1. Mục đích
Chính sách quyền riêng tư dữ liệu này phác thảo các quy trình và thông lệ của Công ty TNHH Dịch vụ Anchanto (sau đây gọi là “Anchanto”) liên quan đến việc thu thập, sử dụng và bảo vệ thông tin cá nhân. Chúng tôi cam kết bảo vệ quyền riêng tư của thông tin cá nhân được thu thập từ nhân viên, nhà thầu, nhà cung cấp và khách hàng của mình, đảm bảo việc sử dụng thông tin đó tuân thủ chính sách này và các luật hiện hành.
2. Phạm vi
Chính sách này áp dụng cho tất cả nhân viên, nhà thầu, tư vấn viên, nhà cung cấp và khách hàng của Anchanto, nhằm đảm bảo tất cả các bên hiểu rõ trách nhiệm của mình đối với quyền riêng tư dữ liệu. Chính sách này chi phối tất cả thông tin cá nhân do Anchanto xử lý, bất kể phương tiện thu thập hoặc lưu trữ là gì.
3. Trách nhiệm
Tất cả nhân viên và tư vấn viên: Phải tuân thủ các nguyên tắc được nêu trong chính sách này và đảm bảo rằng thông tin cá nhân được xử lý một cách có trách nhiệm, cẩn thận và siêng năng.
Ủy ban An ninh: Chịu trách nhiệm giám sát việc tuân thủ các thông lệ bảo vệ dữ liệu, tiến hành kiểm tra thường xuyên và xem xét các sự cố liên quan đến vi phạm dữ liệu.
Giám đốc An toàn Thông tin (CISO): Có nhiệm vụ triển khai và thực thi chính sách này trên toàn tổ chức, đảm bảo việc giáo dục và nâng cao nhận thức liên tục cho nhân viên về quyền riêng tư dữ liệu.
4. Tuyên bố Chính sách
Anchanto cam kết thúc đẩy việc sử dụng thông tin một cách có trách nhiệm và bảo vệ các quyền riêng tư cá nhân. Chúng tôi ưu tiên tính bảo mật và an toàn của tất cả dữ liệu cá nhân mà chúng tôi thu thập và xử lý, nỗ lực duy trì niềm tin của các bên liên quan.
5. Hướng dẫn
Các loại dữ liệu cá nhân được xử lý
Anchanto có thể thu thập nhiều loại dữ liệu cá nhân khác nhau, bao gồm nhưng không giới hạn ở:
Ảnh: Của nhân viên và các sự kiện diễn ra tại văn phòng, có thể được sử dụng cho mục đích truyền thông nội bộ hoặc tiếp thị.
Thông tin cá nhân của nhân viên: Chẳng hạn như ngày sinh, địa chỉ, số điện thoại, số PAN và thông tin tài khoản ngân hàng.
Thông tin của khách truy cập: Bao gồm số điện thoại, tên và địa chỉ.
5.1 Mục đích thu thập dữ liệu
Anchanto có thể thu thập, lưu trữ, sử dụng và tiết lộ thông tin cá nhân cho các mục đích kinh doanh sau:
Tuân thủ: Để đáp ứng các yêu cầu pháp lý, quy định và nội bộ, bao gồm phòng chống gian lận, tố tụng pháp lý và tuân thủ các tiêu chuẩn ngành.
Hoàn thành Dịch vụ: Để đáp ứng các nghĩa vụ hợp đồng và cung cấp dịch vụ một cách hiệu quả, đảm bảo chúng tôi có thể cung cấp cho khách hàng các giải pháp chất lượng cao.
Quản lý quan hệ: Để quản lý và tăng cường tương tác với nhân viên, nhà cung cấp và khách hàng, thúc đẩy các mối quan hệ bền chặt và hiệu quả.
Mục đích hoạt động: Cho các chức năng nhân sự, bao gồm tuyển dụng, sàng lọc nhân viên, giới thiệu và đánh giá hiệu suất.
Truyền thông: Để cung cấp cho các cá nhân thông tin thích hợp liên quan đến sản phẩm và dịch vụ, bao gồm các lợi ích như bảo hiểm, lương, thanh toán thuế và sắp xếp đi lại (bao gồm cả xử lý thị thực).
5.2 Sự đồng ý
Việc thu thập dữ liệu cá nhân sẽ chỉ diễn ra khi có sự đồng ý rõ ràng, có hiểu biết của chủ thể dữ liệu.
Sự đồng ý sẽ là tự nguyện, có thể hủy bỏ và cụ thể cho các mục đích thu thập dữ liệu, đảm bảo các cá nhân nhận thức được quyền của họ.
Hồ sơ về sự đồng ý sẽ được duy trì một cách an toàn và một quy trình xác định để xử lý việc thu hồi sự đồng ý sẽ được thiết lập, cho phép các cá nhân dễ dàng rút lại sự đồng ý.
6. Lựa chọn tùy chọn truyền thông và tiếp thị của bạn
Bạn có thể quản lý các tùy chọn truyền thông tiếp thị của mình trên Trang web này. Nếu bạn không muốn nhận thông tin liên lạc tiếp thị hoặc muốn cập nhật hoặc chỉnh sửa bất kỳ thông tin nào đã cung cấp trước đó, chúng tôi sẽ cập nhật thông tin của bạn ngay khi có thể, nhưng không quá mười (10) ngày sau khi nhận được yêu cầu của bạn. Chúng tôi sẽ phản hồi tất cả các yêu cầu truy cập Dữ liệu cá nhân của bạn trong vòng 30 ngày.
Ngay cả khi bạn từ chối nhận thông tin liên lạc tiếp thị, chúng tôi vẫn có thể cần liên hệ với bạn về tài khoản hiện có của bạn, để thực hiện một yêu cầu bạn đã thực hiện hoặc để quản lý bất kỳ chương trình khuyến mãi nào mà bạn đang tham gia.
7. Tiếp thị qua email có mục tiêu
Thông tin liên lạc tiếp thị của chúng tôi, bao gồm email, có thể được cá nhân hóa dựa trên tương tác của bạn với Trang web này cũng như lịch sử duyệt web và mua hàng của bạn. Khi bạn nhấp vào các liên kết nhất định trong email của chúng tôi, nhà cung cấp dịch vụ email của chúng tôi có thể đặt một cookie trên trình duyệt của bạn được liên kết với địa chỉ email của bạn. Cookie này giúp chúng tôi cá nhân hóa các tin nhắn tiếp thị qua email trong tương lai. Bạn có thể từ chối tiếp thị qua email được cá nhân hóa bằng cách nhấp vào liên kết hủy đăng ký được cung cấp trong mỗi email.
8. Thu thập và sử dụng dữ liệu cá nhân của trẻ em
Chúng tôi coi trọng quyền riêng tư của trẻ em và không cố ý thu thập Dữ liệu cá nhân từ trẻ em dưới 13 tuổi thông qua Trang web này. Nếu bạn dưới 13 tuổi, vui lòng không gửi bất kỳ Dữ liệu cá nhân nào mà không có sự đồng ý rõ ràng của cha mẹ hoặc người giám hộ.
9. Quảng cáo hiển thị có mục tiêu
Chúng tôi hợp tác với các đối tác quảng cáo và cá nhân hóa sử dụng cookie để hiển thị nội dung được cá nhân hóa và quảng cáo phù hợp trong các lần bạn truy cập Trang web này và các trang web khác.
10. Quảng cáo của bên thứ ba
Để biết thông tin về các thông lệ quyền riêng tư của bên thứ ba sử dụng cookie cho mục đích quảng cáo và để từ chối cookie của họ.
Các bên thứ ba này có thể sử dụng cookie để phân phối quảng cáo dựa trên các lần bạn truy cập Trang web này và các trang web khác, cũng như để đo lường hiệu quả của các chiến dịch quảng cáo của họ.
11. Cookie và Web Beacons
Cách chúng tôi sử dụng Cookie: Trang web này sử dụng cookie để cho phép đăng nhập vào các dịch vụ của chúng tôi và cá nhân hóa trải nghiệm trực tuyến của bạn. Cookie là một tệp văn bản được đặt trên ổ cứng máy tính của bạn. Bạn có thể thay đổi cài đặt trình duyệt của mình để từ chối cookie nếu muốn. Tuy nhiên, nếu bạn từ chối cookie, bạn có thể không sử dụng được một số tính năng nhất định của Trang web này.
Trong lần truy cập đầu tiên, bạn sẽ thấy một biểu ngữ thông báo cho bạn về việc chúng tôi sử dụng cookie và cung cấp một liên kết đến Chính sách sử dụng cookie của chúng tôi. Bạn có thể quản lý các tùy chọn cookie của mình thông qua Trung tâm tùy chọn cookie (còn được gọi là “Lựa chọn quyền riêng tư của bạn”) có thể truy cập từ trang chủ của chúng tôi.
Cách chúng tôi sử dụng Web Beacons: Chúng tôi hoặc các đối tác kinh doanh của chúng tôi có thể sử dụng các web beacon trên Trang web này, trong email và trong quảng cáo để đo lường hiệu quả của nội dung và các chiến dịch. Web beacon là hình ảnh điện tử nhận dạng cookie và giúp chúng tôi thu thập thông tin như số lượng khách truy cập, số lượt xem trang và mức độ tương tác qua email.
Cách chúng tôi sử dụng Theo dõi pixel: Trang web này và một số đối tác kinh doanh của chúng tôi sử dụng theo dõi pixel để thu thập dữ liệu về tương tác của bạn với trang web của chúng tôi. Theo dõi pixel giúp chúng tôi hiểu hành vi của người dùng và cải thiện hiệu suất trang web. Dữ liệu được thu thập bao gồm loại thiết bị, hệ điều hành, hoạt động phiên, độ phân giải màn hình, địa chỉ IP và thời gian truy cập.
12. Cách chúng tôi bảo mật dữ liệu cá nhân
Chúng tôi cam kết bảo vệ tính bảo mật của Dữ liệu cá nhân. Chúng tôi sử dụng nhiều công nghệ và quy trình bảo mật khác nhau để giúp bảo vệ Dữ liệu cá nhân khỏi việc truy cập, sử dụng và tiết lộ trái phép. Để biết chi tiết về các quy trình bảo vệ dữ liệu của chúng tôi, vui lòng xem Chính sách bảo mật thông tin và các Biện pháp kỹ thuật và tổ chức của chúng tôi có sẵn trên trang Bảo mật của trang web của chúng tôi.
Khi bạn cung cấp cho chúng tôi Dữ liệu cá nhân nhạy cảm (chẳng hạn như thông tin tài chính), chúng tôi sẽ mã hóa thông tin đó bằng công nghệ SSL (Secure Sockets Layer). Mặc dù chúng tôi nỗ lực bảo vệ Dữ liệu cá nhân của bạn, nhưng chúng tôi không thể đảm bảo tính bảo mật tuyệt đối của nó và bạn tự chịu rủi ro khi truyền dữ liệu đó.
Chúng tôi và các công ty liên kết của chúng tôi duy trì các biện pháp bảo mật hợp lý để bảo vệ thông tin của bạn khỏi mất mát, phá hủy, lạm dụng, truy cập hoặc tiết lộ trái phép. Khi bạn nhập thông tin nhạy cảm, chẳng hạn như thông tin đăng nhập của bạn, trên trang web của chúng tôi hoặc kết nối với Dịch vụ của chúng tôi, chúng tôi có thể mã hóa việc truyền thông tin đó. Đối với bất kỳ truy vấn nào liên quan đến bảo mật liên quan đến trang web của chúng tôi, vui lòng liên hệ với chúng tôi tại security.alerts@anchanto.com.
Khi chúng tôi sử dụng Dữ liệu cá nhân của bạn liên quan đến sản phẩm hoặc dịch vụ SaaS, dữ liệu thường được mã hóa cả trong quá trình truyền và khi lưu trữ. Đối với các nhà cung cấp bên thứ ba và dịch vụ lưu trữ đám mây, chúng tôi dựa vào các chính sách công khai và biện pháp bảo vệ của các dịch vụ có sẵn trên toàn cầu đó. Để biết chi tiết về các chính sách của các nhà cung cấp dịch vụ lưu trữ đám mây chính của chúng tôi, vui lòng tham khảo Hướng dẫn bảo mật cho các sản phẩm bạn đang sử dụng.
13. Xử lý dữ liệu
Dữ liệu cá nhân có thể được tiết lộ cho ban quản lý, kiểm toán viên, nhà cung cấp dịch vụ, cơ quan quản lý và cơ quan thực thi pháp luật khi cần thiết để tuân thủ các nghĩa vụ pháp lý và quy định.
Anchanto có thể giám sát các thông tin liên lạc điện tử và quyền truy cập dữ liệu để đảm bảo tuân thủ các chính sách nội bộ và nghĩa vụ pháp lý, đồng thời tôn trọng quyền riêng tư của nhân viên.
Các cá nhân có thể yêu cầu truy cập vào dữ liệu cá nhân của họ và có thể yêu cầu chỉnh sửa hoặc xóa khi thích hợp, tạo điều kiện minh bạch và kiểm soát thông tin cá nhân.
Nhân viên có thể rút lại sự đồng ý bất cứ lúc nào; tuy nhiên, điều này có thể ảnh hưởng đến việc cung cấp các dịch vụ dựa trên dữ liệu đó.
Bất kỳ việc chia sẻ thông tin cá nhân nào với các bên bên ngoài sẽ được thông báo cho các cá nhân bị ảnh hưởng, đảm bảo tính minh bạch trong các thông lệ xử lý dữ liệu.
Các cá nhân có quyền phản đối việc xử lý dữ liệu cá nhân của họ, có thể được thông báo qua email cho Nhóm Trải nghiệm Con người, đảm bảo các mối quan ngại được giải quyết kịp thời.
Anchanto sử dụng các biện pháp bảo vệ hành chính, vật lý và kỹ thuật thích hợp để bảo vệ thông tin nhận dạng cá nhân, đánh dấu dữ liệu nhạy cảm là Thông tin cá nhân bảo mật.
Chúng tôi sử dụng dữ liệu bị che giấu cho mục đích thiết kế và phát triển hệ thống, giảm thiểu việc thu thập thông tin nhận dạng từ khách hàng.
14. Giám sát và tuân thủ
Việc tuân thủ chính sách này sẽ được xem xét hàng năm để đảm bảo tính hiệu quả của nó. Bộ phận nhân sự và CISO sẽ đảm bảo rằng các sửa đổi cần thiết được thực hiện để đáp ứng các thay đổi về quy định hoặc rủi ro đã được xác định. Các chương trình đào tạo sẽ được cung cấp để đảm bảo tất cả nhân viên hiểu rõ nghĩa vụ của họ đối với quyền riêng tư dữ liệu.
15. Thực thi
Việc tuân thủ chính sách này là bắt buộc. Mọi vi phạm phải được báo cáo thông qua quy trình Nhóm ứng phó sự cố bảo mật (SIRT). Các phản ứng đối với vi phạm sẽ bao gồm:
- Tất cả các vi phạm được báo cáo cho Ủy ban An ninh để xem xét và hành động.
- Các vi phạm ban đầu có thể dẫn đến cảnh cáo; các vi phạm lặp lại có thể dẫn đến hành động kỷ luật, bao gồm cả chấm dứt việc làm, tùy thuộc vào mức độ nghiêm trọng của vi phạm.
Bằng cách tuân thủ Chính sách quyền riêng tư dữ liệu này, chúng tôi tại Anchanto cam kết bảo vệ quyền riêng tư và bảo mật của thông tin cá nhân được giao phó cho chúng tôi. Chúng tôi đánh giá cao sự hợp tác và hỗ trợ của bạn trong việc nuôi dưỡng văn hóa tôn trọng quyền riêng tư.
Phụ lục – A
Quy trình quản lý vi phạm dữ liệu của Anchanto
Là một tổ chức xử lý dữ liệu cá nhân, chúng tôi luôn cẩn thận để bảo vệ dữ liệu cá nhân và tránh vi phạm bảo vệ dữ liệu. Chính sách này phác thảo các biện pháp Anchanto thực hiện để chống lại việc xử lý hoặc tiết lộ trái phép hoặc bất hợp pháp cũng như chống lại việc mất, phá hủy hoặc làm hỏng dữ liệu cá nhân một cách vô tình. Trong trường hợp dữ liệu bị mất hoặc chia sẻ không phù hợp, Anchanto sẽ thực hiện hành động thích hợp để giảm thiểu mọi rủi ro liên quan càng sớm càng tốt. Quy trình này áp dụng cho tất cả dữ liệu cá nhân và nhạy cảm do Anchanto nắm giữ và cho tất cả khách hàng, nhà cung cấp, nhân viên và nhà thầu. Tài liệu Quy trình vi phạm dữ liệu này là một phần của Chính sách bảo vệ dữ liệu của Anchanto và tất cả các thành viên trong nhóm đều được biết về các quy trình này thông qua giới thiệu, giám sát và đào tạo liên tục.
1. Mục đích
Theo quy định của GDPR, Anchanto phải có các sắp xếp quản trị và kiểm soát nhất quán và hiệu quả để bảo vệ dữ liệu cá nhân mà chúng tôi nắm giữ. Quy trình vi phạm dữ liệu này đặt ra lộ trình hành động mà tất cả các thành viên trong nhóm phải tuân theo trong trường hợp xảy ra vi phạm bảo vệ dữ liệu thực tế hoặc tiềm ẩn.
2. Định nghĩa Vi phạm dữ liệu
Vi phạm dữ liệu cá nhân có nghĩa là một vi phạm an ninh dẫn đến việc phá hủy, mất mát, thay đổi, tiết lộ trái phép hoặc truy cập vào dữ liệu cá nhân một cách vô tình hoặc bất hợp pháp. Điều này bao gồm các vi phạm là kết quả của cả nguyên nhân vô tình và cố ý. Vi phạm dữ liệu cá nhân có thể được định nghĩa rộng rãi là một sự cố bảo mật đã ảnh hưởng đến tính bảo mật, tính toàn vẹn hoặc tính sẵn có của dữ liệu cá nhân. Tóm lại, sẽ có vi phạm dữ liệu cá nhân bất cứ khi nào bất kỳ dữ liệu cá nhân nào bị mất, phá hủy, hỏng hoặc tiết lộ; nếu ai đó truy cập dữ liệu hoặc chuyển nó mà không có sự cho phép thích hợp; hoặc nếu dữ liệu không có sẵn, ví dụ: khi nó đã được mã hóa bằng ransomware, hoặc bị mất hoặc phá hủy một cách vô tình.
Các vi phạm dữ liệu cá nhân có thể bao gồm:
- Mất hoặc trộm cắp dữ liệu cá nhân và/hoặc thiết bị lưu trữ dữ liệu
- Truy cập bởi một bên thứ ba không được ủy quyền
- Hành động cố ý hoặc vô tình (hoặc không hành động) của một bộ điều khiển hoặc bộ xử lý
- Gửi dữ liệu cá nhân cho một người nhận không chính xác
- Các thiết bị máy tính chứa dữ liệu cá nhân bị mất hoặc bị đánh cắp
- Thay đổi dữ liệu cá nhân mà không có sự cho phép
- Mất tính sẵn có của dữ liệu cá nhân
- Tấn công của tin tặc
- Tấn công mạng
- Lỗi thiết bị
- Lỗi của con người
- Hoàn cảnh không lường trước được như hỏa hoạn hoặc lũ lụt
- Các quy trình hủy dữ liệu bị lỗi
3. Mục tiêu của Chính sách quy trình quản lý vi phạm dữ liệu
Mục tiêu của chính sách này là đảm bảo một cách tiếp cận được tiêu chuẩn hóa và nhất quán được tuân thủ khi ứng phó với các vi phạm dữ liệu để cho phép chúng tôi:
- Báo cáo các vi phạm dữ liệu không chậm trễ cho Cán bộ bảo vệ dữ liệu
- Xác định các sự cố vi phạm dữ liệu nhanh chóng và điều tra chúng một cách thích hợp và kịp thời
- Ghi lại và lập thành văn bản tất cả các sự cố và báo cáo chúng cho Đội ngũ Lãnh đạo cấp cao (SLT), Ban Quản trị và Giám đốc bảo vệ dữ liệu/DPO
- Đánh giá mức độ nghiêm trọng và tác động của vi phạm dữ liệu để xác định xem có cần thiết phải thông báo cho Chủ thể dữ liệu và khách hàng theo hướng dẫn của GDPR hay không
- Thực hiện hành động, có tính cân xứng, nhất quán và minh bạch để ngăn chặn thiệt hại thêm
- Thường xuyên giám sát và xem xét tất cả các sự cố vi phạm dữ liệu và các tình huống tiềm ẩn có thể dẫn đến vi phạm dữ liệu để xác định các cải tiến trong chính sách, quy trình và cơ chế kiểm soát nhằm loại bỏ hoặc giảm thiểu rủi ro lặp lại.
4. Báo cáo Vi phạm dữ liệu
Ngay khi bất kỳ thành viên nhóm hoặc nhà thầu nào của Anchanto phát hiện hoặc nhận được báo cáo về vi phạm dữ liệu, họ phải thông báo cho Giám đốc bảo vệ dữ liệu càng sớm càng tốt và không chậm trễ. Nếu vi phạm xảy ra hoặc được phát hiện ngoài giờ làm việc bình thường của trường, thì việc thông báo phải bắt đầu ngay khi có thể. Báo cáo qua email có thể được gửi cho Cán bộ bảo vệ dữ liệu và Giám đốc An ninh mạng ngay từ đầu và phải bao gồm các chi tiết chính xác của sự cố bao gồm nhưng không giới hạn ở ngày và giờ xảy ra, nơi xảy ra, tên của người báo cáo vi phạm, chi tiết về các lỗi/nhật ký/bằng chứng vi phạm dữ liệu nếu có. Một đánh giá ban đầu về vi phạm dữ liệu của Cán bộ bảo vệ dữ liệu hoặc Giám đốc An ninh mạng sẽ bao gồm việc hoàn thành Hồ sơ Vi phạm Dữ liệu để tìm hiểu càng nhiều thông tin càng tốt về sự cố nhằm đánh giá đầy đủ tác động của vi phạm dữ liệu và xác định các hành động cần thiết.
5. Quản lý Vi phạm dữ liệu
Bước 1: Ngăn chặn và Phục hồi
- Cán bộ bảo vệ dữ liệu hoặc nhóm An ninh mạng sẽ xác định mức độ nghiêm trọng của vi phạm, liệu có bất kỳ dữ liệu cá nhân nào liên quan hay không và liệu vi phạm vẫn đang xảy ra hay không.
- Nếu vi phạm vẫn đang xảy ra, Giám đốc An ninh mạng sẽ xác định các bước cần thực hiện ngay lập tức để giảm thiểu tác động của vi phạm và ngăn chặn vi phạm khỏi việc mất dữ liệu thêm (ví dụ: cảnh báo Hỗ trợ kỹ thuật và khách hàng, KAM, nhóm Sản phẩm, Quản lý Kỹ thuật, CTO, v.v., hạn chế quyền truy cập vào các hệ thống hoặc đóng một hệ thống, v.v.).
- Nhóm an ninh mạng sẽ xem xét và thực hiện các bước thích hợp cần thiết để khôi phục mọi dữ liệu bị mất nếu có thể và hạn chế thiệt hại đã gây ra (ví dụ: sử dụng bản sao lưu để khôi phục dữ liệu; thay đổi mật khẩu, v.v.).
- sẽ thông báo cho DPO và ELT/SLT nếu mức độ nghiêm trọng và tác động có thể xảy ra của vi phạm khiến cần thiết phải thông báo cho Khách hàng về vi phạm. Đồng thời, tùy thuộc vào bản chất của vi phạm, nhóm có thể tìm kiếm lời khuyên từ chuyên gia hoặc pháp lý và/hoặc Cảnh sát nếu tin rằng hoạt động bất hợp pháp đã xảy ra hoặc có khả năng xảy ra.
- Khi một vi phạm đáng kể đã xảy ra, nhóm sẽ thông báo cho Khách hàng trong vòng 24 giờ kể từ khi xác nhận vi phạm.
- Quyết định được đưa ra về lý do tại sao một vi phạm dữ liệu được báo cáo hoặc không được báo cáo được ghi lại bởi Giám đốc An ninh mạng.
- Tất cả các hành động và quyết định chính đều được ghi lại đầy đủ và ghi vào Nhật ký Vi phạm an ninh dữ liệu của chúng tôi.
Bước 2: Đánh giá rủi ro Các hành động tiếp theo có thể cần thiết ngoài việc ngăn chặn ngay lập tức vi phạm dữ liệu. Để giúp xác định lộ trình hành động tiếp theo, một đánh giá rủi ro liên quan đến vi phạm được thực hiện để xác định xem có bất kỳ hậu quả bất lợi tiềm tàng nào đối với các cá nhân có khả năng xảy ra hay không và mức độ nghiêm trọng của những hậu quả này.
Cán bộ bảo vệ dữ liệu/Giám đốc An ninh mạng sẽ xem xét các điểm phát sinh từ các câu hỏi sau:
- Loại và khối lượng dữ liệu nào có liên quan?
- Dữ liệu nhạy cảm đến mức nào? Vi phạm dữ liệu có thể dẫn đến đau khổ, tổn hại về tài chính hoặc thậm chí về thể chất không?
- Những sự kiện nào đã dẫn đến vi phạm dữ liệu? Điều gì đã xảy ra với dữ liệu?
- Dữ liệu có bị tiết lộ không chính thức, bị mất hay bị đánh cắp không? Các biện pháp phòng ngừa có được áp dụng để ngăn chặn truy cập/lạm dụng không? (ví dụ: mã hóa)
- Có bao nhiêu khách hàng bị ảnh hưởng bởi vi phạm dữ liệu?
- Ai là khách hàng có dữ liệu đã bị xâm phạm?
- Dữ liệu có thể cho một bên thứ ba biết điều gì về khách hàng? Nó có thể bị lạm dụng bất kể điều gì đã xảy ra với dữ liệu không?
- Khách hàng đó có thể bị tổn hại thực tế/tiềm tàng nào? Ví dụ: an toàn thể chất; sức khỏe cảm xúc; danh tiếng; tài chính; trộm cắp danh tính; một hoặc nhiều hơn trong số này và các khía cạnh riêng tư khác trong cuộc sống của họ
- Có những hậu quả rộng lớn hơn nào cần xem xét không?
- Có những người khác có thể tư vấn về rủi ro/lộ trình hành động không (chẳng hạn như các ngân hàng nếu chi tiết ngân hàng của cá nhân đã bị ảnh hưởng bởi vi phạm)?
Bước 3: Thông báo vi phạm Nếu mức độ nghiêm trọng và tác động có thể xảy ra của vi phạm yêu cầu phải thông báo cho Khách hàng, thì chúng tôi sẽ thông báo trong vòng 24 giờ kể từ khi xác nhận vi phạm và nhận thức được các sự kiện thiết yếu của vi phạm. Thông báo này sẽ bao gồm ít nhất:
- Mô tả ngắn gọn
- Ngày và giờ vi phạm (hoặc ước tính)
- Ngày và giờ chúng tôi phát hiện ra nó
- Thông tin cơ bản về loại vi phạm
- Thông tin cơ bản về dữ liệu cá nhân có liên quan
- Khi chúng tôi thực hiện một cuộc điều tra đầy đủ về các chi tiết của vi phạm, trong vòng 3 ngày kể từ thông báo ban đầu, chúng tôi sẽ cung cấp thêm cho Khách hàng các chi tiết đầy đủ về sự cố, số lượng cá nhân bị ảnh hưởng và tác động có thể có của nó đối với họ, các biện pháp đã thực hiện để giảm thiểu những tác động đó và thông tin về việc chúng tôi đã thông báo cho khách hàng bị ảnh hưởng. Có thể có những trường hợp mà bản chất của vi phạm và (các) khách hàng bị ảnh hưởng có thể cần phải thông báo cho các bên thứ ba như các cơ quan quản lý, các cơ quan, các tổ chức chuyên nghiệp như một phần của việc ngăn chặn ban đầu. Nếu vi phạm có khả năng ảnh hưởng xấu đến dữ liệu cá nhân hoặc quyền riêng tư của các thành viên nhóm, nhân viên của Khách hàng, v.v., chúng tôi sẽ thông báo cho họ về vi phạm mà không chậm trễ không cần thiết nếu chúng tôi không thể chứng minh rằng dữ liệu đã được mã hóa (hoặc được làm cho không thể hiểu được bằng một biện pháp bảo mật tương tự).
Chúng tôi sẽ thông báo cho họ về:
- Ngày ước tính của vi phạm
- Tóm tắt sự cố
- Bản chất và nội dung của dữ liệu cá nhân
- Tác động có thể xảy ra đối với (các) cá nhân
- Mọi biện pháp chúng tôi đã thực hiện để giải quyết vi phạm
- Cách những người bị ảnh hưởng có thể giảm thiểu mọi tác động bất lợi có thể xảy ra
Bước 4: Đánh giá và Phản ứng Khi phản ứng của Anchanto đối với một vi phạm dữ liệu đã đi đến kết luận, Cán bộ bảo vệ dữ liệu và Giám đốc An ninh mạng sẽ thực hiện một cuộc đánh giá đầy đủ cả về nguyên nhân của vi phạm và hiệu quả của phản ứng. Cuộc đánh giá đầy đủ được báo cáo cho ELT/SLT và nếu được yêu cầu, cho (các) khách hàng, để lấy thông tin và thảo luận ngay khi có thể sau khi vi phạm dữ liệu đã được xác nhận. Nếu thông qua cuộc đánh giá, các vấn đề có hệ thống hoặc đang diễn ra liên quan đến điểm yếu trong các quy trình nội bộ hoặc biện pháp bảo mật đã được xác định là nguyên nhân của vi phạm dữ liệu, thì các kế hoạch hành động thích hợp sẽ được soạn thảo, thực hiện và giám sát để khắc phục mọi vấn đề và thực hiện các khuyến nghị để cải thiện. ELT/SLT sẽ là một bên tham gia vào các cuộc thảo luận liên quan đến các kế hoạch hành động và có thể giám sát tiến độ chống lại các hành động một cách thích hợp. Nếu một vi phạm yêu cầu một cuộc điều tra kỷ luật, lời khuyên pháp lý sẽ được tìm kiếm thông qua các kênh Nhân sự.
6. Thực hiện các quy trình này
Cán bộ bảo vệ dữ liệu hoặc Giám đốc An ninh mạng sẽ đảm bảo rằng các thành viên nhóm của Anchanto nhận thức được các quy trình này để báo cáo và quản lý các vi phạm dữ liệu. Đào tạo bảo vệ dữ liệu cho tất cả các thành viên trong nhóm là bắt buộc, bao gồm cả nhân viên mới và tất cả các thành viên trong nhóm sẽ thực hiện đào tạo bồi dưỡng hàng năm. Nếu bất kỳ thành viên nào trong nhóm có bất kỳ truy vấn hoặc câu hỏi nào liên quan đến các quy trình này, họ nên thảo luận với nhóm An ninh mạng hoặc DPO.
7. Khiếu nại về Quy trình quản lý vi phạm dữ liệu của chúng tôi
Nếu một cá nhân hoặc Chủ thể dữ liệu bị ảnh hưởng bởi một vi phạm dữ liệu tin rằng một vi phạm dữ liệu đã không được xử lý đúng cách, một khiếu nại nên được thực hiện qua email DPO theo Chính sách quyền riêng tư và bảo vệ dữ liệu. Nếu sau khi kết thúc quy trình khiếu nại, cá nhân hoặc Chủ thể dữ liệu vẫn không hài lòng, thì có thể gửi khiếu nại trực tiếp đến liên hệ GDPR khu vực đó với một bản sao gửi cho DPO tại Anchanto.