CHÍNH SÁCH BẢO VỆ THÔNG TIN CÁ NHÂN VÀ XỬ LÝ DỮ LIỆU CÁ NHÂN

CĂN CỨ VÀ MỤC TIÊU BAN HÀNH

Chính sách được xây dựng trên cơ sở các quy định pháp luật Việt Nam về thương mại điện tử, bảo vệ quyền lợi người tiêu dùng và bảo vệ dữ liệu cá nhân, bao gồm Nghị định số 52/2013/NĐ-CP về thương mại điện tử (được sửa đổi, bổ sung), Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Nghị định số 356/2025/NĐ-CP và các văn bản pháp luật có liên quan.

Mục tiêu của Chính sách là giúp Người dùng hiểu rõ loại thông tin Eventista thu thập, nơi phát sinh hoạt động thu thập, mục đích và phạm vi sử dụng, thời gian lưu trữ, bên có thể tiếp cận, cách thức tự kiểm tra hoặc yêu cầu chỉnh sửa dữ liệu, cũng như cơ chế khiếu nại khi thông tin bị sử dụng sai mục đích hoặc vượt quá phạm vi đã thông báo.

1. PHẠM VI ÁP DỤNG VÀ NGUYÊN TẮC CHUNG

1.1. Chính sách này áp dụng đối với mọi cá nhân truy cập hoặc sử dụng 1Zone, bao gồm người tạo tài khoản, người đặt mua vé, người tham dự sự kiện, người mua vật phẩm hoặc hàng hóa, người tham gia bình chọn, người gửi yêu cầu hỗ trợ và cá nhân đại diện cho Nhà tổ chức sự kiện hoặc đối tác kinh doanh.

1.2. Eventista chỉ thu thập và xử lý dữ liệu cần thiết, phù hợp với mục đích cụ thể đã thông báo; không tự ý mở rộng mục đích sử dụng nếu chưa có căn cứ pháp lý hoặc chưa có sự đồng ý bổ sung của Chủ thể dữ liệu trong trường hợp pháp luật yêu cầu.

1.3. Một số sự kiện, chương trình bình chọn hoặc gian hàng có thể yêu cầu dữ liệu riêng theo nhu cầu hợp pháp của Nhà tổ chức sự kiện hoặc bên bán. Khi đó, thông báo bổ sung sẽ được hiển thị tại trang sự kiện, biểu mẫu, bước thanh toán hoặc điểm thu thập liên quan. Thông báo bổ sung là một phần của Chính sách này và chỉ áp dụng cho hoạt động được nêu trong thông báo đó.

1.4. Eventista có thể đồng thời là Bên kiểm soát dữ liệu, Bên kiểm soát và xử lý dữ liệu hoặc Bên xử lý dữ liệu tùy từng nghiệp vụ và thỏa thuận với Nhà tổ chức sự kiện, bên bán, đơn vị thanh toán hoặc nhà cung cấp dịch vụ. Dù ở vai trò nào, Eventista thực hiện các nghĩa vụ bảo vệ dữ liệu trong phạm vi trách nhiệm của mình theo pháp luật và hợp đồng có liên quan.

2. GIẢI THÍCH THUẬT NGỮ

"1Zone" là sàn giao dịch thương mại điện tử, nền tảng phân phối vé sự kiện, vật phẩm, quà lưu niệm, bình chọn và các tiện ích tương tác do Eventista phát triển hoặc vận hành.

"Người dùng" là cá nhân truy cập, đăng ký hoặc sử dụng bất kỳ chức năng nào của 1Zone; tùy ngữ cảnh có thể bao gồm Người mua, Người tham gia sự kiện, Người tham gia bình chọn hoặc người đại diện của đối tác.

"Nhà tổ chức sự kiện" là thương nhân, tổ chức hoặc cá nhân sử dụng 1Zone để đăng tải, tổ chức, phân phối vé, vận hành sự kiện, chương trình bình chọn hoặc cung cấp sản phẩm, dịch vụ.

"Dữ liệu cá nhân" là dữ liệu dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn với một người cụ thể hoặc giúp xác định một người cụ thể.

"Xử lý dữ liệu cá nhân" là một hoặc nhiều hoạt động tác động đến dữ liệu như thu thập, ghi nhận, phân tích, xác nhận, lưu trữ, chỉnh sửa, truy cập, sử dụng, chia sẻ, truyền đưa, cung cấp, chuyển giao, xóa hoặc hủy dữ liệu.

"Chủ thể dữ liệu" là cá nhân được dữ liệu phản ánh.

3. DỮ LIỆU ĐƯỢC THU THẬP, VỊ TRÍ THU THẬP VÀ MỤC ĐÍCH TƯƠNG ỨNG

Eventista có thể thu thập các nhóm dữ liệu dưới đây. Phạm vi cụ thể phụ thuộc vào chức năng mà Người dùng lựa chọn và được hiển thị tại chính biểu mẫu hoặc giao diện phát sinh hoạt động thu thập.

3.1. Dữ liệu cá nhân nhạy cảm

Eventista không chủ động yêu cầu Người dùng cung cấp dữ liệu cá nhân nhạy cảm nếu không thực sự cần thiết. Trường hợp một sự kiện, giao dịch hoặc quy định pháp luật yêu cầu giấy tờ định danh, dữ liệu tài chính, dữ liệu vị trí chính xác, dữ liệu sinh trắc học hoặc nhóm dữ liệu nhạy cảm khác, Eventista hoặc Nhà tổ chức sự kiện sẽ thông báo riêng về loại dữ liệu, mục đích, bên tiếp nhận, thời hạn xử lý và biện pháp bảo vệ; đồng thời thực hiện thủ tục xin ý kiến đồng ý hoặc căn cứ xử lý khác theo pháp luật.

Người dùng không nên tự ý gửi trong nội dung khiếu nại, hộp thoại hỗ trợ hoặc biểu mẫu mở các dữ liệu nhạy cảm không liên quan đến yêu cầu cần giải quyết.

4. CÁCH THỨC THU THẬP VÀ XỬ LÝ DỮ LIỆU

Dữ liệu có thể được thu thập bằng một hoặc nhiều phương thức sau:

• Người dùng trực tiếp nhập hoặc tải lên tại trang đăng ký, trang đặt vé, giỏ hàng, bước thanh toán, biểu mẫu sự kiện, trang bình chọn, trang hỗ trợ hoặc các chức năng khác của 1Zone.
• Thông qua giao tiếp với Eventista hoặc Nhà tổ chức sự kiện bằng email, hotline, tin nhắn, mạng xã hội, văn bản, tại quầy hỗ trợ hoặc tại địa điểm diễn ra sự kiện.
• Tự động phát sinh khi Người dùng truy cập hoặc tương tác với 1Zone, thông qua nhật ký hệ thống, cookie, SDK, pixel, công nghệ phân tích hoặc công cụ bảo mật.
• Từ Nhà tổ chức sự kiện, bên bán, đơn vị thanh toán, đơn vị giao nhận, đối tác đăng nhập hoặc nhà cung cấp dịch vụ khi việc chia sẻ là cần thiết để thực hiện giao dịch, theo sự lựa chọn của Người dùng hoặc theo pháp luật.
• Từ nguồn công khai hợp pháp hoặc cơ quan có thẩm quyền trong phạm vi cần thiết để xác minh, phòng chống gian lận hoặc thực hiện nghĩa vụ pháp lý.

Việc xử lý có thể được thực hiện bằng phương thức tự động, bán tự động hoặc thủ công. Eventista áp dụng nguyên tắc giới hạn quyền truy cập, chỉ cho phép nhân sự và bên liên quan xử lý dữ liệu trong phạm vi nhiệm vụ được giao.

5. PHẠM VI SỬ DỤNG THÔNG TIN

Trong phạm vi phù hợp với chức năng Người dùng sử dụng, Eventista có thể xử lý dữ liệu cho các mục đích sau:

• Cung cấp, vận hành và duy trì tài khoản, sàn 1Zone, dịch vụ phân phối vé, bán hàng hóa, bình chọn, thanh toán, giao nhận và các tiện ích liên quan.
• Xác nhận danh tính hoặc quyền truy cập; gửi mã xác thực, thông báo giao dịch, vé điện tử, thay đổi lịch sự kiện, cảnh báo bảo mật và thông tin cần thiết để thực hiện hợp đồng.
• Chia sẻ dữ liệu giao dịch cần thiết với Nhà tổ chức sự kiện, bên bán, đơn vị vận hành sự kiện, trung gian thanh toán hoặc giao nhận để hoàn thành đúng giao dịch Người dùng đã yêu cầu.
• Tiếp nhận và giải quyết yêu cầu hỗ trợ, đổi vé, hoàn tiền, khiếu nại, tranh chấp, giao dịch bị từ chối, chargeback hoặc sự cố kỹ thuật.
• Phát hiện, ngăn chặn và điều tra hành vi giả mạo, lạm dụng tài khoản, gian lận thanh toán, gian lận bình chọn, vé giả, truy cập trái phép hoặc hành vi vi phạm pháp luật và quy chế 1Zone.
• Thực hiện kế toán, thuế, đối soát, kiểm toán, quản trị rủi ro, báo cáo và các nghĩa vụ pháp lý; đáp ứng yêu cầu hợp pháp của cơ quan có thẩm quyền.
• Phân tích dữ liệu, thống kê và nghiên cứu để cải thiện giao diện, hiệu năng, sản phẩm, chức năng, chất lượng hỗ trợ và an toàn của 1Zone. Khi phù hợp, Eventista sử dụng dữ liệu tổng hợp hoặc đã ẩn danh.
• Gửi thông tin quảng bá, ưu đãi, khảo sát hoặc giới thiệu sự kiện khi Người dùng đã lựa chọn nhận tin hoặc khi pháp luật cho phép; Người dùng luôn có cơ chế từ chối tiếp tục nhận.
• Bảo vệ quyền, tài sản và lợi ích hợp pháp của Người dùng, Eventista, Nhà tổ chức sự kiện, đối tác hoặc cộng đồng; thiết lập, thực hiện hoặc bảo vệ yêu cầu pháp lý.

Eventista không bán dữ liệu cá nhân của Người dùng. Eventista không cung cấp dữ liệu cho bên thứ ba để bên đó tự do sử dụng cho mục đích không liên quan đến giao dịch hoặc không được thông báo, trừ khi Người dùng đồng ý hoặc pháp luật có quy định khác.

6. TỔ CHỨC, CÁ NHÂN CÓ THỂ TIẾP CẬN DỮ LIỆU

Dữ liệu chỉ được tiếp cận trong phạm vi cần thiết bởi các nhóm sau:

Eventista: nhân sự, bộ phận kỹ thuật, chăm sóc khách hàng, vận hành, tài chính - kế toán, pháp chế, an toàn thông tin và người được Eventista phân quyền phù hợp.

Nhà tổ chức sự kiện, bên bán và đơn vị vận hành: được tiếp cận thông tin cần thiết để phát hành vé, tổ chức và kiểm soát sự kiện, giao hàng, thực hiện quyền lợi, chăm sóc người tham dự và giải quyết vấn đề liên quan đến giao dịch cụ thể.

Nhà cung cấp dịch vụ: bao gồm đơn vị lưu trữ điện toán đám mây, hạ tầng công nghệ, bảo mật, gửi email/SMS, xác thực, thanh toán, ngân hàng, giao nhận, chăm sóc khách hàng, phân tích dữ liệu, kiểm toán, kế toán, tư vấn pháp lý hoặc nhà thầu khác phục vụ hoạt động 1Zone.

Công ty liên kết hoặc đối tác trong giao dịch: chỉ khi cần thiết để cung cấp dịch vụ đã được Người dùng yêu cầu, có thông báo phù hợp và có cơ chế ràng buộc bảo mật.

Cơ quan nhà nước, cơ quan tiến hành tố tụng hoặc bên có thẩm quyền: khi Eventista có nghĩa vụ cung cấp theo yêu cầu hợp pháp hoặc cần bảo vệ quyền, lợi ích hợp pháp theo quy định.

Bên nhận chuyển giao doanh nghiệp: trong trường hợp tái cấu trúc, sáp nhập, hợp nhất, chuyển nhượng dự án hoặc giao dịch doanh nghiệp khác, với điều kiện bên nhận tiếp tục chịu nghĩa vụ bảo vệ dữ liệu và việc chuyển giao tuân thủ pháp luật.

Chủ thể dữ liệu hoặc người được ủy quyền hợp lệ: khi thực hiện quyền truy cập, nhận bản sao hoặc quyền khác theo pháp luật và Chính sách này.

Eventista yêu cầu các nhà cung cấp và đối tác nhận dữ liệu áp dụng biện pháp bảo mật phù hợp, chỉ xử lý theo mục đích và chỉ dẫn hợp pháp, đồng thời hoàn trả, xóa hoặc ngừng sử dụng dữ liệu khi kết thúc nhu cầu xử lý, trừ trường hợp pháp luật yêu cầu lưu trữ.

7. THỜI GIAN LƯU TRỮ VÀ TIÊU HỦY DỮ LIỆU

Eventista lưu trữ dữ liệu trong khoảng thời gian cần thiết để hoàn thành mục đích đã thông báo, thực hiện hợp đồng, giải quyết tranh chấp và tuân thủ nghĩa vụ pháp lý. Thời hạn tham chiếu được áp dụng như sau, trừ khi pháp luật yêu cầu thời hạn dài hơn hoặc có căn cứ hợp pháp khác:

Khi hết thời hạn lưu trữ, Eventista xóa, hủy, ẩn danh hoặc làm cho dữ liệu không còn khả năng nhận diện, trừ dữ liệu phải tiếp tục lưu theo pháp luật. Dữ liệu trong bản sao lưu có thể được xóa theo chu kỳ kỹ thuật và được cô lập, hạn chế truy cập trong thời gian chờ ghi đè.

8. QUYỀN CỦA CHỦ THỂ DỮ LIỆU VÀ PHƯƠNG THỨC THỰC HIỆN

Trong phạm vi pháp luật cho phép, Chủ thể dữ liệu có thể thực hiện các quyền như được biết về hoạt động xử lý; đồng ý hoặc rút lại sự đồng ý; truy cập và nhận dữ liệu; yêu cầu chỉnh sửa, xóa, hạn chế xử lý; phản đối xử lý; khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường; cùng các quyền khác theo pháp luật hiện hành.

8.1. Tự truy cập và chỉnh sửa trên hệ thống

• Đăng nhập 1Zone, truy cập mục "Tài khoản", "Hồ sơ cá nhân", "Cài đặt" hoặc chức năng tương đương để kiểm tra và cập nhật các trường thông tin mà hệ thống cho phép.
• Đối với thông tin đơn hàng, vé, người tham dự hoặc hóa đơn đã phát hành, khả năng tự chỉnh sửa có thể bị giới hạn để bảo đảm tính toàn vẹn của giao dịch. Người dùng cần gửi yêu cầu hỗ trợ theo Mục 8.2.
• Người dùng có thể sử dụng chức năng "Quên mật khẩu" hoặc phương thức xác thực được 1Zone cung cấp để khôi phục quyền truy cập tài khoản.

8.2. Gửi yêu cầu tới Eventista

Người dùng có thể gửi yêu cầu qua email [email protected], gọi Hotline 0832338688 hoặc gửi văn bản đến địa chỉ tại Mục 16. Yêu cầu nên bao gồm: họ tên; email/số điện thoại đăng ký; mã tài khoản hoặc mã đơn/mã vé (nếu có); quyền muốn thực hiện; dữ liệu liên quan; nội dung cần chỉnh sửa/xóa/hạn chế; và tài liệu xác minh cần thiết.

Để ngăn ngừa việc tiết lộ hoặc thay đổi dữ liệu trái phép, Eventista có thể yêu cầu xác thực danh tính, quyền đại diện hoặc bổ sung thông tin. Eventista xác nhận tiếp nhận yêu cầu trong thời gian hợp lý và xử lý trong thời hạn pháp luật quy định. Trường hợp yêu cầu phức tạp, ảnh hưởng quyền của bên khác hoặc cần phối hợp với Nhà tổ chức sự kiện/nhà cung cấp, Eventista sẽ thông báo tiến độ và lý do kéo dài.

Eventista có thể từ chối hoặc giới hạn thực hiện yêu cầu nếu không thể xác minh người yêu cầu, yêu cầu xâm phạm quyền và lợi ích hợp pháp của người khác, dữ liệu phải được lưu theo pháp luật, yêu cầu có dấu hiệu lạm dụng hoặc thuộc trường hợp pháp luật cho phép từ chối. Eventista sẽ giải thích căn cứ trong phạm vi có thể.

Việc rút lại sự đồng ý hoặc yêu cầu xóa/hạn chế dữ liệu không làm ảnh hưởng tính hợp pháp của hoạt động xử lý đã thực hiện trước đó. Nếu dữ liệu là điều kiện cần để cung cấp dịch vụ, Eventista có thể không tiếp tục thực hiện một phần hoặc toàn bộ dịch vụ sau khi thông báo cho Người dùng.

9. CƠ CHẾ TIẾP NHẬN, XỬ LÝ KHIẾU NẠI VỀ SỬ DỤNG SAI THÔNG TIN

Khi phát hiện hoặc nghi ngờ thông tin cá nhân bị thu thập, sử dụng, chia sẻ, truy cập hoặc lưu trữ sai mục đích, vượt phạm vi đã thông báo hoặc không bảo đảm an toàn, Người dùng có thể khiếu nại theo quy trình sau:

Bước 1 - Gửi khiếu nại: Gửi email đến [email protected], gọi Hotline 0832338688 hoặc gửi văn bản đến địa chỉ tại Mục 16. Nội dung nên nêu rõ thông tin liên hệ, tài khoản/giao dịch liên quan, mô tả sự việc, thời điểm phát hiện, bên bị nghi ngờ tiếp cận dữ liệu, hậu quả và bằng chứng kèm theo.

Bước 2 - Tiếp nhận và xác minh: Bộ phận phụ trách của Eventista ghi nhận, xác thực người khiếu nại, phân loại mức độ, bảo toàn nhật ký và chứng cứ, đồng thời có thể tạm thời hạn chế quyền truy cập hoặc hoạt động xử lý liên quan nếu cần ngăn ngừa thiệt hại tiếp diễn.

Bước 3 - Phối hợp xử lý: Eventista làm việc với bộ phận nội bộ, Nhà tổ chức sự kiện, bên bán, đơn vị thanh toán, nhà cung cấp công nghệ hoặc bên liên quan để xác định nguyên nhân, phạm vi dữ liệu và trách nhiệm của từng bên.

Bước 4 - Phản hồi và khắc phục: Eventista dự kiến phản hồi kết quả trong 07 ngày làm việc kể từ khi nhận đủ thông tin cần thiết. Vụ việc phức tạp có thể cần thời gian dài hơn; Eventista sẽ thông báo lý do và thời gian dự kiến. Biện pháp khắc phục có thể gồm dừng xử lý sai mục đích, khóa hoặc thu hồi quyền truy cập, sửa/xóa dữ liệu, thông báo cho bên đã nhận dữ liệu, khôi phục tài khoản, tăng cường bảo mật, xin lỗi, bồi thường hoặc biện pháp khác theo thỏa thuận và pháp luật.

Bước 5 - Chuyển cơ quan có thẩm quyền: Nếu các bên không đạt được phương án giải quyết hoặc vụ việc có dấu hiệu vi phạm pháp luật, Người dùng có quyền gửi khiếu nại, tố cáo, khởi kiện hoặc yêu cầu cơ quan có thẩm quyền xử lý. Eventista sẽ phối hợp và cung cấp thông tin theo yêu cầu hợp pháp.

Nguyên tắc trách nhiệm: Việc Nhà tổ chức sự kiện hoặc nhà cung cấp trực tiếp gây ra sự cố không loại trừ trách nhiệm của Eventista trong phạm vi vai trò và nghĩa vụ của Eventista. Eventista sẽ chủ động phối hợp, không yêu cầu Người dùng tự liên hệ nhiều bên nếu Eventista có thể hỗ trợ điều phối việc xử lý.

10. BIỆN PHÁP BẢO MẬT VÀ XỬ LÝ SỰ CỐ DỮ LIỆU

Eventista áp dụng các biện pháp tổ chức và kỹ thuật phù hợp với tính chất, quy mô và mức độ rủi ro của hoạt động xử lý, có thể bao gồm:

• Phân quyền truy cập theo vai trò; quản lý tài khoản đặc quyền; xác thực và kiểm soát đăng nhập; rà soát quyền truy cập định kỳ.
• Mã hóa hoặc biện pháp bảo vệ phù hợp khi truyền và lưu trữ; sao lưu; giám sát hệ thống; nhật ký truy cập; cơ chế phát hiện bất thường.
• Kiểm thử, cập nhật, vá lỗ hổng; tách biệt môi trường; kiểm soát thay đổi; kế hoạch duy trì hoạt động và phục hồi sau sự cố.
• Quy định nội bộ, cam kết bảo mật, đào tạo nhân sự; đánh giá nhà cung cấp; điều khoản xử lý dữ liệu và nghĩa vụ thông báo sự cố trong hợp đồng.
• Quy trình tiếp nhận, phân loại, cô lập, điều tra, khắc phục và báo cáo sự cố; phối hợp với cơ quan có thẩm quyền và thông báo cho Chủ thể dữ liệu khi pháp luật yêu cầu.

Không có hệ thống nào an toàn tuyệt đối. Người dùng cần đặt mật khẩu mạnh, không chia sẻ mã OTP hoặc mã vé/QR, đăng xuất khỏi thiết bị dùng chung, kiểm tra tên miền trước khi nhập thông tin và thông báo ngay cho Eventista khi nghi ngờ tài khoản bị truy cập trái phép.

11. COOKIE VÀ CÔNG NGHỆ THEO DÕI

1Zone có thể sử dụng cookie, bộ nhớ cục bộ, SDK, pixel và công nghệ tương tự để vận hành hệ thống. Các nhóm chính gồm:

Cookie thiết yếu: duy trì phiên đăng nhập, giỏ hàng, lựa chọn ngôn ngữ, bảo mật và chức năng cốt lõi; việc vô hiệu hóa có thể làm một số dịch vụ không hoạt động.

Cookie hiệu năng và phân tích: đo lường lượt truy cập, lỗi, tốc độ, hành trình sử dụng và hiệu quả tính năng nhằm cải thiện 1Zone.

Cookie cá nhân hóa: ghi nhớ tùy chọn và đề xuất nội dung phù hợp hơn.

Cookie quảng cáo/đo lường chiến dịch: được sử dụng khi có căn cứ phù hợp để đo lường quảng cáo, giới hạn tần suất và hỗ trợ phân phối nội dung liên quan.

Người dùng có thể quản lý cookie thông qua công cụ trên 1Zone (nếu được cung cấp) hoặc cài đặt trình duyệt/thiết bị. Việc từ chối cookie không thiết yếu không ảnh hưởng đến quyền sử dụng các chức năng cốt lõi, nhưng có thể làm giảm khả năng cá nhân hóa hoặc đo lường.

12. TRUYỀN THÔNG TIẾP THỊ VÀ QUYỀN TỪ CHỐI

Eventista chỉ gửi email, SMS, cuộc gọi hoặc thông báo tiếp thị theo lựa chọn của Người dùng hoặc căn cứ pháp luật phù hợp. Sự đồng ý nhận tiếp thị được tách biệt với sự đồng ý cần thiết để tạo tài khoản hoặc hoàn thành giao dịch, trừ trường hợp pháp luật cho phép cách thức khác.

Người dùng có thể từ chối bằng liên kết "Hủy đăng ký/Unsubscribe" trong email, cú pháp hướng dẫn trong tin nhắn, cài đặt thông báo trong tài khoản hoặc liên hệ [email protected]. Eventista có thể tiếp tục gửi thông báo dịch vụ không mang tính quảng cáo, như vé, biên nhận, thay đổi lịch, cảnh báo bảo mật hoặc phản hồi hỗ trợ.

13. DỮ LIỆU CỦA TRẺ EM VÀ DỮ LIỆU DO NGƯỜI DÙNG CUNG CẤP THAY NGƯỜI KHÁC

13.1. Khi dịch vụ hoặc sự kiện dành cho trẻ em hoặc có người dưới độ tuổi pháp luật quy định tham gia, Eventista và Nhà tổ chức sự kiện sẽ áp dụng cơ chế phù hợp để thông báo và lấy ý kiến của cha, mẹ hoặc người giám hộ khi cần. Eventista hạn chế thu thập dữ liệu của trẻ em ở mức cần thiết cho giao dịch, an toàn và quyền lợi tham dự.

13.2. Nếu Người dùng đặt vé, mua hàng, đăng ký tham dự hoặc cung cấp dữ liệu thay cho người khác, Người dùng cam kết đã thông báo cho người đó về nội dung cần thiết và có quyền hợp pháp để cung cấp dữ liệu. Người dùng không được cung cấp dữ liệu của người khác cho mục đích trái pháp luật hoặc không liên quan đến giao dịch.

13.3. Trường hợp Eventista phát hiện dữ liệu được cung cấp không có thẩm quyền hoặc không phù hợp, Eventista có thể yêu cầu xác minh, hạn chế xử lý hoặc xóa dữ liệu theo quy định.

14. CHUYỂN DỮ LIỆU CÁ NHÂN RA NƯỚC NGOÀI

Để vận hành hạ tầng, gửi thông báo, bảo mật, thanh toán quốc tế, phân tích hoặc cung cấp dịch vụ cho sự kiện có yếu tố nước ngoài, dữ liệu có thể được lưu trữ, truy cập hoặc xử lý tại quốc gia/vùng lãnh thổ ngoài Việt Nam bởi Eventista hoặc nhà cung cấp. Eventista thực hiện yêu cầu về đánh giá tác động, hồ sơ, hợp đồng, biện pháp bảo vệ và thủ tục khác theo Luật Bảo vệ dữ liệu cá nhân, Nghị định số 356/2025/NĐ-CP và pháp luật liên quan.

Eventista yêu cầu bên nhận chỉ xử lý dữ liệu cho mục đích đã thỏa thuận, duy trì mức bảo vệ phù hợp, kiểm soát việc chuyển tiếp và hỗ trợ Eventista đáp ứng quyền của Chủ thể dữ liệu.

15. CÔNG BỐ CHÍNH SÁCH, GHI NHẬN SỰ ĐỒNG Ý VÀ CẬP NHẬT CHÍNH SÁCH

15.1. Hiển thị trước hoặc tại thời điểm thu thập

Chính sách này được đặt tại vị trí dễ truy cập trên 1Zone và được liên kết tại các điểm phát sinh thu thập dữ liệu, bao gồm tối thiểu: trang đăng ký/đăng nhập; trang đặt vé hoặc mua hàng; trang bình chọn; biểu mẫu sự kiện; bước thanh toán; trang gửi yêu cầu hỗ trợ; và các giao diện dành cho Nhà tổ chức sự kiện/bên bán.

Trước khi Người dùng nhấn nút tạo tài khoản, đặt hàng, thanh toán, gửi biểu mẫu hoặc thực hiện hành vi tương đương, 1Zone hiển thị thông báo ngắn gọn về mục đích, loại dữ liệu, bên tiếp nhận quan trọng và đường dẫn tới Chính sách. Đối với hoạt động cần sự đồng ý, 1Zone ghi nhận hành vi đồng ý rõ ràng và lưu dấu vết về phiên bản Chính sách, thời điểm và phương thức đồng ý.

15.2. Sự đồng ý riêng cho mục đích tùy chọn

Các mục đích không cần thiết để thực hiện giao dịch, như nhận quảng cáo, chia sẻ dữ liệu cho Nhà tổ chức sự kiện để tiếp thị độc lập hoặc xử lý dữ liệu nhạy cảm, phải có lựa chọn riêng phù hợp. Việc từ chối mục đích tùy chọn không được cản trở Người dùng mua vé hoặc sử dụng dịch vụ cốt lõi, trừ khi dữ liệu đó thực sự cần thiết cho dịch vụ đã yêu cầu.

15.3. Sửa đổi Chính sách

Eventista có thể cập nhật Chính sách để phản ánh thay đổi pháp luật, công nghệ hoặc mô hình dịch vụ. Phiên bản mới được đăng trên 1Zone kèm ngày cập nhật. Thay đổi quan trọng ảnh hưởng đáng kể đến quyền của Người dùng sẽ được thông báo bằng phương thức phù hợp; Eventista sẽ xin lại sự đồng ý nếu pháp luật yêu cầu hoặc nếu mục đích xử lý mới không tương thích với sự đồng ý trước đây.

16. THÔNG TIN ĐƠN VỊ THU THẬP VÀ QUẢN LÝ DỮ LIỆU

Người dùng có thể sử dụng các kênh trên để hỏi về hoạt động thu thập, xử lý dữ liệu liên quan đến mình; yêu cầu truy cập, chỉnh sửa, xóa, hạn chế hoặc phản đối xử lý; rút lại sự đồng ý; hoặc khiếu nại về việc thông tin bị sử dụng sai mục đích/phạm vi.

PHỤ LỤC 1. MẪU THÔNG BÁO VÀ Ô XÁC NHẬN TẠI ĐIỂM THU THẬP

Các nội dung dưới đây là mẫu triển khai trên giao diện. Eventista có thể điều chỉnh ngắn gọn theo từng chức năng nhưng phải bảo đảm không làm thay đổi bản chất mục đích, loại dữ liệu và quyền của Người dùng.

1. Mẫu tại trang đăng ký tài khoản

Thông báo: Eventista thu thập họ tên, email, số điện thoại và thông tin xác thực để tạo, bảo vệ và duy trì tài khoản 1Zone; gửi thông báo dịch vụ và hỗ trợ Người dùng. Dữ liệu được xử lý theo Chính sách bảo vệ thông tin cá nhân và xử lý dữ liệu cá nhân của 1Zone.

• Ô bắt buộc: "Tôi xác nhận đã đọc và đồng ý với Điều khoản sử dụng và Chính sách bảo vệ thông tin cá nhân của 1Zone."
• Ô tùy chọn, không được tích sẵn: "Tôi đồng ý nhận thông tin về sự kiện, ưu đãi và sản phẩm của Eventista qua email/SMS/thông báo."

2. Mẫu tại bước đặt vé hoặc mua hàng

Thông báo: Thông tin người mua/người nhận, liên hệ, đơn hàng và giao dịch được dùng để xử lý đơn, phát hành vé hoặc giao hàng, thanh toán, đối soát, hỗ trợ và giải quyết khiếu nại. Thông tin cần thiết sẽ được chia sẻ với Nhà tổ chức sự kiện, bên bán, đơn vị thanh toán hoặc giao nhận tương ứng.

• Ô bắt buộc: "Tôi đã kiểm tra thông tin đơn hàng và đồng ý để Eventista xử lý dữ liệu cần thiết nhằm hoàn thành giao dịch theo Chính sách của 1Zone."
• Nếu Nhà tổ chức sự kiện muốn dùng dữ liệu để tiếp thị độc lập, phải có ô riêng: "Tôi đồng ý để [Tên Nhà tổ chức] sử dụng [email/số điện thoại] để gửi thông tin tiếp thị theo chính sách của [Tên Nhà tổ chức]."

3. Mẫu tại trang bình chọn

Thông báo: Eventista xử lý thông tin tài khoản, giao dịch, lượt bình chọn, thiết bị/IP và nhật ký xác thực để ghi nhận chính xác kết quả, đối soát thanh toán, hỗ trợ và ngăn chặn gian lận. Dữ liệu chỉ được chia sẻ với Ban tổ chức và nhà cung cấp cần thiết trong phạm vi chương trình.

4. Mẫu xác nhận đồng ý xử lý dữ liệu

Nội dung xác nhận: Tôi xác nhận đã được Eventista cung cấp và đã đọc Chính sách bảo vệ thông tin cá nhân và xử lý dữ liệu cá nhân của 1Zone. Tôi hiểu loại dữ liệu có thể được thu thập, mục đích và cách thức xử lý, bên có thể tiếp cận, thời gian lưu trữ, rủi ro có thể phát sinh, quyền của tôi và kênh liên hệ với Eventista. Bằng hành vi xác nhận trên giao diện, tôi đồng ý để Eventista xử lý dữ liệu trong phạm vi cần thiết cho chức năng/giao dịch mà tôi lựa chọn. Tôi hiểu rằng tôi có thể rút lại sự đồng ý đối với các mục đích dựa trên sự đồng ý, nhưng việc rút lại không ảnh hưởng đến hoạt động xử lý hợp pháp đã thực hiện trước đó và có thể làm gián đoạn dịch vụ nếu dữ liệu là điều kiện cần để cung cấp dịch vụ.

5. Yêu cầu kỹ thuật khi ghi nhận sự đồng ý

• Không sử dụng ô tích sẵn cho mục đích cần sự đồng ý chủ động.
• Tách riêng sự đồng ý cần thiết để thực hiện giao dịch với sự đồng ý tiếp thị, chia sẻ cho mục đích độc lập hoặc xử lý dữ liệu nhạy cảm.
• Lưu phiên bản Chính sách, thời điểm, tài khoản/thiết bị, nội dung thông báo và hành vi thể hiện sự đồng ý.
• Cho phép Người dùng xem lại và rút lại sự đồng ý bằng cách dễ dàng tương đương với cách đã đồng ý.
• Tại biểu mẫu do Nhà tổ chức sự kiện tự thiết kế, Eventista cần yêu cầu Nhà tổ chức nêu rõ vai trò, mục đích, bên nhận và kênh thực hiện quyền đối với dữ liệu.

PHỤ LỤC 2. NỘI DUNG ĐỀ NGHỊ THỰC HIỆN QUYỀN ĐỐI VỚI DỮ LIỆU CÁ NHÂN

Người dùng có thể sao chép mẫu dưới đây vào email gửi [email protected]. Eventista có thể yêu cầu bổ sung thông tin để xác minh danh tính và phạm vi yêu cầu.

Chính sách này có hiệu lực từ ngày được Eventista công bố trên 1Zone và thay thế các nội dung trước đây về bảo vệ thông tin cá nhân trên 1Zone trong phạm vi có mâu thuẫn.

CÔNG TY TNHH EVENTISTA