Privacy Policy

CHÍNH SÁCH BẢO VỆ DỮ LIỆU CÁ NHÂN — CÔNG TY CỔ PHẦN NHA KHOA VIEW HOÀNG THÀNH

Số: 01/2026/CSBVDLCN-VHT

• Căn cứ Bộ luật Dân sự 2015 số 91/2015/QH13;
• Căn cứ Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15;
• Căn cứ Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều của Luật Bảo vệ dữ liệu cá nhân 2025.

Điều 1. Phạm vi áp dụng và cam kết công khai, minh bạch

1. Phạm vi áp dụng

CÔNG TY CỔ PHẦN NHA KHOA VIEW HOÀNG THÀNH (sau đây gọi là “Công ty”) cam kết tôn trọng và bảo vệ dữ liệu cá nhân của khách hàng, đối tác, ứng viên, người lao động, cổ đông và mọi cá nhân có liên quan (sau đây gọi là “Chủ thể dữ liệu cá nhân”).

Chính sách bảo vệ dữ liệu cá nhân này (sau đây gọi là “Chính sách”) mô tả cách thức Công ty thu thập, sử dụng, lưu trữ, chia sẻ và bảo vệ dữ liệu cá nhân, cũng như các quyền của Chủ thể dữ liệu cá nhân đối với dữ liệu cá nhân của mình. Chính sách này áp dụng đối với mọi hoạt động xử lý dữ liệu cá nhân của Công ty.

Bằng việc ký kết hợp đồng, dịch vụ hoặc tương tác với Công ty, Chủ thể dữ liệu cá nhân xác nhận đã được cung cấp và có thể tiếp cận Chính sách này.

Trường hợp hoạt động xử lý cần sự đồng ý theo pháp luật, Công ty sẽ thu thập sự đồng ý riêng, rõ ràng và có thể chứng minh được trước khi xử lý.

2. Cam kết công khai, minh bạch

Công ty công khai Chính sách này tại website, nơi làm việc hoặc các hình thức công khai khác để Chủ thể dữ liệu cá nhân có thể tiếp cận dễ dàng bất kỳ lúc nào. Công ty cam kết minh bạch về việc xử lý dữ liệu cá nhân.

Điều 2. Giải thích từ ngữ

• Thỏa thuận: có nghĩa là “Thỏa thuận xử lý dữ liệu cá nhân” này và tất cả các bản chỉnh sửa, bổ sung kèm theo (nếu có);
• Dữ liệu cá nhân: là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân.
• Dữ liệu cá nhân cơ bản: là dữ liệu cá nhân phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong các giao dịch, quan hệ xã hội (danh mục theo Điều 3 Nghị định 356/2025/NĐ-CP).
• Dữ liệu cá nhân nhạy cảm: là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân (danh mục theo Khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP).
• Chủ thể dữ liệu cá nhân: là người được dữ liệu cá nhân phản ánh.
• Bên Kiểm soát dữ liệu cá nhân: là tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.
• Bên Xử lý dữ liệu cá nhân: là tổ chức, cá nhân thực hiện việc xử lý dữ liệu thay mặt cho Bên Kiểm soát dữ liệu, thông qua một hợp đồng hoặc thỏa thuận.
• Bên kiểm soát và xử lý dữ liệu cá nhân: là cơ quan, tổ chức, cá nhân quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu cá nhân.
• Bên thứ ba: là tổ chức, cá nhân ngoài chủ thể dữ liệu cá nhân, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân tham gia vào việc xử lý dữ liệu cá nhân theo quy định của pháp luật.
• Xử lý dữ liệu cá nhân: là một hoặc nhiều hoạt động tác động tới dữ liệu cá nhân như: thu thập, ghi, phân tích, lưu trữ, chỉnh sửa, công khai, kết hợp, truy cập, truy xuất, thu hồi, mã hóa, sao chép, chia sẻ, truyền đưa, chuyển giao, xóa, hủy dữ liệu hoặc các hành động khác có liên quan.
• Chia sẻ dữ liệu cá nhân có nghĩa là:
  • Việc chuyển dữ liệu cá nhân từ Bên Kiểm soát dữ liệu cá nhân sang Bên xử lý dữ liệu theo Thoả Thuận và Hợp đồng; và/hoặc
  • Việc chuyển tiếp dữ liệu cá nhân sau khi Bên Kiểm soát dữ liệu cá nhân chia sẻ để thực hiện mục đích của các Hợp Đồng và thỏa thuận này, được Bên xử lý dữ liệu cá nhân chuyển sang Bên thứ ba theo thoả thuận giữa Bên xử lý dữ liệu cá nhân và Bên thứ ba với điều kiện phải có hợp đồng/thỏa thuận (bản sao) và các tài liệu theo quy định của pháp luật về xử lý dữ liệu cá nhân.
• Sự đồng ý (xử lý dữ liệu cá nhân): là việc Chủ thể dữ liệu cá nhân thể hiện rõ ràng, tự nguyện cho phép xử lý dữ liệu cá nhân của mình. Sự đồng ý này phải được thể hiện và lưu trữ bằng những hình thức được pháp luật về bảo vệ dữ liệu cá nhân quy định.

Điều 3. Thông tin về Bên Kiểm soát và xử lý dữ liệu cá nhân

Bên Kiểm soát dữ liệu cá nhân và xử lý dữ liệu cá nhân chịu trách nhiệm về việc xử lý dữ liệu cá nhân theo Chính sách này là:

Điều 4. Nguyên tắc xử lý dữ liệu cá nhân

Công ty xử lý dữ liệu cá nhân theo các nguyên tắc sau:

• Tuân thủ Hiến pháp, Luật Bảo vệ dữ liệu cá nhân, pháp luật về khám bệnh, chữa bệnh và quy định pháp luật có liên quan;
• Chỉ thu thập dữ liệu cá nhân phù hợp, giới hạn trong phạm vi và mục đích cần thiết; không mua, bán dữ liệu cá nhân bất hợp pháp;
• Minh bạch với Chủ thể dữ liệu cá nhân về loại dữ liệu, mục đích, cách thức xử lý và các bên nhận dữ liệu;
• Bảo đảm dữ liệu cá nhân chính xác, được cập nhật, chỉnh sửa khi cần thiết;
• Áp dụng biện pháp bảo vệ tăng cường đối với dữ liệu cá nhân nhạy cảm, đặc biệt là dữ liệu về tình trạng sức khỏe, hồ sơ bệnh án của người bệnh, được giữ bí mật theo quy định của pháp luật về khám bệnh, chữa bệnh;
• Chỉ lưu trữ dữ liệu cá nhân trong thời hạn phù hợp với mục đích xử lý hoặc thời hạn pháp luật yêu cầu.

Điều 5. Dữ liệu cá nhân được xử lý, cơ sở pháp lý và mục đích xử lý đối với từng Chủ thể dữ liệu cá nhân của Công ty

1. Đối với Khách Hàng của Công ty

1.1. Các loại dữ liệu cá nhân được thu thập

a) Dữ liệu cá nhân cơ bản

• Thông tin liên hệ và nhận dạng: họ và tên; ngày, tháng, năm sinh; giới tính; quốc tịch; nghề nghiệp; số điện thoại; địa chỉ email; địa chỉ liên hệ; địa chỉ thường trú (khi cần lập hồ sơ bệnh án hoặc xuất hóa đơn).
• Thông tin định danh: số Căn cước/Căn cước công dân/Hộ chiếu/số định danh cá nhân, khi cần xác minh nhân thân người bệnh, lập hồ sơ bệnh án, xuất hóa đơn hoặc theo yêu cầu của pháp luật.
• Thông tin người đại diện và người liên hệ: họ tên, quan hệ, số điện thoại của cha, mẹ, người giám hộ, người đại diện của người bệnh; thông tin người liên hệ khi khẩn cấp; thông tin người thân đặt lịch hộ.
• Thông tin đặt lịch và nhu cầu dịch vụ: chi nhánh, bác sĩ, ngày giờ hẹn, dịch vụ quan tâm (như cấy ghép Implant, dán sứ Veneer, chỉnh nha, tẩy trắng răng, nha khoa tổng quát, nha khoa trẻ em), mã ưu đãi, thông tin đăng ký tư vấn, đăng ký tham gia sự kiện, chương trình do Công ty tổ chức.
• Thông tin về dịch vụ và lịch sử sử dụng dịch vụ: lịch sử lịch hẹn, báo giá, gói dịch vụ đã đăng ký, thông tin bảo hành phục hình, hóa đơn, lịch sử thanh toán.
• Dữ liệu trên các kênh trực tuyến: tên hiển thị, tài khoản Zalo, Facebook hoặc kênh khác khi Khách hàng liên hệ với Công ty; nội dung tin nhắn, email, cuộc gọi trao đổi với Công ty.
• Dữ liệu kỹ thuật và vận hành hệ thống: địa chỉ IP, cookie thiết yếu, ID thiết bị, loại thiết bị, trình duyệt, nhật ký hệ thống phục vụ vận hành, bảo mật website và hệ thống đặt lịch.
• Dữ liệu phản hồi và đánh giá: ý kiến phản hồi, khiếu nại, kiến nghị, kết quả khảo sát mức độ hài lòng và đánh giá dịch vụ.
• Thông tin phương tiện và ra vào: biển số xe, thông tin gửi xe, ra vào tòa nhà nơi đặt phòng khám (nếu có).

b) Dữ liệu cá nhân nhạy cảm

• Dữ liệu về tình trạng sức khỏe và hồ sơ bệnh án: lý do khám; tiền sử bệnh, tiền sử dị ứng, thuốc đang sử dụng, tình trạng thai kỳ; kết quả khám răng miệng, chẩn đoán; phim X-quang, phim CT Cone Beam 3D; ảnh chụp trong miệng, khuôn mặt, nụ cười phục vụ chẩn đoán và thiết kế điều trị; dữ liệu scan 3D, mẫu hàm; kế hoạch điều trị, đơn thuốc, phiếu đồng ý thực hiện thủ thuật, phẫu thuật; kết quả xét nghiệm (nếu có); diễn biến điều trị, tái khám; thông tin sức khỏe Khách hàng tự cung cấp khi đặt lịch, nhắn tin tư vấn.
• Hình ảnh giấy tờ tùy thân: hình ảnh Căn cước/Căn cước công dân/Hộ chiếu, chỉ khi pháp luật, công ty bảo hiểm hoặc thủ tục cụ thể yêu cầu.
• Thông tin tài chính và thanh toán: thông tin tài khoản ngân hàng, thẻ thanh toán phục vụ thanh toán, hoàn tiền; thông tin giao dịch; thông tin về khoản trả góp hoặc bảo lãnh viện phí khi Khách hàng lựa chọn sử dụng dịch vụ trả góp, bảo hiểm qua đối tác.
• Dữ liệu ghi âm, ghi hình có khả năng nhận diện: hình ảnh từ camera an ninh tại khu vực lễ tân, hành lang và các khu vực công cộng của phòng khám; ghi âm cuộc gọi tổng đài (có thông báo trước khi ghi âm).
• Dữ liệu theo dõi hành vi trên không gian mạng: dữ liệu cookie phân tích, cookie quảng cáo, pixel, hành trình truy cập website, dữ liệu tương tác và phân nhóm người dùng, chỉ được thu thập khi Khách hàng đồng ý trên banner cookie.

1.2. Cơ sở pháp lý và mục đích xử lý dữ liệu cá nhân

Công ty xử lý dữ liệu cá nhân của Khách hàng cho các mục đích sau, dựa trên sự đồng ý của Khách hàng hoặc các cơ sở pháp lý khác được pháp luật cho phép như thực hiện hợp đồng dịch vụ, thực hiện nghĩa vụ pháp lý, bảo vệ quyền và lợi ích hợp pháp và giải quyết tình trạng khẩn cấp.

a) Dựa trên sự đồng ý của Khách hàng, dữ liệu cá nhân được xử lý để:

• Tư vấn trước khi thăm khám: xem xét thông tin sức khỏe răng miệng, hình ảnh Khách hàng tự gửi qua website, Zalo, mạng xã hội để tư vấn sơ bộ, gợi ý dịch vụ và sắp xếp bác sĩ phù hợp.
• Tiếp thị, quảng cáo: gửi thông tin ưu đãi, chương trình khuyến mại, sự kiện, kiến thức chăm sóc răng miệng qua tin nhắn, Zalo, email, cuộc gọi; hiển thị quảng cáo phù hợp trên website, mạng xã hội thông qua cookie quảng cáo. Công ty không sử dụng dữ liệu về tình trạng sức khỏe, hồ sơ bệnh án cho mục đích quảng cáo.
• Sử dụng hình ảnh và chia sẻ trải nghiệm: sử dụng ảnh trước và sau điều trị, video, lời chia sẻ của Khách hàng trên website, mạng xã hội, tài liệu truyền thông, hội thảo, đào tạo chuyên môn. Sự đồng ý được lập bằng văn bản riêng cho từng trường hợp; hình ảnh được che hoặc lược bỏ thông tin nhận dạng khi mục đích cho phép.
• Nghiên cứu, cải thiện dịch vụ: khảo sát mức độ hài lòng, phân tích lượt truy cập website bằng cookie phân tích, nghiên cứu cải tiến quy trình và chất lượng dịch vụ; ưu tiên sử dụng dữ liệu đã khử nhận dạng.
• Hội chẩn và hợp tác chuyên môn với chuyên gia ngoài Công ty: gửi hồ sơ, phim, dữ liệu scan cho bác sĩ, chuyên gia trong hoặc ngoài nước để hội chẩn, lấy ý kiến chuyên môn cho ca điều trị của chính Khách hàng, ngoài các trường hợp khẩn cấp.
• Các mục đích khác khi được Khách hàng đồng ý tại thời điểm thu thập.

b) Các mục đích được pháp luật cho phép xử lý mà không cần sự đồng ý của Khách hàng:

(i) Để thực hiện hợp đồng dịch vụ khám bệnh, chữa bệnh và các thỏa thuận giữa Công ty và Khách hàng:

• Tiếp nhận, xác nhận, nhắc lịch hẹn, thông báo thay đổi lịch hẹn;
• Nhận diện, xác minh đúng người bệnh trước khi khám, thực hiện thủ thuật;
• Khám, chẩn đoán, lập kế hoạch điều trị, thực hiện điều trị, tái khám, theo dõi sau điều trị và thực hiện bảo hành;
• Chuyển thông tin cần thiết (mã hồ sơ, dữ liệu scan, phim, chỉ định) cho labo nha khoa, nhà sản xuất khí cụ chỉnh nha, vật liệu implant để chế tác phục hình, khí cụ và kích hoạt bảo hành;
• Báo giá, thanh toán, xuất hóa đơn; hỗ trợ hồ sơ bảo hiểm, trả góp theo yêu cầu của Khách hàng;
• Thực hiện chương trình ưu đãi, mã khuyến mại, quà tặng mà Khách hàng tham gia;
• Chăm sóc Khách hàng, giải đáp thắc mắc, tiếp nhận và giải quyết khiếu nại;
• Cung cấp và vận hành website, hệ thống đặt lịch trực tuyến, kênh Zalo và các dịch vụ trực tuyến khác;
• Tổ chức, quản lý sự kiện, chương trình mà Khách hàng đăng ký tham gia.

(ii) Để thực hiện nghĩa vụ pháp lý của Công ty:

• Lập, quản lý, lưu trữ và giữ bí mật hồ sơ bệnh án theo Luật Khám bệnh, chữa bệnh; kê đơn thuốc; ghi nhận, báo cáo sự cố y khoa và các báo cáo chuyên môn theo yêu cầu của cơ quan quản lý y tế;
• Tuân thủ pháp luật về thuế, kế toán, hóa đơn điện tử, bảo vệ quyền lợi người tiêu dùng, an ninh mạng và quy định pháp luật có liên quan;
• Tuân thủ yêu cầu, quyết định của cơ quan nhà nước có thẩm quyền.

(iii) Để bảo vệ quyền và lợi ích hợp pháp, chính đáng của Khách hàng và/hoặc của Công ty:

• Bảo đảm an ninh, an toàn, trật tự tại phòng khám; bảo vệ người bệnh, nhân viên y tế và tài sản;
• Phòng ngừa, phát hiện, ngăn chặn hành vi gian lận (đặt lịch giả, lạm dụng mã ưu đãi), tấn công hệ thống và hành vi xâm phạm tính mạng, sức khỏe, tài sản, quyền và lợi ích hợp pháp của Công ty và Khách hàng;
• Giải quyết tranh chấp, khiếu nại liên quan đến dịch vụ và chuyên môn.

(iv) Để giải quyết tình trạng khẩn cấp: xử lý dữ liệu cần thiết để cấp cứu, chuyển người bệnh đến cơ sở y tế khác, thông báo cho người thân khi có nguy cơ đe dọa tính mạng, sức khỏe của người bệnh (ví dụ sốc phản vệ, biến chứng sau thủ thuật).

Công ty không chuyển giao dữ liệu cá nhân của Khách hàng cho bên thứ ba để bên thứ ba sử dụng cho mục đích riêng của họ, trừ khi Khách hàng đồng ý hoặc pháp luật có quy định khác.

2. Đối với Người lao động, Ứng viên của Công Ty

2.1. Các loại dữ liệu cá nhân được thu thập

a) Dữ liệu cá nhân của Ứng viên tham gia tuyển dụng

Dữ liệu cá nhân cơ bản:

• Thông tin liên hệ và nhận dạng: họ và tên, ngày, tháng, năm sinh, giới tính, số giấy tờ tùy thân, địa chỉ, số điện thoại, địa chỉ email, tình trạng hôn nhân, quan hệ gia đình (nếu ứng viên cung cấp);
• Trình độ học vấn, bằng cấp chuyên môn, chứng chỉ, kỹ năng, quá trình làm việc; đối với vị trí chuyên môn y tế: giấy phép hành nghề khám bệnh, chữa bệnh, phạm vi hoạt động chuyên môn, chứng nhận cập nhật kiến thức y khoa liên tục;
• Dữ liệu cá nhân khác mà ứng viên tự nguyện cung cấp trong quá trình ứng tuyển.

Dữ liệu cá nhân nhạy cảm:

• Thông tin về lương, thu nhập tại nơi làm việc gần nhất (nếu ứng viên cung cấp).

b) Dữ liệu cá nhân của người lao động, thực tập sinh và cộng tác viên

Dữ liệu cá nhân cơ bản:

• Thông tin liên hệ và nhận dạng: họ và tên, mã số nhân sự, ngày, tháng, năm sinh, giới tính, quốc tịch, địa chỉ cư trú/địa chỉ liên hệ, email công việc, số điện thoại, ảnh thẻ, ảnh hồ sơ, thông tin người liên hệ khẩn cấp và người thụ hưởng (nếu áp dụng).
• Thông tin pháp lý và định danh: số Căn cước/Căn cước công dân/Hộ chiếu; mã số thuế; số bảo hiểm xã hội, bảo hiểm y tế; tình trạng cư trú; đối với người lao động nước ngoài: giấy phép lao động, thị thực, thẻ tạm trú, văn bằng được công nhận.
• Thông tin hành nghề (đối với người hành nghề khám bệnh, chữa bệnh): giấy phép hành nghề, phạm vi hoạt động chuyên môn, đăng ký hành nghề tại cơ sở, chứng nhận cập nhật kiến thức y khoa liên tục, lịch làm việc, ca trực.
• Thông tin nghề nghiệp và quan hệ lao động: chức danh, vị trí công việc, ngày bắt đầu và chấm dứt quan hệ lao động, thư mời làm việc, hợp đồng lao động/thử việc/cộng tác, lịch sử công tác.
• Hồ sơ tuyển dụng và năng lực: sơ yếu lý lịch, hồ sơ ứng tuyển, trình độ học vấn, chuyên môn, bằng cấp, chứng chỉ, thông tin xác minh nhân thân.
• Thông tin quản trị nhân sự: đánh giá hiệu suất, khen thưởng, kỷ luật, thời giờ làm việc, làm thêm giờ, nghỉ phép, nghỉ ốm, nghỉ thai sản và các chế độ nghỉ khác.
• Thông tin tài khoản ngân hàng phục vụ chi trả tiền lương, tiền công, thưởng, phụ cấp, phúc lợi;
• Thông tin phúc lợi và gia đình: bảo hiểm, các khoản phúc lợi; họ tên, ngày sinh, thông tin liên hệ của vợ/chồng, con, người phụ thuộc phục vụ nghĩa vụ thuế, bảo hiểm và phúc lợi (nếu áp dụng).
• Đào tạo và phát triển: hồ sơ đào tạo nội bộ, đào tạo chuyên môn, chứng chỉ và kết quả đào tạo, lộ trình nghề nghiệp.
• Thông tin vận hành nội bộ: thông tin công tác, biển số xe (nếu có), dữ liệu kiểm soát ra vào, thẻ nhân viên, tài khoản và nhật ký truy cập phần mềm quản lý phòng khám, email công việc; hình ảnh, tiểu sử chuyên môn được công bố tại phòng khám và trên website.

Dữ liệu cá nhân nhạy cảm:

• Tiền lương, tiền công, thưởng, phụ cấp; thông tin thuế thu nhập cá nhân;
• Hình ảnh Căn cước/Căn cước công dân/Hộ chiếu;
• Dữ liệu sinh trắc học (vân tay, khuôn mặt phục vụ chấm công) trong trường hợp Công ty áp dụng và người lao động đồng ý sử dụng;
• Thông tin về sức khỏe: kết quả khám sức khỏe khi tuyển dụng và định kỳ, tình trạng tiêm chủng phòng bệnh nghề nghiệp, thông tin phơi nhiễm, tai nạn lao động, bệnh nghề nghiệp;
• Dữ liệu ghi âm, ghi hình có khả năng nhận diện từ camera an ninh tại khu vực làm việc, phục vụ an ninh, an toàn và tuân thủ quy định pháp luật.

2.2. Cơ sở pháp lý và mục đích xử lý dữ liệu cá nhân

a) Dựa trên sự đồng ý của Chủ thể dữ liệu cá nhân:

• Đối với Ứng viên: tiếp nhận hồ sơ, đánh giá mức độ phù hợp, phỏng vấn, ra quyết định tuyển dụng và các hoạt động liên quan;
• Đối với Ứng viên, người lao động, thực tập sinh, cộng tác viên: lưu hồ sơ để thông báo, liên hệ về các cơ hội việc làm khác trong tương lai;
• Sử dụng hình ảnh, tiểu sử, video giới thiệu của bác sĩ, nhân sự trên website, mạng xã hội, tài liệu truyền thông của Công ty, ngoài phạm vi thông tin bắt buộc phải công khai theo quy định;
• Xử lý dữ liệu sinh trắc học để chấm công, kiểm soát ra vào (nếu áp dụng);
• Các trường hợp khác nếu được Chủ thể dữ liệu cá nhân đồng ý.

b) Các mục đích được pháp luật cho phép xử lý mà không cần sự đồng ý:

(i) Để thực hiện hợp đồng lao động và các thỏa thuận khác giữa Nhân sự và Công ty:

• Thiết lập, duy trì, quản lý và chấm dứt quan hệ lao động, quan hệ hợp đồng/hợp tác;
• Phân công công việc, sắp xếp lịch làm việc, ca trực; hiển thị tên, chuyên khoa và lịch làm việc của bác sĩ trên hệ thống đặt lịch;
• Chi trả tiền lương, tiền công, chế độ phúc lợi, bảo hiểm và các quyền lợi khác;
• Quản lý, đánh giá hiệu quả công việc, đào tạo và phát triển nhân sự;
• Cấp tài khoản, phân quyền truy cập phần mềm quản lý phòng khám, hệ thống nội bộ.

(ii) Để thực hiện nghĩa vụ pháp lý của Công ty:

• Lập, duy trì, lưu trữ hồ sơ nhân sự bắt buộc theo quy định pháp luật;
• Thực hiện quy định về lao động, an toàn, vệ sinh lao động, tiền lương, thời giờ làm việc, thuế, bảo hiểm xã hội, bình đẳng giới, quản lý lao động nước ngoài và nghĩa vụ báo cáo;
• Đăng ký, thông báo danh sách người hành nghề với cơ quan quản lý y tế; niêm yết, công khai danh sách người hành nghề và người chịu trách nhiệm chuyên môn theo quy định của pháp luật về khám bệnh, chữa bệnh;
• Tuân thủ yêu cầu, quyết định của cơ quan có thẩm quyền.

(iii) Bảo vệ quyền và lợi ích hợp pháp, chính đáng của Nhân sự và/hoặc của Công ty:

• Bảo đảm an ninh, an toàn, trật tự tại nơi làm việc;
• Phòng ngừa, phát hiện, ngăn chặn hành vi vi phạm; giải quyết tranh chấp, khiếu nại, sự cố y khoa liên quan đến Nhân sự và Công ty.

(iv) Để giải quyết tình trạng khẩn cấp liên quan đến tính mạng, sức khỏe của Nhân sự tại nơi làm việc.

3. Dành cho đầu mối liên hệ của Đối Tác, Đối Tác cá nhân

3.1. Các loại dữ liệu cá nhân được thu thập

• Thông tin liên hệ: họ và tên; ngày, tháng, năm sinh; số Căn cước/Căn cước công dân hoặc số định danh cá nhân; chức danh; email; địa chỉ nơi làm việc; số điện thoại liên hệ.
• Thông tin năng lực: trình độ chuyên môn, kinh nghiệm làm việc, giấy phép hành nghề (đối với bác sĩ, chuyên gia hợp tác chuyên môn, giảng viên đào tạo), giấy phép kinh doanh của labo, nhà cung cấp trong trường hợp cần xác minh sự phù hợp của Đối tác.
• Thông tin thanh toán đối với Đối tác cá nhân: mã số thuế cá nhân, thông tin phục vụ khấu trừ thuế thu nhập cá nhân.
• Thông tin ra vào tại phòng khám và tòa nhà nơi đặt phòng khám.
• Thông tin tài khoản ngân hàng của Đối tác cá nhân.
• Dữ liệu cá nhân nhạy cảm (nếu có): dữ liệu ghi âm, ghi hình từ camera an ninh tại phòng khám; hình ảnh Căn cước/Căn cước công dân/Hộ chiếu.
• Dữ liệu cá nhân khác do Đối tác cung cấp trong quá trình trao đổi, hợp tác và thực hiện hợp đồng.

3.2. Cơ sở pháp lý và mục đích xử lý dữ liệu cá nhân

Công ty xử lý dữ liệu cá nhân của Đối tác trong các trường hợp được pháp luật cho phép xử lý mà không cần sự đồng ý của Chủ thể dữ liệu cá nhân, bao gồm:

a) Để thực hiện thỏa thuận giữa Công ty và Đối tác:

• Xác minh sự phù hợp của Đối tác đối với phạm vi hợp tác (như năng lực chế tác của labo nha khoa, tiêu chuẩn của nhà cung cấp vật liệu, trang thiết bị y tế, giấy phép hành nghề của chuyên gia);
• Liên hệ, trao đổi, đàm phán, phối hợp công việc, đặt hàng, giao nhận phục hình và vật tư;
• Thiết lập, duy trì, quản lý quan hệ hợp tác; thực hiện và quản lý hợp đồng, thanh toán.

b) Để thực hiện nghĩa vụ pháp lý của Công ty:

• Lập, duy trì, lưu trữ hồ sơ theo quy định pháp luật, trong đó có hồ sơ nguồn gốc vật tư, trang thiết bị y tế;
• Tuân thủ quy định pháp luật về thuế, kế toán và yêu cầu, quyết định của cơ quan có thẩm quyền.

c) Để bảo vệ quyền và lợi ích hợp pháp, chính đáng của Đối tác cá nhân và/hoặc của Công ty:

• Bảo đảm an ninh, an toàn, trật tự; ghi nhận, kiểm soát ra vào, giám sát bằng hệ thống camera an ninh;
• Phòng ngừa, phát hiện, ngăn chặn vi phạm; giảm thiểu rủi ro pháp lý; giải quyết tranh chấp phát sinh từ quan hệ hợp tác.

d) Để giải quyết tình trạng khẩn cấp.

Trường hợp Công ty sử dụng tên, hình ảnh của chuyên gia, Đối tác cá nhân cho mục đích truyền thông ngoài phạm vi hợp đồng, Công ty sẽ xin sự đồng ý riêng.

4. Cổ đông, Người Nội Bộ và Người Có Liên Quan của Công Ty

4.1. Các loại dữ liệu cá nhân được thu thập

• Thông tin liên hệ: họ và tên; ngày, tháng, năm sinh; quốc tịch; số Căn cước/Căn cước công dân/Hộ chiếu hoặc số định danh cá nhân; địa chỉ email; địa chỉ liên hệ; số điện thoại liên hệ. Đối với cổ đông là tổ chức: thông tin của người đại diện theo pháp luật và người đại diện theo ủy quyền.
• Thông tin về cổ phần sở hữu: số lượng, loại cổ phần, tỷ lệ sở hữu, số và ngày cấp giấy chứng nhận sở hữu cổ phần, thời điểm trở thành/chấm dứt tư cách cổ đông, lịch sử thay đổi sở hữu, thông tin ghi trong sổ đăng ký cổ đông.
• Thông tin về chuyển nhượng, góp vốn: hợp đồng chuyển nhượng, thời điểm, giá trị giao dịch, tài liệu chứng minh việc góp vốn và quyền sở hữu cổ phần.
• Thông tin về quyền và nghĩa vụ của cổ đông: quyền biểu quyết, thông tin biểu quyết, quyền ưu tiên mua cổ phần, quyền nhận cổ tức.
• Thông tin về chức danh trong Công ty: chức danh, vai trò quản lý, phạm vi quyền hạn và trách nhiệm, thời điểm bổ nhiệm, miễn nhiệm; đối với người chịu trách nhiệm chuyên môn kỹ thuật: giấy phép hành nghề và văn bản phân công theo quy định của pháp luật về khám bệnh, chữa bệnh.
• Quan hệ pháp lý: quan hệ người có liên quan theo Luật Doanh nghiệp; thông tin về chủ sở hữu hưởng lợi theo quy định pháp luật về doanh nghiệp; lịch sử các thông tin này.
• Thông tin thuế: nghĩa vụ thuế phát sinh từ cổ tức, chuyển nhượng cổ phần.
• Thông tin tham dự họp Đại hội đồng cổ đông và ủy quyền: danh sách người tham dự, thông tin người được ủy quyền dự họp và biểu quyết, biên bản kiểm phiếu.
• Dữ liệu phục vụ quản trị và kiểm soát: thông tin phục vụ phát hiện xung đột lợi ích, giao dịch với người có liên quan cần được chấp thuận, dấu hiệu vi phạm nghĩa vụ của người quản lý.
• Dữ liệu phục vụ giải quyết tranh chấp: hồ sơ pháp lý, tài liệu chứng cứ, trao đổi liên quan đến khiếu nại, tranh chấp, tố tụng.
• Thông tin tài khoản ngân hàng để nhận cổ tức hoặc thực hiện giao dịch liên quan đến cổ phần.
• Dữ liệu cá nhân nhạy cảm (nếu có): hình ảnh Căn cước/Căn cước công dân/Hộ chiếu.
• Thông tin cá nhân cần thiết khác theo yêu cầu của pháp luật tại từng thời điểm, phục vụ quản trị Công ty theo quy định pháp luật về doanh nghiệp và chứng khoán (trong trường hợp Công ty trở thành công ty đại chúng).

4.2. Cơ sở pháp lý và mục đích xử lý dữ liệu cá nhân

Công ty xử lý dữ liệu cá nhân của Cổ đông, Người nội bộ và Người có liên quan trong các trường hợp được pháp luật cho phép xử lý mà không cần sự đồng ý của Chủ thể dữ liệu cá nhân, bao gồm:

a) Để thực hiện nghĩa vụ pháp lý về quản trị doanh nghiệp:

• Lập, lưu giữ sổ đăng ký cổ đông, quản lý lịch sử sở hữu cổ phần; thông báo thay đổi thông tin cổ đông, người quản lý với cơ quan đăng ký kinh doanh;
• Thu thập, lưu giữ và cung cấp thông tin về chủ sở hữu hưởng lợi theo quy định pháp luật;
• Thông báo, cập nhật thông tin người chịu trách nhiệm chuyên môn kỹ thuật với cơ quan quản lý y tế;
• Thực hiện nghĩa vụ thuế, tài chính liên quan đến cổ đông; phục vụ thanh tra, kiểm tra, kiểm toán và yêu cầu của cơ quan nhà nước có thẩm quyền;
• Lưu trữ hồ sơ theo quy định pháp luật.

b) Để thực hiện quyền và nghĩa vụ của Chủ thể dữ liệu cá nhân theo Điều lệ và quy định pháp luật:

• Thực hiện các quyền và nghĩa vụ theo Điều lệ Công ty, nghị quyết/quyết định của Đại hội đồng cổ đông, Hội đồng quản trị, thỏa thuận ủy quyền;
• Triệu tập, tổ chức họp, quản lý danh sách người dự họp, người được ủy quyền, thông tin biểu quyết;
• Chi trả cổ tức, thực hiện chuyển nhượng cổ phần, quyền ưu tiên mua cổ phần và các quyền lợi khác;
• Trao đổi, liên lạc với cổ đông và Người nội bộ phục vụ quản trị doanh nghiệp.

c) Để bảo vệ quyền và lợi ích hợp pháp, chính đáng của Chủ thể dữ liệu cá nhân và/hoặc của Công ty:

• Phòng ngừa, phát hiện và quản lý xung đột lợi ích, giao dịch với người có liên quan, lạm dụng thông tin nội bộ;
• Giải đáp yêu cầu, kiến nghị, khiếu nại và giải quyết tranh chấp, kể cả sau khi chấm dứt tư cách cổ đông, Người nội bộ hoặc Người có liên quan;
• Bảo vệ uy tín, tính minh bạch và sự tuân thủ trong hoạt động của Công ty.

d) Thực hiện các trách nhiệm khác của Công ty theo quy định của pháp luật tại từng thời điểm.

5. Quy định chung cho các nhóm Chủ thể dữ liệu cá nhân

• Việc xử lý dữ liệu cá nhân theo các mục 1 đến 4 Điều này bao gồm việc chuyển giao dữ liệu cá nhân cho Bên Xử lý dữ liệu cá nhân, Bên thứ ba (ví dụ như nhà thầu phụ, nhà cung cấp dịch vụ) để thực hiện các mục đích đã nêu, theo quy định tại Điều 7 Chính sách này.
• Trong quá trình hoạt động, Công ty có thể thực hiện tổ chức lại doanh nghiệp (tái cấu trúc, chia, tách, sáp nhập, hợp nhất). Khi đó, dữ liệu cá nhân có thể được chuyển giao và/hoặc tiếp tục xử lý, với điều kiện không làm phát sinh mục đích xử lý mới ngoài các mục đích tại Điều 5 này.
• Khi phát sinh mục đích xử lý mới cần sự đồng ý, Công ty sẽ thông báo và xin sự đồng ý của Chủ thể dữ liệu cá nhân trước khi xử lý. Chủ thể dữ liệu cá nhân được thông báo rõ khi dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm.
• Việc Chủ thể dữ liệu cá nhân từ chối hoặc rút lại sự đồng ý đối với mục đích tiếp thị, quảng cáo hoặc sử dụng hình ảnh không ảnh hưởng đến việc cung cấp dịch vụ khám bệnh, chữa bệnh.

Điều 6. Cách thức thu thập dữ liệu cá nhân

Công ty thu thập dữ liệu cá nhân thông qua các nguồn sau:

• Trực tiếp từ Chủ thể dữ liệu cá nhân: khi Chủ thể dữ liệu cá nhân điền biểu mẫu đặt lịch, tư vấn trên website, nhắn tin qua Zalo, mạng xã hội, gọi điện, điền phiếu thông tin tại quầy lễ tân, nộp hồ sơ ứng tuyển, ký kết hợp đồng hoặc cung cấp thông tin cho Công ty;
• Trong quá trình khám bệnh, chữa bệnh: do bác sĩ, nhân viên y tế ghi nhận, từ thiết bị chẩn đoán hình ảnh và phần mềm quản lý phòng khám;
• Tự động: thông qua cookie, nhật ký hệ thống khi Chủ thể dữ liệu cá nhân sử dụng website/ứng dụng; hệ thống camera an ninh tại phòng khám. Cookie phân tích, cookie quảng cáo chỉ được kích hoạt khi Chủ thể dữ liệu cá nhân đồng ý trên banner cookie và có thể thay đổi lựa chọn tại mục “Tùy chọn cookie” trên website;
• Từ bên thứ ba: từ người thân đặt lịch hộ, đối tác, nền tảng thanh toán, mạng xã hội, đối tác tuyển dụng, hoặc nguồn công khai hợp pháp (nếu có), trong phạm vi pháp luật cho phép.

Điều 7. Chia sẻ và tiết lộ dữ liệu cá nhân

Công ty không mua bán dữ liệu cá nhân của Chủ thể dữ liệu cá nhân bất hợp pháp. Công ty chỉ chia sẻ dữ liệu cá nhân trong các trường hợp cần thiết và cho các nhóm đối tượng:

• Các bộ phận, phòng ban trong nội bộ công ty (để thực hiện nội dung hợp đồng);
• Đơn vị liên kết phục vụ mục đích đã nêu;
• Bên Xử lý dữ liệu cá nhân/nhà cung cấp dịch vụ (lưu trữ đám mây, thanh toán, vận chuyển, phân tích, chăm sóc khách hàng) theo hợp đồng có ràng buộc nghĩa vụ bảo vệ dữ liệu cá nhân;
• Labo nha khoa, nhà sản xuất khí cụ chỉnh nha, vật liệu implant để chế tác phục hình, khí cụ và thực hiện bảo hành, với thông tin được giới hạn ở mức cần thiết;
• Cơ sở y tế khác khi chuyển người bệnh, hội chẩn; công ty bảo hiểm, tổ chức tài chính khi Khách hàng yêu cầu;
• Cơ quan nhà nước có thẩm quyền khi có yêu cầu hợp pháp;
• Bên thứ ba khác khi có sự đồng ý của Chủ thể dữ liệu cá nhân hoặc theo quy định pháp luật.

Công ty yêu cầu các bên nhận dữ liệu cá nhân áp dụng các biện pháp bảo vệ dữ liệu cá nhân phù hợp và chỉ xử lý dữ liệu cá nhân trong phạm vi mục đích đã thỏa thuận.

Điều 8. Thời gian lưu trữ dữ liệu cá nhân

Công ty chỉ lưu trữ dữ liệu cá nhân trong khoảng thời gian cần thiết để thực hiện các mục đích xử lý đã nêu, hoặc theo thời hạn lưu trữ mà pháp luật yêu cầu.

Khi dữ liệu cá nhân không còn cần thiết cho mục đích xử lý, hoặc khi Chủ thể dữ liệu cá nhân rút lại sự đồng ý/yêu cầu xóa hợp lệ, Công ty sẽ thực hiện xóa hoặc hủy dữ liệu cá nhân theo quy định, trừ trường hợp pháp luật yêu cầu tiếp tục lưu trữ.

Điều 9. Biện pháp bảo vệ dữ liệu cá nhân

Công ty áp dụng các biện pháp phù hợp nhằm bảo vệ dữ liệu cá nhân:

• Biện pháp tổ chức: ban hành quy định nội bộ, chỉ định nhân sự phụ trách bảo vệ dữ liệu cá nhân, phân quyền truy cập, đào tạo nhân sự;
• Biện pháp kỹ thuật: mã hóa, kiểm soát truy cập, phần mềm diệt virus, sao lưu, giám sát an ninh hệ thống;
• Biện pháp pháp lý: ký kết thỏa thuận bảo mật/xử lý dữ liệu cá nhân với các bên liên quan;
• Rà soát, đánh giá và cập nhật định kỳ: các biện pháp bảo vệ dữ liệu cá nhân.

Mặc dù đã nỗ lực áp dụng các biện pháp hợp lý, không có biện pháp và hệ thống nào an toàn tuyệt đối. Chủ thể dữ liệu cá nhân đồng thời cần có trách nhiệm bảo mật thông tin đăng nhập và thiết bị của mình.

Điều 10. Quyền và nghĩa vụ của Chủ thể dữ liệu cá nhân

1. Quyền của Chủ thể dữ liệu cá nhân

Theo quy định pháp luật, Chủ thể dữ liệu cá nhân có các quyền sau đối với dữ liệu cá nhân của mình:

• Quyền được biết về hoạt động xử lý dữ liệu cá nhân của mình;
• Quyền đồng ý hoặc không đồng ý, và quyền rút lại sự đồng ý đối với việc xử lý dữ liệu cá nhân;
• Quyền truy cập để xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân của mình;
• Quyền yêu cầu cung cấp dữ liệu cá nhân của mình;
• Quyền yêu cầu xóa hoặc hạn chế xử lý dữ liệu cá nhân;
• Quyền phản đối việc xử lý dữ liệu cá nhân;
• Quyền khiếu nại, tố cáo, khởi kiện theo quy định pháp luật;
• Quyền yêu cầu bồi thường thiệt hại khi có vi phạm về bảo vệ dữ liệu cá nhân;
• Quyền tự bảo vệ và yêu cầu cơ quan có thẩm quyền áp dụng biện pháp bảo vệ dữ liệu cá nhân của mình.

2. Nghĩa vụ của Chủ thể dữ liệu cá nhân

• Cung cấp dữ liệu cá nhân chính xác, đầy đủ khi tham gia ký kết hợp đồng hoặc tham gia sử dụng dịch vụ;
• Bảo mật thông tin tài khoản, thông báo kịp thời khi phát hiện rủi ro về dữ liệu;
• Tôn trọng và không xâm phạm dữ liệu cá nhân của người khác;
• Tuân thủ quy định pháp luật về bảo vệ dữ liệu cá nhân.

Điều 11. Cách thức thực hiện quyền của Chủ thể dữ liệu cá nhân

Để thực hiện các quyền nêu tại Điều 10 tại Chính sách này, Chủ thể dữ liệu cá nhân có thể gửi yêu cầu tới Công ty qua thông tin liên hệ tại Điều 3 Chính sách này.

Thời hạn xử lý yêu cầu:

Quy trình xử lý yêu cầu của chủ thể dữ liệu cá nhân:

• Công ty có thể yêu cầu Chủ thể dữ liệu cá nhân cung cấp thông tin để xác minh danh tính trước khi xử lý yêu cầu;
• Công ty tiếp nhận, xác minh và phản hồi yêu cầu của Chủ thể dữ liệu cá nhân theo thời hạn pháp luật quy định và quy trình xử lý yêu cầu chủ thể dữ liệu của Công ty;
• Trường hợp từ chối yêu cầu, Công ty sẽ nêu rõ lý do bằng văn bản/email.

Điều 12. Xử lý dữ liệu cá nhân của người vị thành niên, người bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi

Công ty thực hiện việc xử lý dữ liệu cá nhân trên cơ sở sự đồng ý của cha, mẹ, người đại diện hoặc người giám hộ theo quy định pháp luật, đồng thời áp dụng các biện pháp bảo vệ phù hợp.

Điều 13. Thông báo vi phạm dữ liệu cá nhân

Trong trường hợp xảy ra vi phạm dữ liệu cá nhân (ví dụ rò rỉ, mất, tiết lộ trái phép dữ liệu cá nhân), Công ty sẽ:

• Đánh giá và thông báo cho cơ quan nhà nước có thẩm quyền trong trường hợp thuộc diện phải thông báo, theo thời hạn và trình tự quy định pháp luật;
• Dựa trên mức độ đánh giá để ra Thông báo cho Chủ thể dữ liệu cá nhân bị ảnh hưởng;
• Áp dụng các biện pháp khắc phục, giảm thiểu thiệt hại, ngăn ngừa tái diễn.

Điều 14. Thay đổi Chính sách

Công ty có thể cập nhật Chính sách này theo thời gian để phù hợp với quy định pháp luật và hoạt động thực tế. Phiên bản cập nhật sẽ được công bố công khai tại website/văn phòng làm việc hoặc các hình thức công khai khác và có hiệu lực kể từ ngày công bố, trừ trường hợp pháp luật quy định khác. Công ty khuyến khích Chủ thể dữ liệu cá nhân kiểm tra Chính sách định kỳ.

Điều 15. Hiệu lực thi hành

Chính sách này có hiệu lực kể từ ngày công bố trên website.

GIÁM ĐỐC TRẦN THỊ LINH