CHÍNH SÁCH BẢO VỆ DỮ LIỆU CÁ NHÂN Lời mở đầu CÔNG TY TNHH MỘT THÀNH VIÊN QUẢN LÝ NỢ VÀ KHAI THÁC TÀI SẢN NGÂN HÀNG THƯƠNG MẠI CỔ PHẦN AN BÌNH (sau đây gọi là “ABBANK AMC”, “chúng tôi”, “của chúng tôi” hoặc “Bên kiểm soát và xử lý dữ liệu”) là công ty con của Ngân hàng Thương mại Cổ phần An Bình (ABBANK) – một tổ chức tín dụng uy tín được Ngân hàng Nhà nước Việt Nam cấp phép hoạt động theo Giấy phép số 120/GP-NHNN ngày 12/12/2018. Với sứ mệnh cung cấp các giải pháp tài chính số hóa an toàn, minh bạch và tiện lợi, chúng tôi luôn đặt quyền riêng tư của khách hàng lên hàng đầu. Chúng tôi cam kết tuân thủ nghiêm ngặt các quy định pháp luật Việt Nam hiện hành về bảo vệ dữ liệu cá nhân, đặc biệt là Nghị định số 13/2023/NĐ-CP ngày 17/04/2023 của Chính phủ quy định về bảo vệ dữ liệu cá nhân (sau đây gọi tắt là “Nghị định 13”), Luật An toàn thông tin mạng 2015, Luật Giao dịch điện tử 2005 (sửa đổi, bổ sung năm 2023), Luật Các tổ chức tín dụng 2010 (sửa đổi, bổ sung), cùng các văn bản hướng dẫn liên quan của Ngân hàng Nhà nước Việt Nam và Bộ Thông tin và Truyền thông. Chính sách bảo vệ dữ liệu cá nhân này (sau đây gọi là “Chính sách”) nhằm cung cấp thông tin chi tiết, minh bạch về cách thức chúng tôi thu thập, sử dụng, lưu trữ, bảo mật, chia sẻ và xử lý dữ liệu cá nhân của Bạn khi Bạn sử dụng ứng dụng di động AB Tài Chính (sau đây gọi là “Ứng dụng”), website chính thức của ABBANK AMC, hoặc bất kỳ dịch vụ vay vốn trực tuyến nào khác do chúng tôi cung cấp. Bằng việc tải về Ứng dụng, đăng ký tài khoản, nộp đơn vay vốn, thực hiện giao dịch hoặc tiếp tục sử dụng các dịch vụ của chúng tôi, Bạn xác nhận đã đọc kỹ, hiểu rõ và hoàn toàn đồng ý bị ràng buộc bởi toàn bộ nội dung của Chính sách này. Nếu Bạn không đồng ý với bất kỳ điều khoản nào trong Chính sách, vui lòng ngừng ngay việc sử dụng Ứng dụng và các dịch vụ liên quan, đồng thời liên hệ với chúng tôi để xóa tài khoản và dữ liệu cá nhân (nếu có). 1. Các khái niệm và định nghĩa chính Để đảm bảo tính minh bạch và thống nhất trong việc hiểu và áp dụng Chính sách, chúng tôi sử dụng các khái niệm được định nghĩa theo đúng quy định tại Nghị định 13 và các văn bản pháp luật liên quan: Dữ liệu cá nhân: Là thông tin dưới dạng ký hiệu, chữ viết, số liệu, hình ảnh, âm thanh hoặc các dạng tương tự trên môi trường điện tử gắn liền với một cá nhân cụ thể hoặc giúp xác định một cá nhân cụ thể (Điều 2, khoản 1 Nghị định 13). Dữ liệu cá nhân cơ bản: Là dữ liệu cá nhân thông thường, bao gồm nhưng không giới hạn ở: họ và tên đầy đủ, ngày tháng năm sinh, giới tính, quốc tịch, số định danh cá nhân (CMND/CCCD/hộ chiếu, ngày cấp, nơi cấp), địa chỉ thường trú hoặc tạm trú, số điện thoại di động, địa chỉ email, nghề nghiệp, mức thu nhập hàng tháng, thông tin tài khoản ngân hàng (số tài khoản, tên ngân hàng), thông tin thiết bị kỹ thuật (địa chỉ IP, loại thiết bị, hệ điều hành, phiên bản Ứng dụng). Dữ liệu cá nhân nhạy cảm: Là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân mà khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền và lợi ích hợp pháp của chủ thể dữ liệu (Điều 2, khoản 2 Nghị định 13), bao gồm nhưng không giới hạn ở: dữ liệu sinh trắc học (hình ảnh khuôn mặt, vân tay), dữ liệu vị trí địa lý chính xác, thông tin về lịch sử tín dụng chi tiết, thông tin sức khỏe, nguồn gốc dân tộc, quan điểm chính trị hoặc tôn giáo (nếu được thu thập trong quá trình xác thực đặc biệt). Xử lý dữ liệu cá nhân: Là một hoặc nhiều hoạt động ảnh hưởng tới dữ liệu cá nhân, bao gồm thu thập, ghi, phân tích, xác nhận, lưu trữ, chỉnh sửa, công khai, kết hợp, truy cập, truy xuất, thu hồi, mã hóa, giải mã, sao chép, chia sẻ, truyền đưa, cung cấp, chuyển giao, xóa, hủy dữ liệu cá nhân hoặc thực hiện các hành động khác có liên quan (Điều 3 Nghị định 13). Bên kiểm soát dữ liệu cá nhân: Là tổ chức (ABBANK AMC) quyết định mục đích và phương thức xử lý dữ liệu cá nhân. Bên xử lý dữ liệu cá nhân: Là tổ chức hoặc cá nhân được Bên kiểm soát dữ liệu ủy quyền thực hiện xử lý dữ liệu cá nhân thay mặt Bên kiểm soát theo hợp đồng hoặc thỏa thuận bảo mật. Sự đồng ý của chủ thể dữ liệu: Là hành vi chấp thuận tự nguyện, cụ thể, rõ ràng, có đầy đủ thông tin và có thể được rút lại bất cứ lúc nào của Bạn đối với việc xử lý dữ liệu cá nhân liên quan đến mình. Sự đồng ý có thể được thể hiện thông qua hành vi tích chọn ô đồng ý trên Ứng dụng, ký điện tử hoặc bằng các hình thức khác phù hợp với quy định của Luật Giao dịch điện tử. 2. Phạm vi, nguồn và phương thức thu thập dữ liệu cá nhân 2.1. Phạm vi thu thập Chúng tôi chỉ thu thập dữ liệu cá nhân ở mức tối thiểu cần thiết để cung cấp dịch vụ vay vốn an toàn, hiệu quả và tuân thủ pháp luật. Chúng tôi không thu thập dữ liệu không liên quan hoặc vượt quá mục đích đã thông báo. 2.2. Các nguồn thu thập dữ liệu Dữ liệu cá nhân được thu thập từ các nguồn sau: a. Thông tin do Bạn trực tiếp cung cấp: Khi đăng ký tài khoản trên Ứng dụng (họ tên, số điện thoại, email). Khi nộp đơn vay vốn (số CCCD, ảnh chân dung, thông tin thu nhập, thông tin tài khoản ngân hàng nhận giải ngân). Khi cập nhật hồ sơ hoặc liên hệ bộ phận chăm sóc khách hàng. b. Thông tin tự động thu thập từ thiết bị và hoạt động sử dụng Ứng dụng: Địa chỉ IP, loại thiết bị, phiên bản hệ điều hành, thời gian truy cập, lịch sử thao tác (các trang đã xem, nút bấm). Dữ liệu vị trí địa lý (nếu Bạn bật tính năng định vị để hỗ trợ xác thực eKYC hoặc phát hiện gian lận). Dữ liệu cookie và công nghệ tương tự để cải thiện trải nghiệm người dùng. c. Thông tin từ bên thứ ba hợp pháp: Dữ liệu tín dụng từ Trung tâm Thông tin Tín dụng Quốc gia Việt Nam (CIC). Kết quả xác thực danh tính từ các nhà cung cấp dịch vụ eKYC được Ngân hàng Nhà nước cấp phép. Thông tin từ các tổ chức tài chính liên kết (nếu Bạn đồng ý liên kết tài khoản ngân hàng). d. Thông tin từ nguồn công khai hoặc cơ quan nhà nước: Theo yêu cầu pháp luật hoặc để tuân thủ nghĩa vụ báo cáo. 2.3. Các loại dữ liệu cụ thể Dữ liệu nhận dạng và liên lạc: Họ tên, ngày sinh, số CCCD/hộ chiếu, ảnh chân dung, số điện thoại, email, địa chỉ. Dữ liệu tài chính: Mức thu nhập, thông tin tài khoản ngân hàng, lịch sử giao dịch vay và trả nợ. Dữ liệu sinh trắc học: Hình ảnh khuôn mặt và vân tay (chỉ thu thập trong quá trình eKYC và được mã hóa ngay lập tức). Dữ liệu kỹ thuật và hành vi: Địa chỉ IP, ID thiết bị, thời gian đăng nhập, lịch sử truy cập Ứng dụng. Chúng tôi luôn thông báo rõ ràng và xin sự đồng ý riêng biệt trước khi thu thập dữ liệu sinh trắc học hoặc dữ liệu tín dụng chi tiết. 3.Các loại dữ liệu cụ thể và quyền truy cứp thiết bị mà chúng tôi có thể yêu cầu Để cung cấp dịch vụ vay vốn một cách an toàn, tiện lợi và phù hợp nhất, Ứng dụng AB Tài Chính có thể yêu cầu quyền truy cập vào một số tính năng và dữ liệu trên thiết bị di động của Bạn. Chúng tôi chỉ yêu cầu các quyền cần thiết và luôn tuân thủ nguyên tắc tối thiểu hóa dữ liệu theo Nghị định 13/2023/NĐ-CP. Mỗi quyền truy cập đều được yêu cầu riêng biệt tại thời điểm cần thiết (just-in-time), và Bạn có toàn quyền từ chối hoặc thu hồi quyền bất kỳ lúc nào qua cài đặt thiết bị mà không ảnh hưởng đến các chức năng cơ bản khác của Ứng dụng (trừ trường hợp quyền đó là bắt buộc để hoàn tất quy trình vay vốn theo quy định pháp luật). Dưới đây là danh sách chi tiết các quyền và dữ liệu mà chúng tôi có thể yêu cầu, cùng với mục đích sử dụng cụ thể: Quyền truy cập IDFA (Identifier for Advertisers - Định danh quảng cáo) Chúng tôi có thể thu thập định danh quảng cáo của thiết bị (IDFA trên iOS hoặc tương đương trên Android) để phân tích hiệu quả quảng cáo và tối ưu hóa các kênh tiếp thị. Điều này giúp chúng tôi hiểu rõ hơn về hành trình khách hàng và cung cấp các gợi ý sản phẩm tài chính phù hợp hơn với nhu cầu của Bạn. Dữ liệu IDFA được xử lý dưới dạng ẩn danh và không liên kết trực tiếp với thông tin nhận dạng cá nhân khác trừ khi có sự đồng ý riêng của Bạn. Quyền truy cập vị trí (Location) Chúng tôi có thể yêu cầu truy cập vị trí gần đúng (approximate location) của thiết bị để: Xác minh khu vực đăng ký vay vốn phù hợp với quy định pháp luật và chính sách nội bộ. Tăng cường bảo mật tài khoản và phòng chống gian lận (ví dụ: phát hiện đăng nhập từ khu vực bất thường). Chúng tôi không thu thập vị trí chính xác (precise location) và không theo dõi liên tục hành trình di chuyển của Bạn. Dữ liệu vị trí chỉ được xử lý tại thời điểm cần thiết và được xóa ngay sau khi hoàn thành mục đích. Quyền truy cập máy ảnh (Camera) Quyền này chỉ được sử dụng khi Bạn thực hiện quy trình xác thực danh tính (eKYC), chụp ảnh CMND/CCCD hoặc tự chụp chân dung để đối chiếu sinh trắc học. Máy ảnh không được kích hoạt ngầm và chỉ hoạt động khi Bạn chủ động nhấn nút chụp trong Ứng dụng. Hình ảnh thu được sẽ được mã hóa và chỉ lưu trữ trong thời gian cần thiết để hoàn tất xác thực. Quyền truy cập thư viện ảnh (Photo Library / Album) Chúng tôi yêu cầu quyền này để Bạn có thể chọn và tải lên các tài liệu cần thiết cho hồ sơ vay vốn (ví dụ: ảnh CMND/CCCD, sao kê lương, giấy tờ chứng minh thu nhập). Ứng dụng chỉ truy cập vào những hình ảnh mà Bạn chủ động chọn, không quét hoặc lưu trữ toàn bộ thư viện ảnh. Sau khi tải lên thành công, dữ liệu gốc trên thiết bị của Bạn không bị thay đổi hoặc xóa. Quyền truy cập micro (Microphone) Quyền này được sử dụng trong các trường hợp: Hỗ trợ khách hàng qua cuộc gọi thoại hoặc ghi âm cuộc gọi (với thông báo và sự đồng ý trước của Bạn). Dữ liệu âm thanh chỉ được ghi lại khi Bạn chủ động kích hoạt và được xử lý/xóa ngay sau khi hoàn thành mục đích. Chúng tôi không ghi âm ngầm hoặc sử dụng cho mục đích khác. Quyền truy cập lịch (Calendar) Chúng tôi có thể yêu cầu quyền thêm sự kiện vào lịch của Bạn để tự động tạo nhắc nhở ngày trả nợ, ngày đến hạn khoản vay hoặc các mốc thanh toán quan trọng. Điều này giúp Bạn tránh tình trạng quên trả nợ và bị phạt chậm trả. Các sự kiện chỉ được thêm khi Bạn đồng ý và dữ liệu lịch không được đọc hoặc tải lên máy chủ của chúng tôi. Tất cả nhắc nhở đều được xử lý cục bộ trên thiết bị của Bạn. 4. Mục đích xử lý dữ liệu cá nhân Dữ liệu cá nhân chỉ được xử lý cho các mục đích cụ thể, hợp pháp, minh bạch và đã được thông báo cho Bạn: Xác minh danh tính và phòng chống gian lận: Thực hiện quy trình eKYC, đối chiếu dữ liệu với cơ sở dữ liệu nhà nước và CIC. Đánh giá và phê duyệt khoản vay: Phân tích khả năng tín dụng, thu nhập, lịch sử tài chính để quyết định hạn mức và lãi suất. Thực hiện hợp đồng vay vốn: Giải ngân, nhắc nợ, tính lãi, quản lý lịch trả nợ, thu hồi nợ (nếu cần). Cung cấp dịch vụ khách hàng: Gửi thông báo về trạng thái khoản vay, cập nhật lãi suất, hỗ trợ kỹ thuật. Tuân thủ pháp luật: Báo cáo cho Ngân hàng Nhà nước, CIC, cơ quan thuế, cơ quan phòng chống rửa tiền. Cải thiện sản phẩm và dịch vụ: Phân tích dữ liệu ẩn danh để nâng cao trải nghiệm người dùng, phát triển tính năng mới. Tiếp thị và quảng cáo: Chỉ gửi thông tin khuyến mãi, sản phẩm mới khi Bạn đồng ý riêng (opt-in). Nếu mục đích xử lý thay đổi, chúng tôi sẽ thông báo và xin lại sự đồng ý của Bạn trước ít nhất 30 ngày. 5. Chia sẻ và tiết lộ dữ liệu cá nhân Chúng tôi cam kết không bán, cho thuê hoặc trao đổi dữ liệu cá nhân cho mục đích thương mại. Dữ liệu chỉ được chia sẻ trong các trường hợp: Với công ty mẹ ABBANK và các công ty thành viên để hỗ trợ vận hành dịch vụ. Với đối tác xử lý dữ liệu (nhà cung cấp đám mây, dịch vụ eKYC, đơn vị thu hồi nợ) – tất cả đều ký thỏa thuận bảo mật và chỉ sử dụng dữ liệu cho mục đích đã thỏa thuận. Với cơ quan nhà nước có thẩm quyền khi có yêu cầu hợp pháp bằng văn bản. Trong trường hợp chuyển nhượng khoản vay hoặc tái cấu trúc doanh nghiệp – chúng tôi sẽ thông báo trước và đảm bảo bên nhận tiếp tục bảo vệ dữ liệu theo Chính sách này. Mọi hoạt động chia sẻ đều được ghi nhật ký kiểm toán. 6. Biện pháp bảo mật và an toàn dữ liệu Chúng tôi áp dụng hệ thống bảo mật đa tầng: Mã hóa truyền tải: SSL/TLS 256-bit. Mã hóa lưu trữ: AES-256. Kiểm soát truy cập: Xác thực đa yếu tố, phân quyền theo vai trò. Giám sát liên tục: Hệ thống phát hiện xâm nhập (IDS/IPS), tường lửa thế hệ mới. Sao lưu và khôi phục: Dữ liệu được sao lưu định kỳ tại các trung tâm dữ liệu đạt chuẩn Tier 3 tại Việt Nam. Kiểm toán độc lập: Hàng năm theo tiêu chuẩn ISO/IEC 27001 và quy định của Ngân hàng Nhà nước. Trong trường hợp xảy ra sự cố vi phạm: Thông báo cho Bạn trong vòng 72 giờ. Thông báo cơ quan chức năng theo quy định. Khắc phục và bồi thường thiệt hại nếu có lỗi từ phía chúng tôi. 7. Thời gian lưu trữ dữ liệu cá nhân Dữ liệu hợp đồng vay vốn: Tối đa 5 năm sau tất toán. Dữ liệu tín dụng báo cáo CIC: Theo quy định Ngân hàng Nhà nước (thường 5-7 năm). Dữ liệu nhật ký hệ thống: Tối đa 12 tháng. Dữ liệu tiếp thị: Xóa ngay khi Bạn rút đồng ý. Sau thời hạn, dữ liệu được xóa hoặc ẩn danh vĩnh viễn. 8. Quyền của chủ thể dữ liệu Bạn có đầy đủ quyền theo Nghị định 13: Quyền được biết và đồng ý. Quyền truy cập, sao chép dữ liệu. Quyền chỉnh sửa, bổ sung dữ liệu. Quyền xóa dữ liệu. Quyền hạn chế xử lý. Quyền chuyển giao dữ liệu. Quyền rút lại sự đồng ý. Quyền khiếu nại và yêu cầu bồi thường thiệt hại. Yêu cầu thực hiện quyền gửi qua email admin@abbankassetmanagecompany.com, chúng tôi phản hồi trong 30 ngày, miễn phí. 9. Cập nhật Chính sách Mọi thay đổi sẽ được thông báo trước 15 ngày qua Ứng dụng và email. Tiếp tục sử dụng dịch vụ sau ngày hiệu lực mới nghĩa là Bạn chấp nhận Chính sách cập nhật. 10. Thông tin liên hệ CÔNG TY TNHH MỘT THÀNH VIÊN QUẢN LÝ NỢ VÀ KHAI THÁC TÀI SẢN NGÂN HÀNG THƯƠNG MẠI CỔ PHẦN AN BÌNH(ABBANK AMC CO., LTD) Địa chỉ: Tầng 2, Tòa nhà Geleximco, 36 Hoàng Cầu, Ô Chợ Dừa, Đống Đa, Hà Nội Email bảo vệ dữ liệu: admin@abbankassetmanagecompany.com Chúng tôi luôn sẵn sàng hỗ trợ Bạn.