Chính sách bảo vệ dữ liệu cá nhân

1. Thông tin chung

Chính sách Bảo vệ Dữ liệu Cá nhân này được ban hành bởi Công ty TNHH Indochina Link Việt Nam (ICLV)(MST: 0314028165; Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ kế toán số 157/KDKET, Bộ Tài chính Việt Nam) theo Luật Bảo vệ Dữ liệu Cá nhân (Số 91/2025/QH15), có hiệu lực từ ngày 01/01/2026, và Nghị định 356/2025/NĐ-CP.

Chính sách này điều chỉnh việc xử lý dữ liệu cá nhân của:

• Khách hàng sử dụng dịch vụ kế toán, thuế, tiền lương và tư vấn FDI.
• Nhân viên của khách hàng mà dữ liệu được xử lý trong quá trình cung cấp dịch vụ (tiền lương, PIT, BHXH, GPLĐ).
• Bên thứ ba có dữ liệu được cung cấp theo hợp đồng dịch vụ, trong đó khách hàng cam kết dữ liệu đó được thu thập hợp pháp và có sự đồng ý phù hợp.
• Khách truy cập website gửi thông tin qua biểu mẫu hoặc đăng ký bản tin. Cách website xử lý cookie, phân tích và biểu mẫu được nêu trong Chính sách bảo mật.

2. Định nghĩa cốt lõi

3. Vai trò kiểm soát và xử lý dữ liệu

• Bên kiểm soát (Data Controller): Khi thu thập dữ liệu trực tiếp từ khách hàng, khách truy cập website và ứng viên cho mục đích kinh doanh của chúng tôi (trả lời yêu cầu, quản lý quan hệ khách hàng, tuyển dụng).
• Bên xử lý (Data Processor): Khi xử lý dữ liệu nhân sự thay mặt khách hàng (bảng lương, kê khai PIT, đóng BHXH, xin cấp GPLĐ/TRC).

Khi đóng vai trò Bên xử lý, chúng tôi chỉ xử lý dữ liệu theo hướng dẫn của khách hàng và hợp đồng dịch vụ. Chúng tôi không dùng dữ liệu nhân viên của khách hàng cho mục đích riêng.

4. Loại dữ liệu cá nhân được xử lý

4.1 Dữ liệu cơ bản

• Họ tên (tiếng Việt và chữ Latinh quốc tế), ngày sinh, giới tính, quốc tịch.
• CCCD / hộ chiếu, mã số thuế (MST), sổ bảo hiểm xã hội.
• Số điện thoại, email liên hệ, địa chỉ thường trú và tạm trú.
• Thông tin công việc (chức danh, phòng ban, loại hợp đồng lao động).

4.2 Dữ liệu nhạy cảm

• Dữ liệu tài chính: Bậc lương, số tài khoản ngân hàng, các khoản giảm trừ gia cảnh, mức đóng bảo hiểm.
• Hồ sơ sức khoẻ: Giấy khám sức khoẻ (phục vụ xin cấp giấy phép lao động).
• Lý lịch tư pháp: Phiếu lý lịch tư pháp (phục vụ thủ tục cấp phép chuyên gia nước ngoài).
• Hình ảnh giấy tờ tùy thân: Ảnh thẻ căn cước, căn cước công dân khi được cung cấp cho hồ sơ.
• Dữ liệu theo dõi hành vi (khách truy cập website): Dữ liệu từ Google Analytics 4 và Microsoft Clarity, chỉ thu khi khách chấp nhận Phân tích trong banner cookie (xem Chính sách bảo mật).

Ảnh chân dung nộp cho hồ sơ TRC và GPLĐ là dữ liệu cá nhân cơ bản theo Nghị định 356/2025/NĐ-CP; chúng tôi vẫn xử lý với mức thận trọng tương đương.

Dữ liệu nhạy cảm được xử lý trên cơ sở sự đồng ý của chủ thể dữ liệu hoặc, khi Luật 91/2025/QH15 cho phép (Điều 19), không cần sự đồng ý, ví dụ để thực hiện thỏa thuận hoặc thực hiện nghĩa vụ theo pháp luật Việt Nam. Với khách truy cập website, sự đồng ý thu thập dữ liệu theo dõi hành vi được lấy qua banner cookie. Với nhân viên của khách hàng, khi ICLV là bên xử lý, khách hàng với tư cách bên kiểm soát quyết định mục đích xử lý, làm việc với chủ thể dữ liệu (gồm xin sự đồng ý khi luật yêu cầu và thông báo đó là dữ liệu nhạy cảm) và bảo đảm các quyền của họ. ICLV xử lý dữ liệu theo hợp đồng dịch vụ (xem mục 14).

5. Mục đích & cơ sở pháp lý xử lý

• Cung cấp dịch vụ: Kế toán, tiền lương, báo cáo thuế, hỗ trợ kiểm toán và dịch vụ pháp lý FDI.
• Tuân thủ pháp luật: Nộp tờ khai thuế, báo cáo BHXH bắt buộc và lưu trữ kế toán.
• Liên lạc với khách hàng: Cập nhật dịch vụ, tư vấn quy định và trả lời yêu cầu.
• Quản lý rủi ro: Kiểm tra xung đột lợi ích, phòng chống rửa tiền (Nghị định 19/2023/NĐ-CP) và kiểm soát chất lượng nội bộ.
• Lưu trữ hồ sơ: Duy trì nhật ký kiểm toán và giải quyết tranh chấp.
• Tuyển dụng: Xem xét hồ sơ ứng tuyển.

Khi ICLV là bên kiểm soát, chúng tôi dựa vào sự đồng ý của chủ thể dữ liệu (ví dụ tích ô đồng ý trên biểu mẫu website) hoặc các trường hợp không cần đồng ý tại Điều 19 Luật 91/2025/QH15, như thực hiện thỏa thuận với chủ thể dữ liệu và thực hiện nghĩa vụ theo pháp luật Việt Nam. Khi ICLV là bên xử lý, chúng tôi xử lý dữ liệu cho các mục đích do khách hàng xác định trong hợp đồng dịch vụ.

Dữ liệu từ biểu mẫu liên hệ và báo giá trên website chỉ được dùng để trả lời yêu cầu và tư vấn. Chúng tôi không dùng cho tiếp thị nếu người gửi không đăng ký bản tin, không bán và không chia sẻ cho bên thứ ba vì mục đích quảng cáo.

6. Phương thức thu thập dữ liệu

Chúng tôi thu thập dữ liệu cá nhân qua:

• Khách hàng trực tiếp cung cấp qua thư thỏa thuận dịch vụ và hợp đồng dịch vụ.
• Biểu mẫu liên hệ, báo giá và đăng ký bản tin trên website (họ tên, email, điện thoại, công ty, dịch vụ và nội dung; biểu mẫu báo giá còn hỏi loại hình doanh nghiệp, ngành, số nhà đầu tư, vốn và dịch vụ bổ sung; biểu mẫu bản tin chỉ hỏi email).
• Thư điện tử và liên lạc qua điện thoại, gồm CV gửi tới career@indochinalink.com, chỉ được dùng cho mục đích tuyển dụng.
• Dữ liệu chuyển từ hệ thống của khách hàng (dữ liệu tiền lương, hồ sơ nhân viên).
• Sổ đăng ký công khai và cơ sở dữ liệu của cơ quan nhà nước (để xác minh).

7. Phương thức xử lý dữ liệu

• Xử lý thủ công: Xử lý hồ sơ giấy, họp và chỉ dẫn bằng lời.
• Xử lý tự động: Nhập liệu điện tử, hệ thống tính lương, phần mềm kế toán và kê khai điện tử qua cổng thông tin của cơ quan nhà nước.

Mọi phương thức xử lý đều tuân theo kiểm soát truy cập nội bộ của chúng tôi. Xử lý tự động không bao gồm hồ sơ hóa hoặc ra quyết định tự động tạo ra hệ quả pháp lý đối với chủ thể dữ liệu.

8. Thời hạn lưu trữ dữ liệu

Chúng tôi chỉ lưu dữ liệu cá nhân trong thời gian cần thiết cho mục đích xử lý:

Yêu cầu liên hệ và báo giá trên website được tự động xóa khỏi cơ sở dữ liệu sau 36 tháng; bản sao lưu được xóa theo cùng chu kỳ. Để hủy đăng ký bản tin, gửi email tới info@indochinalink.com; chúng tôi xử lý yêu cầu trong thời hạn nêu tại mục 9. Với các hồ sơ khác, khi hết thời hạn lưu trữ, dữ liệu được xóa hoặc ẩn danh, trừ khi pháp luật yêu cầu tiếp tục xử lý.

9. Quyền của chủ thể dữ liệu

Theo Điều 4 Luật Bảo vệ dữ liệu cá nhân (91/2025/QH15), bạn có quyền:

• Được biết về hoạt động xử lý dữ liệu cá nhân của bạn;
• Đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu;
• Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân;
• Yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu cá nhân; gửi yêu cầu phản đối xử lý;
• Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo quy định của pháp luật (có thể gửi khiếu nại tới Bộ Công an hoặc cơ quan có thẩm quyền khác);
• Yêu cầu cơ quan có thẩm quyền hoặc cơ quan, tổ chức, cá nhân liên quan thực hiện các biện pháp bảo vệ dữ liệu cá nhân của bạn.

Để thực hiện quyền, vui lòng gửi yêu cầu bằng văn bản tới info@indochinalink.com, nêu họ tên, thông tin liên hệ, quyền muốn thực hiện và dữ liệu liên quan. Chúng tôi có thể yêu cầu xác minh danh tính. Chúng tôi tiếp nhận và phản hồi trong vòng 02 ngày làm việc kể từ khi nhận được yêu cầu hợp lệ, kèm thông tin về thủ tục, rồi thực hiện trong thời hạn theo Điều 5 Nghị định 356/2025/NĐ-CP:

• Xem, chỉnh sửa hoặc được cung cấp dữ liệu: 10 ngày.
• Rút lại đồng ý, hạn chế hoặc phản đối xử lý, hoặc yêu cầu biện pháp bảo vệ dữ liệu: 15 ngày.
• Xóa dữ liệu: 20 ngày.

Trường hợp cần bên xử lý hoặc bên thứ ba thực hiện, thời hạn dài hơn theo Nghị định. Chúng tôi có thể gia hạn một lần, tối đa lần lượt 10, 15 hoặc 20 ngày, và sẽ nêu lý do. Nếu không thể xóa dữ liệu vì pháp luật yêu cầu phải lưu giữ hoặc vì lý do chính đáng khác, chúng tôi sẽ thông báo lý do cho bạn.

10. Biện pháp an ninh kỹ thuật & ứng phó sự cố

ICLV áp dụng biện pháp quản lý và kỹ thuật phù hợp theo Luật Bảo vệ dữ liệu cá nhân, gồm:

• Kết nối mã hóa: HTTPS/TLS.
• Chống bot và giới hạn tần suất: Cloudflare Turnstile trên biểu mẫu website và giới hạn tần suất gửi biểu mẫu.
• Kiểm soát truy cập: Phân quyền theo vai trò, giới hạn quyền xem dữ liệu cho nhân sự được giao xử lý dữ liệu.
• Hạ tầng: Nhà cung cấp hạ tầng (Cloudflare) mã hóa dữ liệu lưu trữ theo tiêu chuẩn của họ.

Thông báo vi phạm dữ liệu

• Khi ICLV là bên kiểm soát (dữ liệu website, ứng viên): nếu xảy ra vi phạm thuộc trường hợp Điều 23 Luật 91/2025/QH15 yêu cầu thông báo, chúng tôi thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện, và thông báo cho chủ thể dữ liệu khi luật yêu cầu. Với chủ thể dữ liệu tại EU/EEA, Điều 33 GDPR (thông báo cho cơ quan giám sát trong 72 giờ) và Điều 34 (thông báo cho chủ thể dữ liệu) cũng được áp dụng.
• Khi ICLV là bên xử lý cho khách hàng: chúng tôi thông báo cho khách hàng, với tư cách bên kiểm soát, kịp thời và không chậm trễ (Điều 23 Luật 91/2025/QH15; Điều 33(2) GDPR).

11. Chuyển dữ liệu ra nước ngoài

Chúng tôi sử dụng nhà cung cấp dịch vụ đặt ngoài Việt Nam nên dữ liệu cá nhân thu thập tại Việt Nam được xử lý hoặc lưu trữ ở nước ngoài. ICLV thực hiện các nghĩa vụ đối với việc chuyển dữ liệu ra nước ngoài theo Luật Bảo vệ dữ liệu cá nhân (91/2025/QH15) và Nghị định 356/2025/NĐ-CP. Các nhà cung cấp và dữ liệu họ nhận:

• Cloudflare: Lưu trữ hệ thống xử lý biểu mẫu website và cơ sở dữ liệu (nội dung biểu mẫu), cung cấp kiểm tra chống bot Turnstile và phân phối nội dung website.
• Telegram: Kênh thông báo nội bộ nhận nội dung yêu cầu liên hệ (họ tên, email, điện thoại, công ty, dịch vụ, nội dung, trang nguồn) và đăng ký bản tin (email, trang nguồn). Máy chủ của Telegram đặt ngoài Việt Nam.
• Google: Google Analytics 4 (chỉ khi khách chấp nhận Phân tích) và Google Maps (chỉ khi khách bấm tải bản đồ).
• Microsoft: Microsoft Clarity (chỉ khi khách chấp nhận Phân tích) và email Microsoft 365.

Nếu cần chuyển dữ liệu cho công ty mẹ ở nước ngoài của khách hàng hoặc bên nhận khác để phục vụ dịch vụ, chúng tôi thực hiện theo cùng quy định, gồm thông báo cho chủ thể dữ liệu về việc chuyển và, khi luật yêu cầu, xin sự đồng ý của họ.

12. Dữ liệu từ EU/EEA (GDPR)

Khi dịch vụ của chúng tôi liên quan đến dữ liệu cá nhân có nguồn gốc từ Liên minh Châu Âu (EU) hoặc Khu vực Kinh tế Châu Âu (EEA), Quy định (EU) 2016/679 (GDPR) được áp dụng. Với khách truy cập website tại EU/EEA, căn cứ pháp lý, quyền, việc chuyển dữ liệu và quyền khiếu nại được nêu tại mục 9 của Chính sách bảo mật. Ngoài ra:

• Cơ sở xử lý theo GDPR: Xử lý theo Điều 6(1) (sự đồng ý, hợp đồng hoặc các bước trước khi giao kết hợp đồng, nghĩa vụ pháp lý và, với an ninh và ngăn chặn lạm dụng, lợi ích hợp pháp).
• Bảo đảm của bên xử lý: Khi là bên xử lý theo Điều 28 GDPR, chúng tôi xử lý dữ liệu khách hàng theo chỉ dẫn bằng văn bản của khách hàng và lưu hồ sơ xử lý.
• Quyền khiếu nại: Chủ thể dữ liệu tại EU có quyền gửi khiếu nại tới cơ quan giám sát (Điều 77).

13. Các luật bảo vệ dữ liệu khác

Nếu bạn thuộc phạm vi một luật bảo vệ dữ liệu khác, vui lòng liên hệ chúng tôi theo địa chỉ tại mục 17.

14. Nghĩa vụ của khách hàng

Khi cung cấp dữ liệu cá nhân cho Indochina Link Việt Nam, khách hàng có nghĩa vụ:

• Bảo đảm mọi dữ liệu cá nhân được cung cấp đã được thu thập hợp pháp và có sự đồng ý phù hợp.
• Thông báo cho chủ thể dữ liệu rằng dữ liệu của họ sẽ được chia sẻ với Indochina Link Việt Nam để cung cấp dịch vụ.
• Bảo đảm dữ liệu cá nhân được cung cấp là chính xác và đầy đủ.
• Tuân thủ nghĩa vụ của chính mình theo Luật Bảo vệ dữ liệu cá nhân (91/2025/QH15) và các luật quốc tế áp dụng.

15. Thay đổi chính sách

Chính sách này có thể được cập nhật để phản ánh thay đổi của pháp luật Việt Nam hoặc cách chúng tôi xử lý dữ liệu. Các thay đổi quan trọng sẽ được đăng trên trang này và thông báo cho khách hàng qua các kênh tư vấn thường xuyên. Ngày "Cập nhật lần cuối" ở đầu trang cho biết lần sửa đổi gần nhất.

16. Luật áp dụng và giải quyết tranh chấp

Chính sách này chịu sự điều chỉnh của pháp luật nước Cộng hòa xã hội chủ nghĩa Việt Nam, gồm Luật Bảo vệ dữ liệu cá nhân (số 91/2025/QH15). Tranh chấp phát sinh từ chính sách này được giải quyết qua thương lượng và, nếu không thành, đưa ra tòa án có thẩm quyền tại Thành phố Hồ Chí Minh, Việt Nam.

17. Liên hệ (bộ phận phụ trách bảo vệ dữ liệu cá nhân)

• Pháp nhân: Công ty TNHH Indochina Link Việt Nam (ICLV)
• Trụ sở đăng ký: Tầng 3, Tòa nhà An Phú Plaza, 117-119 Lý Chính Thắng, Phường Xuân Hòa, Thành phố Hồ Chí Minh
• Email: info@indochinalink.com
• Điện thoại: +84-28-2246-8007
• MST: 0314028165
• Thời hạn phản hồi: Tiếp nhận và phản hồi trong vòng 02 ngày làm việc kể từ khi nhận được yêu cầu hợp lệ; thời hạn thực hiện xem mục 9.