Chính Sách Bảo Mật

Điều 1. Phạm vi áp dụng

1.1. Chính sách này áp dụng đối với dữ liệu cá nhân được ALADDIN thu thập, xử lý thông qua website aladdin-jsc.com, các biểu mẫu điện tử, email, điện thoại, mạng xã hội, hoạt động tuyển dụng, các kênh truyền thông số và các nền tảng số khác do ALADDIN và các thương hiệu thuộc hệ thống trực tiếp quản lý.

1.2. Đối với Aladdin Rewards, Chính sách này áp dụng khi được công bố hoặc dẫn chiếu trên ứng dụng, website, biểu mẫu đăng ký thành viên hoặc điều khoản chương trình. Các nội dung chuyên biệt cho Aladdin Rewards được quy định tại Điều 7 của Chính sách này.

1.3. Chính sách này không tự động áp dụng cho website, ứng dụng, nền tảng, đối tác thanh toán, hệ thống đặt bàn hoặc thương hiệu khác có liên kết từ các kênh của ALADDIN, trừ khi nền tảng đó nêu rõ việc áp dụng Chính sách này. Chủ thể dữ liệu cần đọc chính sách riêng của các bên đó trước khi cung cấp dữ liệu cá nhân.

1.4. Trường hợp có chính sách hoặc thông báo xử lý dữ liệu riêng cho một sản phẩm, dịch vụ, chương trình hay chiến dịch cụ thể, chính sách hoặc thông báo riêng được ưu tiên áp dụng trong phạm vi có quy định cụ thể.

Điều 2. Giải thích thuật ngữ

2.1. “Dữ liệu cá nhân” là dữ liệu dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự gắn với một con người cụ thể hoặc giúp xác định một con người cụ thể.

2.2. “Chủ thể dữ liệu” là cá nhân mà dữ liệu cá nhân phản ánh.

2.3. “Xử lý dữ liệu cá nhân” là một hoặc nhiều hoạt động tác động đến dữ liệu cá nhân, bao gồm nhưng không giới hạn ở việc thu thập, ghi, phân tích, tổng hợp, lưu trữ, chỉnh sửa, sử dụng, cung cấp, chuyển giao, chia sẻ, xóa, hủy hoặc khử nhận dạng dữ liệu.

2.4. “Bên kiểm soát dữ liệu cá nhân”, “Bên xử lý dữ liệu cá nhân”, “Bên kiểm soát và xử lý dữ liệu cá nhân” và “Bên thứ ba” được hiểu theo quy định pháp luật về bảo vệ dữ liệu cá nhân. Trong phạm vi Chính sách này, ALADDIN đóng vai trò là Bên Kiểm soát dữ liệu cá nhân đồng thời là Bên Xử lý dữ liệu cá nhân (Bên Kiểm soát và xử lý dữ liệu cá nhân), trừ khi có thông báo khác.

Điều 3. Thông tin liên hệ và đầu mối tiếp nhận yêu cầu về dữ liệu cá nhân

Để thực hiện quyền hoặc gửi phản ánh về dữ liệu cá nhân, vui lòng gửi email với tiêu đề “Yêu cầu về dữ liệu cá nhân”. ALADDIN có thể yêu cầu thông tin hợp lý để xác minh danh tính, thẩm quyền và phạm vi yêu cầu trước khi thực hiện.

Điều 4. Nguyên tắc và căn cứ xử lý dữ liệu cá nhân

4.1. ALADDIN chỉ xử lý dữ liệu cá nhân cho mục đích cụ thể, rõ ràng, hợp pháp; thu thập trong phạm vi cần thiết; duy trì độ chính xác phù hợp; áp dụng biện pháp bảo vệ tương xứng với rủi ro và không lưu giữ dữ liệu lâu hơn mức cần thiết.

4.2. Khi việc xử lý cần có sự đồng ý, ALADDIN sẽ cung cấp thông tin để chủ thể dữ liệu biết rõ loại dữ liệu được xử lý, mục đích xử lý, đơn vị kiểm soát dữ liệu và quyền, nghĩa vụ của mình. Sự đồng ý phải được thể hiện rõ ràng, cụ thể, có thể kiểm chứng và tách riêng theo từng mục đích khi cần thiết.

4.3. ALADDIN không sử dụng ô đồng ý được tích sẵn, không coi sự im lặng hoặc không phản hồi là sự đồng ý và không gộp việc đồng ý nhận tiếp thị với điều kiện bắt buộc để sử dụng các dịch vụ không cần đến mục đích tiếp thị.

4.4. ALADDIN lưu giữ bằng chứng về sự đồng ý trong phạm vi cần thiết để chứng minh việc xử lý hợp pháp. Chủ thể dữ liệu có thể rút lại sự đồng ý hoặc yêu cầu hạn chế, phản đối xử lý theo quy định pháp luật và Điều 14 của Chính sách này.

4.5. ALADDIN có thể xử lý dữ liệu cá nhân mà không cần sự đồng ý chỉ trong các trường hợp luật cho phép. Việc xử lý như vậy được giới hạn trong phạm vi cần thiết, có kiểm soát và được ghi nhận theo quy định nội bộ.

4.6. ALADDIN không mua bán dữ liệu cá nhân. ALADDIN cũng không cho thuê, trao đổi hoặc cung cấp dữ liệu cá nhân cho bên thứ ba để họ tiếp thị trực tiếp độc lập, trừ trường hợp pháp luật có quy định khác hoặc việc xử lý, chia sẻ được thực hiện theo cơ chế hợp pháp và minh bạch đã thông báo cho chủ thể dữ liệu.

Điều 5. Loại dữ liệu cá nhân ALADDIN có thể thu thập

ALADDIN không yêu cầu bạn cung cấp thông tin không cần thiết. Nếu bạn chủ động gửi dữ liệu của người khác cho ALADDIN, bạn có trách nhiệm bảo đảm việc cung cấp đó được phép theo pháp luật và phù hợp với quyền của người có dữ liệu.

Điều 6. Nguồn thu thập dữ liệu cá nhân

6.1. Trực tiếp từ bạn khi bạn truy cập website, tạo hoặc sử dụng tài khoản, điền biểu mẫu, ứng tuyển, đăng ký nhận tin, liên hệ qua điện thoại, email, mạng xã hội hoặc tham gia chương trình của ALADDIN.

6.2. Từ thiết bị, trình duyệt hoặc ứng dụng của bạn thông qua cookie, nhật ký truy cập, mã định danh thiết bị, thông báo đẩy hoặc công nghệ tương tự, trong phạm vi bạn cho phép hoặc pháp luật cho phép.

6.3. Từ đối tác cung cấp dịch vụ cho ALADDIN, đơn vị tuyển dụng, đơn vị vận hành hệ thống hoặc nguồn công khai hợp pháp, khi việc thu thập, tiếp nhận và sử dụng có căn cứ phù hợp theo quy định pháp luật.

Điều 7. Dữ liệu cá nhân trong Aladdin Rewards

7.1. Khi bạn đăng ký hoặc sử dụng Aladdin Rewards, ALADDIN có thể xử lý các nhóm dữ liệu cần thiết để cung cấp chương trình thành viên, gồm: thông tin tài khoản và liên hệ; mã thành viên; lịch sử tích hoặc sử dụng điểm; hạng thành viên; ưu đãi, voucher; lịch sử giao dịch hoặc tương tác liên quan đến chương trình; thông tin hỗ trợ khách hàng; dữ liệu thiết bị, nhật ký hoạt động và thông tin xác thực tài khoản.

7.2. ALADDIN sử dụng các dữ liệu nêu trên để: tạo, xác thực và quản lý tài khoản; ghi nhận, điều chỉnh và đối soát quyền lợi thành viên; cung cấp ưu đãi; tiếp nhận và giải quyết yêu cầu; phòng chống gian lận hoặc truy cập trái phép; bảo đảm an toàn hệ thống; phân tích, cải thiện trải nghiệm; và gửi thông tin tiếp thị khi bạn đã đồng ý riêng.

7.3. Việc dùng dữ liệu hành vi để cá nhân hóa ưu đãi, nội dung hoặc quảng cáo chỉ được thực hiện trong phạm vi cần thiết và theo cơ chế đồng ý phù hợp. Việc từ chối tiếp thị hoặc cá nhân hóa không làm mất quyền sử dụng các tính năng thành viên cơ bản, trừ khi tính năng đó vốn cần xử lý dữ liệu tương ứng để hoạt động.

7.4. ALADDIN áp dụng biện pháp bảo vệ phù hợp đối với thông tin tài khoản, điểm thưởng, ưu đãi và lịch sử hoạt động. Chủ thể dữ liệu có trách nhiệm bảo mật thông tin đăng nhập, mật khẩu, mã OTP, thiết bị đăng nhập và không cung cấp các thông tin xác thực này cho người khác.

Điều 8. Mục đích xử lý và thời hạn lưu trữ

Hết thời hạn lưu trữ, ALADDIN sẽ xóa, hủy hoặc khử nhận dạng dữ liệu cá nhân theo quy trình phù hợp, trừ khi việc tiếp tục lưu trữ là cần thiết để thực hiện nghĩa vụ pháp lý, giải quyết tranh chấp, bảo vệ quyền và lợi ích hợp pháp hoặc phục vụ yêu cầu của cơ quan có thẩm quyền theo pháp luật.

Điều 9. Cookies, công nghệ theo dõi và quảng cáo

9.1. ALADDIN có thể sử dụng cookie hoặc công nghệ tương tự để bảo đảm hoạt động ổn định, bảo mật tài khoản, ghi nhớ lựa chọn, đo lường hiệu quả kênh số, phát hiện sự cố và cải thiện trải nghiệm sử dụng.

9.2. Website hoặc ứng dụng có thể phân loại công nghệ theo dõi thành nhóm cần thiết, nhóm phân tích và nhóm quảng cáo hoặc cá nhân hóa. Đối với các công nghệ không cần thiết, ALADDIN sẽ triển khai cơ chế thông báo và xin sự đồng ý phù hợp trước khi kích hoạt khi pháp luật yêu cầu.

9.3. Bạn có thể quản lý lựa chọn cookie tại công cụ quản lý cookie của website, trong cài đặt ứng dụng hoặc trình duyệt. Việc từ chối một số cookie hoặc công nghệ có thể làm ảnh hưởng đến một số chức năng, nhưng không làm mất các quyền dữ liệu cá nhân của bạn.

9.4. ALADDIN không sử dụng dữ liệu theo dõi để quảng cáo theo hành vi, quảng cáo có mục tiêu cụ thể hoặc cá nhân hóa quảng cáo nếu chưa có cơ chế đồng ý phù hợp theo quy định pháp luật.

Điều 10. Chia sẻ và chuyển giao dữ liệu cá nhân

10.1. ALADDIN chỉ chia sẻ dữ liệu cá nhân trong phạm vi cần thiết, đúng mục đích và có kiểm soát. Các nhóm bên nhận dữ liệu có thể bao gồm:

• Công ty liên kết, đơn vị trực thuộc hoặc đơn vị được ALADDIN ủy quyền thực hiện công việc phù hợp với mục đích đã thông báo.
• Nhà cung cấp dịch vụ công nghệ, lưu trữ đám mây, email, phân tích, vận hành ứng dụng, SMS hoặc OTP, thông báo đẩy, tuyển dụng, tư vấn chuyên môn, kiểm toán, hỗ trợ kỹ thuật hoặc dịch vụ cần thiết khác.
• Đối tác cần thiết để thực hiện quyền lợi thành viên, xử lý giao dịch, giải quyết yêu cầu hoặc phòng chống gian lận, trong phạm vi dịch vụ mà bạn sử dụng.
• Cơ quan nhà nước có thẩm quyền hoặc bên khác khi có yêu cầu hợp pháp, trong phạm vi cần thiết và theo đúng trình tự, thủ tục pháp luật quy định.
• Bên nhận chuyển giao trong trường hợp tái cấu trúc, sáp nhập, mua bán doanh nghiệp hoặc chuyển giao tài sản, với điều kiện áp dụng nghĩa vụ bảo mật và bảo vệ dữ liệu phù hợp.

10.2. Khi thuê bên xử lý dữ liệu, ALADDIN yêu cầu bên đó xử lý dữ liệu theo chỉ dẫn, áp dụng biện pháp bảo mật phù hợp, không sử dụng dữ liệu cho mục đích riêng trái thỏa thuận hoặc trái pháp luật, đồng thời phối hợp thực hiện yêu cầu của chủ thể dữ liệu và xử lý sự cố khi cần thiết.

10.3. ALADDIN không công khai danh tính hoặc dữ liệu cá nhân của bạn cho công chúng, trừ khi bạn đồng ý, pháp luật có quy định hoặc việc công khai là cần thiết theo một căn cứ pháp lý hợp lệ.

Điều 11. Chuyển dữ liệu cá nhân ra nước ngoài

11.1. Một số nhà cung cấp hạ tầng số, lưu trữ đám mây, email, phân tích, hỗ trợ kỹ thuật hoặc nền tảng mà ALADDIN sử dụng có thể đặt máy chủ hoặc xử lý dữ liệu ở ngoài lãnh thổ Việt Nam.

11.2. Khi phát sinh chuyển dữ liệu cá nhân ra nước ngoài, ALADDIN sẽ đánh giá tính cần thiết, phạm vi, bên nhận, biện pháp bảo vệ, rủi ro và thực hiện các điều kiện, thủ tục, hồ sơ, thông báo hoặc đánh giá tác động theo quy định pháp luật hiện hành.

11.3. ALADDIN yêu cầu bên nhận dữ liệu ở nước ngoài áp dụng biện pháp bảo vệ dữ liệu phù hợp với mục đích chuyển dữ liệu và nghĩa vụ pháp lý liên quan.

Điều 12. Bảo đảm an ninh mạng và an toàn dữ liệu

12.1. ALADDIN áp dụng các biện pháp tổ chức, kỹ thuật và quản lý phù hợp nhằm bảo vệ dữ liệu cá nhân, tài khoản thành viên, thông tin điểm thưởng, ưu đãi, lịch sử hoạt động và dữ liệu phát sinh trong quá trình sử dụng các kênh số do ALADDIN quản lý.

12.2. Các biện pháp có thể bao gồm phân quyền truy cập, xác thực tài khoản, quản lý thiết bị, quản lý nhật ký hệ thống, sao lưu dữ liệu, giám sát nguy cơ an ninh mạng, rà soát nhà cung cấp, đào tạo nhân sự, đánh giá rủi ro và quy trình ứng phó sự cố. Chi tiết về kiến trúc, cấu hình bảo mật và phương án kỹ thuật nội bộ không được công bố công khai để bảo vệ an toàn hệ thống.

12.3. Khi phát hiện sự cố hoặc dấu hiệu truy cập trái phép có thể ảnh hưởng đến dữ liệu cá nhân, ALADDIN sẽ thực hiện biện pháp cô lập, khắc phục, đánh giá phạm vi ảnh hưởng, lưu hồ sơ sự cố, phối hợp với bên liên quan và thực hiện nghĩa vụ thông báo, báo cáo theo quy định pháp luật.

12.4. ALADDIN chỉ phối hợp hoặc cung cấp thông tin cho cơ quan nhà nước có thẩm quyền khi có yêu cầu hợp pháp, trong phạm vi cần thiết và theo quy trình được kiểm soát.

12.5. Dù ALADDIN nỗ lực áp dụng các biện pháp phù hợp, không có phương thức truyền dữ liệu hay lưu trữ điện tử nào có thể bảo đảm an toàn tuyệt đối. ALADDIN khuyến nghị chủ thể dữ liệu chủ động bảo vệ thông tin xác thực, thiết bị cá nhân và cảnh giác với các hành vi giả mạo.

Điều 13. Dữ liệu của trẻ em và người cần được đại diện

13.1. ALADDIN không chủ đích thu thập dữ liệu cá nhân của trẻ em thông qua các kênh không dành riêng cho trẻ em. Trường hợp cần xử lý dữ liệu của trẻ em, người mất hoặc hạn chế năng lực hành vi dân sự, hoặc người có khó khăn trong nhận thức, làm chủ hành vi, ALADDIN sẽ thực hiện theo quy định pháp luật và thông qua người đại diện theo pháp luật, trừ trường hợp luật có quy định khác.

13.2. Việc công bố hoặc tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ em từ đủ 07 tuổi trở lên chỉ được thực hiện khi có sự đồng ý của trẻ em và người đại diện theo pháp luật, trừ trường hợp pháp luật có quy định khác.

13.3. Cha, mẹ hoặc người giám hộ có thể liên hệ ALADDIN theo Điều 3 để yêu cầu hỗ trợ khi cho rằng trẻ em đã cung cấp dữ liệu cá nhân cho ALADDIN mà chưa có sự đồng ý phù hợp.

Điều 14. Quyền của chủ thể dữ liệu và thời hạn xử lý yêu cầu

14.1. Trong phạm vi pháp luật cho phép, chủ thể dữ liệu có quyền được biết; đồng ý hoặc không đồng ý; rút lại sự đồng ý; xem, chỉnh sửa hoặc yêu cầu chỉnh sửa; yêu cầu cung cấp, xóa, hạn chế xử lý; phản đối xử lý; khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại; và yêu cầu các biện pháp bảo vệ dữ liệu cá nhân của mình.

14.2. Để thực hiện quyền, vui lòng gửi email đến contact@aladdin-jsc.com và cung cấp họ tên, thông tin liên hệ, nội dung yêu cầu, thông tin giúp xác định dữ liệu liên quan, cùng tài liệu xác thực hợp lý khi cần thiết. ALADDIN không yêu cầu thông tin vượt quá mức cần thiết để xác thực yêu cầu.

Tùy tính chất và mức độ phức tạp, ALADDIN có thể gia hạn thời gian xử lý tối đa một lần theo quy định pháp luật và sẽ thông báo lý do gia hạn. Một số yêu cầu có thể bị hạn chế hoặc không thể thực hiện toàn bộ nếu thuộc trường hợp pháp luật cho phép, cần bảo vệ quyền và lợi ích hợp pháp của người khác hoặc để thực hiện nghĩa vụ pháp lý. 14.3. Trường hợp Quý Khách rút lại sự đồng ý, hủy nhận thông tin tiếp thị hoặc yêu cầu ngừng cá nhân hóa trải nghiệm, ALADDIN sẽ tiếp nhận, xác minh và ưu tiên ghi nhận yêu cầu trong vòng 72 giờ kể từ khi nhận được yêu cầu hợp lệ. Việc xử lý hoàn tất yêu cầu sẽ được thực hiện theo thời hạn nêu tại bảng trên và quy định pháp luật hiện hành. 14.4. Việc Quý Khách rút lại sự đồng ý không ảnh hưởng đến tính hợp pháp của các hoạt động xử lý dữ liệu đã được ALADDIN thực hiện trước thời điểm nhận được yêu cầu hợp lệ. Sau khi yêu cầu được tiếp nhận và xác minh, ALADDIN sẽ ngừng xử lý dữ liệu cá nhân của Quý Khách cho các mục đích đã bị rút lại sự đồng ý, bao gồm nhưng không giới hạn ở tiếp thị trực tiếp, gửi ưu đãi chủ động hoặc cá nhân hóa trải nghiệm, nếu có.

ALADDIN có thể tiếp tục lưu giữ một số dữ liệu tối thiểu trong phạm vi cần thiết và có cơ sở pháp lý phù hợp để chứng minh việc tiếp nhận, xử lý yêu cầu; bảo đảm không tiếp tục gửi thông tin tiếp thị; phòng chống gian lận; đối soát giao dịch; giải quyết khiếu nại, tranh chấp; bảo đảm an ninh hệ thống; hoặc thực hiện nghĩa vụ theo quy định pháp luật. Phần dữ liệu được lưu giữ này sẽ không được sử dụng cho mục đích tiếp thị, quảng cáo hoặc cá nhân hóa trải nghiệm khi Quý Khách đã rút lại sự đồng ý đối với các mục đích đó.

Điều 15. Liên kết của bên thứ ba

15.1. Website, ứng dụng hoặc kênh của ALADDIN có thể chứa liên kết đến website, nền tảng hoặc dịch vụ của bên thứ ba. ALADDIN không kiểm soát nội dung, chính sách bảo mật hoặc biện pháp bảo vệ dữ liệu của các bên thứ ba đó.

15.2. Bạn nên xem kỹ chính sách bảo mật và điều khoản sử dụng của từng bên thứ ba trước khi cung cấp dữ liệu cá nhân hoặc sử dụng dịch vụ của họ.

Điều 16. Sửa đổi Chính sách

16.1. ALADDIN có thể cập nhật Chính sách này để phản ánh thay đổi về pháp luật, hoạt động, sản phẩm, dịch vụ, công nghệ hoặc biện pháp bảo vệ dữ liệu. Phiên bản cập nhật sẽ được công bố tại kênh phù hợp và ghi nhận ngày hiệu lực.

16.2. Đối với thay đổi có ảnh hưởng đáng kể đến quyền, lợi ích của chủ thể dữ liệu hoặc tạo ra mục đích xử lý mới cần sự đồng ý, ALADDIN sẽ thực hiện hình thức thông báo phù hợp và xin lại sự đồng ý khi pháp luật yêu cầu.

Điều 17. Hiệu lực và thông tin liên hệ

17.1. Chính sách này có hiệu lực từ ngày 01 tháng 07 năm 2026 và thay thế các phiên bản trước đây của Chính sách Bảo mật và Bảo vệ Dữ liệu Cá nhân do ALADDIN công bố cho cùng phạm vi áp dụng.

17.2. Mọi thắc mắc, phản ánh hoặc yêu cầu về dữ liệu cá nhân, vui lòng liên hệ theo thông tin tại Điều 3 của Chính sách này.