Chính sách Bảo mật

1. Giới thiệu

1. 1.1.

   Nền tảng SME360, bao gồm các website https://sme.balancelife.vn và https://oms.com.vn, ứng dụng ONE tại https://app.oms.com.vn, ứng dụng di động (nếu có) và các kênh, công cụ trực tuyến khác có liên quan (sau đây gọi chung là "Nền tảng"), thuộc quyền sở hữu và được vận hành bởi Công ty cổ phần Balacom ("Balacom", "SME360" hoặc "chúng tôi"). SME360 tôn trọng quyền riêng tư của bạn và cam kết tuân thủ pháp luật Việt Nam về bảo vệ dữ liệu cá nhân, bao gồm Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ("Luật BVDLCN"), Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật BVDLCN ("Nghị định 356") cùng các văn bản sửa đổi, bổ sung, thay thế (sau đây gọi chung là "Pháp luật về BVDLCN"). Chính sách Bảo mật này ("Chính sách") được ban hành nhằm giúp bạn hiểu rõ cách SME360 thu thập, sử dụng, chia sẻ, lưu trữ và bảo vệ dữ liệu cá nhân, cũng như các quyền mà bạn có, để bạn có đủ thông tin trước khi quyết định cung cấp dữ liệu cá nhân cho chúng tôi.

2. 1.2.

   Chính sách này áp dụng đối với: (i) người đại diện theo pháp luật, chủ sở hữu, người liên hệ, người được ủy quyền và các cá nhân khác thay mặt Thành viên đăng ký, sử dụng hoặc tương tác với Nền tảng; (ii) cá nhân truy cập Nền tảng, đăng ký nhận thông tin hoặc liên hệ với SME360 dù chưa phải là Thành viên; và (iii) trong phạm vi nêu tại Mục 7, các cá nhân có dữ liệu cá nhân được Thành viên cung cấp cho SME360 để sử dụng Dịch vụ. Trong Chính sách này, "bạn" được hiểu là các cá nhân nêu trên hoặc, tùy theo ngữ cảnh, là Thành viên mà các cá nhân đó đại diện.

3. 1.3.

   "Dữ liệu cá nhân" là bất kỳ thông tin nào, dù chính xác hay không, mà tự thân thông tin đó hoặc khi kết hợp với các thông tin khác mà SME360 đang có hoặc có khả năng tiếp cận, có thể giúp xác định một cá nhân cụ thể. Ví dụ phổ biến bao gồm họ tên, số định danh cá nhân, số điện thoại, địa chỉ thư điện tử và chức danh. Các thuật ngữ "dữ liệu cá nhân nhạy cảm", "chủ thể dữ liệu", "xử lý dữ liệu cá nhân", "bên kiểm soát dữ liệu cá nhân", "bên xử lý dữ liệu cá nhân" và "bên thứ ba" có nghĩa như quy định tại Pháp luật về BVDLCN. Các thuật ngữ viết hoa khác (như "Thành viên", "Dịch vụ", "Dịch vụ Vận hành", "Dịch vụ Kết nối", "Dịch vụ Hỗ trợ Vay vốn", "Đối tác Thực hiện", "Ngân hàng Đối tác", "Giao dịch Kết nối") có nghĩa như được định nghĩa tại Quy chế Thành viên SME360 ("Quy chế Thành viên").

4. 1.4.

   Chính sách này đồng thời là thông báo của SME360 về việc xử lý dữ liệu cá nhân, nêu rõ: loại dữ liệu được xử lý (Mục 3, Mục 4 và Mục 5); mục đích, cơ sở pháp lý và cách thức xử lý (Mục 6); tổ chức, cá nhân liên quan đến việc xử lý (Mục 7 và Mục 9); hậu quả, thiệt hại không mong muốn có khả năng xảy ra (Mục 10); thời gian bắt đầu và kết thúc xử lý (Mục 8); và quyền, nghĩa vụ của bạn (Mục 15).

5. 1.5.

   SME360 chỉ ghi nhận sự đồng ý của bạn khi bạn thực hiện một hành động khẳng định rõ ràng, như tự đánh dấu vào ô xác nhận đồng ý (không được đánh dấu sẵn), nhấn nút "Đồng ý" hoặc xác nhận bằng văn bản, sau khi đã được tiếp cận Chính sách này. Sự im lặng hoặc không phản hồi không được coi là sự đồng ý. Sự đồng ý được lấy riêng cho từng nhóm mục đích khi cần thiết, đặc biệt đối với việc xử lý dữ liệu cá nhân nhạy cảm, việc chuyển hồ sơ cho Ngân hàng Đối tác và việc gửi thông tin tiếp thị; bạn có quyền chỉ đồng ý một phần. SME360 lưu trữ bằng chứng về sự đồng ý của bạn theo quy định. Nếu không đồng ý với Chính sách này, bạn vui lòng không cung cấp dữ liệu cá nhân và không sử dụng Nền tảng, Dịch vụ.

6. 1.6.

   SME360 có thể sửa đổi, bổ sung Chính sách này theo từng thời điểm để phù hợp với hoạt động của Nền tảng và quy định của pháp luật. Phiên bản sửa đổi sẽ được đăng tải trên Nền tảng và/hoặc thông báo qua thư điện tử hoặc phương thức phù hợp khác, và có hiệu lực sau tối thiểu 07 (bảy) ngày kể từ ngày đăng tải, trừ trường hợp pháp luật yêu cầu khác. Trong phạm vi pháp luật cho phép, việc bạn tiếp tục sử dụng Nền tảng và Dịch vụ sau khi phiên bản sửa đổi có hiệu lực được hiểu là bạn chấp thuận các nội dung sửa đổi đó. Trường hợp nội dung sửa đổi làm phát sinh mục đích xử lý mới cần có sự đồng ý theo Pháp luật về BVDLCN, SME360 sẽ đề nghị bạn cho sự đồng ý mới. Bạn nên thường xuyên xem lại Chính sách này để cập nhật các thay đổi.

7. 1.7.

   Chính sách này được áp dụng cùng với, và không thay thế, Quy chế Thành viên (đặc biệt là Chương VII – Bảo mật và Bảo vệ dữ liệu cá nhân), các thông báo xử lý dữ liệu cá nhân cụ thể và các hợp đồng, thỏa thuận (bao gồm thỏa thuận xử lý dữ liệu riêng, nếu có) giữa SME360 và Thành viên, trừ khi Chính sách này có quy định rõ ràng khác. Trường hợp có sự khác biệt, thỏa thuận riêng bằng văn bản đã ký kết giữa SME360 và Thành viên được ưu tiên áp dụng trong phạm vi nội dung khác biệt.

2. Khi nào SME360 thu thập dữ liệu cá nhân?

1. 2.1.

   SME360 có thể thu thập dữ liệu cá nhân của bạn trong các trường hợp sau (danh sách mang tính liệt kê, không đầy đủ):

   1. (a)

      khi bạn đăng ký Thành viên, tạo tài khoản, nộp hồ sơ đăng ký, gia hạn Thời hạn Thành viên hoặc đề nghị chuyển đổi hạng thành viên;

   2. (b)

      khi bạn gửi yêu cầu sử dụng Dịch vụ Vận hành (pháp lý, kế toán – thuế, nhân sự – tiền lương, IT Helpdesk) và cung cấp thông tin, tài liệu để thực hiện yêu cầu đó;

   3. (c)

      khi bạn khai báo hồ sơ doanh nghiệp, nhu cầu mua – bán, hợp tác, nhu cầu vốn hoặc đăng ký tham gia Dịch vụ Kết nối;

   4. (d)

      khi bạn đăng ký nhu cầu vay vốn, cung cấp hồ sơ đề nghị cấp tín dụng hoặc cập nhật kết quả xử lý hồ sơ trong khuôn khổ Dịch vụ Hỗ trợ Vay vốn;

   5. (e)

      khi bạn ký kết hợp đồng, thỏa thuận, xác nhận báo giá, thanh toán phí thành viên, phí dịch vụ hoặc yêu cầu xuất hóa đơn;

   6. (f)

      khi bạn ủy quyền cho SME360 hoặc Đối tác Thực hiện thực hiện thủ tục, giao dịch điện tử với cơ quan nhà nước thay mặt Thành viên (ví dụ: khai thuế, bảo hiểm xã hội, đăng ký doanh nghiệp, sở hữu trí tuệ);

   7. (g)

      khi bạn liên hệ với SME360 qua điện thoại (cuộc gọi có thể được ghi âm sau khi bạn được thông báo và đồng ý), thư điện tử, tin nhắn, ứng dụng nhắn tin, mạng xã hội, biểu mẫu trực tuyến hoặc gặp trực tiếp;

   8. (h)

      khi bạn truy cập, sử dụng Nền tảng hoặc tương tác với các tính năng trên Nền tảng, bao gồm thông qua cookies và công nghệ tương tự (xem Mục 4 và Mục 5);

   9. (i)

      khi bạn cấp quyền cho Nền tảng truy cập một số chức năng trên thiết bị của bạn (ví dụ: máy ảnh, bộ nhớ để tải lên tài liệu, thông báo);

   10. (j)

       khi bạn đăng nhập hoặc liên kết tài khoản SME360 với tài khoản của bên thứ ba (ví dụ: Google, Microsoft, Zalo);

   11. (k)

       khi bạn gửi phản hồi, đánh giá, khiếu nại hoặc tham gia khảo sát;

   12. (l)

       khi bạn đăng ký hoặc tham gia sự kiện, hội thảo, chương trình đào tạo, chương trình ưu đãi do SME360 tổ chức hoặc phối hợp tổ chức; và

   13. (m)

       khi bạn gửi cho SME360 dữ liệu cá nhân vì bất kỳ lý do nào khác hoặc thực hiện các hoạt động khác trên Nền tảng.

2. 2.2.

   Ngoài dữ liệu do bạn trực tiếp cung cấp, SME360 có thể nhận dữ liệu cá nhân từ các nguồn khác, bao gồm: Thành viên mà bạn làm việc hoặc đại diện; Đối tác Thực hiện; Ngân hàng Đối tác (ví dụ: thông tin về tình trạng, kết quả xử lý hồ sơ); Thành viên khác (ví dụ: khi giới thiệu bạn hoặc phản hồi trong Giao dịch Kết nối); đối tác thanh toán, đối tác giới thiệu, đơn vị đồng tổ chức sự kiện; các nguồn thông tin công khai hợp pháp (ví dụ: Cổng thông tin quốc gia về đăng ký doanh nghiệp, hệ thống tra cứu mã số thuế); và cơ quan nhà nước có thẩm quyền.

3. 2.3.

   Trường hợp bạn hoặc Thành viên cung cấp cho SME360 dữ liệu cá nhân của người khác (ví dụ: người lao động, người phụ thuộc của người lao động, thành viên góp vốn, cổ đông, người bảo lãnh, bên bảo đảm là cá nhân, người liên hệ của đối tác), bạn và Thành viên cam đoan rằng đã có căn cứ hợp pháp theo Pháp luật về BVDLCN cho việc cung cấp đó, bao gồm việc đã thông báo và/hoặc đã có sự đồng ý của các cá nhân liên quan về việc dữ liệu của họ được chuyển cho Balacom, Đối tác Thực hiện và (nếu có) Ngân hàng Đối tác để xử lý cho các mục đích tương ứng theo Chính sách này và Quy chế Thành viên.

3. SME360 thu thập những dữ liệu gì?

1. 3.1.

   Tùy theo Dịch vụ bạn sử dụng, dữ liệu cá nhân cơ bản mà SME360 có thể thu thập bao gồm:

   1. (a)

      họ và tên, ngày sinh, giới tính, quốc tịch;

   2. (b)

      số định danh cá nhân, số căn cước/căn cước công dân, số hộ chiếu, mã số thuế cá nhân;

   3. (c)

      số điện thoại, địa chỉ thư điện tử, địa chỉ liên hệ;

   4. (d)

      chức danh, vị trí công tác, đơn vị công tác, vai trò của bạn đối với Thành viên (như người đại diện theo pháp luật, chủ sở hữu, kế toán trưởng, người được ủy quyền);

   5. (e)

      thông tin tài khoản trên Nền tảng (tên đăng nhập, mật khẩu đã được mã hóa, lịch sử đăng nhập);

   6. (f)

      thông tin thanh toán và xuất hóa đơn (như thông tin người thanh toán, chứng từ chuyển khoản);

   7. (g)

      nội dung trao đổi với SME360 và Đối tác Thực hiện, bản ghi âm cuộc gọi, hình ảnh, video, tài liệu, chữ ký;

   8. (h)

      thông tin về nhu cầu Dịch vụ, nhu cầu kết nối, nhu cầu vốn, lịch sử sử dụng Dịch vụ và lịch sử thanh toán phí;

   9. (i)

      tùy chọn liên lạc, tùy chọn nhận thông tin tiếp thị và lịch sử liên lạc với SME360;

   10. (j)

       dữ liệu về thiết bị, kết nối mạng và hoạt động sử dụng Nền tảng (xem Mục 4);

   11. (k)

       thông tin cá nhân của người lao động và người liên quan đến Thành viên do Thành viên cung cấp để thực hiện Dịch vụ Vận hành (như thông tin hợp đồng lao động, tiền lương, số sổ bảo hiểm xã hội, thông tin người phụ thuộc để giảm trừ gia cảnh) – được xử lý theo Mục 7; và

   12. (l)

       các dữ liệu tổng hợp về nội dung và hoạt động của bạn trên Nền tảng.

2. 3.2.

   Trong phạm vi thực sự cần thiết để cung cấp một Dịch vụ cụ thể, SME360 có thể xử lý một số dữ liệu cá nhân nhạy cảm, bao gồm: hình ảnh thẻ căn cước/căn cước công dân, hộ chiếu; thông tin tài khoản ngân hàng, sao kê, lịch sử giao dịch tài chính; thông tin tín dụng phục vụ hồ sơ đề nghị cấp tín dụng; thông tin về tình trạng sức khỏe phục vụ chế độ ốm đau, thai sản, tai nạn lao động của người lao động; tên đăng nhập, mật khẩu tài khoản giao dịch điện tử với cơ quan nhà nước khi Thành viên ủy quyền; dữ liệu theo dõi hành vi sử dụng dịch vụ trực tuyến được thu thập qua cookies phân tích, tiếp thị (xem Mục 5); và các dữ liệu khác được xác định là nhạy cảm theo Pháp luật về BVDLCN. SME360 sẽ thông báo cho chủ thể dữ liệu (trực tiếp hoặc thông qua Thành viên) về việc dữ liệu được xử lý là dữ liệu cá nhân nhạy cảm và áp dụng các biện pháp bảo vệ tăng cường tương ứng.

3. 3.3.

   Bạn có trách nhiệm cung cấp dữ liệu chính xác, đầy đủ, không gây nhầm lẫn và thông báo kịp thời cho SME360 khi có sai sót hoặc thay đổi. SME360 có quyền yêu cầu bạn cung cấp thêm tài liệu để xác minh thông tin đã cung cấp, phù hợp với Quy chế Thành viên.

4. 3.4.

   Nếu bạn đăng nhập, liên kết tài khoản hoặc sử dụng tính năng của Nền tảng thông qua tài khoản của bên thứ ba (như Google, Microsoft, Zalo), SME360 có thể tiếp cận những thông tin mà bạn đã cung cấp cho bên thứ ba đó và cho phép chia sẻ (như họ tên, ảnh đại diện, địa chỉ thư điện tử). Các thông tin này được SME360 xử lý theo Chính sách này; đồng thời việc xử lý của bên thứ ba đó tuân theo chính sách riêng của họ.

5. 3.5.

   Bạn có quyền không cung cấp dữ liệu hoặc yêu cầu SME360 ngừng thu thập dữ liệu cá nhân bất kỳ lúc nào bằng cách gửi yêu cầu bằng văn bản đến bộ phận bảo vệ dữ liệu cá nhân của SME360 theo thông tin tại Mục 17. Tuy nhiên, việc này có thể khiến SME360 không thể cung cấp một phần hoặc toàn bộ Dịch vụ. Ví dụ: nếu không có thông tin người lao động, SME360 không thể thực hiện dịch vụ tính lương, bảo hiểm xã hội; nếu không có hồ sơ tài chính, SME360 không thể hỗ trợ Thành viên chuẩn bị hồ sơ vay vốn.

4. Các dữ liệu khác được thu thập tự động

1. 4.1.

   Khi bạn truy cập Nền tảng, thiết bị của bạn tự động gửi đến máy chủ của SME360 một số thông tin kỹ thuật, bao gồm: địa chỉ IP, hệ điều hành, loại và phiên bản trình duyệt, loại thiết bị và các đặc điểm của thiết bị, mã định danh thiết bị, trang giới thiệu, thời gian truy cập và thông tin cookies. Đối với người dùng đã đăng nhập, các thông tin này được liên kết với tài khoản của bạn. Các thông tin này được sử dụng để vận hành Nền tảng, bảo đảm an ninh và phát hiện hoạt động bất thường. Thông tin về các trang bạn đã xem và hành vi sử dụng Nền tảng chỉ được thu thập cho mục đích phân tích khi bạn đồng ý cookies phân tích (Mục 5.3).

2. 4.2.

   SME360 không chủ động thu thập vị trí chính xác (GPS) của thiết bị, trừ khi bạn cấp quyền cho một tính năng cụ thể cần đến vị trí. SME360 có thể suy ra vị trí gần đúng (như tỉnh/thành phố) từ địa chỉ IP để bảo mật tài khoản (ví dụ: phát hiện đăng nhập bất thường) và hiển thị nội dung phù hợp. Bạn có thể thu hồi quyền truy cập vị trí trong phần cài đặt của thiết bị hoặc trình duyệt.

3. 4.3.

   Khi bạn xem nội dung, tài liệu, thông báo hoặc sử dụng các tính năng trên Nền tảng và đã đồng ý cookies phân tích hoặc cookies tiếp thị (Mục 5.3), thiết bị của bạn có thể gửi thông tin về nội dung đã xem, tính năng đã sử dụng và thời điểm tương ứng. SME360 sử dụng các thông tin này để cải thiện Nền tảng, đo lường hiệu quả sử dụng và đề xuất Dịch vụ phù hợp hơn với nhu cầu của Thành viên.

5. Cookies

1. 5.1.

   SME360 và các nhà cung cấp dịch vụ được SME360 ủy quyền có thể sử dụng cookies hoặc công nghệ tương tự (như pixel, bộ nhớ cục bộ của trình duyệt) để thu thập và lưu trữ thông tin về việc bạn sử dụng Nền tảng. Cookies là các tệp dữ liệu nhỏ được lưu trên thiết bị của bạn, ghi nhận thông tin về thiết bị, cách thức và thời điểm bạn truy cập Nền tảng, số lượng người truy cập và hoạt động của người dùng. Thông tin thu được từ cookies có thể được liên kết với dữ liệu cá nhân của bạn.

2. 5.2.

   SME360 sử dụng cookies cho các mục đích: (i) duy trì phiên đăng nhập và bảo mật tài khoản (cookies thiết yếu); (ii) ghi nhớ các tùy chọn của bạn (cookies chức năng); (iii) đo lường, phân tích lưu lượng và cách sử dụng Nền tảng để cải thiện Nền tảng và phát triển tính năng mới (cookies phân tích); và (iv) cung cấp nội dung, thông tin về Dịch vụ phù hợp hơn với bạn và đo lường hiệu quả hoạt động truyền thông (cookies tiếp thị).

3. 5.3.

   Cookies thiết yếu được sử dụng vì cần thiết để Nền tảng hoạt động. Cookies chức năng, phân tích và tiếp thị chỉ được kích hoạt khi bạn đồng ý thông qua công cụ quản lý cookies hiển thị trên Nền tảng; các lựa chọn này không được thiết lập mặc định là đồng ý. Bạn có thể thay đổi lựa chọn bất kỳ lúc nào tại công cụ quản lý cookies hoặc xóa cookies thông qua cài đặt trình duyệt, thiết bị. Việc chặn cookies thiết yếu có thể khiến bạn không thể sử dụng đầy đủ các chức năng của Nền tảng.

6. SME360 sử dụng dữ liệu cá nhân như thế nào?

1. 6.1.

   SME360 có thể thu thập, sử dụng, tiết lộ và xử lý dữ liệu cá nhân của bạn cho một hoặc nhiều mục đích sau (gọi chung là "Mục đích"):

   1. (a)

      xem xét, xác minh, phê duyệt hoặc từ chối hồ sơ đăng ký; quản lý tư cách thành viên, hạng thành viên, Hạn mức DVVH Miễn phí, việc gia hạn, tạm ngưng và chấm dứt tư cách thành viên;

   2. (b)

      quản lý, vận hành và cung cấp Nền tảng, tài khoản và các tùy chọn của bạn;

   3. (c)

      cung cấp Dịch vụ Vận hành, bao gồm tiếp nhận, phân loại, điều phối yêu cầu đến Đối tác Thực hiện phù hợp; thực hiện công việc pháp lý, kế toán – thuế, nhân sự – tiền lương, IT Helpdesk; và thực hiện thủ tục, giao dịch điện tử với cơ quan nhà nước khi được Thành viên ủy quyền;

   4. (d)

      cung cấp Dịch vụ Kết nối, bao gồm phân tích nhu cầu, gợi ý, giới thiệu Thành viên phù hợp, hỗ trợ trao đổi thông tin ban đầu và hỗ trợ đàm phán (có thể sử dụng công cụ tự động hoặc trí tuệ nhân tạo trong phạm vi Pháp luật về BVDLCN cho phép);

   5. (e)

      cung cấp Dịch vụ Hỗ trợ Vay vốn, bao gồm đánh giá sơ bộ mức độ phù hợp giữa nhu cầu vốn của Thành viên và sản phẩm tín dụng của Ngân hàng Đối tác, hỗ trợ chuẩn bị và rà soát hồ sơ, chuyển hồ sơ đến Ngân hàng Đối tác do Thành viên lựa chọn, theo dõi tiến độ và hỗ trợ sau giải ngân. SME360 không thực hiện chấm điểm tín nhiệm cá nhân và không quyết định việc cấp tín dụng;

   6. (f)

      tính phí, thu phí, đối soát, xuất hóa đơn và quản lý công nợ;

   7. (g)

      chăm sóc Thành viên, trả lời câu hỏi, thực hiện yêu cầu của bạn và tiếp nhận, giải quyết khiếu nại (bao gồm khiếu nại về chất lượng Dịch vụ Vận hành phối hợp với Đối tác Thực hiện);

   8. (h)

      liên hệ với bạn qua điện thoại, tin nhắn, thư điện tử, ứng dụng nhắn tin hoặc thư tín cho mục đích quản trị, như thông báo thay đổi Quy chế Thành viên, Chính sách này, biểu phí, nhắc gia hạn, cảnh báo về sự cố hoặc hoạt động bất thường của tài khoản;

   9. (i)

      thực thi Quy chế Thành viên, các hợp đồng, thỏa thuận liên quan và xử lý vi phạm;

   10. (j)

       xác minh danh tính; phòng ngừa, phát hiện, điều tra hành vi gian lận, lừa đảo (bao gồm hành vi mạo danh SME360 để thu "phí đảm bảo duyệt vay" hoặc các khoản tương tự), giả mạo hồ sơ, rửa tiền và các hành vi vi phạm pháp luật khác;

   11. (k)

       bảo vệ an toàn, quyền và tài sản của SME360, Thành viên, Đối tác Thực hiện và các cá nhân khác;

   12. (l)

       duy trì, cập nhật, khắc phục sự cố và bảo đảm an ninh, an toàn của Nền tảng và hệ thống thông tin;

   13. (m)

       nghiên cứu, phân tích, khảo sát và phát triển sản phẩm, Dịch vụ nhằm hiểu nhu cầu của Thành viên, đề xuất Dịch vụ phù hợp và cải thiện trải nghiệm (ưu tiên sử dụng dữ liệu đã tổng hợp hoặc khử nhận dạng);

   14. (n)

       lập thống kê, báo cáo, lưu trữ hồ sơ nội bộ và phục vụ hoạt động kiểm toán;

   15. (o)

       gửi thông tin tiếp thị, quảng cáo về Dịch vụ, chương trình ưu đãi, sự kiện của SME360 và của đối tác – chỉ khi có sự đồng ý riêng của bạn. Bạn có thể hủy đăng ký nhận thông tin này bất kỳ lúc nào thông qua đường dẫn hủy đăng ký trong thông điệp hoặc liên hệ SME360;

   16. (p)

       tuân thủ nghĩa vụ theo quy định pháp luật và yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền;

   17. (q)

       giải quyết tranh chấp, khiếu nại, khiếu kiện và bảo vệ quyền, lợi ích hợp pháp của SME360;

   18. (r)

       lưu trữ, sao lưu dữ liệu và khôi phục sau sự cố;

   19. (s)

       thực hiện các giao dịch tái cấu trúc, sáp nhập, hợp nhất, chuyển nhượng toàn bộ hoặc một phần hoạt động kinh doanh hoặc tài sản của Balacom; và

   20. (t)

       các mục đích khác được SME360 thông báo cho bạn tại thời điểm đề nghị sự đồng ý của bạn.

2. 6.2.

   SME360 có thể truy cập, lưu giữ, xử lý và tiết lộ thông tin tài khoản và nội dung của bạn khi pháp luật yêu cầu, theo quyết định của tòa án hoặc cơ quan nhà nước có thẩm quyền, hoặc khi SME360 có cơ sở hợp lý cho rằng việc đó là cần thiết để: tuân thủ quy trình pháp lý; đáp ứng yêu cầu của cơ quan có thẩm quyền; thực thi Quy chế Thành viên hoặc Chính sách này; phản hồi khiếu nại về việc nội dung xâm phạm quyền của bên thứ ba; phản hồi yêu cầu hỗ trợ của bạn; hoặc bảo vệ quyền, tài sản, sự an toàn của SME360, Thành viên hoặc cộng đồng.

3. 6.3.

   Cơ sở pháp lý của việc xử lý. SME360 chỉ xử lý dữ liệu cá nhân khi có một trong các cơ sở sau: (i) sự đồng ý của chủ thể dữ liệu theo Mục 1.5; (ii) để thực hiện thỏa thuận của chủ thể dữ liệu với SME360 hoặc với tổ chức, cá nhân liên quan theo quy định pháp luật (bao gồm Quy chế Thành viên và các hợp đồng dịch vụ); (iii) để thực hiện nghĩa vụ hoặc theo các trường hợp khác do luật quy định (như pháp luật về kế toán, thuế, phòng, chống rửa tiền); (iv) để bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền và lợi ích hợp pháp của chủ thể dữ liệu hoặc người khác trong tình huống cấp bách, hoặc trước hành vi xâm phạm; hoặc (v) để phục vụ hoạt động của cơ quan nhà nước theo quy định pháp luật. Cơ sở pháp lý chính cho từng nhóm Mục đích được nêu tại bảng dưới đây:

   Nhóm Mục đích	Loại dữ liệu chủ yếu	Cơ sở pháp lý chính
   Nhóm Mục đíchĐăng ký, quản lý tư cách thành viên và tài khoản – Mục 6.1(a), (b)	Loại dữ liệu chủ yếuDữ liệu định danh, liên hệ, chức danh; thông tin tài khoản	Cơ sở pháp lý chínhThực hiện thỏa thuận (Quy chế Thành viên); sự đồng ý
   Nhóm Mục đíchDịch vụ Vận hành – Mục 6.1(c)	Loại dữ liệu chủ yếuDữ liệu cơ bản; dữ liệu nhạy cảm cần cho từng việc (căn cước, tài khoản ngân hàng, sức khỏe, tài khoản giao dịch với cơ quan nhà nước)	Cơ sở pháp lý chínhThực hiện thỏa thuận; đối với dữ liệu nhạy cảm: sự đồng ý của chủ thể dữ liệu. Với dữ liệu xử lý thay mặt Thành viên: theo chỉ dẫn của Thành viên với tư cách bên kiểm soát (Mục 7)
   Nhóm Mục đíchDịch vụ Kết nối – Mục 6.1(d)	Loại dữ liệu chủ yếuThông tin hồ sơ, nhu cầu, người liên hệ	Cơ sở pháp lý chínhSự đồng ý (bao gồm lựa chọn mức độ công khai hồ sơ); thực hiện thỏa thuận
   Nhóm Mục đíchDịch vụ Hỗ trợ Vay vốn – Mục 6.1(e)	Loại dữ liệu chủ yếuDữ liệu tài chính, tín dụng, định danh của người đại diện, chủ sở hữu, người bảo lãnh	Cơ sở pháp lý chínhSự đồng ý riêng cho từng lần chuyển hồ sơ đến Ngân hàng Đối tác được chọn
   Nhóm Mục đíchThu phí, hóa đơn – Mục 6.1(f)	Loại dữ liệu chủ yếuThông tin thanh toán, xuất hóa đơn	Cơ sở pháp lý chínhThực hiện thỏa thuận; nghĩa vụ theo pháp luật kế toán, thuế
   Nhóm Mục đíchChăm sóc Thành viên, thông báo quản trị – Mục 6.1(g), (h)	Loại dữ liệu chủ yếuDữ liệu liên hệ, nội dung trao đổi, ghi âm cuộc gọi	Cơ sở pháp lý chínhThực hiện thỏa thuận; sự đồng ý (đối với ghi âm cuộc gọi)
   Nhóm Mục đíchThực thi Quy chế, phòng chống gian lận, bảo vệ quyền – Mục 6.1(i), (j), (k), (q)	Loại dữ liệu chủ yếuDữ liệu định danh, lịch sử sử dụng, nhật ký hệ thống	Cơ sở pháp lý chínhThực hiện thỏa thuận; bảo vệ quyền và lợi ích hợp pháp trước hành vi xâm phạm; trường hợp do luật quy định
   Nhóm Mục đíchAn ninh hệ thống, sao lưu – Mục 6.1(l), (r)	Loại dữ liệu chủ yếuDữ liệu kỹ thuật, nhật ký truy cập	Cơ sở pháp lý chínhThực hiện thỏa thuận; nghĩa vụ bảo đảm an ninh mạng theo quy định pháp luật
   Nhóm Mục đíchNghiên cứu, thống kê, phát triển sản phẩm – Mục 6.1(m), (n)	Loại dữ liệu chủ yếuDữ liệu sử dụng; dữ liệu đã tổng hợp, khử nhận dạng	Cơ sở pháp lý chínhSự đồng ý (đối với cookies phân tích); dữ liệu đã khử nhận dạng
   Nhóm Mục đíchTiếp thị, quảng cáo – Mục 6.1(o)	Loại dữ liệu chủ yếuDữ liệu liên hệ, tùy chọn tiếp thị	Cơ sở pháp lý chínhSự đồng ý riêng, có thể rút lại bất kỳ lúc nào
   Nhóm Mục đíchTuân thủ pháp luật, yêu cầu của cơ quan nhà nước – Mục 6.1(p), Mục 6.2	Loại dữ liệu chủ yếuDữ liệu theo yêu cầu cụ thể	Cơ sở pháp lý chínhTrường hợp do luật quy định; phục vụ hoạt động của cơ quan nhà nước
   Nhóm Mục đíchTái cấu trúc doanh nghiệp – Mục 6.1(s)	Loại dữ liệu chủ yếuDữ liệu liên quan đến hoạt động được chuyển giao	Cơ sở pháp lý chínhTrường hợp do luật quy định; sự đồng ý khi pháp luật yêu cầu
   Nhóm Mục đíchMục đích khác – Mục 6.1(t)	Loại dữ liệu chủ yếuTheo thông báo tại thời điểm đề nghị sự đồng ý	Cơ sở pháp lý chínhSự đồng ý

4. 6.4.

   Đối với dữ liệu cá nhân nhạy cảm, SME360 chỉ xử lý khi thực sự cần thiết cho Dịch vụ bạn yêu cầu, trên cơ sở sự đồng ý của chủ thể dữ liệu (hoặc cơ sở khác do luật quy định), sau khi đã thông báo cho chủ thể dữ liệu rằng dữ liệu đó là dữ liệu cá nhân nhạy cảm. SME360 áp dụng quy định phân quyền giới hạn truy cập, quy trình xử lý riêng và biện pháp mã hóa đối với nhóm dữ liệu này.

5. 6.5.

   Cách thức xử lý. Dữ liệu cá nhân được xử lý bằng phương thức thủ công và tự động trên hệ thống của SME360 và của nhà cung cấp dịch vụ, bao gồm thu thập, ghi, phân tích, lưu trữ, chỉnh sửa, truyền đưa, chia sẻ, xóa và hủy dữ liệu. Trong Dịch vụ Kết nối, SME360 có thể sử dụng công cụ tự động hoặc trí tuệ nhân tạo để phân tích nhu cầu và gợi ý đối tác phù hợp. Các gợi ý này chỉ mang tính tham khảo và không phải là quyết định làm phát sinh quyền, nghĩa vụ pháp lý đối với bạn; bạn có quyền yêu cầu nhân sự của SME360 xem xét lại kết quả gợi ý. SME360 không sử dụng công cụ tự động để chấm điểm tín nhiệm cá nhân hoặc quyết định cấp tín dụng.

6. 6.6.

   SME360 không xử lý dữ liệu cá nhân cho mục đích khác với mục đích đã thông báo và không mua, bán dữ liệu cá nhân. Nếu phát sinh mục đích mới, SME360 sẽ thông báo và đề nghị sự đồng ý của bạn, trừ trường hợp pháp luật cho phép xử lý mà không cần sự đồng ý.

7. Dữ liệu SME360 xử lý thay mặt Thành viên

1. 7.1.

   Đối với dữ liệu cá nhân của người lao động, người phụ thuộc, thành viên góp vốn, cổ đông, khách hàng, đối tác và các cá nhân khác liên quan đến Thành viên mà Thành viên cung cấp để SME360 thực hiện Dịch vụ Vận hành (như tính lương, thủ tục bảo hiểm xã hội, quyết toán thuế thu nhập cá nhân, hồ sơ pháp lý nội bộ): Thành viên là bên kiểm soát dữ liệu cá nhân; Balacom là bên xử lý dữ liệu cá nhân và chỉ xử lý theo yêu cầu của Thành viên, trong phạm vi Dịch vụ được yêu cầu.

2. 7.2.

   Thành viên đồng ý để Balacom sử dụng Đối tác Thực hiện tham gia xử lý dữ liệu nêu tại Mục 7.1. Dữ liệu chỉ được chuyển cho Đối tác Thực hiện trực tiếp phụ trách công việc liên quan, theo nguyên tắc cần biết và với nghĩa vụ bảo mật tương ứng theo hợp đồng giữa Balacom và Đối tác Thực hiện.

3. 7.3.

   Thành viên chịu trách nhiệm bảo đảm có căn cứ hợp pháp để thu thập và cung cấp dữ liệu nêu tại Mục 7.1, chỉ cung cấp dữ liệu cần thiết, và tự thực hiện các nghĩa vụ riêng của bên kiểm soát dữ liệu theo Pháp luật về BVDLCN. Cá nhân có dữ liệu thuộc Mục 7.1 (ví dụ: người lao động của Thành viên) muốn thực hiện quyền của chủ thể dữ liệu nên liên hệ trực tiếp với Thành viên. Trường hợp SME360 nhận được yêu cầu, SME360 sẽ chuyển yêu cầu cho Thành viên và phối hợp giải quyết trong thời hạn theo quy định.

4. 7.4.

   Trong thời hạn 30 ngày kể từ ngày chấm dứt tư cách thành viên, SME360 bàn giao lại cho Thành viên theo yêu cầu và xóa, hủy dữ liệu cá nhân mà SME360 và Đối tác Thực hiện đang xử lý thay mặt Thành viên, trừ trường hợp pháp luật yêu cầu lưu trữ. Chứng từ, sổ sách kế toán và hồ sơ thuế của Thành viên do SME360 hoặc Đối tác Thực hiện đang lưu giữ được bàn giao lại cho Thành viên để Thành viên thực hiện nghĩa vụ lưu trữ theo quy định của pháp luật.

5. 7.5.

   Đối với dữ liệu cá nhân được chuyển cho Ngân hàng Đối tác trong Dịch vụ Hỗ trợ Vay vốn hoặc cho Thành viên khác trong Dịch vụ Kết nối, kể từ thời điểm tiếp nhận, bên nhận là bên kiểm soát dữ liệu cá nhân độc lập và tự chịu trách nhiệm tuân thủ Pháp luật về BVDLCN đối với dữ liệu đã nhận.

8. SME360 bảo vệ và lưu trữ dữ liệu cá nhân như thế nào?

1. 8.1.

   SME360 áp dụng các biện pháp quản lý và kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân khỏi việc truy cập, sử dụng, tiết lộ, thay đổi hoặc phá hủy trái phép, bao gồm: lưu trữ dữ liệu trên hệ thống được bảo vệ; mã hóa kết nối và mã hóa đối với dữ liệu nhạy cảm; phân quyền truy cập theo vai trò và nguyên tắc cần biết, chỉ một số ít nhân sự được cấp quyền đặc biệt mới có thể truy cập; ràng buộc nghĩa vụ bảo mật đối với nhân sự và Đối tác Thực hiện; ghi nhận nhật ký truy cập và sao lưu định kỳ. Tuy nhiên, không có hệ thống nào có thể bảo đảm an toàn tuyệt đối, và SME360 không thể cam kết rằng dữ liệu sẽ không bao giờ bị xâm phạm (xem thêm Mục 10).

2. 8.2.

   SME360 đã chỉ định bộ phận phụ trách bảo vệ dữ liệu cá nhân (thông tin liên hệ tại Mục 17). SME360 lập, lưu giữ và cập nhật hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và (khi có chuyển dữ liệu ra nước ngoài) hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài, và gửi cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân theo thời hạn, mẫu và trường hợp quy định tại Pháp luật về BVDLCN. Hồ sơ đánh giá tác động bao quát các hoạt động có rủi ro cao hơn của Nền tảng, bao gồm xử lý dữ liệu cá nhân nhạy cảm, dữ liệu tài chính phục vụ hồ sơ vay, dữ liệu người lao động của Thành viên và việc sử dụng công cụ trí tuệ nhân tạo trong Dịch vụ Kết nối, và được cập nhật khi có thay đổi về mục đích, loại dữ liệu, bên nhận hoặc cách thức xử lý.

3. 8.3.

   Thời gian bắt đầu và kết thúc xử lý. Việc xử lý dữ liệu cá nhân bắt đầu từ thời điểm SME360 thu thập dữ liệu hoặc từ thời điểm bạn cho sự đồng ý (tùy thời điểm nào đến trước) và kết thúc khi Mục đích tương ứng đã hoàn thành, khi bạn rút lại sự đồng ý (đối với hoạt động xử lý dựa trên sự đồng ý) hoặc khi hết thời hạn lưu trữ theo bảng dưới đây, tùy thời điểm nào đến trước, trừ trường hợp pháp luật yêu cầu lưu trữ lâu hơn:

   Nhóm dữ liệu	Bắt đầu xử lý	Kết thúc xử lý / thời hạn lưu trữ
   Nhóm dữ liệuDữ liệu tài khoản và hồ sơ Thành viên	Bắt đầu xử lýKhi đăng ký tài khoản hoặc nộp hồ sơ	Kết thúc xử lý / thời hạn lưu trữKhi tư cách thành viên chấm dứt; dữ liệu cần thiết cho giải quyết khiếu nại, tranh chấp được lưu thêm tối đa 03 năm
   Nhóm dữ liệuDữ liệu SME360 xử lý thay mặt Thành viên trong Dịch vụ Vận hành	Bắt đầu xử lýKhi Thành viên gửi yêu cầu Dịch vụ	Kết thúc xử lý / thời hạn lưu trữKhi hoàn thành Dịch vụ; chậm nhất 30 ngày kể từ ngày chấm dứt tư cách thành viên (Mục 7.4)
   Nhóm dữ liệuHồ sơ Dịch vụ Hỗ trợ Vay vốn	Bắt đầu xử lýKhi Thành viên đăng ký nhu cầu vay vốn	Kết thúc xử lý / thời hạn lưu trữKhi kết thúc hỗ trợ hồ sơ hoặc khi rút lại sự đồng ý; tối đa 12 tháng kể từ ngày hồ sơ kết thúc
   Nhóm dữ liệuHóa đơn, chứng từ kế toán về giao dịch giữa Balacom và Thành viên	Bắt đầu xử lýKhi phát sinh giao dịch	Kết thúc xử lý / thời hạn lưu trữTheo thời hạn lưu trữ của pháp luật về kế toán, thuế
   Nhóm dữ liệuNội dung trao đổi, ghi âm cuộc gọi chăm sóc Thành viên	Bắt đầu xử lýKhi bạn liên hệ SME360	Kết thúc xử lý / thời hạn lưu trữ12 tháng kể từ ngày tạo, hoặc đến khi giải quyết xong khiếu nại liên quan
   Nhóm dữ liệuDữ liệu phục vụ tiếp thị	Bắt đầu xử lýKhi bạn cho sự đồng ý	Kết thúc xử lý / thời hạn lưu trữKhi bạn rút lại sự đồng ý hoặc hủy đăng ký
   Nhóm dữ liệuCookies và nhật ký hệ thống	Bắt đầu xử lýKhi bạn truy cập Nền tảng	Kết thúc xử lý / thời hạn lưu trữTheo thời hạn của từng loại cookies; nhật ký hệ thống 12 tháng
   Nhóm dữ liệuDữ liệu liên hệ của người chưa là Thành viên (người truy cập, đăng ký nhận tin, liên hệ SME360)	Bắt đầu xử lýKhi bạn đăng ký nhận tin hoặc liên hệ SME360	Kết thúc xử lý / thời hạn lưu trữ12 tháng kể từ lần liên hệ cuối, hoặc khi bạn hủy đăng ký, yêu cầu xóa dữ liệu

4. 8.4.

   SME360 lưu trữ dữ liệu cá nhân trong thời gian cần thiết để thực hiện các Mục đích và theo Pháp luật về BVDLCN. SME360 sẽ xóa, hủy hoặc khử nhận dạng dữ liệu cá nhân khi nhận được yêu cầu xóa hợp lệ theo Pháp luật về BVDLCN, hoặc khi có cơ sở hợp lý để xác định rằng: (i) việc lưu giữ không còn phục vụ mục đích thu thập ban đầu; (ii) dữ liệu không còn cần thiết cho bất kỳ mục đích pháp lý hoặc kinh doanh nào; và (iii) không còn căn cứ hợp pháp nào khác để tiếp tục lưu giữ.

5. 8.5.

   Sau khi bạn ngừng sử dụng Nền tảng hoặc tư cách thành viên chấm dứt, SME360 có thể tiếp tục lưu giữ, sử dụng hoặc tiết lộ dữ liệu cá nhân trong phạm vi cần thiết theo Chính sách này và nghĩa vụ pháp lý của SME360 (ví dụ: hóa đơn, chứng từ kế toán về giao dịch giữa Balacom và Thành viên; hồ sơ giải quyết khiếu nại, tranh chấp). Đối với dữ liệu xử lý thay mặt Thành viên, áp dụng Mục 7.4. Trong phạm vi pháp luật cho phép, SME360 có thể tiêu hủy dữ liệu một cách an toàn mà không cần thông báo trước.

6. 8.6.

   SME360 có quyền từ chối yêu cầu xóa, hủy dữ liệu nếu yêu cầu đó không phù hợp với Pháp luật về BVDLCN, hoặc nếu pháp luật không cho phép xóa dữ liệu đó dù yêu cầu hợp lệ về hình thức.

7. 8.7.

   Bạn có trách nhiệm giữ bí mật tên đăng nhập, mật khẩu và các phương tiện xác thực tài khoản của mình, đồng thời thông báo ngay cho SME360 khi phát hiện tài khoản bị truy cập trái phép hoặc có dấu hiệu bị lộ thông tin.

9. SME360 có chia sẻ, tiết lộ dữ liệu cá nhân không?

1. 9.1.

   Để thực hiện các Mục đích, SME360 có thể chia sẻ dữ liệu cá nhân với các bên sau, trong phạm vi cần thiết:

   1. (a)

      công ty mẹ, công ty con, công ty liên kết của Balacom;

   2. (b)

      Đối tác Thực hiện (luật sư, kế toán viên, chuyên viên thuế, chuyên viên nhân sự, tổ chức chuyên môn) trực tiếp phụ trách công việc trong Dịch vụ Vận hành;

   3. (c)

      Ngân hàng Đối tác do Thành viên lựa chọn – chỉ các thông tin, tài liệu phục vụ hồ sơ đề nghị cấp tín dụng (như báo cáo tài chính, tờ khai thuế, sổ sách kế toán, sao kê tài khoản, thông tin người đại diện, chủ sở hữu, người bảo lãnh);

   4. (d)

      Thành viên khác trong Dịch vụ Kết nối – chỉ các thông tin về nhu cầu, năng lực và thông tin người liên hệ mà Thành viên đã đồng ý công khai hoặc cho phép sử dụng cho mục đích giới thiệu, kết nối;

   5. (e)

      nhà cung cấp dịch vụ cho SME360, như: hạ tầng điện toán đám mây, lưu trữ, trung tâm dữ liệu; công nghệ thông tin, phần mềm; dịch vụ thư điện tử, tin nhắn, tổng đài; thanh toán, hóa đơn điện tử, chữ ký số; chăm sóc khách hàng; phân tích dữ liệu, quảng cáo; và công cụ trí tuệ nhân tạo. Dữ liệu được nhập vào công cụ trí tuệ nhân tạo có thể được xử lý bởi nhà cung cấp công cụ đó theo hợp đồng và cam kết bảo mật với SME360;

   6. (f)

      nhà cung cấp dịch vụ thư điện tử doanh nghiệp, tên miền, lưu trữ đám mây, bản quyền phần mềm – khi SME360 thay mặt Thành viên đăng ký, quản trị các dịch vụ này trong khuôn khổ dịch vụ IT Helpdesk;

   7. (g)

      cơ quan nhà nước có thẩm quyền – theo yêu cầu của pháp luật, hoặc khi SME360, Đối tác Thực hiện thực hiện thủ tục theo ủy quyền của Thành viên (như cơ quan thuế, bảo hiểm xã hội, đăng ký kinh doanh, sở hữu trí tuệ), hoặc các trường hợp khác nêu tại Mục 6.2;

   8. (h)

      chuyên gia tư vấn, kiểm toán viên, luật sư của SME360 có nghĩa vụ bảo mật;

   9. (i)

      bên mua, bên nhận chuyển nhượng hoặc bên kế thừa trong trường hợp sáp nhập, hợp nhất, chia, tách, chuyển đổi, phá sản hoặc chuyển nhượng toàn bộ hoặc một phần hoạt động kinh doanh, tài sản của Balacom; và

   10. (j)

       bất kỳ bên nào khác theo yêu cầu hoặc với sự đồng ý của bạn (ví dụ: khi bạn yêu cầu liên kết tài khoản SME360 với tài khoản bên thứ ba).

   Các bên nhận nêu trên có thể ở trong hoặc ngoài lãnh thổ Việt Nam. Việc chia sẻ được thực hiện theo Pháp luật về BVDLCN. SME360 nỗ lực yêu cầu các bên nhận không truy cập, sử dụng trái phép dữ liệu cá nhân và chỉ lưu giữ dữ liệu trong thời gian cần thiết.

2. 9.2.

   SME360 có thể chia sẻ thông tin thống kê, dữ liệu tổng hợp hoặc đã khử nhận dạng (không xác định được cá nhân cụ thể), như số lượng Thành viên theo ngành nghề, khu vực, xu hướng nhu cầu, với Ngân hàng Đối tác, đối tác kinh doanh, đối tác quảng cáo hoặc công bố công khai.

3. 9.3.

   Mặc dù SME360 áp dụng các biện pháp bảo vệ hợp lý, dữ liệu cá nhân vẫn có thể bị bên thứ ba truy cập hoặc chiếm đoạt trái phép, bị ảnh hưởng bởi sự cố kỹ thuật, hoặc bị sử dụng sai mục đích mà không do lỗi của SME360 (ví dụ: tấn công mạng có chủ đích). SME360 không thể bảo đảm an toàn tuyệt đối đối với dữ liệu trong những trường hợp này.

4. 9.4.

   Thành viên (bao gồm nhân sự và người đại diện của Thành viên) nhận được dữ liệu cá nhân của Thành viên khác hoặc của cá nhân khác thông qua Nền tảng hoặc Dịch vụ Kết nối có trách nhiệm:

   1. (a)

      tuân thủ Pháp luật về BVDLCN đối với dữ liệu đã nhận;

   2. (b)

      chỉ sử dụng dữ liệu cho mục đích đàm phán, giao kết và thực hiện Giao dịch Kết nối, trừ khi chủ thể dữ liệu và SME360 đồng ý khác bằng văn bản; không sử dụng dữ liệu để gửi tin nhắn rác, quảng cáo không liên quan;

   3. (c)

      không chuyển giao dữ liệu cho bất kỳ bên thứ ba nào khi không có căn cứ hợp pháp hoặc không có sự đồng ý của chủ thể dữ liệu;

   4. (d)

      áp dụng biện pháp bảo mật phù hợp, chỉ lưu giữ dữ liệu trong thời gian cần thiết và xóa hoặc hoàn trả dữ liệu khi SME360 hoặc chủ thể dữ liệu yêu cầu, hoặc khi Giao dịch Kết nối đã hoàn tất hoặc không tiếp tục được xúc tiến;

   5. (e)

      phối hợp cung cấp thông tin để SME360 hoặc chủ thể dữ liệu kiểm tra việc xử lý dữ liệu đã thu thập, theo quy định pháp luật; và

   6. (f)

      thông báo ngay cho SME360 khi phát hiện hoặc nghi ngờ có sự cố rò rỉ, mất mát dữ liệu đã nhận.

   Vi phạm các nghĩa vụ trên được xử lý theo Quy chế Thành viên và quy định pháp luật.

10. Hậu quả, thiệt hại không mong muốn có khả năng xảy ra

1. 10.1.

   Dù SME360 áp dụng các biện pháp bảo vệ nêu tại Chính sách này, việc xử lý dữ liệu cá nhân vẫn có thể dẫn đến một số hậu quả, thiệt hại không mong muốn. SME360 thông báo để bạn cân nhắc trước khi cung cấp dữ liệu và cho sự đồng ý:

   1. (a)

      Rò rỉ, truy cập trái phép: dữ liệu có thể bị lộ do tấn công mạng, lỗi kỹ thuật, sai sót của con người hoặc sự cố tại hệ thống của nhà cung cấp dịch vụ, dẫn đến nguy cơ bị mạo danh, lừa đảo, gửi tin nhắn rác hoặc lộ thông tin tài chính, kinh doanh;

   2. (b)

      Mạo danh SME360: đối tượng xấu có thể mạo danh SME360 hoặc Ngân hàng Đối tác để yêu cầu cung cấp mật khẩu, mã xác thực hoặc thu các khoản như "phí đảm bảo duyệt vay";

   3. (c)

      Dữ liệu không chính xác: dữ liệu sai hoặc không được cập nhật có thể khiến tờ khai thuế, hồ sơ bảo hiểm xã hội, hồ sơ pháp lý bị sai sót, hoặc hồ sơ vay bị chậm xử lý, bị từ chối;

   4. (d)

      Dữ liệu sau khi chia sẻ: khi dữ liệu đã được chuyển cho Ngân hàng Đối tác hoặc Thành viên khác theo yêu cầu của bạn, việc xử lý tiếp theo do bên nhận kiểm soát theo chính sách của họ (Mục 7.5);

   5. (e)

      Chuyển dữ liệu ra nước ngoài: dữ liệu được lưu trữ, xử lý ở nước ngoài có thể chịu sự điều chỉnh của pháp luật nước sở tại, nơi mức độ bảo vệ có thể khác Việt Nam (Mục 14);

   6. (f)

      Công cụ tự động: gợi ý kết nối do công cụ tự động hoặc trí tuệ nhân tạo tạo ra có thể chưa phù hợp hoặc chưa chính xác (Mục 6.5);

   7. (g)

      Không cung cấp dữ liệu, rút lại sự đồng ý hoặc yêu cầu xóa dữ liệu: SME360 có thể không cung cấp được một phần hoặc toàn bộ Dịch vụ, hồ sơ đang xử lý có thể bị gián đoạn, và tư cách thành viên có thể phải chấm dứt (Mục 15.2).

2. 10.2.

   Để giảm thiểu các rủi ro trên, SME360 áp dụng các biện pháp tại Mục 8, xử lý vi phạm theo Mục 16 và khuyến nghị bạn: chỉ cung cấp dữ liệu qua kênh chính thức của SME360; không chia sẻ mật khẩu, mã xác thực; kiểm tra tính chính xác của dữ liệu trước khi gửi; và thông báo ngay cho SME360 khi phát hiện dấu hiệu bất thường.

11. Dữ liệu của trẻ em và người chưa thành niên

1. 11.1.

   Nền tảng và Dịch vụ dành cho doanh nghiệp, tổ chức, hộ kinh doanh. Người sử dụng Nền tảng thay mặt Thành viên phải từ đủ 18 tuổi và có thẩm quyền đại diện hợp lệ. SME360 không chủ ý thu thập dữ liệu cá nhân của trẻ em hoặc người chưa thành niên với tư cách là người sử dụng Nền tảng. Nếu phát hiện tài khoản do người chưa thành niên sử dụng mà không có thẩm quyền hợp lệ, SME360 có quyền khóa tài khoản đó và xóa dữ liệu cá nhân liên quan theo quy định.

2. 11.2.

   Trường hợp Thành viên cung cấp dữ liệu cá nhân của người lao động chưa thành niên hoặc của trẻ em (ví dụ: thông tin con của người lao động để đăng ký người phụ thuộc, hưởng chế độ thai sản) để sử dụng Dịch vụ Vận hành, Thành viên cam đoan đã có sự đồng ý của cha, mẹ hoặc người giám hộ và của trẻ em (khi pháp luật yêu cầu) theo Pháp luật về BVDLCN. SME360 chỉ xử lý các dữ liệu này ở mức tối thiểu cần thiết cho Dịch vụ được yêu cầu.

12. Dữ liệu do bên thứ ba thu thập

1. 12.1.

   Nền tảng có thể sử dụng các công cụ phân tích của bên thứ ba (ví dụ: Google Analytics). Các công cụ này sử dụng cookies để thu thập thông tin về cách người dùng sử dụng Nền tảng, bao gồm địa chỉ IP, và thông tin này có thể được truyền đến và lưu trữ trên máy chủ của nhà cung cấp ở ngoài Việt Nam. Nhà cung cấp sử dụng thông tin để đánh giá việc sử dụng Nền tảng và lập báo cáo cho SME360, và có thể chuyển thông tin cho bên khác khi pháp luật yêu cầu hoặc khi bên đó xử lý thông tin thay mặt nhà cung cấp, theo chính sách riêng của nhà cung cấp.

2. 12.2.

   SME360 hoặc bên thứ ba có thể cung cấp, tích hợp trên Nền tảng các ứng dụng, tiện ích hoặc dịch vụ của bên thứ ba (như đăng nhập bằng tài khoản Google, Microsoft, Zalo; cổng thanh toán; chữ ký số; hóa đơn điện tử; phần mềm kế toán, nhân sự). Các bên thứ ba này có thể tiếp cận thông tin nhận dạng của bạn (như họ tên, mã tài khoản, địa chỉ IP, cookies) và có thể yêu cầu bạn cung cấp thêm thông tin trực tiếp cho họ. SME360 không kiểm soát các sản phẩm, dịch vụ này; bạn nên đọc kỹ điều khoản và chính sách bảo mật của các bên thứ ba đó.

13. Loại trừ trách nhiệm về bảo mật và các trang web bên thứ ba

1. 13.1.

   SME360 không bảo đảm an toàn đối với dữ liệu cá nhân mà bạn cung cấp trên website, ứng dụng hoặc hệ thống của bên thứ ba, bao gồm hệ thống của Ngân hàng Đối tác và cổng dịch vụ công của cơ quan nhà nước. Đối với dữ liệu trên Nền tảng, SME360 áp dụng các biện pháp bảo vệ như nêu tại Mục 8, bao gồm hạn chế quyền truy cập, kết nối được mã hóa và lưu trữ trên hệ thống được bảo vệ.

2. 13.2.

   Nền tảng có thể chứa đường dẫn hoặc hiển thị nội dung từ website, ứng dụng, dịch vụ của bên thứ ba, hoặc SME360 có thể hợp tác với bên thứ ba để cùng tổ chức chương trình, sự kiện, truyền thông. Các bên thứ ba này có chính sách bảo mật riêng, và SME360 có thể không tiếp cận hoặc lưu giữ dữ liệu mà họ thu thập.

3. 13.3.

   SME360 không chịu trách nhiệm về nội dung, mức độ bảo mật hoặc hoạt động của các website, ứng dụng của bên thứ ba được liên kết. Bạn tự chịu rủi ro khi truy cập các website, ứng dụng đó. SME360 hoan nghênh phản hồi của bạn về các đường dẫn này, bao gồm thông báo khi đường dẫn không hoạt động.

4. 13.4.

   Việc xử lý dữ liệu cá nhân của Ngân hàng Đối tác và Thành viên khác sau khi tiếp nhận dữ liệu thuộc trách nhiệm của các bên đó theo Mục 7.5. SME360 chịu trách nhiệm đối với hành vi của chính mình trong quá trình xử lý và chuyển giao dữ liệu theo Chính sách này và Quy chế Thành viên.

14. SME360 có chuyển dữ liệu cá nhân ra nước ngoài không?

1. 14.1.

   Dữ liệu cá nhân của bạn có thể được chuyển, lưu trữ hoặc xử lý bên ngoài lãnh thổ Việt Nam để thực hiện các Mục đích, ví dụ khi SME360 sử dụng dịch vụ điện toán đám mây, thư điện tử, phân tích dữ liệu hoặc công cụ trí tuệ nhân tạo do nhà cung cấp có máy chủ đặt ở nước ngoài.

2. 14.2.

   SME360 chỉ thực hiện việc chuyển dữ liệu cá nhân ra nước ngoài khi đáp ứng các điều kiện theo Pháp luật về BVDLCN, bao gồm việc lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và gửi cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày bắt đầu chuyển dữ liệu (khi thuộc trường hợp phải thực hiện), cập nhật hồ sơ khi có thay đổi, và yêu cầu bên nhận áp dụng mức độ bảo vệ phù hợp bằng hợp đồng hoặc cam kết bằng văn bản.

3. 14.3.

   Trường hợp cơ quan có thẩm quyền yêu cầu ngừng chuyển dữ liệu ra nước ngoài theo quy định pháp luật, SME360 sẽ tuân thủ và thông báo cho bạn về các ảnh hưởng (nếu có) đối với Dịch vụ.

15. Quyền của bạn: rút lại sự đồng ý, truy cập, chỉnh sửa, xóa và hạn chế xử lý dữ liệu

1. 15.1.

   Với tư cách là chủ thể dữ liệu, bạn có các quyền theo Pháp luật về BVDLCN, bao gồm: quyền được biết về hoạt động xử lý dữ liệu; đồng ý, không đồng ý hoặc rút lại sự đồng ý; xem, chỉnh sửa hoặc yêu cầu chỉnh sửa; yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu; phản đối xử lý dữ liệu; khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định pháp luật.

2. 15.2.

   Rút lại sự đồng ý, yêu cầu hạn chế hoặc phản đối xử lý

   1. (a)

      Bạn có thể rút lại sự đồng ý, yêu cầu hạn chế xử lý hoặc phản đối việc xử lý dữ liệu cá nhân bằng cách gửi yêu cầu đến bộ phận bảo vệ dữ liệu cá nhân của SME360 theo thông tin tại Mục 17. SME360 sẽ xử lý yêu cầu theo Chính sách này và Pháp luật về BVDLCN.

   2. (b)

      Việc rút lại sự đồng ý không ảnh hưởng đến tính hợp pháp của hoạt động xử lý đã thực hiện trước đó. Tùy theo phạm vi yêu cầu, SME360 có thể không còn khả năng tiếp tục cung cấp một phần hoặc toàn bộ Dịch vụ, và trong trường hợp đó tư cách thành viên có thể phải chấm dứt theo Quy chế Thành viên (việc hoàn phí, nếu có, thực hiện theo Điều 7 và Điều 49 của Quy chế Thành viên). SME360 sẽ thông báo cho bạn về các hệ quả này trước khi thực hiện.

   3. (c)

      Việc từ chối nhận thông tin tiếp thị không ảnh hưởng đến việc bạn sử dụng các Dịch vụ khác.

3. 15.3.

   Yêu cầu cung cấp dữ liệu cá nhân

   1. (a)

      Bạn có thể yêu cầu SME360 cung cấp cho bạn bản sao dữ liệu cá nhân của bạn, hoặc cung cấp dữ liệu đó cho một cá nhân, tổ chức khác. Trường hợp yêu cầu được gửi bởi người khác thay mặt bạn, người đó phải xuất trình văn bản ủy quyền hợp lệ hoặc bằng chứng khác về sự đồng ý của bạn.

   2. (b)

      Yêu cầu chỉ được xem xét khi được gửi đầy đủ thông tin và theo hình thức quy định tại Pháp luật về BVDLCN, qua thư điện tử nêu tại Mục 17, nêu rõ nội dung yêu cầu và kèm thông tin xác minh danh tính.

   3. (c)

      Nếu yêu cầu hợp lệ và SME360 được phép đáp ứng theo pháp luật, SME360 sẽ thông báo cho bạn về thời gian, địa điểm, hình thức cung cấp và cung cấp dữ liệu theo đúng thông báo.

   4. (d)

      SME360 có quyền từ chối yêu cầu trong các trường hợp pháp luật cho phép (ví dụ: việc cung cấp gây ảnh hưởng đến quốc phòng, an ninh quốc gia, trật tự an toàn xã hội, hoặc gây tổn hại đến quyền và lợi ích hợp pháp của người khác).

4. 15.4.

   Xem và chỉnh sửa dữ liệu cá nhân

   1. (a)

      Nếu bạn có tài khoản trên Nền tảng, bạn có thể tự xem và cập nhật một số dữ liệu tại Nền tảng. Đối với các thông tin cần xác minh (như tên doanh nghiệp, mã số thuế, người đại diện theo pháp luật), bạn cần gửi yêu cầu kèm tài liệu chứng minh. Nếu bạn không có tài khoản, vui lòng gửi yêu cầu bằng văn bản đến bộ phận bảo vệ dữ liệu cá nhân của SME360.

   2. (b)

      SME360 có thể yêu cầu bạn cung cấp đủ thông tin để xác minh danh tính và nội dung yêu cầu trước khi thực hiện.

   3. (c)

      SME360 có quyền từ chối chỉnh sửa trong các trường hợp pháp luật cho phép.

5. 15.5.

   Yêu cầu xóa dữ liệu cá nhân

   1. (a)

      Bạn có thể yêu cầu SME360 xóa dữ liệu cá nhân của bạn trong các trường hợp theo Pháp luật về BVDLCN.

   2. (b)

      SME360 có thể từ chối hoặc tạm hoãn việc xóa trong các trường hợp nêu tại Mục 8.6, hoặc khi dữ liệu cần thiết để thực hiện hợp đồng đang có hiệu lực, giải quyết khiếu nại, tranh chấp, hoặc khi pháp luật yêu cầu lưu trữ.

6. 15.6.

   Thời hạn giải quyết yêu cầu. Trong vòng 02 (hai) ngày làm việc kể từ ngày nhận được yêu cầu, SME360 sẽ xác nhận đã tiếp nhận và hướng dẫn bạn về trình tự, thủ tục thực hiện. SME360 thực hiện yêu cầu trong các thời hạn sau, hoặc thời hạn khác theo quy định của pháp luật:

   Loại yêu cầu	Thời hạn thực hiện	Trường hợp cần bên xử lý hoặc bên thứ ba thực hiện	Gia hạn (tối đa 01 lần)
   Loại yêu cầuRút lại sự đồng ý; yêu cầu hạn chế xử lý; phản đối xử lý	Thời hạn thực hiện15 ngày	Trường hợp cần bên xử lý hoặc bên thứ ba thực hiện20 ngày	Gia hạn (tối đa 01 lần)Không quá 15 ngày
   Loại yêu cầuXem, chỉnh sửa hoặc yêu cầu chỉnh sửa; yêu cầu cung cấp dữ liệu	Thời hạn thực hiện10 ngày	Trường hợp cần bên xử lý hoặc bên thứ ba thực hiện15 ngày	Gia hạn (tối đa 01 lần)Không quá 10 ngày
   Loại yêu cầuXóa dữ liệu	Thời hạn thực hiện20 ngày	Trường hợp cần bên xử lý hoặc bên thứ ba thực hiện30 ngày	Gia hạn (tối đa 01 lần)Không quá 20 ngày

   Trường hợp yêu cầu phức tạp cần gia hạn, SME360 sẽ thông báo cho bạn lý do gia hạn trước khi hết thời hạn ban đầu. Thời hạn được tính kể từ ngày SME360 nhận được yêu cầu hợp lệ, đầy đủ thông tin. Đối với dữ liệu SME360 xử lý thay mặt Thành viên, áp dụng Mục 7.3.

7. 15.7.

   Nếu bạn cho rằng quyền của mình bị xâm phạm, bạn có thể liên hệ SME360 để được giải quyết trước. Bạn cũng có quyền khiếu nại đến cơ quan chuyên trách bảo vệ dữ liệu cá nhân hoặc khởi kiện theo quy định pháp luật.

16. Xử lý vi phạm quy định về bảo vệ dữ liệu cá nhân

1. 16.1.

   Khi phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân (như rò rỉ, mất mát, truy cập trái phép), SME360 áp dụng ngay các biện pháp ngăn chặn, khắc phục. Trường hợp vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự an toàn xã hội hoặc đến tính mạng, sức khỏe, danh dự, uy tín, nhân phẩm, tài sản của chủ thể dữ liệu, SME360 thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong vòng 72 giờ kể từ khi phát hiện vi phạm, và thông báo cho chủ thể dữ liệu bị ảnh hưởng theo hình thức, nội dung quy định tại Pháp luật về BVDLCN, kèm khuyến nghị các biện pháp bạn có thể thực hiện để hạn chế thiệt hại.

2. 16.2.

   Đối với dữ liệu SME360 xử lý thay mặt Thành viên, SME360 thông báo cho Thành viên ngay khi có thể sau khi phát hiện vi phạm để Thành viên thực hiện nghĩa vụ của bên kiểm soát dữ liệu; SME360 và Đối tác Thực hiện phối hợp cung cấp thông tin cần thiết.

3. 16.3.

   Hồ sơ về vi phạm và biện pháp xử lý được SME360 lưu giữ theo thời hạn quy định của pháp luật.

17. Thắc mắc, khiếu nại và thông tin liên hệ

Nếu bạn có câu hỏi, quan ngại, yêu cầu thực hiện quyền của chủ thể dữ liệu hoặc khiếu nại liên quan đến Chính sách này hoặc việc SME360 xử lý dữ liệu cá nhân, vui lòng liên hệ:

Đơn vị

CÔNG TY CỔ PHẦN BALACOM

Địa chỉ trụ sở

Số 20 Ngõ 66 Đường Dịch Vọng Hậu, Phường Cầu Giấy, Thành phố Hà Nội, Việt Nam

Mã số doanh nghiệp

0110828082

Bộ phận phụ trách

Bộ phận Bảo vệ dữ liệu cá nhân

Thư điện tử

sme360@balancelife.vn

Điện thoại

024 6267 1409