Chính sách bảo vệ dữ liệu cá nhân

Công ty Cổ phần Chứng khoán KB Việt Nam (“KBSV”) cam kết bảo vệ quyền riêng tư đối với dữ liệu cá nhân của Quý khách. Chính sách Bảo vệ dữ liệu cá nhân (“Chính sách”) mô tả cách thức KBSV thu thập, sử dụng và xử lý dữ liệu cá nhân phát sinh trong quá trình hoạt động, kinh doanh của KBSV, khi người dùng cung cấp thông tin liên quan qua trang web, ứng dụng, sản phẩm, dịch vụ và các chương trình do KBSV quản lý theo quy định trong Chính sách bảo vệ dữ liệu cá nhân.

CHƯƠNG I. NHỮNG QUY ĐỊNH CHUNG
Điều 1. Mục đích, phạm vi điều chỉnh và đối tượng áp dụng
1.1.      Chính sách Bảo vệ dữ liệu cá nhân (“Chính sách”) quy định về hoạt động xử lý dữ liệu cá nhân mà KBSV xử lý và trách nhiệm bảo vệ dữ liệu cá nhân của các cá nhân, tổ chức có liên quan.
1.2.      Chính sách này áp dụng cho các đối tượng sau:

1.3.      Chính sách này áp dụng trên toàn hệ thống KBSV, bao gồm cả các chi nhánh và mạng lưới kinh doanh.
Điều 2. Giải thích từ ngữ
2.1.      KBSV hoặc Công ty: Công ty Cổ phần Chứng khoán KB Việt Nam.
2.2.      Dữ liệu cá nhân: Thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể.
2.3.      Dữ liệu cá nhân nhạy cảm: là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân mà khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp tới quyền và lợi ích hợp pháp của cá nhân gồm các loại dữ liệu được liệt kê tại Khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân và các quy định sửa đổi, bổ sung tại từng thời điểm.
2.4.      Chủ thể dữ liệu: Cá nhân được dữ liệu cá nhân phản ánh.
2.5.      Xử lý dữ liệu cá nhân: Một hoặc nhiều hoạt động tác động tới dữ liệu cá nhân như: thu thập, ghi, phân tích, xác nhận, lưu trữ, chỉnh sửa, công khai, kết hợp, truy cập, truy xuất, thu hồi, mã hoá, giải mã, sao chép, chia sẻ, truyền đưa, cung cấp, chuyển giao, xoá, huỷ dữ liệu cá nhân hoặc các hành động khác có liên quan.
Điều 3. Nguyên tắc bảo vệ dữ liệu cá nhân
3.1.      Dữ liệu cá nhân được xử lý theo quy định của pháp luật: Dữ liệu cá nhân phải được xử lý theo đúng quy định của pháp luật, bảo đảm tính hợp pháp, minh bạch và chính xác, phù hợp với mục đích đã được thông báo và sự đồng ý của chủ thể dữ liệu, trừ những trường hợp pháp luật cho phép không cần sự đồng ý.
3.2.      Chủ thể dữ liệu được biết về hoạt động liên quan tới xử lý dữ liệu cá nhân của mình: Chủ thể dữ liệu có quyền được biết về các hoạt động liên quan đến việc xử lý dữ liệu cá nhân của mình, trừ trường hợp pháp luật có quy định khác.
3.3.      Dữ liệu cá nhân chỉ được xử lý đúng với mục đích đã được Chủ thể dữ liệu đồng ý

3.4.      Dữ liệu cá nhân thu thập phải phù hợp và giới hạn trong phạm vi, mục đích cần xử lý: Chỉ được thu thập các dữ liệu cáo liên quan trực tiếp đến mục đích đã xác định.
3.5.      Dữ liệu cá nhân được cập nhật, bổ sung phù hợp với mục đích xử lý: Dữ liệu cá nhân phải được đảm bảo chính xác, đầy đủ và được cập nhật khi cần thiết.
3.6.      Dữ liệu cá nhân được áp dụng các biện pháp bảo vệ, bảo mật trong quá trình xử lý: Dữ liệu cá nhân phải được bảo vệ bằng các biện pháp kỹ thuật và tổ chức phù hợp để phòng ngừa rủi ro, truy cập trái phép, mất mát hoặc rò rỉ.
3.7.      Dữ liệu cá nhân chỉ được lưu trữ trong khoảng thời gian phù hợp: Dữ liệu cá nhân chỉ được lưu trữ trong thời gian cần thiết cho mục đích xử lý và theo quy định pháp luật.
Điều 4. Các hành vi bị cấm
4.1.      Xử lý dữ liệu cá nhân trái với Chính sách này và quy định khác của pháp luật có liên quan đến bảo vệ dữ liệu cá nhân.
4.2.      Xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu nhằm chống lại nhà nước.
4.3.      Xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu gây ảnh hưởng tới an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của Công ty, tổ chức, cá nhân khác.
4.4.      Cản trở hoạt động bảo vệ dữ liệu cá nhân của Công ty.
4.5.      Lợi dụng hoạt động bảo vệ dữ liệu cá nhân để vi phạm pháp luật.
 
CHƯƠNG II. QUY ĐỊNH CỤ THỂ
Điều 5.  Sự đồng ý của Chủ thể dữ liệu
5.1.      Trước khi xử lý dữ liệu cá nhân, KBSV thu thập sự đồng ý của chủ thể dữ liệu: Khi thu thập sự đồng ý, chủ thể thể dữ liệu phải được thông báo và biết rõ (i) Loại dữ liệu cá nhân được xử lý; (ii) Mục đích xử lý dữ liệu cá nhân; (iii) Tổ chức, cá nhân được xử lý dữ liệu cá nhân; (iv) Các quyền và nghĩa vụ của chủ thể dữ liệu.
5.2.      Sự đồng ý của chủ thể dữ liệu phải được thể hiện rõ ràng, cụ thể bằng văn bản, giọng nói, đánh dấu vào ô đồng ý, cú pháp đồng ý qua tin nhắn, chọn các thiết lập kỹ thuật đồng ý hoặc qua một hành động khác thể hiện được điều này.
5.3.      Sự đồng ý của chủ thể dữ liệu phải được tiến hành cho cùng một mục đích. Khi có nhiều mục đích, KBSV phải liệt kê các mục đích để chủ thể dữ liệu đồng ý với một hoặc nhiều mục đích nêu ra.
5.4.      Sự đồng ý của chủ thể dữ liệu phải được thể hiện ở một định dạng có thể được in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được.
5.5.      Sự im lặng hoặc không phản hồi của chủ thể dữ liệu không được coi là sự đồng ý.
5.6.      Chủ thể dữ liệu có thể đồng ý một phần hoặc với điều kiện kèm theo.
5.7.      Đối với xử lý dữ liệu cá nhân nhạy cảm, chủ thể dữ liệu phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm.
5.8.      Sự đồng ý của chủ thể dữ liệu có hiệu lực cho tới khi chủ thể dữ liệu có quyết định khác hoặc khi cơ quan nhà nước có thẩm quyền có yêu cầu bằng văn bản.
5.9.      Thông qua việc ủy quyền theo quy định của Bộ luật dân sự, tổ chức, cá nhân có thể thay mặt chủ thể dữ liệu thực hiện các thủ tục liên quan tới xử lý dữ liệu cá nhân của chủ thể dữ liệu với KBSV trong trường hợp chủ thể dữ liệu đã biết rõ và đồng ý theo quy định tại Chính sách này.
Điều 6. Rút lại sự đồng ý
6.1.      Việc rút lại sự đồng ý phải được thể hiện ở một định dạng có thể được in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được. 
6.2.      Khi nhận yêu cầu rút lại sự đồng ý của chủ thể dữ liệu, KBSV cần thông báo cho chủ thể dữ liệu về hậu quả, thiệt hại có thể xảy ra sau khi rút lại sự đồng ý.
6.3.      Sau khi nhận yêu cầu rút lại sự đồng ý ở hình thức hợp lệ của chủ thể dữ liệu, KBSV ngừng và yêu cầu các tổ chức, cá nhân có liên quan ngừng xử lý dữ liệu của chủ thể dữ liệu đã rút lại sự đồng ý.
Điều 7. Thông báo xử lý dữ liệu cá nhân
7.1.      Thông báo về hoạt động xử lý dữ liệu cá nhân phải được thực hiện một lần trước khi tiến hành, nội dung thông báo bao gồm (i) mục đích xử lý; (ii) loại dữ liệu được sử dụng; (iii) cách thức xử lý; (iv) thông tin về bên thứ ba (nếu có); (v) hậu quả có thể phát sinh; (vi) thời điểm bắt đầu và kết thúc xử lý dữ liệu.
7.2.      Việc thông báo cho chủ thể dữ liệu phải được thực hiện ở một định dạng có thể được in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được.
7.3.      KBSV không cần thông báo trước khi xử lý dữ liệu nếu chủ thể dữ liệu đã biết và đồng ý đầy đủ với nội dung quy định tại khoản 1 Điều này, hoặc trong trường hợp dữ liệu được xử lý bởi cơ quan nhà nước có thẩm quyền phục vụ hoạt động theo pháp luật.
Điều 8. Cung cấp dữ liệu cá nhân
8.1.      KBSV cần cung cấp dữ liệu cá nhân trong 72 giờ sau khi nhận được yêu cầu của chủ thể dữ liệu, trừ trường hợp pháp luật có quy định khác.
8.2.      KBSV được cung cấp hoặc thay mặt chủ thể dữ liệu cung cấp dữ liệu cá nhân cho bên thứ ba khi có sự đồng ý hoặc ủy quyền hợp pháp của chủ thể dữ liệu, trừ trường hợp pháp luật có quy định khác.
8.3.      KBSV không cung cấp dữ liệu cá nhân trong trường hợp:
a.         Gây tổn hại tới quốc phòng, an ninh quốc gia, trật tự an toàn xã hội;
b.         Gây ảnh hưởng tới sự an toàn, sức khỏe thể chất hoặc tinh thần của người khác;
c.         Chủ thể dữ liệu không đồng ý cung cấp, cho phép đại diện hoặc ủy quyền nhận dữ liệu cá nhân.
8.4.      Khi nhận được yêu cầu cung cấp dữ liệu cá nhân hợp lệ, KBSV thông báo về thời hạn, địa điểm, hình thức cung cấp dữ liệu cá nhân; chi phí thực tế để in, sao, chup, gửi thông tin qua dịch vụ bưu chính, fax (nếu có) và phương thức, thời hạn thanh toán; thực hiện việc cung cấp dữ liệu cá nhân theo trình tự, thủ tục theo quy định của pháp luật.
Điều 9. Chỉnh sửa dữ liệu cá nhân
9.1.      KBSV cần chỉnh sửa dữ liệu cá nhân sau khi được chủ thể dữ liệu cá nhân đồng ý ngay khi có thể hoặc theo pháp luật chuyên ngành sau khi được chủ thể dữ liệu cá nhân đồng ý. Trường hợp không thể thực hiện cần thông báo tới chủ thể dữ liệu sau 72 giờ kể từ khi nhận được yêu cầu chỉnh sửa. 
9.2.      KBSV chỉ được cho phép bên thứ ba chỉnh sửa dữ liệu cá nhân của chủ thể khi KBSV đã thể hiện sự đồng ý bằng văn bản và xác nhận rõ đã có sự đồng ý của chủ thể dữ liệu.
Điều 10. Lưu trữ, xoá, huỷ dữ liệu cá nhân
10.1.    KBSV lưu trữ dữ liệu cá nhân theo hình thức phù hợp với hoạt động của mình và có biện pháp bảo vệ dữ liệu cá nhân theo quy định của pháp luật.
10.2.     KBSV xóa dữ liệu cá nhân trong các trường hợp sau:
a.         Theo yêu cầu xóa dữ liệu của chủ thể dữ liệu trong các trường hợp quy dịnh tại Khoản 1 Điều 16 Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân và các quy định sửa đổi, bổ sung tại từng thời điểm;
b.         Dữ liệu cá nhân phải xóa theo quy định của pháp luật.
10.3.     KBSV không xoá dữ liệu cá nhân trong các trường hợp:
a.         Pháp luật quy định không cho phép xóa dữ liệu;
b.         Dữ liệu cá nhân được xử lý bởi cơ quan nhà nước có thẩm quyền với mục đích phục vụ hoạt động của cơ quan nhà nước theo quy định của pháp luật;
c.         Dữ liệu cá nhân đã được công khai theo quy định của pháp luật;
d.         Dữ liệu cá nhân được xử lý nhằm phục vụ yêu cầu pháp lý, nghiên cứu khoa học, thống kê theo quy định của pháp luật;
e.         Trong trường hợp tình trạng khẩn cấp về quốc phòng, an ninh quốc gia, trật tự an toàn xã hội, thảm họa lớn, dịch bệnh nguy hiểm; khi có nguy cơ đe dọa an ninh, quốc phòng nhưng chưa đến mức ban bố tình trạng khẩn cấp; phòng, chống bạo loạn, khủng bố, phòng, chống tội phạm và vi phạm pháp luật;
f.          Ứng phó với tình huống khẩn cấp đe dọa đến tính mạng, sức khỏe hoặc sự an toàn của chủ thể dữ liệu hoặc cá nhân khác.
10.4.    KBSV cần xoá dữ liệu cá nhân trong 72 giờ sau khi có yêu cầu của chủ thể dữ liệu, trừ trường hợp pháp luật có quy định khác.
10.5.    KBSV lưu trữ dữ liệu cá nhân theo hình thức phù hợp và có biện pháp bảo vệ dữ liệu cá nhân theo quy định của pháp luật.
10.6.     KBSV thực hiện xoá không thể khôi phục trong trường hợp:
a.         Xử lý dữ liệu không đúng mục đích hoặc đã hoàn thành mục đích xử lý dữ liệu cá nhân được chủ thể dữ liệu đồng ý;
b.         Việc lưu trữ dữ liệu cá nhân không còn cần thiết với hoạt động của KBSV;
c.         KBSV bị giải thể, không còn hoạt động, tuyên bố phá sản hoặc chấm dứt hoạt động kinh doanh theo quy định của pháp luật.
Điều 11. Xử lý dữ liệu cá nhân trong trường hợp không cần sự đồng ý của chủ thể dữ liệu
KBSV không cần sự đồng ý của chủ thể dữ liệu để xử lý dữ liệu cá nhân trong trường hợp (i) khẩn cấp để bảo vệ tính mạng chủ thể dữ liệu hoặc người khác; (ii) công khai dữ liệu cá nhân theo quy định pháp luật; (iii) xử lý bởi cơ quan nhà nước trong các tình huống liên quan đến quốc phòng, an ninh; thực hiện nghĩa vụ theo hợp đồng với chủ thể dữ liệu; (iv) phục vụ hoạt động của cơ quan nhà nước được quy định theo luật chuyên ngành.
Điều 12. Xử lý dữ liệu cá nhân của người bị tuyên bố mất tích, đã chết
12.1.    Việc xử lý dữ liệu cá nhân liên quan đến dữ liệu cá nhân của người bị tuyên bố mất tích, người đã chết phải được sự đồng ý của vợ, chồng hoặc con thành niên của người đó. Trường hợp không có những người này thì phải được sự đồng ý của cha đẻ, mẹ đẻ của người bị tuyên bố mất tích, người đã chết.
12.2.    Trường hợp không có tất cả những người được nêu tại khoản 1 Điều này thì được coi là không đồng ý.
Điều 13. Xử lý dữ liệu cá nhân của trẻ em
13.1.    KBSV thực hiện nguyên tắc bảo vệ các quyền và vì lợi ích tốt nhất của trẻ em khi xử lý dữ liệu cá nhân của trẻ em.
13.2.    KBSV cần xác minh tuổi của trẻ em trước khi xử lý dữ liệu cá nhân của trẻ em. Việc xử lý dữ liệu cá nhân của trẻ em phải có sự đồng ý của trẻ em trong trường hợp trẻ em từ đủ 7 tuổi trở lên và có sự đồng ý của trẻ em cha, mẹ hoặc người giám hộ theo quy định.
13.3.    KBSV ngừng, xoá không thể khôi phục hoặc huỷ dữ liệu cá nhân của trẻ em khi (i) xử lý dữ liệu không đúng mục đích hoặc đã hoàn thành mục đích xử lý dữ liệu cá nhân được chủ thể dữ liệu đồng ý; (ii) cha, mẹ hoặc người giám hộ của trẻ em rút lại sự đồng ý; (iii) theo yêu cầu của cơ quan chức năng có thẩm quyền.
Điều 14. Chuyển giao dữ liệu cá nhân
14.1.    Chuyển dữ liệu cá nhân trên phạm vi lãnh thổ Việt Nam: Việc chuyển dữ liệu cá nhân trong nội bộ hoặc bên ngoài KBSV phải tuân thủ các yêu cầu về ủy quyền xử lý dữ liệu cá nhân và phải có sự đồng ý của chủ thể dữ liệu. Bên nhận dữ liệu có trách nhiệm chỉ sử dụng dữ liệu vào các mục đích đã được xác định trước.
14.2.    Chuyển dữ liệu cá nhân ra nước ngoài: Khi chuyển dữ liệu cá nhân ra nước ngoài, KBSV cần thu thập sự đồng ý của chủ thể dữ liệu cá nhân và thực hiện các công việc liên quan đến Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo quy định nhằm phục vụ mục đích kiểm tra của cơ quan có thẩm quyền.
Điều 15. Xử lý vi phạm
Cá nhân, đơn vị vi phạm quy định về bảo vệ dữ liệu cá nhân tuỳ theo mức độ có thể bị xử lý kỷ luật, xử phạt theo quy định.
Điều 16. Quy định khác
16.1      Chính sách này có thể được KBSV cập nhật, sửa đổi, bổ sung hoặc thay thế trong từng thời kỳ và được đăng tải trên trang điện tử chính thức của KBSV: https://www.kbsec.com.vn/. Quý khách nên truy cập và kiểm tra trang web của chúng tôi thường xuyên để cập nhật những thay đổi gần nhất.
16.2      Trường hợp Khách hàng có bất kỳ thắc mắc, câu hỏi nào liên quan đến Chính sách hoặc các vấn đề liên quan đến quyền của chủ thể dữ liệu, vui lòng liên hệ với chúng tôi thông qua các kênh sau:
Gửi email đến địa chỉ: info@kbsec.com.vn
Hoặc đến trực tiếp tại:
Trụ sở chính: Tầng 16 & 17, Tháp 02, Tòa nhà Capital Place, số 29 Liễu Giai, phường Ngọc Hà, TP. Hà Nội.
Điện thoại: (84.24) 7303 5333
Hoặc liên hệ với bất kỳ văn phòng giao dịch nào của chúng tôi trên toàn quốc để được hỗ trợ.