Chính sách quyền riêng tư — Công cụ thống kê sơ tán (CSEC)

Công ty TNHH Giải pháp và Công nghệ GIS-VietGIS (gọi tắt là VietGIS, “chúng tôi”) phát hành ứng dụng Công cụ thống kê sơ tán — tên viết tắt là CSEC — và chịu trách nhiệm về dữ liệu tài khoản của người dùng ứng dụng.

Riêng dữ liệu của người dân sơ tán — danh sách hộ dân, lượt điểm danh, yêu cầu cứu trợ — thì cơ quan tổ chức sơ tán tại địa phương mới là bên quyết định thu thập những gì và dùng vào việc gì. Đó là Uỷ ban nhân dân xã, phường hoặc Ban chỉ huy phòng chống thiên tai đang vận hành điểm sơ tán. VietGIS làm phần kỹ thuật: xây dựng, vận hành hệ thống và xử lý dữ liệu theo yêu cầu của cơ quan đó.

Nói cách khác: hỏi về tài khoản và về cách hệ thống hoạt động thì liên hệ chúng tôi; hỏi vì sao hộ mình có tên trong danh sách hoặc muốn sửa thông tin của hộ thì liên hệ cơ quan phụ trách điểm sơ tán trên địa bàn. Chúng tôi luôn sẵn sàng chuyển tiếp giúp nếu bạn không rõ hỏi ai.

Hai vai trò này khác nhau, và phân biệt được thì phần còn lại của trang dễ hiểu hơn nhiều.

• Người dùng ứng dụng là người điều phối tại điểm sơ tán: cán bộ thôn, xã, tình nguyện viên, giáo viên, thành viên đội xung kích phòng chống thiên tai, cán bộ của các tổ chức nhân đạo. Họ đăng nhập bằng tài khoản do đơn vị tổ chức sơ tán tại địa phương cấp.
• Người có dữ liệu trong hệ thống là người dân đang trú tránh tại điểm sơ tán và các thành viên trong hộ của họ. Họ không cài ứng dụng và không cần tài khoản — thông tin của họ do cán bộ điều phối ghi nhận trong lúc làm nhiệm vụ.

CSEC không mở đăng ký tài khoản cho người dân. Ứng dụng được làm ra để phục vụ cộng đồng, nhưng phục vụ qua những người đang trực tại điểm sơ tán chứ không phải bằng cách yêu cầu từng người dân tự cài phần mềm giữa lúc bão. Điều đó cũng có nghĩa là số người có dữ liệu trong hệ thống lớn hơn nhiều số người dùng ứng dụng — nên phần lớn trang này nói về việc bảo vệ dữ liệu của những người không trực tiếp dùng ứng dụng.

Ứng dụng hoàn toàn miễn phí, không quảng cáo, không bán gì bên trong, và không dành cho trẻ em sử dụng.

Nếu bạn chỉ đọc một mục, hãy đọc mục này. Bảng dưới liệt kê đầy đủ các nhóm dữ liệu CSEC thu thập, và khớp với khai báo “An toàn dữ liệu” trên Google Play cùng “App Privacy” trên App Store.

Tài khoản CSEC do đơn vị tổ chức sơ tán tại địa phương cấp cho cán bộ điều phối, không mở đăng ký tự do. Hồ sơ tài khoản gồm họ tên, số điện thoại, đơn vị công tác, vai trò được phân công và mật khẩu.

Mật khẩu lưu dưới dạng băm một chiều — kể cả người quản trị hệ thống cũng không đọc lại được mật khẩu của bạn. Quên mật khẩu thì đặt lại, chứ không ai tra ra được mật khẩu cũ.

Quyền của mỗi tài khoản được phân theo từng phân hệ và từng hành động (xem, thêm, sửa, xoá). Cán bộ chỉ nhìn thấy phần dữ liệu thuộc nhiệm vụ mình được giao, không phải toàn bộ hệ thống.

Cơ sở pháp lý: thực hiện nhiệm vụ vì lợi ích công cộng trong công tác phòng chống thiên tai, và thực hiện thoả thuận cung cấp dịch vụ giữa VietGIS với cơ quan tổ chức sơ tán.

Đây là phần dữ liệu lớn nhất và cũng nhạy cảm nhất trong hệ thống. Với mỗi người có tên trong danh sách sơ tán, CSEC lưu những trường sau:

Nhật ký điểm danh là sổ ghi chỉ thêm: một lượt vào hay rời điểm đã ghi thì không sửa, không xoá được. Nghe khắt khe nhưng đây chính là lý do có sổ — khi bão tan mà còn người chưa về tới nhà, người ta phải dò lại được chính xác lần cuối người đó có mặt ở đâu, lúc mấy giờ. Một cuốn sổ sửa được thì không dùng để tìm người mất tích.

Cơ sở pháp lý: thực hiện nhiệm vụ vì lợi ích công cộng trong phòng chống và ứng phó thiên tai, và bảo vệ lợi ích sống còn của người dân trong tình huống khẩn cấp.

Ba loại dữ liệu dưới đây được pháp luật xếp vào nhóm nhạy cảm. Chúng tôi tách riêng ra nói cho rõ thay vì để lẫn vào danh sách chung:

• Thông tin sức khoẻ — bệnh nền, tình trạng sức khoẻ, khuyết tật. Chỉ dùng để ưu tiên chăm sóc y tế và sắp xếp chỗ ở tại điểm sơ tán, không chia sẻ cho bên thứ ba, và không bao giờ dùng để đánh giá hay xếp loại người dân vào việc gì khác.
• Số căn cước công dân — không bắt buộc, và không phải mã định danh trong hệ thống. Mỗi người được cấp một mã người dân riêng do hệ thống sinh ra; số căn cước chỉ là một cách đối chiếu hồ sơ cho nhanh. Số này không hiện đầy đủ trên các màn hình danh sách, chỉ xem được khi mở chi tiết hồ sơ và chỉ với cán bộ có quyền tương ứng.
• Thông tin về trẻ em — ghi nhận qua người lớn trong hộ hoặc cán bộ điều phối, không lấy trực tiếp từ trẻ. Xem thêm mục Trẻ em.

Mọi trường sức khoẻ đều không bắt buộc. Bỏ trống thì ứng dụng vẫn chạy bình thường, chỉ là điểm sơ tán không biết trước để chuẩn bị.

Vị trí

CSEC chỉ đọc vị trí khi ứng dụng đang mở và bạn đang làm thao tác cần tới nó. Không theo dõi vị trí chạy nền, không ghi lại hành trình di chuyển của bạn. Vị trí được dùng cho ba việc:

• Xác định điểm sơ tán gần bạn nhất khi bắt đầu ca trực, để bạn không phải dò trong danh sách.
• Xác thực rằng lượt điểm danh được thực hiện ngay tại điểm sơ tán chứ không phải từ nơi khác.
• Gắn toạ độ vào ảnh hiện trường gửi kèm yêu cầu cứu trợ.

Từ chối quyền vị trí thì ứng dụng vẫn dùng được: bạn tự chọn điểm sơ tán trong danh sách, và ảnh gửi lên sẽ không có toạ độ.

Camera và quét mã QR

Camera chỉ bật khi bạn mở màn hình quét hoặc chụp ảnh. Ứng dụng đọc hai loại mã: mã QR của hộ dân do hệ thống in ra, và mã QR trên thẻ căn cước công dân. Hình ảnh trong khung ngắm không được lưu lại và không rời khỏi máy bạn — chỉ có đoạn ký tự giải mã từ mã QR là được dùng tới.

Ảnh và video hiện trường

Khi gửi yêu cầu cứu trợ, bạn có thể đính kèm ảnh hoặc video. Trước khi tải lên, ứng dụng đóng dấu chìm lên ảnh gồm thời điểm chụp, toạ độ và địa chỉ gần đúng nếu có quyền vị trí. Dấu chìm này để bên tiếp nhận tin được rằng ảnh chụp đúng chỗ, đúng lúc — đổi lại, ảnh bạn gửi đi sẽ mang theo thông tin vị trí ngay trong nội dung ảnh.

• Tên máy, nền tảng (iOS hay Android) và mã thông báo đẩy — để thông báo khẩn về điểm sơ tán tới được đúng máy bạn đang cầm, và để bạn biết tài khoản mình đang đăng nhập ở những thiết bị nào.
• Phiên bản ứng dụng — để nhắc bạn cập nhật khi có bản mới.
• Trạng thái kết nối mạng — để ứng dụng tự biết lúc nào chuyển sang làm việc ngoại tuyến và lúc nào đồng bộ lại. Thông tin này chỉ đọc trên máy, không gửi đi đâu.
• Nhật ký thao tác — hệ thống ghi ai tạo, sửa, xoá bản ghi nào và vào lúc nào. Đây là yêu cầu kiểm toán bắt buộc với dữ liệu do cơ quan nhà nước quản lý.

Ứng dụng hỏi quyền đúng vào lúc bạn làm thao tác cần quyền đó, không hỏi dồn một lượt ngay khi mở app. Từ chối quyền nào thì mất đúng tính năng tương ứng, phần còn lại vẫn chạy.

Ứng dụng không xin quyền đọc danh bạ, tin nhắn, nhật ký cuộc gọi, tệp cá nhân, và không xin quyền truy cập vị trí khi chạy nền.

Bạn thu hồi quyền nào cũng được, bất cứ lúc nào, trong phần Cài đặt của điện thoại — tài khoản và dữ liệu đã lưu không bị ảnh hưởng.

Đây không phải lời hứa suông. Những điều dưới đây đúng vì bản cài đặt CSEC không nhúng bất kỳ bộ công cụ quảng cáo, đo đạc hành vi hay theo dõi người dùng nào của bên thứ ba — không có thì không thể chạy.

• Không bán, không cho thuê dữ liệu cá nhân
• Không có quảng cáo trong ứng dụng
• Không theo dõi bạn sang ứng dụng hay trang web khác
• Không nhúng bộ công cụ đo đạc hành vi của bên thứ ba
• Không dựng hồ sơ hành vi hay chân dung quảng cáo
• Không đọc mã quảng cáo của thiết bị
• Không theo dõi vị trí khi ứng dụng chạy nền
• Không gửi dữ liệu cá nhân cho dịch vụ trí tuệ nhân tạo nào

Nếu sau này chúng tôi có thêm bất kỳ thành phần nào của bên thứ ba mà nó thu thập dữ liệu, trang này và khai báo trên cửa hàng ứng dụng sẽ được cập nhật trước khi phiên bản đó phát hành.

• Cán bộ được phân quyền của cơ quan tổ chức sơ tán — và chỉ trong phạm vi nhiệm vụ được giao, vì quyền chia theo từng phân hệ và từng hành động.
• Chính bạn, với hồ sơ hộ gia đình của mình.
• Kỹ thuật viên của VietGIS, chỉ khi cần xử lý sự cố hoặc khi có yêu cầu hỗ trợ, và chỉ đụng tới phần dữ liệu liên quan tới sự cố đó.
• Cơ quan nhà nước có thẩm quyền, khi có yêu cầu hợp pháp bằng văn bản theo quy định pháp luật Việt Nam.

Hệ thống chạy trên hạ tầng máy chủ và lưu trữ của nhà cung cấp dịch vụ. Những đơn vị này xử lý dữ liệu theo chỉ dẫn của chúng tôi, chỉ để vận hành hệ thống, và không được dùng dữ liệu vào việc riêng của họ.

Ngoài những trường hợp trên, dữ liệu không đi đâu cả. Không mạng quảng cáo, không môi giới dữ liệu, không bên nào lấy dữ liệu về dùng cho mục đích riêng.

• Dữ liệu truyền giữa ứng dụng và máy chủ được mã hoá bằng HTTPS/TLS.
• Phiên đăng nhập và mã truy cập nằm trong kho bảo mật của hệ điều hành — Keychain trên iOS, Keystore trên Android.
• Mật khẩu lưu dạng băm một chiều, không lưu bản rõ.
• Phân quyền theo vai trò, và máy chủ kiểm tra lại quyền ở từng yêu cầu chứ không tin vào giao diện.
• Nhật ký thao tác ghi lại mọi thay đổi dữ liệu kèm người thực hiện và thời điểm.
• Máy chủ đặt tại Việt Nam.

Không hệ thống nào an toàn tuyệt đối. Nếu xảy ra lộ lọt dữ liệu cá nhân, chúng tôi sẽ báo cho cơ quan tổ chức sơ tán liên quan và những người bị ảnh hưởng theo đúng quy định pháp luật hiện hành.

Bão lũ thường kéo theo mất điện, mất sóng nhiều ngày — đúng lúc cần điểm danh nhất thì lại không có mạng. Nên CSEC giữ sẵn một bản sao ngay trên máy bạn: danh sách hộ dân phân bổ về điểm sơ tán bạn đang trực, cùng những lượt điểm danh và yêu cầu cứu trợ bạn vừa làm mà chưa gửi lên được.

Bản sao này nằm trong vùng dữ liệu riêng của ứng dụng, ứng dụng khác trên máy không đọc được. Có mạng trở lại thì dữ liệu tự đồng bộ, hoặc bạn chủ động đồng bộ ở màn hình Đồng bộ dữ liệu. Không thao tác nào bị mất.

Nguyên tắc chung: giữ chừng nào còn phục vụ công tác sơ tán, cứu trợ và nghĩa vụ lưu trữ hồ sơ của cơ quan nhà nước; hết những việc đó thì xoá khi có yêu cầu. Hệ thống không tự động xoá dữ liệu theo một chu kỳ định sẵn, nên thời hạn cụ thể với hồ sơ hộ dân, yêu cầu cứu trợ và nhật ký kiểm toán do cơ quan tổ chức sơ tán ấn định theo quy định lưu trữ của ngành. Bạn có thể yêu cầu xoá bất cứ lúc nào mà không cần chờ hết thời hạn — xem mục Xoá tài khoản và dữ liệu.

Theo pháp luật Việt Nam về bảo vệ dữ liệu cá nhân, bạn có quyền:

• Được biết hệ thống đang lưu dữ liệu gì của bạn và dùng vào việc gì.
• Xem và nhận bản sao dữ liệu cá nhân của mình.
• Sửa thông tin sai — báo cán bộ tại điểm sơ tán sửa giúp, hoặc gửi yêu cầu cho chúng tôi.
• Yêu cầu xoá dữ liệu cá nhân (xem mục Xoá tài khoản và dữ liệu).
• Hạn chế hoặc phản đối việc xử lý dữ liệu trong một số trường hợp.
• Rút lại sự đồng ý với các quyền truy cập thiết bị, bất cứ lúc nào, ngay trong Cài đặt của điện thoại.
• Khiếu nại tới cơ quan quản lý nhà nước có thẩm quyền.

Gửi yêu cầu tới contact@vietgis.com.vn hoặc gọi 024 6654 6992. Chúng tôi trả lời trong vòng 30 ngày. Bạn không cần có tài khoản trong ứng dụng mới được thực hiện những quyền này.

Chúng tôi sẽ cần xác minh bạn đúng là người có quyền với dữ liệu đó trước khi xử lý — không phải để làm khó, mà để người khác không mạo danh bạn lấy thông tin của bạn và của cả hộ.

Vì tài khoản CSEC do đơn vị tổ chức sơ tán cấp chứ không phải bạn tự đăng ký, nên yêu cầu xoá đi theo một trong hai đường sau:

• Qua đơn vị chủ quản — báo với cơ quan đã cấp tài khoản cho bạn để họ thu hồi và yêu cầu xoá hồ sơ.
• Gửi thẳng cho chúng tôi — email tới contact@vietgis.com.vn với tiêu đề “Yêu cầu xoá tài khoản CSEC”, kèm họ tên và số điện thoại đã đăng ký. Cách này dùng được cả khi bạn đã gỡ ứng dụng khỏi máy.

Người dân có tên trong danh sách sơ tán cũng gửi yêu cầu theo cùng hai đường trên, dù không có tài khoản.

Xoá những gì

• Thông tin đăng nhập: tên tài khoản, mật khẩu băm, số điện thoại, email.
• Hồ sơ cá nhân: họ tên, năm sinh, giới tính, số căn cước nếu có, địa chỉ, số điện thoại.
• Mã thông báo đẩy và danh sách thiết bị đã đăng nhập.
• Ảnh, video đã tải lên — trừ ảnh đang là bằng chứng của một yêu cầu cứu trợ chưa xử lý xong.
• Toàn bộ bản sao ngoại tuyến trên thiết bị.

Giữ lại những gì, và vì sao

Có vài thứ không xoá theo yêu cầu cá nhân được, và chúng tôi muốn nói thẳng thay vì để bạn phát hiện sau:

• Nhật ký điểm danh — đây là hồ sơ ứng phó thiên tai của cơ quan nhà nước. Xoá một lượt điểm danh là làm sai lệch số liệu về việc ai đã có mặt tại điểm sơ tán trong một trận bão. Thay vì xoá, các bản ghi này được tách khỏi thông tin nhận dạng của bạn, chỉ còn lại mã người dân do hệ thống cấp.
• Hồ sơ hộ dân do cơ quan tổ chức sơ tán quản lý — thuộc thẩm quyền của cơ quan đó, VietGIS không tự quyết được. Chúng tôi sẽ chuyển yêu cầu của bạn tới cơ quan phụ trách địa bàn và báo lại kết quả cho bạn.
• Nhật ký thao tác hệ thống — yêu cầu kiểm toán bắt buộc, giữ theo thời hạn ghi ở mục Giữ dữ liệu trong bao lâu.

Yêu cầu xoá được xử lý trong vòng 30 ngày. Bản sao lưu dự phòng ghi đè theo chu kỳ, nên dữ liệu đã xoá biến mất khỏi bản sao lưu chậm nhất sau 90 ngày.

CSEC là công cụ làm việc của người lớn đang trực tại điểm sơ tán. Ứng dụng không hướng tới trẻ em và trẻ em không phải người dùng dự kiến.

Nhưng hệ thống có lưu thông tin về trẻ em, và đó là chuyện không tránh được: trẻ em là thành viên của các hộ sơ tán, đồng thời là nhóm được ưu tiên chăm sóc hàng đầu. Cả mô hình trung tâm sơ tán mà ứng dụng phục vụ được xây dựng quanh việc bảo vệ trẻ em và những nhóm dễ bị tổn thương nhất — không biết trong điểm có bao nhiêu trẻ thì không chuẩn bị được sữa, chỗ ngủ và người trông.

Thông tin về trẻ do người lớn trong hộ hoặc cán bộ điều phối cung cấp, không bao giờ hỏi trực tiếp trẻ, và chỉ gồm những gì công tác sơ tán cần: họ tên, năm sinh, giới tính, tình trạng sức khoẻ và người giám hộ trong hộ.

Thông tin về trẻ em được bảo vệ như mọi dữ liệu nhạy cảm khác: không chia sẻ cho bên thứ ba, không dùng cho bất kỳ mục đích thương mại nào.

Nếu bạn là cha mẹ hoặc người giám hộ và muốn biết hệ thống đang lưu gì về con em mình, hãy hỏi cán bộ tại điểm sơ tán hoặc gửi email tới contact@vietgis.com.vn.

Dữ liệu của CSEC được lưu trữ và xử lý tại Việt Nam. Chúng tôi không chuyển dữ liệu cá nhân ra nước ngoài.

Ngoại lệ duy nhất là việc gửi thông báo đẩy: để thông báo tới được máy bạn, mã thông báo của thiết bị phải đi qua hạ tầng của Apple Push Notification service hoặc Firebase Cloud Messaging. Nội dung thông báo chúng tôi gửi không chứa thông tin nhận dạng cá nhân.

Có thay đổi thì chúng tôi cập nhật ngày “Cập nhật lần cuối” ở đầu trang. Với những thay đổi ảnh hưởng thật sự tới cách dữ liệu của bạn được xử lý — thu thập thêm nhóm dữ liệu mới, có thêm bên thứ ba tham gia, hoặc dùng dữ liệu vào mục đích khác — chúng tôi sẽ báo trong ứng dụng và xin lại sự đồng ý của bạn trước khi áp dụng, nếu pháp luật yêu cầu.

Cần bản chính sách của một phiên bản cũ thì gửi email, chúng tôi cung cấp.

Có câu hỏi, yêu cầu hay khiếu nại về quyền riêng tư, xin liên hệ:

Với những việc liên quan tới danh sách hộ dân trên địa bàn — vì sao hộ mình có tên, muốn sửa thông tin của hộ, muốn rút tên khỏi danh sách — bạn liên hệ trực tiếp Uỷ ban nhân dân xã, phường hoặc Ban chỉ huy phòng chống thiên tai đang vận hành điểm sơ tán sẽ nhanh hơn. Không rõ hỏi ai thì cứ gửi email cho chúng tôi, chúng tôi chuyển tiếp giúp.