Chính sách xử lý dữ liệu

Chính sách này mô tả các nguyên tắc áp dụng khi BankNoti xử lý dữ liệu cá nhân thay mặt Khách hàng trong quá trình cung cấp API, webhook, Virtual Account, VietQR, dashboard và dịch vụ liên quan.

Nếu có thỏa thuận xử lý dữ liệu hoặc hợp đồng đã ký với điều khoản khác, văn bản được ký sẽ được ưu tiên trong phạm vi xung đột.

Khách hàng thường quyết định mục đích và phương tiện xử lý dữ liệu của người thanh toán, người dùng cuối hoặc nhân sự, do đó đóng vai trò bên kiểm soát dữ liệu. BankNoti xử lý theo chỉ dẫn hợp pháp của Khách hàng và có thể là bên kiểm soát độc lập đối với dữ liệu tài khoản, bảo mật, thanh toán và tuân thủ của chính mình.

Vai trò pháp lý cuối cùng phụ thuộc hoạt động thực tế và pháp luật áp dụng, không chỉ dựa trên tên gọi trong chính sách.

BankNoti chỉ xử lý dữ liệu theo chỉ dẫn được ghi nhận trong hợp đồng, cấu hình dịch vụ, tài liệu kỹ thuật và yêu cầu hợp lệ của Khách hàng, trừ khi pháp luật yêu cầu xử lý khác. Nếu nhận thấy chỉ dẫn có khả năng vi phạm pháp luật, BankNoti có thể thông báo và tạm dừng phần xử lý liên quan.

• Đối tượng: cung cấp, bảo mật, hỗ trợ và chấm dứt dịch vụ tích hợp ngân hàng.
• Thời hạn: trong thời gian hợp đồng và thời gian lưu giữ hợp pháp sau chấm dứt.
• Chủ thể: người thanh toán, khách hàng cuối, nhân sự, quản trị viên và người liên hệ.
• Dữ liệu: định danh, liên hệ, tài khoản, giao dịch, Virtual Account, nội dung chuyển khoản, log API/webhook, thiết bị và dữ liệu hỗ trợ.

Khách hàng không được chủ động gửi dữ liệu nhạy cảm không cần thiết nếu chưa có thỏa thuận và biện pháp bảo vệ phù hợp.

Khách hàng chịu trách nhiệm về tính hợp pháp của việc thu thập và chỉ dẫn xử lý; cung cấp thông báo, thu thập sự đồng ý khi cần; cấu hình quyền truy cập; bảo vệ credential; xác định thời hạn lưu; phản hồi yêu cầu của chủ thể dữ liệu và không sử dụng dịch vụ cho mục đích trái pháp luật.

BankNoti duy trì biện pháp phù hợp với rủi ro, có thể bao gồm quản lý truy cập theo vai trò, xác thực, bảo vệ đường truyền, logging, giám sát, sao lưu, quản lý thay đổi, kiểm thử và ứng phó sự cố. Chi tiết kiểm soát có thể được cung cấp theo quy trình đánh giá bảo mật và nghĩa vụ bảo mật.

Biện pháp được rà soát theo thay đổi công nghệ, chi phí thực hiện, tính chất dữ liệu và mức độ ảnh hưởng tiềm tàng.

Người được phép xử lý dữ liệu phải chịu nghĩa vụ bảo mật, được cấp quyền theo nhu cầu công việc và được đào tạo phù hợp. Quyền truy cập được xem xét, thay đổi hoặc thu hồi khi vai trò thay đổi.

BankNoti có thể sử dụng nhà cung cấp hạ tầng, giám sát, email, hỗ trợ hoặc dịch vụ kỹ thuật. Bên xử lý phụ phải chịu nghĩa vụ bảo vệ dữ liệu tương xứng. Danh sách, địa điểm và cơ chế thông báo thay đổi cần được duy trì trong tài liệu hoặc hợp đồng chính thức.

Khách hàng có thể phản đối thay đổi có căn cứ hợp lý về bảo vệ dữ liệu theo quy trình và thời hạn thỏa thuận.

Trong phạm vi hợp lý và xét đến bản chất xử lý, BankNoti hỗ trợ Khách hàng tìm kiếm, truy cập, chỉnh sửa, xuất, hạn chế hoặc xóa dữ liệu để Khách hàng phản hồi yêu cầu hợp lệ. Nếu nhận yêu cầu trực tiếp đối với dữ liệu do Khách hàng kiểm soát, BankNoti có thể chuyển yêu cầu cho Khách hàng, trừ khi pháp luật quy định khác.

Khi xác nhận sự cố ảnh hưởng dữ liệu xử lý thay mặt Khách hàng, BankNoti sẽ thông báo không chậm trễ bất hợp lý theo kênh đã thỏa thuận và cung cấp thông tin sẵn có về bản chất, phạm vi, hậu quả có thể xảy ra và biện pháp ứng phó.

Thông báo không đồng nghĩa với thừa nhận lỗi hoặc trách nhiệm. Khách hàng chịu trách nhiệm đánh giá nghĩa vụ thông báo cho cơ quan hoặc chủ thể dữ liệu của mình.

BankNoti cung cấp hỗ trợ hợp lý cho đánh giá tác động, tham vấn và yêu cầu của cơ quan có thẩm quyền, xét đến thông tin BankNoti có và vai trò của mỗi bên. Chi phí cho yêu cầu vượt phạm vi thông thường có thể được thỏa thuận riêng.

Nếu dữ liệu được chuyển sang quốc gia khác, các bên sẽ áp dụng cơ chế hợp pháp cần thiết, đánh giá nhà cung cấp và biện pháp bổ sung phù hợp. Khách hàng chịu trách nhiệm bảo đảm chỉ dẫn chuyển dữ liệu của mình là hợp pháp.

Khi chấm dứt dịch vụ, theo lựa chọn và chỉ dẫn hợp lệ của Khách hàng, BankNoti sẽ xóa hoặc trả lại dữ liệu trong phạm vi kỹ thuật hợp lý, trừ dữ liệu phải lưu theo pháp luật, bảo mật, sao lưu luân chuyển hoặc giải quyết tranh chấp.

Dữ liệu còn trong bản sao lưu được cách ly và xóa theo chu kỳ, không được khôi phục cho mục đích kinh doanh thông thường.

BankNoti có thể cung cấp tài liệu hợp lý để chứng minh tuân thủ. Kiểm tra trực tiếp, nếu cần, phải có phạm vi hợp lý, thông báo trước, bảo vệ bí mật của khách hàng khác, không gây gián đoạn và tuân theo thỏa thuận chi phí.

Yêu cầu về xử lý dữ liệu gửi đến [email protected]. Chính sách này là khung thông tin chung, không thay thế DPA được ký khi pháp luật hoặc quy mô xử lý yêu cầu.

Thông tin pháp nhân cần hoàn thiện: Công ty cổ phần công nghệ GoStream, , Khu liền kề 03 Tecco, phường Quang Trung, TP Vinh, Tỉnh Nghệ An.