Bảo vệ dữ liệu
của bạn là ưu tiên hàng đầu

1. Giới thiệu

Công Ty TNHH MTV Công Nghệ Phần Mềm Vĩnh Đạt ("Vĩnh Đạt", "Chúng tôi") tôn trọng và cam kết bảo vệ quyền riêng tư của người dùng và bệnh nhân. Chính sách này mô tả cách chúng tôi thu thập, sử dụng, lưu trữ, chia sẻ và bảo vệ dữ liệu khi bạn sử dụng ứng dụng quản lý phòng khám ("Ứng dụng").

Chính sách được xây dựng tuân thủ Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, Luật An toàn thông tin mạng và các quy định pháp luật Việt Nam liên quan.

2. Vai trò xử lý dữ liệu

• •Phòng khám là Bên Kiểm soát dữ liệu (Data Controller): chủ sở hữu dữ liệu bệnh nhân và quyết định mục đích sử dụng.
• •Vĩnh Đạt là Bên Xử lý dữ liệu (Data Processor): lưu trữ, vận hành hạ tầng kỹ thuật thay mặt Phòng khám theo hợp đồng dịch vụ.
• •Vĩnh Đạt KHÔNG sử dụng dữ liệu bệnh nhân cho mục đích thương mại, KHÔNG huấn luyện AI, KHÔNG bán cho bên thứ ba.

3. Thông tin chúng tôi thu thập

4. Mục đích sử dụng

• •Cung cấp các chức năng quản lý lịch hẹn, hồ sơ điều trị, đơn thuốc, hoá đơn.
• •Xác thực danh tính người dùng và phân quyền truy cập.
• •Gửi thông báo nhắc lịch hẹn, kết quả điều trị, thông báo hệ thống.
• •Đảm bảo an toàn hệ thống, phát hiện và xử lý truy cập trái phép.
• •Hỗ trợ kỹ thuật khi Người dùng yêu cầu.
• •Tuân thủ nghĩa vụ pháp lý và yêu cầu của cơ quan nhà nước có thẩm quyền.

5. Cơ sở pháp lý xử lý dữ liệu

• •Sự đồng ý của chủ thể dữ liệu khi đăng ký/đăng nhập sử dụng Ứng dụng.
• •Thực hiện hợp đồng dịch vụ giữa Phòng khám và Vĩnh Đạt.
• •Tuân thủ nghĩa vụ pháp lý theo Nghị định 13/2023/NĐ-CP.
• •Lợi ích hợp pháp trong việc bảo vệ hệ thống và ngăn chặn gian lận.

6. Lưu trữ & Bảo mật

Toàn bộ dữ liệu được lưu trữ trên máy chủ đặt tại Việt Nam, tuân thủ pháp luật về bảo vệ dữ liệu cá nhân.

• •Mật khẩu được mã hoá bằng thuật toán BCrypt, không thể giải mã ngược.
• •Toàn bộ kết nối giữa ứng dụng và máy chủ được mã hoá bằng giao thức HTTPS/TLS.
• •Phiên đăng nhập dùng JWT access token hiệu lực 24 giờ, kèm refresh token để gia hạn.
• •Phân quyền chi tiết theo vai trò (RBAC): nhân viên chỉ thấy dữ liệu thuộc phạm vi công việc.
• •Nhật ký audit log ghi lại mọi thao tác truy cập/chỉnh sửa dữ liệu nhạy cảm.
• •Sao lưu định kỳ hàng ngày, lưu trữ tách biệt khỏi hệ thống chính.
• •Mọi yêu cầu tới máy chủ đều phải kèm khoá API và mã định danh phòng khám; thiếu một trong hai thì bị từ chối.

7. Chia sẻ dữ liệu

Vĩnh Đạt CAM KẾT KHÔNG bán, không chia sẻ dữ liệu cá nhân cho bên thứ ba vì mục đích thương mại. Dữ liệu chỉ được chia sẻ trong các trường hợp:

• •Có sự đồng ý rõ ràng bằng văn bản của Phòng khám/chủ thể dữ liệu.
• •Bắt buộc theo yêu cầu của cơ quan nhà nước có thẩm quyền theo quy định pháp luật.
• •Chia sẻ với nhà cung cấp dịch vụ hạ tầng (cloud hosting, push notification): các bên này đều ký NDA và chỉ xử lý dữ liệu trong phạm vi cần thiết.
• •Thực hiện nghĩa vụ hợp đồng (ví dụ: xuất hoá đơn cho cơ quan thuế khi được Phòng khám uỷ quyền).

8. Quyền của Chủ thể dữ liệu

Theo Nghị định 13/2023/NĐ-CP, bạn có các quyền sau đối với dữ liệu cá nhân của mình:

• •Quyền được biết về việc xử lý dữ liệu cá nhân.
• •Quyền đồng ý hoặc rút lại sự đồng ý bất kỳ lúc nào.
• •Quyền truy cập, xem và yêu cầu cung cấp bản sao dữ liệu cá nhân.
• •Quyền chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu không chính xác.
• •Quyền xoá dữ liệu (trong trường hợp được pháp luật cho phép).
• •Quyền hạn chế xử lý dữ liệu trong các trường hợp đặc biệt.
• •Quyền chuyển dữ liệu sang nhà cung cấp khác (data portability).
• •Quyền phản đối việc xử lý dữ liệu.
• •Quyền khiếu nại, tố cáo, khởi kiện theo quy định pháp luật.

9. Thời hạn lưu trữ & Khi chấm dứt dịch vụ

Dữ liệu được lưu trữ trong suốt thời gian Phòng khám sử dụng dịch vụ. Khi Phòng khám đổi gói, ngừng dùng hoặc chấm dứt hợp đồng:

• •Vĩnh Đạt hỗ trợ Phòng khám xuất toàn bộ dữ liệu dưới dạng tệp sao lưu cơ sở dữ liệu (SQL) trong vòng 7 ngày kể từ khi có yêu cầu.
• •Sau 15 ngày kể từ ngày chấm dứt dịch vụ, dữ liệu của Phòng khám sẽ được xoá vĩnh viễn khỏi máy chủ chính và các bản sao lưu, trừ trường hợp pháp luật yêu cầu lưu trữ dài hơn.
• •Nghĩa vụ lưu trữ hồ sơ bệnh án theo thời hạn pháp luật quy định thuộc về Phòng khám với tư cách Bên Kiểm soát dữ liệu. Phòng khám cần xuất và tự lưu giữ dữ liệu trước khi hết thời hạn 15 ngày.
• •Vĩnh Đạt thông báo trước ít nhất 7 ngày qua các kênh liên hệ đã đăng ký trước khi xoá dữ liệu.
• •Audit log (nhật ký truy cập) được giữ lại tối đa 2 năm theo quy định để phục vụ thanh tra/kiểm tra nếu có.
• •Trong trường hợp Phòng khám yêu cầu xoá ngay lập tức, Vĩnh Đạt sẽ thực hiện trong vòng 72 giờ sau khi xác minh yêu cầu.

10. Cookies & Công nghệ theo dõi

Ứng dụng di động không sử dụng cookies. Tuy nhiên, chúng tôi có sử dụng các công nghệ tương đương như AsyncStorage để lưu phiên đăng nhập và tuỳ chỉnh giao diện. Dữ liệu này chỉ lưu trên thiết bị của bạn và bị xoá khi gỡ ứng dụng.

11. Bảo vệ Dữ liệu Trẻ em

Ứng dụng chỉ dành cho nhân viên phòng khám từ 18 tuổi trở lên. Đối với dữ liệu bệnh nhân là trẻ em dưới 16 tuổi, Phòng khám có trách nhiệm thu thập sự đồng ý của cha mẹ/người giám hộ trước khi nhập vào hệ thống theo quy định pháp luật.

12. Sự cố rò rỉ dữ liệu

Trong trường hợp xảy ra sự cố rò rỉ dữ liệu cá nhân, Vĩnh Đạt cam kết:

• •Thông báo cho Phòng khám và chủ thể dữ liệu trong vòng 72 giờ kể từ khi phát hiện.
• •Báo cáo Bộ Công an theo quy định tại Nghị định 13/2023/NĐ-CP.
• •Thực hiện các biện pháp khắc phục và giảm thiểu thiệt hại.
• •Hỗ trợ Phòng khám trong việc thông báo và xử lý hậu quả.

13. Thay đổi Chính sách

Chúng tôi có quyền cập nhật Chính sách Quyền riêng tư khi cần. Mọi thay đổi quan trọng sẽ được thông báo trong Ứng dụng hoặc qua email ít nhất 7 ngày trước khi có hiệu lực. Phiên bản hiện hành luôn được hiển thị trong Ứng dụng.

14. Liên hệ

Mọi câu hỏi, yêu cầu thực hiện quyền của chủ thể dữ liệu hoặc khiếu nại về quyền riêng tư, vui lòng liên hệ Vĩnh Đạt qua: