Chính sách quyền riêng tư

Chính sách này phải trình bày điều gì

Phần lớn chính sách quyền riêng tư mô tả một trang chỉ thu thập địa chỉ email. Chính sách này phải mô tả một điều quan trọng hơn: bạn tải lên phiếu kết quả xét nghiệm, và phiếu kết quả xét nghiệm là dữ liệu về sức khỏe. Công ty phát hành trang có trụ sở tại Pháp, nên Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu (GDPR) được áp dụng, và GDPR xếp dữ liệu sức khỏe vào nhóm dữ liệu đặc biệt (Điều 9). Nếu bạn là công dân Việt Nam, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ ngày 1 tháng 1 năm 2026, cũng được áp dụng, vì luật này áp dụng cả với tổ chức nước ngoài trực tiếp tham gia hoặc có liên quan đến việc xử lý dữ liệu cá nhân của công dân Việt Nam (Điều 1). Nghị định 356/2025/NĐ-CP hướng dẫn luật này xếp tình trạng sức khỏe vào danh mục dữ liệu cá nhân nhạy cảm (Điều 4), và luật yêu cầu phải có sự đồng ý của bạn khi thu thập, xử lý thông tin sức khỏe (Điều 26).

Vì vậy trang này dài hơn chúng tôi mong muốn, và cụ thể ở những chỗ mà viết chung chung sẽ dễ hơn. Nếu có đoạn nào chưa rõ, hãy viết cho chúng tôi và chúng tôi sẽ viết lại.

Bên kiểm soát dữ liệu

Smart Medical Care SAS, trụ sở tại Nice (Pháp), SIRET 932 924 194 00016. Liên hệ cho mọi vấn đề trên trang này, kể cả việc thực hiện các quyền của bạn: contact@blood-interpretation.com.

Danh sách chờ, nay đã đóng

Trước khi dịch vụ đi vào hoạt động, các nút tải lên dẫn đến một biểu mẫu chỉ hỏi một điều: địa chỉ email, để chúng tôi báo cho bạn khi dịch vụ mở, kèm theo ngôn ngữ bạn đang đọc và trang bạn đang xem. Biểu mẫu đó đã được gỡ bỏ, và chúng tôi không còn thu thập địa chỉ nào theo cách này.

Cơ sở pháp lý đối với các địa chỉ đã có trong danh sách là sự đồng ý được thể hiện khi gửi biểu mẫu. Chúng tôi chỉ dùng chúng cho đúng một thông báo đó, không chuyển cho bất kỳ ai, và bạn có thể yêu cầu xóa địa chỉ của mình bất cứ lúc nào qua địa chỉ ở trên. Danh sách sẽ bị xóa sau khi chúng tôi đã viết cho tất cả mọi người trong đó.

Chúng tôi xử lý gì khi bạn tải lên kết quả xét nghiệm

Phiếu kết quả xét nghiệm bạn tải lên, dưới dạng tệp và dưới dạng các giá trị đọc được từ tệp. Họ tên của bạn được xóa khỏi tài liệu trước khi phân tích: hệ thống làm việc trên các giá trị của bạn và bối cảnh bạn cung cấp, không phải trên danh tính của bạn.

Bối cảnh bạn cung cấp: tuổi, giới tính và câu trả lời cho các câu hỏi trước khi đọc kết quả, vì cùng một giá trị sẽ được đọc khác nhau ở tuổi hai mươi lăm và ở tuổi bảy mươi.

Tài khoản của bạn: địa chỉ email dùng để tạo tài khoản, và các kết quả được lưu trong đó để có thể so sánh lần xét nghiệm này với lần sau. Một xu hướng theo thời gian cho biết nhiều điều mà một lần đo riêng lẻ không cho thấy.

Thanh toán, nếu bạn mua báo cáo đầy đủ: do đơn vị cung cấp dịch vụ thanh toán của chúng tôi xử lý. Chúng tôi không bao giờ nhìn thấy hay lưu trữ thông tin thẻ của bạn.

Dữ liệu kỹ thuật: nhật ký máy chủ cần thiết để vận hành dịch vụ và giữ an toàn cho dịch vụ.

Mục đích và cơ sở pháp lý

Lập báo cáo đầy đủ cho bạn: sự đồng ý rõ ràng của bạn đối với việc xử lý dữ liệu sức khỏe (Điều 9 khoản 2 điểm a GDPR; Điều 9 và Điều 26 Luật Bảo vệ dữ liệu cá nhân), được thể hiện khi bạn tải kết quả lên. Bạn có thể rút lại sự đồng ý bất cứ lúc nào bằng cách xóa kết quả hoặc tài khoản, việc này chấm dứt xử lý từ thời điểm đó trở đi.

Lưu kết quả để có thể so sánh theo thời gian: cùng sự đồng ý rõ ràng đó. Nếu bạn không muốn lưu, hãy xóa chúng và sẽ không còn gì.

Nhận thanh toán: thực hiện hợp đồng giữa bạn và chúng tôi.

Vận hành, bảo vệ dịch vụ và đo lường lượt truy cập: lợi ích chính đáng của chúng tôi trong việc có một trang hoạt động tốt và có thể cải thiện, được cân nhắc với quyền của bạn. Việc đo lường lượt truy cập được trình bày riêng ở dưới, vì nó cần sự đồng ý của bạn chứ không chỉ dựa vào lợi ích của chúng tôi.

Ai khác có thể tiếp cận dữ liệu

Hệ thống diễn giải. Để đọc phiếu kết quả và viết phần giải thích, chúng tôi sử dụng một nhà cung cấp trí tuệ nhân tạo đặt trụ sở ngoài Liên minh châu Âu, hoạt động với tư cách bên xử lý dữ liệu cho chúng tôi theo hợp đồng. Kết quả của bạn chỉ được gửi đi cho đúng mục đích đó. Chúng không được dùng để huấn luyện mô hình của nhà cung cấp này, và không bao giờ bị bán hay chia sẻ cho bất kỳ mục đích nào khác.

Đơn vị lưu trữ của chúng tôi, Outscale, một công ty Pháp được chứng nhận lưu trữ dữ liệu sức khỏe (HDS, hébergeur de données de santé), lưu trữ dữ liệu và vận hành dịch vụ.

Đơn vị cung cấp dịch vụ thanh toán của chúng tôi, chỉ khi bạn mua, nhận những gì cần cho việc thanh toán và không nhận gì về kết quả của bạn.

Không ai khác. Kết quả của bạn không được chia sẻ với công ty bảo hiểm, người sử dụng lao động, nhà quảng cáo hay bất kỳ dịch vụ nào khác, và không phải là nguồn dữ liệu cho bất cứ thứ gì được bán ở nơi khác.

Chuyển dữ liệu ra ngoài Việt Nam và ngoài Liên minh châu Âu

Nếu bạn ở Việt Nam, dữ liệu của bạn được xử lý ở ngoài Việt Nam: dữ liệu được Outscale lưu trữ tại Pháp, và dữ liệu sức khỏe bạn tải lên được gửi đến nhà cung cấp trí tuệ nhân tạo đặt trụ sở tại Hoa Kỳ để đọc. Luật Bảo vệ dữ liệu cá nhân coi việc sử dụng nền tảng ở ngoài lãnh thổ Việt Nam để xử lý dữ liệu cá nhân thu thập tại Việt Nam là chuyển dữ liệu cá nhân xuyên biên giới, và yêu cầu bên chuyển dữ liệu lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới, gửi cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày đầu tiên chuyển dữ liệu (Điều 20).

Về phía châu Âu, việc chuyển sang Hoa Kỳ dựa trên các biện pháp bảo đảm mà GDPR quy định: các điều khoản hợp đồng mẫu và khung bảo đảm mức độ bảo vệ tương xứng áp dụng cho các tổ chức Hoa Kỳ đã được chứng nhận. Chúng tôi nói rõ điều này thay vì giấu đi, vì đây là phần của chính sách mà người đọc có quyền được biết nhất.

Chúng tôi lưu dữ liệu trong bao lâu

Kết quả và tài khoản của bạn được lưu chừng nào tài khoản còn tồn tại, vì chính việc lưu giữ cho phép so sánh lần đọc này với lần trước. Không có thời hạn tự động nào xóa đi lịch sử mà bạn đã chọn xây dựng.

Bạn có thể xóa một kết quả, hoặc toàn bộ tài khoản, bất cứ lúc nào từ tài khoản của mình. Xóa tài khoản sẽ xóa luôn các kết quả.

Nhật ký kỹ thuật được lưu trong thời gian giới hạn cần cho bảo mật và khắc phục sự cố. Chứng từ liên quan đến việc mua hàng được lưu trong thời hạn mà pháp luật kế toán và thuế của Pháp yêu cầu.

Cookie và đo lường lượt truy cập

Trang này dùng Google Analytics 4 để đo lường lượt truy cập. Công cụ này đặt cookie và có chuyển dữ liệu sang Hoa Kỳ, nên nó chỉ chạy nếu bạn chấp nhận. Từ chối không thay đổi gì về dịch vụ: việc đọc kết quả, báo cáo và tài khoản của bạn vẫn hoạt động y như vậy.

Lựa chọn của bạn được ghi nhớ trong sáu tháng, sau đó chúng tôi sẽ hỏi lại. Bạn có thể đổi ý bất cứ lúc nào bằng đường dẫn cài đặt cookie ở cuối mỗi trang; rút lại sự đồng ý sẽ dừng việc đo lường và xóa các cookie của công cụ này.

Các cookie thật sự cần thiết để vận hành dịch vụ, chẳng hạn để giữ bạn ở trạng thái đăng nhập, được đặt mà không cần sự đồng ý vì thiếu chúng dịch vụ không thể hoạt động. Chúng tôi không dùng cookie quảng cáo hay cookie của mạng xã hội.

Quyền của bạn, và nơi khiếu nại

Theo Luật Bảo vệ dữ liệu cá nhân (Điều 4 khoản 1), bạn có quyền được biết về hoạt động xử lý dữ liệu cá nhân của mình; đồng ý hoặc không đồng ý, và yêu cầu rút lại sự đồng ý; xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu; yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu và phản đối việc xử lý; khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại. GDPR cũng cho bạn quyền nhận dữ liệu của mình ở định dạng có thể chuyển đi, và quyền phản đối việc xử lý dựa trên lợi ích chính đáng của chúng tôi.

Hãy viết đến contact@blood-interpretation.com từ địa chỉ email của tài khoản, nêu rõ quyền bạn muốn thực hiện: luật yêu cầu yêu cầu rút lại sự đồng ý hoặc hạn chế xử lý được thể hiện bằng văn bản, kể cả dạng điện tử (Điều 10), và email đáp ứng điều này. Nghị định 356/2025/NĐ-CP quy định thời hạn cho bên kiểm soát dữ liệu: phản hồi trong 02 ngày làm việc, rồi thực hiện trong 10 ngày với yêu cầu xem, chỉnh sửa hoặc cung cấp dữ liệu, 15 ngày với yêu cầu rút lại sự đồng ý, hạn chế hoặc phản đối xử lý, và 20 ngày với yêu cầu xóa dữ liệu, có thể gia hạn một lần kèm thông báo lý do (Điều 5).

Nếu câu trả lời của chúng tôi không làm bạn hài lòng, bạn có thể khiếu nại với cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an (Điều 33 Luật Bảo vệ dữ liệu cá nhân); các thủ tục về bảo vệ dữ liệu cá nhân được thực hiện tại Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05). Vì Smart Medical Care SAS đặt trụ sở tại Pháp, bạn cũng có thể khiếu nại với CNIL, cơ quan giám sát của Pháp, tại cnil.fr.

Thay đổi chính sách này

Chính sách này thay đổi khi dịch vụ thay đổi, và ngày sửa đổi gần nhất được ghi ở cuối trang. Một thay đổi liên quan đến cách chúng tôi xử lý kết quả của bạn sẽ được thông báo, chứ không lặng lẽ đưa vào.