Chính sách Bảo mật Dữ liệu Cá nhân — Gọi-Thợ

Điều 1. Cam kết của Gọi-Thợ

Gọi-Thợ cam kết bảo vệ dữ liệu cá nhân của bạn trên cơ sở các nguyên tắc sau đây, phù hợp với Điều 3 Nghị định 13/2023/NĐ-CP:

• Tính hợp pháp: Dữ liệu chỉ được thu thập và xử lý khi có cơ sở pháp lý rõ ràng — sự đồng ý của bạn, thực hiện hợp đồng, hoặc nghĩa vụ pháp lý.
• Tính mục đích: Dữ liệu chỉ được sử dụng đúng mục đích đã thông báo tại thời điểm thu thập. Không sử dụng cho mục đích khác mà không có sự đồng ý bổ sung.
• Tối giản hóa dữ liệu: Chỉ thu thập dữ liệu thực sự cần thiết cho từng mục đích cụ thể.
• Tính chính xác: Gọi-Thợ tạo điều kiện để bạn cập nhật và chỉnh sửa dữ liệu của mình.
• Giới hạn lưu trữ: Dữ liệu được xóa hoặc ẩn danh hóa khi không còn cần thiết.
• Bảo mật: Áp dụng biện pháp kỹ thuật và tổ chức phù hợp để bảo vệ dữ liệu khỏi truy cập trái phép, mất mát, hoặc tiêu hủy.
• Minh bạch: Bạn luôn có quyền biết dữ liệu của mình đang được xử lý như thế nào.

Điều 2. Định nghĩa

• "Dữ liệu cá nhân": Thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể theo Khoản 1, Điều 2, NĐ 13/2023/NĐ-CP.
• "Dữ liệu cá nhân cơ bản": Họ tên, ngày sinh, số điện thoại, địa chỉ, thông tin tài khoản, thông tin về mối quan hệ gia đình.
• "Dữ liệu cá nhân nhạy cảm": Gọi-Thợ hiện KHÔNG thu thập các dữ liệu nhạy cảm theo Khoản 4, Điều 2, NĐ 13/2023/NĐ-CP (quan điểm chính trị, tôn giáo, tình trạng sức khỏe, sinh trắc học, tình trạng tài chính chi tiết).
• "Xử lý dữ liệu": Bao gồm thu thập, ghi chép, lưu trữ, sắp xếp, chia sẻ, cập nhật, chỉnh sửa, truy xuất, xóa, tiêu hủy dữ liệu cá nhân.
• "Bên kiểm soát dữ liệu": Gọi-Thợ — bên quyết định mục đích và phương tiện xử lý dữ liệu.
• "Bên xử lý dữ liệu": Các đối tác kỹ thuật của Gọi-Thợ xử lý dữ liệu theo chỉ thị của Gọi-Thợ (cloud provider, dịch vụ phân tích dữ liệu).
• "Chủ thể dữ liệu": Bạn — người dùng hoặc thợ mà dữ liệu cá nhân liên quan đến.

Điều 3. Dữ liệu Gọi-Thợ Thu thập

Gọi-Thợ KHÔNG thu thập: thông tin thẻ thanh toán, dữ liệu sinh trắc học, thông tin y tế, hoặc bất kỳ dữ liệu nhạy cảm nào theo Khoản 4, Điều 2, NĐ 13/2023/NĐ-CP trong giai đoạn hiện tại.

Điều 4. Phương thức Thu thập Dữ liệu

4.1. Thu thập trực tiếp từ bạn:

• Khi đăng ký tài khoản và nhập thông tin cá nhân.
• Khi tạo căn hộ và thiết bị của căn hộ trong Ứng dụng.
• Khi gửi công việc, trao đổi qua chat, và gửi đánh giá.
• Khi liên hệ bộ phận hỗ trợ khách hàng.

4.2. Thu thập tự động:

• Dữ liệu kỹ thuật (IP, thiết bị, log) được thu thập tự động khi bạn sử dụng Ứng dụng.
• Vị trí GPS chỉ được thu thập khi bạn cấp phép cho thiết bị và chỉ trong phiên sử dụng Ứng dụng. Gọi-Thợ KHÔNG theo dõi ngầm vị trí của bạn.

4.3. Thu thập từ bên thứ ba:

• Thông tin xác minh thợ có thể được bổ sung qua kiểm tra tham chiếu từ nguồn hợp pháp.
• Gọi-Thợ có thể cung cấp nhiều phương thức đăng nhập khác nhau, bao gồm tài khoản nội bộ và/hoặc thông qua các bên thứ ba (ví dụ: Facebook, Google). Tùy từng thời điểm, các phương thức này có thể được bổ sung, thay đổi hoặc ngừng cung cấp, và sẽ được cập nhật trong Chính sách này.

Điều 5. Mục đích Xử lý Dữ liệu

Chúng tôi xử lý dữ liệu cá nhân cho các mục đích dưới đây. Trong phạm vi phù hợp với quy định pháp luật, dữ liệu có thể được mở rộng hoặc kết hợp nhằm cải thiện dịch vụ, với điều kiện không làm thay đổi bản chất quyền lợi của người dùng.

Điều 6. Thời hạn Lưu trữ Dữ liệu

Khi tài khoản bị xóa, Gọi-Thợ ẩn danh hóa dữ liệu thống kê và xóa thông tin định danh trong vòng 30 ngày, trừ các dữ liệu phải lưu trữ theo quy định pháp luật nêu trong bảng trên.

Điều 7. Chia sẻ Dữ liệu trong Phạm vi Dịch vụ

7.1. Chia sẻ giữa Người dùng và thợ:

Để thực hiện dịch vụ, một số dữ liệu cần thiết sẽ được chia sẻ giữa Người dùng và thợ theo nguyên tắc tối thiểu cần thiết và theo từng giai đoạn của công việc.

• Trước khi công việc được xác nhận: Các thông tin cơ bản phục vụ việc đánh giá và nhận việc có thể được chia sẻ, ví dụ: mô tả sự cố, hình ảnh đính kèm, khu vực hoặc địa điểm tổng quát, khung thời gian mong muốn.
• Sau khi công việc được xác nhận: Các thông tin chi tiết cần thiết để thực hiện dịch vụ sẽ được chia sẻ, ví dụ: địa chỉ đầy đủ và các thông tin liên quan đến việc tiếp cận địa điểm.
• Trong quá trình thực hiện công việc: Thông tin liên lạc và các dữ liệu cần thiết khác có thể được cung cấp thông qua Ứng dụng nhằm hỗ trợ việc phối hợp giữa hai bên.

Chúng tôi có thể điều chỉnh phạm vi và thời điểm chia sẻ dữ liệu để phù hợp với quy trình vận hành thực tế, với điều kiện vẫn đảm bảo nguyên tắc bảo vệ dữ liệu cá nhân theo quy định pháp luật.

7.2. Chia sẻ thông tin thợ với Người dùng:

• Thông tin hiển thị công khai: Các thông tin nhằm giúp Người dùng đánh giá và lựa chọn thợ, ví dụ: họ tên, ảnh đại diện, chuyên môn, khu vực hoạt động, điểm đánh giá, số lượng công việc đã hoàn thành và phản hồi từ khách hàng trước đó.
• Thông tin không công khai: Các thông tin nhạy cảm hoặc không cần thiết cho việc cung cấp dịch vụ sẽ không được chia sẻ, ví dụ: giấy tờ định danh cá nhân, địa chỉ cư trú riêng, thông tin tài chính hoặc thanh toán.

Việc chia sẻ dữ liệu luôn được giới hạn ở mức cần thiết để cung cấp dịch vụ và có thể thay đổi tùy theo thiết kế sản phẩm, nhưng không vượt quá phạm vi mục đích đã công bố.

Điều 8. Chia sẻ với Đối tác Kỹ thuật (Bên xử lý dữ liệu)

Gọi-Thợ sử dụng các dịch vụ kỹ thuật bên ngoài để vận hành Ứng dụng. Các đối tác này có thể truy cập và xử lý dữ liệu trong phạm vi cần thiết để cung cấp dịch vụ, và đều cam kết áp dụng các biện pháp bảo mật phù hợp thông qua thỏa thuận xử lý dữ liệu (Data Processing Agreement) hoặc các cam kết tương đương.

Trong một số trường hợp, dữ liệu có thể được lưu trữ hoặc xử lý tại các máy chủ đặt ngoài lãnh thổ Việt Nam. Khi đó, Gọi-Thợ đảm bảo rằng việc chuyển dữ liệu được thực hiện phù hợp với quy định pháp luật hiện hành, đồng thời áp dụng các biện pháp bảo vệ cần thiết nhằm đảm bảo an toàn và bảo mật dữ liệu cá nhân.

Điều 9. Trường hợp Chia sẻ Bắt buộc theo Pháp luật

• Gọi-Thợ có nghĩa vụ cung cấp dữ liệu khi nhận được yêu cầu hợp pháp từ: Cơ quan điều tra, Viện Kiểm sát, Tòa án nhân dân có thẩm quyền; Cơ quan an ninh mạng theo Luật An ninh mạng 2018; Cục An toàn thông tin — Bộ TT&TT.
• Gọi-Thợ sẽ thông báo cho bạn về việc cung cấp dữ liệu theo yêu cầu pháp luật, trừ trường hợp bị cơ quan có thẩm quyền cấm thông báo.
• Gọi-Thợ không cung cấp dữ liệu cho cơ quan nước ngoài mà không có căn cứ pháp lý theo quy định Việt Nam.

Điều 10. Dữ liệu Gọi-Thợ KHÔNG Chia sẻ

• KHÔNG bán, cho thuê, hoặc trao đổi dữ liệu cá nhân của bạn với bên thứ ba vì mục đích thương mại.
• KHÔNG chia sẻ với mạng quảng cáo bên ngoài để phục vụ quảng cáo theo hành vi.
• KHÔNG chia sẻ với đối thủ cạnh tranh hoặc bên không liên quan đến vận hành dịch vụ Gọi-Thợ.

Điều 11. Biện pháp Bảo mật Kỹ thuật

11.1. Bảo mật truyền dẫn:

• Toàn bộ dữ liệu truyền giữa Ứng dụng và máy chủ được mã hóa bằng TLS 1.2 trở lên (HTTPS).
• JWT (JSON Web Token) với thời hạn ngắn và cơ chế refresh token để quản lý phiên đăng nhập.

11.2. Bảo mật lưu trữ:

• Dữ liệu nhạy cảm (CCCD thợ) được mã hóa khi lưu trữ.
• Số điện thoại được hash trong hệ thống phân tích, chỉ lưu dạng rõ ở cơ sở dữ liệu chính có kiểm soát truy cập chặt chẽ.
• Ảnh và tài liệu công việc được lưu trên hệ thống lưu trữ đám mây có phân quyền truy cập theo từng công việc cụ thể.

11.3. Kiểm soát truy cập nội bộ:

• Nhân viên Gọi-Thợ chỉ được truy cập dữ liệu cần thiết cho công việc (nguyên tắc tối thiểu đặc quyền).
• Toàn bộ hoạt động truy cập dữ liệu của nhân viên được ghi log và kiểm tra định kỳ.
• Nhân viên ký kết thỏa thuận bảo mật thông tin và được đào tạo về xử lý dữ liệu cá nhân.

Điều 12. Xử lý Sự cố Bảo mật Dữ liệu

Theo Điều 23, Nghị định 13/2023/NĐ-CP, trong trường hợp xảy ra sự cố lộ lọt dữ liệu:

• Trong vòng 72 giờ kể từ khi phát hiện: Gọi-Thợ thông báo đến Cục An toàn thông tin theo quy định.
• Trong vòng 05 ngày làm việc: Gọi-Thợ thông báo đến các Chủ thể dữ liệu bị ảnh hưởng (qua e-mail/thông báo trong ứng dụng) bao gồm: loại dữ liệu bị ảnh hưởng, thời điểm xảy ra sự cố (ước tính), biện pháp Gọi-Thợ đã thực hiện, hành động bạn nên thực hiện để bảo vệ bản thân.
• Gọi-Thợ duy trì kế hoạch ứng phó sự cố và thực hiện kiểm tra định kỳ.

Trong trường hợp sự cố bảo mật, Gọi-Thợ sẽ không bao giờ yêu cầu bạn cung cấp mật khẩu hoặc OTP qua bất kỳ kênh nào. Đây là dấu hiệu lừa đảo — hãy báo cáo ngay cho info@goitho.vn.

Điều 13. Các Quyền theo Nghị định 13/2023/NĐ-CP

Là Chủ thể dữ liệu, bạn có đầy đủ các quyền sau theo Chương II, Nghị định 13/2023/NĐ-CP:

Một số quyền có thể bị hạn chế trong trường hợp: (i) thực hiện nghĩa vụ pháp lý (ví dụ: không thể xóa lịch sử công việc trong thời hạn lưu trữ bắt buộc); (ii) bảo vệ quyền lợi hợp pháp của bên thứ ba (ví dụ: thợ liên quan trong tranh chấp đang xử lý).

Điều 14. Rút Đồng ý

• Bạn có quyền rút đồng ý xử lý dữ liệu bất kỳ lúc nào mà không bị phạt.
• Rút đồng ý KHÔNG có hiệu lực hồi tố — không ảnh hưởng đến tính hợp pháp của việc xử lý dữ liệu đã thực hiện trước khi rút.
• Hậu quả của việc rút đồng ý đối với dữ liệu bắt buộc: tài khoản sẽ không còn hoạt động được và sẽ bị vô hiệu hóa sau 30 ngày nếu không có cơ sở pháp lý khác.
• Đối với dữ liệu tuỳ chọn (ví dụ: nhắc bảo trì, tiếp thị): rút đồng ý không ảnh hưởng đến tài khoản hay dịch vụ cốt lõi.

Điều 15. Trẻ em và Người dùng Dưới 18 Tuổi

• Ứng dụng Gọi-Thợ không hướng đến người dùng dưới 18 tuổi. Gọi-Thợ không cố ý thu thập dữ liệu của trẻ em.
• Người từ đủ 15 tuổi đến dưới 18 tuổi chỉ được sử dụng Ứng dụng khi có sự đồng ý bằng văn bản của cha mẹ hoặc người giám hộ hợp pháp.
• Nếu Gọi-Thợ phát hiện đã thu thập dữ liệu của trẻ em dưới 15 tuổi mà không có sự đồng ý hợp lệ, Gọi-Thợ sẽ xóa dữ liệu đó ngay lập tức và vô hiệu hóa tài khoản liên quan.

Điều 16. Cập nhật Chính sách Bảo mật

• Gọi-Thợ có thể cập nhật Chính sách này để phản ánh thay đổi về dịch vụ, công nghệ, hoặc quy định pháp luật.
• Thông báo thay đổi được gửi qua e-mail và/hoặc thông báo trong Ứng dụng tối thiểu 15 ngày trước ngày hiệu lực, trừ trường hợp thay đổi khẩn cấp theo yêu cầu pháp luật.
• Đối với thay đổi quan trọng ảnh hưởng đến quyền của bạn (ví dụ: thêm mục đích xử lý mới, thêm bên chia sẻ mới), Gọi-Thợ yêu cầu xác nhận đồng ý lại trước khi áp dụng.
• Lịch sử các phiên bản Chính sách được lưu trữ và có thể yêu cầu xem lại qua email.

Điều 17. Cơ quan Giám sát

Gọi-Thợ chịu sự giám sát của các cơ quan sau về bảo vệ dữ liệu cá nhân:

• Cục An toàn thông tin — Bộ Thông tin và Truyền thông: cơ quan đầu mối về bảo vệ dữ liệu cá nhân tại Việt Nam (www.ais.gov.vn).
• Cục Cạnh tranh và Bảo vệ người tiêu dùng — Bộ Công Thương: giám sát về quyền lợi người tiêu dùng (www.vcca.gov.vn).
• Bộ Công an: cơ quan có thẩm quyền điều tra vi phạm theo Luật An ninh mạng 2018.

Nếu bạn cho rằng Gọi-Thợ xử lý dữ liệu của mình không đúng quy định, bạn có quyền khiếu nại trực tiếp đến Cục An toàn thông tin mà không cần liên hệ Gọi-Thợ trước. Thông tin khiếu nại: www.ais.gov.vn.