Executive, Brand Partnership

CHÍNH SÁCH
BẢO VỆ DỮ LIỆU CÁ NHÂN DÀNH CHO NGƯỜI LAO ĐỘNG

Công ty TNHH TIKI Company Limited (“TIKI”) luôn coi trọng sự riêng tư và bảo vệ Dữ liệu cá nhân của Người Lao Động. TIKI hiểu rằng thông qua Chính sách Bảo vệ Dữ liệu Cá nhân (“Chính sách”) này, Người Lao Động sẽ biết một cách minh bạch về các nội dung liên quan đến cách thức TIKI xử lý và bảo vệ Dữ liệu cá nhân của Người Lao Động trong quá trình làm việc tại TIKI.

I. Định nghĩa

Trong chính sách này, các từ ngữ dưới đây được hiểu như sau:

• 1.1 “TIKI” là Công ty TNHH TIKI Company Limited.
• 1.2 “Người lao động” được hiểu là cá nhân tham gia hoạt động ứng tuyển công việc hoặc cá nhân xác lập quan hệ lao động với TIKI, bao gồm (i) các ứng viên nộp hồ sơ để ứng tuyển vào vị trí công việc tại TIKI (không phụ thuộc vào việc đạt yêu cầu phỏng vấn hoặc không); và/hoặc (ii) (các) nhân viên đang làm việc tại TIKI theo các hình thức và các loại hợp đồng lao động kể cả những người trong thời gian học nghề, thử việc, tập sự.
• 1.3 “Dữ liệu cá nhân” là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.
• 1.4 “Dữ liệu cá nhân cơ bản” là dữ liệu cá nhân phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong các giao dịch, quan hệ xã hội – được quy định chi tiết tại Điều II dưới đây.
• 1.5 “Dữ liệu cá nhân nhạy cảm” là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân – được quy định chi tiết tại Điều II dưới đây.
• 1.6 “Xử lý Dữ liệu cá nhân” Là bất kỳ hoạt động nào TIKI thực hiện đối với thông tin của người lao động từ lúc nộp hồ sơ xin việc cho đến khi chấm dứt hợp đồng và lưu trữ sau đó.
• 1.7 “Bên Xử lý Dữ liệu cá nhân” Là các đối tác, nhà cung cấp dịch vụ được Công ty ủy quyền hoặc ký hợp đồng thực hiện thay một số công việc liên quan đến dữ liệu của người lao động (ví dụ: đối tác bảo hiểm, đối tác cung cấp phần mềm, ngân hàng trả lương, …).
• 1.8 “Bên Kiểm soát và xử lý dữ liệu cá nhân” Là Công ty TNHH TIKI Company Limited.

II. Quy định về dữ liệu cá nhân

2.1 Dữ liệu cá nhân cơ bản:

• (i) Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có);
• (ii) Ngày, tháng, năm sinh;
• (iii) Giới tính;
• (iv) Nơi đăng ký thường trú, nơi đăng ký tạm trú, nơi ở hiện tại;
• (v) Số thẻ căn cước công dân, số định danh cá nhân, số hộ chiếu;
• (vi) Số điện thoại, địa chỉ thư điện tử (email) cá nhân;
• (vii) Tình trạng hôn nhân, thông tin về mối quan hệ gia đình (cha mẹ, con, vợ chồng);
• (viii) Trình độ học vấn, trình độ kỹ năng nghề;
• (ix) Số sổ bảo hiểm xã hội, mã số thuế cá nhân;
• (x) Kết quả đào tạo, bồi dưỡng, nâng cao trình độ kỹ năng nghề tại doanh nghiệp;
• (xi) Các thông tin liên quan đến hành vi vi phạm kỷ luật, hình thức xử lý kỷ luật hoặc thành tích khen thưởng
• (xii) Thông tin về chứng thư số, chữ ký số của người lao động;
• (xiii) Chức danh, công việc, địa điểm làm việc, thời hạn hợp đồng, chế độ nâng lương.

2.2 Dữ liệu cá nhân nhạy cảm:

• (i) Tình trạng sức khỏe, nhóm máu;
• (ii) Thông tin về tài khoản ngân hàng;
• (iii) Hình ảnh/Bản sao thẻ CCCD;
• (iv) Mức lương, phụ cấp;
• (v) Vân tay, mống mắt, khuôn mặt hoặc giọng nói;
• (vi) Dữ liệu về tội phạm, hành vi vi phạm pháp luật được thu thập, lưu trữ;
• (vii) Quan điểm chính trị, tôn giáo, tín ngưỡng;
• (viii) Vị trí của cá nhân được xác định qua dịch vụ định vị;
• (ix) Tên đăng nhập, mật khẩu truy cập tài khoản định danh điện tử hoặc tài khoản trên nền tảng hợp đồng lao động điện tử.

III. Mục đích xử lý dữ liệu

Dữ liệu cá nhân theo khoản 3 Mục I trên đây có thể được xử lý cho các mục đích sau:

3.1 Tuyển dụng và xác lập quan hệ lao động: bao gồm

• (i) Xem xét hồ sơ bằng công cụ AI hoặc phương pháp thông thường, thiết lập phỏng vấn và đánh giá mức độ phù hợp của ứng viên với vị trí công việc;
• (ii) Để kiểm tra lý lịch, bằng cấp, chứng chỉ và các thông tin người lao động cung cấp theo yêu cầu tại Bộ luật Lao động hiện hành;
• (iii) Để soạn thảo và ký kết hợp đồng lao động thử việc, hợp đồng lao động và hợp đồng đào tạo nghề;
• (iv) Để cấp phát chứng thư số, chữ ký số hoặc tài khoản giao dịch điện tử cho nhân viên ký hợp đồng;
• (v) Để lưu trữ, truy xuất và bảo đảm tính toàn vẹn của hồ sơ lao động trên môi trường số với thời hạn 24 (hai mươi bốn) tháng kể từ thời điểm Công ty nhận Dữ liệu cá nhân hoặc hồ sơ đăng ký tuyển dụng. Trường hợp ứng viên được xác lập mối quan hệ lao động với Công ty thì thời hạn lưu trữ Dữ liệu cá nhân được thực hiện theo Điều 5.2 Chính sách này.

3.2 Quản lý nhân sự và điều hành công việc:

• (i) Lập và cập nhật sổ quản lý lao động (bản giấy hoặc bản điện tử) theo quy định Bộ luật Lao động hiện hành;
• (ii) Để tổ chức các khóa đào tạo, bồi dưỡng nâng cao trình độ, kỹ năng nghề cho người lao động;
• (iii) Để theo dõi kết quả làm việc, xét duyệt nâng lương, thăng chức hoặc bổ nhiệm;
• (iv) Để thực hiện quy trình xử lý kỷ luật lao động (khiển trách, sa thải...) hoặc xét duyệt các danh hiệu thi đua, khen thưởng;
• (v) Cấp tài khoản email, tài khoản hệ thống nội bộ để trao đổi công việc;
• (vi) Báo cáo cho công ty mẹ và các công ty liên kết có trụ sở tại Việt Nam và/hoặc trụ sở tại nước ngoài;
• (vii) Lập các loại báo cáo của doanh nghiệp theo quy định của pháp luật – bao gồm nhưng không giới hạn báo cáo thuế, kiểm toán, quản lý rủi ro và tuân thủ, …;
• (viii) Cung cấp thông tin cho cơ quan có thẩm quyền để thực hiện các công việc trên.

3.3 Chi trả lương, thưởng và phúc lợi:

• (i) Để tính toán và chi trả tiền lương, tiền công, tiền thưởng, phụ cấp và các khoản hỗ trợ khác qua tài khoản ngân hàng;
• (ii) Cung cấp thông tin cho ngân hàng để thực hiện các thủ tục liên quan tại Điểm (i) Khoản này;
• (iii) Để đăng ký, đóng và giải quyết quyền lợi về Bảo hiểm xã hội, Bảo hiểm y tế, Bảo hiểm thất nghiệp cho người lao động theo Bộ luật Lao động;
• (iv) Để thực hiện nghĩa vụ khấu trừ, kê khai và quyết toán thuế Thu nhập cá nhân thay cho người lao động;
• (v) Cung cấp thông tin cho cơ quan có thẩm quyền để thực hiện các công việc trên.

3.4 Đảm bảo an toàn, sức khỏe và an ninh

• (i) Tổ chức khám sức khỏe định kỳ, quản lý hồ sơ sức khỏe (dữ liệu nhạy cảm) để bố trí công việc phù hợp, đặc biệt là với lao động nữ mang thai hoặc làm công việc nặng nhọc, độc hại;
• (ii) Để đảm bảo an toàn vệ sinh lao động tại nơi làm việc;
• (iii) Cung cấp thông tin cho đơn vị kinh doanh bảo hiểm để mua bảo hiểm sức khoẻ, bảo hiểm tai nạn cho nhân viên;
• (iv) Sử dụng hệ thống camera (CCTV), kiểm soát ra vào để bảo vệ tài sản của công ty và an ninh cho nhân viên.

3.5 Tuân thủ pháp luật và báo cáo cơ quan nhà nước

• (i) Thực hiện các báo cáo định kỳ về tình hình sử dụng lao động, an toàn lao động cho Cơ quan có thẩm quyền;
• (ii) Cung cấp dữ liệu cho cơ quan thanh tra, kiểm tra hoặc cơ quan điều tra khi có yêu cầu hợp pháp;

3.6 Thực hiện các nghĩa vụ liên quan đến Tổ chức đại diện người lao động (Công đoàn cơ sở)

3.7 Các mục đích khác liên quan trực tiếp đến việc thực hiện hợp đồng lao động và quy định pháp luật, được TIKI thông báo cụ thể tới Người lao động tại thời điểm thu thập.

IV. Sự đồng ý Và Các trường hợp TIKI được xử lý Dữ liệu cá nhân trong trường hợp không cần sự đồng ý của Chủ thể Dữ liệu cá nhân

4.1 Sự đồng ý

• a. Sự đồng ý của chủ thể Dữ liệu cá nhân là việc chủ thể dữ liệu cá nhân cho phép xử lý dữ liệu cá nhân của mình, trừ trường hợp pháp luật có quy định khác.
• b. Đối với các trường hợp chủ thể Dữ liệu cá nhân không phải là của chính Khách hàng mà là đối tác hoặc bên thứ ba mà Khách hàng cung cấp thì Khách hàng phải có trách nhiệm thực hiện việc lấy ý kiến về sự đồng ý của chủ thể Dữ liệu cá nhân đó.
• c. Sự đồng ý của chủ thể Dữ liệu cá nhân mà TIKI lấy ý kiến trên tinh thần tự nguyện và chủ thể Dữ liệu cá nhân đã nắm được (i) Loại dữ liệu cá nhân được xử lý, mục đích xử lý dữ liệu cá nhân; (ii) Bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân; (iii) Các quyền, nghĩa vụ của chủ thể dữ liệu cá nhân.
• d. Nguyên tắc lấy ý kiến về sự đồng ý của chủ thể Dữ liệu cá nhân:
  • (i) Thể hiện sự đồng ý đối với từng mục đích;
  • (ii) Không kèm theo điều kiện bắt buộc phải đồng ý với các mục đích khác với nội dung thỏa thuận;
  • (iii) Sự đồng ý có hiệu lực cho đến khi chủ thể dữ liệu cá nhân thay đổi sự đồng ý đó hoặc theo quy định của pháp luật;
  • (iv) Sự im lặng hoặc không phản hồi không được coi là sự đồng ý.
• e. Phương thức lấy ý kiến sự đồng ý của chủ thể Dữ liệu cá nhân:
  TIKI lấy ý kiến sự đồng ý của chủ thể Dữ liệu cá nhân thông qua việc lấy ý kiến trên nền tảng có thiết lập kỹ thuật đồng ý mà TIKI xây dựng tại phụ lục Chính sách này và sẽ được gửi đến Người lao động để lấy ý kiến.
  Các ý kiến này sẽ được trả về và lưu trữ trên hệ thống của TIKI.

4.2 Các trường hợp TIKI được xử lý Dữ liệu cá nhân trong trường hợp không cần sự đồng ý của Chủ thể Dữ liệu cá nhân

Các trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu cá nhân bao gồm:

• (i) Để bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền, lợi ích hợp pháp của chủ thể dữ liệu cá nhân hoặc người khác trong trường hợp cấp bách; bảo vệ quyền hoặc lợi ích chính đáng của mình, của người khác hoặc lợi ích của Nhà nước, của cơ quan tổ chức một cách cần thiết trước hành vi xâm phạm lợi ích nói trên.
• (ii) Để giải quyết tình trạng khẩn cấp; nguy cơ đe dọa an ninh quốc gia nhưng chưa đến mức ban bố tình trạng khẩn cấp; phòng, chống bạo loạn, khủng bố, phòng, chống tội phạm và vi phạm pháp luật;
• (iii) Phục vụ hoạt động của cơ quan nhà nước, hoạt động quản lý nhà nước theo quy định của pháp luật;
• (iv) Thực hiện thỏa thuận của chủ thể dữ liệu cá nhân với cơ quan, tổ chức, cá nhân có liên quan theo quy định của pháp luật;
• (v) Trường hợp khác theo quy định của pháp luật.

TIKI thiết lập cơ chế giám sát khi xử lý dữ liệu cá nhân trong trường hợp không cần sự đồng ý của chủ thể Dữ liệu cá nhân bao gồm:

• (i) Thiết lập quy trình, quy định xử lý Dữ liệu cá nhân và xác định trách nhiệm của cơ quan, tổ chức, cá nhân trong quá trình xử lý Dữ liệu cá nhân;
• (ii) Triển khai các biện pháp bảo vệ Dữ liệu cá nhân phù hợp; thường xuyên đánh giá rủi ro có thể xảy ra trong quá trình xử lý dữ liệu cá nhân;
• (iii) Thực hiện kiểm tra, đánh giá định kỳ việc tuân thủ quy định của pháp luật, quy trình, quy định xử lý dữ liệu cá nhân;
• (iv) Có cơ chế tiếp nhận và xử lý phản ánh, kiến nghị từ cơ quan, tổ chức, cá nhân có liên quan.

V. Xử lý Dữ liệu cá nhân

5.1 Cách thức thu thập:

TIKI thu thập trực tiếp Dữ liệu cá nhân của Người lao động khi:

• (i) Người lao động nộp hồ sơ ứng tuyển, CV, sơ yếu lý lịch, đơn xin việc qua email, website công ty, các trang tuyển dụng khác hoặc nộp trực tiếp;
• (ii) Thông qua các bài kiểm tra năng lực, tính cách và các buổi phỏng vấn trực tiếp;
• (iii) Người lao động cung cấp các giấy tờ định danh, bằng cấp, chứng chỉ và các hồ sơ liên quan để hoàn thiện thủ tục nhân sự và giao kết hợp đồng lao động;
• (iv) Người lao động thực hiện đăng ký tài khoản, xác thực danh tính và thực hiện ký số trên hợp đồng lao động điện tử hoặc các nền tảng số do TIKI chỉ định;
• (v) Người lao động chủ động cập nhật, thay đổi thông tin cá nhân hoặc cung cấp thông tin người thân trong quá trình làm việc để phục vụ công tác quản trị nhân sự, đăng ký thuế, bảo hiểm và các chế độ phúc lợi;
• (vi) Người lao động thực hiện chấm công, ghi nhận sự hiện diện tại nơi làm việc thông qua các thiết bị kiểm soát ra vào hoặc hệ thống nhận diện của Công ty;
• (vii) Thông qua quá trình Người lao động tham gia các khóa đào tạo, bồi dưỡng kỹ năng hoặc các hoạt động tương tác, khảo sát do Công ty tổ chức;
• (viii) Ghi nhận từ hệ thống camera giám sát (CCTV) tại nơi làm việc hoặc thông qua quá trình Người lao động sử dụng hạ tầng mạng, thiết bị công nghệ thông tin và các ứng dụng quản lý công việc của Công ty;
• (ix) Công ty nhận thông tin từ các bên thứ ba như: đơn vị cung ứng dịch vụ tuyển dụng, đơn vị thực hiện kiểm tra lý lịch, cơ quan nhà nước có thẩm quyền hoặc các tổ chức y tế (liên quan đến kết quả khám sức khỏe định kỳ);
• (x) Thông qua việc ghi nhận dữ liệu vị trí khi Người lao động sử dụng phương tiện, thiết bị hoặc phần mềm điều phối công việc có cài đặt định vị nhằm phục vụ mục đích vận hành và an toàn lao động.
• (xi) Thông qua các nguồn thông tin công khai, chính thống; hoặc thông qua việc nhận.

Ngoài việc thu thập trực tiếp từ Người lao động, TIKI có thể thu thập và đối chiếu Dữ liệu cá nhân từ các nguồn hợp pháp khác, bao gồm nhưng không giới hạn:

• (ii) Các cơ quan Nhà nước có thẩm quyền (Cơ quan Thuế, Bảo hiểm xã hội, Tòa án...) nhằm mục đích tuân thủ quy định pháp luật và thực hiện Hợp đồng lao động.
• (iii) Các nền tảng tuyển dụng, mạng xã hội nghề nghiệp mà Người lao động đã công khai thông tin, nhằm mục đích đánh giá năng lực và xác minh thông tin ứng tuyển.
• (iv) Các tổ chức tài chính, ngân hàng liên kết để chi trả lương thưởng.

5.2 Cách thức lưu trữ

TIKI thực hiện lưu trữ Dữ liệu cá nhân của Người lao động như sau:

a. Hình thức lưu trữ:

• (i) Lưu trữ vật lý: Áp dụng đối với hồ sơ bản giấy, hợp đồng có chữ ký tươi, sổ quản lý lao động tại hệ thống tủ hồ sơ có khóa và phòng lưu trữ có kiểm soát ra vào.
• (ii) Lưu trữ điện tử: Áp dụng đối với dữ liệu trên phần mềm quản trị (HRM), hệ thống chấm công, tính lương và nền tảng hợp đồng lao động điện tử (e-Contract).

b. Địa điểm và phương tiện lưu trữ:

Lưu trữ tại trụ sở chính của TIKI và/hoặc trên hệ thống máy chủ (Server), điện toán đám mây (Cloud) nội bộ và hạ tầng kỹ thuật của các đối tác cung cấp dịch vụ công nghệ được TIKI chỉ định, đảm bảo tuân thủ tiêu chuẩn an toàn thông tin quốc gia.

c. Biện pháp bảo đảm an toàn

• (i) Kiểm soát truy cập hệ thống HRIS
  • Áp dụng mô hình phân quyền theo vai trò: Chỉ nhân viên HRIS được cấp quyền truy cập toàn bộ dữ liệu NLĐ; các bộ phận khác chỉ thấy trường dữ liệu cần thiết cho công việc.
  • Bắt buộc xác thực đa yếu tố (MFA) đối với tài khoản quản trị HRIS và tài khoản có quyền xuất dữ liệu hàng loạt.
  • Thiết lập cơ chế tự động khóa phiên (session timeout) sau 15 phút không hoạt động.
  • Ghi nhật ký truy cập (Access Log) đầy đủ: ghi lại ai, truy cập gì, lúc nào, từ IP nào — lưu tối thiểu 12 tháng.
• (ii) Mã hóa dữ liệu
  • Dữ liệu nhạy cảm (lương, cổ phần) phải được mã hóa AES-256 khi lưu trữ và TLS 1.2+ khi truyền (in transit).
  • File export chứa dữ liệu NLĐ phải được đặt mật khẩu bảo vệ trước khi gửi qua email hoặc chia sẻ qua kênh nội bộ.
• (iii) Bảo vệ hạ tầng & dữ liệu sao lưu
  • Thực hiện backup tự động theo lịch (hàng ngày, hàng tuần với dữ liệu archive) và lưu bản backup tại ít nhất 2 địa điểm tách biệt.
  • Kiểm tra phục hồi backup định kỳ mỗi quý để đảm bảo tính toàn vẹn dữ liệu.
  • Triển khai tường lửa (Firewall) và hệ thống phát hiện xâm nhập (IDS/IPS) cho máy chủ HRIS.
• (iv) Quản lý dữ liệu xuyên biên giới (Cross-border)
  • Đối với luồng CV qua Amazon S3 Singapore và API OpenAI: đảm bảo ký kết Data Processing Agreement (DPA) với nhà cung cấp, thực hiện đánh giá tác động bảo vệ dữ liệu (DPIA) theo Điều 20 Luật BVDLCN.
  • Xây dựng danh sách trắng các hệ thống được phép nhận dữ liệu NLĐ. Mọi luồng dữ liệu mới ra ngoài biên giới VN phải được Head of PO.

d. Lưu trữ đối với Hợp đồng điện tử

Đảm bảo tính toàn vẹn của nội dung hợp đồng và lưu trữ kèm theo các dữ liệu định danh, nhật ký giao dịch, lịch sử xác thực, địa chỉ IP và chữ ký số trên hạ tầng kỹ thuật đáp ứng quy định của Cơ quan có thẩm quyền và Trung tâm dữ liệu quốc gia.

e. Thời hạn lưu trữ

TIKI lưu trữ Dữ liệu cá nhân của Người lao động theo các mốc thời gian cụ thể như sau:

• (i) Trong suốt quá trình làm việc:
  TIKI lưu trữ và xử lý toàn bộ các loại dữ liệu cá nhân tại Điều 2 Chính sách này để phục vụ công tác quản lý, điều hành và đảm bảo quyền lợi của Người lao động.
• (ii) Lưu trữ dài hạn sau khi chấm dứt Hợp đồng lao động:
  Để tuân thủ các quy định về thuế, bảo hiểm xã hội, kế toán, thanh tra lao động và giải quyết các tranh chấp pháp lý, Công ty tiếp tục lưu trữ các loại dữ liệu sau trong thời hạn ít nhất từ 05 đến 10 năm (hoặc dài hơn theo quy định pháp luật chuyên ngành):
  • Dữ liệu cá nhân cơ bản: (i) Họ, chữ đệm và tên khai sinh; (ii) Ngày, tháng, năm sinh; (iii) Giới tính; (iv) Nơi đăng ký thường trú, nơi đăng ký tạm trú, nơi ở hiện tại; (v) Số thẻ căn cước công dân, số định danh cá nhân, số hộ chiếu; (vi) Số điện thoại, địa chỉ thư điện tử (email) cá nhân; (vii) Trình độ học vấn, trình độ kỹ năng nghề; (viii) Số sổ bảo hiểm xã hội, mã số thuế cá nhân; (ix) Kết quả đào tạo, bồi dưỡng, nâng cao trình độ kỹ năng nghề tại doanh nghiệp; (x) Các thông tin liên quan đến hành vi vi phạm kỷ luật, hình thức xử lý kỷ luật hoặc thành tích khen thưởng; (xi) Thông tin về chứng thư số, chữ ký số của người lao động; (xii) Chức danh, công việc, địa điểm làm việc, thời hạn hợp đồng, chế độ nâng lương.
  • Dữ liệu cá nhân nhạy cảm: (i) Hình ảnh/Bản sao thẻ CCCD; (ii) Mức lương, phụ cấp; (iii) Dữ liệu về tội phạm, hành vi vi phạm pháp luật được thu thập, lưu trữ; (iv) Tên đăng nhập, mật khẩu truy cập tài khoản định danh điện tử hoặc tài khoản trên nền tảng hợp đồng lao động điện tử.
• (iii) Xóa hoặc hủy sau khi chấm dứt Hợp đồng lao động:
  Các loại dữ liệu sau sẽ được Công ty tiến hành xóa vĩnh viễn, tiêu hủy hoặc khử nhận dạng dữ liệu ngay sau khi Người lao động hoàn tất thủ tục nghỉ việc và các nghĩa vụ thanh toán cuối cùng được xác nhận:
  • Dữ liệu cá nhân cơ bản: (i) Tên gọi khác (nếu có); (ii) Tình trạng hôn nhân, thông tin về mối quan hệ gia đình (cha mẹ, con, vợ chồng); (iii) Thông tin về chứng thư số, chữ ký số của người lao động;
  • Dữ liệu cá nhân nhạy cảm: (i) Tình trạng sức khỏe, nhóm máu; (ii) Thông tin về tài khoản ngân hàng; (iii) Vân tay, mống mắt, khuôn mặt hoặc giọng nói; (iv) Quan điểm chính trị, tôn giáo, tín ngưỡng; (v) Vị trí của cá nhân được xác định qua dịch vụ định vị;

5.3 Cách thức xóa, hủy Dữ liệu cá nhân

TIKI tôn trọng quyền của Người lao động đối với Dữ liệu cá nhân của mình và thực hiện việc xóa dữ liệu theo quy trình sau:

a. Các trường hợp thực hiện xóa dữ liệu

• (i) Khi Người lao động rút lại sự đồng ý hoặc yêu cầu xóa dữ liệu và Công ty không có cơ sở pháp lý khác để tiếp tục xử lý;
• (ii) Dữ liệu không còn cần thiết cho các mục đích xử lý đã thông báo ban đầu;
• (iii) Khi hết thời hạn lưu trữ theo quy định pháp luật hoặc theo thỏa thuận giữa hai bên.

b. Quy trình xử lý yêu cầu xóa dữ liệu

Người lao động có quyền yêu cầu xóa dữ liệu cá nhân của mình thông qua các kênh tiếp nhận chính thức của TIKI. Quy trình xử lý cụ thể như sau:

• (i) Phương thức gửi yêu cầu:
  Người lao động gửi yêu cầu xóa dữ liệu kèm theo các thông tin/biểu mẫu cần thiết thông qua một trong hai hình thức:
  • Qua Email: Gửi biểu mẫu yêu cầu đến địa chỉ: c-b@tiki.vn
  • Qua Kênh hỗ trợ nội bộ: Gửi yêu cầu trực tiếp đến PO – Kênh hỗ trợ.
• (ii) Tiếp nhận và Phản hồi ban đầu:
  Trong vòng 02 (hai) ngày làm việc kể từ khi nhận được yêu cầu, TIKI sẽ tiến hành kiểm tra tính hợp lệ của yêu cầu, xác minh danh tính Người lao động và gửi thông báo phản hồi xác nhận việc tiếp nhận yêu cầu xử lý.
• (iii) Thời hạn xử lý:
  • Trường hợp thông thường: TIKI sẽ hoàn tất việc xóa dữ liệu và thông báo kết quả cho Người lao động trong vòng 20 ngày kể từ ngày nhận được yêu cầu hợp lệ.
  • Trường hợp liên quan đến bên thứ ba: Đối với các dữ liệu đã được chia sẻ hoặc đang được lưu trữ/xử lý bởi các bên đối tác, nhà cung cấp dịch vụ, thời gian xử lý có thể kéo dài nhưng không quá 30 ngày.
  • Gia hạn thời gian xử lý: Tùy theo tính chất và mức độ phức tạp của yêu cầu, TIKI có thể gia hạn thời gian xử lý. Việc gia hạn chỉ được thực hiện 01 lần và không quá 20 ngày. TIKI sẽ thông báo về việc gia hạn và lý do cụ thể cho Người lao động trước khi hết thời hạn xử lý ban đầu.
• (iv) Từ chối yêu cầu:
  Trong trường hợp yêu cầu xóa dữ liệu thuộc các Trường hợp ngoại lệ (quy định tại Mục d dưới đây), TIKI sẽ gửi thông báo bằng văn bản (qua email hoặc hệ thống nội bộ) giải trình rõ lý do không thể thực hiện xóa dữ liệu trong thời hạn quy định.

c. Phương pháp xóa dữ liệu

• (i) Đối với dữ liệu điện tử: Thực hiện xóa vĩnh viễn khỏi cơ sở dữ liệu, các hệ thống lưu trữ và sao lưu để không thể phục hồi lại được. Trong một số trường hợp, Công ty có thể áp dụng biện pháp khử nhận dạng dữ liệu thay cho việc xóa hoàn toàn.
• (ii) Đối với dữ liệu vật lý (Bản giấy): Thực hiện tiêu hủy bằng máy cắt giấy hoặc các phương pháp khác đảm bảo thông tin không thể đọc hay khôi phục lại từng thời điểm.

d. Các trường hợp không được xóa hoặc bị hạn chế xóa

Theo quy định pháp luật, TIKI có quyền và nghĩa vụ từ chối xóa dữ liệu ngay lập tức trong các trường hợp sau:

• (i) Dữ liệu phải lưu trữ để thực hiện nghĩa vụ thuế, kế toán và quyết toán lương (theo quy định là từ 05 - 10 năm).
• (ii) Dữ liệu liên quan đến việc đóng Bảo hiểm xã hội, Bảo hiểm y tế để đảm bảo quyền lợi lâu dài cho Người lao động.
• (iii) Dữ liệu cần thiết cho việc giải quyết tranh chấp lao động, khiếu nại hoặc theo yêu cầu của cơ quan điều tra, cơ quan nhà nước có thẩm quyền.
• (iv) Trong các tình huống khẩn cấp về quốc phòng, an ninh quốc gia hoặc y tế cộng đồng.

e. Xác nhận việc xóa

Sau khi hoàn tất việc xóa dữ liệu theo yêu cầu hợp lệ, TIKI sẽ lưu lại nhật ký hệ thống về hành động xóa để phục vụ công tác hậu kiểm và tuân thủ mà không lưu lại nội dung dữ liệu đã xóa.

5.4 Chuyển Dữ liệu cá nhân ra nước ngoài

Nhằm thực hiện mục đích xử lý Dữ liệu cá nhân tại Chính sách này, TIKI có thể chuyển toàn bộ hoặc một phần Dữ liệu cá nhân của Người lao động đến bên thứ ba liên quan đến TIKI nằm ngoài lãnh thổ Việt Nam. Khi thực hiện chuyển dữ liệu này, TIKI sẽ yêu cầu bên thứ ba tuân thủ các quy định về bảo mật và an toàn đối với Dữ liệu cá nhân. TIKI đảm bảo tuân thủ các quy định pháp luật về việc chuyển Dữ liệu cá nhân của Người lao động ra nước ngoài.

5.5 Quyền của Người lao động (Chủ thể Dữ liệu Cá nhân)

Theo quy định của pháp luật hiện hành, Người lao động có các quyền sau đối với Dữ liệu cá nhân của mình, bao gồm:

• (i) Quyền được thông báo, đồng ý hoặc không đồng ý, rút lại sự đồng ý không ảnh hưởng đến tính hợp pháp của việc xử lý dữ liệu đã được đồng ý trước khi rút lại sự đồng ý đối với hoạt động xử lý Dữ liệu cá nhân của Người lao động, trừ trường hợp pháp luật có quy định khác;
• (ii) Quyền được truy cập để xem, chỉnh sửa hoặc yêu cầu chỉnh sửa Dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác;
• (iii) Được quyền xóa hoặc yêu cầu xóa Dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác;
• (iv) Được quyền yêu cầu hạn chế xử lý Dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác;
• (v) Được quyền yêu cầu Công ty cung cấp cho bản thân Dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác;
• (vi) Được quyền phản đối Công ty xử lý Dữ liệu cá nhân của mình nhằm ngăn chặn hoặc hạn chế tiết lộ Dữ liệu cá nhân hoặc sử dụng cho mục đích quảng cáo, tiếp thị, trừ trường hợp luật có quy định khác;
• (vii) Có quyền khiếu nại, tố cáo hoặc khởi kiện theo quy định của pháp luật;
• (viii) Quyền yêu cầu bồi thường thiệt hại theo quy định của pháp luật khi xảy ra vi phạm quy định về bảo vệ Dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác;
• (ix) Quyền tự bảo vệ theo quy định của pháp luật.

Trong trường hợp Công ty nhận được yêu cầu của Người lao động liên quan đến thực hiện các quyền nói trên, Công ty sẽ thực hiện các yêu cầu của Người lao động theo quy định của pháp luật hiện hành. Tuy nhiên, trong trường hợp Người lao động rút lại sự đồng ý của mình, yêu cầu xóa dữ liệu và/hoặc thực hiện các quyền có liên quan khác đối với bất kỳ hoặc tất cả Dữ liệu cá nhân của Người lao động, tùy thuộc vào bản chất yêu cầu của Người lao động, Công ty có thể xem xét và quyết định về việc không thể thực hiện các nghĩa vụ đối với Người lao động, hoặc việc tiếp tục thực hiện các yêu cầu của Người lao động có thể ảnh hưởng đến việc thực hiện các quyền của Người lao động tại Chính sách này. Trong trường hợp cần thiết, theo quy định của pháp luật hiện hành, Công ty sẽ thông báo cho Người lao động về các hậu quả, thiệt hại có thể xảy ra nếu thực hiện theo yêu cầu của Người lao động.

5.6 Nghĩa vụ của Người lao động (Chủ thể Dữ liệu Cá nhân)

Theo quy định của pháp luật hiện hành, Người lao động có nghĩa vụ đối với Dữ liệu cá nhân của mình như sau:

• (i) Tự bảo vệ Dữ liệu cá nhân của mình; yêu cầu các tổ chức, cá nhân khác có liên quan bảo vệ Dữ liệu cá nhân của mình.
• (ii) Tôn trọng, bảo vệ Dữ liệu cá nhân của người khác.
• (iii) Cung cấp đầy đủ, chính xác Dữ liệu cá nhân khi đồng ý cho phép Công ty và các bên có liên quan xử lý Dữ liệu cá nhân. Tham gia tuyên truyền, phổ biến kỹ năng bảo vệ Dữ liệu cá nhân.
• (iv) Thực hiện quy định của pháp luật về bảo vệ Dữ liệu cá nhân và tham gia phòng, chống các hành vi vi phạm quy định về bảo vệ Dữ liệu cá nhân.
• (v) Người lao động cam kết chịu toàn bộ trách nhiệm trước Công ty cũng như trước pháp luật, cũng như sẽ bảo đảm cho TIKI được tránh khỏi mọi khiếu nại, khiếu kiện về các Dữ liệu cá nhân đã cung cấp cho TIKI – bao gồm nhưng không giới hạn tính chính xác, độ tin cậy, sự trung thực đối với Dữ liệu cá nhân đã cung cấp.

5.7 Hậu quả, thiệt hại không mong muốn có thể xảy ra

a. Các rủi ro tiềm ẩn:

Mặc dù TIKI cam kết áp dụng các biện pháp bảo vệ dữ liệu tiên tiến và tuân thủ các quy định pháp luật, Người lao động hiểu và đồng ý rằng không có hệ thống kỹ thuật nào là an toàn tuyệt đối. Do đó, việc xử lý dữ liệu cá nhân có thể gặp phải một số rủi ro và hậu quả không mong muốn, bao gồm nhưng không giới hạn:

• (i) Các sự cố về phần cứng, phần mềm, đường truyền internet hoặc lỗi hệ thống điện toán đám mây có thể dẫn đến việc dữ liệu bị mất mát, gián đoạn truy cập hoặc sai lệch tạm thời;
• (ii) Các hành vi tấn công trái phép của bên thứ ba (hacker), mã độc, virus máy tính có thể xâm nhập hệ thống để đánh cắp, thay đổi hoặc hủy hoại dữ liệu;
• (iii) Lỗi trong quá trình xử lý dữ liệu của các Bên Xử lý dữ liệu (như nhà cung cấp dịch vụ tính lương, bảo hiểm, đối tác cung cấp nền tảng Hợp đồng điện tử) dù đã có cam kết bảo mật.

b. Hậu quả và thiệt hại có thể gây ra cho Người lao động

Trong trường hợp xảy ra sự cố rò rỉ hoặc vi phạm dữ liệu, Người lao động có thể đối mặt với các hậu quả sau:

• (i) Các thông tin về đời sống riêng tư, bí mật cá nhân, bí mật gia đình hoặc tình trạng sức khỏe có thể bị công khai ngoài ý muốn;
• (ii) Việc lộ thông tin tài khoản ngân hàng, mức lương, thưởng có thể dẫn đến nguy cơ bị lừa đảo tài chính hoặc mất mát tài sản;
• (iii) Dữ liệu định danh (CCCD/CMND, số điện thoại, hình ảnh) bị lộ có thể bị kẻ xấu sử dụng để mạo danh thực hiện các giao dịch trái pháp luật hoặc làm phiền qua các cuộc gọi, tin nhắn rác (Spam);
• (iv) Các thông tin về kỷ luật lao động hoặc đánh giá năng lực bị rò rỉ có thể ảnh hưởng đến uy tín nghề nghiệp của Người lao động.

c. Cam kết khắc phục và thông báo vi phạm

Để giảm thiểu tối đa các thiệt hại nêu trên, TIKI cam kết:

• (i) Trong trường hợp phát hiện xảy ra vi phạm quy định về bảo vệ dữ liệu cá nhân, TIKI sẽ thông báo cho Người lao động và Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) chậm nhất là 72 giờ sau khi phát hiện sự cố.
• (ii) TIKI sẽ áp dụng ngay lập tức các biện pháp kỹ thuật và pháp lý cần thiết để ngăn chặn, hạn chế hậu quả và phối hợp với cơ quan chức năng để xử lý vi phạm.

d. Khuyến cáo với Người lao động

Người lao động cần tự bảo vệ dữ liệu cá nhân của mình bằng cách:

• (i) Không chia sẻ tài khoản đăng nhập, mật khẩu hệ thống nội bộ hoặc tài khoản Hợp đồng điện tử cho người khác;
• (ii) Cung cấp thông tin trung thực, chính xác khi giao kết hợp đồng lao động để tránh các rủi ro pháp lý về sau.

VI. Xử lý Dữ liệu cá nhân trong hoạt động tuyển dụng

6.1 Loại Dữ liệu cá nhân và Mục đích thu thập Dữ liệu cá nhân:

• a. Loại Dữ liệu cá nhân thu thập:
  • Dữ liệu cá nhân cơ bản: Họ, chữ đệm và tên khai sinh; Ngày, tháng, năm sinh; Giới tính; Nơi ở; Số CCCD/Số định danh/Hộ chiếu; Số điện thoại, email; Trình độ học vấn, kỹ năng nghề.
  • Dữ liệu cá nhân nhạy cảm: Tình trạng sức khỏe; Hình ảnh/Bản sao thẻ CCCD; Dữ liệu về tội phạm, hành vi vi phạm pháp luật.
• b. Mục đích thu thập Dữ liệu cá nhân: Được quy định tại Điều 3.1 Chính Sách này.

6.2 Cách thức xử lý Dữ liệu cá nhân (thu thập, lưu trữ, xoá):

Được quy định tại Điều 5 Chính sách này.

6.3 Xử lý Hồ sơ bằng Trí tuệ Nhân tạo (AI)

Để nâng cao hiệu quả và tốc độ của quy trình tuyển dụng, hệ thống của TIKI sử dụng công nghệ AI để hỗ trợ sàng lọc hồ sơ ban đầu. Công cụ AI sẽ được sử dụng để đánh giá và xem xét về độ phù hợp giữa CV của tôi với công việc mà tôi ứng tuyển. Dữ liệu cá nhân của tôi sẽ được xử lý một cách đáng tin cậy, bảo mật. Cụ thể:

• Công nghệ sử dụng: Hệ thống AI được cung cấp bởi OpenAI (thông qua API), một dịch vụ được vận hành bởi OpenAI, LLC, có trụ sở tại Hoa Kỳ.
• Dữ liệu được phân tích: Nội dung CV của ứng viên (thông tin nghề nghiệp, kỹ năng, kinh nghiệm) sẽ được gửi đến hệ thống AI để phân tích và tóm tắt nhằm hỗ trợ đội ngũ tuyển dụng trong việc đánh giá sơ bộ.
• Phạm vi quyết định: Kết quả phân tích từ AI chỉ mang tính tham khảo. Tất cả các quyết định tuyển dụng cuối cùng đều được thực hiện bởi con người (đội ngũ tuyển dụng của TIKI), không phải bởi hệ thống tự động.
• Không lưu trữ dữ liệu: OpenAI không lưu trữ dữ liệu của ứng viên sau khi quá trình phân tích hoàn tất, tuân thủ các điều khoản dịch vụ áp dụng cho khách hàng doanh nghiệp.

6.4 Lưu trữ Dữ liệu trên Hệ thống Đám mây Quốc tế

Hồ sơ ứng tuyển của ứng viên (bao gồm CV và thông tin trong biểu mẫu này) được lưu trữ tạm thời trên các dịch vụ đám mây trước khi chuyển về máy chủ nội bộ của chúng tôi tại Việt Nam:

• Dịch vụ lưu trữ: Amazon S3 (Simple Storage Service), khu vực Đông Nam Á (Singapore), do Amazon Web Services (AWS) vận hành.
• Thời gian lưu trữ tạm thời: Dữ liệu chỉ tồn tại tạm thời trên hệ thống đám mây trong quá trình xử lý, sau đó được chuyển về hệ thống nội bộ của TIKI Company Limited tại Việt Nam.
• Tiêu chuẩn bảo mật: Dữ liệu được mã hóa trong quá trình truyền tải (TLS 1.2+) và khi lưu trữ (AES-256) theo tiêu chuẩn bảo mật quốc tế. AWS Singapore đạt chứng nhận ISO 27001 và SOC 2.
• Phạm vi truy cập: Chỉ hệ thống tuyển dụng mới được quyền truy cập; không có bên thứ ba nào khác có quyền đọc dữ liệu của ứng viên trên AWS.

6.5 Cơ sở Pháp lý cho việc Chuyển Dữ liệu ra Nước ngoài

Việc chuyển dữ liệu của ứng viên ra khỏi lãnh thổ Việt Nam được thực hiện dựa trên:

• Sự đồng ý rõ ràng của ứng viên (thông qua việc đánh dấu vào ô xác nhận).
• Hồ sơ Đánh giá Tác động Bảo vệ Dữ liệu (DPIA) được lập theo quy định pháp luật.
• Thỏa thuận Xử lý Dữ liệu (DPA) đã ký kết với các nhà cung cấp dịch vụ (AWS, OpenAI) nhằm đảm bảo họ xử lý dữ liệu của ứng viên tuân thủ các quy định pháp luật.

6.6 Quyền của Ứng viên đối với việc Xử lý bằng AI

• Ứng viên có quyền yêu cầu xem xét lại bất kỳ quyết định nào được đưa ra có sự hỗ trợ của AI bằng cách liên hệ với chúng tôi.
• Ứng viên có quyền phản đối việc dữ liệu của mình được xử lý bằng AI và yêu cầu chỉ được đánh giá bởi con người — điều này có thể làm tăng thời gian xử lý hồ sơ ứng tuyển của ứng viên.
• Ứng viên có quyền rút lại sự đồng ý bất cứ lúc nào bằng cách liên hệ careers@tiki.vn.

6.7 Thông tin Liên hệ

Nếu ứng viên có bất kỳ câu hỏi nào liên quan đến việc xử lý dữ liệu bằng AI hoặc lưu trữ quốc tế, vui lòng liên hệ: careers@tiki.vn

VII. Điều khoản chung

7.1 Chính sách này có hiệu lực kể từ ngày ban hành và có thể được sửa đổi theo từng thời điểm và sẽ được thông báo đến Người lao động thông qua email chính thức của Bộ phận Nhân sự trước khi áp dụng.

7.2 Chính sách này là thông báo xử lý dữ liệu cá nhân theo quy định pháp luật hiện hành.

7.3 Chính sách này thay thế cho Chính sách Bảo vệ Dữ liệu Cá nhân đã ban hành trước đó.

BIỂU MẪU XÁC NHẬN SỰ ĐỒNG Ý ĐỐI VỚI MỤC ĐÍCH XỬ LÝ DỮ LIỆU CÁ NHÂN

Bằng việc đánh dấu vào ô đồng ý trong bảng dưới đây, Người lao động xác nhận đồng ý cho TIKI xử lý dữ liệu cá nhân cho các mục đích cụ thể như sau:

Lưu ý:

1. Những mục đích cung cấp thông tin cho Cơ quan có thẩm quyền tại Mục 2.1, 2.6, 2.7, 3.3 và Mục 5 là bắt buộc đồng ý theo quy định pháp luật. Do đó, rất mong Chủ thể Dữ liệu cá nhân phối hợp đồng ý với những mục đích trên. Trường hợp Chủ thể Dữ liệu cá nhân từ chối xác nhận, TIKI vẫn sẽ cung cấp cho Cơ quan có thẩm quyền theo quy định pháp luật.
2. Trường hợp Quý Khách hàng từ chối tất cả các mục đích hoặc đã chấp nhận nhưng không cung cấp thông tin đúng thời hạn thì TIKI sẽ không đủ cơ sở để thực hiện các thủ tục liên quan cũng như không thể hợp tác với Người Lao Động, TIKI xin phép ngừng hợp tác khi quá thời gian trên mà chưa nhận được Dữ liệu cá nhân liên quan.

Ngoại trừ các mục đích xử lý dữ liệu nêu trên, nếu cần xử lý dữ liệu cá nhân của Người lao động cho bất kỳ mục đích nào khác, TIKI sẽ thông báo cho Người lao động và chỉ tiến hành xử lý dữ liệu cá nhân phù hợp với sự đồng ý của Người lao động.