1 Dữ liệu cá nhân có thể thu thập

Tùy chức năng website và hoạt động người dùng đăng ký, Hội có thể thu thập các nhóm dữ liệu sau: họ tên, chức danh, đơn vị công tác, chuyên môn, số chứng chỉ/chứng nhận nghề nghiệp nếu cần; email, số điện thoại, địa chỉ liên hệ; thông tin hội viên, thông tin đăng ký hội nghị/khóa đào tạo, điểm danh, chứng nhận, hóa đơn/chứng từ nếu có; nội dung người dùng gửi cho Hội; dữ liệu kỹ thuật như địa chỉ IP, thời điểm truy cập, trình duyệt, thiết bị, cookie và nhật ký hệ thống; hình ảnh, ghi âm, ghi hình tại sự kiện khi có thông báo phù hợp.

Website không được thiết kế để tiếp nhận hồ sơ bệnh án hoặc dữ liệu sức khỏe cá nhân của bệnh nhân. Người dùng không gửi dữ liệu bệnh nhân, hình ảnh nhận dạng bệnh nhân, dữ liệu trẻ em hoặc dữ liệu cá nhân nhạy cảm nếu chưa có cơ sở pháp lý, chưa có sự đồng ý hợp lệ và chưa áp dụng biện pháp bảo mật/ẩn danh phù hợp.

2 Mục đích xử lý

• Tiếp nhận, phản hồi yêu cầu liên hệ và hỗ trợ người dùng.
• Quản lý hội viên, đăng ký hội nghị, hội thảo, đào tạo y khoa liên tục, hoạt động cộng đồng và các chương trình chuyên môn của Hội.
• Xác nhận đăng ký, điểm danh, cấp chứng nhận, gửi tài liệu, xử lý phí/chứng từ nếu có và thông báo thay đổi liên quan đến chương trình.
• Gửi thư mời, bản tin, thông báo chuyên môn hoặc thông tin hoạt động của Hội khi phù hợp với quan hệ hội viên/đăng ký hoặc khi người dùng đồng ý nhận.
• Bảo đảm an toàn thông tin, phát hiện hành vi bất thường, phòng chống truy cập trái phép và bảo vệ quyền, lợi ích hợp pháp của Hội, hội viên, người dùng hoặc bên thứ ba.
• Thống kê, cải thiện website và hoạt động truyền thông; ưu tiên sử dụng dữ liệu tổng hợp hoặc dữ liệu đã ẩn danh khi phù hợp.
• Thực hiện nghĩa vụ pháp lý, yêu cầu hợp lệ của cơ quan có thẩm quyền, lưu trữ hồ sơ, giải quyết khiếu nại/tranh chấp và kiểm toán nội bộ nếu cần.

3 Cơ sở xử lý và sự đồng ý

Hội xử lý dữ liệu cá nhân trên một hoặc nhiều cơ sở phù hợp theo pháp luật Việt Nam, bao gồm sự đồng ý của chủ thể dữ liệu, việc thực hiện yêu cầu/dịch vụ mà người dùng đăng ký, nghĩa vụ pháp lý, bảo vệ quyền và lợi ích hợp pháp, bảo đảm an toàn hệ thống và các căn cứ khác được pháp luật cho phép.

Khi pháp luật yêu cầu sự đồng ý riêng, Hội sẽ thông báo mục đích, phạm vi và nội dung xử lý trước hoặc tại thời điểm thu thập. Người dùng có thể rút lại sự đồng ý qua kênh liên hệ chính thức của Hội; việc rút lại sự đồng ý không ảnh hưởng đến tính hợp pháp của hoạt động xử lý đã thực hiện trước đó và có thể bị hạn chế trong các trường hợp Hội phải tiếp tục lưu trữ/xử lý theo pháp luật hoặc để bảo vệ quyền hợp pháp.

4 Chia sẻ dữ liệu cá nhân

Hội không bán dữ liệu cá nhân. Hội chỉ chia sẻ dữ liệu trong phạm vi cần thiết cho mục đích nêu tại Chính sách này, gồm: nhà cung cấp dịch vụ kỹ thuật, lưu trữ, email, quản trị website, đăng ký sự kiện, điểm danh, thanh toán, in ấn, cấp chứng nhận; đơn vị đồng tổ chức, cơ sở đào tạo, hội nghề nghiệp hoặc đối tác chuyên môn liên quan đến chương trình người dùng đăng ký; cơ quan nhà nước có thẩm quyền khi có yêu cầu hợp lệ; hoặc bên tư vấn pháp lý, kiểm toán, bảo hiểm trong phạm vi cần thiết.

Khi sử dụng bên xử lý dữ liệu, Hội yêu cầu bên đó xử lý theo phạm vi được ủy quyền, bảo mật dữ liệu, không sử dụng dữ liệu cho mục đích riêng trái với Chính sách này và hỗ trợ Hội đáp ứng nghĩa vụ pháp luật.

5 Lưu trữ, xóa dữ liệu và chuyển dữ liệu xuyên biên giới

Dữ liệu được lưu trữ trong thời hạn cần thiết để thực hiện mục đích thu thập, quản lý hội viên/chương trình, cấp chứng nhận, lưu trữ chứng từ, giải quyết khiếu nại/tranh chấp, đáp ứng nghĩa vụ pháp lý hoặc bảo vệ quyền hợp pháp. Khi dữ liệu không còn cần thiết hoặc khi có yêu cầu xóa hợp lệ, Hội sẽ xóa, hủy, ẩn danh hoặc hạn chế xử lý, trừ trường hợp pháp luật yêu cầu hoặc cho phép tiếp tục lưu trữ.

Một số dịch vụ kỹ thuật, email, lưu trữ đám mây, phân tích truy cập hoặc đăng ký sự kiện có thể sử dụng hạ tầng ngoài Việt Nam. Khi phát sinh chuyển dữ liệu cá nhân xuyên biên giới hoặc xử lý dữ liệu thuộc trường hợp phải đánh giá tác động, Hội sẽ thực hiện nghĩa vụ hồ sơ, biện pháp bảo vệ và thông báo/báo cáo theo pháp luật hiện hành.

6 Cookie và công nghệ tương tự

Website có thể dùng cookie, nhật ký máy chủ hoặc công nghệ tương tự để duy trì phiên đăng nhập, bảo đảm an toàn hệ thống, ghi nhớ lựa chọn, đo lường lượt truy cập và cải thiện trải nghiệm. Người dùng có thể xóa hoặc chặn cookie trong trình duyệt; một số chức năng có thể không hoạt động đầy đủ nếu tắt cookie cần thiết. Đối với cookie hoặc công nghệ theo dõi không cần thiết, Hội sẽ cung cấp cơ chế lựa chọn khi pháp luật yêu cầu hoặc khi website triển khai chức năng tương ứng.

7 Quyền của chủ thể dữ liệu

Theo pháp luật hiện hành, người dùng có thể có các quyền đối với dữ liệu cá nhân của mình, bao gồm quyền được biết, đồng ý hoặc rút lại sự đồng ý, truy cập, chỉnh sửa, yêu cầu xóa, hạn chế hoặc phản đối xử lý, yêu cầu cung cấp dữ liệu, khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường và các quyền khác theo quy định pháp luật.

Yêu cầu thực hiện quyền được gửi qua mục Liên hệ hoặc kênh liên hệ chính thức do Hội công bố trên website. Hội có thể yêu cầu thông tin cần thiết để xác minh danh tính và nội dung yêu cầu. Hội sẽ phản hồi trong thời hạn phù hợp theo quy định pháp luật; một số yêu cầu có thể bị từ chối hoặc hạn chế nếu ảnh hưởng đến quyền của người khác, nghĩa vụ lưu trữ bắt buộc, an toàn hệ thống, yêu cầu của cơ quan có thẩm quyền hoặc quyền, lợi ích hợp pháp của Hội.

8 Bảo mật và xử lý sự cố

Hội áp dụng biện pháp quản trị, kỹ thuật và tổ chức hợp lý như phân quyền truy cập, bảo mật tài khoản quản trị, sao lưu, ghi nhận nhật ký hệ thống, cập nhật bảo mật, bảo vệ đường truyền khi phù hợp và yêu cầu bảo mật đối với nhà cung cấp dịch vụ. Không hệ thống nào an toàn tuyệt đối; người dùng cần tự bảo vệ thông tin đăng nhập, không chia sẻ mật khẩu và thông báo cho Hội khi nghi ngờ có truy cập trái phép hoặc thông tin mạo danh Hội.

Khi phát hiện sự cố có thể ảnh hưởng đến dữ liệu cá nhân, Hội sẽ đánh giá phạm vi, nguyên nhân, mức độ ảnh hưởng; áp dụng biện pháp ngăn chặn/khắc phục; phối hợp với nhà cung cấp hoặc cơ quan có thẩm quyền; và thực hiện thông báo, báo cáo theo thời hạn và nội dung mà pháp luật quy định nếu sự cố thuộc trường hợp phải thông báo.

9 Trẻ em, bệnh nhân và dữ liệu sức khỏe

Việc xử lý dữ liệu cá nhân của trẻ em, người mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức/làm chủ hành vi, bệnh nhân hoặc dữ liệu sức khỏe phải tuân thủ quy định pháp luật và yêu cầu về sự đồng ý/đại diện hợp pháp khi cần. Đối với dữ liệu sức khỏe hoặc dữ liệu bệnh nhân, Hội chỉ xử lý khi có mục đích phù hợp, cơ sở pháp lý rõ ràng, thường là sự đồng ý hợp lệ của chủ thể dữ liệu hoặc người đại diện hợp pháp, trừ trường hợp pháp luật cho phép xử lý không cần sự đồng ý; đồng thời áp dụng biện pháp bảo mật tương xứng.

Tác giả, báo cáo viên, người gửi bài nghiên cứu hoặc báo cáo ca bệnh phải tự bảo đảm đã ẩn danh thông tin người bệnh, có sự đồng ý hợp lệ khi cần, tuân thủ đạo đức nghiên cứu và không công khai dữ liệu nhận dạng bệnh nhân trái pháp luật.

10 Hình ảnh, ghi âm, ghi hình tại sự kiện

Tại hội nghị, hội thảo, khóa đào tạo hoặc hoạt động cộng đồng, Ban tổ chức có thể chụp ảnh, ghi âm, ghi hình để lưu trữ tư liệu, truyền thông, báo cáo hoạt động hoặc đăng tải trên kênh chính thức của Hội. Hội sẽ thông báo bằng hình thức phù hợp tại sự kiện hoặc trong tài liệu đăng ký. Người tham dự không muốn xuất hiện trong hình ảnh/ghi hình truyền thông có thể thông báo cho Ban tổ chức để được xem xét xử lý trong phạm vi khả thi và phù hợp với quy trình tổ chức.

11 Cập nhật và liên hệ

Hội có thể cập nhật Chính sách này khi thay đổi chức năng website, quy trình xử lý dữ liệu, nhà cung cấp dịch vụ hoặc quy định pháp luật. Phiên bản cập nhật có hiệu lực từ ngày đăng tải, trừ khi có thông báo khác.

Mọi câu hỏi, yêu cầu thực hiện quyền của chủ thể dữ liệu, phản ánh về bảo mật hoặc yêu cầu liên quan đến Chính sách này được gửi qua mục Liên hệ hoặc địa chỉ email/kênh tiếp nhận chính thức do Hội công bố trên website.

12 Căn cứ pháp lý

Chính sách này được xây dựng có tham chiếu các quy định pháp luật Việt Nam đang có hiệu lực tại thời điểm đăng tải và một số văn bản đã ban hành nhưng có hiệu lực trong thời gian tới trong phạm vi liên quan đến dữ liệu, bảo vệ dữ liệu cá nhân, an toàn thông tin, an ninh mạng, giao dịch điện tử, thông tin trên mạng và khám bệnh/chữa bệnh; bao gồm các văn bản sửa đổi, bổ sung hoặc thay thế tại thời điểm áp dụng.