Chính Sách Bảo Vệ Dữ Liệu Cá Nhân — LexData Consulting

I. MỤC ĐÍCH VÀ PHẠM VI CỦA CHÍNH SÁCH

Công ty TNHH LEXDATA CONSULTING (“LEXDATA”, “Công ty”, “chúng tôi”) tôn trọng quyền của cá nhân đối với dữ liệu cá nhân và thực hiện các biện pháp phù hợp để bảo vệ dữ liệu cá nhân trong quá trình hoạt động.

Chính sách Bảo vệ Dữ liệu Cá nhân này (“Chính sách”) mô tả cách LEXDATA thu thập, xử lý, sử dụng, lưu trữ, bảo vệ, cung cấp, chuyển giao và thực hiện các hoạt động khác liên quan đến dữ liệu cá nhân của các cá nhân có tương tác với LEXDATA.

Chính sách này áp dụng đối với dữ liệu cá nhân của:

• khách hàng và khách hàng tiềm năng;
• người đại diện, người liên hệ, nhân sự của khách hàng, đối tác hoặc nhà cung cấp;
• cá nhân liên hệ với LEXDATA để yêu cầu tư vấn, báo giá, đặt lịch hoặc sử dụng dịch vụ;
• người truy cập website, nền tảng trực tuyến hoặc các kênh liên hệ của LEXDATA;
• cá nhân có dữ liệu được khách hàng hoặc đối tác cung cấp cho LEXDATA trong phạm vi hoạt động tư vấn, với vai trò xử lý dữ liệu được xác định theo hợp đồng/thỏa thuận; và
• các cá nhân khác có dữ liệu cá nhân được LEXDATA xử lý hợp pháp trong quá trình hoạt động.

Đối với dữ liệu cá nhân phát sinh trong quá trình cung cấp dịch vụ cho khách hàng, hợp đồng, thỏa thuận xử lý dữ liệu cá nhân (DPA), thỏa thuận chuyển giao dữ liệu cá nhân, phụ lục hoặc thỏa thuận khác giữa các bên có thể quy định chi tiết hơn. Trong trường hợp có khác biệt, các văn bản đó được áp dụng trong phạm vi giao dịch cụ thể và phù hợp pháp luật.

II. CĂN CỨ PHÁP LÝ

LEXDATA xây dựng và thực hiện Chính sách này trên cơ sở pháp luật Việt Nam hiện hành về bảo vệ dữ liệu cá nhân, bao gồm:

1. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/06/2025;
2. Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân;
3. các quy định pháp luật có liên quan về dữ liệu, an ninh mạng, an toàn thông tin mạng, giao dịch điện tử, quảng cáo, thuế, kế toán và pháp luật chuyên ngành có liên quan; và
4. các hợp đồng, thỏa thuận và cam kết hợp pháp giữa LEXDATA với khách hàng, đối tác hoặc chủ thể dữ liệu.

Khi pháp luật được sửa đổi, bổ sung hoặc thay thế, LEXDATA có thể cập nhật Chính sách để phản ánh yêu cầu pháp lý và hoạt động xử lý dữ liệu thực tế.

III. GIẢI THÍCH THUẬT NGỮ

Trong Chính sách này, các thuật ngữ “dữ liệu cá nhân”, “dữ liệu cá nhân cơ bản”, “dữ liệu cá nhân nhạy cảm”, “chủ thể dữ liệu cá nhân”, “xử lý dữ liệu cá nhân”, “Bên Kiểm soát dữ liệu cá nhân”, “Bên Xử lý dữ liệu cá nhân”, “Bên Kiểm soát và xử lý dữ liệu cá nhân”, “bên thứ ba” và các thuật ngữ liên quan được hiểu theo Luật Bảo vệ dữ liệu cá nhân và văn bản hướng dẫn thi hành.

“Sự đồng ý” là việc chủ thể dữ liệu cho phép xử lý dữ liệu cá nhân của mình theo quy định pháp luật, trừ trường hợp pháp luật cho phép xử lý không cần sự đồng ý.

IV. NGUYÊN TẮC BẢO VỆ VÀ XỬ LÝ DỮ LIỆU CÁ NHÂN

LEXDATA áp dụng các nguyên tắc sau trong phạm vi phù hợp với từng hoạt động xử lý:

1. Hợp pháp và minh bạch: xử lý dữ liệu theo quy định pháp luật, thỏa thuận và thông tin đã cung cấp cho chủ thể dữ liệu;
2. Đúng mục đích: dữ liệu được xử lý cho mục đích cụ thể, rõ ràng và phù hợp;
3. Tối thiểu hóa: chỉ thu thập và xử lý dữ liệu cần thiết cho mục đích đã xác định;
4. Chính xác: áp dụng biện pháp hợp lý để dữ liệu được duy trì chính xác và cập nhật khi cần;
5. Giới hạn lưu trữ: không lưu dữ liệu lâu hơn mức cần thiết, trừ trường hợp pháp luật, hợp đồng hoặc việc bảo vệ quyền, lợi ích hợp pháp yêu cầu khác;
6. Bảo mật và an toàn: áp dụng biện pháp quản trị, tổ chức và kỹ thuật phù hợp với rủi ro;
7. Trách nhiệm giải trình: duy trì hồ sơ, bằng chứng và cơ chế kiểm soát cần thiết để chứng minh việc tuân thủ theo quy định pháp luật.

V. CÁC LOẠI DỮ LIỆU CÁ NHÂN ĐƯỢC XỬ LÝ

1. Dữ liệu cá nhân cơ bản

Tùy từng quan hệ và mục đích xử lý, dữ liệu có thể bao gồm họ và tên; ngày, tháng, năm sinh; giới tính; quốc tịch; địa chỉ liên hệ; số điện thoại; địa chỉ thư điện tử; thông tin tài khoản trực tuyến; thông tin nghề nghiệp, chức danh, chức vụ; thông tin về tổ chức/doanh nghiệp mà cá nhân làm việc hoặc đại diện; hình ảnh; nội dung trao đổi và các thông tin khác mà cá nhân chủ động cung cấp.

2. Dữ liệu cá nhân nhạy cảm

Trong hoạt động tư vấn hoặc khi chủ thể dữ liệu chủ động cung cấp thông tin, LEXDATA có thể phát sinh việc xử lý dữ liệu cá nhân nhạy cảm theo danh mục pháp luật, ví dụ dữ liệu về sức khỏe, tài chính, vị trí, sinh trắc học, đời sống riêng tư hoặc dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ trên không gian mạng.

LEXDATA chỉ xử lý dữ liệu cá nhân nhạy cảm khi cần thiết, có căn cứ phù hợp và áp dụng biện pháp bảo vệ tăng cường. Khi LEXDATA xin sự đồng ý để xử lý dữ liệu cá nhân nhạy cảm, chủ thể dữ liệu sẽ được thông báo rõ rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm.

3. Dữ liệu kỹ thuật và dữ liệu phát sinh khi sử dụng website

Có thể bao gồm thông tin thiết bị; loại trình duyệt; hệ điều hành; thời gian truy cập; trang/nội dung được truy cập; sự kiện tương tác; cookie hoặc mã nhận dạng tương tự; dữ liệu nhật ký và dữ liệu kỹ thuật cần thiết để bảo mật, vận hành và phân tích website. Một số dữ liệu theo dõi hành vi sử dụng dịch vụ trực tuyến có thể được pháp luật phân loại là dữ liệu cá nhân nhạy cảm.

4. Dữ liệu từ biểu mẫu tư vấn trên website

Tại biểu mẫu “Gửi yêu cầu tư vấn”, LEXDATA dự kiến thu thập: họ và tên, doanh nghiệp và email công việc là trường bắt buộc; số điện thoại và nội dung nhu cầu là trường tùy chọn. Chủ thể dữ liệu được khuyến nghị không cung cấp dữ liệu cá nhân nhạy cảm trong ô nội dung tự do, trừ khi thực sự cần thiết cho yêu cầu tư vấn.

VI. MỤC ĐÍCH XỬ LÝ DỮ LIỆU CÁ NHÂN

LEXDATA có thể xử lý dữ liệu cá nhân cho một hoặc nhiều mục đích sau, tùy từng quan hệ cụ thể:

1. Tiếp nhận, xác minh và phản hồi yêu cầu liên hệ, tư vấn, đặt lịch hoặc báo giá;
2. Đánh giá nhu cầu và xây dựng đề xuất/phương án dịch vụ;
3. Giao kết, thực hiện, quản lý và duy trì hợp đồng hoặc thỏa thuận;
4. Cung cấp dịch vụ tư vấn, DPO, đánh giá tuân thủ, xây dựng hồ sơ hoặc các dịch vụ chuyên môn khác;
5. Quản lý khách hàng, đối tác, nhà cung cấp và hoạt động vận hành;
6. Trao đổi, hỗ trợ, chăm sóc và giải quyết yêu cầu trong quá trình cung cấp dịch vụ;
7. Thực hiện nghĩa vụ kế toán, thuế, lưu trữ hồ sơ, giải quyết khiếu nại/tranh chấp và các nghĩa vụ pháp lý khác;
8. Bảo đảm an ninh, an toàn, phòng chống gian lận, spam, truy cập trái phép và bảo vệ hệ thống;
9. Phân tích hiệu suất và cách thức sử dụng website sau khi có sự đồng ý phù hợp;
10. Gửi nội dung chuyên môn, thông tin sản phẩm/dịch vụ hoặc marketing khi có sự đồng ý riêng hoặc căn cứ pháp luật phù hợp; và
11. Mục đích khác được thông báo cụ thể cho chủ thể dữ liệu và, nếu pháp luật yêu cầu sự đồng ý, chỉ được thực hiện sau khi có sự đồng ý hợp lệ đối với mục đích đó.

VII. CĂN CỨ XỬ LÝ VÀ SỰ ĐỒNG Ý

Việc thu thập dữ liệu cá nhân được thực hiện sau khi có sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật cho phép xử lý không cần sự đồng ý. Khi pháp luật cho phép xử lý không cần sự đồng ý, LEXDATA chỉ xử lý trong phạm vi, mục đích và điều kiện của trường hợp áp dụng, đồng thời duy trì cơ chế giám sát và biện pháp bảo vệ phù hợp.

Đối với các hoạt động dựa trên sự đồng ý, LEXDATA áp dụng các nguyên tắc sau:

• sự đồng ý phải tự nguyện và chủ thể dữ liệu được biết rõ loại dữ liệu được xử lý, mục đích xử lý, vai trò của LEXDATA và quyền, nghĩa vụ của mình;
• sự đồng ý được thể hiện rõ ràng, cụ thể, dưới hình thức có thể in, sao chép hoặc kiểm chứng được;
• sự đồng ý được tách theo từng mục đích phù hợp; không buộc chủ thể dữ liệu phải đồng ý với mục đích không cần thiết cho giao dịch hoặc yêu cầu mà họ lựa chọn;
• sự im lặng, không phản hồi hoặc thiết lập mặc định không được coi là sự đồng ý;
• checkbox hoặc lựa chọn đồng ý trên website không được tích/chọn sẵn;
• đối với dữ liệu cá nhân nhạy cảm, thông báo xin sự đồng ý phải nêu rõ tính chất nhạy cảm của dữ liệu; và
• sự đồng ý có hiệu lực cho đến khi được thay đổi, rút lại hoặc chấm dứt theo quy định pháp luật.

LEXDATA lưu trữ bằng chứng về sự đồng ý theo quy định pháp luật, bao gồm thông tin cần thiết để kiểm chứng chủ thể dữ liệu đã đồng ý, thời điểm đồng ý, nội dung/phạm vi đồng ý và phiên bản thông báo/chính sách có liên quan. Trường hợp phát sinh tranh chấp, LEXDATA thực hiện trách nhiệm chứng minh sự đồng ý trong phạm vi pháp luật quy định.

VIII. VAI TRÒ CỦA LEXDATA TRONG XỬ LÝ DỮ LIỆU

1. Khi LEXDATA quyết định mục đích và phương tiện xử lý

Đối với dữ liệu được LEXDATA thu thập và xử lý cho mục đích hoạt động của chính Công ty, LEXDATA là Bên Kiểm soát dữ liệu cá nhân hoặc Bên Kiểm soát và xử lý dữ liệu cá nhân, tùy cách thức xử lý thực tế.

Thông tin của LEXDATA:

• Tên doanh nghiệp: CÔNG TY TNHH LEXDATA CONSULTING
• Địa chỉ trụ sở: Tầng 14, Tòa Nhà HM Town, 412 Nguyễn Thị Minh Khai, Phường Bàn Cờ, Thành phố Hồ Chí Minh
• Website: https://lexdata.vn
• Email: contact@lexdata.vn
• Điện thoại: 0348.573.267

2. Khi LEXDATA xử lý dữ liệu theo chỉ dẫn của khách hàng

Trong một số dịch vụ, khách hàng quyết định mục đích và phương tiện xử lý còn LEXDATA xử lý dữ liệu theo chỉ dẫn hợp pháp và hợp đồng/thỏa thuận với khách hàng. Khi đó, vai trò và trách nhiệm của các bên được xác định theo pháp luật và thỏa thuận áp dụng. Khách hàng có trách nhiệm bảo đảm việc cung cấp/chuyển giao dữ liệu cho LEXDATA có căn cứ phù hợp và thực hiện các nghĩa vụ thông báo, xin đồng ý hoặc nghĩa vụ khác thuộc trách nhiệm của mình.

IX. NGUỒN DỮ LIỆU CÁ NHÂN

LEXDATA có thể nhận dữ liệu cá nhân từ:

1. trực tiếp từ chủ thể dữ liệu qua biểu mẫu, email, điện thoại, cuộc họp hoặc kênh giao tiếp khác;
2. hợp đồng, hồ sơ và tài liệu do khách hàng, đối tác hoặc nhà cung cấp cung cấp;
3. website, hệ thống CNTT, cookie/công nghệ tương tự và nền tảng trực tuyến;
4. nguồn thông tin công khai hợp pháp; hoặc
5. nguồn khác được pháp luật cho phép.

Việc dữ liệu đã được công khai không đương nhiên được hiểu là chủ thể dữ liệu đồng ý cho mọi mục đích xử lý. LEXDATA chỉ sử dụng dữ liệu từ nguồn công khai trong phạm vi có căn cứ xử lý phù hợp và phù hợp với mục đích đã xác định.

X. VIỆC CUNG CẤP DỮ LIỆU VÀ TÍNH BẮT BUỘC/TÙY CHỌN

Một số dữ liệu cần thiết để LEXDATA tiếp nhận yêu cầu, xác minh người liên hệ hoặc cung cấp dịch vụ. Nếu chủ thể dữ liệu không cung cấp dữ liệu cần thiết, LEXDATA có thể không thể phản hồi hoặc thực hiện toàn bộ yêu cầu tương ứng.

Đối với biểu mẫu tư vấn trên website, họ và tên, doanh nghiệp và email công việc được yêu cầu để xác định và phản hồi yêu cầu. Số điện thoại và nội dung nhu cầu là tùy chọn. Việc không cung cấp số điện thoại không làm mất khả năng gửi yêu cầu tư vấn qua email.

XI. CHIA SẺ, CUNG CẤP VÀ CHUYỂN GIAO DỮ LIỆU CÁ NHÂN

LEXDATA không mua bán dữ liệu cá nhân.

Trong phạm vi cần thiết và phù hợp với mục đích xử lý, dữ liệu có thể được chia sẻ, cung cấp hoặc chuyển giao cho:

• nhân sự, cộng tác viên hoặc người được LEXDATA ủy quyền theo nguyên tắc cần biết/cần sử dụng;
• nhà cung cấp CNTT, email, biểu mẫu, lưu trữ, bảo mật, phân tích hoặc hỗ trợ vận hành;
• đơn vị chuyên môn hỗ trợ việc cung cấp dịch vụ;
• khách hàng, đối tác hoặc bên thứ ba khi việc chia sẻ/chuyển giao là cần thiết cho mục đích đã xác lập và được pháp luật cho phép;
• cơ quan nhà nước có thẩm quyền hoặc các chủ thể khác trong trường hợp pháp luật yêu cầu/cho phép.

Khi pháp luật yêu cầu, LEXDATA thiết lập thỏa thuận chuyển giao/xử lý dữ liệu với bên nhận, trong đó quy định mục đích, loại dữ liệu, thời hạn xử lý, yêu cầu xóa/hủy, trách nhiệm bảo vệ dữ liệu, thực hiện quyền của chủ thể dữ liệu và cơ chế phối hợp khi có vi phạm.

XII. NHÀ CUNG CẤP CÔNG NGHỆ TRÊN WEBSITE

Tại thời điểm ban hành Chính sách này, website có thể sử dụng các nhà cung cấp sau:

LEXDATA có thể thay đổi nhà cung cấp khi cần cho hoạt động vận hành hoặc bảo mật. Khi thay đổi làm ảnh hưởng đáng kể đến cách thức xử lý dữ liệu, LEXDATA sẽ cập nhật Chính sách hoặc thực hiện thông báo phù hợp.

XIII. CHUYỂN DỮ LIỆU CÁ NHÂN XUYÊN BIÊN GIỚI

Việc sử dụng nhà cung cấp có máy chủ, hạ tầng hoặc hoạt động xử lý ở ngoài Việt Nam có thể cấu thành chuyển dữ liệu cá nhân xuyên biên giới theo pháp luật. Ví dụ, tài liệu công khai của Web3Forms cho biết máy chủ của họ được đặt tại khu vực US-East, Hoa Kỳ; hạ tầng của Google cũng có thể xử lý dữ liệu ngoài Việt Nam.

Trong trường hợp hoạt động thuộc phạm vi chuyển dữ liệu cá nhân xuyên biên giới, LEXDATA có trách nhiệm thực hiện các biện pháp bảo vệ, hồ sơ đánh giá tác động, cập nhật và nghĩa vụ liên quan theo pháp luật, trừ trường hợp được miễn.

XIV. LƯU TRỮ, XÓA VÀ HỦY DỮ LIỆU

LEXDATA lưu trữ dữ liệu trong thời gian cần thiết để thực hiện mục đích xử lý, quan hệ hợp đồng, nghĩa vụ pháp lý, giải quyết khiếu nại/tranh chấp và thực hiện quyền của chủ thể dữ liệu.

Theo nguyên tắc chung:

• dữ liệu và thư trao đổi từ yêu cầu tư vấn/khách hàng tiềm năng có thể được LEXDATA lưu tối đa 24 tháng kể từ lần tương tác gần nhất, trừ khi người dùng yêu cầu xóa sớm, phát sinh quan hệ hợp đồng, tranh chấp hoặc nghĩa vụ pháp lý cần lưu lâu hơn;
• dữ liệu thuộc hồ sơ hợp đồng, kế toán, thuế và chứng từ khác được lưu theo thời hạn pháp luật hoặc thỏa thuận áp dụng;
• bằng chứng về sự đồng ý được lưu trong thời gian cần thiết để chứng minh việc đồng ý và giải quyết yêu cầu/tranh chấp liên quan;
• dữ liệu Google Analytics ở cấp người dùng/sự kiện được lưu theo cấu hình Analytics do LEXDATA lựa chọn, tối đa 14 tháng đối với tài sản GA4 tiêu chuẩn nếu LEXDATA chọn mức tối đa đó.

Khi mục đích xử lý đã hoàn thành, hết thời hạn lưu hoặc thuộc trường hợp phải xóa/hủy theo pháp luật, LEXDATA thực hiện xóa, hủy hoặc khử nhận dạng bằng biện pháp phù hợp, trừ trường hợp pháp luật hoặc quyền, lợi ích hợp pháp cho phép/đòi hỏi tiếp tục lưu giữ.

XV. BIỆN PHÁP BẢO VỆ DỮ LIỆU CÁ NHÂN

LEXDATA áp dụng các biện pháp quản trị, tổ chức và kỹ thuật phù hợp với loại dữ liệu, mức độ nhạy cảm và rủi ro, có thể bao gồm:

1. phân quyền truy cập theo nguyên tắc cần biết và cần sử dụng;
2. xác thực và bảo vệ tài khoản; quản lý quyền truy cập hệ thống;
3. biện pháp bảo vệ hệ thống, truyền tải và lưu trữ dữ liệu;
4. sao lưu, khôi phục và quản lý tính liên tục hoạt động;
5. kiểm soát việc chia sẻ, cung cấp và chuyển giao dữ liệu;
6. cam kết bảo mật và đào tạo nhân sự có quyền tiếp cận dữ liệu;
7. theo dõi, đánh giá, kiểm tra và cải thiện biện pháp bảo vệ;
8. quy trình tiếp nhận, đánh giá và xử lý vi phạm/sự cố dữ liệu;
9. đối với dữ liệu cá nhân nhạy cảm, thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật tăng cường.

XVI. QUYỀN CỦA CHỦ THỂ DỮ LIỆU CÁ NHÂN

Theo pháp luật hiện hành, chủ thể dữ liệu có các quyền, bao gồm:

1. được biết về hoạt động xử lý dữ liệu cá nhân;
2. đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân;
3. xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân;
4. yêu cầu cung cấp, xóa hoặc hạn chế xử lý dữ liệu cá nhân;
5. gửi yêu cầu phản đối xử lý dữ liệu cá nhân;
6. khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định pháp luật;
7. yêu cầu cơ quan có thẩm quyền hoặc cơ quan, tổ chức, cá nhân liên quan đến xử lý dữ liệu thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của mình;
8. các quyền khác theo quy định pháp luật.

Việc thực hiện quyền phải tuân thủ điều kiện, giới hạn và trường hợp ngoại lệ theo pháp luật, đồng thời không được xâm phạm quyền, lợi ích hợp pháp của Nhà nước, cơ quan, tổ chức hoặc cá nhân khác.

XVII. NGHĨA VỤ CỦA CHỦ THỂ DỮ LIỆU

Chủ thể dữ liệu có nghĩa vụ:

1. tự bảo vệ dữ liệu cá nhân của mình;
2. tôn trọng và bảo vệ dữ liệu cá nhân của người khác;
3. cung cấp đầy đủ, chính xác dữ liệu cá nhân theo quy định pháp luật, hợp đồng hoặc khi đồng ý cho phép xử lý;
4. chấp hành pháp luật về bảo vệ dữ liệu cá nhân và tham gia phòng, chống hoạt động xâm phạm dữ liệu cá nhân; và
5. không cung cấp cho LEXDATA dữ liệu cá nhân của người khác nếu không có căn cứ hoặc thẩm quyền phù hợp.

XVIII. CƠ CHẾ VÀ THỜI HẠN THỰC HIỆN QUYỀN

Chủ thể dữ liệu có thể gửi yêu cầu thực hiện quyền đến LEXDATA thông qua:

• Email: contact@lexdata.vn
• Địa chỉ: Tầng 14, Tòa Nhà HM Town, 412 Nguyễn Thị Minh Khai, Phường Bàn Cờ, Thành phố Hồ Chí Minh
• Điện thoại: 0348.573.267

Yêu cầu nên nêu họ tên, thông tin liên hệ, quyền cần thực hiện, phạm vi dữ liệu liên quan và thông tin/tài liệu cần thiết để LEXDATA xác minh danh tính một cách hợp lý. LEXDATA không yêu cầu dữ liệu xác minh vượt quá mức cần thiết cho việc bảo vệ dữ liệu khỏi yêu cầu trái phép.

Theo Nghị định 356/2025/NĐ-CP, thời hạn xử lý phụ thuộc loại yêu cầu. Tóm tắt như sau:

Các thời hạn trên được áp dụng trong phạm vi điều kiện của pháp luật và có thể không áp dụng đối với trường hợp xử lý không cần sự đồng ý hoặc trường hợp ngoại lệ khác. Nếu gia hạn, LEXDATA sẽ thông báo lý do theo quy định.

XIX. RÚT LẠI SỰ ĐỒNG Ý

Khi hoạt động xử lý dựa trên sự đồng ý, chủ thể dữ liệu có thể gửi yêu cầu rút lại sự đồng ý dưới hình thức văn bản, bao gồm dạng điện tử hoặc định dạng kiểm chứng được. Việc rút lại không ảnh hưởng đến hoạt động xử lý đã được thực hiện hợp pháp trước thời điểm yêu cầu rút lại.

Sau khi tiếp nhận yêu cầu hợp lệ, LEXDATA thực hiện hoặc yêu cầu bên xử lý/bên thứ ba thực hiện việc ngừng xử lý trong phạm vi pháp luật quy định. Việc rút lại có thể làm LEXDATA không thể tiếp tục cung cấp một số chức năng hoặc dịch vụ nếu dữ liệu đó cần thiết cho mục đích tương ứng.

XX. COOKIE, GOOGLE ANALYTICS VÀ DỮ LIỆU THEO DÕI TRỰC TUYẾN

Website có thể sử dụng cookie hoặc công nghệ tương tự cho mục đích thiết yếu, ghi nhớ lựa chọn và phân tích. Cookie/hoạt động phân tích không thiết yếu chỉ được kích hoạt sau khi người dùng thực hiện lựa chọn đồng ý phù hợp, nếu pháp luật yêu cầu.

Google Analytics chỉ được tải sau khi người dùng chọn “Đồng ý phân tích”. Người dùng có thể từ chối hoặc rút lại lựa chọn thông qua “Thiết lập cookie”; việc từ chối không làm giảm chức năng thiết yếu của website.

Do dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ trực tuyến có thể thuộc dữ liệu cá nhân nhạy cảm theo pháp luật Việt Nam, thông báo xin sự đồng ý đối với cookie phân tích phải cho biết rõ tính chất này. LEXDATA không sử dụng sự im lặng hoặc lựa chọn mặc định làm sự đồng ý đối với cookie phân tích.

XXI. MARKETING VÀ NỘI DUNG CHUYÊN MÔN

Sự đồng ý tại biểu mẫu “Gửi yêu cầu tư vấn” chỉ dành cho việc tiếp nhận và phản hồi yêu cầu đó, không mặc nhiên là sự đồng ý nhận marketing.

LEXDATA chỉ gửi nội dung marketing hoặc thông tin giới thiệu sản phẩm/dịch vụ khi có sự đồng ý riêng hoặc căn cứ pháp luật phù hợp. Khi áp dụng sự đồng ý, người nhận có thể rút lại hoặc từ chối nhận theo cơ chế được cung cấp trong thông điệp hoặc bằng cách liên hệ LEXDATA.

XXII. DỮ LIỆU CỦA TRẺ EM VÀ NGƯỜI CẦN ĐẠI DIỆN

Website và dịch vụ tư vấn của LEXDATA chủ yếu hướng đến tổ chức và người trưởng thành. LEXDATA không chủ động thu thập dữ liệu cá nhân của trẻ em nếu không cần thiết.

Nếu phát sinh xử lý dữ liệu của trẻ em, người mất hoặc hạn chế năng lực hành vi dân sự hoặc người có khó khăn trong nhận thức, làm chủ hành vi, LEXDATA tuân thủ cơ chế đại diện, sự đồng ý và các yêu cầu bảo vệ đặc thù theo pháp luật. Việc công bố hoặc tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ em từ đủ 07 tuổi trở lên được thực hiện theo điều kiện đồng ý của pháp luật.

XXIII. VI PHẠM VÀ SỰ CỐ DỮ LIỆU CÁ NHÂN

LEXDATA duy trì cơ chế để phát hiện, đánh giá, kiểm soát, khắc phục và ghi nhận vi phạm/sự cố liên quan đến dữ liệu cá nhân. Khi thuộc trường hợp phải thông báo hoặc báo cáo, LEXDATA thực hiện nghĩa vụ đối với cơ quan chuyên trách và/hoặc chủ thể dữ liệu theo thời hạn và nội dung pháp luật quy định.

Bên xử lý dữ liệu hoặc nhà cung cấp có nghĩa vụ phối hợp, thông báo và thực hiện biện pháp khắc phục theo hợp đồng/thỏa thuận và pháp luật áp dụng.

XXIV. XỬ LÝ DỮ LIỆU TRONG HOẠT ĐỘNG TƯ VẤN CỦA LEXDATA

Trong quá trình tư vấn, đánh giá tuân thủ, DPO thuê ngoài, lập hồ sơ đánh giá tác động hoặc dịch vụ chuyên môn khác, khách hàng có thể cung cấp cho LEXDATA dữ liệu cá nhân thuộc hệ thống/hồ sơ của khách hàng.

Đối với dữ liệu này, LEXDATA xử lý trong phạm vi vai trò được xác định giữa các bên; chỉ xử lý theo mục đích và chỉ dẫn hợp pháp; áp dụng biện pháp bảo mật phù hợp; không sử dụng cho mục đích riêng không được phép; và thực hiện việc trả lại, xóa, hủy hoặc lưu trữ theo hợp đồng, thỏa thuận và pháp luật. Nếu có bên xử lý phụ hoặc bên thứ ba tham gia, LEXDATA thực hiện cơ chế quản lý, chuyển giao và bảo mật phù hợp.

XXV. THAY ĐỔI CHÍNH SÁCH

LEXDATA có thể sửa đổi, bổ sung Chính sách khi có thay đổi về pháp luật, hoạt động kinh doanh, hệ thống, nhà cung cấp hoặc cách thức xử lý dữ liệu. Phiên bản mới sẽ được công bố trên website hoặc kênh phù hợp với ngày cập nhật và ngày có hiệu lực.

Việc tiếp tục sử dụng website sau khi Chính sách được cập nhật chỉ được hiểu là người dùng đã có cơ hội tiếp cận thông tin cập nhật; không được coi là sự đồng ý đối với mục đích xử lý mới trong trường hợp pháp luật yêu cầu một sự đồng ý riêng. Nếu thay đổi cần lấy lại sự đồng ý, LEXDATA sẽ thực hiện cơ chế xin đồng ý phù hợp.

XXVI. THÔNG TIN LIÊN HỆ VỀ BẢO VỆ DỮ LIỆU CÁ NHÂN

CÔNG TY TNHH LEXDATA CONSULTING

• Địa chỉ: Tầng 14, Tòa Nhà HM Town, 412 Nguyễn Thị Minh Khai, Phường Bàn Cờ, Thành phố Hồ Chí Minh
• Website: https://lexdata.vn
• Email: contact@lexdata.vn
• Điện thoại: 0348.573.267
• Đầu mối phụ trách: Bộ phận/đầu mối Bảo vệ Dữ liệu Cá nhân của LEXDATA

LEXDATA tiếp nhận và xử lý các yêu cầu liên quan đến bảo vệ dữ liệu cá nhân theo quy trình nội bộ và thời hạn pháp luật áp dụng.

XXVII. ĐIỀU KHOẢN HIỆU LỰC

Chính sách này có hiệu lực kể từ ngày 10/09/2026 và áp dụng đối với các hoạt động xử lý dữ liệu cá nhân thuộc phạm vi điều chỉnh kể từ ngày có hiệu lực.

Trong trường hợp một nội dung của Chính sách không còn phù hợp do thay đổi pháp luật, quy định pháp luật có hiệu lực được ưu tiên áp dụng và LEXDATA sẽ cập nhật nội dung tương ứng trong thời gian phù hợp.