1. Giới thiệu
Công ty TNHH TM Nguyễn Ngọc Thanh (sau đây gọi là "TND"), MST 0200994870, trụ sở 12/220 Tô Hiệu, Phường Lê Chân, Thành phố Hải Phòng. Email: [email protected]. là chủ thể kiểm soát dữ liệu (Data Controller) đối với dữ liệu cá nhân của khách hàng, người sử dụng website tnd.vn, và đối tác kinh doanh. Trong một số trường hợp, TND đồng thời là chủ thể xử lý dữ liệu (Data Processor) khi xử lý dữ liệu cho khách doanh nghiệp.
Tài liệu này cụ thể hoá Chính sách Bảo mật bằng cách trình bày chi tiết kỹ thuật về cách TND thu thập, xử lý, lưu trữ, chia sẻ dữ liệu cá nhân - tuân thủ:
- Luật Bảo vệ dữ liệu cá nhân (PDPL) 91/2025/QH15 - hiệu lực 01/01/2026
- Nghị định 13/2023/NĐ-CP - về bảo vệ dữ liệu cá nhân
- Nghị định 356/2025/NĐ-CP - hướng dẫn thi hành PDPL
- Luật An ninh mạng 2018 + Nghị định 53/2022/NĐ-CP
2. Vai trò của TND
2.1 Là Data Controller
TND quyết định mục đích và phương tiện xử lý dữ liệu trong các trường hợp:
- Đăng ký tài khoản và sử dụng dịch vụ
- Marketing dịch vụ TND
- Phân tích hành vi sử dụng website tnd.vn
- Tuyển dụng nhân sự
2.2 Là Data Processor
TND xử lý dữ liệu thay mặt khách hàng (Controller) trong các trường hợp:
- Hosting / VPS lưu trữ website + database của khách (khách là Controller cho user của họ)
- CloudPhone xử lý cuộc gọi + ghi âm cho khách doanh nghiệp
- Email server lưu trữ hộp thư khách
Trong vai trò Processor, TND chỉ xử lý dữ liệu theo chỉ thị của Controller (khách hàng), không sử dụng cho mục đích riêng. TND ký Thoả thuận xử lý dữ liệu (DPA) với khách enterprise theo yêu cầu.
3. Cơ sở pháp lý xử lý
TND chỉ xử lý dữ liệu khi có ít nhất một trong các cơ sở pháp lý sau (PDPL Điều 17):
| Cơ sở | Áp dụng cho | Có thể từ chối / rút lại không? |
|---|---|---|
| (a) Sự đồng ý của chủ thể dữ liệu | Marketing, cookie tracking, Analytics | Có - rút lại bất kỳ thời điểm nào |
| (b) Thực hiện hợp đồng | Cung cấp dịch vụ đã mua, hỗ trợ kỹ thuật | Không - cần để hợp đồng vận hành |
| (c) Nghĩa vụ pháp lý | Hoá đơn VAT, log truy cập (Decree 53) | Không - theo luật |
| (d) Lợi ích sống còn của chủ thể | Khẩn cấp y tế nội bộ (rất hiếm) | - |
| (e) Lợi ích chính đáng của Controller | Bảo mật, phòng chống gian lận | Có - phản đối có lý do |
| (f) Nhiệm vụ công ích | Hỗ trợ cơ quan nhà nước theo yêu cầu | Không - theo luật |
4. Quy trình thu thập
4.1 Thu thập trực tiếp
- Form đăng ký tài khoản: email + mật khẩu
- Form mua hàng: tên, SĐT, địa chỉ, thông tin doanh nghiệp (nếu B2B), thông tin xuất hoá đơn
- Ticket / chat: nội dung trao đổi để hỗ trợ
- Khảo sát / form NPS: phản hồi tự nguyện
Tại mỗi điểm thu thập, TND hiển thị thông báo rõ ràng + checkbox đồng ý + link đến chính sách này. Mọi form đều có pre-validation để chỉ thu thập dữ liệu CẦN THIẾT.
4.2 Thu thập tự động
- Cookie phiên + cookie analytics (xem mục Cookie trong Chính sách Bảo mật)
- Log truy cập (IP, user-agent, URL, timestamp) - bắt buộc theo Decree 53
- Metric sử dụng dịch vụ (CPU/RAM/băng thông) - phục vụ billing và SLA
4.3 Thu thập từ bên thứ ba
- Cổng thanh toán Stripe → 4 số cuối thẻ + tên chủ thẻ (token hoá)
- SePay / VietQR → mã giao dịch + số tiền (cho đối soát)
- Vendor license (Microsoft Partner Center, Adobe VIP) → trạng thái activation
TND KHÔNG mua dữ liệu khách hàng từ data broker hoặc nguồn không xác minh.
5. Thời hạn lưu trữ chi tiết
| Loại dữ liệu | Thời hạn | Sau hết hạn | Cơ sở pháp lý |
|---|---|---|---|
| Email + password (đang dùng) | Suốt thời gian dùng | Xoá 30 ngày sau closure | Hợp đồng |
| Email + tên (đã unsubscribe marketing) | - | Xoá trong 30 ngày | Rút lại sự đồng ý |
| Hoá đơn, chứng từ thanh toán | 5 năm | Xoá sau 5 năm | Luật Kế toán 2015 |
| Log truy cập, IP, user-agent | 12 tháng (active) + 12 tháng (cold storage) | Xoá hoàn toàn | Decree 53/2022 Điều 26 |
| Ticket support đã đóng | 3 năm | Xoá / Anonymize | Lợi ích chính đáng |
| Recording cuộc gọi (CloudPhone) | 30 ngày (Standard), 90 ngày (Pro+) | Xoá tự động | Hợp đồng + sự đồng ý |
| Nội dung backup (website, DB khách hàng) | 7-30 ngày tuỳ gói | Rotation tự động | Hợp đồng |
| Dữ liệu hồ sơ tuyển dụng (không tuyển) | 6 tháng | Xoá tự động | Luật Lao động |
6. Chuyển dữ liệu xuyên biên giới
TND không thường xuyên chuyển dữ liệu cá nhân của người dùng Việt Nam ra khỏi lãnh thổ Việt Nam. Tuy nhiên, một số trường hợp ngoại lệ cần thiết:
6.1 Trường hợp chuyển ra nước ngoài
- Stripe (US): Token thanh toán cho khách quốc tế - chỉ 4 số cuối thẻ + email, không phải dữ liệu nhạy cảm
- Microsoft Partner Center (US): Activate license - chỉ tên + email + tenant ID, không phải nội dung
- Cloudflare (US): CDN cho khách enterprise có yêu cầu - chỉ metadata traffic, không lưu nội dung
- VPS US datacenter: Khách chủ động chọn server US - TND chỉ là Processor, khách là Controller
6.2 Bảo vệ chuyển xuyên biên giới
Theo PDPL Điều 25, mọi chuyển dữ liệu ra nước ngoài đều có:
- DPA (Data Processing Agreement) với bên nhận, tuân thủ tiêu chuẩn PDPL
- Mã hoá TLS 1.3 trong truyền
- Mã hoá AES-256 at rest tại bên nhận
- Đánh giá tác động (DPIA) hàng năm
- Báo cáo Bộ Công an khi pháp luật yêu cầu
7. Đánh giá tác động bảo vệ dữ liệu (DPIA)
TND thực hiện DPIA cho các hoạt động xử lý dữ liệu có rủi ro cao theo PDPL Điều 30 + Nghị định 356/2025:
- Lưu trữ dữ liệu của hàng trăm nghìn user (khách hosting/VPS)
- Ghi âm cuộc gọi (CloudPhone)
- Xử lý dữ liệu sinh trắc học (nếu có triển khai 2FA bằng vân tay)
- Phân tích hành vi (Analytics chi tiết)
Báo cáo DPIA được nộp cho Cục An toàn thông tin trong vòng 60 ngày kể từ khi bắt đầu hoạt động xử lý mới có rủi ro cao. Khách hàng enterprise có thể yêu cầu xem bản tóm tắt DPIA (đã ẩn thông tin nhạy cảm).
8. Thông báo vi phạm dữ liệu (72 giờ)
Theo PDPL Điều 33, nếu xảy ra vi phạm dữ liệu cá nhân (data breach), TND thực hiện quy trình sau:
- 0-1 giờ: Phát hiện và contain - đội security ngắt nguồn rò rỉ, isolate hệ thống bị ảnh hưởng
- 1-24 giờ: Điều tra - xác định phạm vi, dữ liệu bị ảnh hưởng, nguyên nhân
- 24-48 giờ: Lập báo cáo + xác định khách hàng bị ảnh hưởng
- 48-72 giờ: Thông báo
- Bộ Công an (Cục A05) qua kênh chính thức
- Khách hàng bị ảnh hưởng qua email + SMS + dashboard alert
- Public statement nếu vi phạm ảnh hưởng > 1000 khách hàng
- 72h-30 ngày: Khắc phục - patch lỗi, hỗ trợ khách giảm thiểu thiệt hại (đổi password, monitor thẻ...)
- 30-60 ngày: Báo cáo post-mortem, cải thiện hệ thống, gửi RFO chi tiết
9. Hệ thống kỹ thuật bảo mật
9.1 Mã hoá
- In transit: TLS 1.3 (Letsencrypt + DigiCert SSL), HSTS preload, không hỗ trợ TLS < 1.2
- At rest: AES-256 cho database, backup, log archive
- Mật khẩu: Argon2id (memory-hard, không phải MD5/SHA1)
- API: JWT có expiry ngắn (15 phút) + refresh token rotation
9.2 Access control
- Role-Based Access Control (RBAC) - least privilege
- 2FA bắt buộc cho admin, optional cho user (TOTP via Authenticator)
- Log audit mọi action admin (10 năm retention)
- Session timeout 30 phút inactive
9.3 Monitoring
- SIEM nội bộ (Wazuh / ELK) phát hiện anomaly
- WAF (Cloudflare / ModSecurity) chống OWASP Top 10
- IDS/IPS tại perimeter datacenter
- Vulnerability scanning hàng tuần
9.4 Backup + disaster recovery
- Backup hàng ngày, retention 7-30 ngày tuỳ gói
- Backup offsite mã hoá AES-256 + immutable storage
- DR test 2 lần / năm
- RPO ≤ 24h, RTO ≤ 4h cho dịch vụ chính
10. Liên hệ DPO
Cán bộ Bảo vệ dữ liệu (DPO) của TND:
- Tên: Nguyễn Ngọc Thanh
- Email: [email protected]
- Địa chỉ: 12/220 Tô Hiệu, Phường Lê Chân, Thành phố Hải Phòng
DPO chịu trách nhiệm:
- Tiếp nhận và xử lý yêu cầu thực hiện quyền dữ liệu cá nhân (72 giờ)
- Đào tạo nhân viên về PDPL
- Liên lạc với cơ quan nhà nước về dữ liệu cá nhân
- Lập + cập nhật DPIA
- Điều phối thông báo vi phạm dữ liệu
