CHÍNH SÁCH XỬ LÝ DỮ LIỆU CÁ NHÂN (PERSONAL DATA PROCESSING POLICY)

Phiên bản / Version: 2.0
Ngày áp dụng / Effective date: 19/01/2026

Cơ sở pháp lý chính / Key legal basis:

  • Luật Bảo vệ dữ liệu cá nhân 2025 – Luật số 91/2025/QH15 (hiệu lực từ 01/01/2026).
  • Nghị định 356/2025/NĐ-CP quy định chi tiết Luật Bảo vệ dữ liệu cá nhân, thay thế Nghị định 13/2023/NĐ-CP kể từ 01/01/2026.

1) Mục đích & phạm vi / Purpose & scope

  • Chính sách này giải thích cách Công ty TNHH Dustin (“Dustin”) thu thập, sử dụng, lưu trữ, chia sẻ, chuyển giao và bảo vệ dữ liệu cá nhân khi bạn tương tác với Dustin.
    / This policy explains how Dustin Co., Ltd. (“Dustin”) collects, uses, stores, shares, transfers and protects personal data when you interact with Dustin.
  • Áp dụng cho: khách hàng, học viên, đối tác, nhà cung cấp, ứng viên, nhân viên, cộng tác viên, khách truy cập website và các chủ thể dữ liệu khác có dữ liệu được Dustin xử lý.
    / It applies to customers, trainees, partners, suppliers, candidates, employees, collaborators, website visitors and other data subjects whose personal data is processed by Dustin.

2) Thuật ngữ cơ bản / Key definitions (đơn giản hóa)

  • Dữ liệu cá nhân / Personal data: mọi thông tin phản ánh, gắn với một người cụ thể hoặc giúp nhận diện người đó.
  • Dữ liệu cá nhân nhạy cảm / Sensitive personal data: dữ liệu cần bảo vệ ở mức độ cao hơn (ví dụ: dữ liệu tài chính – ngân hàng, sức khỏe, sinh trắc học, dữ liệu vi phạm pháp luật, hoạt động trên không gian mạng, dữ liệu định vị…).
  • Bên kiểm soát dữ liệu / Data controller: tổ chức/cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân (trong nhiều trường hợp, Dustin là bên kiểm soát dữ liệu).
  • Bên xử lý dữ liệu / Data processor: tổ chức/cá nhân xử lý dữ liệu thay cho bên kiểm soát. Dustin có thể đóng vai trò này khi cung cấp dịch vụ theo hợp đồng cho khách hàng.

3) Dữ liệu Dustin có thể thu thập / Data we may collect

(Chỉ thu thập trong phạm vi cần thiết cho mục đích hợp pháp, minh bạch.)

  • Thông tin định danh & liên hệ
    / Identity & contact information
    Họ tên, chức danh, công ty, email, số điện thoại, địa chỉ công ty, mã số thuế tổ chức (nếu có)…
  • Thông tin giao dịch & hợp đồng
    / Contract & transaction information
    Thông tin phục vụ: báo giá, hợp đồng, nghiệm thu, hóa đơn, thanh toán; lịch sử sử dụng dịch vụ đào tạo – tư vấn.
  • Thông tin đào tạo
    / Training-related information
    Đơn vị công tác, vị trí, nhu cầu đào tạo (TNA), kết quả khảo sát, đánh giá trước/sau khóa học, điểm danh, chứng nhận (nếu có).
  • Thông tin tuyển dụng & nhân sự
    / Recruitment & HR information
    CV, kinh nghiệm làm việc, học vấn, chứng chỉ, thông tin tham chiếu; hồ sơ nhân sự, kết quả đánh giá, thông tin phục vụ trả lương, bảo hiểm, thuế (theo quy định pháp luật lao động – thuế).
  • Dữ liệu kỹ thuật & tương tác website
    / Technical & website data
    Cookies, địa chỉ IP, loại trình duyệt, trang đã xem, thời gian truy cập; dùng để vận hành, bảo mật, đo lường và cải thiện dịch vụ.

Danh mục dữ liệu chi tiết của từng nhóm có thể được Dustin cập nhật theo Danh mục dữ liệu cá nhân cơ bản/nhạy cảm do Chính phủ quy định.

4) Mục đích xử lý / Processing purposes

Dustin chỉ xử lý dữ liệu cho các mục đích hợp pháp, minh bạch, bao gồm:

  • Cung cấp dịch vụ đào tạo, tư vấn; thiết kế & triển khai chương trình theo yêu cầu khách hàng.
    / Deliver training and consulting services; design and implement programs per client’s request.
  • Thực hiện quan hệ hợp đồng và giao dịch
    / Perform contractual and transactional relationships
    Báo giá, ký kết & thực hiện hợp đồng; quản lý đơn hàng/dịch vụ; xuất hóa đơn, thanh toán, bảo hành/hậu mãi.
  • Quản trị quan hệ khách hàng & marketing hợp pháp
    / Manage customer relationship & lawful marketing
    Gửi thông tin khóa học, bản tin, khảo sát hài lòng trên cơ sở tuân thủ quy định về đồng ý và quyền phản đối.
  • Tuyển dụng & quản trị nhân sự
    / Recruitment & HR administration
    Tiếp nhận, đánh giá ứng viên; ký kết và thực hiện HĐLĐ, chính sách lương – thưởng – phúc lợi; đánh giá nhân viên; đào tạo nội bộ; chấm dứt HĐLĐ theo quy định.
  • Tuân thủ quy định pháp luật & yêu cầu cơ quan nhà nước
    / Comply with legal obligations and requests from competent authorities.

5) Căn cứ xử lý & CƠ CHẾ ĐỒNG Ý / Legal basis & CONSENT mechanism

Theo Luật Bảo vệ dữ liệu cá nhân và Nghị định 356:

  • Dustin ưu tiên xử lý trên cơ sở sự đồng ý rõ ràng, cụ thể, tự nguyện và được thông báo trước của chủ thể dữ liệu (khi pháp luật yêu cầu).
    / Dustin primarily relies on freely given, specific, informed and explicit consent of data subjects where required by law.
  • Cấm “đồng ý mặc định”: Dustin không sử dụng cơ chế đồng ý mặc định, không đánh dấu sẵn ô “Đồng ý”, không thiết kế giao diện mơ hồ gây hiểu nhầm giữa “đồng ý” và “không đồng ý”.
    / No “default consent”: Dustin does not use pre-ticked boxes or ambiguous designs that mislead users into giving consent by default.
  • Lưu trữ bằng chứng về sự đồng ý: Dustin lưu trữ nhật ký, biểu mẫu, email hoặc bằng chứng phù hợp thể hiện việc bạn đã đồng ý. Trong trường hợp tranh chấp, Dustin có trách nhiệm chứng minh sự đồng ý này.
    / Consent records: Dustin keeps appropriate records (logs, forms, emails) as evidence of your consent. In case of disputes, Dustin bears the burden of proof.
  • Trường hợp pháp luật cho phép xử lý không cần sự đồng ý (ví dụ: thực hiện HĐLĐ/HĐ dịch vụ; bảo vệ tính mạng – sức khỏe trong tình huống khẩn cấp; nghĩa vụ pháp lý), Dustin sẽ thông tin trong phạm vi phù hợp.
    / Where the law allows processing without consent (e.g. contract performance, emergencies, legal obligations), Dustin will provide information to the extent required.

6) Chia sẻ & CHUYỂN GIAO dữ liệu / Data sharing & TRANSFER

Dustin chỉ chia sẻ/chuyển giao dữ liệu cá nhân khi có căn cứ pháp lý phù hợp và bảo đảm nguyên tắc tối thiểu hóa dữ liệu.

  • Chia sẻ trong phạm vi cần thiết
    / Necessary sharing
    • Đối tác/giảng viên/nhà cung cấp dịch vụ được Dustin mời tham gia dự án;
    • Đơn vị cung cấp hạ tầng CNTT (hosting, email, CRM, LMS, cloud…);
    • Cơ quan nhà nước có thẩm quyền theo yêu cầu hợp pháp.
  • Thỏa thuận chuyển giao dữ liệu (theo Nghị định 356)
    / Data transfer arrangements
    Khi Dustin chuyển giao dữ liệu cho bên thứ ba (đặc biệt là dữ liệu nhạy cảm hoặc chuyển giao mang tính thương mại), Dustin sẽ lập thỏa thuận/chính sách nội bộ tối thiểu bao gồm:
    • Mục đích chuyển giao; loại dữ liệu được chuyển; thời hạn;
    • Cơ sở pháp lý; trách nhiệm bảo vệ dữ liệu;
    • Trách nhiệm thực hiện quyền của chủ thể dữ liệu;
    • Phối hợp khi xảy ra vi phạm.
  • Chuyển dữ liệu xuyên biên giới / Cross-border transfer
    Trong trường hợp phải chuyển dữ liệu cá nhân ra nước ngoài, Dustin sẽ:
    / For cross-border transfers, Dustin will:
    • Thực hiện đánh giá tác động chuyển dữ liệu nếu thuộc diện phải thực hiện;
    • Tuân thủ yêu cầu báo cáo/đăng ký trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (nếu áp dụng);
    • Đảm bảo bên nhận dữ liệu có mức độ bảo vệ tương đương hoặc không thấp hơn.
  • Không mua bán dữ liệu cá nhân / No trading of personal data
    Luật nghiêm cấm mua bán dữ liệu cá nhân; Dustin không mua bán dữ liệu cá nhân dưới bất kỳ hình thức nào.

7) Thời hạn lưu trữ & XÓA DỮ LIỆU / Retention & ERASURE

  • Dustin lưu trữ dữ liệu chỉ trong thời gian cần thiết cho mục đích đã nêu hoặc theo thời hạn pháp luật (thuế, kế toán, lao động, BHXH…).
  • Đối với dữ liệu nhân sự: sau khi chấm dứt HĐLĐ/HĐ cộng tác, Dustin sẽ xóa/ẩn danh dữ liệu cá nhân không còn cần thiết, trừ phần phải lưu theo luật (ví dụ: hồ sơ lương, thuế, BHXH trong thời hạn lưu trữ bắt buộc).
    / For HR data: after termination of employment/engagement, Dustin will delete or anonymize non-essential personal data, except data required by law to be retained (e.g. payroll, tax, social insurance records).
  • Khi hết mục đích hoặc khi bạn có yêu cầu xóa hợp lệ, Dustin sẽ xóa/ẩn danh dữ liệu theo thời hạn của Nghị định 356 (xem mục 10).

8) Bảo mật dữ liệu & VI PHẠM DỮ LIỆU / Data security & DATA BREACHES

  • Dustin áp dụng biện pháp tổ chức và kỹ thuật hợp lý: phân quyền truy cập, kiểm soát đăng nhập, mã hóa (khi cần), sao lưu, đào tạo nhận thức cho nhân sự, đánh giá rủi ro định kỳ.
  • Khi phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân có thể gây tổn hại tới tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu hoặc ảnh hưởng đến an ninh, trật tự, Dustin có trách nhiệm:
    / In case of a personal data breach that may seriously affect individuals or public security, Dustin will:
    • Lập biên bản ghi nhận sự việc, đánh giá phạm vi & mức độ ảnh hưởng;
    • Thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn tối đa 72 giờ kể từ khi phát hiện vi phạm;
    • Thông báo cho chủ thể dữ liệu bị ảnh hưởng trong trường hợp pháp luật yêu cầu;
    • Áp dụng biện pháp khắc phục, phòng ngừa tái diễn.

9) Quyền của chủ thể dữ liệu & THỜI HẠN XỬ LÝ / Data subject rights & TIMEFRAMES

Theo Luật Bảo vệ dữ liệu cá nhân và Nghị định 356, bạn có các quyền sau (tùy trường hợp áp dụng):

Các quyền cơ bản / Core rights

  • Quyền được biết, được thông báo về hoạt động xử lý dữ liệu cá nhân;
    / Right to be informed about personal data processing;
  • Quyền đồng ý hoặc từ chối; quyền rút lại sự đồng ý;
    / Right to consent or refuse; right to withdraw consent;
  • Quyền truy cập, xem, nhận bản sao dữ liệu cá nhân;
    / Right to access and obtain copies of your personal data;
  • Quyền yêu cầu chỉnh sửa dữ liệu không chính xác;
    / Right to rectification of inaccurate data;
  • Quyền yêu cầu xóa dữ liệu cá nhân trong các trường hợp luật định;
    / Right to erasure where conditions are met;
  • Quyền hạn chế xử lý; quyền phản đối xử lý (đặc biệt với mục đích marketing trực tiếp);
    / Right to restriction of processing; right to object, especially to direct marketing;
  • Quyền yêu cầu Dustin cung cấp dữ liệu; quyền khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại.

Thời hạn Dustin phải phản hồi & xử lý yêu cầu (Nghị định 356)

  • Trong 02 ngày làm việc: Dustin sẽ phản hồi về yêu cầu rút lại đồng ý, hạn chế xử lý, phản đối xử lý.
    / Within 2 working days: Dustin will respond to requests to withdraw consent, restrict or object to processing.
  • Thực hiện yêu cầu trong các mốc thời gian sau (trừ khi luật cho phép gia hạn và Dustin thông báo lý do):
    / Dustin will then implement your request within:
    • 15–20 ngày cho yêu cầu ngừng xử lý/rút lại đồng ý/hạn chế/phản đối;
      / 15–20 days for stop/withdraw/restrict/object requests;
    • 10–15 ngày cho yêu cầu xem, chỉnh sửa, cung cấp dữ liệu;
      / 10–15 days for access, rectification, data provision requests;
    • 20–30 ngày cho yêu cầu xóa dữ liệu.
      / 20–30 days for erasure requests.

Dustin sẽ có thể gia hạn một lần nếu vụ việc phức tạp, nhưng phải thông báo và giải trình lý do hợp lý.

10) Dữ liệu trẻ em & đối tượng dễ bị tổn thương / Children & vulnerable individuals

  • Dustin không chủ động cung cấp dịch vụ trực tiếp cho trẻ em trong vai trò khách hàng cá nhân, và không chủ động thu thập dữ liệu trẻ em cho mục đích thương mại.
    / Dustin does not intentionally target children as direct individual customers or intentionally collect children’s data for commercial purposes.
  • Nếu trong phạm vi dịch vụ (ví dụ chương trình đào tạo nội bộ của khách hàng có bao gồm NLĐ trẻ tuổi, thực tập sinh…) có phát sinh dữ liệu của trẻ em hoặc người mất/hạn chế năng lực hành vi, Dustin sẽ tuân thủ thêm các yêu cầu đồng ý và bảo vệ dữ liệu đặc thù theo Luật BVDLCN.

11) Cookies & công nghệ theo dõi / Cookies & tracking technologies

  • Website của Dustin có thể sử dụng cookies và công nghệ tương tự để đảm bảo vận hành, đo lường truy cập, cải thiện trải nghiệm người dùng.
    / Dustin’s website may use cookies and similar technologies for operation, analytics and user experience.
  • Bạn có thể cấu hình trình duyệt để từ chối một số loại cookies; tuy nhiên, điều này có thể ảnh hưởng đến trải nghiệm sử dụng website.
    / You may configure your browser to reject some cookies, but this may affect the website’s functionality.

12) Bộ phận/nhân sự bảo vệ dữ liệu cá nhân / Data protection function

  • Dustin sẽ chỉ định nhân sự/bộ phận phụ trách bảo vệ dữ liệu cá nhân theo yêu cầu của Luật BVDLCN và Nghị định 356 (trong trường hợp Dustin thuộc diện phải bố trí nhân sự bảo vệ dữ liệu).
    / Dustin will assign a data protection officer/function where required under the Personal Data Protection Law and Decree 356.
  • Kể cả khi được miễn một số nghĩa vụ (ví dụ trường hợp doanh nghiệp nhỏ, khởi nghiệp theo cơ chế chuyển tiếp), Dustin vẫn duy trì đầu mối liên hệ rõ ràng để tiếp nhận và xử lý các vấn đề về dữ liệu cá nhân.

Thông tin liên hệ cụ thể của đầu mối bảo vệ dữ liệu cá nhân sẽ được công bố trên website, hợp đồng hoặc tài liệu giao dịch liên quan.

13) Cập nhật chính sách / Policy updates

  • Dustin có thể sửa đổi, bổ sung Chính sách này để phù hợp với Luật BVDLCN, Nghị định 356/2025 và các văn bản hướng dẫn trong tương lai.
  • Bản cập nhật sẽ được đăng trên website, nêu rõ ngày hiệu lực; trong trường hợp thay đổi quan trọng, Dustin sẽ có hình thức thông báo phù hợp (ví dụ: email, thông báo trên hệ thống).

14) Liên hệ / Contact

Mọi yêu cầu liên quan đến dữ liệu cá nhân (thắc mắc, yêu cầu thực hiện quyền, khiếu nại…), vui lòng liên hệ:

  • Công ty TNHH Dustin / Dustin Co., Ltd.
  • Email (đầu mối dữ liệu cá nhân) / Data protection contact email: info@dustin.com.vn
  • Điện thoại / Phone: +84 866 03 23 01

LIÊN HỆ

Dustin Co., Ltd
  • Tax code: 0110391740
  • Address: No. 47, Lane 46, Group 5 Bang B, Hoang Liet Ward, Hoang Mai District, Hanoi City, Vietnam
  • Mobile phone: (+84) 866 032 301
  • Email: info@dustin.com.vn

Bài viết liên quan

Dịch vụ Đào tạo

Đào tạo Kỹ năng mềm

Dịch vụ Tư vấn

Dịch vụ Đo kiểm – Chứng nhận

Dịch vụ Kỹ thuật