1. Phạm vi và căn cứ pháp lý
Chính sách này áp dụng cho mọi dữ liệu cá nhân được xử lý khi bạn sử dụng BestBeat, và được xây dựng theo Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, Luật An toàn thông tin mạng 2015, Luật An ninh mạng 2018 và Nghị định 53/2022/NĐ-CP, Luật Giao dịch điện tử 2023, Luật Bảo vệ quyền lợi người tiêu dùng 2023 và Nghị định 91/2020/NĐ-CP.
BestBeat là Bên Kiểm soát dữ liệu cá nhân đối với dữ liệu tài khoản, giao dịch và vận hành nền tảng. Đối với dữ liệu do Producer tự thu thập ngoài nền tảng, Producer là bên kiểm soát độc lập và tự chịu trách nhiệm.
Chủ thể dữ liệu là bạn — người dùng, người mua hoặc Producer. Chính sách này được thông báo trước khi xử lý dữ liệu, theo Điều 13 Nghị định 13/2023/NĐ-CP.
2. Dữ liệu chúng tôi xử lý
- Dữ liệu cơ bản: họ tên, email, số điện thoại, ảnh đại diện, tên hiển thị/handle, ngôn ngữ hiển thị.
- Dữ liệu giao dịch: đơn hàng, gói giấy phép, mã giao dịch, thời điểm thanh toán. Chúng tôi không lưu số thẻ đầy đủ hay mã bảo mật thẻ.
- Dữ liệu sử dụng và kỹ thuật: lượt phát, beat đã thích, lịch sử tìm kiếm, địa chỉ IP, thiết bị, trình duyệt, nhật ký truy cập phục vụ bảo mật.
- Dữ liệu Producer: thông tin tài khoản nhận tiền, mã số thuế, giấy tờ định danh khi thực hiện eKYC phục vụ nghĩa vụ thuế và phòng chống rửa tiền.
- Chúng tôi không chủ động thu thập dữ liệu cá nhân nhạy cảm (quan điểm chính trị, tôn giáo, sức khoẻ, dữ liệu sinh trắc học…) trừ trường hợp bạn tự cung cấp trong quá trình eKYC theo yêu cầu pháp luật; khi đó chúng tôi xin sự đồng ý riêng và rõ ràng.
- Trẻ em dưới 16 tuổi: nền tảng không hướng tới người dùng dưới 16 tuổi. Nếu phát hiện, chúng tôi ngừng xử lý và xoá dữ liệu, trừ khi có sự đồng ý của cha mẹ/người giám hộ theo Điều 20 Nghị định 13/2023/NĐ-CP.
3. Mục đích xử lý
- Vận hành tài khoản, giỏ hàng, thanh toán, phát hành giấy phép và giao file.
- Phòng chống gian lận, lạm dụng, thao túng bảng xếp hạng và bảo vệ an toàn hệ thống.
- Cá nhân hoá gợi ý beat theo thể loại, BPM và lịch sử nghe (bạn có thể tắt cá nhân hoá trong cài đặt).
- Thực hiện nghĩa vụ kế toán, hoá đơn, thuế và lưu trữ hồ sơ theo pháp luật.
- Gửi thông báo giao dịch; email tiếp thị chỉ gửi khi bạn đồng ý trước và luôn có nút huỷ đăng ký (Nghị định 91/2020/NĐ-CP).
- Giải quyết khiếu nại, tranh chấp và phối hợp với cơ quan nhà nước có thẩm quyền khi có yêu cầu hợp pháp bằng văn bản.
4. Cơ sở xử lý và sự đồng ý
Chúng tôi xử lý dữ liệu trên các cơ sở được Nghị định 13/2023/NĐ-CP cho phép: (i) để thực hiện hợp đồng với bạn; (ii) để thực hiện nghĩa vụ pháp lý về kế toán, thuế, an ninh mạng; (iii) để bảo vệ tính mạng, sức khoẻ hoặc ngăn chặn hành vi vi phạm pháp luật; và (iv) theo sự đồng ý của bạn đối với tiếp thị, cookie không thiết yếu và cá nhân hoá nâng cao.
Sự đồng ý được thể hiện rõ ràng bằng hành động khẳng định (tích chọn, bật công tắc), có thể rút lại bất kỳ lúc nào. Việc rút lại không ảnh hưởng tới tính hợp pháp của hoạt động xử lý trước đó và không làm mất hiệu lực các giao dịch đã hoàn tất.
6. Chuyển dữ liệu ra nước ngoài
Một số nhà cung cấp hạ tầng có máy chủ đặt ngoài lãnh thổ Việt Nam. Khi phát sinh chuyển dữ liệu ra nước ngoài, BestBeat lập và lưu Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài, gửi Bộ Công an theo Điều 25 Nghị định 13/2023/NĐ-CP, đồng thời ràng buộc bên nhận bằng cam kết bảo mật tương đương. BestBeat lưu trữ dữ liệu người dùng tại Việt Nam trong các trường hợp pháp luật an ninh mạng yêu cầu.
8. Thời gian lưu trữ
- Dữ liệu tài khoản: lưu trong suốt thời gian tài khoản hoạt động.
- Chứng từ kế toán, hoá đơn, hồ sơ giao dịch: lưu tối thiểu 10 năm theo Luật Kế toán 2015.
- Nhật ký hệ thống, nhật ký bảo mật: lưu tối thiểu 12 tháng phục vụ điều tra sự cố và tuân thủ pháp luật an ninh mạng.
- Sau khi bạn xoá tài khoản, dữ liệu không thuộc diện phải lưu theo luật sẽ được xoá hoặc ẩn danh không thể phục hồi trong vòng 90 ngày.
9. Quyền của chủ thể dữ liệu
Theo Điều 9 Nghị định 13/2023/NĐ-CP, bạn có các quyền sau và BestBeat cam kết đáp ứng trong 72 giờ kể từ khi nhận yêu cầu hợp lệ (trường hợp phức tạp sẽ được thông báo và gia hạn hợp lý):
- Được biết về hoạt động xử lý dữ liệu của mình.
- Đồng ý, không đồng ý hoặc rút lại sự đồng ý.
- Truy cập, xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu.
- Yêu cầu cung cấp bản sao dữ liệu ở định dạng máy đọc được.
- Yêu cầu xoá dữ liệu hoặc hạn chế xử lý.
- Phản đối xử lý nhằm mục đích tiếp thị hoặc quảng cáo.
- Khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định.
- Gửi yêu cầu tới privacy@bestbeat.vn kèm thông tin xác minh danh tính để tránh lộ dữ liệu cho người mạo danh.
10. Biện pháp bảo vệ
- Mã hoá dữ liệu truyền tải bằng TLS; băm mật khẩu bằng thuật toán một chiều có muối; hỗ trợ xác thực hai lớp (2FA).
- Phân quyền truy cập nội bộ theo nguyên tắc tối thiểu, ghi nhật ký mọi truy cập tới dữ liệu thanh toán và dữ liệu định danh.
- File nhạc gốc, preview và ảnh được lưu trong kho riêng tư, chỉ truy cập qua liên kết ký số có thời hạn.
- Sao lưu định kỳ, kiểm thử khôi phục và rà soát lỗ hổng bảo mật theo chu kỳ.
11. Xử lý sự cố lộ, mất dữ liệu
Khi phát hiện vi phạm quy định bảo vệ dữ liệu cá nhân, BestBeat thông báo cho Bộ Công an (Cục A05) theo Mẫu quy định trong vòng 72 giờ kể từ khi phát hiện, đồng thời thông báo cho chủ thể dữ liệu bị ảnh hưởng bằng email khi sự cố có khả năng gây rủi ro cao, kèm hướng dẫn khắc phục.
12. Đầu mối liên hệ
Bộ phận Bảo vệ dữ liệu cá nhân — privacy@bestbeat.vn — Tầng 6, 27 Nguyễn Thị Diệu, Phường Võ Thị Sáu, Quận 3, TP. Hồ Chí Minh. Bạn cũng có quyền khiếu nại tới Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an.
Chính sách có thể được cập nhật; thay đổi quan trọng sẽ được thông báo trước ít nhất 07 ngày và, khi pháp luật yêu cầu, chỉ áp dụng sau khi bạn đồng ý lại.
Bản tiếng Việt là bản có giá trị pháp lý cao nhất. Bản tiếng Anh chỉ mang tính tham khảo.