Chính sách bảo mật

CHÍNH SÁCH BẢO MẬT

1) Mục đích, phạm vi thu thập thông tin của người sử dụng

1.1. Mục đích thu thập thông tin

Nền tảng TMĐT Sigland thu thập và xử lý thông tin của người sử dụng nhằm xác thực và quản lý tài khoản của Người đăng tin và Người xem tin; phục vụ việc đăng tải, kiểm tra, rà soát và quản lý thông tin tin đăng bất động sản; hỗ trợ người sử dụng tìm kiếm, tiếp cận và trao đổi thông tin; bảo đảm an toàn, vận hành và hỗ trợ kỹ thuật cho nền tảng; tiếp nhận, xử lý phản ánh, khiếu nại, tranh chấp (nếu có); giải đáp các yêu cầu của người sử dụng và thực hiện các nghĩa vụ theo quy định pháp luật.

1.2. Phạm vi thu thập thông tin

- Đối với Người đăng tin

Mục đích của quy trình này nhằm thu thập đầy đủ thông tin để xác thực người đăng tin, nâng cao tính minh bạch của thông tin bất động sản, phòng ngừa hành vi gian lận, bảo vệ quyền lợi của người sử dụng nền tảng.

• Các tài liệu, thông tin thu thập:

+ Thông tin cá nhân cơ bản: Họ và tên, Số điện thoại cá nhân, Giới tính, Địa chỉ cư trú (Tỉnh/Thành phố).

+ Thông tin liên lạc: Ngày tháng năm sinh, Địa chỉ Email cá nhân.

+ Thông tin xác thực bổ sung (Tùy chọn để xem thông tin chi tiết Người đăng tin): hình ảnh khuôn mặt và ảnh CC/CCCD.

• Quy trình thu thập và đồng ý xử lý dữ liệu:

+ Bước 1: Khởi tạo tài khoản: Người xem tin nhập số điện thoại và cài đặt mật khẩu.

+ Bước 2: Xác thực tài khoản: Người xem tin điền thông tin họ và tên, số CC/CCCD, địa chỉ, ngày sinh và tải ảnh khuôn mặt, ảnh CC/CCCD. Quản trị viên đối chiếu thông tin khai báo và thông tin giấy tờ đính kèm, so ảnh khuôn mặt và ảnh trong CC/CCCD để xác thực thông tin tài khoản.

+ Bước 3: Chấp thuận xử lý dữ liệu: Trước đăng ký tài khoản, hệ thống sẽ hiển thị một Bảng thông báo hiển thị rõ ràng về việc "Chấp thuận xử lý dữ liệu cá nhân". Người xem tin phải chủ động bấm "Đồng ý" thì hệ thống mới mở tính năng xem thông tin chi tiết Người đăng tin. Nội dung thông báo nêu rõ:

• Mục đích thu thập.

• Phạm vi thông tin thu thập.

• Các bên được chia sẻ dữ liệu.

+ Bước 4: Lưu trữ và Bảo mật: Dữ liệu sau khi thu thập được mã hóa và lưu trữ an toàn trên cơ sở dữ liệu của Nền tảng Sigland. Người xem tin có toàn quyền chỉnh sửa, ẩn đi hoặc yêu cầu xóa bỏ hoàn toàn dữ liệu cá nhân của mình trên hệ thống bất cứ lúc nào.

- Đối với Người xem tin

Quy trình này thu thập thông tin để phục vụ xác thực tài khoản, đảm bảo tuân thủ nghiêm ngặt việc bảo vệ dữ liệu cá nhân theo Nghị định 13/2023/NĐ-CP.

• Các tài liệu, thông tin thu thập:

+ Thông tin cá nhân cơ bản: Họ và tên, Ngày tháng năm sinh, số CC/CCCD, Giới tính, Địa chỉ cư trú (Tỉnh/Thành phố).

+ Thông tin liên lạc: Số điện thoại cá nhân, Địa chỉ Email cá nhân.

+ Thông tin xác thực bổ sung (Tùy chọn): hình ảnh khuôn mặt và ảnh CC/CCCD.

• Quy trình thu thập và đồng ý xử lý dữ liệu:

+ Bước 1: Khởi tạo tài khoản: Người xem tin nhập Email cá nhân và cài đặt mật khẩu.

+ Bước 2: Xác thực tài khoản: Người xem tin điền thông tin họ và tên, số CC/CCCD, địa chỉ, ngày sinh và tải ảnh khuôn mặt, ảnh CC/CCCD. Quản trị viên đối chiếu thông tin khai báo và thông tin giấy tờ đính kèm, so ảnh khuôn mặt và ảnh trong CC/CCCD đồng thời kết hợp kiểm tra thông tin trên cổng thông tin người nộp thuế TNCN - Bộ Tài chính để xác thực thông tin tài khoản.

+ Bước 3: Chấp thuận xử lý dữ liệu: Trước khi sử dụng các chức năng của nền tảng, người dùng xác nhận đồng ý với Chính sách bảo vệ dữ liệu cá nhân và Điều khoản sử dụng:

• Mục đích thu thập.

• Phạm vi thông tin thu thập.

• Các bên được chia sẻ dữ liệu.

+ Bước 4: Sử dụng dịch vụ: Người dùng có thể tìm kiếm bất động sản, lưu tin đăng, liên hệ người đăng tin hoặc gửi yêu cầu tư vấn thông qua các chức năng của nền tảng.

+ Bước 5: Lưu trữ và Bảo mật: Dữ liệu sau khi thu thập được mã hóa và lưu trữ an toàn trên cơ sở dữ liệu của Nền tảng Sigland. Người xim tin có toàn quyền chỉnh sửa, ẩn đi hoặc yêu cầu xóa bỏ hoàn toàn dữ liệu cá nhân của mình trên hệ thống bất cứ lúc nào.

2) Phạm vi sử dụng thông tin của người sử dụng

Nền tảng TMĐT Sigland sử dụng thông tin của Người sử dụng trong phạm vi cần thiết để:

- Xác thực, quản lý tài khoản và hỗ trợ Người đăng tin, Người xem tin trong quá trình sử dụng nền tảng;

- Kiểm tra, rà soát và quản lý thông tin, hình ảnh, video và nội dung tin đăng bất động sản;

- Hỗ trợ Người xem tin tìm kiếm, tiếp cận và trao đổi với Người đăng tin;

- Phát hiện, ngăn ngừa và xử lý các hành vi giả mạo, gian lận, lừa đảo, spam, vi phạm Quy chế hoạt động hoặc gây mất an toàn cho nền tảng;

- Tiếp nhận, xử lý phản ánh, yêu cầu, khiếu nại và tranh chấp phát sinh trong quá trình sử dụng nền tảng;

- Hỗ trợ kỹ thuật, chăm sóc và tiếp nhận ý kiến phản hồi của Người sử dụng;

- Bảo đảm an toàn, bảo mật, duy trì và nâng cao chất lượng hoạt động của hệ thống;

- Thực hiện các nghĩa vụ cung cấp, phối hợp cung cấp thông tin cho cơ quan nhà nước có thẩm quyền khi có yêu cầu hợp pháp theo quy định của pháp luật;

- Thực hiện các mục đích khác đã được thông báo và được Người sử dụng đồng ý theo quy định về bảo vệ dữ liệu cá nhân.

3) Thời gian lưu trữ thông tin

Nền tảng TMĐT Sigland lưu trữ dữ liệu cá nhân của Người đăng tin và Người xem tin theo từng mục đích sử dụng và tình trạng tài khoản, cụ thể:

- Trong thời gian tài khoản còn hoạt động: Dữ liệu tài khoản, thông tin hồ sơ, thông tin xác thực, thông tin tin đăng và các dữ liệu phát sinh trong quá trình sử dụng Sigland được lưu trữ trong thời gian tài khoản còn hoạt động và trong thời gian cần thiết để Sigland cung cấp, duy trì và quản lý các dịch vụ trên nền tảng.

- Khi người dùng đóng hoặc xóa tài khoản: Khi Người đăng tin hoặc Người xem tin yêu cầu đóng/xóa tài khoản, Sigland ngừng cung cấp các dịch vụ gắn với tài khoản và rà soát dữ liệu liên quan. Các dữ liệu không còn mục đích xử lý và không thuộc trường hợp phải tiếp tục lưu giữ sẽ được xóa hoặc hủy theo quy trình của Sigland.

Đối với dữ liệu liên quan đến tin đăng, thông tin xác thực, phản ánh, khiếu nại, tranh chấp, vi phạm hoặc các dữ liệu mà Sigland có nghĩa vụ lưu giữ theo pháp luật, Sigland tiếp tục lưu trữ trong thời hạn cần thiết theo quy định áp dụng.

- Khi người dùng rút lại sự đồng ý hoặc yêu cầu xóa dữ liệu cá nhân

Người đăng tin và Người xem tin có quyền rút lại sự đồng ý đối với việc xử lý dữ liệu cá nhân trong trường hợp việc xử lý dựa trên sự đồng ý, và có quyền yêu cầu xóa dữ liệu cá nhân theo quy định pháp luật.

Khi nhận được yêu cầu, Sigland thực hiện rà soát theo từng loại dữ liệu và mục đích xử lý. Đối với dữ liệu mà việc xử lý không còn căn cứ pháp lý hoặc không còn mục đích cần thiết, Sigland thực hiện xóa, hủy hoặc xử lý theo yêu cầu phù hợp.

Việc rút lại sự đồng ý không làm ảnh hưởng đến tính hợp pháp của việc xử lý dữ liệu đã được thực hiện trước thời điểm rút lại sự đồng ý và không áp dụng đối với trường hợp Sigland có căn cứ pháp lý khác để tiếp tục lưu giữ hoặc xử lý dữ liệu.

- Dữ liệu phải tiếp tục lưu giữ

Một số dữ liệu có thể phải tiếp tục được lưu giữ sau khi tài khoản bị đóng hoặc người dùng yêu cầu xóa, bao gồm dữ liệu phục vụ thực hiện nghĩa vụ pháp lý, giải quyết khiếu nại, tranh chấp, phòng ngừa và xử lý hành vi vi phạm, bảo vệ quyền và lợi ích hợp pháp của Sigland hoặc người sử dụng, hoặc thực hiện yêu cầu của cơ quan nhà nước có thẩm quyền.

Khi hết thời hạn lưu giữ hoặc khi căn cứ tiếp tục lưu giữ không còn, Sigland thực hiện xóa hoặc hủy dữ liệu theo quy định.

- Xác định thời điểm và thời gian lưu trữ

Sigland xác định thời gian lưu trữ căn cứ vào thời điểm dữ liệu được thu thập hoặc phát sinh trên nền tảng, trạng thái và thời gian tồn tại của tài khoản, mục đích xử lý, thời điểm phát sinh tin đăng hoặc hoạt động trên nền tảng và thời hạn lưu giữ theo quy định pháp luật.

Hệ thống ghi nhận ngày, giờ tạo lập, cập nhật, thay đổi trạng thái tài khoản và các sự kiện xử lý dữ liệu để làm căn cứ quản lý, kiểm soát thời hạn lưu trữ và thực hiện các yêu cầu về xóa hoặc hạn chế xử lý dữ liệu.

4) Tổ chức, cá nhân có thể được tiếp cận thông tin cá nhân

Nền tảng TMĐT Sigland có thể cung cấp hoặc chia sẻ thông tin cá nhân của Người sử dụng trong phạm vi cần thiết cho các tổ chức, cá nhân sau:

- Đơn vị cung cấp dịch vụ hỗ trợ vận hành nền tảng: Các đơn vị cung cấp dịch vụ hạ tầng, lưu trữ dữ liệu, bảo mật, kỹ thuật, chăm sóc và hỗ trợ khách hàng cho Sigland. Các đơn vị này chỉ được tiếp cận thông tin trong phạm vi cần thiết để cung cấp dịch vụ và phải tuân thủ các yêu cầu về bảo mật, bảo vệ dữ liệu cá nhân;

- Người sử dụng khác trên nền tảng: Một số thông tin do Người đăng tin chủ động cung cấp để hiển thị trên tin đăng, như họ tên/tên hiển thị, số điện thoại, thông tin liên hệ và thông tin liên quan đến bất động sản, có thể được Người xem tin tiếp cận nhằm phục vụ việc trao đổi, liên hệ về tin đăng;

- Bên thứ ba theo yêu cầu hoặc sự đồng ý của Người sử dụng: Sigland có thể cung cấp thông tin cho bên thứ ba khi Người sử dụng yêu cầu hoặc đồng ý cho Sigland thực hiện việc cung cấp thông tin đó.

- Cơ quan nhà nước có thẩm quyền: Sigland có thể cung cấp thông tin cá nhân khi có yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền hoặc để thực hiện nghĩa vụ theo quy định pháp luật.

- Các tổ chức, cá nhân liên quan đến việc phòng ngừa, xử lý vi phạm: Trong trường hợp cần thiết để xác minh, ngăn chặn hành vi gian lận, lừa đảo, vi phạm Quy chế hoạt động, quyền và lợi ích hợp pháp của người sử dụng hoặc Sigland, thông tin có thể được cung cấp cho các bên có liên quan trong phạm vi pháp luật cho phép.

- Đơn vị hợp tác, đầu tư, sáp nhập hoặc nhận chuyển nhượng Sigland: Trong trường hợp Sigland thực hiện hợp tác đầu tư, sáp nhập, chuyển nhượng hoặc giao dịch tương tự, thông tin cá nhân có thể được chuyển giao trong phạm vi cần thiết và bên tiếp nhận có trách nhiệm áp dụng các biện pháp bảo vệ dữ liệu phù hợp theo quy định pháp luật.

5) Biện pháp bảo mật thông tin, dữ liệu của người sử dụng

Hệ thống thông tin phục vụ hoạt động của Nền tảng TMĐT Sigland được thiết kế, triển khai và vận hành theo nguyên tắc bảo đảm an ninh mạng, an toàn thông tin mạng, đáp ứng các yêu cầu bảo vệ hệ thống thông tin quy định của pháp luật về an toàn thông tin mạng. Các biện pháp kỹ thuật và quản lý được áp dụng như sau:

- Bảo mật hạ tầng hệ thống

Hệ thống được triển khai trên hạ tầng tại trung tâm dữ liệu đáp ứng các yêu cầu về an toàn vật lý, an ninh mạng và khả năng hoạt động liên tục.

Các máy chủ được cấu hình theo nguyên tắc phân tách chức năng giữa máy chủ ứng dụng, máy chủ cơ sở dữ liệu và hệ thống lưu trữ nhằm hạn chế nguy cơ truy cập trái phép.

Việc truy cập vào máy chủ quản trị chỉ được thực hiện bởi các tài khoản được cấp quyền, thông qua kết nối bảo mật và được ghi nhận đầy đủ trong nhật ký hệ thống.

Các cổng dịch vụ không sử dụng được vô hiệu hóa hoặc giới hạn truy cập nhằm giảm thiểu nguy cơ khai thác trái phép.

- Bảo mật đường truyền

Hệ thống sử dụng giao thức HTTPS (SSL/TLS) để mã hóa dữ liệu trao đổi giữa người dùng và máy chủ, góp phần đảm bảo an toàn thông tin trong quá trình truyền tải.

Các thông tin đăng nhập, dữ liệu cá nhân và dữ liệu giao dịch được truyền trên kênh mã hóa nhằm ngăn chặn nguy cơ nghe lén, sửa đổi hoặc đánh cắp dữ liệu trong quá trình truyền tải.

- Quản lý tài khoản và phân quyền truy cập

Hệ thống áp dụng cơ chế xác thực người sử dụng thông qua tài khoản và mật khẩu.

Đối với cán bộ quản trị hệ thống, việc phân quyền được thực hiện theo nguyên tắc quyền tối thiểu, bảo đảm mỗi tài khoản chỉ được truy cập các chức năng cần thiết để thực hiện nhiệm vụ được giao.

Các hoạt động đăng nhập, thay đổi dữ liệu, phân quyền và quản trị hệ thống đều được ghi nhận vào nhật ký để phục vụ công tác kiểm tra, giám sát và truy vết khi cần thiết.

- Bảo vệ dữ liệu

Thông tin cá nhân của Người xem tin, Người đăng tin và các dữ liệu phát sinh trong quá trình sử dụng dịch vụ được lưu trữ tập trung trong cơ sở dữ liệu của hệ thống.

Bảo vệ thông tin đăng nhập: Mật khẩu người dùng được xử lý bằng cơ chế băm (Hash) nhiều lớp và mã hóa MD5 trước khi lưu trữ trên hệ thống. Trong quá trình xử lý, hệ thống kết hợp thông tin định danh của tài khoản (số điện thoại) với mật khẩu nhằm tăng tính bảo mật. Mật khẩu không được lưu dưới dạng văn bản gốc (plain text).

Mã hóa dữ liệu quan trọng: Các dữ liệu quan trọng được mã hóa bằng thuật toán AES-256-CBC thông qua thư viện OpenSSL. Việc mã hóa và giải mã được thực hiện bằng khóa bảo mật (Encryption Key) do hệ thống quản lý.

Hệ thống thực hiện phân quyền truy cập cơ sở dữ liệu, hạn chế việc truy cập trực tiếp và áp dụng các biện pháp kiểm soát nhằm ngăn ngừa việc sao chép, chỉnh sửa hoặc khai thác dữ liệu trái phép.

- Ghi nhật ký và giám sát an toàn thông tin

Hệ thống duy trì cơ chế ghi nhật ký đối với các hoạt động quan trọng, bao gồm:

+ Đăng nhập, đăng xuất tài khoản;

+ Thay đổi thông tin tài khoản;

+ Đăng, sửa, xóa tin đăng;

+ Thay đổi quyền quản trị;

+ Các lỗi phát sinh trong quá trình vận hành;

+ Các hành vi truy cập bất thường hoặc có dấu hiệu tấn công.

Nhật ký hệ thống được lưu trữ an toàn và chỉ những người được phân công mới có quyền khai thác phục vụ công tác quản trị, kiểm tra và xử lý sự cố.

- Phòng chống tấn công mạng

Hệ thống triển khai các biện pháp kỹ thuật nhằm phát hiện, ngăn chặn và giảm thiểu nguy cơ tấn công mạng, bao gồm:

+ Kiểm soát truy cập từ bên ngoài;

+ Giới hạn số lần đăng nhập sai liên tiếp;

+ Phát hiện và ngăn chặn các truy cập bất thường;

+ Kiểm tra dữ liệu đầu vào nhằm hạn chế các hình thức tấn công phổ biến như SQL Injection, Cross-site Scripting (XSS), Cross-site Request Forgery (CSRF);

+ Cập nhật thường xuyên các bản vá bảo mật của hệ điều hành, phần mềm và các thành phần của hệ thống.

- Sao lưu và khôi phục dữ liệu

Dữ liệu của hệ thống được sao lưu định kỳ theo quy trình nội bộ.

Các bản sao lưu được lưu trữ độc lập với môi trường vận hành chính nhằm hạn chế rủi ro mất dữ liệu khi xảy ra sự cố.

Sigland định kỳ kiểm tra khả năng phục hồi dữ liệu từ bản sao lưu để bảo đảm dữ liệu có thể được khôi phục khi cần thiết.

- Kiểm tra và xử lý sự cố an toàn thông tin

Bộ phận kỹ thuật thực hiện theo dõi liên tục tình trạng hoạt động của hệ thống nhằm phát hiện sớm các dấu hiệu bất thường.

Khi phát hiện sự cố về an ninh mạng hoặc an toàn thông tin, doanh nghiệp thực hiện quy trình:

+ Phát hiện và ghi nhận sự cố;

+ Phân tích nguyên nhân;

+ Cô lập khu vực bị ảnh hưởng;

+ Khắc phục và phục hồi hoạt động của hệ thống;

+ Kiểm tra tính toàn vẹn của dữ liệu;

+ Lập báo cáo và thực hiện các biện pháp phòng ngừa tái diễn.

6) Phương thức, quy trình tiếp nhận yêu cầu của chủ thể dữ liệu trong việc xóa, hủy hoặc hạn chế xử lý dữ liệu của mình đã cung cấp

Người sử dụng có quyền tiếp cận, kiểm tra, cập nhật, chỉnh sửa hoặc yêu cầu xóa, hủy, hạn chế xử lý dữ liệu cá nhân của mình theo quy định pháp luật. Người sử dụng có thể thực hiện thông qua chức năng quản lý tài khoản trên Nền tảng Sigland hoặc gửi yêu cầu đến Sigland để được hỗ trợ.

Khi có nhu cầu xóa, hủy hoặc hạn chế xử lý dữ liệu, Người sử dụng gửi yêu cầu thông qua chức năng Liên hệ hoặc các phương thức liên hệ được Sigland công bố:

- Gửi thông tin tại mục Liên hệ trên nền tảng: https://sigland.vn/lien-he

- Gọi điện thoại đến số hotline: 093 247 3535;

- Gửi email khiếu nại đến địa chỉ: Info@sigland.vn;

- Gửi văn bản khiếu nại theo đường bưu điện đến hoặc gửi trực tiếp tại trụ sở công ty, địa chỉ: 80 Chu Mạnh Trinh, Tổ 70, Phường Cẩm Lệ, Thành Phố Đà Nẵng.

Yêu cầu được tiếp nhận, xác minh thông tin người yêu cầu và kiểm tra loại dữ liệu, mục đích và căn cứ xử lý trước khi thực hiện.

Sigland thực hiện xóa, hủy hoặc hạn chế xử lý đối với dữ liệu không còn mục đích hoặc không còn căn cứ pháp lý để tiếp tục xử lý. Trường hợp dữ liệu phải tiếp tục lưu giữ theo quy định pháp luật, phục vụ giải quyết khiếu nại, tranh chấp, phòng ngừa và xử lý vi phạm hoặc theo yêu cầu của cơ quan nhà nước có thẩm quyền, Sigland thông báo cho Người sử dụng và tiếp tục lưu giữ trong phạm vi cần thiết.

Thời hạn xử lý yêu cầu: Sigland tiếp nhận và phản hồi yêu cầu trong thời hạn 05 ngày làm việc kể từ ngày nhận được yêu cầu hợp lệ. Trường hợp yêu cầu cần xác minh hoặc xử lý phức tạp, Sigland thông báo cho Người sử dụng về tình trạng và thời gian xử lý dự kiến.

Việc thực hiện quyền xóa, hủy hoặc hạn chế xử lý dữ liệu không ảnh hưởng đến tính hợp pháp của việc xử lý dữ liệu đã được thực hiện trước thời điểm yêu cầu và không áp dụng đối với các trường hợp Sigland có căn cứ pháp lý để tiếp tục lưu giữ hoặc xử lý dữ liệu.