Chính Sách Bảo Mật Dữ Liệu Cá Nhân

1. Nguyên Tắc Cốt Lõi & Căn Cứ Pháp Lý

Công ty TNHH Truyền Thông & Giải Trí Ngôi Sao Phương Đông (NSMEDIA) cam kết bảo vệ toàn diện quyền riêng tư, an toàn thông tin và dữ liệu cá nhân của mọi thành viên, Talent/Creator, Cộng tác viên (CTV), đối tác và người dùng khi truy cập hoặc sử dụng các dịch vụ trên các nền tảng: ngoisao.media, stars.ngoisao.media, wiki.ngoisao.media, studio.ngoisao.media.

Chính sách này được xây dựng trên cơ sở tuân thủ nghiêm ngặt và đầy đủ các quy định pháp luật hiện hành của nước Cộng hòa Xã hội Chủ nghĩa Việt Nam:

• Nghị định số 13/2023/NĐ-CP ngày 17/04/2023 của Chính phủ về Bảo vệ Dữ liệu Cá nhân (PDPD).
• Nghị định số 147/2024/NĐ-CP ngày 09/11/2024 của Chính phủ về Quản lý, cung cấp, sử dụng dịch vụ Internet và thông tin trên mạng.
• Luật An ninh mạng 2018 và Nghị định số 53/2022/NĐ-CP quy định chi tiết thi hành Luật An ninh mạng.
• Luật Giao dịch điện tử 2023 (Luật số 20/2023/QH15, có hiệu lực từ 01/07/2024).
• Luật Bảo vệ quyền lợi người tiêu dùng 2023 (Luật số 19/2023/QH15, có hiệu lực từ 01/07/2024).
• Các quy định của Bộ Thông tin & Truyền thông, Bộ Công Thương về quản lý thương mại điện tử và nền tảng số trực tuyến.

2. Phân Loại Dữ Liệu Thu Thập & Mục Đích Xử Lý

NSMEDIA phân định rõ ràng các loại dữ liệu cá nhân thu thập theo đúng Điều 2 Nghị định 13/2023/NĐ-CP:

• Dữ liệu cá nhân cơ bản: Họ và tên khai sinh, ngày tháng năm sinh, giới tính, số Căn cước công dân (CCCD)/Hộ chiếu, địa chỉ thường trú, địa chỉ nơi ở hiện tại, số điện thoại chính chủ, địa chỉ email, hình ảnh chân dung cá nhân (phục vụ xác thực eKYC đăng ký Talent).
• Dữ liệu mạng xã hội & hoạt động: TikTok ID, đường dẫn kênh phát sóng, số lượng người theo dõi, dữ liệu lịch sử phiên phát sóng livestream, kim cương quà tặng, thứ hạng bảng xếp hạng (phục vụ thống kê minh bạch tại sảnh Danh vọng stars.ngoisao.media).
• Dữ liệu cá nhân nhạy cảm (Điều 2 khoản 4 NĐ 13/2023): Thông tin tài khoản ngân hàng chính chủ (tên ngân hàng, số tài khoản, tên chủ tài khoản khớp CCCD), mã số thuế thu nhập cá nhân (phục vụ nghĩa vụ khấu trừ thuế tại nguồn và chi trả đối soát thu nhập định kỳ).
• Dữ liệu kỹ thuật số: Địa chỉ IP, nhật ký truy cập (access logs), thông tin thiết bị, trình duyệt, cookie kỹ thuật nhằm mục đích bảo vệ an toàn phiên làm việc, phòng chống tấn công mạng và gian lận.

3. Mục Đích Xử Lý Dữ Liệu Hợp Pháp

Mọi hoạt động xử lý dữ liệu cá nhân chỉ được thực hiện với sự đồng ý của chủ thể dữ liệu và nhằm các mục đích hợp pháp:

• Cung cấp và vận hành nền tảng quản lý Talent Livestream, hệ thống giáo trình đào tạo 66+ bài học tại wiki.ngoisao.media và trạm tác chiến số studio.ngoisao.media.
• Xác minh danh tính điện tử (eKYC) và số điện thoại chính chủ theo đúng quy định tại Nghị định 147/2024/NĐ-CP trước khi cấp quyền phát sóng, bình luận hoặc sử dụng công cụ AI.
• Thực hiện đối soát số liệu doanh thu quà tặng kim cương, tính toán thưởng KPI (Bảo cấp 21 bậc, thưởng Chuyên cần, thưởng PK quốc tế) và chuyển khoản chi trả định kỳ.
• Thực hiện nghĩa vụ pháp lý bắt buộc: Khấu trừ thuế TNCN tại nguồn, xuất hóa đơn VAT điện tử, lập và lưu trữ chứng từ khấu trừ thuế TNCN điện tử theo quy định của Tổng cục Thuế.
• Bảo đảm an toàn thông tin mạng, điều tra và ngăn chặn các hành vi giả mạo, gian lận, phát tán mã độc hoặc tấn công từ chối dịch vụ.

4. Tiêu Chuẩn Bảo Mật & Biện Pháp Kỹ Thuật

NSMEDIA thiết lập hạ tầng bảo mật nhiều tầng theo chuẩn quốc tế nhằm bảo đảm an toàn tuyệt đối cho dữ liệu:

• Mã hóa đầu cuối & Lưu trữ an toàn: Toàn bộ luồng truyền tải trên Internet được mã hóa theo giao thức SSL/TLS 256-bit. Dữ liệu nhạy cảm lưu trữ trong cơ sở dữ liệu được mã hóa chuẩn quân đội AES-256-CBC với cơ chế đảo khóa định kỳ (key rotation).
• Tường lửa Cloudflare Enterprise WAF: Ngăn chặn tự động các nguy cơ tấn công DDoS, SQL Injection, XSS, Zero-day exploit và bot scraping độc hại.
• Phân quyền truy cập nghiêm ngặt (RBAC) & 2FA: Chỉ nhân sự được ủy quyền bằng văn bản mới có thể tiếp cận dữ liệu cá nhân theo đúng thẩm quyền xử lý công việc và bắt buộc xác thực hai yếu tố.
• Hạ tầng lưu trữ tại Việt Nam: Cơ sở dữ liệu vận hành trên hệ thống máy chủ tuân thủ nghiêm ngặt quy định lưu trữ dữ liệu tại Việt Nam theo Luật An ninh mạng 2018 và Nghị định 53/2022/NĐ-CP.

5. Cam Kết Không Chia Sẻ Dữ Liệu Trái Phép

NSMEDIA khẳng định nguyên tắc bất khả xâm phạm: TUYỆT ĐỐI KHÔNG BÁN, KHÔNG CHO THUÊ, KHÔNG TRAO ĐỔI DỮ LIỆU CÁ NHÂN của người dùng, học viên, Talent cho bất kỳ bên thứ ba nào vì mục đích quảng cáo, tiếp thị thương mại trái phép.

Dữ liệu cá nhân chỉ được chia sẻ trong các trường hợp luật định cụ thể sau:

• Chuyển thông tin số tài khoản và họ tên tới các Ngân hàng thương mại / Cổng thanh toán quốc gia được Ngân hàng Nhà nước cấp phép nhằm hoàn tất lệnh chuyển tiền đối soát thu nhập cho Talent/CTV.
• Cung cấp theo yêu cầu bằng văn bản có thẩm quyền từ cơ quan điều tra, cơ quan thuế, tòa án hoặc cơ quan quản lý nhà nước có thẩm quyền tại Việt Nam theo đúng trình tự pháp luật.

6. Quyền Của Chủ Thể Dữ Liệu (Điều 9 Nghị Định 13/2023/NĐ-CP)

Chủ thể dữ liệu có đầy đủ 11 quyền cơ bản theo pháp luật Việt Nam:

• 1. Quyền được biết: Được thông báo rõ ràng, minh bạch về mọi hoạt động liên quan đến việc xử lý dữ liệu cá nhân của mình.
• 2. Quyền đồng ý: Được quyền tự nguyện đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân.
• 3. Quyền truy cập: Được quyền xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân của mình trên hệ thống.
• 4. Quyền rút lại sự đồng ý: Được quyền rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân bằng văn bản hoặc qua tài khoản đã xác thực.
• 5. Quyền xóa dữ liệu: Được quyền yêu cầu xóa bỏ hoặc hủy bỏ dữ liệu cá nhân khi chấm dứt hợp đồng hợp tác hoặc mục đích xử lý không còn hiệu lực.
• 6. Quyền hạn chế xử lý dữ liệu: Được quyền yêu cầu giới hạn phạm vi hoặc hình thức xử lý dữ liệu cá nhân của mình.
• 7. Quyền cung cấp dữ liệu: Được quyền yêu cầu NSMEDIA cung cấp bản sao dữ liệu cá nhân của mình theo định dạng điện tử tiêu chuẩn.
• 8. Quyền phản đối xử lý dữ liệu: Được quyền phản đối việc xử lý dữ liệu cá nhân nhằm ngăn chặn các hành vi sử dụng dữ liệu sai mục đích.
• 9. Quyền khiếu nại, tố cáo, khởi kiện: Được quyền gửi khiếu nại tới NSMEDIA hoặc khởi kiện ra cơ quan chức năng, Tòa án có thẩm quyền khi phát hiện vi phạm bảo mật dữ liệu.
• 10. Quyền yêu cầu bồi thường thiệt hại: Được quyền yêu cầu bồi thường thiệt hại theo quy định pháp luật khi quyền và lợi ích hợp pháp bị xâm phạm do hành vi vi phạm quy định bảo vệ dữ liệu.
• 11. Quyền tự bảo vệ: Được quyền tự bảo vệ dữ liệu cá nhân của mình theo quy định của Bộ luật Dân sự và các luật có liên quan.

7. Nghĩa Vụ Của Chủ Thể Dữ Liệu (Điều 10 Nghị Định 13/2023/NĐ-CP)

• Tự bảo vệ dữ liệu cá nhân của mình; chủ động bảo mật thông tin tài khoản đăng nhập, mật khẩu, mã OTP và thiết bị cá nhân.
• Tôn trọng, bảo vệ dữ liệu cá nhân của người khác; không thu thập, chia sẻ, phát tán dữ liệu của Idol, học viên, đối tác khác trên hệ thống khi chưa có sự đồng ý.
• Cung cấp đầy đủ, chính xác, trung thực dữ liệu cá nhân khi đăng ký tham gia hệ thống; chịu trách nhiệm trước pháp luật về tính chính xác của dữ liệu đã cung cấp.

8. Quy Định Về Dữ Liệu Trẻ Em (Điều 20 Nghị Định 13/2023/NĐ-CP)

Hệ thống NSMEDIA kiên quyết bảo vệ tối đa quyền lợi trẻ em trên không gian mạng:

• Chúng tôi không tuyển dụng hoặc ký hợp đồng hợp tác Creator phát sóng với người dưới 18 tuổi trừ trường hợp có sự đồng ý và bảo trợ bằng văn bản hợp pháp từ cha, mẹ hoặc người giám hộ theo quy định của Luật Trẻ em và Điều 20 Nghị định 13/2023/NĐ-CP.
• Trường hợp phát hiện dữ liệu của trẻ em được thu thập ngoài ý muốn mà chưa có sự đồng ý hợp lệ, chúng tôi sẽ lập tức xóa vĩnh viễn dữ liệu khỏi hệ thống máy chủ trong vòng 24 giờ làm việc.

9. Thời Hạn Lưu Trữ Dữ Liệu

Dữ liệu cá nhân được lưu trữ trong suốt thời gian chủ thể dữ liệu duy trì tài khoản hoặc hợp đồng hợp tác với NSMEDIA. Khi chấm dứt hợp tác, dữ liệu sẽ được xóa bỏ an toàn, ngoại trừ các thông tin bắt buộc phải lưu trữ theo quy định của Luật Kế toán và Luật Quản lý thuế (tối thiểu 10 năm đối với hồ sơ chi trả, hóa đơn, chứng từ khấu trừ thuế TNCN).

10. Bộ Phận Bảo Vệ Dữ Liệu (DPO) & Tiếp Nhận Yêu Cầu

NSMEDIA thành lập Bộ phận chuyên trách bảo vệ dữ liệu cá nhân (DPO) với cam kết tiếp nhận, xử lý và phản hồi bằng văn bản đối với mọi yêu cầu hợp lệ của chủ thể dữ liệu trong thời hạn tối đa 72 giờ làm việc: