CHÍNH SÁCH ĐẢM BẢO LƯU TRỮ DỮ LIỆU CÁ NHÂN TRONG LÃNH THỔ VIỆT NAM
POLICY ON LOCAL STORAGE OF PERSONAL DATA WITHIN THE TERRITORY OF VIETNAM
Mã tài liệu (Document No.): VA-ISMS-POL-008
Phiên bản (Version): 1.0
Ngày hiệu lực (Effective Date): 02/07/2025
Phê duyệt bởi (Approved by): Tổng Giám đốc (Chief Executive Officer)
1. Mục đích | Purpose
Tiếng Việt
Chính sách này được ban hành nhằm bảo đảm việc lưu trữ, quản lý và bảo vệ dữ liệu cá nhân của Công ty TNHH Vina Aspire được thực hiện phù hợp với quy định pháp luật Việt Nam, đặc biệt là các yêu cầu về lưu trữ dữ liệu trong lãnh thổ Việt Nam và các tiêu chuẩn quốc tế về an toàn thông tin và quyền riêng tư.
English
This Policy establishes requirements to ensure that the storage, management, and protection of personal data by Vina Aspire comply with Vietnamese laws, particularly data localization requirements, and international information security and privacy standards.
2. Phạm vi áp dụng | Scope
Chính sách này áp dụng đối với:
- Dữ liệu cá nhân của nhân viên, khách hàng, đối tác và các bên liên quan;
- Hệ thống CNTT, cơ sở dữ liệu, ứng dụng, dịch vụ Cloud và nền tảng số của Công ty;
- Nhân viên, đối tác, nhà cung cấp và bên thứ ba tham gia xử lý dữ liệu cá nhân.
This Policy applies to:
- Personal data of employees, customers, partners, and related parties;
- IT systems, databases, applications, cloud services, and digital platforms;
- Employees, partners, vendors, and third parties involved in personal data processing.
3. Căn cứ áp dụng | References
Chính sách này được xây dựng trên cơ sở:
- Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân;
- Luật An ninh mạng năm 2018;
- Nghị định số 53/2022/NĐ-CP hướng dẫn thi hành Luật An ninh mạng;
- ISO/IEC 27001:2022 – Information Security Management Systems;
- ISO/IEC 27701:2019 – Privacy Information Management Systems;
- Các quy định pháp luật và cam kết với khách hàng.
This Policy is based on:
- Decree No. 13/2023/ND-CP on Personal Data Protection;
- Law on Cybersecurity 2018;
- Decree No. 53/2022/ND-CP;
- ISO/IEC 27001:2022;
- ISO/IEC 27701:2019;
- Applicable legal and contractual requirements.
4. Nguyên tắc lưu trữ dữ liệu trong lãnh thổ Việt Nam
Principles for Local Storage of Personal Data within Vietnam
4.1 Nguyên tắc chung | General Principle
Vina Aspire cam kết thực hiện việc lưu trữ dữ liệu cá nhân theo quy định pháp luật Việt Nam và áp dụng các biện pháp kỹ thuật, quản trị phù hợp nhằm bảo đảm tính bảo mật, toàn vẹn và sẵn sàng của dữ liệu.
Vina Aspire commits to storing personal data in accordance with Vietnamese laws and implementing appropriate technical and organizational measures to ensure the confidentiality, integrity, and availability of personal data.
4.2 Dữ liệu phải được lưu trữ tại Việt Nam
Data Required to be Stored within Vietnam
Trong trường hợp pháp luật Việt Nam yêu cầu lưu trữ dữ liệu trong lãnh thổ Việt Nam, Công ty phải bảo đảm dữ liệu sau được lưu giữ tại Việt Nam:
- Dữ liệu cá nhân của người sử dụng tại Việt Nam;
- Dữ liệu do người sử dụng tạo ra tại Việt Nam;
- Dữ liệu về mối quan hệ của người sử dụng;
- Nhật ký hệ thống, nhật ký giao dịch và dữ liệu phục vụ điều tra, xử lý sự cố theo quy định pháp luật.
Where required by Vietnamese law, the Company shall ensure that the following data is stored within the territory of Vietnam:
- Personal data of users in Vietnam;
- User-generated data created in Vietnam;
- User relationship data;
- System logs, transaction logs, and information required for investigations and incident response.
5. Biện pháp bảo đảm tuân thủ
Compliance Measures
5.1 Quản lý vị trí lưu trữ dữ liệu
Data Residency Management
Tiếng Việt
- Tất cả hệ thống lưu trữ dữ liệu cá nhân phải được xác định rõ vị trí địa lý lưu trữ (Data Residency);
- Trước khi triển khai dịch vụ Cloud, Bộ phận CNTT phải đánh giá khả năng đáp ứng yêu cầu lưu trữ dữ liệu tại Việt Nam;
- Trường hợp sử dụng nhà cung cấp dịch vụ Cloud, Công ty phải ưu tiên lựa chọn khu vực lưu trữ tại Việt Nam hoặc có cơ chế đáp ứng yêu cầu lưu trữ theo quy định pháp luật.
English
- The geographical location of personal data storage shall be clearly identified;
- IT shall assess data residency requirements before deploying cloud services;
- Cloud services shall prioritize storage in Vietnam or otherwise comply with applicable legal requirements.
5.2 Kiểm kê và phân loại dữ liệu
Data Inventory and Classification
Công ty phải:
- Xây dựng danh mục dữ liệu cá nhân;
- Phân loại dữ liệu theo mức độ nhạy cảm;
- Xác định vị trí lưu trữ và luồng di chuyển dữ liệu;
- Duy trì hồ sơ xử lý dữ liệu cá nhân.
The Company shall:
- Maintain a personal data inventory;
- Classify data according to sensitivity;
- Identify storage locations and data flows;
- Maintain records of personal data processing activities.
5.3 Kiểm soát việc truyền dữ liệu ra nước ngoài
Cross-Border Data Transfer Control
Việc chuyển dữ liệu cá nhân ra ngoài lãnh thổ Việt Nam phải:
- Có cơ sở pháp lý và mục đích hợp pháp;
- Được đánh giá rủi ro;
- Được phê duyệt bởi cấp có thẩm quyền;
- Có biện pháp bảo vệ phù hợp;
- Thực hiện đầy đủ các nghĩa vụ theo quy định của pháp luật Việt Nam.
Cross-border transfers of personal data shall:
- Be supported by legal grounds and legitimate purposes;
- Be subject to risk assessments;
- Receive appropriate approval;
- Implement adequate safeguards;
- Fulfill applicable legal obligations.
5.4 Bảo vệ dữ liệu cá nhân
Personal Data Protection Measures
Dữ liệu cá nhân phải được:
- Mã hóa khi lưu trữ và truyền tải;
- Phân quyền truy cập theo vai trò (RBAC);
- Áp dụng xác thực đa yếu tố (MFA) đối với hệ thống quan trọng;
- Ghi nhận nhật ký truy cập và giám sát;
- Sao lưu và phục hồi theo Chính sách Sao lưu và Phục hồi Dữ liệu của Công ty.
Personal data shall be:
- Encrypted at rest and in transit;
- Protected through Role-Based Access Control (RBAC);
- Protected by Multi-Factor Authentication (MFA) for critical systems;
- Logged and monitored;
- Backed up and recoverable.
6. Đánh giá và rà soát tuân thủ
Compliance Review and Assessment
Công ty thực hiện:
- Đánh giá định kỳ tối thiểu mỗi năm một (01) lần;
- Đánh giá khi triển khai hệ thống hoặc dịch vụ mới;
- Đánh giá khi có thay đổi quy định pháp luật;
- Kiểm tra việc tuân thủ của nhà cung cấp và bên thứ ba.
The Company shall conduct:
- Annual compliance assessments;
- Assessments for new systems or services;
- Reviews following legal or regulatory changes;
- Assessments of third-party compliance.
7. Vai trò và trách nhiệm
Roles and Responsibilities
Ban Lãnh đạo | Management
Phê duyệt chính sách và bảo đảm nguồn lực cần thiết.
Approve this Policy and provide adequate resources.
Bộ phận CNTT và An toàn thông tin
IT and Information Security
- Quản lý vị trí lưu trữ dữ liệu;
- Giám sát việc tuân thủ;
- Thực hiện đánh giá định kỳ;
- Xử lý sự cố liên quan đến dữ liệu cá nhân.
Manage data residency, monitor compliance, conduct assessments, and handle personal data incidents.
Chủ sở hữu dữ liệu
Data Owners
Xác định yêu cầu lưu trữ và bảo vệ dữ liệu thuộc phạm vi quản lý.
Determine storage and protection requirements for managed data.
Người sử dụng
Users
Tuân thủ các quy định về bảo vệ dữ liệu cá nhân và báo cáo sự cố phát sinh.
Comply with personal data protection requirements and report incidents.
8. Xử lý vi phạm
Violations and Enforcement
Mọi hành vi:
- Lưu trữ dữ liệu không đúng quy định;
- Chuyển dữ liệu ra nước ngoài trái phép;
- Tiết lộ hoặc sử dụng dữ liệu trái mục đích;
- Không thực hiện các biện pháp bảo vệ bắt buộc;
đều có thể bị xử lý kỷ luật, bồi thường thiệt hại hoặc xử lý theo quy định của pháp luật.
Improper storage, unauthorized cross-border transfers, unlawful disclosure or use of personal data, and failure to implement required safeguards may result in disciplinary actions, compensation for damages, and legal liabilities.
9. Hiệu lực thi hành
Effective Date
Chính sách này có hiệu lực kể từ ngày được Tổng Giám đốc phê duyệt và là một phần của Hệ thống Quản lý An toàn Thông tin (ISMS) và Hệ thống Quản lý Quyền riêng tư (PIMS) của Công ty TNHH Vina Aspire.
This Policy becomes effective upon approval by the Chief Executive Officer and forms an integral part of the Information Security Management System (ISMS) and Privacy Information Management System (PIMS) of Vina Aspire Company Limited.
Vina Aspire
