Chính sách bảo mật dữ liệu doanh nghiệp toàn diện

Điều 1: Giới thiệu chung, Phạm vi điều chỉnh & Cam kết thể chế

CÔNG TY TNHH CÔNG NGHỆ VÀ TRÍ TUỆ NHÂN TẠO EYC ("EYC", "chúng tôi", "công ty") là tổ chức công nghệ hàng đầu hoạt động trong lĩnh vực nghiên cứu và phát triển trí tuệ nhân tạo (AI), hệ thống đa tác tử, phần mềm doanh nghiệp SaaS, kiến trúc đám mây và công nghệ kết nối. Chúng tôi xác định dữ liệu là tài sản trí tuệ và tài sản kinh doanh cốt lõi của khách hàng, đồng thời quyền riêng tư là quyền cơ bản bất khả xâm phạm của mọi cá nhân.

Chính sách bảo mật dữ liệu doanh nghiệp toàn diện này ("Chính sách") điều chỉnh toàn bộ các hoạt động thu thập, ghi nhận, phân tích, lưu trữ, điều chỉnh, khôi phục, tra cứu, sử dụng, tiết lộ, chuyển giao, hạn chế, xóa bỏ và tiêu hủy dữ liệu cá nhân cũng như dữ liệu nghiệp vụ phát sinh từ: (i) Việc truy cập, tìm kiếm và tương tác trên cổng thông tin điện tử eyc.asia; (ii) Mọi trao đổi thương mại, đề xuất kiến trúc và liên hệ dự án qua các kênh tiếp nhận chính thức; và (iii) Hoạt động đăng ký, triển khai, tích hợp API, sử dụng phần mềm và dịch vụ hạ tầng điện toán đám mây do EYC cung cấp.

EYC hướng tới sự minh bạch rõ ràng và không đánh đổi quyền riêng tư hay an toàn dữ liệu của người dùng lấy mục tiêu tăng trưởng kinh doanh. Hạ tầng và quy trình xử lý dữ liệu của chúng tôi được thiết kế để tuân thủ pháp luật Việt Nam và tham chiếu các khung tiêu chuẩn quốc tế được công nhận.

• Mối quan hệ với các hợp đồng dịch vụ doanh nghiệp: Trường hợp khách hàng tổ chức ký kết Thỏa thuận Dịch vụ Doanh nghiệp (MSA), Thỏa thuận Xử lý Dữ liệu (DPA) hoặc Thỏa thuận Mức Dịch vụ (SLA) riêng biệt với EYC, các điều khoản kỹ thuật và cam kết bảo mật cụ thể trong các hợp đồng đó sẽ được ưu tiên áp dụng nhưng không làm suy giảm các tiêu chuẩn bảo vệ dữ liệu tối thiểu được thiết lập trong Chính sách này.
• Đối tượng áp dụng: Áp dụng cho mọi cá nhân truy cập website, đại diện theo pháp luật hoặc nhân sự được ủy quyền của khách hàng doanh nghiệp, chuyên gia tư vấn, đối tác công nghệ trong chuỗi cung ứng, ứng viên tuyển dụng và người dùng cuối tương tác với hệ thống của EYC.

Điều 2: Khung pháp lý toàn cầu & Chuẩn mực tuân thủ an toàn thông tin

Chính sách này được xây dựng và vận hành trên nền tảng pháp lý vững chắc, kết hợp chặt chẽ giữa luật định quốc gia và các thông lệ bảo vệ quyền riêng tư toàn cầu:

• Pháp luật Việt Nam: Tuân thủ toàn diện Luật An toàn thông tin mạng 2015, Luật An ninh mạng 2018, Nghị định số 13/2023/NĐ-CP của Chính phủ về bảo vệ dữ liệu cá nhân, Luật Giao dịch điện tử 2023 và Luật Bảo vệ quyền lợi người tiêu dùng 2023.
• Quy chuẩn Liên minh Châu Âu & Vương quốc Anh: Tương thích và tiệm cận với Quy định chung về bảo vệ dữ liệu của Liên minh Châu Âu (GDPR) và UK GDPR đối với các luồng dữ liệu liên quan đến cư dân tại các khu vực tài phán này.
• Pháp luật Hoa Kỳ: Áp dụng các nguyên tắc minh bạch, quyền lựa chọn và cơ chế không phân biệt đối xử theo Đạo luật Quyền riêng tư của Người tiêu dùng California (CCPA) được sửa đổi bởi Đạo luật Quyền Riêng tư California (CPRA).
• Quy trình bảo mật nội bộ: EYC vận hành các quy trình nội bộ về an toàn thông tin, quản trị rủi ro, phân quyền truy cập theo vai trò, ghi nhật ký kiểm tra (audit log), sao lưu dữ liệu và ứng phó sự cố. EYC hiện không sở hữu và không tuyên bố có chứng nhận an toàn thông tin hay quyền riêng tư nào do bên thứ ba cấp.

Điều 3: Giải thích thuật ngữ & Định nghĩa pháp lý chuyên sâu

Để đảm bảo sự thấu hiểu chính xác và ngăn ngừa mọi sự diễn giải mơ hồ, các thuật ngữ trong Chính sách này được định nghĩa như sau:

• Dữ liệu cá nhân: Thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể.
• Dữ liệu cá nhân cơ bản: Bao gồm họ tên khai sinh; ngày tháng năm sinh; giới tính; địa chỉ liên hệ; địa chỉ email công vụ; số điện thoại liên lạc; chức danh nghề nghiệp; tên cơ quan/tổ chức công tác; dữ liệu vị trí địa lý cơ bản và lịch sử tương tác kỹ thuật số.
• Dữ liệu cá nhân nhạy cảm: Dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân mà khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp tới quyền và lợi ích hợp pháp của cá nhân, bao gồm quan điểm chính trị, tôn giáo, thông tin tài chính - ngân hàng, dữ liệu sinh trắc học và vị trí địa lý chính xác.
• Chủ thể dữ liệu: Cá nhân được dữ liệu cá nhân phản ánh, bao gồm khách truy cập website, đại diện khách hàng, đối tác thương mại và người vận hành giải pháp.
• Bên Kiểm soát dữ liệu: Tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.
• Bên Xử lý dữ liệu: Tổ chức, cá nhân thực hiện việc xử lý dữ liệu thay mặt cho Bên Kiểm soát dữ liệu thông qua hợp đồng hoặc thỏa thuận bằng văn bản.
• Dữ liệu nội dung khách hàng: Toàn bộ văn bản, tài liệu nội bộ, bản ghi cơ sở dữ liệu, mã nguồn, câu lệnh prompt hoặc các tập dữ liệu do khách hàng đưa vào hệ thống đám mây và AI của EYC để thực hiện dịch vụ.
• Mô hình Trí tuệ nhân tạo: Các thuật toán máy học, mạng nơ-ron sâu, mô hình ngôn ngữ lớn (LLM) và các mô hình đa phương thức được sử dụng để phân tích, suy luận hoặc tự động hóa công việc.
• Tác tử AI: Các chương trình tự trị có khả năng nhận thức bối cảnh, lập kế hoạch, sử dụng công cụ và phối hợp hành động để hoàn thành các quy trình nghiệp vụ theo chỉ đạo của con người.
• Model Context Protocol (MCP): Giao thức bảo mật mở chuẩn hóa cơ chế kết nối an toàn, phân quyền và kiểm soát dữ liệu giữa các mô hình AI với cơ sở dữ liệu và công cụ doanh nghiệp.
• TenantScope: Kiến trúc phân lập logic và mật mã giữa các tổ chức doanh nghiệp trên hạ tầng điện toán đám mây dùng chung, nhằm tách biệt dữ liệu của mỗi tổ chức và ngăn tổ chức khác truy cập.

Điều 4: Tư cách pháp lý & Phân định vai trò

EYC phân định ranh giới trách nhiệm pháp lý minh bạch theo đúng bản chất của từng mối quan hệ xử lý dữ liệu:

• EYC là Bên Kiểm soát dữ liệu: Đối với thông tin cá nhân của khách truy cập website eyc.asia; các liên hệ kinh doanh và thông tin đăng ký tư vấn dự án; thông tin người đại diện theo hợp đồng của đối tác; và thông tin tài khoản quản trị nội bộ do EYC thiết lập. EYC trực tiếp chịu trách nhiệm bảo đảm các căn cứ pháp lý và thực thi quyền của chủ thể dữ liệu đối với nhóm dữ liệu này.
• EYC là Bên Xử lý dữ liệu: Khi khách hàng doanh nghiệp sử dụng các nền tảng SaaS, giải pháp đám mây hoặc mạng lưới AI Agents của EYC để xử lý dữ liệu của chính tổ chức đó. Trong trường hợp này, khách hàng là Bên Kiểm soát dữ liệu và EYC xử lý dữ liệu một cách nghiêm ngặt theo các chỉ thị bằng văn bản trong Thỏa thuận Xử lý Dữ liệu (DPA).
• Trường hợp Bên Kiểm soát đồng thời: Khi EYC và đối tác cùng tham gia xác định mục đích và phương tiện của một giải pháp công nghệ tích hợp cụ thể, trách nhiệm tương ứng của mỗi bên sẽ được phân định minh thị trong văn bản thỏa thuận xử lý đồng thời theo Điều 15 Nghị định 13/2023/NĐ-CP và Điều 26 GDPR.

Điều 5: Nguyên tắc xử lý dữ liệu cốt lõi & Trách nhiệm giải trình

Mọi quy trình xử lý dữ liệu tại EYC đều phải tuân thủ 7 nguyên tắc bất khả xâm phạm và chuẩn mực trách nhiệm giải trình:

• 1. Hợp pháp, Công bằng và Minh bạch: Dữ liệu chỉ được thu thập trên các căn cứ pháp lý hợp lệ, công khai minh bạch toàn bộ quy trình tới chủ thể dữ liệu.
• 2. Giới hạn mục đích: Thu thập cho các mục đích cụ thể, rõ ràng, hợp pháp và không xử lý tiếp theo mục đích trái với thỏa thuận ban đầu.
• 3. Tối thiểu hóa dữ liệu: Thu thập đúng và đủ những thông tin tối cần thiết để hoàn thành mục tiêu kỹ thuật hoặc nghiệp vụ.
• 4. Chính xác và Cập nhật: Thường xuyên áp dụng các biện pháp rà soát để đảm bảo dữ liệu luôn chính xác và được cập nhật kịp thời.
• 5. Giới hạn lưu trữ: Duy trì dữ liệu dưới dạng định danh trong khoảng thời gian không dài hơn mức cần thiết cho các mục đích xử lý.
• 6. Toàn vẹn và Bảo mật: Áp dụng các giải pháp mật mã học và kiểm soát kỹ thuật phòng ngừa rò rỉ, truy cập trái phép hoặc phá hủy dữ liệu.
• 7. Trách nhiệm giải trình: Duy trì hồ sơ kiểm toán đầy đủ, sẵn sàng chứng minh tính tuân thủ pháp lý trước các cơ quan tài phán và thanh tra chuyên ngành.

Điều 6: Danh mục dữ liệu thu thập chi tiết theo từng nguồn tương tác

EYC thực hiện thu thập dữ liệu có chọn lọc, được phân loại cụ thể theo từng nguồn gốc và điểm tiếp xúc kỹ thuật:

• Dữ liệu liên hệ và trao đổi dự án B2B: Họ tên, chức danh nghề nghiệp, tên doanh nghiệp/tổ chức, địa chỉ thư điện tử doanh nghiệp, số điện thoại liên hệ công vụ, quốc gia hoạt động, quy mô dự án và nội dung mô tả nhu cầu công nghệ khi bạn gửi thông tin qua biểu mẫu liên hệ.
• Dữ liệu đo lường kỹ thuật & Giám sát an ninh mạng: Địa chỉ giao thức Internet (IP), chuỗi định danh trình duyệt, nhà cung cấp dịch vụ mạng, thời gian yêu cầu mạng, mã phản hồi HTTP, thông số định tuyến mạng biên và các cảnh báo tường lửa ứng dụng web (WAF) nhằm phát hiện sớm các hành vi quét lỗ hổng hoặc tấn công mạng.
• Dữ liệu tài khoản quản trị & Nhật ký kiểm toán: Mã định danh tài khoản người dùng, hàm băm mật mã của khóa truy cập, vai trò phân quyền, nhật ký phiên đăng nhập, lịch sử xác thực đa yếu tố và nhật ký bất biến ghi nhận mọi thao tác cấu hình hệ thống.
• Dữ liệu nội dung doanh nghiệp của khách hàng: Toàn bộ văn bản, tài liệu nghiệp vụ, bản ghi cơ sở dữ liệu và yêu cầu xử lý do khách hàng tải lên để các tác tử AI xử lý. Dữ liệu này thuộc quyền sở hữu trí tuệ và tài sản độc quyền của khách hàng.
• Tuyên bố loại trừ Dữ liệu cá nhân nhạy cảm: EYC không yêu cầu, thu thập hay lưu trữ qua biểu mẫu website công cộng các thông tin tài chính cá nhân (số thẻ tín dụng, mã CVV, mật khẩu ngân hàng), số căn cước công dân/hộ chiếu, dữ liệu sinh trắc học, dữ liệu về quan điểm chính trị, tôn giáo, tình trạng sức khỏe hay đời sống tình dục.

Điều 7: Phương thức thu thập & Công nghệ nhận dạng kỹ thuật số

Dữ liệu được tiếp nhận vào hạ tầng của EYC thông qua các phương thức kỹ thuật an toàn và được mã hóa toàn diện:

• Thu thập trực tiếp qua biểu mẫu mã hóa: Toàn bộ thông tin gửi qua cổng liên hệ được truyền trực tiếp qua giao thức bảo mật TLS 1.3 và được xử lý tại biên mạng điện toán đám mây không qua trung gian lưu trữ không an toàn.
• Thu thập tự động qua hạ tầng mạng biên: Các thông số kỹ thuật mạng và an ninh được máy chủ biên ghi nhận tự động dưới dạng tệp nhật ký ẩn danh nhằm phục vụ cân bằng tải và giám sát an toàn thông tin.
• Thu thập thông qua API & Giao thức tích hợp: Đối với các hệ thống kết nối B2B, dữ liệu được truyền nhận thông qua các cổng API doanh nghiệp được xác thực bằng chữ ký số và khóa API bảo mật.
• Chính sách Cookie minh bạch: Website chỉ sử dụng các cơ chế lưu trữ cần thiết cho bảo mật, lựa chọn giao diện sáng/tối và ghi nhớ lựa chọn cookie của bạn. Công cụ phân tích chỉ hoạt động khi bạn cho phép trong phần cài đặt cookie. Chúng tôi không sử dụng cookie theo dõi hành vi xuyên trang của bên thứ ba cho mục đích quảng cáo. Chi tiết xem tại Thông báo về Cookie.

Điều 8: Căn cứ pháp lý & Ma trận mục đích xử lý dữ liệu chi tiết

Mọi hoạt động xử lý dữ liệu tại EYC đều được thiết lập trên căn cứ pháp lý rõ ràng theo quy định của Nghị định 13/2023/NĐ-CP và GDPR. Bảng đối chiếu mục đích và căn cứ pháp lý được quy định như sau:

• Tiếp nhận và phản hồi yêu cầu hợp tác, tư vấn kiến trúc giải pháp: Căn cứ vào Sự đồng ý tự nguyện của chủ thể dữ liệu khi chủ động điền và gửi thông tin qua biểu mẫu liên hệ.
• Khởi tạo tài khoản, cung cấp dịch vụ đám mây và thực thi hợp đồng B2B: Căn cứ vào Yêu cầu thực hiện hợp đồng nhằm phân bổ tài nguyên, cấp quyền người dùng, cung cấp API và bảo đảm cam kết mức dịch vụ (SLA).
• Bảo vệ hạ tầng, phòng ngừa tấn công mạng và phòng chống gian lận: Căn cứ vào Lợi ích hợp pháp của EYC và các đối tác trong việc duy trì an ninh thông tin mạng, ngăn ngừa các cuộc tấn công DDoS và mã độc.
• Tuân thủ các nghĩa vụ kế toán, thuế và quy định pháp luật sở tại: Căn cứ vào Nghĩa vụ pháp lý theo quy định của Luật Kế toán, Luật Quản lý thuế, Luật An ninh mạng và các quyết định tố tụng hợp pháp của cơ quan tư pháp.

Điều 9: Quản trị AI Doanh nghiệp, Học máy & Cam kết dữ liệu mô hình

Với vị thế là công ty công nghệ tiên phong trong lĩnh vực Trí tuệ nhân tạo và Kiến trúc Đa tác tử, EYC thiết lập các rào cản kỹ thuật và cam kết thể chế bất khả xâm phạm nhằm bảo vệ tài sản dữ liệu của khách hàng doanh nghiệp:

• Cam kết tuyệt đối Zero Public Model Training: Toàn bộ dữ liệu nghiệp vụ, câu lệnh đầu vào, phản hồi đầu ra, tài liệu nội bộ và mã nguồn của khách hàng TUYỆT ĐỐI không bao giờ được sử dụng để huấn luyện, tái huấn luyện, tinh chỉnh hoặc cải thiện bất kỳ mô hình ngôn ngữ lớn (LLM), mô hình thị giác hay mô hình nền tảng công cộng nào của bên thứ ba hoặc dùng chung của EYC, trừ trường hợp khách hàng có yêu cầu hợp đồng bằng văn bản về việc huấn luyện mô hình chuyên biệt dành riêng.
• Phân lập Tenant đa tầng: Dữ liệu của từng tổ chức doanh nghiệp được lưu trữ tại các phân vùng cơ sở dữ liệu độc lập và được mã hóa bằng các khóa mật mã riêng biệt, loại trừ triệt để nguy cơ rò rỉ hoặc truy cập chéo dữ liệu giữa các doanh nghiệp.
• Ranh giới an toàn bối cảnh: Toàn bộ luồng dữ liệu truyền vào mô hình suy luận đều được cô lập trong phiên xử lý riêng, không lưu lại dữ liệu nhạy cảm trong bộ nhớ chia sẻ.
• Quyền kiểm soát xuất xứ dữ liệu: Khách hàng có toàn quyền tra cứu nguồn gốc và đường đi của mọi điểm dữ liệu được xử lý trong quy trình AI.

Điều 10: An ninh cơ sở dữ liệu Vector, Embeddings & Ranh giới Prompt

Đối với các hệ thống AI ứng dụng kỹ thuật Tìm kiếm tăng cường bằng truy xuất (RAG) và cơ sở dữ liệu vector:

• Bảo vệ biểu diễn ngữ nghĩa: Các biểu diễn vector của tài liệu khách hàng được lưu trữ trong các cụm cơ sở dữ liệu vector riêng biệt, có mã hóa cấp trường và gắn thẻ định danh tenant độc quyền.
• Lọc dữ liệu độc hại & Prompt Injection Defense: Toàn bộ câu lệnh đầu vào đều được quét tự động qua các lớp kiểm duyệt an ninh nhằm phát hiện và vô hiệu hóa các nỗ lực tấn công tiêm mã, bẻ khóa hoặc đánh cắp dữ liệu ngữ cảnh.
• Tiêu hủy tức thời sau suy luận: Các phân mảnh tài liệu tạm thời phục vụ suy luận được xóa sạch khỏi bộ nhớ đệm ngay khi câu trả lời hoàn tất.

Điều 11: Quản trị tác tử tự trị qua Model Context Protocol (MCP)

EYC là đơn vị tiên phong áp dụng Giao thức Ngữ cảnh Mô hình (MCP) nhằm chuẩn hóa và kiểm soát toàn bộ hành vi của các tác tử AI Agents:

• Xác thực lược đồ nghiêm ngặt: Mọi yêu cầu truy vấn dữ liệu hoặc gọi công cụ của tác tử đều phải tuân thủ chặt chẽ định dạng JSON Schema đã được kiểm duyệt, ngăn chặn việc truy xuất dữ liệu ngoài phạm vi cho phép.
• Nguyên tắc Đặc quyền tối thiểu: Các tác tử chỉ được cấp quyền đọc hoặc ghi đối với đúng những trường dữ liệu tối cần thiết để thực hiện nhiệm vụ được giao.
• Nhật ký kiểm toán tác tử bất biến: Mọi suy luận, công cụ được gọi, tham số truyền vào và kết quả trả về của các tác tử AI đều được ghi vết tự động và lưu trữ bất biến phục vụ việc kiểm tra và đối soát an ninh.

Điều 12: Giám sát có con người dẫn dắt & Đạo đức AI

Triết lý cốt lõi của EYC là "Hệ thống do con người dẫn dắt. Công việc được AI phối hợp thực thi." Chúng tôi thiết lập cơ chế giám sát trách nhiệm giải trình đa tầng:

• Phê duyệt bắt buộc của con người: Mọi hành động do AI đề xuất có ảnh hưởng mang tính pháp lý, giao dịch tài chính, thay đổi quyền truy cập hoặc cấu hình hệ thống cốt lõi bắt buộc phải có sự kiểm tra và phê duyệt của nhân sự có thẩm quyền.
• Không quyết định tự động đối với các vấn đề sinh mệnh hoặc pháp lý: EYC nghiêm cấm việc triển khai các thuật toán tự động ra quyết định gây tác động pháp lý bất lợi hoặc phân biệt đối xử đối với chủ thể dữ liệu mà không có sự tham gia của con người.
• Tính minh bạch và giải thích được: Hệ thống cung cấp khả năng truy vết và giải thích các bước suy luận logic dẫn đến kết quả đầu ra của các tác tử AI.

Điều 13: Bên xử lý phụ & Quản trị chuỗi cung ứng công nghệ

EYC sử dụng các nhà cung cấp hạ tầng sau với vai trò khách hàng. Họ có thể xử lý dữ liệu thay mặt EYC trong phạm vi dịch vụ được cung cấp:

• Cloudflare: Cloudflare Pages lưu trữ và phân phối website, Cloudflare Workers xử lý biểu mẫu liên hệ, R2 lưu trữ đối tượng, D1 làm cơ sở dữ liệu, cùng CDN, chứng chỉ SSL/TLS và chống tấn công DDoS.
• GreenNode: máy chủ ảo và lưu trữ đối tượng tại trung tâm dữ liệu ở Việt Nam, dùng cho hệ thống của EYC và của khách hàng theo thỏa thuận trong hợp đồng.
• Google Cloud và Microsoft Azure: hạ tầng điện toán đám mây cho các hệ thống, dịch vụ AI và dữ liệu, sử dụng theo yêu cầu của từng dự án.
• GitHub Enterprise: quản lý mã nguồn, kiểm soát phiên bản và quy trình kiểm thử, triển khai tự động.
• Các chứng nhận bảo mật mà nhà cung cấp công bố thuộc về nhà cung cấp đó, không phải của EYC. Danh sách được cập nhật khi EYC thay đổi nhà cung cấp.
• Ràng buộc pháp lý bắt buộc đối với Bên xử lý phụ: Toàn bộ các bên xử lý phụ đều phải ký kết Thỏa thuận Xử lý Dữ liệu (DPA) với các nghĩa vụ bảo mật tương đương hoặc chặt chẽ hơn các điều khoản tại Chính sách này; tuyệt đối nghiêm cấm việc sử dụng dữ liệu cho mục đích riêng của bên thứ ba.
• Cung cấp thông tin cho cơ quan nhà nước có thẩm quyền: EYC chỉ cung cấp dữ liệu khi nhận được văn bản yêu cầu chính thức, hợp pháp của cơ quan tài phán có thẩm quyền theo đúng trình tự pháp luật quy định, đồng thời bảo lưu quyền thông báo cho khách hàng trừ khi pháp luật có quy định cấm.

Điều 14: Chuyển dữ liệu quốc tế & Tuân thủ xuyên biên giới

Do tính chất phân tán toàn cầu của mạng lưới điện toán đám mây biên và các giao thức kết nối công nghệ hiện đại, dữ liệu kỹ thuật hoặc thông tin trao đổi có thể được trung chuyển qua các nút mạng quốc tế. Hoạt động này được kiểm soát chặt chẽ theo các quy chế pháp lý sau:

• Tuân thủ Điều 25 Nghị định 13/2023/NĐ-CP: EYC xây dựng đầy đủ Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài (ĐGTDCL), thực hiện các thủ tục gửi hồ sơ tới Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) - Bộ Công an và duy trì lưu trữ hồ sơ sẵn sàng phục vụ công tác thanh tra, kiểm tra định kỳ.
• Áp dụng Điều khoản Hợp đồng Tiêu chuẩn (SCCs): Đối với các luồng dữ liệu liên quan đến cư dân Liên minh Châu Âu hoặc các khu vực tài phán quốc tế, EYC thực thi Bộ Điều khoản hợp đồng tiêu chuẩn được Ủy ban Châu Âu công nhận nhằm bảo đảm mức độ bảo vệ tương đương với quy định của GDPR.
• Biện pháp bảo vệ kỹ thuật bổ sung: Dữ liệu truyền tải xuyên biên giới bắt buộc phải được mã hóa đầu cuối bằng các thuật toán mật mã mạnh, bảo đảm rằng trong mọi tình huống truyền dẫn qua không gian mạng quốc tế, dữ liệu đều ở trạng thái không thể đọc được nếu không có khóa giải mã hợp lệ được lưu giữ an toàn tại hạ tầng của EYC.

Điều 15: Biện pháp an toàn kỹ thuật & An ninh mạng Zero-Trust

EYC triển khai chiến lược bảo mật phòng thủ theo chiều sâu kết hợp triết lý Không tin cậy nhằm vô hiệu hóa các nguy cơ xâm nhập và rò rỉ dữ liệu:

• Mật mã học: Dữ liệu truyền tải trên mạng công cộng được mã hóa bằng giao thức TLS hiện đại. Dữ liệu nhạy cảm lưu trữ tĩnh được mã hóa bằng chuẩn AES-256.
• Kiểm soát truy cập dựa trên vai trò (RBAC) & Xác thực đa yếu tố (MFA): Mọi quyền tiếp cận hệ thống quản trị và mã nguồn đều được cấp phát dựa trên nguyên tắc Cần biết và Đặc quyền tối thiểu. Bắt buộc xác thực đa yếu tố bằng khóa phần cứng hoặc ứng dụng xác thực đối với toàn bộ kỹ sư và nhân sự vận hành.
• Phân tách môi trường & Kiểm thử độc lập: Môi trường phát triển, thử nghiệm và vận hành thực tế được phân tách vật lý và logic hoàn toàn. EYC thực hiện quét lỗ hổng bảo mật tự động liên tục và ký hợp đồng kiểm thử xâm nhập độc lập hàng năm.
• Quản lý khóa mã hóa qua HSM/KMS: Toàn bộ khóa mật mã được lưu trữ tại mô-đun phần cứng bảo mật hoặc dịch vụ quản lý khóa chuyên dụng, nghiêm cấm lưu khóa tĩnh trong mã nguồn.
• Bảo vệ tính toàn vẹn của mã nguồn: Áp dụng cơ chế ký số cam kết và quy trình rà soát mã nguồn ngang hàng bắt buộc trước khi triển khai lên môi trường thực tế.

Điều 16: Quản lý lỗ hổng bảo mật & Kiểm toán độc lập

EYC duy trì quy trình kiểm toán và quản lý vòng đời lỗ hổng an ninh thông tin liên tục:

• Quét mã tĩnh và phụ thuộc (SAST & SCA): Toàn bộ mã nguồn và các thư viện nguồn mở trong quy trình CI/CD đều được quét tự động nhằm phát hiện sớm các lỗ hổng bảo mật đã biết (CVE).
• Quét lỗ hổng động (DAST): Hệ thống được kiểm tra động tự động nhằm phát hiện các sai sót trong cấu hình hoặc lỗ hổng logic ứng dụng.
• Kiểm toán bên thứ ba độc lập: EYC định kỳ thuê các tổ chức an ninh mạng chuyên nghiệp độc lập thực hiện đánh giá an ninh tổng thể và kiểm thử xâm nhập chuyên sâu.
• Chính sách tiếp nhận và công bố lỗ hổng có trách nhiệm: Chúng tôi duy trì kênh tiếp nhận thông tin về lỗ hổng bảo mật từ cộng đồng nghiên cứu an ninh thông tin và cam kết phản hồi trong vòng 24 giờ làm việc.

Điều 17: Quy trình ứng phó sự cố an ninh & Thông báo 72 giờ

EYC thiết lập kế hoạch ứng phó sự cố an ninh thông tin sẵn sàng kích hoạt 24/7 theo quy chuẩn quốc tế:

• Quy trình 4 giai đoạn chuẩn mực: (i) Phát hiện và đánh giá mức độ nghiêm trọng; (ii) Cách ly và ngăn chặn lan rộng trong vòng 01 giờ; (iii) Loại bỏ triệt để mối đe dọa và khôi phục hệ thống từ các bản sao lưu an toàn; (iv) Phân tích pháp y kỹ thuật số và rút kinh nghiệm.
• Cam kết thông báo 72 giờ theo luật định: Khi phát hiện sự cố an toàn dữ liệu cá nhân có khả năng gây tổn hại tới quyền và lợi ích hợp pháp của chủ thể dữ liệu, EYC cam kết gửi văn bản thông báo tới Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) - Bộ Công an và gửi thông báo trực tiếp tới các chủ thể dữ liệu bị ảnh hưởng trong vòng 72 giờ theo Điều 23 Nghị định 13/2023/NĐ-CP.
• Nội dung thông báo sự cố: Nêu rõ bản chất của sự cố, danh mục dữ liệu bị ảnh hưởng, hậu quả tiềm ẩn, các biện pháp khắc phục EYC đã triển khai và các khuyến nghị phòng ngừa rủi ro cho chủ thể dữ liệu.

Điều 18: Ma trận thời hạn lưu trữ & Vòng đời dữ liệu

EYC áp dụng nguyên tắc Giới hạn lưu trữ, thiết lập ma trận thời hạn cụ thể cho từng nhóm dữ liệu và quy trình tiêu hủy an toàn được kiểm toán chặt chẽ:

• Dữ liệu liên hệ và trao đổi dự án: Lưu trữ trong suốt thời gian phản hồi yêu cầu và tiếp tục duy trì tối đa 24 tháng kể từ lần tương tác hợp tác gần nhất để duy trì quan hệ đối tác B2B, sau đó dữ liệu sẽ được xóa vĩnh viễn hoặc ẩn danh hóa toàn bộ.
• Dữ liệu hợp đồng thương mại, kế toán và thuế: Lưu trữ tối thiểu 10 năm theo yêu cầu bắt buộc của Luật Kế toán và pháp luật về quản lý thuế của Việt Nam.
• Dữ liệu nhật ký an ninh mạng: Lưu trữ định kỳ từ 12 đến 24 tháng theo quy định của Luật An ninh mạng nhằm phục vụ công tác đối chiếu an ninh quốc gia.
• Dữ liệu ngữ cảnh tạm thời của AI Agents: Tiêu hủy tự động ngay khi phiên làm việc kết thúc.
• Dữ liệu tài khoản đã chấm dứt dịch vụ: Được lưu trữ trong trạng thái đóng băng tối đa 30 ngày để khách hàng có thể trích xuất dự phòng, sau đó sẽ được xóa vĩnh viễn khỏi toàn bộ hệ thống.

Điều 19: Tiêu chuẩn tiêu hủy dữ liệu mật mã an toàn

Khi dữ liệu hết thời hạn lưu trữ hoặc khi nhận được văn bản yêu cầu xóa hợp pháp của chủ thể dữ liệu:

• Phương pháp xóa mật mã an toàn: Tiêu hủy vĩnh viễn khóa giải mã của phân vùng dữ liệu, khiến cho toàn bộ dữ liệu mã hóa lưu trữ trở thành dữ liệu ngẫu nhiên không thể giải mã được.
• Tuân thủ chuẩn NIST SP 800-88 Rev. 1: Thực hiện ghi đè nhiều lần đối với các phương tiện lưu trữ dữ liệu điện tử.
• Xóa sạch toàn diện trên các bản sao lưu: Bản sao lưu dự phòng của EYC vận hành theo chu kỳ xoay vòng tối đa 30 ngày. Khi dữ liệu được xóa khỏi môi trường hoạt động, toàn bộ các bản ghi liên quan trong các bản sao lưu dự phòng sẽ được ghi đè và hủy bỏ hoàn toàn sau chu kỳ xoay vòng 30 ngày.
• Chứng chỉ và biên bản tiêu hủy: Đối với các khách hàng doanh nghiệp ký kết thỏa thuận DPA, EYC cung cấp biên bản xác nhận tiêu hủy dữ liệu an toàn theo yêu cầu.

Điều 20: Đầy đủ quyền của chủ thể dữ liệu & Thủ tục thực thi chi tiết

Căn cứ theo Điều 9 Nghị định số 13/2023/NĐ-CP và Chương III GDPR, chủ thể dữ liệu có đầy đủ 11 quyền cơ bản và được EYC bảo đảm cơ chế thực thi minh bạch:

• 1. Quyền được biết: Được thông báo rõ ràng về các hoạt động xử lý dữ liệu cá nhân của mình ngay từ thời điểm bắt đầu thu thập.
• 2. Quyền đồng ý: Được tự nguyện đưa ra sự đồng ý hoặc không đồng ý đối với các mục đích xử lý dữ liệu cá nhân.
• 3. Quyền truy cập: Được xem, kiểm tra, chỉnh sửa hoặc yêu cầu cung cấp bản sao dữ liệu cá nhân của mình đang được lưu trữ.
• 4. Quyền rút lại sự đồng ý: Được quyền rút lại sự đồng ý đã cấp trước đó bất kỳ lúc nào mà không làm ảnh hưởng tới tính hợp pháp của các hoạt động xử lý trước thời điểm rút lại.
• 5. Quyền xóa dữ liệu (Quyền được lãng quên): Được yêu cầu xóa vĩnh viễn dữ liệu cá nhân của mình khi mục đích xử lý đã hoàn thành hoặc khi rút lại sự đồng ý.
• 6. Quyền hạn chế xử lý: Được yêu cầu tạm ngừng hoặc hạn chế phạm vi xử lý dữ liệu cá nhân của mình.
• 7. Quyền cung cấp dữ liệu: Được yêu cầu nhận lại dữ liệu cá nhân của mình dưới định dạng có cấu trúc, thông dụng và máy có thể đọc được.
• 8. Quyền phản đối xử lý: Được quyền phản đối việc xử lý dữ liệu nhằm mục đích tiếp thị, quảng cáo hoặc xây dựng hồ sơ hành vi tự động.
• 9. Quyền khiếu nại, tố cáo và khởi kiện: Được quyền khiếu nại tới cơ quan quản lý nhà nước hoặc khởi kiện ra tòa án có thẩm quyền khi phát hiện hành vi xâm phạm quyền riêng tư.
• 10. Quyền yêu cầu bồi thường thiệt hại: Được yêu cầu bồi thường thiệt hại theo quy định pháp luật khi xảy ra hành vi vi phạm gây tổn thất thực tế.
• 11. Quyền tự bảo vệ: Được quyền tự bảo vệ theo quy định của Bộ luật Dân sự và các luật chuyên ngành liên quan.
• Quy trình thực thi quyền của chủ thể dữ liệu: Để thực hiện bất kỳ quyền nào nêu trên, chủ thể dữ liệu vui lòng gửi văn bản yêu cầu qua biểu mẫu liên hệ bảo mật tại /vi-vn/contact/ hoặc gửi thư điện tử tới email chuyên trách info@eyc.asia. Quy trình tiếp nhận bao gồm: (i) Xác minh danh tính chủ thể trong vòng 72 giờ làm việc; (ii) Thẩm tra tính hợp pháp của yêu cầu; và (iii) Cung cấp văn bản phản hồi và kết quả thực hiện trong thời hạn tối đa không quá 30 ngày theo quy định pháp luật.

Điều 21: Phụ lục quyền riêng tư theo khu vực tài phán cụ thể

Nhằm đáp ứng các quy định pháp lý đặc thù của từng vùng lãnh thổ:

• Quy chế dành riêng cho công dân Việt Nam: EYC thực thi đầy đủ các biện pháp bảo vệ theo Nghị định 13/2023/NĐ-CP, cam kết lưu trữ dữ liệu tại Việt Nam theo quy định của Luật An ninh mạng và thiết lập kênh liên lạc thường trực với Cục A05 - Bộ Công an.
• Quy chế dành cho cư dân Khu vực Kinh tế Châu Âu (EEA) và Vương quốc Anh: Cơ sở pháp lý xử lý dữ liệu tuân thủ Điều 6 GDPR; quyền khiếu nại trực tiếp lên Cơ quan Giám sát Bảo vệ Dữ liệu tại quốc gia thành viên cư trú.
• Quy chế dành cho cư dân California: Tuyên bố rõ ràng quyền được biết các danh mục dữ liệu thu thập, quyền yêu cầu xóa bỏ, quyền chỉnh sửa và quyền yêu cầu không bán/chia sẻ thông tin cá nhân. EYC khẳng định chúng tôi không bán bất kỳ thông tin cá nhân nào của người dùng.

Điều 22: Bảo vệ dữ liệu trẻ em trong hệ sinh thái giáo dục

EYC nhận thức sâu sắc tầm quan trọng tối thượng của việc bảo vệ dữ liệu trẻ em. Hoạt động của chúng tôi tuân thủ nghiêm ngặt Điều 20 Nghị định 13/2023/NĐ-CP, Luật Trẻ em 2016, Quy định GDPR và Đạo luật Bảo vệ Quyền riêng tư của Trẻ em trên mạng (COPPA):

• Ranh giới website doanh nghiệp eyc.asia: Cổng thông tin này được định hướng phục vụ khách hàng tổ chức, doanh nghiệp và người trưởng thành; chúng tôi không cố ý thu thập, lưu trữ hay xử lý bất kỳ dữ liệu cá nhân nào của trẻ em dưới 16 tuổi qua website này.
• Đối với nền tảng giáo dục mầm non Early Years Circle (eyc.education): Là một phân hệ công nghệ giáo dục chuyên biệt trong hệ sinh thái EYC, toàn bộ dữ liệu trẻ em bắt buộc phải có sự đồng ý xác thực bằng văn bản của cha mẹ hoặc người giám hộ hợp pháp trước khi được tiếp nhận vào hệ thống quản lý nhà trường.
• Tiêu chuẩn bảo mật tăng cường: Dữ liệu trẻ em được phân lập hoàn toàn trong phạm vi tài khoản của từng trường mầm non cụ thể, áp dụng cơ chế mã hóa tăng cường, tuyệt đối nghiêm cấm mọi hành vi khai thác thương mại, xây dựng hồ sơ hành vi hoặc quảng cáo nhắm mục tiêu, và được tiêu hủy an toàn ngay khi trẻ hoàn thành chương trình giáo dục.

Điều 23: Tái cấu trúc doanh nghiệp & Chuyển giao tài sản

Trong tiến trình phát triển và mở rộng quy mô kinh doanh, EYC có thể thực hiện các giao dịch tái cấu trúc doanh nghiệp, sáp nhập, hợp nhất hoặc chuyển nhượng tài sản công nghệ:

• Tính liên tục của cam kết bảo mật: Trong tình huống xảy ra giao dịch chuyển giao doanh nghiệp, pháp nhân tiếp nhận toàn bộ hoặc một phần tài sản của EYC có nghĩa vụ kế thừa toàn bộ các cam kết bảo vệ dữ liệu cá nhân theo đúng các tiêu chuẩn đã xác lập trong Chính sách này.
• Quyền được thông báo của khách hàng: EYC cam kết thông báo công khai trước ít nhất 30 ngày cho các khách hàng và chủ thể dữ liệu có liên quan trước khi việc chuyển giao tài sản dữ liệu được hoàn tất, bảo đảm quyền cho khách hàng rút lại sự đồng ý hoặc yêu cầu xóa dữ liệu nếu không đồng thuận với đơn vị tiếp nhận mới.

Điều 24: Hiệu lực thi hành, Cơ chế sửa đổi & Đầu mối liên hệ DPO

Chính sách bảo mật dữ liệu doanh nghiệp toàn diện này có hiệu lực chính thức kể từ ngày 03 tháng 10 năm 2026 và thay thế toàn bộ các phiên bản công bố trước đó.

EYC bảo lưu quyền rà soát, cập nhật hoặc sửa đổi Chính sách này theo định kỳ nhằm đáp ứng sự phát triển công nghệ, cải tiến hạ tầng bảo mật hoặc khi có sự thay đổi của khung pháp luật điều chỉnh. Mọi thay đổi mang tính trọng yếu sẽ được thông báo nổi bật trên website ít nhất 15 ngày trước khi có hiệu lực chính thức.

Nếu bạn có bất kỳ câu hỏi, khiếu nại, phản ánh hoặc yêu cầu thực thi quyền liên quan đến bảo vệ dữ liệu cá nhân, xin vui lòng liên hệ Bộ phận Bảo vệ Dữ liệu (DPO) của EYC theo thông tin chính thức sau:

• Tên pháp nhân doanh nghiệp: CÔNG TY TNHH CÔNG NGHỆ VÀ TRÍ TUỆ NHÂN TẠO EYC
• Tên giao dịch quốc tế: EYC TECHNOLOGY AND ARTIFICIAL INTELLIGENCE COMPANY LIMITED
• Mã số doanh nghiệp / Mã số thuế: 0319723892
• Địa chỉ trụ sở đăng ký: Lầu 2, 68 Nguyễn Huệ, Phường Sài Gòn, Thành phố Hồ Chí Minh, Việt Nam
• Bộ phận chuyên trách: Ban Bảo vệ Dữ liệu & Tuân thủ An ninh thông tin
• Kênh tiếp nhận trực tuyến chính thức: Biểu mẫu liên hệ bảo mật tại /vi-vn/contact/
• Thư điện tử chuyên trách bảo vệ dữ liệu: info@eyc.asia