Chính sách bảo mật
Ngày hiệu lực: 19 tháng 3 năm 2026 · Xem xét lần cuối: 19 tháng 3 năm 2026 · Phiên bản 1.0
EFFOMA · Sydney, Australia
1. Tổng quan & Phạm vi áp dụng
EFFOMA ("EFFOMA", "chúng tôi") cam kết bảo vệ quyền riêng tư và an ninh thông tin cá nhân của bạn theo các luật bảo vệ dữ liệu hiện hành. Chính sách bảo mật này mô tả chi tiết những dữ liệu cá nhân nào chúng tôi thu thập, tại sao chúng tôi thu thập, cách chúng tôi xử lý và bảo vệ dữ liệu, chúng tôi chia sẻ dữ liệu với ai, và những quyền nào bạn có đối với dữ liệu của mình.
Chính sách này áp dụng cho:
- Tất cả khách truy cập trang web của chúng tôi tại www.effoma.com và các trang con
- Cá nhân tìm hiểu hoặc sử dụng dịch vụ của chúng tôi
- Nhân sự khách hàng mà chúng tôi xử lý dữ liệu trong quá trình cung cấp dịch vụ
- Chủ thể dữ liệu mà chúng tôi xử lý dữ liệu cá nhân đại diện cho khách hàng của mình (với vai trò bên xử lý dữ liệu)
Chúng tôi hoạt động theo các khung pháp lý sau:
- Đạo luật Bảo mật Úc 1988 (Cth) và 13 Nguyên tắc Bảo mật Úc (APPs)
- Quy định chung về bảo vệ dữ liệu của EU (EU) 2016/679 ("GDPR") — nơi chúng tôi cung cấp hàng hóa hoặc dịch vụ cho, hoặc theo dõi hành vi của, các cá nhân trong Khu vực Kinh tế Châu Âu
- Quy định bảo vệ dữ liệu chung của Vương quốc Anh ("UK GDPR") và Đạo luật Bảo vệ Dữ liệu Vương quốc Anh 2018 — nơi chúng tôi xử lý dữ liệu của cư dân Vương quốc Anh
- Đạo luật về Trách nhiệm và Khả năng Chuyển đổi Bảo hiểm Y tế Hoa Kỳ 1996 ("HIPAA"), cụ thể là Quy tắc Bảo mật (45 CFR Phần 164, Mục con E), Quy tắc An ninh (45 CFR Phần 164, Mục con C), và Quy tắc Thông báo Vi phạm (45 CFR §§ 164.400–414) — nơi chúng tôi xử lý Thông tin Y tế được Bảo vệ đại diện cho khách hàng y tế Hoa Kỳ
Trong trường hợp có xung đột giữa chính sách này và một thỏa thuận hợp đồng cụ thể (như Thỏa thuận Xử lý Dữ liệu hoặc Thỏa thuận Đối tác Kinh doanh), các điều khoản của thỏa thuận đó sẽ được ưu tiên áp dụng cho việc xử lý dữ liệu mà thỏa thuận đó bao gồm.
2. Bên kiểm soát dữ liệu & Cán bộ Bảo vệ Dữ liệu
Theo mục đích của GDPR (Điều 4(7)) và UK GDPR, bên kiểm soát dữ liệu chịu trách nhiệm về dữ liệu cá nhân của bạn là:
Cán bộ Bảo vệ Dữ liệu (DPO): EFFOMA đã chỉ định một Cán bộ Bảo vệ Dữ liệu theo GDPR Điều 37. Đối với mọi thắc mắc về bảo vệ dữ liệu, yêu cầu truy cập dữ liệu chủ thể (DSARs), hoặc để thực hiện bất kỳ quyền nào của bạn theo luật bảo vệ dữ liệu hiện hành, hãy liên hệ:
Cán bộ Bảo vệ Dữ liệu
Email: [email protected]
Địa chỉ thư: EFFOMA — Cán bộ Bảo vệ Dữ liệu, Sydney, NSW, Úc
Trường hợp EFFOMA xử lý dữ liệu đại diện cho một khách hàng (tức là với vai trò bên xử lý dữ liệu theo GDPR Điều 4(8) hoặc đối tác kinh doanh theo HIPAA), khách hàng vẫn là bên kiểm soát dữ liệu (hoặc thực thể được bảo vệ). Trong các trường hợp này, chủ thể dữ liệu nên gửi yêu cầu về quyền đến khách hàng liên quan, tuy nhiên chúng tôi sẽ hỗ trợ thực hiện các yêu cầu đó theo thỏa thuận xử lý dữ liệu của chúng tôi.
3. Định nghĩa chính
| Thuật ngữ | Ý nghĩa |
|---|---|
| Dữ liệu cá nhân | Bất kỳ thông tin liên quan đến một cá nhân đã được xác định hoặc có thể xác định (GDPR Điều 4(1)), hoặc "thông tin cá nhân" theo định nghĩa của Đạo luật Bảo mật Úc mục 6(1) |
| Dữ liệu loại đặc biệt | Dữ liệu cá nhân tiết lộ nguồn gốc chủng tộc/dân tộc, quan điểm chính trị, tín ngưỡng tôn giáo, thành viên công đoàn, dữ liệu di truyền, dữ liệu sinh trắc học, dữ liệu y tế, hoặc dữ liệu liên quan đến đời sống tình dục hoặc xu hướng tính dục (GDPR Điều 9(1)) |
| Xử lý | Bất kỳ hoạt động nào được thực hiện trên dữ liệu cá nhân — thu thập, ghi lại, tổ chức, cấu trúc, lưu trữ, điều chỉnh, truy xuất, tham khảo, sử dụng, tiết lộ, liên kết, hạn chế, xóa, hoặc tiêu hủy (GDPR Điều 4(2)) |
| Bên kiểm soát dữ liệu | Thực thể xác định mục đích và phương tiện xử lý dữ liệu cá nhân (GDPR Điều 4(7)) |
| Bên xử lý dữ liệu | Một thực thể xử lý dữ liệu cá nhân đại diện cho bên kiểm soát (GDPR Điều 4(8)) |
| PHI | Thông tin Y tế được Bảo vệ — thông tin y tế có thể xác định cá nhân được lưu giữ hoặc truyền tải bởi một thực thể được bảo vệ hoặc đối tác kinh doanh, theo định nghĩa tại 45 CFR § 160.103 |
| ePHI | Thông tin Y tế được Bảo vệ dạng điện tử — PHI được tạo ra, nhận, lưu giữ, hoặc truyền tải dưới dạng điện tử (45 CFR § 160.103) |
| BAA | Thỏa thuận Đối tác Kinh doanh — một hợp đồng bắt buộc theo HIPAA (45 CFR § 164.502(e)) trước khi một đối tác kinh doanh có thể tạo, nhận, lưu giữ, hoặc truyền tải PHI đại diện cho một thực thể được bảo vệ |
4. Các loại dữ liệu cá nhân chúng tôi thu thập
Theo GDPR Điều 13(1)(d) và Điều 14(1)(d), chúng tôi công khai các loại dữ liệu cá nhân cụ thể mà chúng tôi thu thập:
4.1 Dữ liệu bạn cung cấp trực tiếp
| Loại | Ví dụ | Cơ sở pháp lý (GDPR Điều 6) |
|---|---|---|
| Dữ liệu định danh | Họ tên đầy đủ, chức danh, tên công ty | Hợp đồng (Điều 6(1)(b)) |
| Dữ liệu liên hệ | Địa chỉ email, số điện thoại, địa chỉ thư | Hợp đồng / Lợi ích hợp pháp |
| Dữ liệu dự án | Bản mô tả yêu cầu, tài sản sáng tạo, trao đổi thông tin | Hợp đồng (Điều 6(1)(b)) |
| Dữ liệu tài chính | Thông tin thanh toán, hồ sơ xuất hóa đơn (dữ liệu thẻ thanh toán không bao giờ được lưu trữ bởi chúng tôi — được xử lý bởi các nhà cung cấp thứ ba tuân thủ PCI-DSS) | Hợp đồng / Nghĩa vụ pháp lý |
| Nội dung tải lên | File, media, tập dữ liệu được chia sẻ để triển khai dự án | Hợp đồng (Điều 6(1)(b)) |
4.2 Dữ liệu được thu thập tự động
| Loại | Ví dụ | Cơ sở pháp lý |
|---|---|---|
| Dữ liệu kỹ thuật | Địa chỉ IP, loại và phiên bản trình duyệt, hệ điều hành, loại thiết bị | Lợi ích hợp pháp (Điều 6(1)(f)) |
| Dữ liệu sử dụng | Trang đã truy cập, thời gian sử dụng, luồng nhấp chuột, URL giới thiệu | Sự đồng ý (Điều 6(1)(a)) đối với phân tích không thiết yếu |
| Dữ liệu cookie | Định danh phiên, cài đặt tùy chọn, token phân tích | Sự đồng ý (không thiết yếu) / Lợi ích hợp pháp (chỉ thiết yếu) |
4.3 Dữ liệu từ bên thứ ba
| Loại | Nguồn | Cơ sở pháp lý |
|---|---|---|
| Dữ liệu liên hệ chuyên môn | LinkedIn, danh bạ chuyên môn | Lợi ích hợp pháp (Điều 6(1)(f)) |
| Dữ liệu phân tích tổng hợp | Google Analytics (đã ẩn danh) | Sự đồng ý (Điều 6(1)(a)) |
4.4 Dữ liệu loại đặc biệt
Chúng tôi không thường xuyên thu thập dữ liệu loại đặc biệt (GDPR Điều 9(1)). Trường hợp một dự án khách hàng yêu cầu xử lý dữ liệu y tế hoặc dữ liệu loại đặc biệt khác, chúng tôi chỉ thực hiện việc này với sự đồng ý rõ ràng (Điều 9(2)(a)) hoặc theo một cơ sở pháp lý cụ thể, và có các biện pháp bảo vệ bổ sung bao gồm mã hóa, hạn chế truy cập, và — khi áp dụng — một BAA theo HIPAA.
4.5 Sự cần thiết của việc cung cấp dữ liệu
Trường hợp chúng tôi yêu cầu bạn cung cấp dữ liệu cá nhân liên quan đến một hợp đồng hoặc thỏa thuận dịch vụ, việc không cung cấp dữ liệu yêu cầu có thể khiến chúng tôi không thể thực hiện hợp đồng hoặc cung cấp dịch vụ được yêu cầu. Chúng tôi sẽ thông báo cho bạn tại thời điểm thu thập liệu việc cung cấp dữ liệu cụ thể là yêu cầu hợp đồng hay tự nguyện. (GDPR Điều 13(2)(e))
5. Cơ sở pháp lý cho việc xử lý dữ liệu (GDPR Điều 6 & 9)
Theo GDPR Điều 6, chúng tôi chỉ xử lý dữ liệu cá nhân khi có cơ sở pháp lý hợp lệ. Theo UK GDPR, các cơ sở tương tự cũng được áp dụng. Bảng dưới đây liên kết từng mục đích xử lý với cơ sở pháp lý cụ thể của nó:
| Mục đích | Cơ sở pháp lý | Điều khoản GDPR |
|---|---|---|
| Thực hiện hợp đồng hoặc các bước tiền hợp đồng | Thực hiện hợp đồng | Điều 6(1)(b) |
| Trả lời thắc mắc | Lợi ích hợp pháp / Các bước tiền hợp đồng | Điều 6(1)(f) / Điều 6(1)(b) |
| Phân tích trang web (thiết yếu) | Lợi ích hợp pháp | Điều 6(1)(f) |
| Phân tích trang web (không thiết yếu) | Sự đồng ý | Điều 6(1)(a) |
| Truyền thông tiếp thị | Sự đồng ý (opt-in) | Điều 6(1)(a) |
| Xuất hóa đơn và hồ sơ tài chính | Nghĩa vụ pháp lý (luật thuế) | Điều 6(1)(c) |
| Giám sát an ninh và phòng chống gian lận | Lợi ích hợp pháp | Điều 6(1)(f) |
| Tuân thủ các nghĩa vụ pháp lý | Nghĩa vụ pháp lý | Điều 6(1)(c) |
| Xử lý dữ liệu y tế / PHI | Sự đồng ý rõ ràng hoặc BAA | Điều 9(2)(a) / HIPAA 45 CFR § 164.502(e) |
Đánh giá lợi ích hợp pháp
Trường hợp chúng tôi dựa vào lợi ích hợp pháp (Điều 6(1)(f)), chúng tôi đã thực hiện Đánh giá Lợi ích Hợp pháp (LIA) để cân nhắc lợi ích kinh doanh của chúng tôi so với quyền và tự do của chủ thể dữ liệu. Lợi ích hợp pháp của chúng tôi bao gồm: vận hành và cải thiện trang web của chúng tôi, duy trì an ninh, quản lý các quan hệ kinh doanh của chúng tôi, và tiếp thị dịch vụ của chúng tôi đến khách hàng hiện tại và các đầu mối kinh doanh liên quan. Chúng tôi đã xác định rằng những lợi ích này không lấn át các quyền cơ bản của bạn, đặc biệt là với các biện pháp bảo vệ mà chúng tôi thực hiện (giả danh hóa, tối thiểu hóa dữ liệu, cơ chế từ chối dễ dàng). Bạn có quyền phản đối việc xử lý dựa trên lợi ích hợp pháp bất kỳ lúc nào (xem Mục 10).
6. Mục đích xử lý dữ liệu
Theo nguyên tắc hạn chế mục đích (GDPR Điều 5(1)(b)), chúng tôi chỉ xử lý dữ liệu cá nhân cho các mục đích cụ thể, rõ ràng, và hợp pháp được nêu dưới đây. Chúng tôi sẽ không xử lý thêm dữ liệu của bạn theo cách không phù hợp với các mục đích này mà không có thông báo trước và, khi cần, có được sự đồng ý của bạn.
| Mục đích | Mô tả | Loại dữ liệu sử dụng |
|---|---|---|
| Cung cấp dịch vụ | Triển khai các dự án AI, XR, web, và số; trao đổi và cập nhật thông tin dự án | Định danh, liên hệ, dự án, nội dung tải lên |
| Hoạt động kinh doanh | Xuất hóa đơn, ký hợp đồng, quản lý tài khoản, quản lý nhà cung cấp | Định danh, liên hệ, tài chính |
| Vận hành trang web | Cung cấp nội dung, duy trì trạng thái phiên, tính năng thiết yếu | Kỹ thuật, cookie (thiết yếu) |
| Phân tích & cải thiện | Hiểu các mẫu sử dụng để cải thiện trang web và dịch vụ của chúng tôi | Sử dụng, cookie (có sự đồng ý) |
| Tiếp thị | Gửi cập nhật, nghiên cứu trường hợp, thư mời sự kiện đến các đầu mối đã đồng ý | Định danh, liên hệ |
| Tuân thủ pháp luật | Nghĩa vụ thuế, báo cáo quy định, phản hồi các yêu cầu hợp pháp | Định danh, liên hệ, tài chính, dự án |
| An ninh | Phòng chống gian lận, phát hiện lạm dụng, giám sát lỗ hổng, ứng phó sự cố | Kỹ thuật, sử dụng |
Chúng tôi không bao giờ bán dữ liệu cá nhân của bạn cho bên thứ ba. Chúng tôi không trao đổi, cho thuê, hoặc khai thác thương mại dữ liệu cá nhân dưới bất kỳ hình thức nào khác.
7. Người nhận dữ liệu & Bên xử lý phụ
Theo GDPR Điều 13(1)(e) và Điều 28, chúng tôi công khai các loại người nhận mà chúng tôi có thể chia sẻ dữ liệu cá nhân. Tất cả các bên xử lý thứ ba được ký kết theo Thỏa thuận Xử lý Dữ liệu (DPA) bằng văn bản bao gồm các nghĩa vụ:
- Chỉ xử lý dữ liệu theo hướng dẫn bằng văn bản của chúng tôi
- Đảm bảo tính bảo mật của nhân sự xử lý dữ liệu
- Thực hiện các biện pháp an ninh kỹ thuật và tổ chức phù hợp
- Hỗ trợ chúng tôi phản hồi các yêu cầu về quyền của chủ thể dữ liệu
- Xóa hoặc trả lại toàn bộ dữ liệu cá nhân khi kết thúc quan hệ dịch vụ
- Chấp nhận các cuộc kiểm toán và thanh tra
Các loại người nhận
| Loại người nhận | Mục đích | Biện pháp bảo vệ |
|---|---|---|
| Hạ tầng đám mây (AWS, Google Cloud, Microsoft Azure) | Lưu trữ, tính toán, lưu giữ dữ liệu | DPA, SCCs, SOC 2 Type II, ISO 27001 |
| Nhà cung cấp nền tảng AI (ví dụ: Anthropic Claude API) | Triển khai dự án bằng AI | DPA, dữ liệu không được dùng để huấn luyện mô hình, mã hóa khi truyền tải |
| Nhà cung cấp phân tích (Google Analytics) | Phân tích sử dụng trang web | Bật ẩn danh IP, DPA, có cổng đồng ý |
| Đơn vị xử lý thanh toán | Xử lý thanh toán | Tuân thủ PCI-DSS Cấp 1, không lưu dữ liệu thẻ tại chúng tôi |
| Cố vấn chuyên môn (pháp lý, kế toán, bảo hiểm) | Tư vấn kinh doanh | Nghĩa vụ bảo mật chuyên môn, DPA khi áp dụng |
| Nhà thầu phụ (nhà phát triển, sáng tạo) | Hỗ trợ triển khai dự án | Thỏa thuận bảo mật, DPA, quyền truy cập hạn chế theo phạm vi dự án |
| Cơ quan quản lý và thực thi pháp luật | Tuân thủ các yêu cầu hợp pháp | Chỉ tiết lộ khi luật pháp yêu cầu; chúng tôi xác minh tính hợp pháp của mọi yêu cầu |
Danh sách bên xử lý phụ hiện tại có sẵn theo yêu cầu bằng cách liên hệ [email protected]. Chúng tôi sẽ thông báo cho khách hàng về bất kỳ thay đổi dự kiến nào đối với các bên xử lý phụ, với cơ hội phản đối. (GDPR Điều 28(2))
8. Chuyển dữ liệu quốc tế (GDPR Điều 44–49)
Là một công ty Úc sử dụng các nền tảng đám mây toàn cầu, dữ liệu của bạn có thể được chuyển đến và xử lý tại các quốc gia ngoài Úc, Khu vực Kinh tế Châu Âu (EEA), hoặc Vương quốc Anh. Chúng tôi đảm bảo mọi hoạt động chuyển dữ liệu xuyên biên giới tuân thủ Chương V của GDPR (Điều 44–49):
Cơ chế chuyển dữ liệu
| Điểm đến | Cơ chế chuyển dữ liệu | Tham chiếu |
|---|---|---|
| Các quốc gia có quyết định đầy đủ của EU | Quyết định đầy đủ | GDPR Điều 45 |
| Hoa Kỳ | Khung Bảo mật Dữ liệu EU-Hoa Kỳ (khi được chứng nhận) hoặc Điều khoản Hợp đồng Chuẩn (SCCs) theo Quyết định Thực thi Ủy ban EU 2021/914 | GDPR Điều 46(2)(c) |
| Các quốc gia khác (không có quyết định đầy đủ) | Điều khoản Hợp đồng Chuẩn (SCCs) với các biện pháp bổ sung khi cần, theo Khuyến nghị EDPB 01/2020 | GDPR Điều 46(2)(c) |
| Úc (từ EU/UK) | SCCs; Úc không thuộc đối tượng của quyết định đầy đủ EU, vì vậy chúng tôi thực hiện các biện pháp bảo vệ bổ sung bao gồm mã hóa khi lưu trữ và truyền tải, kiểm soát truy cập, và các biện pháp bảo vệ hợp đồng | GDPR Điều 46(2)(c) |
Chúng tôi thực hiện Đánh giá Tác động Chuyển giao (TIAs) cho mỗi luồng dữ liệu xuyên biên giới, đánh giá khung pháp lý của quốc gia nhận và thực hiện các biện pháp bổ sung khi mức độ bảo vệ không tương đương với EEA/UK. Bản sao của SCCs và TIAs liên quan có sẵn theo yêu cầu.
9. Lưu trữ & Xóa dữ liệu
Theo nguyên tắc hạn chế lưu trữ (GDPR Điều 5(1)(e)), chúng tôi chỉ lưu trữ dữ liệu cá nhân trong thời gian cần thiết để hoàn thành các mục đích đã thu thập, hoặc theo yêu cầu của luật pháp hiện hành. Chúng tôi đã triển khai lịch trình lưu trữ dữ liệu được xem xét hàng năm:
| Loại dữ liệu | Thời gian lưu trữ | Cơ sở |
|---|---|---|
| Dữ liệu dự án khách hàng | 7 năm từ khi hoàn thành dự án | Luật thuế Úc (Đạo luật Thuế Thu nhập 1997) |
| Hồ sơ tài chính / xuất hóa đơn | 7 năm từ ngày giao dịch | Luật thuế Úc; GDPR Điều 6(1)(c) |
| Dữ liệu thắc mắc trang web | 2 năm từ lần liên hệ cuối | Lợi ích hợp pháp; xóa sớm hơn theo yêu cầu |
| Hồ sơ đồng ý tiếp thị | Đến khi rút lại sự đồng ý + 1 năm (bằng chứng đồng ý) | GDPR Điều 7(1) trách nhiệm giải trình |
| Phân tích trang web (Google Analytics) | 14 tháng (cấu hình thấp hơn mặc định) | Sự đồng ý; Điều 5(1)(e) tối thiểu hóa |
| Nhật ký máy chủ / truy cập | 90 ngày | Lợi ích hợp pháp về an ninh; Điều 6(1)(f) |
| Hồ sơ đồng ý cookie | Thời gian đồng ý + 3 năm | Trách nhiệm giải trình / Điều 7(1) |
| PHI / dữ liệu y tế (HIPAA) | 6 năm từ khi tạo hoặc lần sử dụng cuối (tùy cái nào muộn hơn) | 45 CFR § 164.530(j) |
Quy trình xóa dữ liệu: Khi dữ liệu đạt đến cuối thời gian lưu trữ, hoặc theo một yêu cầu xóa dữ liệu hợp lệ, chúng tôi xóa an toàn hoặc ẩn danh hóa không thể đảo ngược dữ liệu đó. Dữ liệu điện tử được ghi đè hoặc xóa bằng mật mã học. Chúng tôi đảm bảo các bên xử lý phụ cũng xóa dữ liệu liên quan theo DPA của chúng tôi. (GDPR Điều 17)
10. Quyền của bạn với tư cách chủ thể dữ liệu
10.1 Theo GDPR & UK GDPR
Bạn có các quyền sau, được thực hiện miễn phí:
| Quyền | Mô tả | Điều khoản GDPR |
|---|---|---|
| Truy cập | Nhận xác nhận về việc chúng tôi có xử lý dữ liệu của bạn hay không, và nhận một bản sao ở định dạng điện tử thông dụng | Điều 15 |
| Cải chính | Được sửa chữa dữ liệu không chính xác hoặc chưa đầy đủ mà không có sự trì hoãn không cần thiết | Điều 16 |
| Xóa dữ liệu | Yêu cầu xóa dữ liệu của bạn khi không có lý do thuyết phục nào để tiếp tục xử lý ("quyền được quên") | Điều 17 |
| Hạn chế | Yêu cầu chúng tôi giới hạn việc xử lý dữ liệu của bạn (ví dụ: khi chúng tôi xác minh tính chính xác hoặc đánh giá một phản đối) | Điều 18 |
| Di chuyển dữ liệu | Nhận dữ liệu của bạn dưới định dạng có cấu trúc, thông dụng, đọc được bởi máy (JSON hoặc CSV) và truyền đến một bên kiểm soát khác | Điều 20 |
| Phản đối | Phản đối việc xử lý dựa trên lợi ích hợp pháp hoặc cho mục đích tiếp thị trực tiếp; chúng tôi sẽ ngừng xử lý trừ khi chúng tôi chứng minh được lý do hợp pháp thuyết phục | Điều 21 |
| Rút lại sự đồng ý | Rút lại sự đồng ý bất kỳ lúc nào, mà không ảnh hưởng đến tính hợp pháp của việc xử lý dựa trên sự đồng ý trước khi rút lại | Điều 7(3) |
| Quyết định tự động | Không bị áp dụng một quyết định chỉ dựa trên xử lý tự động mà tạo ra hiệu lực pháp lý hoặc ảnh hưởng đáng kể tương tự | Điều 22 |
10.2 Theo Đạo luật Bảo mật Úc
- APP 12 — Truy cập thông tin cá nhân mà chúng tôi lưu giữ về bạn
- APP 13 — Yêu cầu sửa chữa thông tin không chính xác, đã lỗi thời, hoặc chưa đầy đủ
- Khiếu nại — Gửi khiếu nại đến chúng tôi hoặc trực tiếp đến Văn phòng Ủy viên Thông tin Úc (OAIC)
10.3 Theo HIPAA (đối với cá nhân Hoa Kỳ mà chúng tôi lưu giữ PHI)
- Quyền truy cập — Kiểm tra và nhận một bản sao PHI của bạn (45 CFR § 164.524)
- Quyền sửa đổi — Yêu cầu sửa đổi PHI mà bạn tin là không chính xác (45 CFR § 164.526)
- Quyền được cung cấp danh sách tiết lộ — Nhận danh sách một số lần tiết lộ PHI của bạn (45 CFR § 164.528)
- Quyền yêu cầu hạn chế — Yêu cầu giới hạn một số cách sử dụng hoặc tiết lộ (45 CFR § 164.522)
- Quyền giao tiếp bảo mật — Yêu cầu chúng tôi giao tiếp với bạn bằng phương tiện hoặc tại địa điểm khác (45 CFR § 164.522)
- Quyền nhận bản in — Nhận một bản in của chính sách này theo yêu cầu
10.4 Cách thực hiện quyền của bạn
Gửi yêu cầu đến Cán bộ Bảo vệ Dữ liệu của chúng tôi tại [email protected] với dòng tiêu đề "Yêu cầu về Quyền Chủ thể Dữ liệu". Chúng tôi sẽ:
- Xác nhận yêu cầu của bạn trong vòng 3 ngày làm việc
- Xác minh danh tính của bạn trước khi xử lý (chúng tôi có thể yêu cầu giấy tờ tùy thân do chính phủ cấp hoặc bằng chứng khác)
- Phản hồi thực chất trong vòng 30 ngày (GDPR/UK GDPR — có thể kéo dài thêm 2 tháng đối với yêu cầu phức tạp, có thông báo)
- Đối với yêu cầu HIPAA: phản hồi trong vòng 30 ngày (có thể kéo dài thêm 30 ngày với thông báo bằng văn bản theo 45 CFR § 164.524(b)(2))
- Cung cấp phản hồi miễn phí, trừ khi yêu cầu rõ ràng vô căn cứ hoặc quá mức (Điều 12(5))
11. Quản lý sự đồng ý
Trường hợp chúng tôi dựa vào sự đồng ý làm cơ sở pháp lý cho việc xử lý (GDPR Điều 6(1)(a) hoặc Điều 9(2)(a)), chúng tôi đảm bảo rằng:
- Sự đồng ý được đưa ra một cách tự do, cụ thể, có hiểu biết, và rõ ràng (GDPR Điều 4(11))
- Sự đồng ý được thu thập thông qua một hành động khẳng định rõ ràng (không có ô đánh dấu sẵn)
- Sự đồng ý cho các mục đích xử lý khác nhau được yêu cầu riêng biệt (đồng ý chi tiết)
- Bạn được thông báo về quyền rút lại sự đồng ý bất kỳ lúc nào trước khi đưa ra sự đồng ý
- Việc rút lại sự đồng ý dễ dàng như việc đưa ra sự đồng ý (ví dụ: hủy đăng ký email tiếp thị chỉ với một lần nhấp)
- Chúng tôi lưu giữ hồ sơ có đóng dấu thời gian về khi nào và cách nào sự đồng ý được đưa ra, để đảm bảo trách nhiệm giải trình (Điều 7(1))
Việc rút lại sự đồng ý không ảnh hưởng đến tính hợp pháp của việc xử lý được thực hiện trước khi rút lại. (GDPR Điều 7(3))
12. Quyết định tự động & Lập hồ sơ
Theo GDPR Điều 22, chúng tôi công khai những điều sau:
- Chúng tôi không hiện đang thực hiện quyết định tự động tạo ra hiệu lực pháp lý hoặc ảnh hưởng đáng kể tương tự đến bạn
- Chúng tôi không xây dựng hồ sơ cho mục đích đánh giá tín dụng, xác định đủ điều kiện tự động, hoặc các kết quả tự động tương tự
- Trường hợp các công cụ AI được sử dụng trong triển khai dự án (ví dụ: tạo nội dung, phân tích dữ liệu), kết quả đầu ra được xem xét bởi con người trước khi bất kỳ quyết định ảnh hưởng đến cá nhân được đưa ra
Nếu chúng tôi giới thiệu việc ra quyết định tự động trong tương lai, chúng tôi sẽ cập nhật chính sách này, cung cấp thông tin có ý nghĩa về logic liên quan, tầm quan trọng, và các hậu quả dự kiến (Điều 13(2)(f)), và thực hiện quyền được can thiệp bởi con người, thể hiện quan điểm của bạn, và phản đối quyết định (Điều 22(3)).
13. Cookie & Công nghệ theo dõi
Trang web của chúng tôi sử dụng cookie và các công nghệ tương tự. Theo Chỉ thị ePrivacy (2002/58/EC, đã được sửa đổi) và GDPR, chúng tôi thực hiện quản trị cookie như sau:
Các loại Cookie
| Loại | Mục đích | Ví dụ | Cần sự đồng ý |
|---|---|---|---|
| Thiết yếu nghiêm ngặt | Chức năng trang web cần thiết, quản lý phiên, an ninh | Cookie phiên, token CSRF, cài đặt giao diện | Không (miễn trừ Điều 5(3) ePrivacy) |
| Phân tích | Hiểu các mẫu sử dụng, cải thiện hiệu suất trang web | Google Analytics (_ga, _gid) | Có — sự đồng ý opt-in |
| Tiếp thị | Quảng cáo, remarketing, theo dõi chuyển đổi | Meta Pixel, Google Ads | Có — sự đồng ý opt-in |
Lựa chọn Cookie của bạn
- Banner đồng ý: Trong lần truy cập đầu tiên, các cookie không thiết yếu bị chặn cho đến khi bạn đưa ra sự đồng ý rõ ràng qua cơ chế đồng ý cookie của chúng tôi
- Rút lại: Bạn có thể thay đổi tùy chọn cookie bất kỳ lúc nào qua cài đặt trình duyệt hoặc xóa cookie
- Kiểm soát trình duyệt: Hầu hết trình duyệt cho phép bạn từ chối hoặc xóa cookie qua cài đặt
- Từ chối Google Analytics: Cài đặt tiện ích từ chối Google Analytics
Từ chối cookie không thiết yếu sẽ không ảnh hưởng đến chức năng cốt lõi của trang web của chúng tôi.
14. Khung tuân thủ HIPAA
Trường hợp EFFOMA cung cấp dịch vụ cho khách hàng y tế tại Hoa Kỳ liên quan đến việc tạo, nhận, lưu giữ, hoặc truyền tải Thông tin Y tế được Bảo vệ (PHI), chúng tôi hoạt động với vai trò Đối tác Kinh doanh theo HIPAA và thực hiện khung tuân thủ sau:
14.1 Thỏa thuận Đối tác Kinh doanh (45 CFR § 164.502(e))
- Một BAA đã ký được thực hiện với mọi thực thể được bảo vệ trước khi bất kỳ PHI được tạo, nhận, lưu giữ, hoặc truyền tải
- BAA quy định các cách sử dụng và tiết lộ được phép, yêu cầu bảo vệ, nghĩa vụ thông báo vi phạm, và điều khoản chấm dứt
- Chúng tôi không sử dụng hoặc tiết lộ PHI ngoại trừ những gì được BAA và Quy tắc Bảo mật HIPAA cho phép
14.2 Tuân thủ Quy tắc Bảo mật (45 CFR Phần 164, Mục con E)
- Tiêu chuẩn Tối thiểu Cần thiết — Chúng tôi hạn chế truy cập, sử dụng, và tiết lộ PHI ở mức tối thiểu cần thiết để hoàn thành mục đích (45 CFR § 164.502(b))
- Hạn chế sử dụng và tiết lộ — PHI chỉ được sử dụng cho các mục đích quy định trong BAA; bất kỳ mục đích sử dụng khác đều yêu cầu sự cho phép bằng văn bản từ cá nhân hoặc thực thể được bảo vệ
- Quyền của cá nhân — Chúng tôi hỗ trợ các thực thể được bảo vệ hoàn thành các yêu cầu về quyền của cá nhân (truy cập, sửa đổi, danh sách tiết lộ, hạn chế, giao tiếp bảo mật)
- Ẩn danh hóa — Khi có thể, chúng tôi sử dụng dữ liệu đã ẩn danh theo phương pháp Safe Harbor (45 CFR § 164.514(b)) hoặc Xác định Chuyên gia (45 CFR § 164.514(a))
14.3 Tuân thủ Quy tắc An ninh (45 CFR Phần 164, Mục con C)
Chúng tôi thực hiện các biện pháp bảo vệ trên cả ba loại của Quy tắc An ninh HIPAA:
Biện pháp bảo vệ hành chính (§ 164.308)
- Cán bộ An ninh được chỉ định chịu trách nhiệm cho chương trình an ninh HIPAA
- Đào tạo an ninh nhân sự được tiến hành khi tuyển dụng và hàng năm sau đó
- Phân tích rủi ro có tài liệu và chương trình quản lý rủi ro, được xem xét hàng năm
- Chính sách xử phạt đối với nhân sự vi phạm chính sách an ninh
- Kế hoạch dự phòng bao gồm sao lưu dữ liệu, khôi phục sau thảm họa, và vận hành trong tình huống khẩn cấp
- Đánh giá định kỳ các chính sách và quy trình an ninh
Biện pháp bảo vệ vật lý (§ 164.310)
- Kiểm soát truy cập cơ sở đối với bất kỳ địa điểm vật lý xử lý PHI
- Chính sách sử dụng và an ninh máy trạm
- Kiểm soát thiết bị và phương tiện đối với phần cứng và phương tiện điện tử chứa ePHI
- An ninh vật lý hạ tầng đám mây được giao cho các nhà cung cấp chứng nhận SOC 2 Type II / ISO 27001 (AWS, Google Cloud)
Biện pháp bảo vệ kỹ thuật (§ 164.312)
- Kiểm soát truy cập: Định danh người dùng riêng biệt, quy trình truy cập khẩn cấp, hết phiên tự động, kiểm soát truy cập theo vai trò (RBAC) với nguyên tắc đặc quyền tối thiểu
- Kiểm soát kiểm toán: Ghi log toàn diện mọi truy cập vào hệ thống chứa ePHI, với dấu vết kiểm toán chống giả mạo được lưu trữ 6 năm
- Kiểm soát tính toàn vẹn: Cơ chế xác thực ePHI và phát hiện thay đổi hoặc phá hủy không được phép
- An ninh truyền tải: TLS 1.2 hoặc cao hơn cho mọi dữ liệu khi truyền tải; mã hóa AES-256 cho dữ liệu khi lưu trữ
- Xác thực: Xác thực đa yếu tố (MFA) bắt buộc đối với mọi nhân sự truy cập hệ thống chứa ePHI
14.4 Thông báo vi phạm (45 CFR §§ 164.400–414)
Trong trường hợp vi phạm PHI không được bảo mật, chúng tôi sẽ:
- Thông báo cho thực thể được bảo vệ bị ảnh hưởng không có sự trì hoãn không hợp lý và không muộn hơn 60 ngày sau khi phát hiện vi phạm
- Cung cấp cho thực thể được bảo vệ danh tính của từng cá nhân bị ảnh hưởng, mô tả các loại PHI liên quan, các bước cá nhân nên thực hiện để bảo vệ bản thân, những gì chúng tôi đang làm để điều tra và giảm thiểu, và quy trình liên hệ
- Hợp tác với nghĩa vụ của thực thể được bảo vệ để thông báo cho cá nhân bị ảnh hưởng, Bộ trưởng HHS, và (đối với vi phạm ảnh hưởng 500+ cá nhân) các cơ quan truyền thông lớn
- Lưu giữ nhật ký về mọi vi phạm trong 6 năm, bất kể quy mô
14.5 Lưu trữ hồ sơ
Tài liệu liên quan đến HIPAA — bao gồm chính sách, quy trình, BAA, đánh giá rủi ro, hồ sơ đào tạo, và nhật ký vi phạm — được lưu trữ tối thiểu 6 năm từ ngày tạo hoặc ngày cuối cùng có hiệu lực, tùy cái nào muộn hơn (45 CFR § 164.530(j)).
Nếu dự án của bạn với EFFOMA liên quan đến dữ liệu y tế, hãy liên hệ với chúng tôi tại [email protected] để đảm bảo một BAA được ký kết trước khi bắt đầu dự án.
15. Biện pháp an ninh kỹ thuật & tổ chức
Theo GDPR Điều 32 và Quy tắc An ninh HIPAA, chúng tôi thực hiện các biện pháp kỹ thuật và tổ chức phù hợp với mức độ rủi ro, bao gồm:
Mã hóa
- Khi truyền tải: Mọi dữ liệu truyền đến/từ hệ thống của chúng tôi sử dụng TLS 1.2 hoặc TLS 1.3. HTTP Strict Transport Security (HSTS) được áp dụng trên toàn bộ tên miền
- Khi lưu trữ: Mã hóa AES-256 cho dữ liệu được lưu trữ, bao gồm cơ sở dữ liệu và bản sao lưu. Khóa mã hóa được quản lý qua KMS của nhà cung cấp đám mây (AWS KMS / Google Cloud KMS)
Kiểm soát truy cập
- Kiểm soát truy cập theo vai trò (RBAC) với nguyên tắc đặc quyền tối thiểu
- Xác thực đa yếu tố (MFA) bắt buộc đối với mọi truy cập quản trị và hệ thống sản xuất
- Hết phiên tự động sau thời gian không hoạt động
- Tài khoản người dùng riêng biệt — không dùng chung thông tin đăng nhập
An ninh hạ tầng
- Lưu trữ đám mây cấp doanh nghiệp (AWS, Google Cloud) với chứng nhận SOC 2 Type II và ISO 27001
- Phân đoạn mạng và quy tắc tường lửa để cách ly môi trường sản xuất
- Giảm thiểu DDoS qua Cloudflare
- Triển khai dựa trên container với hạ tầng bất biến
Giám sát & Ứng phó
- Ghi log và giám sát tập trung các sự kiện an ninh
- Kế hoạch ứng phó sự cố có tài liệu với vai trò xác định, quy trình leo thang, và giao thức truyền thông
- Đánh giá lỗ hổng và rà soát an ninh định kỳ
- Quét phụ thuộc để tìm lỗ hổng đã biết trong thư viện bên thứ ba
Nhân sự
- Thỏa thuận bảo mật cho toàn bộ nhân sự và nhà thầu phụ
- Đào tạo nhận thức an ninh khi tuyển dụng và tái đào tạo hàng năm
- Quy trình thu hồi quyền truy cập khi thay đổi vai trò hoặc chấm dứt hợp đồng
Không có hệ thống nào an toàn 100%. Trong trường hợp có sự cố an ninh, chúng tôi tuân theo các quy trình thông báo vi phạm được mô tả trong Mục 16.
16. Thông báo vi phạm dữ liệu
Chúng tôi duy trì một kế hoạch ứng phó vi phạm dữ liệu có tài liệu. Trong trường hợp có vi phạm dữ liệu cá nhân:
GDPR / UK GDPR (Điều 33 & 34)
- Thông báo cơ quan giám sát: Khi một vi phạm có khả năng tạo ra rủi ro đối với quyền và tự do của các cá nhân, chúng tôi sẽ thông báo cho cơ quan giám sát liên quan trong vòng 72 giờ sau khi phát hiện vi phạm (Điều 33(1))
- Thông báo chủ thể dữ liệu: Khi một vi phạm có khả năng tạo ra rủi ro cao đối với quyền và tự do của bạn, chúng tôi sẽ thông báo cho các cá nhân bị ảnh hưởng không có sự trì hoãn không cần thiết (Điều 34(1)), mô tả bản chất vi phạm, hậu quả có thể xảy ra, và các biện pháp đã hoặc sẽ được thực hiện
- Nghĩa vụ bên xử lý: Khi chúng tôi hoạt động với vai trò bên xử lý dữ liệu, chúng tôi sẽ thông báo cho bên kiểm soát dữ liệu không có sự trì hoãn không cần thiết sau khi phát hiện vi phạm (Điều 33(2))
Đạo luật Bảo mật Úc (chương trình Thông báo Vi phạm Dữ liệu)
- Chúng tôi sẽ thông báo cho OAIC và các cá nhân bị ảnh hưởng ngay khi có thể khi một vi phạm có khả năng gây tổn hại nghiêm trọng, theo Phần IIIC của Đạo luật Bảo mật
HIPAA (45 CFR §§ 164.400–414)
- Xem Mục 14.4 để biết quy trình và thời hạn thông báo vi phạm theo HIPAA
Mọi vi phạm (bao gồm các sự cố suýt xảy ra) đều được ghi vào sổ vi phạm của chúng tôi, được điều tra để xác định nguyên nhân gốc, và tiếp theo là các biện pháp khắc phục để ngăn ngừa tái diễn.
17. Đánh giá tác động bảo vệ dữ liệu
Theo GDPR Điều 35, chúng tôi thực hiện Đánh giá Tác động Bảo vệ Dữ liệu (DPIA) trước khi bắt đầu bất kỳ hoạt động xử lý có khả năng gây rủi ro cao đối với quyền và tự do của cá nhân. Điều này bao gồm:
- Xử lý quy mô lớn dữ liệu loại đặc biệt (Điều 9) hoặc dữ liệu tội phạm (Điều 10)
- Lập hồ sơ có hệ thống và quy mô rộng với hiệu ứng đáng kể
- Giám sát có hệ thống quy mô lớn các khu vực công cộng
- Sử dụng công nghệ mới mà rủi ro đối với chủ thể dữ liệu chưa được hiểu rõ
- Bất kỳ hoạt động xử lý PHI theo HIPAA có rủi ro cao hơn
DPIA bao gồm: mô tả có hệ thống về các hoạt động xử lý và mục đích; đánh giá tính cần thiết và tính tương xứng; đánh giá rủi ro đối với chủ thể dữ liệu; và các biện pháp dự kiến để giải quyết những rủi ro đó. Khi DPIA cho thấy rủi ro dư cao, chúng tôi tham khảo ý kiến cơ quan giám sát liên quan trước khi xử lý (Điều 36).
18. Bảo vệ quyền riêng tư theo thiết kế & theo mặc định
Theo GDPR Điều 25, chúng tôi thực hiện bảo vệ dữ liệu theo thiết kế và theo mặc định trên toàn bộ hệ thống và dịch vụ:
- Theo thiết kế: Các cân nhắc về bảo vệ dữ liệu được tích hợp vào giai đoạn thiết kế của mọi dự án, hệ thống, và quy trình — không phải là suy nghĩ sau
- Theo mặc định: Chúng tôi đảm bảo rằng, theo mặc định, chỉ dữ liệu cá nhân cần thiết cho mỗi mục đích cụ thể được xử lý. Điều này áp dụng cho lượng dữ liệu thu thập, mức độ xử lý, thời gian lưu trữ, và khả năng truy cập
- Tối thiểu hóa dữ liệu: Chúng tôi chỉ thu thập dữ liệu đầy đủ, phù hợp, và hạn chế ở mức cần thiết (Điều 5(1)(c))
- Ẩn danh hóa: Khi có thể, chúng tôi ẩn danh hóa dữ liệu cá nhân để giảm rủi ro trong khi vẫn cho phép xử lý (Điều 25(1))
- Hồ sơ hoạt động xử lý: Chúng tôi duy trì một sổ đăng ký mọi hoạt động xử lý theo yêu cầu của Điều 30, có sẵn cho cơ quan giám sát theo yêu cầu
19. Quyền riêng tư của trẻ em
Dịch vụ của chúng tôi hướng đến doanh nghiệp và chuyên gia, không phải trẻ em. Chúng tôi không cố ý thu thập dữ liệu cá nhân từ bất kỳ ai dưới 16 tuổi (hoặc dưới 13 tuổi ở các khu vực pháp lý áp dụng ngưỡng tuổi đó). Theo GDPR Điều 8, khi chúng tôi cung cấp dịch vụ xã hội thông tin trực tiếp cho trẻ em, chúng tôi sẽ có được sự đồng ý từ người có trách nhiệm nuôi dưỡng.
Nếu bạn tin rằng chúng tôi đã vô tình thu thập dữ liệu về một trẻ em, vui lòng liên hệ với chúng tôi ngay tại [email protected]. Chúng tôi sẽ xác minh và xóa dữ liệu trong vòng 72 giờ sau khi xác nhận.
20. Thay đổi chính sách
Chúng tôi xem xét Chính sách Bảo mật này ít nhất hàng năm và cập nhật khi cần để phản ánh những thay đổi trong hoạt động của chúng tôi, luật pháp hiện hành, hoặc hướng dẫn quy định. Mỗi phiên bản được xác định bằng "Ngày hiệu lực" và số "Phiên bản" ở đầu trang này.
Đối với những thay đổi quan trọng (thay đổi các loại dữ liệu thu thập, mục đích xử lý mới, thay đổi người nhận bên thứ ba, hoặc thay đổi quyền của bạn), chúng tôi sẽ:
- Công bố chính sách đã cập nhật trên trang này với ngày hiệu lực mới
- Cung cấp thông báo rõ ràng trên trang web của chúng tôi (ví dụ: một banner thông báo)
- Thông báo trực tiếp đến các cá nhân bị ảnh hưởng qua email khi chúng tôi lưu giữ thông tin liên hệ của họ và thay đổi ảnh hưởng đáng kể đến họ
- Khi một thay đổi yêu cầu sự đồng ý theo GDPR, chúng tôi sẽ tìm kiếm sự đồng ý mới trước khi thực hiện thay đổi
Các phiên bản trước của chính sách này có sẵn theo yêu cầu.
21. Khiếu nại & Cơ quan giám sát
Nếu bạn không hài lòng với cách chúng tôi xử lý dữ liệu cá nhân của bạn hoặc phản hồi yêu cầu về quyền của bạn, bạn có quyền gửi khiếu nại đến một cơ quan giám sát:
Úc
Văn phòng Ủy viên Thông tin Úc (OAIC)
Website: oaic.gov.au
Điện thoại: 1300 363 992
Liên minh Châu Âu
Bạn có quyền gửi khiếu nại đến cơ quan giám sát tại Quốc gia Thành viên EU/EEA nơi bạn thường trú, làm việc, hoặc nơi xảy ra vi phạm bị cáo buộc (GDPR Điều 77). Danh sách các cơ quan bảo vệ dữ liệu EU có tại edpb.europa.eu.
Vương quốc Anh
Văn phòng Ủy viên Thông tin (ICO)
Website: ico.org.uk
Điện thoại: 0303 123 1113
Hoa Kỳ (HIPAA)
Bộ Y tế và Dịch vụ Nhân sinh Hoa Kỳ (HHS), Văn phòng Quyền Dân sự
Website: hhs.gov/hipaa/filing-a-complaint
Chúng tôi khuyến khích bạn liên hệ với chúng tôi trước tại [email protected] để chúng tôi có thể cố gắng giải quyết vấn đề của bạn trực tiếp. Chúng tôi xem trọng mọi khiếu nại và cố gắng giải quyết trong vòng 30 ngày.
22. Liên hệ với chúng tôi
Đối với mọi câu hỏi, thắc mắc, yêu cầu truy cập dữ liệu chủ thể, hoặc khiếu nại liên quan đến Chính sách Bảo mật này hoặc hoạt động dữ liệu của chúng tôi:
EFFOMA — Cán bộ Bảo vệ Dữ liệu
Sydney, New South Wales, Úc
Email: [email protected]
Website: www.effoma.com
Chúng tôi cố gắng xác nhận mọi thắc mắc trong vòng 3 ngày làm việc và cung cấp phản hồi thực chất trong vòng 30 ngày.