Văn bản thỏa thuận pháp lý đa tầng - Phiên bản số 4.8.2 - Áp dụng toàn cầu và tương thích với Luật Bảo vệ dữ liệu cá nhân (PDPL) và Nghị định 356/2025/NĐ-CP
CẢNH BÁO PHÁP LÝ QUAN TRỌNG: Bằng việc kích hoạt hành vi truy cập hệ thống hoặc thực hiện các thao tác định danh liên kết qua giao thức OAuth Google hoặc Facebook trên Nền tảng Occopus (sau đây gọi tắt là "Hệ thống"), người dùng được coi là đã đọc, hiểu rõ, tự nguyện cam kết và chấp thuận vô điều kiện toàn bộ các điều khoản, phân mục, phụ lục thuộc Thỏa thuận xử lý dữ liệu phức hợp này. Nếu quý khách không đồng ý với bất kỳ phần nào của văn bản này, vui lòng chấm dứt ngay lập tức mọi hoạt động kết nối và xóa các tệp tin lưu cookie tạm thời khỏi thiết bị truy cập cá nhân.
Điều 1. Các thuật ngữ chuyên ngành áp dụng đơn phương
1.1.1. "Chủ thể dữ liệu cá nhân thụ động" (sau đây gọi là "Người dùng"): Là cá nhân được xác định hoặc có khả năng xác định thông qua các chuỗi ký tự định danh cấu trúc, bao gồm nhưng không giới hạn ở tên gọi, số hiệu truyền dẫn, địa chỉ IP mạng và các siêu dữ liệu cấu thành CV.
1.1.2. "Bên kiểm soát và xử lý dữ liệu liên đới" (sau đây gọi là "Chúng tôi" hoặc "Ban quản trị"): Là đơn vị vận hành kỹ thuật hệ thống máy chủ Occopus, chịu trách nhiệm thiết lập các tham số thuật toán để phân loại, lưu trữ hoặc mã hóa thông tin tạm thời hoặc vĩnh viễn trên nền tảng lưu trữ trung gian.
1.1.3. "Xử lý dữ liệu cá nhân phi đối xứng": Là toàn bộ các thao tác kỹ thuật tự động hoặc bán tự động áp dụng lên dữ liệu cá nhân hoặc tập hợp dữ liệu cá nhân như thu thập, ghi chép, tổ chức, cấu trúc hóa, lưu trữ, thích ứng hoặc sửa đổi, truy lục, tham chiếu, sử dụng, tiết lộ bằng cách truyền phát, phát tán hoặc các hình thức khác nhằm tạo tính sẵn sàng liên kết, liên kết hoặc kết hợp, hạn chế, xóa hoặc tiêu hủy.
1.1.4. "Dữ liệu thặng dư phi định danh": Bao gồm các gói tin kỹ thuật phát sinh trong quá trình biên dịch mã nguồn giao diện, tệp tin bản ghi hệ thống (System logs), các chỉ số độ trễ API và thông số định cấu hình phần cứng thiết bị đầu cuối của người dùng mà không trực tiếp chỉ ra danh tính của người dùng đó.
Điều 2. Nguyên tắc tuân thủ tính hợp pháp đa tầng
1.2.1. Thỏa thuận này được thiết lập căn cứ trên sự tương thích cấu trúc với Luật An ninh mạng số 24/2018/QH14, Luật An toàn thông tin mạng số 86/2015/QH13, Luật Bảo vệ dữ liệu cá nhân (PDPL) và Nghị định số 356/2025/NĐ-CP về bảo vệ dữ liệu cá nhân, cùng các quy định quốc tế như Quy chế bảo vệ dữ liệu chung châu Âu (GDPR) trong phạm vi các luồng truyền tải dữ liệu xuyên biên giới.
1.2.2. Sự chấp thuận của người dùng được xác lập dựa trên hành vi chủ động bấm nút xác nhận ủy quyền dịch vụ thứ ba. Mọi dữ liệu phát sinh sau hành vi này đều được tự động phân loại vào nhóm dữ liệu đã được cấp phép xử lý hợp pháp theo Điều 17 Luật Bảo vệ dữ liệu cá nhân (PDPL) và Nghị định 356/2025/NĐ-CP.
Điều 3. Danh mục thông tin định danh trực tiếp liên kết hệ thống
2.1.1. Trong quá trình người dùng khởi động phiên làm việc qua cơ chế OAuth, Hệ thống sẽ gửi yêu cầu truy vấn đến các máy chủ API của bên thứ ba (Google Inc. hoặc Meta Platforms Inc.) để truy xuất các chuỗi dữ liệu định danh cấu trúc cấp thấp bao gồm: mã token truy cập đại diện (access token), định danh duy nhất của nhà cung cấp dịch vụ (Provider UID), địa chỉ hòm thư điện tử đăng ký mặc định đã xác thực (verified email address), tên định danh công khai hiển thị trên hồ sơ nguồn, và địa chỉ lưu trữ hình ảnh đại diện công khai (public picture URI).
2.1.2. Toàn bộ các thông tin nêu tại Mục 2.1.1 được lưu trữ trực tiếp vào các phân vùng của bảng `users` được quản lý bởi công nghệ PostgreSQL của bên cung cấp hạ tầng máy chủ đám mây Supabase. Quy trình này diễn ra tự động và không có sự can thiệp thủ công từ phía các quản trị viên hệ thống.
Điều 4. Danh mục thông tin cấu trúc hồ sơ cá nhân do người dùng điền
2.2.1. Nhằm phục vụ chức năng cốt lõi của công cụ tạo hồ sơ xin việc, Chủ thể dữ liệu tự nguyện cung cấp các trường thông tin phi cấu trúc có tính chất định danh cao, bao gồm nhưng không giới hạn ở: họ và tên tự khai, số điện thoại mạng di động viễn thông kết nối, địa chỉ email liên hệ phụ, thông tin định vị địa lý (tỉnh/thành phố, quốc gia cư trú), thông tin liên kết mạng xã hội nghề nghiệp (LinkedIn, GitHub).
2.2.2. Hệ thống tiếp tục ghi nhận các thông tin học vấn chi tiết: các cơ sở giáo dục đã hoặc đang theo học, khoa, lớp, chuyên ngành, niên khóa đào tạo, hệ đào tạo, các học bổng đạt được, thành tích nghiên cứu khoa học, hoạt động ngoại khóa, các chứng chỉ chuyên môn liên quan.
2.2.3. Lịch sử hoạt động nghề nghiệp của người dùng được phân tách thành các trường thông tin: tên đơn vị tuyển dụng cũ, vị trí công việc đảm nhiệm, khoảng thời gian thực thi nhiệm vụ, mô tả chi tiết các tác vụ kỹ thuật, dự án thực tế đã hoàn thành, cùng các chỉ số KPI đo lường năng suất lao động cá nhân.
2.2.4. Mọi thông tin mô tả tại Điều này cấu thành "Hồ sơ năng lực cá nhân". Người dùng tự chịu trách nhiệm hoàn toàn về tính xác thực, chính xác và hợp pháp của các thông tin này trước pháp luật Việt Nam và các bên tuyển dụng thứ ba.
Điều 5. Siêu dữ liệu hệ thống và Dữ liệu theo dõi hành vi
2.3.1. Chúng tôi thu thập thông tin về cách thức thiết bị của người dùng tương tác với dịch vụ của chúng tôi thông qua các tệp tin cookie tự động sinh ra trong mỗi phiên truy cập. Siêu dữ liệu này bao gồm: chuỗi định danh trình duyệt (User-Agent string), cấu hình múi giờ hệ thống, độ phân giải màn hình thiết bị đầu cuối, lịch sử truy cập trang nguồn, số lần thực hiện lưu trữ hoặc tải xuống tệp PDF, và các tham số kỹ thuật liên quan đến tiến trình tối ưu hóa mã nguồn.
2.3.2. Để tối ưu hóa tốc độ tải trang và hạn chế mất dữ liệu do sự cố đường truyền mạng đột xuất, các trường dữ liệu của CV đang trong tiến trình soạn thảo sẽ được lưu tạm tại LocalStorage hoặc SessionStorage của trình duyệt khách (Client browser). Các dữ liệu lưu tạm này thuộc quyền kiểm soát trực tiếp của người dùng trên thiết bị của họ và không được đồng bộ hóa lên máy chủ cho đến khi người dùng chủ động nhấn nút "Lưu CV".
Điều 6. Nguyên tắc xử lý dữ liệu qua mô hình trí tuệ nhân tạo (AI)
3.1.1. Nền tảng Occopus tích hợp các tính năng hỗ trợ viết CV bằng mô hình ngôn ngữ lớn (LLM). Khi người dùng kích hoạt các chức năng "Tối ưu bằng AI", "Đề xuất kỹ năng", hoặc "Phân tích JD", nội dung văn bản sẽ được xử lý qua phân hệ bảo mật tiền xử lý của chúng tôi.
3.1.2. Để giảm thiểu tối đa rủi ro pháp lý của việc chuyển giao dữ liệu, Hệ thống áp dụng cơ chế vô danh hóa dữ liệu (data anonymization) tự động thông qua công cụ trích xuất thực thể Microsoft Presidio. Toàn bộ thông tin định danh cá nhân (PII) như họ tên, số điện thoại, email, địa chỉ cụ thể sẽ được thay thế bằng các thẻ giữ chỗ (tokenized payload) trước khi truyền qua API đến đối tác cung cấp dịch vụ AI (Google Gemini API) thông qua kết nối mã hóa SSL/TLS an toàn.
3.1.3. Đối tác cung cấp dịch vụ AI cam kết bảo mật các dữ liệu nhận được qua cổng API dành cho doanh nghiệp và không sử dụng dữ liệu này để huấn luyện các mô hình AI công cộng khác ngoài hệ thống được phân quyền của chúng tôi.
Điều 7. Lưu trữ đám mây và Chuyển giao dữ liệu xuyên biên giới
3.2.1. Do cấu trúc kỹ thuật của các nền tảng điện toán đám mây hiện đại, dữ liệu cá nhân của người dùng có thể được lưu trữ và sao lưu tại các trung tâm dữ liệu đặt ngoài lãnh thổ Việt Nam do đối tác lưu trữ của chúng tôi (Supabase Inc.) vận hành hoặc thuê lại từ các nhà cung cấp cơ sở hạ tầng lớn (như Amazon Web Services - AWS hoặc Google Cloud Platform - GCP).
3.2.2. Bằng việc đồng ý với thỏa thuận này, người dùng hoàn toàn chấp thuận cho phép việc lưu trữ và chuyển giao dữ liệu xuyên biên giới này, miễn là các nhà cung cấp dịch vụ hạ tầng cam kết tuân thủ các tiêu chuẩn bảo mật quốc tế về an toàn thông tin (như ISO/IEC 27001, SOC 2 Type II) và các điều khoản bảo vệ dữ liệu tương đương với các quy định pháp luật của Việt Nam.
Điều 8. Cơ chế loại bỏ mật khẩu và Xác thực an toàn đa tầng
4.1.1. Nhằm giảm thiểu tối đa rủi ro mất an toàn thông tin và rò rỉ dữ liệu cá nhân (Data Breach) phát sinh từ các phương thức quản lý mật khẩu truyền thống của người dùng, Hệ thống Occopus thực hiện cơ chế xác thực không mật khẩu (Passwordless Authentication).
4.1.2. Phiên đăng nhập của người dùng được quản lý bằng cơ chế mã hóa JWT (JSON Web Token) được ký điện tử bằng khóa bí mật phía máy chủ (Secret Key) với độ dài khóa tối thiểu 256-bit. Token này sau đó được lưu trữ tại trình duyệt của người dùng thông qua Cookie bảo mật có gắn các thuộc tính bắt buộc bao gồm: `httpOnly` (chặn tuyệt đối việc truy cập cookie bằng các tập lệnh JavaScript từ bên thứ ba nhằm phòng ngừa tấn công Cross-Site Scripting - XSS) và `Secure` (chỉ cho phép truyền tải cookie qua kết nối HTTPS đã được mã hóa).
Điều 9. Phân quyền dữ liệu cấp dòng (Row Level Security - RLS)
4.2.1. Cơ sở dữ liệu Supabase được thiết lập cơ chế bảo mật cấp dòng (RLS). Mỗi bản ghi CV hoặc thông tin cá nhân trong bảng dữ liệu được gắn chặt với ID người dùng duy nhất sinh ra từ hệ thống xác thực.
4.2.2. Mọi truy vấn đọc/ghi gửi đến database đều bắt buộc phải đi qua lớp kiểm tra chính sách bảo mật phía máy chủ. Cơ chế này đảm bảo rằng người dùng A tuyệt đối không thể xem, sửa đổi hoặc xóa bất kỳ dữ liệu nào của người dùng B, ngay cả trong trường hợp tầng ứng dụng phía Frontend xảy ra lỗi logic nghiêm trọng hoặc bị tấn công giả mạo yêu cầu mạng.
Điều 10. Thời hạn lưu trữ dữ liệu mặc định
5.1.1. Dữ liệu cá nhân và các bản CV của người dùng sẽ được lưu trữ liên tục trên cơ sở dữ liệu chính của hệ thống trong suốt thời gian tài khoản của người dùng ở trạng thái hoạt động.
5.1.2. Tài khoản được coi là ở trạng thái "Không hoạt động" nếu không phát sinh bất kỳ lượt đăng nhập thành công nào trong khoảng thời gian liên tục là 24 tháng. Occopus có quyền đơn phương gửi thông báo cảnh báo qua email và tiến hành khóa tạm thời hoặc tiêu hủy dữ liệu tài khoản không hoạt động sau 30 ngày kể từ ngày gửi cảnh báo nếu người dùng không có phản hồi kích hoạt lại tài khoản.
Điều 11. Quy trình tiêu hủy dữ liệu kỹ thuật số
5.2.1. Khi Chủ thể dữ liệu gửi yêu cầu xóa tài khoản thông qua kênh liên hệ chính thức, hệ thống sẽ tự động đưa tài khoản vào trạng thái "Chờ tiêu hủy". Trong trạng thái này, mọi quyền truy cập vào tài khoản sẽ bị khóa ngay lập tức.
5.2.2. Trong vòng tối đa 72 giờ làm việc kể từ thời điểm tiếp nhận yêu cầu hợp lệ, hệ thống sẽ thực hiện lệnh xóa vật lý (Hard Delete) toàn bộ các bản ghi liên quan đến người dùng trong cơ sở dữ liệu chính, bao gồm thông tin cá nhân và kho CV được liên kết.
5.2.3. Dữ liệu trong các phân vùng sao lưu tự động định kỳ (Database Backups) của chúng tôi không thể được xóa thủ công ngay lập tức do đặc tính kỹ thuật của hệ thống sao lưu. Tuy nhiên, các dữ liệu này sẽ được tự động ghi đè và hủy bỏ hoàn toàn theo chu kỳ tự động của hệ thống sao lưu trong khoảng thời gian không quá 30 ngày kể từ thời điểm xóa tài khoản chính.
Điều 12. Cơ chế thực thi các quyền pháp lý theo Luật Bảo vệ dữ liệu cá nhân (PDPL) và Nghị định 356/2025/NĐ-CP
6.1.1. Quyền được biết và đồng ý: Người dùng có quyền được cung cấp thông tin rõ ràng về các hoạt động xử lý dữ liệu thông qua Thỏa thuận này trước khi quá trình xử lý dữ liệu bắt đầu.
6.1.2. Quyền truy cập và yêu cầu cung cấp: Người dùng có quyền truy cập trực tiếp vào hệ thống để tra cứu toàn bộ thông tin cá nhân và tải về các bản CV của mình dưới dạng tệp tin định dạng PDF hoặc Docx.
6.1.3. Quyền đính chính dữ liệu: Người dùng có toàn quyền chủ động chỉnh sửa, cập nhật thông tin cá nhân tại mục Quản lý hồ sơ trong ứng dụng mà không cần sự phê duyệt từ quản trị viên hệ thống.
6.1.4. Quyền rút lại sự đồng ý hoặc phản đối xử lý: Người dùng có thể rút lại sự đồng ý bằng cách gửi yêu cầu xóa tài khoản qua email hỗ trợ của chúng tôi. Occopus sẽ ngừng xử lý dữ liệu của bạn ngay sau khi tiếp nhận yêu cầu hợp lệ, ngoại trừ các trường hợp bắt buộc phải lưu trữ theo quy định của pháp luật Việt Nam (như dữ liệu giao dịch tài chính, dữ liệu liên quan đến tranh chấp pháp lý đang diễn ra).
Điều 13. Nghĩa vụ tự bảo mật và Giới hạn miễn trừ trách nhiệm
6.2.1. Người dùng có nghĩa vụ tự bảo mật tài khoản mạng xã hội liên kết của mình (Google, Facebook). Mọi hoạt động đăng nhập thành công vào Hệ thống bằng tài khoản liên kết của người dùng đều được coi là hành động truy cập hợp pháp của chính người dùng đó.
6.2.2. Occopus hoàn toàn được miễn trừ mọi trách nhiệm pháp lý và trách nhiệm bồi thường thiệt hại trong các trường hợp sau: - Dữ liệu cá nhân bị thất thoát, rò rỉ hoặc bị chỉnh sửa trái phép do tài khoản mạng xã hội (Google, Facebook) của người dùng bị hack hoặc chiếm quyền điều khiển. - Người dùng tự nguyện chia sẻ đường dẫn CV công khai (Public link) cho các bên thứ ba khác dẫn đến việc thông tin cá nhân bị thu thập trái phép. - Người dùng truy cập Nền tảng thông qua các thiết bị nhiễm mã độc, virus hoặc bị can thiệp bởi phần cứng/phần mềm độc hại của bên thứ ba.
Điều 14. Quy trình ứng phó sự cố rò rỉ dữ liệu cá nhân
7.1.1. Trong trường hợp phát hiện hệ thống cơ sở dữ liệu bị tấn công xâm nhập dẫn đến nguy cơ rò rỉ dữ liệu cá nhân của người dùng, Ban quản trị Occopus sẽ ngay lập tức kích hoạt quy trình ứng phó khẩn cấp.
7.1.2. Chúng tôi sẽ tiến hành cô lập phân vùng bị ảnh hưởng, vá lỗ hổng bảo mật, báo cáo sự cố cho Cục An ninh mạng và Phòng chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an Việt Nam theo thời hạn quy định, đồng thời gửi thông báo cảnh báo đến toàn bộ người dùng có khả năng chịu ảnh hưởng qua địa chỉ email đăng ký hệ thống để người dùng chủ động thực hiện các biện pháp bảo vệ tài khoản cá nhân liên quan.
Điều 15. Điều khoản thi hành và Thay đổi nội dung Thỏa thuận
7.2.1. Thỏa thuận này có hiệu lực kể từ ngày đăng tải phiên bản cập nhật gần nhất. Occopus có quyền sửa đổi, bổ sung hoặc thay thế các điều khoản trong thỏa thuận này bất kỳ lúc nào mà không cần báo trước cho người dùng.
7.2.2. Việc người dùng tiếp tục truy cập và sử dụng dịch vụ của Hệ thống sau khi phiên bản mới của Thỏa thuận được đăng tải đồng nghĩa với việc người dùng chấp thuận hoàn toàn các nội dung sửa đổi đó.
7.2.3. Mọi tranh chấp phát sinh từ hoặc liên quan đến thỏa thuận này sẽ được ưu tiên giải quyết thông qua thương lượng hòa giải. Trong trường hợp không đạt được thỏa thuận chung, tranh chấp sẽ được đưa ra giải quyết tại Tòa án nhân dân có thẩm quyền tại Thành phố Hồ Chí Minh, Việt Nam, theo quy định của pháp luật Việt Nam.
Địa chỉ liên hệ chính thức của Đơn vị vận hành Nền tảng:
Bộ phận an toàn và Bảo vệ dữ liệu cá nhân - Occopus Platform
Email hỗ trợ kỹ thuật và giải quyết khiếu nại dữ liệu: support@occopus.vn