Chính sách Bảo mật thông tin và Dữ liệu cá nhân

1. Mục đích

Chính sách này quy định nguyên tắc và yêu cầu bảo mật thông tin, bảo vệ dữ liệu cá nhân trong hoạt động của SAO NAM, bao gồm kinh doanh, tư vấn kỹ thuật, báo giá, giao hàng, hiệu chuẩn, bảo trì, sửa chữa, dịch vụ tại nhà máy, chăm sóc khách hàng, tuyển dụng và quản trị nội bộ.

SAO NAM xem thông tin khách hàng, đối tác và hồ sơ kỹ thuật là tài sản quan trọng cần được quản lý cẩn trọng. Việc thu thập, sử dụng, lưu trữ, chia sẻ hoặc hủy bỏ thông tin phải có mục đích rõ ràng, phạm vi phù hợp và được bảo vệ bằng biện pháp tổ chức, kỹ thuật cần thiết.

2. Nguyên tắc bảo vệ thông tin và dữ liệu cá nhân

3. Phạm vi áp dụng

Chính sách áp dụng cho toàn bộ nhân viên, quản lý, cộng tác viên, đại diện bán hàng, nhà cung cấp, đơn vị vận chuyển, đơn vị công nghệ thông tin, đối tác dịch vụ và bên thứ ba có thể tiếp cận thông tin của SAO NAM, khách hàng hoặc đối tác.

Chính sách áp dụng đối với thông tin ở mọi hình thức: bản giấy, email, tin nhắn, biểu mẫu website, Zalo/Viber/điện thoại, file điện tử, phần mềm nội bộ, dữ liệu lưu trên máy tính, thiết bị di động, ổ cứng, hệ thống đám mây, hình ảnh tại công trình hoặc hồ sơ dịch vụ.

4. Các loại thông tin và dữ liệu được bảo vệ

SAO NAM có thể thu thập hoặc xử lý các nhóm thông tin sau tùy theo từng hoạt động cụ thể:

5. Mục đích thu thập và xử lý dữ liệu

SAO NAM xử lý thông tin và dữ liệu cá nhân cho các mục đích phù hợp với hoạt động kinh doanh, bao gồm:

• Tiếp nhận, phản hồi và xử lý yêu cầu tư vấn, báo giá, đặt hàng, giao hàng, bảo hành, bảo trì, hiệu chuẩn, sửa chữa hoặc hỗ trợ kỹ thuật.
• Liên hệ với khách hàng, đối tác, nhà cung cấp để thực hiện giao dịch, hợp đồng, chứng từ, thanh toán, giao nhận và chăm sóc sau bán hàng.
• Quản lý hồ sơ thiết bị, lịch sử dịch vụ, chứng chỉ, biên bản, hình ảnh kỹ thuật và các tài liệu liên quan đến chất lượng dịch vụ.
• Thực hiện nghĩa vụ kế toán, thuế, pháp lý, kiểm toán, kiểm tra nội bộ và lưu trữ hồ sơ theo quy định.
• Bảo vệ quyền và lợi ích hợp pháp của SAO NAM, khách hàng, đối tác, nhân viên và bên liên quan.
• Quản trị nhân sự, tuyển dụng, đào tạo, an toàn lao động và bảo vệ tài sản công ty.
• Cải thiện chất lượng website, biểu mẫu liên hệ, quy trình phản hồi khách hàng và hiệu quả vận hành nội bộ.

6. Quyền của chủ thể dữ liệu cá nhân

Tùy từng trường hợp và theo quy định pháp luật hiện hành, cá nhân có dữ liệu được SAO NAM xử lý có thể yêu cầu:

SAO NAM sẽ xem xét yêu cầu trên cơ sở xác minh hợp lý người yêu cầu, phạm vi dữ liệu, nghĩa vụ lưu trữ và quy định pháp luật áp dụng.

7. Quản lý bảo mật nội bộ

7.1. Phân quyền truy cập

Quyền truy cập thông tin được cấp theo nhu cầu công việc. Nhân sự chỉ được tiếp cận dữ liệu trong phạm vi nhiệm vụ được giao và phải bảo vệ tài khoản, mật khẩu, thiết bị, tài liệu được cấp.

7.2. Bảo mật tài khoản và thiết bị

• Không chia sẻ mật khẩu, mã xác thực hoặc tài khoản làm việc cho người khác.
• Khóa máy tính, điện thoại, tài khoản email hoặc phần mềm khi không sử dụng.
• Không lưu dữ liệu khách hàng trên thiết bị cá nhân khi không cần thiết hoặc chưa được phép.
• Không cài phần mềm không rõ nguồn gốc, không mở file/link đáng ngờ có nguy cơ lộ dữ liệu.

7.3. Quản lý hồ sơ giấy và hồ sơ điện tử

• Hồ sơ giấy chứa thông tin khách hàng, báo giá, hợp đồng, chứng từ, phiếu dịch vụ phải được lưu ở nơi phù hợp, tránh thất lạc hoặc tiếp cận trái phép.
• File điện tử cần đặt tên rõ ràng, lưu đúng thư mục, hạn chế gửi qua kênh cá nhân không cần thiết.
• Khi gửi hồ sơ kỹ thuật hoặc chứng từ qua email, cần kiểm tra đúng người nhận, đúng file đính kèm và nội dung phù hợp.

8. Chia sẻ thông tin cho bên thứ ba

SAO NAM chỉ chia sẻ thông tin cho bên thứ ba khi có căn cứ phù hợp, trong phạm vi cần thiết và gắn với mục đích rõ ràng, ví dụ:

• Đơn vị vận chuyển để giao nhận hàng hóa, thiết bị, chứng từ.
• Đối tác kỹ thuật, hãng sản xuất hoặc trung tâm dịch vụ khi cần hỗ trợ bảo hành, sửa chữa, hiệu chuẩn, xác minh thông tin thiết bị hoặc xử lý sự cố kỹ thuật.
• Đơn vị công nghệ thông tin, lưu trữ dữ liệu, email, website hoặc phần mềm quản trị khi cần vận hành hệ thống.
• Cơ quan nhà nước, cơ quan có thẩm quyền, kiểm toán, kế toán, thuế hoặc pháp lý khi có yêu cầu hợp pháp.

Khi làm việc với bên thứ ba, SAO NAM yêu cầu bên nhận thông tin sử dụng đúng mục đích, bảo mật phù hợp và không tiếp tục chia sẻ trái phép.

8.1. Chuyển dữ liệu xuyên biên giới

Trong một số trường hợp, dữ liệu có thể được xử lý hoặc lưu trữ thông qua hệ thống email, phần mềm, dịch vụ đám mây, hãng sản xuất hoặc đối tác kỹ thuật ở ngoài Việt Nam. SAO NAM thực hiện việc chuyển dữ liệu phù hợp với nhu cầu công việc, quy định pháp luật và yêu cầu bảo mật áp dụng.

9. Lưu trữ, sao lưu và xóa dữ liệu

Thời hạn lưu trữ thông tin phụ thuộc vào mục đích xử lý, yêu cầu hợp đồng, nghĩa vụ bảo hành, dịch vụ kỹ thuật, kế toán, thuế, pháp lý và nhu cầu quản lý rủi ro. SAO NAM không lưu trữ dữ liệu quá mức cần thiết so với mục đích hợp pháp.

10. Xử lý sự cố bảo mật và vi phạm dữ liệu

Sự cố bảo mật có thể bao gồm mất thiết bị, gửi nhầm email, lộ mật khẩu, truy cập trái phép, thất lạc hồ sơ giấy, rò rỉ dữ liệu, nhiễm mã độc, tấn công mạng hoặc sử dụng thông tin sai mục đích.

Quy trình xử lý cơ bản

1. Phát hiện và báo cáo nhanh: nhân sự phát hiện sự cố phải báo ngay cho quản lý trực tiếp hoặc đầu mối phụ trách.
2. Khoanh vùng rủi ro: tạm dừng truy cập, đổi mật khẩu, thu hồi file, khóa tài khoản hoặc áp dụng biện pháp kỹ thuật cần thiết.
3. Đánh giá mức độ ảnh hưởng: xác định loại dữ liệu, số lượng bản ghi, đối tượng bị ảnh hưởng, nguyên nhân và khả năng phát sinh thiệt hại.
4. Khắc phục và phòng ngừa tái diễn: sửa lỗi quy trình, cập nhật phân quyền, đào tạo lại nhân sự, bổ sung kiểm soát bảo mật.
5. Thông báo theo quy định: thực hiện thông báo cho cá nhân, tổ chức liên quan hoặc cơ quan có thẩm quyền khi thuộc trường hợp pháp luật yêu cầu.

11. Đào tạo, giám sát và tuân thủ

SAO NAM yêu cầu nhân sự liên quan hiểu và tuân thủ chính sách này trong quá trình làm việc. Các bộ phận kinh doanh, kỹ thuật, dịch vụ, kế toán, kho vận, nhân sự và quản lý cần đặc biệt chú ý bảo mật khi tiếp cận hồ sơ khách hàng, dữ liệu thiết bị, chứng từ hoặc thông tin thương mại.

• Đào tạo nhận thức bảo mật, dữ liệu cá nhân và rủi ro lộ thông tin khi cần thiết.
• Rà soát phân quyền truy cập định kỳ hoặc khi có thay đổi nhân sự, thay đổi vị trí công việc.
• Kiểm tra việc lưu trữ, chia sẻ, sử dụng hồ sơ kỹ thuật và dữ liệu khách hàng.
• Áp dụng biện pháp kỷ luật hoặc xử lý phù hợp nếu có hành vi cố ý vi phạm, tiết lộ trái phép hoặc sử dụng dữ liệu để trục lợi.

12. Căn cứ pháp lý và chuẩn mực tham chiếu

Chính sách này được xây dựng trên cơ sở tham chiếu các quy định và thông lệ phù hợp, bao gồm:

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, ban hành ngày 26/06/2025, có hiệu lực từ ngày 01/01/2026.
• Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 01/07/2023.
• Luật Dữ liệu số 60/2024/QH15, có hiệu lực từ ngày 01/07/2025.
• Luật An ninh mạng số 24/2018/QH14, có hiệu lực từ ngày 01/01/2019.
• Các quy định về lao động, thương mại, kế toán, thuế, giao dịch điện tử, bảo vệ quyền lợi người tiêu dùng và nghĩa vụ bảo mật trong hợp đồng liên quan.
• Thông lệ quản trị dữ liệu, an toàn thông tin và bảo mật hồ sơ trong hoạt động B2B, kỹ thuật, dịch vụ và chuỗi cung ứng.

Trường hợp quy định pháp luật thay đổi hoặc có yêu cầu cụ thể từ khách hàng, đối tác, cơ quan quản lý, SAO NAM sẽ rà soát và cập nhật chính sách khi cần thiết.

14. Hiệu lực và cập nhật

Chính sách này có hiệu lực kể từ ngày được công bố trên website của SAO NAM và được áp dụng trong toàn bộ hoạt động có liên quan đến bảo mật thông tin và dữ liệu cá nhân.

SAO NAM có thể cập nhật chính sách này để phù hợp với quy định pháp luật, yêu cầu vận hành, yêu cầu khách hàng, thay đổi công nghệ hoặc rủi ro bảo mật mới phát sinh. Phiên bản mới nhất được công bố trên website saonamchem.com.