Chính sách bảo vệ dữ liệu cá nhân
Phiên bản 2026-10-05 · Hiệu lực từ 05/10/2026
Mục lục
Chính sách này cho bạn biết U&Bank thu những dữ liệu cá nhân nào, dùng vào việc gì, lưu bao lâu, chia sẻ với ai, và bạn thực hiện quyền của mình ra sao khi dùng mạng xã hội U&Bank tại ub.com.vn. Chính sách được lập theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Nghị định số 356/2025/NĐ-CP quy định chi tiết Luật Bảo vệ dữ liệu cá nhân, Nghị định số 147/2024/NĐ-CP về quản lý, cung cấp, sử dụng dịch vụ Internet và thông tin trên mạng, Luật An ninh mạng số 116/2025/QH15 và Nghị định số 333/2026/NĐ-CP quy định chi tiết Luật An ninh mạng.
Trong Chính sách này, "U&Bank" là mạng xã hội U&Bank và đơn vị chủ quản ghi tại mục 1; "bạn" là người truy cập ub.com.vn, kể cả thành viên đã có tài khoản.
1. Bên kiểm soát dữ liệu và đầu mối liên hệ
- Bên kiểm soát và xử lý dữ liệu cá nhân: Công ty Cổ phần Tập đoàn UB, đơn vị chủ quản mạng xã hội U&Bank theo Giấy phép thiết lập mạng xã hội trên mạng số 392/GP-BTTTT do Bộ Thông tin và Truyền thông cấp ngày 23/10/2023.
- Địa chỉ: 16 Văn Cao, Ngọc Hà, Hà Nội.
- Điện thoại: 0988.888.117.
- Email: ttdt@ubgroup.vn.
- Người chịu trách nhiệm quản lý nội dung: Ông Vũ Việt Hưng.
- Đầu mối bảo vệ dữ liệu cá nhân của U&Bank nhận yêu cầu, câu hỏi, khiếu nại và báo cáo vi phạm về dữ liệu cá nhân qua email và điện thoại nêu trên, qua mục "Dữ liệu của tôi" trong trang Tài khoản, hoặc bằng văn bản gửi tới địa chỉ nêu trên.
2. Dữ liệu cá nhân được xử lý
| Dữ liệu | Khi nào thu | Công khai |
|---|---|---|
| Email đăng ký (email đăng nhập chính) | Khi đăng ký, đăng nhập | Không bao giờ |
| Email đăng nhập khác (không bắt buộc, tối đa 3) | Khi bạn thêm tại trang Tài khoản | Không bao giờ |
| Tên tài khoản | Khi đăng ký | Có |
| Tên hiển thị (không bắt buộc) | Khi đăng ký hoặc khi bạn sửa hồ sơ | Có, cạnh bài và bình luận của bạn |
| Thông tin hồ sơ bạn tự khai, không bắt buộc: tên, nghề nghiệp, giới thiệu, nơi ở, trang web và liên kết, lĩnh vực, bài ghim | Khi bạn điền | Có, trên hồ sơ khi hồ sơ công khai. Tên hiển thị, ảnh đại diện và dòng nghề luôn hiện cạnh bài đã đăng; khi hồ sơ công khai, dòng này ghi năm tham gia nếu bạn không khai nghề. Bạn ẩn được hồ sơ: tên, ảnh đại diện và dòng nghề vẫn hiện cạnh bài nhưng không dẫn tới hồ sơ |
| Ảnh đại diện (đã xóa thông tin vị trí, EXIF; không bắt buộc) | Khi bạn tải lên | Có, cạnh tên trên bài và trên hồ sơ |
| Thời điểm bạn xác nhận đủ 16 tuổi | Khi đăng ký hoặc khi xác nhận lần đầu | Không |
| Số điện thoại di động đã xác thực: lưu mã hóa, kèm một mã băm có khóa (HMAC) để mỗi số chỉ dùng cho một tài khoản; 3 số cuối; thời điểm xác thực; nhà cung cấp đã gửi tin nhắn | Khi bạn xác thực số tại trang Tài khoản | Không. Chỉ bạn thấy 3 số cuối |
| Mã xác thực gửi qua tin nhắn SMS (chỉ lưu mã băm) và số đang chờ xác thực (mã hóa) | Khi bạn yêu cầu gửi mã | Không |
| Số điện thoại đã xác thực trước đây, khi bạn đổi số, xác thực số đó cho tài khoản khác, xóa hoặc gộp tài khoản: lưu mã hóa, kèm thời điểm xác thực và thời điểm thôi dùng | Khi số thôi gắn với tài khoản | Không |
| Số định danh cá nhân hoặc thông tin định danh điện tử khác, và thư đề nghị xác thực của bạn: chỉ khi bạn không có số điện thoại di động tại Việt Nam và đề nghị xác thực theo cách này | Khi bạn gửi đề nghị tới email ttdt@ubgroup.vn | Không. Thư và thông tin định danh được lưu trong hộp thư của đầu mối tại mục 1; trên tài khoản chỉ ghi thời điểm và cách xác thực |
| Xác minh nơi làm việc: tên tổ chức, tên miền, ngày xác minh, mã băm có khóa của email công việc. Email công việc dạng rõ chỉ giữ tối đa 30 phút để gửi mã | Khi bạn đề nghị xác minh | Dấu tích xác minh hiện trên hồ sơ và cạnh tên; email công việc không bao giờ công khai |
| Mã định danh tài khoản Google, email Google đã xác minh, tên trên tài khoản Google | Khi bạn đăng nhập bằng Google | Không |
| Nhật ký đăng nhập, đăng xuất: thời điểm đăng nhập, thời điểm đăng xuất (khi bạn bấm Đăng xuất, khi xóa tài khoản hoặc khi U&Bank kết thúc phiên), phương thức (email hoặc Google), địa chỉ IP (mã hóa), cổng nguồn của kết nối, thông tin trình duyệt (user-agent) | Mỗi lần đăng nhập, đăng xuất | Không |
| Mã băm có khóa của địa chỉ IP | Khi bình luận, gửi báo cáo, yêu cầu mã, yêu cầu đăng nhập (chống lạm dụng) | Không |
| Bài đăng, bình luận, trả lời, ảnh (đã xóa thông tin vị trí, EXIF) và bản sửa đang chờ duyệt | Khi bạn đăng hoặc sửa | Có, sau khi đăng; bản sửa chờ duyệt thì không |
| Lượt "Hữu ích" bạn bấm | Khi bạn bấm | Không công khai tên người bấm |
| Bài Tâm sự: ý định bạn chọn (chỉ muốn kể, muốn nghe góp ý), lựa chọn hiển thị (cho phép tìm thấy trên Google, không hiện trên hồ sơ), đồng ý đăng từng bài và đồng ý để điều hành viên chọn vào Tuyển chọn: câu đồng ý, phiên bản, thời điểm đồng ý và bỏ đồng ý | Khi bạn gửi bài Tâm sự hoặc đổi Tùy chọn hiển thị | Ý định "chỉ muốn kể" hiện trên trang bài; bài trong Tuyển chọn ghi tên điều hành viên đã chọn; lịch sử đồng ý không công khai |
| Báo cáo vi phạm và báo sai đáp án Ôn tập bạn đã gửi: lý do, mô tả, nội dung bị báo cáo | Khi bạn gửi | Không |
| Email của khách khi gửi báo cáo (không bắt buộc, mã hóa) | Khi gửi báo cáo | Không |
| Yêu cầu về dữ liệu (mã YC-…): loại yêu cầu, mô tả, kết quả xử lý | Khi bạn gửi | Không |
| Bằng chứng đồng ý: văn bản, phiên bản, mã SHA-256 của văn bản, thời điểm, nơi đồng ý, mã băm của IP và trình duyệt | Khi đồng ý hoặc rút đồng ý | Không |
| Địa chỉ nhận thư: email dùng để gửi thư cho bạn, lưu dạng niêm phong (mã hóa bằng khóa công khai), kèm trạng thái nhận thư (đang nhận, bị trả về, đã hủy nhận) | Khi U&Bank gửi thư cho bạn; với tài khoản có từ trước ngày nâng cấp, xem mục 11 | Không. Quản trị viên chỉ thấy dạng che |
| Chữ bạn viết trong khung soạn trước khi đăng nhập (niêm phong) | Khi bạn viết rồi đăng nhập trong khung | Không |
| Lựa chọn cài đặt: "Không theo dõi hoạt động", thư báo khi có người trả lời, cách xem danh sách | Khi bạn lưu cài đặt | Không |
| Lượt xem của mỗi bài: một số đếm tổng, không cookie, không định danh người xem, không lưu địa chỉ IP | Khi trang bài được mở | Chỉ số tổng |
| Cookie và dữ liệu thống kê truy cập | Xem mục 8 | Không |
| Danh thiếp BankerID | Khi bạn lập danh thiếp, theo Điều khoản BankerID | Theo lựa chọn của bạn trên danh thiếp |
U&Bank không yêu cầu cung cấp hình ảnh hoặc video chứa nội dung đầy đủ hoặc một phần giấy tờ tùy thân để xác thực tài khoản (Luật Bảo vệ dữ liệu cá nhân, Điều 29 khoản 2). U&Bank không có tính năng tin nhắn riêng, không nghe, không ghi âm cuộc gọi và không đọc tin nhắn của bạn.
Công cụ tính: không thu số bạn nhập; U&Bank chỉ đếm tổng lượt dùng theo công cụ và theo ngày, không gắn với tài khoản hay địa chỉ.
Dữ liệu cá nhân nhạy cảm
- Theo Nghị định số 356/2025/NĐ-CP, Điều 4 khoản 1 điểm l, dữ liệu theo dõi hành vi, hoạt động sử dụng mạng xã hội là dữ liệu cá nhân nhạy cảm. Tại U&Bank, đó là nhật ký đăng nhập, đăng xuất và dữ liệu thống kê truy cập của Google Analytics. Chính sách này báo trước cho bạn điều đó, trước khi bạn đồng ý (Nghị định số 356/2025/NĐ-CP, Điều 6 khoản 4).
- Nhật ký đăng nhập, đăng xuất được lưu để thực hiện nghĩa vụ theo luật (mục 3). Địa chỉ IP trong nhật ký được mã hóa, không hiện ở bất cứ trang nào; chỉ quản trị viên được Công ty giao mới truy xuất, khi có yêu cầu của cơ quan có thẩm quyền hoặc để xử lý sự cố an ninh.
- Dữ liệu thống kê chỉ được thu khi bạn đồng ý cookie thống kê và không bật "Không theo dõi hoạt động". Báo cáo thống kê chỉ cho nhân sự được giao xem, ở dạng tổng hợp.
- Bài Tâm sự và nội dung bạn tự đăng có thể chứa thông tin về đời sống riêng tư. Bạn tự quyết định đăng; bài Tâm sự chỉ được gửi khi bạn đánh dấu ô đồng ý của bài đó.
3. Mục đích và cơ sở xử lý
| Mục đích | Dữ liệu dùng | Cơ sở xử lý |
|---|---|---|
| Tạo, bảo vệ và duy trì tài khoản; hiển thị tên người đăng trên nội dung | Email, tên tài khoản, tên hiển thị, hồ sơ, ảnh đại diện, nhật ký đăng nhập | Đồng ý riêng của bạn (ô "Tôi đồng ý để U&Bank xử lý dữ liệu cá nhân của tôi theo Chính sách bảo vệ dữ liệu cá nhân…") và việc thực hiện Thỏa thuận cung cấp và sử dụng dịch vụ mạng xã hội |
| Xác thực tài khoản bằng số điện thoại di động tại Việt Nam, hoặc bằng số định danh cá nhân với người không có số điện thoại di động tại Việt Nam, trước khi đăng bài, trả lời, tải ảnh, xác minh nơi làm việc hoặc xuất bản danh thiếp BankerID | Số điện thoại, mã xác thực; số định danh cá nhân hoặc thông tin định danh điện tử khác | Nghĩa vụ theo Nghị định số 147/2024/NĐ-CP, Điều 27 khoản 3 điểm b và Nghị định số 333/2026/NĐ-CP, Điều 16 khoản 2 điểm b, d. Bạn tự nhập số và mã tại trang Tài khoản, hoặc gửi đề nghị xác thực bằng số định danh cá nhân qua email; số điện thoại và số định danh chỉ dùng cho việc xác thực và cho nghĩa vụ lưu trữ, cung cấp thông tin nêu dưới |
| Duyệt bài, bình luận; chống spam, lạm dụng; xử lý báo cáo vi phạm | Nội dung, mã băm IP, báo cáo | Thực hiện Thỏa thuận cung cấp và sử dụng dịch vụ mạng xã hội và nghĩa vụ của mạng xã hội theo Nghị định số 147/2024/NĐ-CP, Điều 35 |
| Lưu trữ và cung cấp thông tin cho cơ quan nhà nước có thẩm quyền theo quy định | Thông tin tài khoản, số điện thoại đang dùng và đã thôi dùng, số định danh cá nhân dùng để xác thực, nhật ký đăng nhập, đăng xuất, địa chỉ IP, cổng nguồn, nhật ký xử lý thông tin đăng tải | Nghĩa vụ theo luật, không cần sự đồng ý (Luật Bảo vệ dữ liệu cá nhân, Điều 19 khoản 1 điểm đ) |
| Gửi thư dịch vụ: đăng nhập, xác minh, kết quả xử lý báo cáo và yêu cầu, thư báo có người trả lời khi bạn bật | Thực hiện Thỏa thuận cung cấp và sử dụng dịch vụ mạng xã hội | |
| Gửi email về việc làm và khóa học từ UB Group | Đồng ý riêng, không bắt buộc (ô "Nhận email về việc làm và khóa học từ UB Group.") | |
| Thống kê lượt truy cập bằng Google Analytics | Cookie thống kê, trang đã xem, thông tin thiết bị và trình duyệt | Đồng ý riêng qua lựa chọn cookie (mục 8) |
| Xác minh nơi làm việc | Email công việc, mã băm của email | Đồng ý riêng tại bước xác minh |
| Đăng bài Tâm sự và đưa bài vào Tuyển chọn | Bài Tâm sự, lựa chọn hiển thị | Đồng ý riêng cho từng bài và cho từng lần đồng ý Tuyển chọn |
U&Bank không dùng dữ liệu cá nhân của bạn cho mục đích quảng bá, truyền thông hoặc cung cấp cho tổ chức, cá nhân khác khi chưa có sự đồng ý của bạn, trừ các trường hợp luật quy định không cần sự đồng ý (Nghị định số 147/2024/NĐ-CP, Điều 35 khoản 3; Luật Bảo vệ dữ liệu cá nhân, Điều 19). U&Bank không dùng dữ liệu của bạn cho quảng cáo.
4. Cách U&Bank xin và lưu sự đồng ý
- Mỗi mục đích cần đồng ý có một ô riêng. Ô không được chọn sẵn; U&Bank không coi việc bạn im lặng, không phản hồi hay tiếp tục truy cập là đồng ý.
- Khi tạo tài khoản, bạn đánh dấu ba ô bắt buộc: đồng ý Thỏa thuận cung cấp và sử dụng dịch vụ mạng xã hội và Quy tắc cộng đồng; đồng ý Chính sách này; xác nhận đủ 16 tuổi. Ô nhận email về việc làm và khóa học từ UB Group không bắt buộc; không đánh dấu ô này, bạn vẫn dùng đầy đủ dịch vụ.
- Mỗi lần đồng ý hoặc rút đồng ý, U&Bank lưu: văn bản, phiên bản, mã SHA-256 của đúng nội dung văn bản đó, thời điểm, nơi đồng ý, mã băm của địa chỉ IP và của trình duyệt. Lịch sử này chỉ được ghi thêm, không bị sửa; bạn xem, in hoặc sao chép tại mục "Văn bản đã đồng ý" của trang Tài khoản. U&Bank chịu trách nhiệm chứng minh sự đồng ý của bạn (Nghị định số 356/2025/NĐ-CP, Điều 6 khoản 2).
- Rút đồng ý: đồng ý nhận email từ UB Group và đồng ý cookie thống kê rút được bất cứ lúc nào tại trang Tài khoản, tại Cài đặt cookie hoặc bằng liên kết hủy nhận trong thư. Rút hai đồng ý bắt buộc (Thỏa thuận, Chính sách) đồng nghĩa với xóa tài khoản. Việc rút đồng ý không ảnh hưởng tới việc xử lý đã làm trước đó (Luật Bảo vệ dữ liệu cá nhân, Điều 10 khoản 4).
- Khi Chính sách có thay đổi quan trọng, U&Bank hỏi lại sự đồng ý của thành viên; trong lúc chưa đồng ý lại, bạn vẫn đọc được mọi nội dung, ẩn được hồ sơ, tải được dữ liệu và xóa được tài khoản.
5. Thời hạn lưu trữ
| Dữ liệu | Thời hạn |
|---|---|
| Thông tin tài khoản (email, tên tài khoản, số điện thoại đã xác thực) | Trong thời gian tài khoản tồn tại; sau khi xóa tài khoản, email và số điện thoại được mã hóa, lưu riêng 24 tháng rồi xóa |
| Số điện thoại đã thôi gắn với tài khoản (đổi số, số được xác thực cho tài khoản khác, xóa hoặc gộp tài khoản) | Lưu mã hóa 24 tháng kể từ khi thôi gắn, rồi xóa |
| Thư đề nghị và thông tin định danh dùng để xác thực bằng số định danh cá nhân | Trong thời gian tài khoản tồn tại và 24 tháng sau khi xóa tài khoản, rồi xóa |
| Nhật ký đăng nhập, đăng xuất (thời điểm, phương thức, IP mã hóa, cổng nguồn, trình duyệt) | 24 tháng kể từ lần đăng nhập hoặc đăng xuất, rồi xóa tự động |
| Nhật ký xử lý thông tin đăng tải (duyệt, gỡ, sửa, khóa) | Tối thiểu 24 tháng |
| Lịch sử đồng ý | Trong thời gian còn nghĩa vụ chứng minh và thêm 5 năm |
| Báo cáo vi phạm | 36 tháng sau khi đóng; email của khách báo cáo 12 tháng sau khi đóng |
| Yêu cầu của chủ thể dữ liệu | 36 tháng |
| Phiên đăng nhập | 30 ngày |
| Mã xác thực SMS; số đang chờ xác thực | Mã dùng được 5 phút; số chưa xác thực xong được xóa sau 1 giờ |
| Xác minh nơi làm việc | Trong thời gian nhãn còn hiệu lực và thêm 90 ngày; nhãn bị thu hồi do vi phạm: 365 ngày |
| Chữ viết trong khung soạn trước khi đăng nhập | 24 giờ |
| Tên tài khoản đã bỏ | 180 ngày, để chuyển hướng địa chỉ và không cho người khác dùng ngay |
| Bài đăng, bình luận | Đến khi bạn hoặc điều hành viên gỡ; khi xóa tài khoản, bạn chọn gỡ hoặc giữ dưới tên "Thành viên đã rời U&Bank". Nội dung đã gỡ được xóa khỏi máy chủ trong 20 ngày khi bạn yêu cầu xóa |
| Ảnh đại diện đã gỡ | Xóa khỏi máy chủ ngay khi không còn tài khoản nào dùng; bản trong bộ nhớ đệm hết hạn trong tối đa 2 ngày |
| Thông tin tài khoản, thời điểm đăng nhập và địa chỉ IP phát sinh trước ngày ghi tại mục 11 | Lưu riêng, mã hóa, 24 tháng kể từ ngày đó rồi xóa |
| Tài khoản chưa từng đăng bài và không đăng nhập trong 24 tháng kể từ ngày ghi tại mục 11 | U&Bank thông báo trước ít nhất 30 ngày trên trang (trang chủ và bước đăng nhập) và bằng thư tới địa chỉ nhận thư còn dùng được. Hết thời hạn, U&Bank xóa hẳn tài khoản, kể cả mã băm email và địa chỉ nhận thư niêm phong |
| Dữ liệu cơ quan có thẩm quyền yêu cầu lưu | Tối thiểu 24 tháng kể từ khi nhận yêu cầu (Nghị định số 333/2026/NĐ-CP, Điều 20 khoản 1) |
Các thời hạn trên được đặt theo nghĩa vụ lưu trữ tối thiểu 02 năm đối với thông tin về tài khoản, thời gian đăng nhập, đăng xuất, địa chỉ IP và nhật ký xử lý thông tin được đăng tải của mạng xã hội (Nghị định số 147/2024/NĐ-CP, Điều 27 khoản 2 điểm b) và nghĩa vụ lưu nhật ký hệ thống (Nghị định số 333/2026/NĐ-CP, Điều 16 khoản 6, Điều 20 khoản 3). Hết thời hạn, U&Bank xóa dữ liệu bằng biện pháp an toàn.
6. Bên nhận dữ liệu và bên xử lý dữ liệu
- Hypernode, nhà cung cấp hạ tầng máy chủ tại Hà Nội: lưu toàn bộ dữ liệu của U&Bank trên máy chủ đặt tại Việt Nam.
- Dịch vụ gửi thư điện tử: thư của U&Bank đi qua máy chủ thư của Công ty Cổ phần Tập đoàn UB, dùng dịch vụ chuyển thư DNSExit. Dữ liệu được chuyển: địa chỉ email người nhận và nội dung thư.
- eSMS (esms.vn): gửi tin nhắn chứa mã xác thực. Dữ liệu được chuyển: số điện thoại và nội dung tin nhắn.
- Google: khi bạn đăng nhập bằng Google, Google gửi cho U&Bank mã định danh, email đã xác minh và tên trên tài khoản Google của bạn; khi bạn đồng ý cookie thống kê, Google Analytics nhận dữ liệu truy cập nêu tại mục 8.
- Cloudflare: mạng phân phối nội dung và chống tấn công đứng trước ub.com.vn, và công cụ kiểm tra chống máy tự động (Turnstile) khi được bật. Mọi kết nối tới ub.com.vn đi qua Cloudflare. Cloudflare giải mã và chuyển tiếp toàn bộ nội dung yêu cầu và trả lời, gồm địa chỉ IP, thông tin trình duyệt, địa chỉ trang, cookie và nội dung bạn gửi qua biểu mẫu (email, số điện thoại, mã xác thực, bài viết, bình luận, báo cáo), để chuyển trang tới bạn và chống tấn công; Cloudflare không lưu nội dung này làm dữ liệu của U&Bank.
- Thư về việc làm và khóa học từ UB Group do chính Công ty Cổ phần Tập đoàn UB gửi qua U&Bank; email của bạn không được chuyển cho tổ chức khác.
- Cơ quan nhà nước có thẩm quyền: U&Bank cung cấp thông tin người sử dụng khi có yêu cầu hợp lệ theo quy định, trong đó có yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an, chậm nhất 24 giờ, hoặc 03 giờ trong trường hợp khẩn cấp (Luật An ninh mạng, Điều 25 khoản 2 điểm a; Nghị định số 333/2026/NĐ-CP, Điều 16 khoản 3; Nghị định số 147/2024/NĐ-CP, Điều 35 khoản 9).
- Người truy cập ub.com.vn thấy những dữ liệu ghi "Có" ở cột Công khai của mục 2.
U&Bank chuyển dữ liệu cho bên xử lý dữ liệu theo Luật Bảo vệ dữ liệu cá nhân, Điều 17 khoản 1 điểm d, trên cơ sở thỏa thuận chuyển giao; bên xử lý dữ liệu chỉ được xử lý dữ liệu cho đúng mục đích trong thỏa thuận (Nghị định số 356/2025/NĐ-CP, Điều 7 khoản 1). U&Bank không mua, bán dữ liệu cá nhân (Luật Bảo vệ dữ liệu cá nhân, Điều 7 khoản 6).
7. Nơi lưu dữ liệu và chuyển dữ liệu ra nước ngoài
- Dữ liệu cá nhân của người sử dụng tại Việt Nam và dữ liệu do họ tạo ra trên U&Bank (tên tài khoản, thời gian sử dụng, email, địa chỉ IP, số điện thoại đăng ký, nội dung) được lưu trên máy chủ đặt tại Việt Nam (Nghị định số 333/2026/NĐ-CP, Điều 19 khoản 1, 2; Luật An ninh mạng, Điều 25 khoản 3; Nghị định số 147/2024/NĐ-CP, Điều 27 khoản 2 điểm e, Điều 35 khoản 10).
- Một số dữ liệu được chuyển ra ngoài lãnh thổ Việt Nam để xử lý:
- Google (đăng nhập bằng Google; Google Analytics khi bạn đồng ý): mã định danh, email và tên trên tài khoản Google; mã cookie thống kê, trang đã xem, thông tin thiết bị, trình duyệt và địa chỉ IP gửi kèm lượt truy cập.
- Cloudflare: toàn bộ nội dung yêu cầu và trả lời giữa trình duyệt và ub.com.vn đi qua mạng của Cloudflare, gồm địa chỉ IP, thông tin trình duyệt, địa chỉ trang, cookie và nội dung bạn gửi qua biểu mẫu (email, số điện thoại, mã xác thực, bài viết, bình luận, báo cáo).
- DNSExit, dịch vụ chuyển thư có máy chủ đặt ngoài Việt Nam: địa chỉ email người nhận và nội dung thư.
- U&Bank lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong 60 ngày kể từ ngày đầu tiên chuyển dữ liệu (Luật Bảo vệ dữ liệu cá nhân, Điều 20 khoản 2).
8. Cookie
| Nhóm | Cookie | Mục đích | Cần đồng ý |
|---|---|---|---|
| Cần thiết | astro-session |
Phiên đăng nhập (30 ngày) | Không |
| Cần thiết | ub_member |
Cho biết trình duyệt đang đăng nhập, không chứa danh tính | Không |
| Cần thiết | ub_consent |
Lưu lựa chọn cookie của bạn (180 ngày) | Không |
| Cần thiết | ub_nt |
Ghi nhớ lựa chọn "Không theo dõi hoạt động" | Không |
| Cần thiết, tạm thời | ub_yc, ub_oauth, ub_pending_google, các cookie bắt đầu bằng ub_nhap_ |
Giữ bước đăng nhập, đăng nhập bằng Google, và chữ bạn đã nhập vào biểu mẫu khi biểu mẫu báo lỗi; tự hết hạn trong 10 phút đến 24 giờ | Không |
| Thống kê | _ga, _ga_<mã> |
Google Analytics 4: đếm lượt truy cập | Có |
- U&Bank không dùng cookie quảng cáo. Mã thống kê chỉ được tải sau khi bạn đồng ý; trước đó trang không tải gì từ Google Analytics. Khi tải, U&Bank khai với Google là không dùng dữ liệu cho quảng cáo và tắt tín hiệu Google.
- Bạn từ chối bằng nút "Từ chối" trên thanh lựa chọn cookie. Trình duyệt bật tín hiệu Global Privacy Control được coi là từ chối.
- Bạn đổi hoặc rút lựa chọn bất cứ lúc nào tại Cài đặt cookie hoặc liên kết "Cài đặt cookie" ở chân trang. Khi bạn rút, U&Bank xóa cookie thống kê trên trình duyệt và không tải mã thống kê nữa.
- Cloudflare có thể đặt cookie kỹ thuật để chống tấn công và kiểm tra chống máy tự động; các cookie này không dùng để theo dõi hay quảng cáo.
- Một số lựa chọn khi đọc (thứ tự xem đã chọn, mốc "lần trước bạn xem", câu cần ôn lại trong Ôn tập) được lưu trong bộ nhớ của trình duyệt trên máy bạn; bạn xóa được bằng chức năng xóa dữ liệu trang của trình duyệt.
9. Quyền và nghĩa vụ của chủ thể dữ liệu
- Bạn có các quyền theo Luật Bảo vệ dữ liệu cá nhân, Điều 4 khoản 1:
- được biết về hoạt động xử lý dữ liệu cá nhân của mình;
- đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý;
- xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu;
- yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu; gửi yêu cầu phản đối xử lý dữ liệu;
- khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo quy định của pháp luật;
- yêu cầu cơ quan có thẩm quyền hoặc bên liên quan thực hiện biện pháp bảo vệ dữ liệu cá nhân của mình.
- Bạn có các nghĩa vụ theo Luật Bảo vệ dữ liệu cá nhân, Điều 4 khoản 2: tự bảo vệ dữ liệu cá nhân của mình; tôn trọng, bảo vệ dữ liệu cá nhân của người khác, kể cả không đăng số điện thoại, email, giấy tờ của người khác; cung cấp đầy đủ, chính xác dữ liệu của mình khi đăng ký và xác thực; chấp hành pháp luật về bảo vệ dữ liệu cá nhân.
- Cách thực hiện:
- Tại trang Tài khoản, bạn tự làm ngay: xem và sửa hồ sơ, ẩn hồ sơ, tải dữ liệu của tôi (tệp JSON), xem lịch sử đồng ý, rút đồng ý nhận email, bật "Không theo dõi hoạt động", gỡ bài và bình luận, xóa tài khoản.
- Các yêu cầu khác (cung cấp, hạn chế, phản đối, xóa phần còn lại, yêu cầu biện pháp bảo vệ): gửi tại mục "Dữ liệu của tôi" của trang Tài khoản; mỗi yêu cầu có mã YC-… để theo dõi. Bạn cũng có thể gửi email hoặc văn bản tới đầu mối tại mục 1.
Thời hạn giải quyết yêu cầu
Thời hạn theo Nghị định số 356/2025/NĐ-CP, Điều 5 khoản 2 đến khoản 5, tính từ khi U&Bank nhận yêu cầu đúng thủ tục:
| Yêu cầu | Phản hồi đầu tiên | Thực hiện | Gia hạn |
|---|---|---|---|
| Rút lại đồng ý, hạn chế xử lý, phản đối xử lý | 02 ngày làm việc | 15 ngày; 20 ngày nếu cần yêu cầu bên xử lý dữ liệu, bên thứ ba ngừng xử lý | Một lần, không quá 15 ngày |
| Xem, chỉnh sửa, cung cấp dữ liệu | 02 ngày làm việc | 10 ngày; 15 ngày nếu cần yêu cầu bên xử lý dữ liệu, bên thứ ba chỉnh sửa | Một lần, không quá 10 ngày |
| Xóa dữ liệu, kể cả xóa khỏi máy chủ nội dung bạn đã gỡ | 02 ngày làm việc | 20 ngày; 30 ngày nếu cần yêu cầu bên xử lý dữ liệu, bên thứ ba xóa | Một lần, không quá 20 ngày |
| Thực hiện biện pháp bảo vệ dữ liệu cá nhân | 02 ngày làm việc | 15 ngày | Một lần, không quá 15 ngày |
Khi cần gia hạn, U&Bank báo cho bạn lý do trước khi hết thời hạn đầu. Việc bạn tự làm tại trang Tài khoản có hiệu lực ngay.
Dữ liệu chưa xóa được ngay
Dữ liệu U&Bank không xóa ngay được: thông tin tài khoản, số điện thoại đã đăng ký, thông tin định danh dùng để xác thực, nhật ký đăng nhập, đăng xuất và địa chỉ IP phải lưu đủ thời hạn tại mục 5 để thực hiện nghĩa vụ theo luật (Luật Bảo vệ dữ liệu cá nhân, Điều 14 khoản 2). Trong thời gian đó, dữ liệu này không hiển thị ở bất cứ đâu, email, số điện thoại và địa chỉ IP được lưu mã hóa, và dữ liệu không được dùng vào việc khác. Khi không thực hiện được toàn bộ hay một phần yêu cầu xóa, U&Bank báo cho bạn lý do (Luật Bảo vệ dữ liệu cá nhân, Điều 14 khoản 5).
Khi không đăng nhập được
Nếu không còn dùng được email đã đăng ký, hoặc tài khoản đang bị khóa nên không nhận được thư đăng nhập, bạn gửi yêu cầu qua trang Liên hệ hoặc tới đầu mối tại mục 1, kèm tên tài khoản, để được hỗ trợ đăng nhập hoặc thực hiện các quyền trên. U&Bank không yêu cầu ảnh giấy tờ tùy thân.
Khiếu nại
Nếu không đồng ý với cách U&Bank giải quyết, bạn có quyền khiếu nại, tố cáo tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân hoặc khởi kiện theo quy định của pháp luật.
10. Không theo dõi hoạt động
- Bạn từ chối việc theo dõi hoạt động bằng hai cách: từ chối cookie thống kê (mục 8), hoặc, khi là thành viên, bật "Không theo dõi hoạt động" trong trang Tài khoản (Luật Bảo vệ dữ liệu cá nhân, Điều 29 khoản 3, 4).
- Khi bật "Không theo dõi hoạt động", mã thống kê không được tải trên mọi thiết bị đã đăng nhập tài khoản đó, kể cả khi trước đó trình duyệt đã đồng ý cookie thống kê.
- Lựa chọn này không ảnh hưởng tới nhật ký đăng nhập mà U&Bank phải lưu theo luật (mục 5).
11. Dữ liệu tài khoản từ ngày nâng cấp nền tảng
- Ngày 05/10/2026, U&Bank nâng cấp nền tảng kỹ thuật của mạng xã hội tại ub.com.vn. Bên kiểm soát dữ liệu, mục đích xử lý và địa chỉ trang không thay đổi. U&Bank tiếp tục xử lý dữ liệu tài khoản đã có để thực hiện thỏa thuận sử dụng dịch vụ mà bạn đã tham gia khi đăng ký (Luật Bảo vệ dữ liệu cá nhân, Điều 19 khoản 1 điểm d), trong cùng mục đích và không mở rộng phạm vi công khai; đồng ý hoặc thỏa thuận đã có theo Nghị định số 13/2023/NĐ-CP tiếp tục có hiệu lực (Luật Bảo vệ dữ liệu cá nhân, Điều 39 khoản 1).
- Dữ liệu tài khoản được giữ: tên hiển thị trên bài, tên, ảnh đại diện bạn đã tải lên, giới thiệu, nơi ở, trang web, ngày tham gia, các bài và trả lời đang hiển thị, số lượt thích, lựa chọn ẩn hồ sơ. Địa chỉ hồ sơ có thể được viết khác tên tài khoản (ví dụ khi tên có số điện thoại). Danh hiệu hợp lệ hiện thành dòng nghề. Số điện thoại và email trong các trường hiển thị được che như trong bài viết; phần giới thiệu, trang web có nội dung quảng cáo không được giữ.
- Không tiếp tục xử lý: mật khẩu, tin nhắn riêng, lịch sử đọc, cài đặt thông báo. Thông tin tài khoản, thời điểm đăng nhập và địa chỉ IP phát sinh trước ngày nâng cấp được lưu riêng, mã hóa, chỉ để đáp ứng quy định, trong 24 tháng rồi xóa.
- Email đăng ký được lưu dưới dạng mã băm để bạn đăng nhập bằng chính email đó; khi bạn đăng nhập lần đầu, U&Bank lưu email này như mọi tài khoản. U&Bank không dùng mã băm để gửi thư. Để gửi thư về tài khoản (thư mời tiếp tục dùng tài khoản và thông báo về tài khoản), U&Bank lưu riêng email đăng ký dưới dạng niêm phong bằng khóa mã hóa: chỉ máy chủ của U&Bank mở được, quản trị viên chỉ thấy dạng che. Mỗi thư có liên kết hủy nhận; sau khi bạn hủy nhận, U&Bank không gửi thư loại đó tới địa chỉ này nữa. Bạn yêu cầu xóa địa chỉ này theo mục 9.
- Tài khoản và nội dung quảng cáo, spam không được giữ. Tin do hệ thống tự động đăng và một số chủ đề ít giá trị tham khảo không tiếp tục hiển thị.
- Nếu không còn dùng được email đã đăng ký, hoặc tài khoản của bạn đang bị khóa, bạn liên hệ đầu mối tại mục 1, kèm tên tài khoản, để được hỗ trợ đăng nhập hoặc thực hiện quyền đối với dữ liệu. U&Bank không yêu cầu ảnh giấy tờ tùy thân.
12. Người dưới 16 tuổi
- U&Bank không nhận đăng ký tài khoản của người dưới 16 tuổi (trẻ em theo Luật Trẻ em số 102/2016/QH13, Điều 1). Khi tạo tài khoản, bạn xác nhận mình đủ 16 tuổi.
- Khi phát hiện hoặc được báo một tài khoản do người dưới 16 tuổi lập, U&Bank khóa tài khoản đó, ngừng xử lý dữ liệu và xóa dữ liệu theo mục 9, trừ phần phải lưu theo mục 5.
- Cha, mẹ hoặc người giám hộ là người đại diện theo pháp luật, thay mặt trẻ thực hiện các quyền của chủ thể dữ liệu (Luật Bảo vệ dữ liệu cá nhân, Điều 24 khoản 2), bằng cách liên hệ đầu mối tại mục 1, kèm tên tài khoản.
13. Biện pháp bảo vệ dữ liệu và xử lý sự cố
- Biện pháp kỹ thuật: kết nối được mã hóa (HTTPS); số điện thoại (kể cả số đã thôi dùng), địa chỉ IP trong nhật ký đăng nhập, đăng xuất, email của khách gửi báo cáo, email của tài khoản đã xóa được lưu mã hóa; địa chỉ nhận thư được niêm phong bằng khóa công khai; địa chỉ IP dùng để chống lạm dụng và mã xác thực chỉ lưu dạng mã băm; ảnh tải lên được xóa thông tin vị trí.
- Phân quyền: thành viên, điều hành viên và quản trị viên có quyền truy cập khác nhau. Điều hành viên không thấy email, số điện thoại hay địa chỉ IP của thành viên. Quản trị viên chỉ dùng email của thành viên cho việc quản trị tài khoản; mỗi lần quản trị viên xem đầy đủ một địa chỉ nhận thư đều được ghi nhật ký; ở mọi chỗ khác, địa chỉ chỉ hiện dạng che. Mọi thao tác điều hành (duyệt, gỡ, khóa, xử lý báo cáo và yêu cầu dữ liệu) được ghi nhật ký. Dữ liệu nhạy cảm nêu tại mục 2 có quy định phân quyền giới hạn truy cập riêng (Nghị định số 356/2025/NĐ-CP, Điều 4 khoản 2).
- Khi xảy ra sự cố an ninh mạng, U&Bank triển khai ngay phương án ứng cứu khẩn cấp và báo lực lượng chuyên trách bảo vệ an ninh mạng (Luật An ninh mạng, Điều 41 khoản 3).
- Khi phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân có thể gây tổn hại tới quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của bạn, U&Bank thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện (Luật Bảo vệ dữ liệu cá nhân, Điều 23 khoản 1), với nội dung theo Nghị định số 356/2025/NĐ-CP, Điều 28, lập biên bản và phối hợp xử lý. U&Bank báo cho thành viên bị ảnh hưởng những việc họ nên làm để tự bảo vệ.
14. Báo vi phạm về bảo mật và quyền riêng tư
- Bạn báo cho U&Bank khi thấy dữ liệu cá nhân của mình hoặc của người khác bị lộ, bị dùng sai mục đích, hoặc khi phát hiện lỗi bảo mật của trang:
- nội dung trên trang làm lộ dữ liệu cá nhân (số điện thoại, email, giấy tờ, hình ảnh riêng tư): dùng nút báo cáo cạnh nội dung hoặc trang Báo cáo vi phạm, chọn lý do "Xâm phạm quyền, lợi ích của tôi hoặc tổ chức của tôi (danh dự, hình ảnh, dữ liệu cá nhân, bản quyền)";
- việc U&Bank xử lý dữ liệu của bạn, hoặc lỗi bảo mật: gửi yêu cầu tại mục "Dữ liệu của tôi" của trang Tài khoản, hoặc gửi email tới đầu mối tại mục 1.
- Quy trình xử lý: báo cáo về nội dung làm lộ dữ liệu cá nhân được xếp vào hàng xử lý khẩn; nội dung vi phạm bị ẩn trong lúc xem xét khi cần. Báo cáo về lỗi bảo mật được chuyển ngay cho bộ phận kỹ thuật để đánh giá và khắc phục; nếu là sự cố, U&Bank xử lý theo mục 13. U&Bank phản hồi người báo trong 02 ngày làm việc và báo kết quả khi xử lý xong.
- Xin đừng thử khai thác lỗi bảo mật trên dữ liệu của người khác; chỉ mô tả lỗi và cách tái hiện.
15. Hiệu lực và sửa đổi
- Chính sách có hiệu lực từ ngày ghi ở đầu trang. Các phiên bản trước vẫn được công bố để tra cứu.
- Khi sửa Chính sách, U&Bank công bố phiên bản sửa đổi kèm ngày hiệu lực; thay đổi quan trọng yêu cầu thành viên đồng ý lại (mục 4).
- Câu hỏi về Chính sách này gửi tới đầu mối tại mục 1.
Các phiên bản
- Phiên bản 2026-10-01 · Hiệu lực từ 01/10/2026
- Phiên bản 2026-10-05 · Hiệu lực từ 05/10/2026