Chính sách bảo mật
Chính sách bảo mật
Doanh nghiệp hàng đầu ngành công nghiệp khí Việt Nam
PV GAS nỗ lực vì sự phát triển của toàn ngành Dầu khí
ĐIỀU 1. GIỚI THIỆU VỀ PV GAS
1.1. Tổng Công ty Khí Việt Nam – Công ty Cổ phần (tên tiếng Anh: PetroVietnam Gas Joint Stock Corporation) là doanh nghiệp được thành lập và hoạt động theo pháp luật Việt Nam, mã số doanh nghiệp 3500102710, trụ sở chính tại Tòa nhà PV Gas Tower, số 673, đường Nguyễn Hữu Thọ, xã Phước Kiển, huyện Nhà Bè, Thành phố Hồ Chí Minh, Việt Nam, cổ phiếu niêm yết trên Sở Giao dịch Chứng khoán Thành phố Hồ Chí Minh với mã chứng khoán GAS (sau đây gọi tắt là “PV GAS”).
1.2. PV GAS tôn trọng quyền riêng tư và cam kết bảo vệ dữ liệu cá nhân của Chủ thể dữ liệu theo quy định pháp luật Việt Nam.
1.3. Chính sách Bảo vệ dữ liệu cá nhân này (sau đây gọi là “Chính sách”) được xây dựng trên cơ sở:
a. Hiến pháp nước Cộng hòa xã hội chủ nghĩa Việt Nam năm 2013;
b. Bộ luật Dân sự năm 2015;
c. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (có hiệu lực từ ngày 01/01/2026);
d. Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân (thay thế Nghị định số 13/2023/NĐ-CP);
e. Luật An toàn thông tin mạng năm 2015; Luật An ninh mạng năm 2018 và các văn bản hướng dẫn;
f. Luật Dữ liệu số 60/2024/QH15;
g. Luật Giao dịch điện tử năm 2023;
h. Luật Bảo vệ quyền lợi người tiêu dùng năm 2023;
i. Luật Chứng khoán và các quy định về công bố thông tin của công ty đại chúng;
j. Các quy định pháp luật khác có liên quan tại từng thời điểm.
1.4. Chính sách này đồng thời là Thông báo về việc xử lý dữ liệu cá nhân của PV GAS theo quy định của Luật Bảo vệ dữ liệu cá nhân và Nghị định số 356/2025/NĐ-CP, được đăng tải công khai trước khi PV GAS tiến hành xử lý dữ liệu cá nhân. Trường hợp pháp luật yêu cầu thông báo riêng cho một hoạt động xử lý cụ thể, PV GAS sẽ thực hiện thông báo bổ sung cho hoạt động đó.
ĐIỀU 2. ĐỊNH NGHĨA
Trong Chính sách này, các thuật ngữ dưới đây được hiểu như sau:
2.1. “Dữ liệu cá nhân” là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể. Dữ liệu cá nhân bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.
2.2. “Dữ liệu cá nhân cơ bản” và “Dữ liệu cá nhân nhạy cảm” được xác định theo danh mục quy định tại Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP. Danh mục cụ thể đang áp dụng được PV GAS dẫn chiếu tại Phụ lục 01 của Chính sách này và được cập nhật khi pháp luật thay đổi.
2.3. “Chủ thể dữ liệu” là cá nhân được dữ liệu cá nhân phản ánh.
2.4. “Xử lý dữ liệu cá nhân” là một hoặc nhiều hoạt động tác động tới dữ liệu cá nhân, bao gồm thu thập, ghi, phân tích, xác nhận, lưu trữ, chỉnh sửa, công khai, kết hợp, truy cập, truy xuất, thu hồi, mã hóa, giải mã, sao chép, chia sẻ, truyền đưa, cung cấp, chuyển giao, xóa, hủy dữ liệu cá nhân hoặc các hành động khác có liên quan.
2.5. “Bên Kiểm soát dữ liệu cá nhân” là tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân. Đối với các hoạt động nêu tại Chính sách này, PV GAS là Bên Kiểm soát dữ liệu cá nhân; trong một số hoạt động, PV GAS đồng thời là Bên Kiểm soát và xử lý dữ liệu cá nhân.
2.6. “Bên Xử lý dữ liệu cá nhân” là tổ chức, cá nhân thực hiện việc xử lý dữ liệu thay cho Bên Kiểm soát dữ liệu cá nhân, thông qua hợp đồng hoặc thỏa thuận với Bên Kiểm soát dữ liệu cá nhân.
2.7. “Bên Thứ ba” là tổ chức, cá nhân khác ngoài Chủ thể dữ liệu, Bên Kiểm soát dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, được phép xử lý dữ liệu cá nhân.
2.8. “Sự đồng ý” là việc Chủ thể dữ liệu thể hiện rõ ràng, tự nguyện, khẳng định việc cho phép PV GAS xử lý dữ liệu cá nhân của mình, bằng một hành động chủ động và có thể kiểm chứng được.
2.9. “Kênh tương tác” là các kênh do PV GAS cung cấp để Chủ thể dữ liệu tiếp cận, giao dịch hoặc tương tác với PV GAS, bao gồm nhưng không giới hạn: website www.pvgas.com.vn và các tên miền con, cổng thông tin dành cho cổ đông, thư điện tử, tổng đài, biểu mẫu trực tuyến, hợp đồng và các tài liệu giao dịch, sự kiện do PV GAS tổ chức, hệ thống kiểm soát ra vào tại trụ sở và công trình của PV GAS.
2.10. “Cơ quan chuyên trách bảo vệ dữ liệu cá nhân” là cơ quan nhà nước có thẩm quyền theo quy định pháp luật, hiện là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an.
ĐIỀU 3. PHẠM VI ÁP DỤNG
3.1. Chính sách này áp dụng đối với các nhóm Chủ thể dữ liệu sau:
a. Người truy cập, sử dụng website và các Kênh tương tác trực tuyến của PV GAS;
b. Cổ đông, nhà đầu tư, người đại diện theo ủy quyền của cổ đông trong quan hệ với PV GAS;
c. Khách hàng cá nhân; người đại diện, người liên hệ của khách hàng tổ chức;
d. Nhà cung cấp, đối tác cá nhân; người đại diện, người liên hệ của nhà cung cấp, đối tác tổ chức;
e. Ứng viên tham gia tuyển dụng tại PV GAS;
f. Khách đến làm việc, tham quan tại trụ sở, đơn vị, công trình khí của PV GAS;
g. Cá nhân khác có dữ liệu cá nhân được PV GAS xử lý trong quá trình hoạt động.
3.2. Chính sách này áp dụng cho việc xử lý dữ liệu cá nhân thực hiện bởi PV GAS và các đơn vị trực thuộc. Các đơn vị thành viên, công ty con của PV GAS có thể ban hành chính sách riêng phù hợp với đặc thù hoạt động, nhưng không được đặt ra mức bảo vệ thấp hơn Chính sách này.
3.3. Chính sách này không áp dụng đối với website, ứng dụng, dịch vụ của Bên Thứ ba mà Chủ thể dữ liệu truy cập thông qua đường dẫn đặt trên Kênh tương tác của PV GAS. Chủ thể dữ liệu cần tham khảo chính sách riêng của các bên đó.
3.4. Việc xử lý dữ liệu cá nhân của người lao động PV GAS được điều chỉnh bởi quy định nội bộ riêng về bảo vệ dữ liệu cá nhân trong quan hệ lao động, phù hợp với Luật Bảo vệ dữ liệu cá nhân và pháp luật lao động.
ĐIỀU 4. NGUYÊN TẮC VÀ CAM KẾT BẢO VỆ DỮ LIỆU CÁ NHÂN
4.1. PV GAS cam kết tuân thủ các nguyên tắc sau khi xử lý dữ liệu cá nhân:
a. Hợp pháp, công bằng, minh bạch: dữ liệu cá nhân chỉ được xử lý theo đúng quy định pháp luật; Chủ thể dữ liệu được biết về hoạt động xử lý liên quan đến dữ liệu của mình.
b. Đúng mục đích: dữ liệu cá nhân chỉ được xử lý đúng với mục đích đã đăng ký, tuyên bố tại Điều 6 Chính sách này. Trường hợp phát sinh mục đích mới, PV GAS thông báo và xin lại sự đồng ý trước khi xử lý.
c. Tối giản dữ liệu: chỉ thu thập dữ liệu cá nhân phù hợp và trong phạm vi cần thiết để đạt được mục đích đã tuyên bố.
d. Chính xác: dữ liệu cá nhân được cập nhật, bổ sung khi cần thiết; dữ liệu không chính xác được chỉnh sửa hoặc xóa kịp thời.
e. An toàn: áp dụng biện pháp quản lý và kỹ thuật để bảo vệ dữ liệu cá nhân khỏi bị mất, phá hủy, truy cập, tiết lộ, sử dụng trái phép.
f. Giới hạn thời gian lưu trữ: dữ liệu cá nhân chỉ được lưu trong thời hạn phù hợp với mục đích xử lý, trừ trường hợp pháp luật quy định khác.
g. Trách nhiệm giải trình: PV GAS lập, lưu giữ hồ sơ về hoạt động xử lý dữ liệu cá nhân và chịu trách nhiệm chứng minh việc tuân thủ.
4.2. PV GAS cam kết không thực hiện các hành vi sau:
a. Mua, bán dữ liệu cá nhân dưới mọi hình thức;
b. Xử lý dữ liệu cá nhân ngoài phạm vi mục đích đã tuyên bố mà không có sự đồng ý hoặc căn cứ pháp lý khác;
c. Sử dụng dữ liệu cá nhân của Chủ thể dữ liệu cho mục đích quảng cáo, tiếp thị trực tiếp khi Chủ thể dữ liệu chưa đồng ý riêng cho mục đích đó;
d. Ra quyết định hoàn toàn tự động gây ảnh hưởng đến quyền, lợi ích hợp pháp của Chủ thể dữ liệu mà không có sự tham gia đánh giá của con người;
e. Yêu cầu Chủ thể dữ liệu cung cấp hình ảnh, video chứa nội dung giấy tờ tùy thân làm yếu tố xác thực trên các kênh trực tuyến công khai.
4.3. PV GAS yêu cầu Bên Xử lý dữ liệu cá nhân và Bên Thứ ba nhận dữ liệu phải tuân thủ mức bảo vệ tương đương thông qua điều khoản ràng buộc trong hợp đồng hoặc thỏa thuận xử lý dữ liệu cá nhân.
ĐIỀU 5. LOẠI DỮ LIỆU CÁ NHÂN ĐƯỢC XỬ LÝ
5.1. PV GAS xử lý các loại dữ liệu cá nhân sau, tùy theo nhóm Chủ thể dữ liệu và Kênh tương tác:
a. Dữ liệu định danh và liên hệ
Họ, chữ đệm và tên; ngày tháng năm sinh; giới tính; quốc tịch; số định danh cá nhân hoặc số giấy tờ tùy thân; địa chỉ liên hệ; số điện thoại; địa chỉ thư điện tử; chức danh, đơn vị công tác.
b. Dữ liệu phát sinh khi truy cập Kênh tương tác trực tuyến
Địa chỉ IP; thông tin thiết bị, hệ điều hành, loại và phiên bản trình duyệt; ngôn ngữ, múi giờ; trang đã truy cập, thời điểm và thời lượng truy cập, đường dẫn nguồn; dữ liệu cookie và bộ nhớ cục bộ của trình duyệt; dữ liệu kỹ thuật do hệ thống xác minh chống truy cập tự động sinh ra.
c. Dữ liệu về nội dung tương tác
Nội dung yêu cầu, câu hỏi, phản hồi, khiếu nại do Chủ thể dữ liệu gửi tới PV GAS; tài liệu đính kèm do Chủ thể dữ liệu tải lên; nội dung thư điện tử trao đổi; dữ liệu ghi âm cuộc gọi tới tổng đài của PV GAS trong trường hợp có thông báo trước cho người gọi.
d. Dữ liệu liên quan đến quan hệ cổ đông
Họ tên, số giấy tờ tùy thân, số tài khoản chứng khoán, số lượng cổ phần sở hữu, địa chỉ liên hệ, thông tin người đại diện theo ủy quyền, dữ liệu đăng ký và tham dự Đại hội đồng cổ đông, dữ liệu biểu quyết.
e. Dữ liệu liên quan đến tuyển dụng
Hồ sơ ứng viên gồm sơ yếu lý lịch, trình độ học vấn, kinh nghiệm làm việc, chứng chỉ, thông tin liên hệ, kết quả phỏng vấn và đánh giá.
f. Dữ liệu liên quan đến an toàn, an ninh cơ sở
Dữ liệu đăng ký ra vào trụ sở, đơn vị, công trình khí; hình ảnh, dữ liệu video từ hệ thống camera giám sát (CCTV) tại các khu vực có thông báo giám sát.
g. Dữ liệu liên quan đến giao dịch, hợp đồng
Thông tin người đại diện, người liên hệ, người ký kết; thông tin tài khoản thanh toán phục vụ thực hiện hợp đồng; hồ sơ, tài liệu phát sinh trong quá trình thực hiện giao dịch.
5.2. Dữ liệu cá nhân nhạy cảm. Website và các biểu mẫu trực tuyến của PV GAS không được thiết kế để thu thập dữ liệu cá nhân nhạy cảm. PV GAS chỉ xử lý dữ liệu cá nhân nhạy cảm trong các trường hợp thực sự cần thiết, có căn cứ pháp lý rõ ràng và có sự đồng ý riêng của Chủ thể dữ liệu, kèm thông báo về việc dữ liệu được xử lý là dữ liệu nhạy cảm. Chủ thể dữ liệu được đề nghị không đưa dữ liệu cá nhân nhạy cảm vào nội dung các biểu mẫu trực tuyến.
5.3. Phạm vi dữ liệu thực tế được xử lý đối với từng Chủ thể dữ liệu chỉ giới hạn trong các loại dữ liệu cần thiết cho quan hệ và mục đích tương ứng, không phải toàn bộ danh mục nêu tại khoản 5.1.
ĐIỀU 6. MỤC ĐÍCH XỬ LÝ DỮ LIỆU CÁ NHÂN
6.1. PV GAS xử lý dữ liệu cá nhân cho các mục đích sau:
Tiếp nhận, phân loại, xử lý và phản hồi yêu cầu, câu hỏi, phản hồi, khiếu nại gửi qua Kênh tương tác
Liên hệ lại để làm rõ hoặc bổ sung thông tin phục vụ xử lý yêu cầu
Thực hiện quyền của cổ đông, nghĩa vụ công bố thông tin và các nghĩa vụ khác của công ty đại chúng
Chuẩn bị, giao kết và thực hiện hợp đồng, giao dịch với khách hàng, nhà cung cấp, đối tác
Tổ chức tuyển dụng, đánh giá và tiếp nhận ứng viên
Bảo đảm an toàn, an ninh cho trụ sở, đơn vị và công trình khí; phòng ngừa, phát hiện, xử lý sự cố và hành vi vi phạm
Bảo đảm an toàn thông tin, an ninh mạng cho hệ thống của PV GAS; phát hiện và ngăn chặn truy cập bất hợp pháp, tấn công mạng, tin rác, gian lận
Thống kê tổng hợp lượt truy cập, phân tích để cải thiện nội dung và trải nghiệm trên Kênh tương tác trực tuyến
Cung cấp thông tin về hoạt động của PV GAS theo đăng ký của Chủ thể dữ liệu
Lập, lưu giữ hồ sơ, chứng từ; giải quyết tranh chấp; thực hiện yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền
6.2. Trường hợp phát sinh mục đích xử lý mới không thuộc khoản 6.1, PV GAS thông báo tới Chủ thể dữ liệu qua Kênh tương tác và chỉ xử lý sau khi có sự đồng ý, trừ trường hợp pháp luật cho phép xử lý không cần sự đồng ý.
6.3. PV GAS không sử dụng điều khoản mở dạng “mục đích khác theo nhu cầu hoạt động” làm căn cứ xử lý dữ liệu cá nhân. Mọi mục đích xử lý phải được nêu cụ thể tại Chính sách này hoặc tại thông báo bổ sung.
ĐIỀU 7. CÁCH THỨC THU THẬP VÀ XỬ LÝ DỮ LIỆU CÁ NHÂN
7.1. PV GAS thu thập dữ liệu cá nhân từ các nguồn sau:
a. Trực tiếp từ Chủ thể dữ liệu: qua biểu mẫu trực tuyến, thư điện tử, tổng đài, văn bản, hợp đồng, phiếu đăng ký, hồ sơ ứng tuyển, thủ tục đăng ký ra vào cơ sở, sự kiện do PV GAS tổ chức.
b. Tự động khi Chủ thể dữ liệu sử dụng Kênh tương tác trực tuyến: qua bản ghi hoạt động của hệ thống (log), cookie và công nghệ tương tự, hệ thống xác minh chống truy cập tự động, hệ thống camera giám sát tại khu vực có thông báo.
c. Từ tổ chức, cá nhân khác một cách hợp pháp: từ tổ chức mà Chủ thể dữ liệu là người đại diện hoặc người liên hệ; từ tổ chức lưu ký, đăng ký chứng khoán và thành viên lưu ký trong hoạt động quản lý cổ đông; từ đơn vị thành viên, đối tác, nhà cung cấp dịch vụ của PV GAS khi việc cung cấp đó là hợp pháp; từ cơ quan nhà nước có thẩm quyền; từ nguồn thông tin đã được công khai hợp pháp.
7.2. Đối với dữ liệu cá nhân nhận từ tổ chức, cá nhân khác theo điểm c khoản 7.1, PV GAS yêu cầu bên cung cấp bảo đảm đã có căn cứ pháp lý hợp pháp cho việc cung cấp, bao gồm sự đồng ý của Chủ thể dữ liệu khi pháp luật yêu cầu.
7.3. Dữ liệu cá nhân được xử lý bằng phương thức thủ công và tự động trên hệ thống thông tin của PV GAS, trong phạm vi mục đích tại Điều 6 và theo phân quyền truy cập nội bộ.
ĐIỀU 8. SỰ ĐỒNG Ý VÀ QUYỀN RÚT LẠI SỰ ĐỒNG Ý
8.1. Đối với hoạt động xử lý dựa trên sự đồng ý, sự đồng ý của Chủ thể dữ liệu phải được thể hiện bằng hành động chủ động, rõ ràng, ví dụ: tự đánh dấu vào ô chấp thuận trước khi gửi biểu mẫu, ký vào văn bản chấp thuận. Ô chấp thuận không được đánh dấu sẵn.
8.2. Sự im lặng hoặc việc không phản hồi của Chủ thể dữ liệu không được coi là sự đồng ý.
8.3. Sự đồng ý được thể hiện cho từng mục đích cụ thể. Trường hợp có nhiều mục đích, PV GAS liệt kê rõ các mục đích để Chủ thể dữ liệu đồng ý với một hoặc nhiều mục đích.
8.4. PV GAS lưu bản ghi về sự đồng ý, gồm: danh tính Chủ thể dữ liệu, thời điểm đồng ý, nội dung và phiên bản Chính sách được đồng ý, phương thức thể hiện sự đồng ý, để bảo đảm khả năng kiểm chứng theo Nghị định số 356/2025/NĐ-CP.
8.5. Chủ thể dữ liệu có quyền rút lại sự đồng ý bất cứ lúc nào bằng văn bản hoặc thư điện tử gửi tới đầu mối tại Điều 17. Việc rút lại sự đồng ý không ảnh hưởng đến tính hợp pháp của hoạt động xử lý đã thực hiện trước thời điểm rút lại.
8.6. Sau khi tiếp nhận yêu cầu rút lại sự đồng ý, PV GAS ngừng xử lý dữ liệu cá nhân cho mục đích tương ứng, trừ trường hợp pháp luật yêu cầu tiếp tục lưu giữ hoặc xử lý. PV GAS thông báo cho Chủ thể dữ liệu về hậu quả có thể phát sinh, bao gồm khả năng không thể tiếp tục xử lý yêu cầu đã gửi hoặc không thể tiếp tục cung cấp một phần dịch vụ.
ĐIỀU 9. TỔ CHỨC, CÁ NHÂN CÓ LIÊN QUAN ĐẾN XỬ LÝ DỮ LIỆU CÁ NHÂN
9.1. Trong nội bộ PV GAS. Dữ liệu cá nhân chỉ được chuyển tới đơn vị, bộ phận, người lao động có thẩm quyền và có nhu cầu xử lý theo chức năng, trên nguyên tắc phân quyền theo vai trò.
9.2. Tổ chức, cá nhân tiếp nhận dữ liệu cá nhân.
Đơn vị vận hành, quản trị hệ thống thông tin, hạ tầng máy chủ, sao lưu dữ liệu để duy trì hoạt động, bảo trì, khắc phục sự cố hệ thống
Nhà cung cấp dịch vụ bảo vệ hệ thống, mạng phân phối nội dung, dịch vụ chống truy cập tự động để bảo đảm an toàn thông tin, an ninh mạng
Nhà cung cấp dịch vụ thư điện tử, tổng đài, lưu trữ đám mây
Tổ chức lưu ký, đăng ký chứng khoán; đơn vị hỗ trợ tổ chức Đại hội đồng cổ đông; đơn vị kiểm toán để thực hiện nghĩa vụ đối với cổ đông và nghĩa vụ của công ty đại chúng
Tổ chức tư vấn pháp lý, đơn vị giải quyết tranh chấp để bảo vệ quyền và lợi ích hợp pháp của các bên
Cơ quan nhà nước có thẩm quyền khi có yêu cầu hợp pháp bằng văn bản theo quy định pháp luật
9.3. Mọi tổ chức, cá nhân tiếp nhận dữ liệu cá nhân theo khoản 10.2 phải: ký cam kết bảo mật; chỉ xử lý trong phạm vi và theo chỉ dẫn của PV GAS; không sử dụng cho mục đích riêng; áp dụng biện pháp bảo vệ tương đương; xóa hoặc trả lại dữ liệu khi kết thúc hợp đồng.
9.4. Chuyển dữ liệu cá nhân ra nước ngoài. Một số dịch vụ kỹ thuật phục vụ hoạt động của Kênh tương tác trực tuyến (mạng phân phối nội dung, dịch vụ chống truy cập tự động, thư điện tử, lưu trữ đám mây) có thể xử lý dữ liệu trên hạ tầng đặt ngoài lãnh thổ Việt Nam. Trong trường hợp đó, PV GAS:
a. Lập và lưu Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo mẫu quy định tại Nghị định số 356/2025/NĐ-CP;
b. Gửi hồ sơ tới Cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn pháp luật quy định;
c. Ký thỏa thuận ràng buộc trách nhiệm pháp lý với bên nhận dữ liệu ở nước ngoài, trong đó có cam kết bảo vệ quyền của Chủ thể dữ liệu Việt Nam;
d. Thực hiện thủ tục thông báo thay đổi khi có thay đổi về đối tác nhận dữ liệu, mục đích chuyển giao hoặc loại dữ liệu chuyển giao.
9.5. PV GAS lập và cập nhật Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo quy định tại Nghị định số 356/2025/NĐ-CP, lưu giữ tại PV GAS để phục vụ hoạt động kiểm tra của cơ quan có thẩm quyền.
ĐIỀU 10. BIỆN PHÁP BẢO VỆ DỮ LIỆU CÁ NHÂN
10.1. Biện pháp quản lý
a. Ban hành quy định nội bộ về bảo vệ dữ liệu cá nhân; phân công bộ phận và nhân sự bảo vệ dữ liệu cá nhân đáp ứng điều kiện theo Nghị định số 356/2025/NĐ-CP;
b. Phân quyền truy cập theo vai trò; rà soát và thu hồi quyền định kỳ và khi có thay đổi nhân sự;
c. Ràng buộc trách nhiệm bảo mật trong hợp đồng lao động, hợp đồng với nhà cung cấp và đối tác;
d. Đào tạo, nâng cao nhận thức cho người lao động có tiếp cận dữ liệu cá nhân;
e. Kiểm tra, đánh giá nội bộ định kỳ về tuân thủ bảo vệ dữ liệu cá nhân.
10.2. Biện pháp kỹ thuật
a. Mã hóa đường truyền bằng giao thức HTTPS/TLS cho toàn bộ Kênh tương tác trực tuyến;
b. Xác thực nhiều yếu tố đối với tài khoản truy cập hệ thống quản trị nội dung và hệ thống có dữ liệu cá nhân;
c. Ghi và lưu vết truy cập, thao tác trên dữ liệu (audit log) phục vụ truy vết và điều tra sự cố;
d. Sao lưu định kỳ và kiểm tra khả năng phục hồi dữ liệu;
e. Rà soát lỗ hổng, cập nhật bản vá an ninh; kiểm tra, đánh giá an toàn thông tin trước khi đưa hệ thống vào vận hành và định kỳ trong quá trình vận hành;
f. Biện pháp bảo vệ hệ thống trước tấn công mạng, truy cập tự động và gửi tin rác.
10.3. Biện pháp vật lý
Kiểm soát ra vào phòng máy chủ và khu vực lưu trữ hồ sơ giấy; quản lý thiết bị lưu trữ; tiêu hủy an toàn hồ sơ, thiết bị chứa dữ liệu cá nhân khi thanh lý.
ĐIỀU 11. XỬ LÝ DỮ LIỆU CÁ NHÂN TRONG MỘT SỐ TRƯỜNG HỢP ĐẶC BIỆT
11.1. Dữ liệu cá nhân của trẻ em. Kênh tương tác trực tuyến của PV GAS không hướng tới người dưới 16 tuổi. PV GAS không chủ ý thu thập dữ liệu cá nhân của người dưới 16 tuổi. Trước khi xử lý dữ liệu cá nhân của trẻ em trong trường hợp cần thiết, PV GAS thực hiện xác minh tuổi và có sự đồng ý của trẻ em từ đủ 07 tuổi trở lên và của cha, mẹ hoặc người giám hộ theo quy định pháp luật. Trường hợp phát hiện đã thu thập dữ liệu cá nhân của trẻ em mà không có căn cứ hợp pháp, PV GAS xóa dữ liệu đó trong thời hạn 72 giờ kể từ khi xác định được.
11.2. Dữ liệu cá nhân của người bị tuyên bố mất tích, người đã chết. PV GAS xử lý dữ liệu cá nhân của người bị tuyên bố mất tích, người đã chết khi có sự đồng ý của người có liên quan theo quy định pháp luật, trừ trường hợp pháp luật quy định khác.
11.3. Hệ thống camera giám sát. Dữ liệu hình ảnh, video từ hệ thống camera giám sát tại trụ sở, đơn vị và công trình khí của PV GAS được sử dụng cho các mục đích: bảo đảm an ninh, an toàn cho công trình và người lao động; phòng ngừa, phát hiện hành vi xâm nhập, phá hoại, vi phạm quy định an toàn; điều tra, xác minh sự cố; phục vụ yêu cầu hợp pháp của cơ quan có thẩm quyền. Khu vực giám sát được đặt biển thông báo. Dữ liệu này không được sử dụng để đánh giá, theo dõi thường xuyên đối với cá nhân ngoài các mục đích nêu trên.
11.4. Dữ liệu vị trí. PV GAS chỉ xử lý dữ liệu vị trí của cá nhân khi cần thiết cho hoạt động vận hành, ứng cứu sự cố, bảo đảm an toàn và có sự đồng ý của Chủ thể dữ liệu, trừ trường hợp pháp luật quy định khác. Dữ liệu vị trí được xác định là dữ liệu cá nhân nhạy cảm và được áp dụng biện pháp bảo vệ tương ứng, bao gồm nghĩa vụ thông báo vi phạm riêng theo quy định.
11.5. Dữ liệu sinh trắc học. Trường hợp PV GAS áp dụng hệ thống kiểm soát ra vào sử dụng dữ liệu sinh trắc học, việc xử lý chỉ thực hiện khi có sự đồng ý riêng của Chủ thể dữ liệu, có phương án thay thế không dùng sinh trắc học, và áp dụng biện pháp bảo vệ theo quy định đối với dữ liệu cá nhân nhạy cảm.
11.6. Xử lý dữ liệu trên nền tảng công nghệ đặc thù. Trường hợp PV GAS xử lý dữ liệu cá nhân trong hoạt động dữ liệu lớn, hệ thống trí tuệ nhân tạo hoặc điện toán đám mây, PV GAS tuân thủ các yêu cầu bảo vệ dữ liệu cá nhân riêng cho từng lĩnh vực, công nghệ quy định tại Nghị định số 356/2025/NĐ-CP.
ĐIỀU 12. QUYỀN VÀ NGHĨA VỤ CỦA CHỦ THỂ DỮ LIỆU
12.1. Quyền của Chủ thể dữ liệu
Được biết về hoạt động xử lý dữ liệu cá nhân của mình, trừ trường hợp pháp luật có quy định khác
Quyền đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân của mình
Xem, yêu cầu PV GAS cung cấp dữ liệu cá nhân của mình đang được xử lý, kèm thông tin về loại dữ liệu, mục đích xử lý và bên tiếp nhận
Rút lại sự đồng ý đã cho bất cứ lúc nào theo Điều 8 Chính sách này
Yêu cầu chỉnh sửa dữ liệu cá nhân không chính xác hoặc chưa đầy đủ
Yêu cầu xóa dữ liệu cá nhân của mình trong các trường hợp pháp luật quy định
Yêu cầu tạm ngừng hoặc giới hạn phạm vi xử lý dữ liệu cá nhân của mình
Yêu cầu PV GAS cung cấp dữ liệu cá nhân của mình để sử dụng riêng hoặc chuyển cho tổ chức khác theo điều kiện pháp luật quy định
Phản đối việc xử lý nhằm ngăn chặn hoặc hạn chế việc tiết lộ, sử dụng dữ liệu cá nhân cho mục đích quảng cáo, tiếp thị
Quyền khiếu nại, tố cáo, khởi kiện theo quy định pháp luật
Quyền yêu cầu bồi thường thiệt hại khi PV GAS có hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân gây thiệt hại, trừ trường hợp các bên có thỏa thuận khác hoặc luật có quy định khác
Quyền tự bảo vệ hoặc yêu cầu cơ quan, tổ chức có thẩm quyền bảo vệ quyền của mình
12.2. Trình tự thực hiện quyền
Bước 1. Chủ thể dữ liệu gửi yêu cầu tới đầu mối tại Điều 17 bằng thư điện tử hoặc văn bản, nêu rõ: họ tên và thông tin liên hệ đã sử dụng khi cung cấp dữ liệu; quyền muốn thực hiện; nội dung yêu cầu cụ thể.
Bước 2. PV GAS xác minh danh tính người yêu cầu để bảo đảm dữ liệu không bị tiết lộ cho người không có quyền; có thể đề nghị cung cấp thêm thông tin đối chiếu.
Bước 3. PV GAS phản hồi trong thời hạn pháp luật quy định, không quá 72 giờ kể từ khi nhận được yêu cầu hợp lệ. Trường hợp yêu cầu phức tạp cần thêm thời gian, PV GAS thông báo lý do và thời hạn dự kiến.
Bước 4. Trường hợp từ chối yêu cầu, PV GAS trả lời bằng văn bản, nêu rõ căn cứ pháp lý và hướng dẫn cách khiếu nại.
12.3. Việc thực hiện các quyền tại khoản 14.1 không thu phí.
12.4. Trường hợp quyền có thể bị hạn chế. Quyền của Chủ thể dữ liệu có thể bị hạn chế theo quy định pháp luật, ví dụ: để bảo vệ an ninh quốc gia, trật tự an toàn xã hội; thực hiện bản án, quyết định của cơ quan có thẩm quyền; thực hiện nghĩa vụ lưu trữ theo luật; hoặc khi việc thực hiện quyền ảnh hưởng đến quyền, lợi ích hợp pháp của người khác.
12.5. Nghĩa vụ của Chủ thể dữ liệu
a. Tự bảo vệ dữ liệu cá nhân của mình; yêu cầu tổ chức, cá nhân khác bảo vệ dữ liệu cá nhân của mình;
b. Cung cấp thông tin trung thực, chính xác và cập nhật khi có thay đổi;
c. Trường hợp cung cấp dữ liệu cá nhân của người khác (người đại diện, người liên hệ, người phụ thuộc), phải bảo đảm đã có sự đồng ý hợp pháp của người đó và thông báo cho họ về Chính sách này;
d. Tôn trọng, không xâm phạm dữ liệu cá nhân của người khác;
e. Không đưa dữ liệu cá nhân nhạy cảm của mình hoặc của người khác vào nội dung biểu mẫu trực tuyến khi không cần thiết;
f. Giữ bảo mật thông tin đăng nhập, mã xác thực một lần (OTP) đối với các Kênh tương tác có tài khoản; đăng xuất khi kết thúc sử dụng.
ĐIỀU 13. HẬU QUẢ, THIỆT HẠI KHÔNG MONG MUỐN CÓ KHẢ NĂNG XẢY RA
13.1. PV GAS áp dụng các biện pháp bảo vệ nêu tại Điều 12 theo mức độ phù hợp với quy định pháp luật và thông lệ. Tuy nhiên, không có hệ thống thông tin nào an toàn tuyệt đối. Một số hậu quả, thiệt hại không mong muốn có thể xảy ra, bao gồm nhưng không giới hạn:
a. Lỗi phần cứng, phần mềm trong quá trình xử lý dẫn tới mất, sai lệch dữ liệu cá nhân;
b. Lỗ hổng bảo mật của sản phẩm, dịch vụ của bên thứ ba nằm ngoài khả năng kiểm soát của PV GAS; hệ thống bị tấn công dẫn tới lộ, lọt dữ liệu;
c. Dữ liệu bị lộ, lọt do Chủ thể dữ liệu tự làm lộ thông tin đăng nhập, mã OTP, hoặc do thiết bị của Chủ thể dữ liệu bị xâm nhập, nhiễm phần mềm độc hại, hoặc do bị lừa đảo;
d. Dữ liệu bị sử dụng sai mục đích bởi người lao động hoặc bên thứ ba vi phạm cam kết, trái với chỉ dẫn của PV GAS.
13.2. PV GAS khuyến cáo Chủ thể dữ liệu: không chia sẻ thông tin đăng nhập và mã OTP cho bất kỳ ai; kiểm tra tên miền chính thức trước khi cung cấp thông tin; không cung cấp dữ liệu cá nhân qua các kênh giả mạo PV GAS.
13.3. PV GAS không chịu trách nhiệm đối với thiệt hại phát sinh hoàn toàn do lỗi của Chủ thể dữ liệu hoặc do sự kiện bất khả kháng theo quy định pháp luật. Việc miễn trừ này không loại trừ trách nhiệm của PV GAS đối với hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân do PV GAS gây ra.
ĐIỀU 14. THÔNG BÁO VI PHẠM DỮ LIỆU CÁ NHÂN
14.1. Khi phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân, PV GAS thực hiện:
a. Khoanh vùng, ngăn chặn, khắc phục sự cố ngay khi phát hiện;
b. Thông báo cho Cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 72 giờ kể từ khi phát hiện, theo mẫu và phương thức quy định tại Nghị định số 356/2025/NĐ-CP; trường hợp thông báo sau 72 giờ thì kèm theo lý do;
c. Thông báo cho Chủ thể dữ liệu bị ảnh hưởng khi vi phạm có khả năng gây thiệt hại tới quyền, lợi ích hợp pháp của họ, nêu rõ loại dữ liệu bị ảnh hưởng, hậu quả có thể xảy ra, biện pháp khắc phục và đầu mối liên hệ;
d. Lập biên bản, lưu hồ sơ sự cố; phân tích nguyên nhân và thực hiện biện pháp phòng ngừa tái diễn.
14.2. Đối với vi phạm liên quan đến dữ liệu vị trí và dữ liệu sinh trắc học, PV GAS thực hiện thông báo theo quy định riêng tại Nghị định số 356/2025/NĐ-CP.
ĐIỀU 15. ĐIỀU KHOẢN CHUNG
15.1. Chính sách này được đăng tải công khai trên website của PV GAS.
15.2. PV GAS có thể sửa đổi, bổ sung Chính sách này để phù hợp với thay đổi của pháp luật hoặc hoạt động thực tế. Phiên bản mới được công bố trên website kèm số phiên bản và ngày hiệu lực. Đối với thay đổi làm ảnh hưởng tới quyền của Chủ thể dữ liệu hoặc mở rộng mục đích xử lý, PV GAS thông báo trước và xin lại sự đồng ý khi pháp luật yêu cầu.
15.3. Việc Chủ thể dữ liệu tiếp tục sử dụng Kênh tương tác của PV GAS sau ngày phiên bản sửa đổi có hiệu lực được hiểu là đã biết nội dung sửa đổi. Việc này không thay thế cho sự đồng ý riêng đối với mục đích xử lý mới theo khoản 18.2.
15.4. Chính sách này được giải thích và điều chỉnh theo pháp luật Việt Nam.
15.5. Trường hợp một hoặc một số điều khoản của Chính sách này bị cơ quan có thẩm quyền tuyên vô hiệu, các điều khoản còn lại vẫn giữ nguyên hiệu lực.
15.6. Trường hợp có sự khác biệt giữa Chính sách này và điều khoản bảo vệ dữ liệu cá nhân trong hợp đồng đã ký giữa PV GAS và Chủ thể dữ liệu, quy định có mức bảo vệ cao hơn cho Chủ thể dữ liệu được ưu tiên áp dụng.
15.7. Mọi tranh chấp phát sinh được ưu tiên giải quyết thông qua thương lượng, hòa giải. Trường hợp không đạt kết quả, tranh chấp được đưa ra Tòa án có thẩm quyền tại Việt Nam.