Chính sách bảo mật

Chính sách bảo mật này (“Chính sách”) mô tả cách CÔNG TY CỔ PHẦN MYHOSPITAL (“MyHospital”, “chúng tôi”) thu thập, sử dụng, lưu trữ, bảo vệ và xử lý dữ liệu cá nhân, dữ liệu y tế trong quá trình cung cấp phần mềm quản lý bệnh viện, phòng khám MyHospital theo mô hình dịch vụ phần mềm trên nền tảng điện toán đám mây (“Dịch vụ”). Chính sách là một phần không tách rời của Điều khoản sử dụng.

1. Phạm vi áp dụng

Chính sách áp dụng cho mọi tổ chức, cá nhân là khách hàng đăng ký, truy cập và sử dụng Dịch vụ (“Khách hàng”, bao gồm bệnh viện, phòng khám, cơ sở y tế và người dùng được Khách hàng cấp tài khoản). Chính sách không điều chỉnh hoạt động của các trang web, sản phẩm hoặc dịch vụ của bên thứ ba mà Khách hàng có thể kết nối tới.

2. Vai trò xử lý dữ liệu

Việc phân định vai trò xử lý dữ liệu được áp dụng theo Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân:

• Đối với dữ liệu người bệnh, hồ sơ bệnh án và dữ liệu y tế do Khách hàng nhập, tải lên hoặc tạo ra trong quá trình sử dụng Dịch vụ (“Dữ liệu Khách hàng”): Khách hàng là Bên Kiểm soát dữ liệu cá nhân, còn MyHospital chỉ đóng vai trò Bên Xử lý dữ liệu cá nhân, thực hiện xử lý theo phạm vi, mục đích và hướng dẫn của Khách hàng thông qua các tính năng của phần mềm. Khách hàng chịu trách nhiệm về căn cứ pháp lý, sự đồng ý của chủ thể dữ liệu và tính hợp pháp của việc thu thập, sử dụng Dữ liệu Khách hàng.
• Đối với dữ liệu tài khoản, dữ liệu liên hệ và dữ liệu vận hành Dịch vụ (thông tin đăng ký, thanh toán, nhật ký kỹ thuật): MyHospital là Bên Kiểm soát dữ liệu đối với các dữ liệu này.

3. Các loại dữ liệu chúng tôi xử lý

• Dữ liệu tài khoản & liên hệ: họ tên, chức danh, đơn vị, email, số điện thoại, thông tin đăng nhập của người dùng được Khách hàng tạo lập.
• Dữ liệu thanh toán: thông tin xuất hóa đơn, lịch sử giao dịch gói dịch vụ.
• Dữ liệu Khách hàng (dữ liệu y tế): thông tin hành chính người bệnh, hồ sơ bệnh án, chỉ định cận lâm sàng, đơn thuốc, kết quả khám chữa bệnh do Khách hàng nhập liệu. Đây là dữ liệu cá nhân nhạy cảm theo quy định pháp luật.
• Dữ liệu kỹ thuật: địa chỉ IP, loại thiết bị, trình duyệt, nhật ký truy cập (log), dữ liệu cookie phục vụ vận hành, bảo mật và cải thiện Dịch vụ.

4. Mục đích và căn cứ xử lý dữ liệu

Chúng tôi xử lý dữ liệu nhằm: cung cấp, vận hành và duy trì Dịch vụ; xác thực và phân quyền người dùng; hỗ trợ kỹ thuật và chăm sóc khách hàng; bảo đảm an toàn, an ninh hệ thống và phát hiện gian lận; thực hiện nghĩa vụ thanh toán, xuất hóa đơn; tuân thủ nghĩa vụ pháp lý. Đối với Dữ liệu Khách hàng, MyHospital chỉ xử lý trong phạm vi cần thiết để cung cấp Dịch vụ theo hướng dẫn của Khách hàng và không phân tích, khai thác hay thương mại hóa Dữ liệu Khách hàng cho bất kỳ mục đích nào khác.

5. Trách nhiệm về sự đồng ý của chủ thể dữ liệu

Khách hàng cam kết và bảo đảm rằng việc thu thập, nhập liệu và đưa Dữ liệu Khách hàng (đặc biệt là dữ liệu người bệnh) lên hệ thống đã có đầy đủ căn cứ pháp lý và/hoặc sự đồng ý hợp lệ của chủ thể dữ liệu theo Nghị định 13/2023/NĐ-CP, Luật Khám bệnh, chữa bệnh và các quy định liên quan. MyHospital không có nghĩa vụ và không chịu trách nhiệm xác minh tính hợp pháp của việc Khách hàng thu thập dữ liệu từ chủ thể dữ liệu.

6. Biện pháp bảo mật

Chúng tôi áp dụng các biện pháp kỹ thuật và quản lý phù hợp để bảo vệ dữ liệu, bao gồm: mã hóa dữ liệu trên đường truyền; phân quyền và kiểm soát truy cập theo vai trò; ghi nhật ký phiên đăng nhập; sao lưu định kỳ; giám sát an ninh hệ thống. Dữ liệu được lưu trữ tại các trung tâm dữ liệu/nhà cung cấp hạ tầng điện toán đám mây uy tín đạt các tiêu chuẩn an toàn thông tin theo thông lệ ngành. Tuy nhiên, không có hệ thống nào an toàn tuyệt đối; chúng tôi không thể cam kết loại trừ hoàn toàn mọi rủi ro phát sinh ngoài tầm kiểm soát hợp lý.

7. Lưu trữ và vị trí dữ liệu

Dữ liệu được lưu trữ và xử lý trên hệ thống máy chủ do MyHospital quản lý hoặc thuê của nhà cung cấp hạ tầng. Trường hợp pháp luật yêu cầu lưu trữ dữ liệu trong lãnh thổ Việt Nam, chúng tôi tuân thủ theo quy định hiện hành.

8. Chia sẻ dữ liệu với bên thứ ba

MyHospital không bán, không trao đổi và không chia sẻ Dữ liệu Khách hàng cho bên thứ ba vì mục đích thương mại. Dữ liệu chỉ có thể được chia sẻ trong các trường hợp: (i) với nhà thầu phụ xử lý dữ liệu (nhà cung cấp hạ tầng đám mây, dịch vụ kỹ thuật) bị ràng buộc nghĩa vụ bảo mật tương đương để phục vụ vận hành Dịch vụ; (ii) theo yêu cầu hợp pháp bằng văn bản của cơ quan nhà nước có thẩm quyền; (iii) khi được Khách hàng đồng ý hoặc yêu cầu.

9. Quyền của chủ thể dữ liệu

Chủ thể dữ liệu có các quyền theo Nghị định 13/2023/NĐ-CP, bao gồm quyền được biết, truy cập, chỉnh sửa, rút lại sự đồng ý, xóa dữ liệu, hạn chế và phản đối xử lý. Vì MyHospital là Bên Xử lý dữ liệu đối với Dữ liệu Khách hàng, mọi yêu cầu của người bệnh/chủ thể dữ liệu cần được gửi tới Khách hàng (cơ sở y tế) với tư cách Bên Kiểm soát dữ liệu. Chúng tôi sẽ hỗ trợ Khách hàng thực hiện các quyền này trong phạm vi tính năng của Dịch vụ.

10. Thông báo vi phạm dữ liệu

Khi phát hiện sự cố vi phạm dữ liệu cá nhân, MyHospital sẽ thông báo cho Khách hàng có liên quan và phối hợp khắc phục, đồng thời thực hiện nghĩa vụ thông báo tới cơ quan có thẩm quyền theo thời hạn và trình tự được quy định tại pháp luật về bảo vệ dữ liệu cá nhân.

11. Cookie và công nghệ tương tự

Trang web và Dịch vụ có thể sử dụng cookie và công nghệ tương tự để duy trì phiên đăng nhập, ghi nhớ tùy chọn và phân tích hiệu năng. Người dùng có thể tùy chỉnh hoặc từ chối cookie qua thiết lập trình duyệt; tuy nhiên một số tính năng có thể không hoạt động đầy đủ.

12. Thời hạn lưu trữ và xử lý sau khi chấm dứt

Dữ liệu được lưu trữ trong suốt thời gian Khách hàng sử dụng Dịch vụ và theo thời hạn pháp luật yêu cầu. Sau khi chấm dứt hợp đồng, Khách hàng được hỗ trợ trích xuất Dữ liệu Khách hàng ra định dạng chuẩn trong một khoảng thời gian hợp lý theo thỏa thuận. Hết thời hạn này, MyHospital sẽ xóa hoặc hủy Dữ liệu Khách hàng khỏi hệ thống, trừ phần dữ liệu phải lưu giữ theo quy định pháp luật.

13. Thay đổi chính sách

Chúng tôi có thể cập nhật Chính sách này để phù hợp với thay đổi của pháp luật hoặc hoạt động Dịch vụ. Phiên bản cập nhật sẽ được đăng tải trên trang này kèm ngày hiệu lực và/hoặc thông báo tới Khách hàng. Việc tiếp tục sử dụng Dịch vụ sau khi Chính sách được cập nhật đồng nghĩa với việc chấp nhận nội dung sửa đổi.

14. Liên hệ

Mọi câu hỏi hoặc yêu cầu liên quan đến Chính sách bảo mật và xử lý dữ liệu, vui lòng liên hệ CÔNG TY CỔ PHẦN MYHOSPITAL qua email hotro@myhospital.vn hoặc tổng đài hỗ trợ được công bố trên website.