Chính sách bảo vệ dữ liệu cá nhân

1. Mục đích ban hành

Công ty Cổ phần ORDERSYS ("ORDERSYS", "Chúng tôi") cam kết tôn trọng và bảo vệ quyền riêng tư của Khách hàng, Đối tác, Người sử dụng dịch vụ theo quy định của pháp luật Việt Nam.

Chính sách này được xây dựng nhằm:

• Công khai cách thức ORDERSYS thu thập, sử dụng, lưu trữ và bảo vệ dữ liệu cá nhân;
• Đảm bảo việc xử lý dữ liệu cá nhân được thực hiện minh bạch, đúng mục đích và đúng quy định pháp luật;
• Bảo vệ quyền và lợi ích hợp pháp của Chủ thể dữ liệu;
• Tăng cường mức độ an toàn thông tin trong quá trình cung cấp các sản phẩm và dịch vụ của ORDERSYS.

2. Phạm vi áp dụng

Chính sách này áp dụng đối với tất cả các cá nhân có dữ liệu được ORDERSYS xử lý, bao gồm nhưng không giới hạn:

• Khách hàng sử dụng phần mềm ORDERSYS;
• Chủ doanh nghiệp, hộ kinh doanh sử dụng dịch vụ;
• Người đại diện theo pháp luật của khách hàng;
• Người quản trị hệ thống;
• Nhân viên được khách hàng cấp tài khoản sử dụng phần mềm;
• Khách hàng đăng ký dùng thử dịch vụ;
• Người truy cập website của ORDERSYS;
• Đối tác hợp tác với ORDERSYS;
• Người liên hệ thông qua website, điện thoại, email hoặc mạng xã hội của ORDERSYS.

3. Giải thích thuật ngữ

3.1. Dữ liệu cá nhân

Là thông tin dưới dạng ký hiệu, chữ viết, số, hình ảnh, âm thanh hoặc dạng tương tự gắn liền với một cá nhân hoặc giúp xác định một cá nhân theo quy định của pháp luật.

3.2. Chủ thể dữ liệu

Là cá nhân mà dữ liệu cá nhân phản ánh, ví dụ: chủ cửa hàng, nhân viên, khách mua hàng, người liên hệ, người đại diện doanh nghiệp.

3.3. Xử lý dữ liệu cá nhân

Bao gồm một hoặc nhiều hoạt động như: thu thập, ghi nhận, lưu trữ, sắp xếp, chỉnh sửa, phân tích, truy xuất, chia sẻ, mã hóa, sao lưu, xóa và hủy dữ liệu.

3.4. Dịch vụ

Là toàn bộ sản phẩm, phần mềm và nền tảng do ORDERSYS cung cấp, bao gồm nhưng không giới hạn:

• Phần mềm quản lý bán hàng (Order);
• Phần mềm quản lý Spa;
• Phần mềm quản lý Bida;
• Phần mềm quản lý Karaoke;
• Website;
• Ứng dụng di động;
• Các nền tảng và dịch vụ khác do ORDERSYS phát triển.

3.5. Website

Là website chính thức của ORDERSYS và các website thuộc quyền quản lý của ORDERSYS.

4. Nguyên tắc xử lý dữ liệu cá nhân

4.1. Đúng mục đích

Chỉ thu thập dữ liệu phục vụ cho mục đích đã thông báo.

4.2. Minh bạch

Khách hàng được biết dữ liệu nào được thu thập, mục đích thu thập, ai có quyền truy cập, thời gian lưu giữ và quyền của khách hàng đối với dữ liệu.

4.3. Giới hạn phạm vi

ORDERSYS chỉ thu thập những dữ liệu cần thiết để cung cấp dịch vụ và tuân thủ quy định của pháp luật.

4.4. Bảo mật

ORDERSYS áp dụng các biện pháp kỹ thuật và quản lý nhằm ngăn chặn truy cập trái phép, phòng chống rò rỉ dữ liệu, phát hiện và xử lý sự cố an toàn thông tin.

4.5. Chính xác

ORDERSYS tạo điều kiện để khách hàng cập nhật, điều chỉnh hoặc bổ sung dữ liệu khi phát hiện có sai sót.

4.6. Hạn chế lưu giữ

Dữ liệu chỉ được lưu giữ trong thời gian cần thiết để cung cấp dịch vụ, thực hiện nghĩa vụ theo hợp đồng, tuân thủ quy định pháp luật và giải quyết tranh chấp (nếu có). Sau khi hết thời hạn, dữ liệu sẽ được xóa hoặc ẩn danh theo quy trình nội bộ của ORDERSYS.

5. Căn cứ pháp lý

Chính sách này được xây dựng trên cơ sở các quy định pháp luật hiện hành của Việt Nam, bao gồm nhưng không giới hạn:

• Bộ luật Dân sự;
• Luật An toàn thông tin mạng;
• Luật An ninh mạng;
• Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân;
• Các văn bản pháp luật có liên quan và các sửa đổi, bổ sung (nếu có).

6. Loại dữ liệu cá nhân được thu thập

6.1. Thông tin định danh

• Họ và tên;
• Ngày, tháng, năm sinh (nếu cần);
• Giới tính (nếu có);
• Quốc tịch (nếu có yêu cầu theo quy định pháp luật);
• Số CCCD/CMND/Hộ chiếu trong các trường hợp pháp luật yêu cầu hoặc khi ký kết hợp đồng.

6.2. Thông tin liên hệ

• Địa chỉ thường trú;
• Địa chỉ liên hệ;
• Địa chỉ email;
• Số điện thoại;
• Thông tin người liên hệ.

6.3. Thông tin doanh nghiệp

• Tên doanh nghiệp;
• Mã số thuế;
• Địa chỉ trụ sở;
• Giấy chứng nhận đăng ký doanh nghiệp hoặc đăng ký hộ kinh doanh;
• Người đại diện theo pháp luật;
• Thông tin tài khoản thanh toán (nếu cần cho việc thanh toán dịch vụ).

6.4. Dữ liệu tài khoản

• Tên đăng nhập;
• Mật khẩu (được mã hóa);
• Vai trò người dùng;
• Nhật ký đăng nhập;
• Thiết bị đăng nhập;
• Địa chỉ IP;
• Thời gian đăng nhập;
• Nhật ký thao tác trên hệ thống.

6.5. Dữ liệu phát sinh trong quá trình sử dụng dịch vụ

• Danh mục hàng hóa;
• Danh mục dịch vụ;
• Danh sách khách hàng;
• Nhà cung cấp;
• Đơn hàng;
• Phiếu bán hàng;
• Phiếu nhập xuất kho;
• Thông tin hóa đơn điện tử;
• Báo cáo doanh thu;
• Báo cáo tồn kho;
• Thông tin lịch hẹn (đối với Spa);
• Thông tin bàn chơi (đối với Bida);
• Các dữ liệu khác do khách hàng chủ động nhập lên hệ thống.

6.6. Dữ liệu kỹ thuật

• Địa chỉ IP;
• Loại trình duyệt;
• Thiết bị truy cập;
• Hệ điều hành;
• Cookie;
• Log hệ thống;
• Nhật ký lỗi;
• Thông tin hiệu năng nhằm đảm bảo tính ổn định và an toàn của dịch vụ.

7. Mục đích xử lý dữ liệu cá nhân

7.1. Cung cấp dịch vụ

• Tạo tài khoản;
• Xác thực người dùng;
• Quản lý quyền truy cập;
• Duy trì hoạt động của phần mềm.

7.2. Thực hiện hợp đồng

• Ký kết hợp đồng;
• Cung cấp dịch vụ;
• Hỗ trợ kỹ thuật;
• Gia hạn dịch vụ;
• Thanh toán.

7.3. Chăm sóc khách hàng

• Tiếp nhận yêu cầu hỗ trợ;
• Giải quyết khiếu nại;
• Khảo sát chất lượng dịch vụ;
• Gửi thông báo bảo trì, nâng cấp hoặc thay đổi chính sách.

7.4. Đảm bảo an toàn hệ thống

• Phát hiện truy cập trái phép;
• Phòng chống gian lận;
• Phòng chống tấn công mạng;
• Ghi nhận nhật ký để điều tra sự cố.

7.5. Tuân thủ quy định pháp luật

• Thực hiện nghĩa vụ theo quy định của cơ quan nhà nước có thẩm quyền;
• Phục vụ công tác thanh tra, kiểm tra, giải quyết tranh chấp hoặc yêu cầu theo quy định pháp luật.

8. Phương thức thu thập dữ liệu

• Khách hàng đăng ký tài khoản;
• Khách hàng ký kết hợp đồng;
• Khách hàng sử dụng website hoặc ứng dụng;
• Biểu mẫu liên hệ;
• Email, điện thoại, mạng xã hội;
• Dữ liệu do khách hàng chủ động nhập vào hệ thống;
• Dữ liệu phát sinh trong quá trình sử dụng dịch vụ;
• Dữ liệu được khách hàng cho phép đồng bộ từ các hệ thống của bên thứ ba.

9. Sự đồng ý của chủ thể dữ liệu

ORDERSYS chỉ xử lý dữ liệu cá nhân khi có một trong các căn cứ hợp pháp theo quy định của pháp luật, bao gồm: Chủ thể dữ liệu đã đồng ý; việc xử lý cần thiết để thực hiện hợp đồng; việc xử lý cần thiết nhằm tuân thủ nghĩa vụ pháp lý; hoặc các trường hợp khác theo quy định của pháp luật Việt Nam.

Việc đồng ý có thể được thể hiện bằng văn bản, hợp đồng, biểu mẫu điện tử, thao tác xác nhận trên website hoặc ứng dụng, hoặc các hình thức hợp pháp khác.

10. Trường hợp xử lý dữ liệu không cần sự đồng ý

ORDERSYS có thể xử lý dữ liệu cá nhân mà không cần sự đồng ý của Chủ thể dữ liệu trong các trường hợp được pháp luật cho phép, bao gồm nhưng không giới hạn:

• Thực hiện nghĩa vụ theo quy định của pháp luật;
• Bảo vệ tính mạng, sức khỏe của cá nhân trong tình huống khẩn cấp;
• Thực hiện hợp đồng theo yêu cầu của Chủ thể dữ liệu;
• Phục vụ hoạt động của cơ quan nhà nước có thẩm quyền;
• Các trường hợp khác theo Nghị định số 13/2023/NĐ-CP và các văn bản pháp luật liên quan.

11. Chia sẻ và chuyển giao dữ liệu cá nhân

11.1. Nguyên tắc chung

ORDERSYS cam kết không bán, cho thuê hoặc trao đổi dữ liệu cá nhân của Chủ thể dữ liệu cho bất kỳ tổ chức hoặc cá nhân nào vì mục đích thương mại.

11.2. Các bên có thể được chia sẻ dữ liệu

Tùy từng dịch vụ, ORDERSYS có thể chia sẻ dữ liệu với:

• Đơn vị cung cấp hạ tầng công nghệ: máy chủ, trung tâm dữ liệu, CDN, dịch vụ sao lưu dữ liệu, giám sát hệ thống;
• Đơn vị cung cấp dịch vụ thanh toán: phục vụ xử lý giao dịch, đối soát, phòng chống gian lận và tuân thủ pháp luật;
• Đơn vị cung cấp hóa đơn điện tử: truyền dữ liệu trong phạm vi cần thiết để phát hành hóa đơn hợp lệ;
• Đối tác tích hợp theo yêu cầu của khách hàng: nền tảng thương mại điện tử, đơn vị vận chuyển, đối tác thanh toán, dịch vụ hóa đơn điện tử và các nền tảng khác được khách hàng kết nối.

11.3. Cam kết của ORDERSYS

• Chỉ sử dụng dữ liệu đúng mục đích;
• Không sử dụng dữ liệu ngoài phạm vi được phép;
• Có biện pháp bảo mật phù hợp;
• Tuân thủ pháp luật về bảo vệ dữ liệu cá nhân.

12. Chuyển dữ liệu ra nước ngoài

ORDERSYS ưu tiên lưu trữ và xử lý dữ liệu tại Việt Nam. Trong trường hợp sử dụng hạ tầng hoặc dịch vụ có yếu tố nước ngoài, ORDERSYS sẽ thực hiện theo quy định của pháp luật Việt Nam, bao gồm đánh giá phạm vi dữ liệu được chuyển, áp dụng biện pháp bảo vệ phù hợp, thực hiện nghĩa vụ pháp lý liên quan và thông báo hoặc xin ý kiến Chủ thể dữ liệu khi pháp luật yêu cầu.

13. Thời gian lưu trữ dữ liệu

13.1. Nguyên tắc lưu trữ

ORDERSYS lưu trữ dữ liệu trong thời gian cần thiết để cung cấp dịch vụ, thực hiện hợp đồng, thực hiện nghĩa vụ pháp lý, giải quyết tranh chấp và bảo vệ quyền, lợi ích hợp pháp của các bên.

13.2. Sau khi chấm dứt dịch vụ

Dữ liệu có thể được lưu giữ trong một khoảng thời gian hợp lý để hỗ trợ khôi phục dữ liệu (nếu có thỏa thuận), đối chiếu công nợ, giải quyết khiếu nại và thực hiện nghĩa vụ lưu trữ theo quy định pháp luật. Sau thời hạn này, dữ liệu sẽ được xóa, hủy hoặc ẩn danh theo quy trình nội bộ của ORDERSYS, trừ trường hợp pháp luật yêu cầu tiếp tục lưu giữ.

14. Biện pháp bảo mật dữ liệu

14.1. Biện pháp kỹ thuật

• Mã hóa dữ liệu trong quá trình truyền tải khi phù hợp;
• Xác thực người dùng;
• Phân quyền truy cập;
• Ghi nhận nhật ký truy cập và thao tác;
• Sao lưu dữ liệu định kỳ;
• Giám sát và phát hiện các hành vi truy cập bất thường;
• Cập nhật các bản vá bảo mật cho hệ thống.

14.2. Biện pháp quản lý

• Quy trình quản lý truy cập nội bộ;
• Phân quyền theo chức năng công việc;
• Đào tạo nhân sự về bảo mật thông tin;
• Kiểm soát việc truy cập dữ liệu của nhân viên;
• Đánh giá và cải tiến các biện pháp bảo mật khi cần thiết.

14.3. Trách nhiệm của khách hàng

• Bảo mật tài khoản và mật khẩu;
• Không chia sẻ tài khoản cho người không có thẩm quyền;
• Đăng xuất khỏi hệ thống sau khi sử dụng trên thiết bị công cộng;
• Thông báo ngay cho ORDERSYS nếu phát hiện tài khoản bị truy cập trái phép hoặc có dấu hiệu mất an toàn.

15. Quyền của chủ thể dữ liệu

• Được biết về hoạt động xử lý dữ liệu cá nhân của mình;
• Đồng ý hoặc từ chối việc xử lý dữ liệu trong các trường hợp pháp luật yêu cầu sự đồng ý;
• Yêu cầu truy cập, xem, chỉnh sửa hoặc cập nhật dữ liệu cá nhân;
• Yêu cầu rút lại sự đồng ý đối với việc xử lý dữ liệu (trong trường hợp áp dụng);
• Yêu cầu xóa hoặc hủy dữ liệu theo quy định của pháp luật;
• Yêu cầu hạn chế xử lý dữ liệu trong các trường hợp được pháp luật quy định;
• Khiếu nại, tố cáo hoặc khởi kiện theo quy định của pháp luật nếu cho rằng quyền và lợi ích hợp pháp của mình bị xâm phạm.

ORDERSYS sẽ tiếp nhận và xử lý các yêu cầu của Chủ thể dữ liệu trong thời hạn và theo trình tự do pháp luật quy định.

16. Nghĩa vụ của chủ thể dữ liệu

16.1. Cung cấp thông tin chính xác

• Cung cấp đầy đủ, trung thực và chính xác các thông tin theo yêu cầu của ORDERSYS;
• Chịu trách nhiệm đối với tính chính xác của các thông tin đã cung cấp;
• Kịp thời cập nhật khi có thay đổi nhằm đảm bảo dữ liệu luôn chính xác và đầy đủ.

ORDERSYS không chịu trách nhiệm đối với các thiệt hại phát sinh từ việc Chủ thể dữ liệu cung cấp thông tin không chính xác, không đầy đủ hoặc không được cập nhật.

16.2. Bảo mật tài khoản

• Giữ bí mật tên đăng nhập và mật khẩu;
• Không chia sẻ tài khoản cho người không được phép sử dụng;
• Thiết lập mật khẩu có độ an toàn phù hợp;
• Thông báo ngay cho ORDERSYS khi phát hiện tài khoản có dấu hiệu bị truy cập trái phép hoặc mất an toàn.

16.3. Tuân thủ pháp luật

• Không sử dụng dịch vụ vào mục đích trái pháp luật;
• Không xâm phạm quyền và lợi ích hợp pháp của tổ chức, cá nhân khác;
• Không thực hiện các hành vi gây ảnh hưởng đến tính ổn định, an toàn hoặc bảo mật của hệ thống ORDERSYS.

17. Quyền và trách nhiệm của ORDERSYS

17.1. Quyền của ORDERSYS

• Thu thập và xử lý dữ liệu cá nhân theo phạm vi được pháp luật cho phép và theo Chính sách này;
• Từ chối hoặc hạn chế cung cấp dịch vụ trong trường hợp khách hàng không cung cấp thông tin cần thiết hoặc cung cấp thông tin không chính xác;
• Áp dụng các biện pháp kỹ thuật nhằm bảo vệ hệ thống và dữ liệu;
• Tạm ngừng hoặc từ chối xử lý các yêu cầu có dấu hiệu gian lận, giả mạo hoặc vi phạm pháp luật;
• Cập nhật, sửa đổi Chính sách này khi cần thiết để phù hợp với quy định pháp luật hoặc hoạt động kinh doanh.

17.2. Trách nhiệm của ORDERSYS

• Xử lý dữ liệu cá nhân đúng mục đích đã thông báo;
• Áp dụng các biện pháp bảo mật phù hợp nhằm hạn chế nguy cơ mất mát, truy cập trái phép hoặc tiết lộ dữ liệu;
• Chỉ chia sẻ dữ liệu trong các trường hợp được pháp luật cho phép hoặc có sự đồng ý của Chủ thể dữ liệu (nếu pháp luật yêu cầu);
• Hỗ trợ Chủ thể dữ liệu thực hiện các quyền của mình theo quy định của pháp luật;
• Tiếp nhận và giải quyết các phản ánh, khiếu nại liên quan đến việc xử lý dữ liệu cá nhân.

18. Xử lý vi phạm và giới hạn trách nhiệm

18.1. Xử lý vi phạm

Trong trường hợp phát hiện hành vi truy cập trái phép, khai thác trái phép dữ liệu, cố ý gây mất an toàn thông tin, sử dụng dữ liệu cá nhân trái quy định hoặc gây ảnh hưởng đến hoạt động của hệ thống, ORDERSYS có quyền:

• Tạm khóa tài khoản;
• Tạm ngừng hoặc chấm dứt việc cung cấp dịch vụ theo hợp đồng;
• Thông báo cho cơ quan nhà nước có thẩm quyền khi cần thiết;
• Áp dụng các biện pháp khác theo quy định của pháp luật và hợp đồng đã ký kết.

18.2. Giới hạn trách nhiệm

ORDERSYS không chịu trách nhiệm đối với các thiệt hại phát sinh từ:

• Chủ thể dữ liệu tiết lộ thông tin đăng nhập cho bên thứ ba;
• Thiết bị của khách hàng bị nhiễm mã độc, virus hoặc phần mềm độc hại;
• Sự cố đường truyền Internet, điện, viễn thông hoặc các nguyên nhân khách quan ngoài khả năng kiểm soát hợp lý của ORDERSYS;
• Hành vi vi phạm của bên thứ ba mà ORDERSYS không thể ngăn chặn bằng các biện pháp hợp lý.

Điều khoản này không loại trừ trách nhiệm của ORDERSYS trong trường hợp pháp luật quy định doanh nghiệp phải chịu trách nhiệm.

19. Tiếp nhận yêu cầu về dữ liệu cá nhân

Chủ thể dữ liệu có thể gửi yêu cầu liên quan đến việc thực hiện các quyền của mình hoặc phản ánh về việc xử lý dữ liệu cá nhân thông qua các kênh sau:

ORDERSYS sẽ tiếp nhận, xác minh và phản hồi trong thời hạn phù hợp theo quy định của pháp luật và tính chất của từng yêu cầu.

20. Sửa đổi, bổ sung chính sách

ORDERSYS có quyền sửa đổi, cập nhật Chính sách này để phù hợp với sự thay đổi của pháp luật, việc bổ sung hoặc thay đổi sản phẩm, dịch vụ và nâng cao hiệu quả bảo vệ dữ liệu cá nhân.

Phiên bản mới sẽ được công bố trên website chính thức của ORDERSYS và có hiệu lực kể từ thời điểm được công bố, trừ khi có quy định khác. Trong trường hợp việc sửa đổi làm thay đổi đáng kể quyền hoặc nghĩa vụ của Chủ thể dữ liệu, ORDERSYS sẽ thực hiện thông báo theo phương thức phù hợp trước khi áp dụng.

21. Hiệu lực

Chính sách này có hiệu lực kể từ ngày được công bố trên website chính thức của ORDERSYS.

Việc Chủ thể dữ liệu tiếp tục truy cập hoặc sử dụng website, phần mềm hoặc các dịch vụ của ORDERSYS sau thời điểm Chính sách có hiệu lực được hiểu là đã đọc, hiểu và đồng ý với nội dung của Chính sách, trong phạm vi pháp luật cho phép.

Trong trường hợp bất kỳ điều khoản nào của Chính sách này bị cơ quan có thẩm quyền xác định là vô hiệu hoặc không thể thực hiện, các điều khoản còn lại vẫn giữ nguyên hiệu lực.