Chính sách bảo mật

1. Phạm vi và chủ thể chịu trách nhiệm

HRConnect là tên nền tảng công nghệ; QUANG MINH GROUP là thương hiệu hiển thị trên giao diện. Chủ thể vận hành và chịu trách nhiệm pháp lý là Công ty TNHH Quang Minh Bắc Ninh (mã số doanh nghiệp 2300766141).

Chính sách này áp dụng cho website hrconnect.vn, các cổng tài khoản ứng viên/nhà tuyển dụng, biểu mẫu công khai, PWA/WebView và các chức năng HRConnect liên kết trực tiếp tới tài liệu này.

Tùy từng nghiệp vụ, Công ty có thể là bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân theo thỏa thuận và pháp luật áp dụng.

2. Nhóm dữ liệu được xử lý

Dữ liệu cụ thể phụ thuộc chức năng người dùng lựa chọn. HRConnect không yêu cầu CCCD hoặc ảnh giấy tờ ở bước ứng tuyển công khai đầu tiên.

• Ứng tuyển và tư vấn việc làm: họ tên, số điện thoại, khu vực mong muốn, việc quan tâm, thời gian có thể đi làm, trạng thái hồ sơ và bằng chứng đồng ý.
• Tài khoản ứng viên/nhà tuyển dụng: họ tên, số điện thoại, email, tên tổ chức, khu vực, hồ sơ giới thiệu, CV/tệp người dùng chủ động tải lên và thông tin xác thực được bảo vệ.
• Liên kết đăng nhập ERP do người dùng lựa chọn: mã định danh Google/Facebook, tên hồ sơ, email Google nếu được cung cấp và xác minh, thời điểm liên kết và đăng nhập. Email không đủ để tự liên kết; người dùng phải xác minh tài khoản ERP hiện có. Facebook Login chỉ dùng hồ sơ cơ bản, không cấp quyền quản lý Page, Messenger hoặc Social CRM. Token nhà cung cấp chỉ được dùng để xác minh trong luồng đăng nhập, không lưu lâu dài làm phiên ERP. Có thể hủy liên kết trong phần Bảo mật hoặc gửi yêu cầu qua kênh dữ liệu cá nhân.
• Yêu cầu doanh nghiệp, đối tác và hỗ trợ: tổ chức, người liên hệ, số điện thoại, email, nhu cầu tuyển dụng, nội dung trao đổi, tệp đính kèm, chủ đề và lịch sử xử lý.
• Nghiệp vụ lao động sau tuyển dụng: dữ liệu định danh, liên hệ, việc làm, hợp đồng, phân công, chấm công, tài liệu và dữ liệu liên quan khác chỉ khi cần cho quy trình được phép.
• An toàn hệ thống: thời điểm truy cập/đăng nhập, địa chỉ IP, loại thiết bị hoặc trình duyệt, phiên, hành động và nhật ký kỹ thuật khi cần để bảo mật, chống gian lận và điều tra sự cố.
• Telemetry công khai tối giản: loại sự kiện, route chuẩn hóa, mã việc làm và metadata giới hạn. Endpoint trang công khai hiện không lưu truy vấn tìm kiếm thô, IP, session hash hoặc user-agent.

3. Nguồn dữ liệu

• Do người dùng trực tiếp nhập, tải lên, gửi qua biểu mẫu, tài khoản, cổng hỗ trợ hoặc trao đổi với HRConnect.
• Do doanh nghiệp tuyển dụng, đối tác, cộng tác viên hoặc người giới thiệu cung cấp trong phạm vi họ có quyền cung cấp.
• Được tạo ra trong quá trình sử dụng hệ thống như trạng thái ứng tuyển, lịch sử xử lý, nhật ký bảo mật và consent evidence.
• Từ nguồn công khai hoặc cơ quan có thẩm quyền khi pháp luật cho phép và cần thiết để xác minh nghiệp vụ.

4. Mục đích xử lý

• Tiếp nhận, tư vấn, sàng lọc, chuyển và theo dõi hồ sơ tuyển dụng theo lựa chọn của ứng viên.
• Kết nối ứng viên với doanh nghiệp tuyển dụng; quản lý nhu cầu tuyển dụng, đối tác và tiến trình sau tuyển dụng.
• Tạo và vận hành tài khoản, CV, hồ sơ, thông báo, hỗ trợ, phản ánh và yêu cầu về dữ liệu.
• Xác thực, phân quyền, bảo vệ tài khoản, phòng chống gian lận, điều tra sự cố và duy trì tính ổn định của dịch vụ.
• Đo lường tổng hợp nhằm cải thiện trải nghiệm, hiệu năng và nội dung; không dùng dữ liệu ứng tuyển để lập hồ sơ quảng cáo nếu chưa có căn cứ và thông báo riêng.
• Thực hiện nghĩa vụ theo pháp luật, hợp đồng hoặc yêu cầu hợp pháp của cơ quan có thẩm quyền.

5. Căn cứ xử lý và sự đồng ý

HRConnect xử lý dữ liệu trên cơ sở sự đồng ý rõ ràng, để thực hiện yêu cầu/thỏa thuận của người dùng, thực hiện nghĩa vụ pháp lý hoặc trong trường hợp pháp luật cho phép xử lý không cần sự đồng ý.

Checkbox đồng ý không được chọn sẵn. Người dùng có thể rút lại sự đồng ý cho hoạt động dựa trên sự đồng ý; việc rút lại không làm mất tính hợp pháp của hoạt động đã thực hiện trước đó và có thể làm một số chức năng không tiếp tục được cung cấp.

6. Dữ liệu tuyển dụng và người lao động

• Chỉ yêu cầu thông tin phù hợp với mục đích tuyển dụng; dữ liệu ứng viên chỉ dùng cho tuyển dụng hoặc mục đích khác đã được thỏa thuận hợp pháp.
• Hồ sơ của người không được tuyển sẽ được xóa hoặc hủy khi quy trình tuyển dụng kết thúc, trừ khi người đó đồng ý lưu cho cơ hội khác hoặc pháp luật yêu cầu lưu.
• Dữ liệu người lao động được lưu theo thời hạn pháp luật hoặc thỏa thuận; khi quan hệ lao động chấm dứt sẽ được xóa/hủy, trừ phần phải tiếp tục lưu theo pháp luật hoặc thỏa thuận hợp pháp.
• Dữ liệu vị trí, sinh trắc học hoặc dữ liệu nhạy cảm chỉ được xử lý trong chức năng có căn cứ, có thông báo/đồng ý phù hợp và có kiểm soát truy cập; không phải dữ liệu mặc định của biểu mẫu ứng tuyển công khai.

7. Bên nhận và chia sẻ dữ liệu

HRConnect không bán dữ liệu cá nhân. Dữ liệu chỉ được chia sẻ trong phạm vi cần thiết, đúng mục đích và có kiểm soát.

• Doanh nghiệp tuyển dụng hoặc đơn vị tiếp nhận liên quan trực tiếp đến vị trí/yêu cầu người dùng đã chọn.
• Nhân sự nội bộ, quản lý, đối tác tuyển dụng hoặc cộng tác viên được phân quyền và có nghĩa vụ bảo mật.
• Đơn vị cung cấp hạ tầng, lưu trữ, truyền thông, email/tin nhắn, hỗ trợ hoặc bảo mật khi cần để vận hành và có ràng buộc bảo vệ dữ liệu phù hợp.
• Cơ quan nhà nước, cơ quan tố tụng hoặc chủ thể khác khi có yêu cầu hợp pháp hoặc để bảo vệ quyền, lợi ích hợp pháp trong trường hợp pháp luật cho phép.
• Bên kế thừa hợp pháp khi có tổ chức lại doanh nghiệp, với điều kiện tiếp tục tuân thủ nghĩa vụ bảo vệ dữ liệu.

8. Xử lý và chuyển dữ liệu ngoài Việt Nam

HRConnect không mặc định chuyển dữ liệu cá nhân ra nước ngoài. Nếu một nhà cung cấp hoặc nghiệp vụ làm phát sinh việc chuyển/xử lý ngoài Việt Nam, Công ty sẽ đánh giá căn cứ, áp dụng biện pháp bảo vệ và thực hiện hồ sơ/thông báo theo pháp luật trước khi triển khai.

9. Thời hạn lưu trữ và xóa dữ liệu

Dữ liệu được lưu trong thời gian cần thiết cho mục đích đã thông báo, thời hạn thỏa thuận, thời hạn giải quyết khiếu nại/tranh chấp, yêu cầu kế toán/lao động hoặc nghĩa vụ lưu trữ bắt buộc. Khi hết căn cứ, dữ liệu được xóa, hủy, ẩn danh hoặc hạn chế xử lý theo quy trình phù hợp.

Bản sao lưu được luân chuyển theo chu kỳ kỹ thuật và có thể tồn tại thêm trong thời gian giới hạn trước khi bị ghi đè an toàn. Yêu cầu xóa không áp dụng với dữ liệu phải giữ theo pháp luật hoặc cần để bảo vệ quyền, lợi ích hợp pháp.

10. Biện pháp bảo vệ

• Phân quyền theo vai trò và Workspace, giới hạn quyền truy cập theo nhu cầu công việc.
• Xác thực, CSRF protection, rate limit, kiểm soát phiên, nhật ký và cơ chế phát hiện hành vi bất thường.
• Mã hóa kết nối HTTPS; bảo vệ thông tin xác thực và secret; kiểm soát tệp tải lên và đầu ra chống XSS/SQL injection.
• Sao lưu, khôi phục, giám sát lỗi và quy trình ứng phó sự cố; đánh giá rủi ro và cập nhật biện pháp khi hệ thống thay đổi.
• Yêu cầu nhân sự và bên xử lý liên quan tuân thủ nghĩa vụ bảo mật tương ứng với phạm vi được giao.

11. Quyền của chủ thể dữ liệu

Theo điều kiện và giới hạn của pháp luật, người dùng có quyền được biết, đồng ý hoặc từ chối, truy cập, xem/chỉnh sửa, yêu cầu cung cấp, rút lại sự đồng ý, yêu cầu xóa hoặc hạn chế xử lý, phản đối, khiếu nại/tố cáo/khởi kiện, yêu cầu bồi thường và tự bảo vệ quyền của mình.

Để bảo vệ dữ liệu, HRConnect có thể yêu cầu xác minh danh tính và phạm vi yêu cầu trước khi xử lý. Kết quả hoặc lý do từ chối/hạn chế sẽ được thông báo theo pháp luật áp dụng.

12. Trẻ em và người cần đại diện

Dữ liệu của trẻ em, người bị mất hoặc hạn chế năng lực hành vi dân sự, hoặc người có khó khăn trong nhận thức được xử lý với biện pháp bảo vệ tăng cường và sự tham gia của người đại diện theo pháp luật khi pháp luật yêu cầu. Người dùng không nên tự gửi dữ liệu của người khác nếu không có quyền hoặc căn cứ phù hợp.

13. Cookie, phiên và đo lường

HRConnect sử dụng cookie/phiên cần thiết cho đăng nhập, bảo mật, chống giả mạo yêu cầu và duy trì lựa chọn giao diện. Một số liên kết có thể giữ mã chiến dịch hoặc nguồn giới thiệu để ghi nhận đúng yêu cầu.

Đo lường trang công khai dùng taxonomy sự kiện giới hạn và route chuẩn hóa. Truy vấn tìm kiếm thô không được gửi/lưu trong telemetry công khai; cơ chế chống lạm dụng có thể xử lý định danh kỹ thuật theo cách băm hoặc giới hạn thời gian.

14. Cập nhật chính sách và liên hệ

Chính sách có thể được cập nhật khi chức năng, hoạt động xử lý hoặc pháp luật thay đổi. Phiên bản và ngày hiệu lực mới sẽ được công bố tại route này; thay đổi ảnh hưởng đáng kể đến quyền lợi sẽ được thông báo bằng phương thức phù hợp trước khi áp dụng khi pháp luật yêu cầu.

Yêu cầu bảo mật, quyền riêng tư hoặc dữ liệu cá nhân được tiếp nhận tại kênh liên hệ chính thức bên dưới. Không gửi mật khẩu, OTP hoặc secret qua biểu mẫu hỗ trợ.