Chính sách bảo mật CTAS Work

Chính sách này giải thích cách dữ liệu cá nhân được xử lý trong CTAS Work — ứng dụng iOS, Android và website work.ctas.vn để chấm công, xếp ca, duyệt đơn, quản lý nhân sự, tính lương, quy trình và đào tạo nội bộ. Chính sách áp dụng cùng Chính sách bảo mật chung (tài khoản CTAS, thanh toán) và Thoả thuận xử lý dữ liệu; được xây dựng theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Bộ luật Lao động và các văn bản hướng dẫn.

1. Ai chịu trách nhiệm

• Tổ chức sử dụng lao động (doanh nghiệp, cửa hàng) đưa Bạn vào CTAS Work là bên kiểm soát dữ liệu nhân sự của Bạn: quyết định thu gì, ai xem, lưu bao lâu, có bật chấm công theo vị trí, Wi-Fi hay không. Câu hỏi về dữ liệu nhân sự nên gửi trước tiên cho tổ chức.
• CTA Solution là bên xử lý dữ liệu đó theo chỉ dẫn của tổ chức, và là bên kiểm soát dữ liệu tài khoản CTAS, thanh toán gói, số liệu sử dụng ứng dụng.

2. Dữ liệu được xử lý

2.1. Tài khoản

• Họ tên, email, số điện thoại, mật khẩu (lưu dưới dạng băm), ảnh đại diện, ngôn ngữ; thiết bị đăng nhập và giới hạn thiết bị.

2.2. Hồ sơ nhân sự (do Bạn hoặc tổ chức nhập)

• Phòng ban, chức vụ, vai trò, ngày vào làm, điều khoản làm việc, hợp đồng lao động, mức lương, phụ cấp, khoản cộng/trừ, bảo hiểm, mã số thuế, số người phụ thuộc.
• Thông tin định danh: ngày sinh, địa chỉ thường trú, số và ngày cấp giấy tờ tuỳ thân, tài khoản ngân hàng nhận lương — mã hoá khi lưu, mỗi lần xem đều được ghi nhật ký truy cập; có thể nhập bằng cách quét mã QR trên giấy tờ.

2.3. Chấm công và vị trí

• Thời điểm vào/ra ca, ca làm, lịch làm, ngày công.
• Toạ độ vị trí tại đúng thời điểm Bạn chấm công (khi tổ chức bật chấm công theo vị trí) và khi quản lý ghim vị trí nơi làm việc trên bản đồ. Ứng dụng không theo dõi vị trí trong nền hay ngoài lúc chấm công.
• Tên và định danh mạng Wi-Fi đang kết nối khi tổ chức bật xác thực Wi-Fi, hoặc khi Bạn xác nhận cung cấp Wi-Fi nơi làm việc theo yêu cầu của quản lý.

2.4. Đơn từ, lương và quy trình

• Đơn nghỉ phép, điều chỉnh ca, tạm ứng, tăng ca kèm lý do; phiếu lương, kỳ lương, lệnh chi.
• Biểu mẫu, checklist, ảnh minh chứng trong quy trình; hợp đồng lao động; huy hiệu, khen thưởng.
• Tiến độ khoá đào tạo nội bộ tổ chức giao cho Bạn.

2.5. Thiết bị và cách Bạn dùng ứng dụng

• Loại thiết bị, hệ điều hành, phiên bản ứng dụng, mã nhận thông báo đẩy, địa chỉ IP, nhật ký đăng nhập và nhật ký lỗi.
• Số liệu sử dụng: màn hình Bạn mở, thao tác chính (ví dụ chấm công, mua gói), dòng máy — gắn với tài khoản, chỉ để cải thiện sản phẩm; không gồm nội dung Bạn nhập, số tiền hay vị trí; không dùng cho quảng cáo hay theo dõi trên ứng dụng khác. Báo cáo lỗi và hiệu năng không gắn với tài khoản. Bạn tắt được tại Tài khoản › Quyền riêng tư › Chia sẻ dữ liệu sử dụng.

3. Dữ liệu cá nhân nhạy cảm

• Vị trí xác định qua dịch vụ định vị: chỉ xử lý khi Bạn chủ động chấm công sau khi cấp quyền vị trí trên thiết bị, để xác nhận Bạn ở nơi làm việc. Bạn thu hồi quyền trong cài đặt thiết bị; khi đó chấm công theo vị trí không hoạt động.
• Loại nghỉ phép như nghỉ ốm, thai sản, việc hiếu có thể cho thấy tình trạng sức khoẻ hoặc hoàn cảnh gia đình. Chỉ người có quyền duyệt đơn trong tổ chức thấy chi tiết; Bạn nên ghi lý do ở mức cần thiết, không cần đính kèm hồ sơ bệnh án trừ khi tổ chức yêu cầu theo pháp luật lao động.
• Thông tin tài chính (lương, tài khoản ngân hàng) và số giấy tờ định danh: mã hoá khi lưu, phân quyền chặt, ghi nhật ký truy cập.
• Chúng tôi không yêu cầu dữ liệu về tôn giáo, quan điểm chính trị hay dữ liệu sinh trắc học. Đăng nhập Face ID, vân tay do hệ điều hành thực hiện; chúng tôi không nhận dữ liệu sinh trắc học.

4. Mục đích xử lý

• Chấm công, xếp ca, đơn từ, nghỉ phép, tính lương, quy trình, đào tạo và báo cáo theo yêu cầu của tổ chức.
• Gửi thông báo vận hành: đơn chờ duyệt, phiếu lương, nhắc ca, nhắc việc, bảo trì.
• Xử lý thanh toán gói, xuất hoá đơn, chống gian lận; hỗ trợ khách hàng.
• Bảo đảm an ninh; phân tích tổng hợp để cải thiện sản phẩm; tuân thủ pháp luật.

5. Cơ sở xử lý

Với dữ liệu nhân sự, tổ chức sử dụng lao động xác định và chịu trách nhiệm về cơ sở xử lý (hợp đồng lao động, nghĩa vụ theo pháp luật lao động, thuế, bảo hiểm, hoặc sự đồng ý của người lao động). CTA Solution xử lý dữ liệu tài khoản và thanh toán để thực hiện hợp đồng dịch vụ, theo nghĩa vụ pháp lý và — với số liệu sử dụng, đo lường quảng cáo — theo sự đồng ý của Bạn.

6. Ai thấy và nhận dữ liệu

• Trong tổ chức: quản trị viên, quản lý, trưởng nhóm thấy dữ liệu của Bạn theo phân quyền và phạm vi phòng ban tổ chức thiết lập.
• Nhà cung cấp dịch vụ của CTA Solution theo hợp đồng: máy chủ, cơ sở dữ liệu (Laravel Cloud, MongoDB Atlas), lưu trữ và phân phối tệp (Amazon Web Services, Bunny, Cloudflare, Vercel), gửi email, thông báo đẩy (Apple, Google), bản đồ và tìm địa chỉ (Apple Maps, Google Maps, Goong), mã xác thực qua Zalo, hợp đồng và hoá đơn điện tử (Viettel).
• Thanh toán gói: Apple (App Store), Google (Google Play), cổng PayOS.
• Đối tác quảng cáo (Meta, TikTok): khi tổ chức mua gói và người mua đã đồng ý cookie tiếp thị trên website, email và số điện thoại của người mua đã mã hoá một chiều (SHA-256) cùng giá trị giao dịch được gửi để đo hiệu quả quảng cáo. Dữ liệu nhân sự, chấm công, lương không bao giờ được gửi cho đối tác quảng cáo.
• Ứng dụng tích hợp tổ chức kết nối qua CTAS Developer, theo phạm vi tổ chức cấp quyền.
• Cơ quan nhà nước có thẩm quyền theo yêu cầu hợp pháp.

7. Chuyển dữ liệu ra nước ngoài

Một số nhà cung cấp hạ tầng đặt máy chủ ngoài Việt Nam (chủ yếu tại Singapore). CTA Solution lập và lưu hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài và thực hiện các thủ tục khác theo pháp luật về bảo vệ dữ liệu cá nhân, đồng thời hỗ trợ tổ chức thực hiện nghĩa vụ của bên kiểm soát.

8. Thời gian lưu trữ

• Dữ liệu nhân sự của tổ chức: lưu trực tuyến theo thời hạn của gói (Starter 6 tháng, Growth và Business 1 năm, Enterprise theo hợp đồng) và theo chỉ dẫn của tổ chức; dữ liệu quá hạn được xuất thành tệp Excel, PDF (và JSON với gói Business, Enterprise) để tổ chức lưu giữ. Tổ chức có thể phải lưu hồ sơ chấm công, lương theo pháp luật lao động, kế toán.
• Tài khoản: trong thời gian còn hoạt động; xoá hoặc ẩn danh trong 30 ngày sau khi Bạn xoá tài khoản, trừ phần tổ chức hoặc pháp luật yêu cầu lưu.
• Nhật ký truy cập thông tin định danh: theo thời hạn lưu hồ sơ nhân sự. Nhật ký kỹ thuật: tối đa 12 tháng.
• Số liệu sử dụng ứng dụng: 180 ngày. Báo cáo lỗi và hiệu năng: 90 ngày.

9. Bảo mật dữ liệu

• Mã hoá đường truyền HTTPS/TLS; mật khẩu băm bằng bcrypt; thông tin định danh, tài khoản ngân hàng mã hoá khi lưu và ghi nhật ký mỗi lần truy cập.
• Tách dữ liệu theo tổ chức; phân quyền theo vai trò và phạm vi phòng ban; xác thực nhiều lớp; giới hạn thiết bị và tần suất truy cập.
• Nhân sự CTA Solution truy cập theo nguyên tắc cần biết, có ghi nhật ký.

Khi xảy ra sự cố vi phạm dữ liệu cá nhân, chúng tôi thông báo cho tổ chức, cơ quan có thẩm quyền và người bị ảnh hưởng theo thời hạn pháp luật quy định.

10. Quyền của Bạn

Bạn có quyền được biết; đồng ý hoặc rút lại sự đồng ý; truy cập, chỉnh sửa; yêu cầu xoá; hạn chế hoặc phản đối xử lý; yêu cầu cung cấp dữ liệu; khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường. Bạn tự xem phần lớn dữ liệu của mình trong ứng dụng (chấm công, đơn từ, phiếu lương, hồ sơ). Với dữ liệu nhân sự, hãy liên hệ tổ chức của Bạn; Bạn cũng có thể gửi yêu cầu tới support@ctasolution.vn, chúng tôi chuyển tới tổ chức và hỗ trợ tổ chức thực hiện.

11. Xoá tài khoản

• Trong ứng dụng: Tài khoản › Xoá tài khoản; hoặc
• Gửi email tới support@ctasolution.vn với tiêu đề “Yêu cầu xoá tài khoản” từ email đã đăng ký.

Nếu Bạn là quản trị viên duy nhất của một tổ chức, cần chuyển quyền quản trị hoặc giải thể tổ chức trước. Hồ sơ chấm công, lương thuộc tổ chức có thể được tổ chức tiếp tục lưu giữ theo nghĩa vụ pháp lý của họ.

12. Độ tuổi

CTAS Work dành cho người lao động và người quản lý từ đủ 16 tuổi. Việc sử dụng lao động chưa thành niên do tổ chức chịu trách nhiệm theo Bộ luật Lao động, kể cả việc có sự đồng ý của người đại diện theo pháp luật khi pháp luật yêu cầu.

13. Thay đổi chính sách

Phiên bản mới được đăng tại trang này kèm ngày hiệu lực và tóm tắt thay đổi; với thay đổi quan trọng, ứng dụng sẽ hỏi Bạn đồng ý lại trước khi tiếp tục.

14. Liên hệ

Công ty TNHH CTA Solution — bộ phận bảo vệ dữ liệu cá nhân
Mã số thuế: 0316683514
Địa chỉ: 215 Bạch Đằng, Phường Hạnh Thông, Thành phố Hồ Chí Minh, Việt Nam
Email: support@ctasolution.vn