu cá nhân phải tuân thủ các tiêu chuẩn bảo mật dữ liệu phù hợp với quy định nội bộ của XTSC và quy định pháp luật hiện hành.

Điều 14. Rủi ro trong quá trình xử lý dữ liệu cá nhân và biện pháp bảo vệ

XTSC nhận thức rằng trong quá trình thu thập, lưu trữ và xử lý dữ liệu cá nhân luôn có thể tồn tại những rủi ro nhất định liên quan đến an toàn thông tin. Mặc dù XTSC đã và đang áp dụng nhiều biện pháp kỹ thuật và tổ chức nhằm bảo vệ dữ liệu cá nhân, Chủ thể dữ liệu vẫn cần nhận thức rằng không có hệ thống công nghệ hoặc phương thức truyền tải dữ liệu nào có thể đảm bảo an toàn tuyệt đối.

Một số rủi ro có thể phát sinh trong quá trình xử lý dữ liệu cá nhân bao gồm nhưng không giới hạn ở các trường hợp sau:

• Rủi ro phát sinh từ sự cố kỹ thuật của hệ thống, lỗi phần cứng hoặc phần mềm;

• Rủi ro liên quan đến sự cố đường truyền, gián đoạn dịch vụ hoặc sự kiện bất khả kháng;

• Rủi ro từ các hành vi tấn công mạng, phát tán phần mềm độc hại, truy cập trái phép vào hệ thống thông tin;

• Rủi ro phát sinh từ việc sử dụng thiết bị, tài khoản hoặc thông tin truy cập của Chủ thể dữ liệu không được bảo mật hoặc bị bên thứ ba lợi dụng.

Trong các trường hợp nêu trên, dữ liệu cá nhân có thể bị truy cập trái phép, tiết lộ hoặc sử dụng ngoài ý muốn, từ đó có thể gây ra những ảnh hưởng hoặc thiệt hại đối với Chủ thể dữ liệu hoặc các bên liên quan.

Để hạn chế các rủi ro này, XTSC cam kết:

• Áp dụng các biện pháp kỹ thuật và tổ chức phù hợp nhằm bảo vệ dữ liệu cá nhân trong suốt quá trình xử lý;

• Thường xuyên rà soát, đánh giá và cập nhật các biện pháp bảo mật, quản lý dữ liệu theo yêu cầu của pháp luật và tiêu chuẩn an toàn thông tin;

• Thực hiện các biện pháp cần thiết nhằm phát hiện, xử lý và giảm thiểu tác động của các sự cố liên quan đến an toàn dữ liệu cá nhân.

XTSC khuyến nghị Chủ thể dữ liệu chủ động thực hiện các biện pháp bảo vệ thông tin cá nhân của mình, bao gồm việc bảo mật thông tin đăng nhập, thiết bị truy cập và không chia sẻ dữ liệu cá nhân cho các tổ chức, cá nhân không đáng tin cậy.

Điều 15. Sửa đổi và cập nhật chính sách

XTSC có thể sửa đổi, bổ sung hoặc cập nhật Chính sách bảo mật và riêng tư dữ liệu này theo từng thời kỳ nhằm phù hợp với sự thay đổi trong hoạt động cung cấp sản phẩm, dịch vụ của XTSC hoặc theo yêu cầu của pháp luật hiện hành.

Trong trường hợp có thay đổi đối với Chính sách này, XTSC sẽ thông báo tới Chủ thể dữ liệu thông qua một hoặc nhiều phương thức phù hợp, bao gồm nhưng không giới hạn ở việc:

• Đăng tải phiên bản cập nhật trên website chính thức hoặc ứng dụng, nền tảng giao dịch của XTSC;

• Gửi thông báo qua email, tin nhắn hoặc các phương thức liên lạc khác mà XTSC có thông tin của Chủ thể dữ liệu.

Phiên bản Chính sách được cập nhật sẽ ghi rõ thời điểm “Cập nhật lần cuối” để Chủ thể dữ liệu có thể dễ dàng theo dõi các thay đổi. XTSC khuyến nghị Chủ thể dữ liệu thường xuyên xem xét nội dung Chính sách này để nắm được các thông tin cập nhật liên quan đến việc xử lý dữ liệu cá nhân.

Trong trường hợp Chủ thể dữ liệu tiếp tục sử dụng ứng dụng, nền tảng giao dịch hoặc tiếp tục duy trì quan hệ giao dịch với XTSC sau khi Chính sách được cập nhật, việc sử dụng đó được hiểu là Chủ thể dữ liệu đã đọc và ghi nhận nội dung Chính sách tại thời điểm cập nhật.

Trường hợp Chủ thể dữ liệu không đồng ý với các nội dung sửa đổi, Chủ thể dữ liệu có thể ngừng sử dụng sản phẩm, dịch vụ của XTSC và liên hệ với XTSC để được hỗ trợ giải quyết theo quy định.

Trong trường hợp có các thay đổi trọng yếu trong nội dung Chính sách liên quan đến hoạt động xử lý dữ liệu cá nhân, bao gồm nhưng không giới hạn việc bổ sung mục đích xử lý mới, xử lý thêm dữ liệu cá nhân nhạy cảm, thay đổi hoặc bổ sung bên tham gia xử lý dữ liệu, chuyển dữ liệu cá nhân ra nước ngoài và các thay đổi khác có thể ảnh hưởng đáng kể đến quyền và lợi ích của Chủ thể dữ liệu, XTSC sẽ thực hiện việc thông báo và yêu cầu Chủ thể dữ liệu xác nhận hoặc hoặc chấp thuận lại đối với các nội dung thay đổi (nếu cần thiết) theo quy định của pháp luật và/hoặc theo tính chất của hoạt động xử lý.

Điều 16. Thông tin liên hệ

Trường hợp Chủ thể dữ liệu có bất kỳ câu hỏi, yêu cầu hoặc khiếu nại nào liên quan đến Chính sách bảo mật và riêng tư dữ liệu hoặc việc thu thập, xử lý dữ liệu cá nhân tại XTSC, Chủ thể dữ liệu có thể liên hệ với XTSC thông qua các thông tin sau:

· Công ty Cổ phần Chứng khoán Xuân Thiện (XTSC)

· Bộ phận tiếp nhận: Phòng Chăm sóc Khách hàng

· Địa chỉ: Tầng 6, Tháp C, Tòa nhà D’ Le Roi Soleil, số 2 Đặng Thai Mai, Phường Tây Hồ, Thành phố Hà Nội

· Số điện thoại (Hotline): +84 24 22 333 999

· Email: cskh@xtsc.vn

XTSC sẽ tiếp nhận và xử lý các yêu cầu, phản ánh hoặc khiếu nại liên quan đến dữ liệu cá nhân của Chủ thể dữ liệu theo quy định của pháp luật và quy trình nội bộ của XTSC.

Chính sách bảo mật và riêng tư dữ liệu này được lập bằng tiếng Việt và được công bố trên các kênh thông tin chính thức của XTSC. Chủ thể dữ liệu có thể lưu giữ bản sao của Chính sách này để tham khảo khi cần thiết.

Số phiên bản: 01

Hiệu lực: 18 / 03 / 2026