Chính sách quyền riêng tư

Chính sách này áp dụng cho website timanh.vn. Ứng dụng di động Tìm Ảnh và website bananh.vn có chính sách riêng.

Tóm tắt những điểm chính

• Chúng tôi không bán dữ liệu cá nhân và không dùng ảnh hay dữ liệu khuôn mặt của bạn cho quảng cáo.
• Ảnh khuôn mặt bạn tải lên là dữ liệu sinh trắc học. Chúng chỉ được dùng cho một việc: tìm ảnh có bạn trong sự kiện bạn chọn. Tùy sự kiện, việc so khớp được thực hiện bằng hệ thống nhận diện do chúng tôi tự vận hành hoặc bằng Amazon Rekognition của Amazon Web Services.
• Thời gian lưu: khuôn mặt bạn chọn lưu được giữ đến khi bạn xóa hoặc xóa tài khoản; ảnh truy vấn dùng một lần và các bản sao kỹ thuật tự xóa trong tối đa 30 ngày; nhật ký hệ thống tối đa 12 tháng. Bảng chi tiết tại mục 3 và mục 8.
• Cách xóa: xóa từng khuôn mặt ngay trên trang tìm kiếm, hoặc xóa toàn bộ tài khoản và dữ liệu theo hướng dẫn tại Xóa tài khoản và dữ liệu; hoặc gửi yêu cầu tới [email protected].
• Dữ liệu được lưu trên máy chủ thuê tại Đức và dịch vụ đám mây Amazon Web Services tại Hoa Kỳ, tức là được chuyển ra ngoài lãnh thổ Việt Nam (mục 7).
• Website có dùng cookie và công cụ thống kê truy cập của bên thứ ba (Google Analytics, Google Tag Manager, Hotjar) — chi tiết và cách từ chối tại Chính sách cookie.

1. Giới thiệu và phạm vi áp dụng

Chính sách quyền riêng tư này (“Chính sách”) giải thích cách CÔNG TY CỔ PHẦN TRUYỀN THÔNG XMAX MEDIA (XMAX MEDIA JSC), mã số doanh nghiệp 0110577248, trụ sở tại Số 18, phố Đồng Nhân, Phường Hai Bà Trưng, thành phố Hà Nội, Việt Nam (“Công ty”, “chúng tôi”) thu thập, sử dụng, chia sẻ, lưu trữ, bảo vệ và xóa dữ liệu cá nhân khi bạn sử dụng website timanh.vn và các dịch vụ trực tuyến phục vụ website này (gọi chung là “Dịch vụ”).

Đối với Dịch vụ, Công ty là bên kiểm soát và xử lý dữ liệu cá nhân: chúng tôi quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu cá nhân của bạn, đồng thời sử dụng một số nhà cung cấp dịch vụ làm bên xử lý dữ liệu theo chỉ dẫn của chúng tôi (mục 6). Chính sách này là thông báo về việc xử lý dữ liệu cá nhân gửi tới bạn trước khi dữ liệu được xử lý.

Chính sách được xây dựng theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP quy định chi tiết Luật này (cùng có hiệu lực từ ngày 01/01/2026, thay thế Nghị định số 13/2023/NĐ-CP), Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15, Luật Thương mại điện tử số 122/2025/QH15 và các quy định pháp luật có liên quan.

Chính sách dữ liệu khuôn mặt là một phần không tách rời của Chính sách này và được ưu tiên áp dụng đối với dữ liệu khuôn mặt. Chính sách cookie quy định chi tiết về cookie. Trang Xóa tài khoản và dữ liệu hướng dẫn cách xóa tài khoản.

Tài khoản của bạn được dùng chung với website bananh.vn và ứng dụng di động Tìm Ảnh theo địa chỉ email. Dữ liệu bạn cung cấp trực tiếp trên các nền tảng đó được xử lý theo chính sách đăng trên nền tảng tương ứng.

2. Dữ liệu chúng tôi thu thập

2.1. Dữ liệu bạn cung cấp

• Thông tin tài khoản: địa chỉ email; họ tên (nếu bạn nhập); mật khẩu nếu bạn đăng ký bằng email (chỉ lưu dưới dạng băm một chiều, không ai xem được mật khẩu gốc); số điện thoại nếu bạn tự thêm.
• Dữ liệu khuôn mặt (dữ liệu cá nhân nhạy cảm): ảnh khuôn mặt bạn tải lên để tìm ảnh, và đặc trưng khuôn mặt dạng vector được tạo từ ảnh đó. Chi tiết tại Chính sách dữ liệu khuôn mặt.
• Yêu cầu tìm kiếm: sự kiện, chế độ tìm (khuôn mặt, số BIB, toàn bộ ảnh), số BIB và mật khẩu sự kiện nếu có. Mật khẩu sự kiện chỉ dùng để kiểm tra, không lưu trên máy chủ.
• Liên hệ và hỗ trợ: email, số điện thoại và nội dung bạn gửi qua mục Liên hệ hoặc tới [email protected]; thông tin cần thiết để xác minh khi bạn gửi yêu cầu về dữ liệu hoặc yêu cầu gỡ ảnh.
• Cài đặt: ngôn ngữ hiển thị.

2.2. Dữ liệu thu thập tự động

• Dữ liệu kỹ thuật và an ninh: địa chỉ IP, thời điểm truy cập, đường dẫn và chức năng được gọi, mã lỗi, loại trình duyệt và hệ điều hành (user agent) trong nhật ký hệ thống; bộ đếm tạm thời để giới hạn số lượt tìm kiếm.
• Hoạt động tài khoản: thời điểm tạo tài khoản và thời điểm hoạt động gần nhất.
• Thống kê truy cập: qua Google Analytics (G-E7ZF2GN4G3), Google Tag Manager (GTM-MWFF33CD) và Hotjar (mã 5262487): trang bạn xem, thứ tự xem, thời gian trên trang, nguồn truy cập, thông tin thiết bị và trình duyệt ở dạng khái quát, mã nhận dạng ngẫu nhiên lưu trong cookie. Hotjar ghi lại thao tác chuột, cuộn trang và nhấp chuột ở dạng ẩn danh để chúng tôi cải thiện giao diện. Chi tiết và cách từ chối tại Chính sách cookie.

2.3. Dữ liệu nhận từ bên thứ ba

• Google, khi bạn chọn đăng nhập bằng Google: mã định danh tài khoản, email đã xác minh, họ tên và ảnh đại diện (nếu có).
• Nhiếp ảnh gia và ban tổ chức sự kiện: ảnh, video chụp tại các sự kiện thể thao công cộng mà bạn có thể xuất hiện, được cung cấp theo thỏa thuận giữa ban tổ chức và Công ty; với sự kiện có chứng nhận, kết quả thi đấu (họ tên, số BIB, thành tích). Hệ thống tự động nhận diện số BIB và tạo đặc trưng khuôn mặt từ ảnh sự kiện để phục vụ tìm kiếm (Chính sách dữ liệu khuôn mặt, mục 5).
• Các nền tảng khác của Công ty: nếu bạn dùng cùng một tài khoản, thông tin tài khoản và khuôn mặt đã lưu được dùng chung giữa website timanh.vn, website bananh.vn và ứng dụng Tìm Ảnh.

2.4. Dữ liệu chúng tôi không thu thập

• Số thẻ, số tài khoản ngân hàng, mã PIN hay mã OTP.
• Vị trí chính xác của bạn, danh bạ, tin nhắn, dữ liệu sức khỏe. Thông tin vị trí và thiết bị trong dữ liệu EXIF của ảnh khuôn mặt bị xóa trước khi lưu.
• Toàn bộ thư mục ảnh trên máy bạn: trình duyệt chỉ gửi đúng tệp bạn chọn.
• Chúng tôi không tích hợp mạng quảng cáo và không dùng dữ liệu của bạn để nhắm quảng cáo.

2.5. Dữ liệu lưu trên trình duyệt của bạn

Để bạn không phải tải ảnh lên lại mỗi lần tìm, trình duyệt của bạn lưu: danh sách khóa của các khuôn mặt bạn đã dùng (cookie tf_faces, tối đa 8 khuôn mặt) và ảnh thu nhỏ của chúng (trong localStorage, khóa tf_face_thumbs). Dữ liệu này nằm trên máy bạn, không được gửi cho bên thứ ba, và bị xóa khi bạn xóa dữ liệu duyệt web của trình duyệt hoặc khi bạn xóa khuôn mặt trên website. Trình duyệt Safari có thể tự xóa sau 7 ngày không truy cập. Danh sách cookie đầy đủ tại Chính sách cookie.

3. Mục đích, căn cứ xử lý, thời hạn lưu trữ và bên nhận

Chúng tôi chỉ xử lý dữ liệu cá nhân cho các mục đích nêu dưới đây. Chúng tôi không dùng dữ liệu cá nhân để quảng cáo, không lập hồ sơ để đánh giá bạn và không ra quyết định hoàn toàn tự động gây hệ quả pháp lý đối với bạn. Tên và vai trò của từng bên nhận được nêu tại mục 6.

Khi pháp luật xếp một loại dữ liệu nêu trên vào nhóm dữ liệu cá nhân nhạy cảm, chúng tôi áp dụng các biện pháp bảo vệ tương ứng với nhóm dữ liệu đó.

4. Sự đồng ý của bạn

• Cách chúng tôi xin đồng ý: liên kết tới Điều khoản sử dụng và Chính sách này được hiển thị ở chân mọi trang, tại màn hình đăng ký và ngay tại nơi bạn tải ảnh khuôn mặt lên. Việc bạn chủ động tải ảnh khuôn mặt lên sau khi đã đọc thông báo là hành vi thể hiện sự đồng ý đối với việc xử lý dữ liệu khuôn mặt cho mục đích tìm ảnh.
• Sự đồng ý là tự nguyện: bạn có thể không dùng tính năng tìm bằng khuôn mặt mà vẫn tìm ảnh bằng số BIB và xem thư viện ảnh của sự kiện.
• Rút lại sự đồng ý: xóa khuôn mặt đã lưu ngay trên trang tìm kiếm; xóa tài khoản theo Xóa tài khoản và dữ liệu; hoặc gửi yêu cầu tới [email protected]. Với cookie thống kê, xem Chính sách cookie. Việc rút lại không ảnh hưởng tới tính hợp pháp của việc xử lý đã thực hiện trước đó.
• Trường hợp không cần sự đồng ý theo Điều 19 Luật Bảo vệ dữ liệu cá nhân: thực hiện thỏa thuận với bạn (cung cấp Dịch vụ); thực hiện nghĩa vụ theo quy định của pháp luật (kế toán, thuế, yêu cầu của cơ quan có thẩm quyền); bảo vệ quyền, lợi ích hợp pháp của chúng tôi và người khác một cách cần thiết trước hành vi xâm phạm.

5. Những điều chúng tôi không làm

• Không mua, bán, cho thuê hay trao đổi dữ liệu cá nhân.
• Không dùng ảnh và dữ liệu khuôn mặt cho quảng cáo, tiếp thị hay lập hồ sơ hành vi, và không cho phép bên thứ ba làm việc đó.
• Không cung cấp dữ liệu cho bên môi giới dữ liệu.
• Không cung cấp dữ liệu cá nhân của bạn, bao gồm dữ liệu khuôn mặt, cho ban tổ chức sự kiện, nhà tài trợ, nhiếp ảnh gia hay người dùng khác, trừ những gì nêu rõ trong Chính sách này (ví dụ ảnh sự kiện hiển thị trong thư viện ảnh). Chúng tôi có thể chia sẻ số liệu thống kê tổng hợp không xác định được cá nhân.
• Không dùng ảnh khuôn mặt hay vector của bạn để huấn luyện mô hình nhận diện khuôn mặt.

6. Các bên nhận và bên xử lý dữ liệu

• Các nhà cung cấp nêu trên xử lý dữ liệu theo hợp đồng, điều khoản dịch vụ và điều khoản xử lý dữ liệu với Công ty, có cam kết bảo mật. Chúng tôi chỉ cho phép các bên truy cập dữ liệu khi họ bảo vệ dữ liệu ở mức tương đương mức mô tả trong Chính sách này.
• Google và Hotjar đồng thời xử lý một số dữ liệu với tư cách bên độc lập theo chính sách quyền riêng tư của chính họ.
• Khi Công ty tổ chức lại, sáp nhập, hợp nhất, chia, tách hoặc chuyển nhượng doanh nghiệp, dữ liệu có thể được chuyển cho bên kế thừa theo quy định của pháp luật với điều kiện bên đó tiếp tục bảo vệ dữ liệu theo Chính sách này; bạn sẽ được thông báo.
• Khi bạn tự chia sẻ ảnh qua mạng xã hội hay tin nhắn, việc xử lý tiếp theo tuân theo chính sách của nền tảng đó.

7. Chuyển dữ liệu cá nhân ra nước ngoài

Để cung cấp Dịch vụ, dữ liệu cá nhân của bạn, bao gồm dữ liệu khuôn mặt, được chuyển ra ngoài lãnh thổ Việt Nam và lưu trữ, xử lý tại Đức (máy chủ thuê của Contabo: máy chủ ứng dụng, cơ sở dữ liệu, hệ thống nhận diện khuôn mặt) và Hoa Kỳ (Amazon S3 và Amazon Rekognition tại vùng us-west-2). Email bạn gửi tới hộp thư hỗ trợ được xử lý bởi nhà cung cấp có trụ sở tại Singapore; dữ liệu thống kê truy cập được xử lý tại Hoa Kỳ và Liên minh châu Âu; một phần dữ liệu cũng được xử lý tại các quốc gia nơi Cloudflare, Google vận hành hạ tầng.

Chúng tôi thực hiện việc chuyển dữ liệu cá nhân xuyên biên giới theo Điều 20 Luật Bảo vệ dữ liệu cá nhân, bao gồm lập và gửi hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an, đồng thời áp dụng các biện pháp bảo vệ: hợp đồng và điều khoản xử lý dữ liệu với nhà cung cấp, mã hóa khi truyền tải, mã hóa khi lưu trữ đối với ảnh trên Amazon S3, giới hạn và kiểm soát quyền truy cập. Dữ liệu của bạn tiếp tục được bảo vệ theo Chính sách này khi ở nước ngoài.

8. Lưu trữ và xóa dữ liệu

• Nguyên tắc: thông tin tài khoản, khuôn mặt đã lưu và yêu cầu hỗ trợ của bạn được lưu đến khi bạn xóa, rút lại đồng ý hoặc xóa tài khoản; chúng tôi không tự động xóa các dữ liệu này theo thời gian. Chỉ các dữ liệu nêu dưới đây có thời hạn riêng.
• Xóa theo thao tác của bạn: khi bạn xóa một khuôn mặt, dữ liệu tương ứng bị xóa khỏi máy chủ ngay lập tức.
• Xóa tự động: ảnh khuôn mặt dùng một lần (bạn không chọn lưu) và các bản sao kỹ thuật dùng cho tìm kiếm tự xóa trong tối đa 30 ngày; mã đặt lại mật khẩu sau 15 phút; kết quả tìm kiếm chỉ được giữ tạm trong bộ nhớ tối đa 10 phút để phân trang; nhật ký hệ thống tối đa 12 tháng; bản sao lưu dữ liệu (nếu có) bị ghi đè hoặc xóa theo chu kỳ sao lưu.
• Khi bạn xóa tài khoản: thông tin tài khoản, toàn bộ khuôn mặt đã lưu (kể cả khuôn mặt bạn từng lưu trên các nền tảng khác bằng cùng tài khoản), cài đặt và các yêu cầu hỗ trợ gửi qua website bị xóa ngay. Bản sao email các yêu cầu hỗ trợ trong hệ thống thư điện tử không tự động bị xóa; bạn có thể yêu cầu xóa qua [email protected]. Chi tiết tại Xóa tài khoản và dữ liệu.
• Khi hết thời hạn lưu trữ, dữ liệu được xóa hoặc khử nhận dạng để không còn xác định được bạn. Nếu có lý do chính đáng khiến chúng tôi không thể xóa một dữ liệu theo yêu cầu (ví dụ nghĩa vụ lưu trữ theo pháp luật), chúng tôi sẽ thông báo cho bạn.

9. Bảo mật dữ liệu

• Mọi kết nối giữa trình duyệt của bạn và máy chủ được mã hóa qua HTTPS/TLS.
• Ảnh khuôn mặt được lưu trong kho lưu trữ riêng tư, mã hóa khi lưu, không truy cập công khai; chỉ xem được qua liên kết có chữ ký, tự hết hạn sau khoảng 60 phút.
• Mật khẩu chỉ lưu dạng băm một chiều. Phiên đăng nhập có thời hạn và được lưu trong cookie đặt cờ secure, SameSite=Lax.
• Nhật ký hệ thống không ghi mật khẩu, ảnh khuôn mặt hay vector khuôn mặt; hệ thống giới hạn tần suất truy cập để chống lạm dụng.
• Quyền truy cập dữ liệu trong nội bộ được giới hạn cho nhân sự cần thiết. Dữ liệu sinh trắc học được bảo vệ theo Điều 31 Luật Bảo vệ dữ liệu cá nhân: lưu trữ tại trung tâm dữ liệu có bảo vệ vật lý của nhà cung cấp, hạn chế quyền truy cập và theo dõi để phát hiện hành vi xâm phạm.
• Không có biện pháp nào an toàn tuyệt đối. Khi phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân có thể gây tổn hại tới quyền, lợi ích của bạn, chúng tôi sẽ thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện; nếu sự cố liên quan tới dữ liệu sinh trắc học, chúng tôi sẽ thông báo cho bạn trong thời hạn 72 giờ hoặc thông báo công khai khi không thể liên hệ trực tiếp.

10. Quyền của bạn và cách thực hiện

Theo Điều 4 Luật Bảo vệ dữ liệu cá nhân, bạn có quyền: được biết về hoạt động xử lý dữ liệu cá nhân của mình; đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý; xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu; yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu và phản đối việc xử lý; khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại; yêu cầu áp dụng các biện pháp bảo vệ dữ liệu cá nhân của mình.

10.1. Tự thực hiện ngay trên website

• Xem và sửa thông tin tài khoản, đổi mật khẩu: mục Thông tin tài khoản.
• Xóa từng khuôn mặt đã lưu: ngay tại danh sách khuôn mặt trên trang tìm kiếm của sự kiện.
• Xóa dữ liệu khuôn mặt lưu trên trình duyệt: xóa dữ liệu duyệt web (cookie và bộ nhớ cục bộ) của trình duyệt.
• Từ chối cookie thống kê: xem hướng dẫn tại Chính sách cookie.

10.2. Gửi yêu cầu qua email

Với các yêu cầu khác (nhận bản sao dữ liệu, hạn chế hoặc phản đối xử lý, xóa tài khoản, khiếu nại), hãy gửi email tới [email protected], tốt nhất từ địa chỉ email của tài khoản. Theo Nghị định số 356/2025/NĐ-CP, chúng tôi phản hồi trong vòng 02 ngày làm việc kể từ khi nhận được yêu cầu hợp lệ và thực hiện yêu cầu trong thời hạn: 10 ngày đối với yêu cầu xem, chỉnh sửa hoặc cung cấp dữ liệu; 15 ngày đối với yêu cầu rút lại sự đồng ý, hạn chế hoặc phản đối xử lý; 20 ngày đối với yêu cầu xóa dữ liệu. Khi cần phối hợp với bên xử lý dữ liệu hoặc cần xác minh thêm, thời hạn có thể được gia hạn một lần theo quy định và chúng tôi sẽ thông báo lý do cho bạn. Việc thực hiện quyền của bạn là miễn phí, trừ trường hợp pháp luật có quy định khác.

Để bảo vệ bạn, chúng tôi có thể đề nghị bạn xác minh là chủ tài khoản, ví dụ trả lời từ đúng địa chỉ email của tài khoản. Chúng tôi không bao giờ yêu cầu mật khẩu hay ảnh giấy tờ tùy thân. Chúng tôi có thể từ chối hoặc chỉ thực hiện một phần yêu cầu trong các trường hợp pháp luật cho phép và sẽ thông báo lý do.

Bạn có quyền gửi khiếu nại tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) hoặc cơ quan nhà nước có thẩm quyền khác, hoặc khởi kiện tại Tòa án theo quy định của pháp luật.

11. Xóa tài khoản

Bạn có thể yêu cầu xóa tài khoản bất kỳ lúc nào. Tài khoản này được dùng chung với website bananh.vn và ứng dụng Tìm Ảnh, nên sau khi xóa bạn cũng không đăng nhập được các nền tảng đó bằng tài khoản cũ. Hướng dẫn đầy đủ, danh sách dữ liệu bị xóa và dữ liệu được giữ lại có tại Xóa tài khoản và dữ liệu.

12. Trẻ em và người chưa thành niên

• Website không được thiết kế cho trẻ em. Người dưới 16 tuổi chỉ được sử dụng Dịch vụ khi có sự đồng ý và giám sát của cha, mẹ hoặc người giám hộ; người đại diện theo pháp luật thực hiện các quyền của chủ thể dữ liệu thay cho trẻ.
• Dữ liệu khuôn mặt của người dưới 16 tuổi chỉ được tạo bởi cha, mẹ hoặc người giám hộ và vì lợi ích của trẻ; với trẻ từ đủ 07 tuổi, cha, mẹ hoặc người giám hộ cần giải thích và có sự đồng ý của trẻ theo quy định của pháp luật.
• Nếu phát hiện đã thu thập dữ liệu của trẻ em mà không có sự đồng ý hợp lệ, chúng tôi sẽ xóa dữ liệu đó.
• Ảnh sự kiện có thể có hình ảnh trẻ em. Cha, mẹ hoặc người giám hộ có thể yêu cầu gỡ hoặc ẩn những ảnh này bất kỳ lúc nào qua [email protected]; chúng tôi ưu tiên xử lý các yêu cầu liên quan tới trẻ em.

13. Cookie và công nghệ tương tự

Website sử dụng cookie để duy trì phiên đăng nhập, ghi nhớ ngôn ngữ, ghi nhớ khuôn mặt bạn đã dùng, và để thống kê truy cập. Danh sách đầy đủ từng cookie, mục đích, thời hạn và cách từ chối có tại Chính sách cookie.

14. Liên kết và dịch vụ của bên thứ ba

Website có thể dẫn tới website của ban tổ chức sự kiện, nhà tài trợ hoặc trang mạng xã hội. Việc thu thập và xử lý dữ liệu trên các website, dịch vụ đó tuân theo chính sách của bên vận hành, không thuộc phạm vi Chính sách này.

15. Thay đổi Chính sách

Mỗi phiên bản Chính sách có số phiên bản và ngày hiệu lực ghi ở đầu trang. Với thay đổi quan trọng, chúng tôi sẽ đăng thông báo trên website trước khi phiên bản mới có hiệu lực và xin lại sự đồng ý của bạn đối với các hoạt động xử lý dựa trên sự đồng ý khi pháp luật yêu cầu.

Liên hệ

• CÔNG TY CỔ PHẦN TRUYỀN THÔNG XMAX MEDIA (XMAX MEDIA JSC)
• Địa chỉ trụ sở: Số 18, phố Đồng Nhân, Phường Hai Bà Trưng, thành phố Hà Nội, Việt Nam
• Mã số doanh nghiệp (mã số thuế): 0110577248
• Điện thoại: +84 942 366 688
• Đầu mối bảo vệ dữ liệu cá nhân: Bộ phận Bảo vệ dữ liệu cá nhân
• Email: [email protected]

Văn bản này được lập bằng tiếng Việt và tiếng Anh. Trường hợp có khác biệt giữa hai bản, bản tiếng Việt được ưu tiên áp dụng.