CHÍNH SÁCH BẢO MẬT & BẢO VỆ DỮ LIỆU CÁ NHÂN

Căn cứ Khoản 6, 7, 8, 9 Điều 2 Nghị định số 13/2023/NĐ-CPTVPL, vai trò pháp lý của các bên trong hoạt động xử lý dữ liệu được phân định rành mạch như sau:

• Swan với tư cách Bên Kiểm Soát Dữ Liệu Cá Nhân (Data Controller): Swan quyết định mục đích và phương tiện xử lý đối với dữ liệu tài khoản đăng nhập (Email, Tên hiển thị, Ảnh đại diện Google), nhật ký kỹ thuật máy chủ (Địa chỉ IP, thông tin thiết bị) và dữ liệu giao dịch thanh toán nâng cấp tài khoản.
• Swan với tư cách Bên Xử Lý Dữ Liệu Cá Nhân (Data Processor): Đối với toàn bộ nội dung thông tin tiểu sử, kỹ năng, kinh nghiệm công tác, dự án, văn bằng và ảnh thẻ chân dung mà Người dùng trực tiếp nhập vào bản CV, Người dùng giữ vai trò là Bên Kiểm Soát Dữ Liệu đối với thông tin của chính mình; Swan đóng vai trò Bên Xử Lý Dữ Liệu cung cấp hạ tầng công nghệ lưu trữ, dàn trang và xử lý kỹ thuật theo đúng chỉ đạo và ý chí của Người dùng.

Căn cứ Điều 2 Nghị định số 13/2023/NĐ-CPTVPL, dữ liệu được phân loại rõ ràng thành:

Căn cứ Điều 3 Nghị định số 13/2023/NĐ-CPTVPL, dữ liệu chỉ được xử lý đúng mục đích đã công bố:

• Cung cấp hạ tầng phần mềm: Cho phép Người dùng soạn thảo, chỉnh sửa, lưu trữ và kết xuất CV thành tệp PDF vector có độ nét chuẩn in ấn A4;
• Cung cấp tính năng hỗ trợ kỹ thuật số: Rà soát cấu trúc câu từ, kiểm tra độ tương thích từ khóa ATS và mô phỏng luyện phản xạ phỏng vấn;
• Kích hoạt dịch vụ và đối soát tài chính: Xác minh giao dịch chuyển khoản VietQR Napas 247 và cấp quyền tài khoản PRO;
• Cam kết không thương mại hóa dữ liệu: Swan không bán, không cho thuê, không chia sẻ hoặc chuyển giao dữ liệu CV của Người dùng cho bất kỳ nhà tuyển dụng, đơn vị săn đầu người (headhunter), đại lý quảng cáo hay bên thứ ba nào.

Đối với phân hệ Interview Studio (Mô phỏng phỏng vấn giọng nói), căn cứ quy định về bảo vệ dữ liệu cá nhân nhạy cảm tại Khoản 4 Điều 2 Nghị định số 13/2023/NĐ-CPTVPL và Điều 17 Luật An ninh mạng 2018Chính phủ:

• Xử lý tại biên (Edge Client-side Computing): Luồng tín hiệu âm thanh thu nhận từ microphone của Người dùng được chuyển đổi thành chuỗi văn bản (Speech-to-Text) thông qua công nghệ Web Speech API trên chính trình duyệt cục bộ của Người dùng;
• Cam kết không lưu trữ âm thanh vĩnh viễn (Zero Voice Storage): Swan hoàn toàn không ghi âm, không lưu giữ các tệp âm thanh WAV/MP3, và không xây dựng cơ sở dữ liệu mẫu trắc sinh học giọng nói (Voice Biometrics) trên máy chủ;
• Ngay khi phiên phỏng vấn kết thúc, bộ nhớ đệm âm thanh tạm thời trên RAM sẽ bị xóa sạch tự động.

Căn cứ quy định về Đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài tại Điều 25 Nghị định số 13/2023/NĐ-CPTVPL:

• Phạm vi chuyển giao kỹ thuật: Khi Người dùng chủ động kích hoạt các tính năng phân tích văn bản bằng trí tuệ nhân tạo, đoạn văn bản do Người dùng yêu cầu sẽ được gửi qua giao thức mã hóa TLS 1.3 tới giao diện lập trình ứng dụng (API) của Google Cloud Platform đặt tại các trung tâm dữ liệu đạt chuẩn an ninh toàn cầu.
• Cam kết không dùng dữ liệu người dùng để huấn luyện mô hình: Căn cứ Thỏa thuận xử lý dữ liệu dịch vụ đám mây (Google Cloud Data Processing Addendum - DPA) theo chuẩn doanh nghiệp, mọi dữ liệu đầu vào (input prompts) và đầu ra của Người dùng trên Swan KHÔNG BỊ SỬ DỤNG để huấn luyện (train), tái huấn luyện, hoặc tinh chỉnh (fine-tune) bất kỳ mô hình AI cơ sở nào của bên thứ ba.

Căn cứ Điều 13TVPL và Điểm d Khoản 1 Điều 17 Nghị định số 13/2023/NĐ-CPTVPL:

• Dữ liệu do chính Chủ thể tự công khai: Khi Người dùng chủ động kích hoạt tính năng chia sẻ liên kết CV công khai (Public Link) hoặc tải bản CV lên các diễn đàn, mạng xã hội, dữ liệu đó được xác định là dữ liệu đã được chính Chủ thể dữ liệu công khai theo quy định pháp luật.
• Thực thi yêu cầu pháp luật: Swan có quyền cung cấp thông tin dữ liệu cho Cơ quan Điều tra, Viện Kiểm sát, Tòa án nhân dân hoặc cơ quan nhà nước có thẩm quyền trong các trường hợp phục vụ điều tra, truy tố tội phạm theo đúng quy định của pháp luật tố tụng Việt Nam.

Căn cứ Điều 9 Nghị định số 13/2023/NĐ-CPChính phủ, Người dùng có đầy đủ 11 quyền bất khả xâm phạm đối với dữ liệu cá nhân của mình:

Nghĩa vụ của Chủ thể dữ liệu (Điều 10 NĐ 13/2023/NĐ-CP): Người dùng có nghĩa vụ tự bảo vệ dữ liệu cá nhân của mình; yêu cầu các tổ chức liên quan bảo vệ dữ liệu; tôn trọng, bảo vệ dữ liệu cá nhân của người khác; cung cấp thông tin trung thực, chính xác và chịu trách nhiệm pháp lý về dữ liệu mình nhập vào hệ thống.

Căn cứ Điều 9 Nghị định số 13/2023/NĐ-CPChính phủ, khi Người dùng có yêu cầu rút lại sự đồng ý, hạn chế xử lý, hoặc xóa toàn bộ dữ liệu cá nhân (Data Subject Access Request - DSAR):

1. Hình thức gửi yêu cầu: Người dùng gửi email từ chính địa chỉ email đã đăng ký tài khoản tới swan.cv.vn@gmail.com (Tiêu đề: [YÊU CẦU DSAR - NGHỊ ĐỊNH 13]); hoặc chủ động nhấn nút "Xóa tài khoản vĩnh viễn" trong trang Cài đặt tài khoản.
2. Thời hạn giải quyết: Bộ phận Pháp chế và Cán bộ Bảo vệ Dữ liệu (DPO) của Swan sẽ tiến hành xác thực danh tính và phản hồi thực hiện yêu cầu trong vòng tối đa 72 giờ làm việc kể từ khi tiếp nhận yêu cầu hợp lệ.
3. Xóa dữ liệu vĩnh viễn: Sau khi xác nhận, toàn bộ dữ liệu hồ sơ CV trên cơ sở dữ liệu đám mây sẽ bị xóa hoàn toàn khỏi hệ thống lưu trữ và không thể khôi phục.

Căn cứ Điều 40 Nghị định số 13/2023/NĐ-CPTVPL về các biện pháp bảo vệ dữ liệu cá nhân kỹ thuật:

• Kiến trúc ưu tiên cục bộ (Local-First Architecture): Toàn bộ dữ liệu soạn thảo bản nháp của Người dùng được lưu trữ cục bộ trực tiếp trên thiết bị đầu cuối thông qua IndexedDB / LocalStorage, giảm thiểu tối đa việc truyền tải dữ liệu nhạy cảm không cần thiết lên môi trường mạng;
• Mã hóa đường truyền (In-Transit): Toàn bộ kết nối giữa trình duyệt của Người dùng và máy chủ Swan được bắt buộc sử dụng giao thức bảo mật HTTPS với thuật toán mã hóa TLS 1.3 mới nhất;
• Mã hóa dữ liệu tại chỗ (At-Rest): Cơ sở dữ liệu đồng bộ đám mây được lưu trữ với chuẩn mã hóa cấp doanh nghiệp AES-256 GCM;
• Bảo mật cấp hàng (Row Level Security - RLS): Áp dụng chính sách kiểm soát quyền truy cập RLS trên cơ sở dữ liệu PostgreSQL. Mỗi người dùng chỉ có thể đọc và ghi các bản ghi thuộc sở hữu của chính User ID đã được hệ thống xác thực.

Căn cứ Điều 28 Nghị định số 13/2023/NĐ-CPChính phủ về Bộ phận và Cán bộ chuyên trách bảo vệ dữ liệu cá nhân:

Trường hợp Người dùng phát hiện bất kỳ sự cố rò rỉ dữ liệu hoặc nghi ngờ hành vi vi phạm an toàn thông tin, vui lòng thông báo khẩn cấp cho Cán bộ DPO theo đường dây nóng 0962.460.142 để được kích hoạt quy trình ứng cứu sự cố trong vòng 24 giờ.