Chính sách bảo mật

1. Phạm vi áp dụng

Chính sách này mô tả cách Công ty Cổ phần Tập đoàn UB (sau đây gọi là "chúng tôi"), đơn vị chủ quản trang thông tin điện tử tổng hợp banker.vn (Giấy phép số 3490/GP-TTĐT do Sở Thông tin và Truyền thông TP. Hà Nội cấp ngày 11/11/2020, sửa đổi bổ sung số 3221/GP-TTĐT ngày 02/11/2022), thu thập, xử lý và bảo vệ dữ liệu cá nhân của người dùng truy cập website.

Chính sách được xây dựng phù hợp với:

• Nghị định 13/2023/NĐ-CP ngày 17/04/2023 về Bảo vệ dữ liệu cá nhân (có hiệu lực 01/07/2023);
• Luật An ninh mạng 2018;
• Luật Giao dịch điện tử 2023 (số 20/2023/QH15, hiệu lực 01/07/2024);
• Luật An toàn thông tin mạng 2015;
• Nghị định 72/2013/NĐ-CP (sửa đổi bổ sung tại NĐ 27/2018/NĐ-CP) về quản lý, cung cấp, sử dụng dịch vụ Internet và thông tin trên mạng.

Bằng việc truy cập và sử dụng website, bạn xác nhận đã đọc, hiểu và đồng ý với các điều khoản được nêu trong Chính sách này.

2. Định nghĩa

Các thuật ngữ trong Chính sách này được hiểu theo định nghĩa tại Điều 2 Nghị định 13/2023/NĐ-CP:

• Dữ liệu cá nhân: thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể.
• Dữ liệu cá nhân cơ bản: bao gồm họ tên, ngày tháng năm sinh, giới tính, địa chỉ, số điện thoại, địa chỉ email, IP, cookie identifier, v.v. (chi tiết tại Khoản 3 Điều 2).
• Dữ liệu cá nhân nhạy cảm: quan điểm chính trị, tôn giáo, sức khoẻ, di truyền, sinh trắc, tài chính ngân hàng, v.v. (Khoản 4 Điều 2). Chúng tôi KHÔNG thu thập dữ liệu nhạy cảm.
• Chủ thể dữ liệu: cá nhân được dữ liệu cá nhân phản ánh — tức là bạn, người đọc.
• Bên Kiểm soát dữ liệu: là chúng tôi — Công ty Cổ phần Tập đoàn UB.

3. Dữ liệu cá nhân chúng tôi thu thập

Chúng tôi thu thập dữ liệu ở mức tối thiểu cần thiết để vận hành dịch vụ:

3.1. Khi bạn truy cập website (tự động)

• Địa chỉ IP (được pháp luật VN xem là dữ liệu cá nhân) — phục vụ chống lạm dụng, đo lường lưu lượng;
• User-Agent (loại trình duyệt, hệ điều hành);
• Trang truy cập (URL, referer);
• Thời gian truy cập;
• Cookie kỹ thuật tối thiểu (xem chi tiết tại Chính sách Cookie).

3.2. Khi bạn chủ động cung cấp

• Đăng ký nhận bản tin: địa chỉ email;
• Gửi liên hệ qua form: họ tên, email, số điện thoại (nếu cung cấp), nội dung tin nhắn.

3.3. Dữ liệu chúng tôi KHÔNG thu thập

Chúng tôi không yêu cầu căn cước công dân, tài khoản ngân hàng, mật khẩu, dữ liệu sinh trắc, quan điểm chính trị/tôn giáo, hay bất kỳ dữ liệu cá nhân nhạy cảm nào theo định nghĩa của Điều 2 NĐ 13/2023.

4. Mục đích xử lý dữ liệu

Dữ liệu cá nhân được sử dụng duy nhất cho các mục đích sau:

• Cung cấp và duy trì hoạt động của website (đọc tin, tìm kiếm, lọc chuyên mục);
• Gửi bản tin định kỳ (chỉ khi bạn chủ động đăng ký và xác nhận qua email);
• Trả lời liên hệ, phản ánh từ form gửi tin nhắn;
• Phân tích lưu lượng tổng hợp (ẩn danh) để cải thiện trải nghiệm;
• Phòng chống lạm dụng, spam, tấn công mạng (rate limiting, abuse detection);
• Tuân thủ nghĩa vụ pháp lý khi cơ quan nhà nước có thẩm quyền yêu cầu.

Chúng tôi không bán, không trao đổi, không cho thuê dữ liệu cá nhân của bạn cho bất kỳ bên thứ ba nào vì mục đích thương mại.

5. Cơ sở pháp lý xử lý dữ liệu

Theo Điều 11 Nghị định 13/2023/NĐ-CP, việc xử lý dữ liệu cá nhân của bạn dựa trên một hoặc nhiều cơ sở sau:

• Sự đồng ý của chủ thể dữ liệu — bạn chủ động đăng ký nhận bản tin, gửi liên hệ;
• Thực hiện hợp đồng/yêu cầu của chủ thể dữ liệu — cung cấp dịch vụ đọc tin;
• Tuân thủ nghĩa vụ pháp lý — báo cáo định kỳ theo yêu cầu cơ quan quản lý nhà nước;
• Lợi ích chính đáng — đo lường, bảo mật hệ thống (Khoản 4 Điều 11).

6. Thời gian lưu trữ dữ liệu

Khi mục đích xử lý không còn hoặc khi bạn yêu cầu xoá hợp lệ, chúng tôi sẽ huỷ hoặc ẩn danh dữ liệu trong vòng 72 giờ theo Điều 16 NĐ 13/2023.

7. Bên thứ ba xử lý dữ liệu

Hiện tại, chúng tôi sử dụng các dịch vụ kỹ thuật sau, đều được rà soát đảm bảo cam kết bảo mật:

• Cloudflare — CDN, bảo vệ DDoS, lưu IP truy cập tạm thời. Cloudflare tuân thủ GDPR và đã ký BCRs.
• Meilisearch (self-hosted trên VPS Việt Nam) — chỉ index nội dung công khai, không xử lý dữ liệu cá nhân.
• Anthropic Claude API — chỉ xử lý nội dung bài viết công khai để tạo tóm tắt, KHÔNG bao giờ truyền dữ liệu cá nhân.

Khi chúng tôi tích hợp thêm công cụ phân tích (Google Analytics) hoặc quảng cáo trong tương lai, Chính sách này sẽ được cập nhật trước khi triển khai và yêu cầu sự đồng ý mới của bạn.

8. Chuyển dữ liệu ra nước ngoài

Theo Điều 25 Nghị định 13/2023/NĐ-CP, việc chuyển dữ liệu cá nhân của công dân Việt Nam ra nước ngoài phải có sự đồng ý của chủ thể dữ liệu và đánh giá tác động chuyển dữ liệu (TIA) gửi Bộ Công an.

Cơ sở hạ tầng chính của website (máy chủ, cơ sở dữ liệu, Meilisearch) đặt tại Việt Nam. Một số dịch vụ phụ trợ (Cloudflare CDN, Anthropic AI) có node ngoài lãnh thổ; nội dung được chuyển qua các dịch vụ này là nội dung công khai hoặc metadata kỹ thuật ẩn danh, không chứa dữ liệu cá nhân nhận dạng được.

9. Quyền của bạn — Chủ thể dữ liệu

Theo Điều 9 Nghị định 13/2023/NĐ-CP, bạn có 11 quyền đối với dữ liệu cá nhân của mình:

1. Được biết về hoạt động xử lý dữ liệu cá nhân của mình;
2. Đồng ý hoặc không đồng ý cho phép xử lý;
3. Truy cập để xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu;
4. Rút lại sự đồng ý bất kỳ lúc nào;
5. Xoá dữ liệu cá nhân, trừ trường hợp luật quy định khác;
6. Hạn chế xử lý dữ liệu cá nhân;
7. Cung cấp dữ liệu để chuyển sang bên kiểm soát khác;
8. Phản đối việc xử lý dữ liệu;
9. Khiếu nại, tố cáo, khởi kiện theo quy định pháp luật;
10. Yêu cầu bồi thường thiệt hại theo quy định pháp luật;
11. Tự bảo vệ hoặc đề nghị cơ quan có thẩm quyền bảo vệ.

Để thực hiện các quyền trên, gửi yêu cầu tới [email protected] với tiêu đề "Yêu cầu quyền chủ thể dữ liệu". Chúng tôi sẽ phản hồi trong vòng 72 giờ làm việc.

10. Biện pháp bảo vệ dữ liệu

Chúng tôi áp dụng các biện pháp kỹ thuật và quản trị để bảo vệ dữ liệu cá nhân:

• Mã hoá toàn bộ kết nối qua HTTPS/TLS 1.3;
• Mã hoá mật khẩu và token quản trị bằng thuật toán đảm bảo;
• Phân quyền truy cập database theo nguyên tắc tối thiểu (least-privilege);
• Sao lưu dữ liệu định kỳ + plan khôi phục;
• Giám sát truy cập + log audit;
• Cập nhật bản vá bảo mật cho hệ điều hành, runtime, dependency;
• Hạn chế quyền tiếp cận dữ liệu cá nhân chỉ với nhân sự được phép.

Trong trường hợp xảy ra sự cố vi phạm dữ liệu cá nhân, chúng tôi cam kết thông báo cho Bộ Công an (Cục An ninh mạng và Phòng chống tội phạm sử dụng công nghệ cao - A05) trong vòng 72 giờ theo Điều 23 NĐ 13/2023, đồng thời thông báo cho các chủ thể dữ liệu bị ảnh hưởng.

11. Cập nhật chính sách

Chính sách này có thể được cập nhật để phản ánh thay đổi pháp lý hoặc dịch vụ. Mọi thay đổi mang tính trọng yếu (mở rộng phạm vi thu thập, đối tác mới, thay đổi mục đích…) sẽ được:

• Công bố trên trang này với phiên bản mới và ngày hiệu lực;
• Thông báo cho người đăng ký bản tin qua email trước ít nhất 7 ngày;
• Hiển thị banner nổi bật trên website trong 14 ngày đầu áp dụng.

12. Liên hệ về bảo mật