Chính Sách Bảo Mật & Quy Chuẩn Bảo Vệ Dữ Liệu Cá Nhân

1.1. Căn cứ ban hành: Chính sách này được thiết lập căn cứ vào Hiến pháp nước Cộng hòa Xã hội Chủ nghĩa Việt Nam; Bộ luật Dân sự số 91/2015/QH13 (Điều 32, Điều 38); Luật An ninh mạng số 24/2018/QH14 (Điều 17, Điều 26); Luật Giao dịch điện tử số 20/2023/QH15; và trực tiếp tuân thủ Nghị định số 13/2023/NĐ-CP của Chính phủ ban hành ngày 17 tháng 04 năm 2023 về Bảo vệ Dữ liệu Cá nhân.

1.2. Phạm vi điều chỉnh: Quy chế này áp dụng bắt buộc đối với toàn bộ hoạt động thu thập, ghi chép, phân tích, lưu trữ, truyền tải, công bố hoặc xóa bỏ dữ liệu cá nhân phát sinh trong quá trình Người dùng truy cập và sử dụng dịch vụ tại nền tảng Swan (bao gồm tên miền máy chủ web, ứng dụng web di động và các giao diện lập trình liên quan).

Căn cứ theo Khoản 7, Khoản 8 và Khoản 9 Điều 2 Nghị định 13/2023/NĐ-CP, tư cách pháp lý của các bên được phân định như sau:

• Bên Kiểm Soát Dữ Liệu Cá Nhân (Data Controller): Người dùng là người sở hữu quyền tự quyết cao nhất đối với nội dung hồ sơ của mình. Người dùng quyết định loại dữ liệu nào, hình ảnh nào, thông tin liên lạc và tiểu sử nào được đưa vào bản CV, cũng như quyết định việc chia sẻ hoặc xóa bỏ hồ sơ.
• Bên Kiểm Soát kiêm Xử Lý Dữ Liệu Theo Ủy Quyền (Data Controller & Processor): Swan đóng vai trò cung cấp hạ tầng phần mềm trực tuyến, công cụ soạn thảo, thuật toán căn chỉnh lề in A4 và module chấm điểm từ khóa ATS. Swan xử lý dữ liệu hoàn toàn dựa trên mệnh lệnh, thao tác và sự ủy quyền trực tiếp của Người dùng.
• Tính độc lập của dữ liệu hồ sơ: Swan không tự ý bổ sung, chỉnh sửa hoặc can thiệp trái phép vào nội dung bản CV khi chưa có hành động tương tác từ phía Người dùng.

Tuân thủ Khoản 3 và Khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP, Swan chỉ thu thập và xử lý các trường thông tin phục vụ trực tiếp cho mục đích tạo lập hồ sơ xin việc chuyên nghiệp:

Theo Điều 3 và Điều 13 Nghị định 13/2023/NĐ-CP, toàn bộ hoạt động xử lý dữ liệu tại Swan phải triệt để tuân theo các nguyên tắc cốt lõi:

• Nguyên tắc Hợp pháp & Minh bạch: Dữ liệu chỉ được xử lý khi đã có sự đồng ý của Chủ thể dữ liệu hoặc thuộc các trường hợp luật định cho phép.
• Nguyên tắc Đúng mục đích (Purpose Limitation): Dữ liệu cá nhân chỉ được sử dụng để: (i) Lưu trữ và tạo lập bản in CV A4; (ii) Phân tích từ khóa ATS so với mô tả công việc; (iii) Hỗ trợ diễn tập phỏng vấn và xuất bản trang cá nhân theo chỉ định của người dùng. Swan cam kết không buôn bán, không thương mại hóa và không chia sẻ danh sách dữ liệu cho bất kỳ đơn vị quảng cáo hoặc môi giới nào.
• Nguyên tắc Hạn chế phạm vi (Data Minimization): Chỉ thu thập dữ liệu ở mức độ vừa đủ và cần thiết để thực hiện chức năng phần mềm.
• Nguyên tắc Giới hạn lưu trữ (Storage Limitation): Dữ liệu được lưu trữ trong suốt thời gian tài khoản hoạt động và sẽ bị xóa ngay lập tức khi người dùng thao tác xóa hồ sơ hoặc gửi yêu cầu đóng tài khoản.

Căn cứ quy định tại Điều 25 Nghị định số 13/2023/NĐ-CP về Chuyển dữ liệu cá nhân ra nước ngoài:

• Phạm vi truyền tải: Khi Người dùng yêu cầu các tính năng AI (như AI Ghost Autocomplete, AI Translation VI ⇄ EN, hoặc Phân tích STAR), các đoạn văn bản mô tả kinh nghiệm/kỹ năng sẽ được truyền qua giao thức mã hóa đường truyền an toàn TLS 1.3 tới các nhà cung cấp hạ tầng AI cấp Doanh nghiệp (Enterprise AI Cloud Services - tiêu biểu như Google Cloud Vertex AI / Gemini Enterprise API).
• Thỏa thuận không huấn luyện (Zero Training Guarantee): Căn cứ theo Thỏa thuận Xử lý Dữ liệu Doanh nghiệp (Data Processing Agreement - DPA), nhà cung cấp cổng API doanh nghiệp cam kết KHÔNG sử dụng dữ liệu nhập liệu của Người dùng để tái huấn luyện (train) hoặc tinh chỉnh (fine-tune) các mô hình AI công cộng.
• Tách biệt định danh: Dữ liệu gửi tới cổng API xử lý ngôn ngữ được phân tách hoàn toàn khỏi địa chỉ cư trú, căn cước công dân hoặc số tài khoản ngân hàng của Người dùng.

Căn cứ quy định tại Điều 38 Nghị định số 13/2023/NĐ-CP và Điều 26 Luật An ninh mạng 2018, Swan áp dụng các giải pháp kỹ thuật bảo mật nghiêm ngặt cấp doanh nghiệp: