GENIEIN Co., Ltd. ("Công ty") coi trọng thông tin cá nhân của chủ thể dữ liệu và đã xây dựng, công bố Chính sách bảo mật này ("Chính sách") để quản lý thông tin cá nhân một cách an toàn, tuân thủ pháp luật hiện hành, bao gồm Đạo luật Bảo vệ thông tin cá nhân ("PIPA").

Chính sách này áp dụng cho việc sử dụng dịch vụ GNOM ("Dịch vụ") do Công ty vận hành. Các thuật ngữ dùng trong Chính sách này tuân theo định nghĩa trong Điều khoản dịch vụ GNOM ("Điều khoản") được Công ty đăng tải riêng. Các thuật ngữ chính trong Chính sách này được định nghĩa như sau:

• GNOM Estimator: tính năng ước tính dựa trên AI, thu thập và cấu trúc hóa yêu cầu qua hội thoại bằng ngôn ngữ tự nhiên, áp dụng phương pháp Điểm chức năng (phương pháp IFPUG) để ước tính quy mô dự án, khối lượng công việc và chi phí, đồng thời đề xuất các công ty địa phương có thể thực hiện dự án
• GNOM Estimator: tính năng tạo Kết quả ước tính bằng AI, cho phép tải về và cung cấp các dịch vụ bổ sung trên hạ tầng của Công ty
• Kết quả ước tính: toàn bộ sản phẩm được tạo qua GNOM Estimator, bao gồm Bảng tính FP, Ước lượng nỗ lực và Khảo sát năng lực địa phương (giống định nghĩa tại Điều 2 của Điều khoản)
• Nội dung: Kết quả ước tính và các tài liệu khác được tạo ra từ việc Người dùng sử dụng Dịch vụ (giống định nghĩa tại Điều 2 của Điều khoản)
• Người dùng: Thành viên hoặc người không phải Thành viên sử dụng Dịch vụ theo Điều khoản
• Thành viên: người đã đăng ký với Công ty bằng cách cung cấp thông tin cá nhân

• Người dùng trực tiếp nhập khi đăng ký thành viên, sử dụng Dịch vụ và gửi yêu cầu hỗ trợ
• Tự động tạo và thu thập trong quá trình sử dụng Dịch vụ (cookie, nhật ký, đo lường)
• Từ nhà cung cấp đăng nhập mạng xã hội khi xác thực SSO bên thứ ba
• Từ giải pháp tích hợp thanh toán (PortOne), đơn vị kinh doanh tài chính điện tử (Toss Payments) và các đơn vị phát hành thẻ, về kết quả thanh toán

Công ty xử lý thông tin cá nhân đã thu thập cho các mục đích sau và sẽ xin chấp thuận trước nếu mục đích thay đổi.

• Cung cấp và vận hành Dịch vụ: định danh và xác thực Thành viên, quản lý Thành viên, ngăn chặn đăng ký và sử dụng gian lận; phân tích yêu cầu và cung cấp Kết quả ước tính dựa trên FP thông qua GNOM Estimator; cung cấp các tính năng tích hợp dịch vụ bên ngoài
• Thanh toán và quyết toán: xử lý thanh toán một lần, hoàn tiền và phát hành biên lai/hóa đơn thuế; ngăn chặn thanh toán gian lận và giải quyết tranh chấp
• Hỗ trợ khách hàng: xử lý yêu cầu, gửi thông báo và giải quyết tranh chấp
• Cải thiện dịch vụ và phân tích: cải thiện tính năng, tối ưu hiệu năng và phát triển tính năng mới thông qua phân tích hành vi sử dụng; kiểm thử A/B và nghiên cứu trải nghiệm người dùng; phân tích thống kê, nghiên cứu khoa học và huấn luyện mô hình AI bằng thông tin cá nhân đã giả danh hóa hoặc ẩn danh hóa (Điều 28-2 PIPA)
• Tiếp thị và quảng cáo (khi có sự đồng ý tùy chọn): thông báo sự kiện, nội dung được cá nhân hóa, đo lường hiệu quả quảng cáo
• Bảo mật và ngăn chặn lạm dụng: phát hiện và chặn truy cập bất thường, hành vi lạm dụng và bot; điều tra sự cố bảo mật
• Tuân thủ nghĩa vụ pháp lý: tuân thủ pháp luật hiện hành (như Đạo luật Bảo vệ người tiêu dùng trong thương mại điện tử, luật thuế, Đạo luật Bảo vệ bí mật thông tin liên lạc), xử lý tranh chấp và bảo vệ quyền lợi pháp lý

Công bố về việc sử dụng thông tin cá nhân để huấn luyện mô hình AI

(1) Cấm huấn luyện bằng dữ liệu gốc có thể định danh

Công ty không sử dụng dữ liệu gốc có thể định danh cá nhân do Người dùng nhập vào (như hội thoại bằng ngôn ngữ tự nhiên và tệp tải lên) để huấn luyện mô hình AI ở dạng nguyên bản có thể định danh.

(2) Sử dụng để huấn luyện sau khi giả danh hóa hoặc ẩn danh hóa (Không cần đồng ý riêng)

Công ty có thể sử dụng dữ liệu đầu vào của Người dùng, sau khi đã giả danh hóa hoặc ẩn danh hóa theo Điều 28-2 PIPA, cho mục đích phân tích thống kê và nghiên cứu khoa học (bao gồm nghiên cứu cải thiện hiệu năng mô hình AI). Thông tin giả danh được xử lý sao cho không thể xác định một cá nhân cụ thể nếu không có thông tin bổ sung, và được lưu trữ tách biệt với thông tin bổ sung đó. Việc sử dụng này được thực hiện mà không cần sự đồng ý riêng của chủ thể dữ liệu, theo đúng quy định pháp luật, và thời hạn xử lý thông tin giả danh theo quy định tại Điều 5.

(3) Đồng ý riêng khi sử dụng ở dạng có thể định danh

Nếu Công ty muốn sử dụng dữ liệu ở dạng nguyên bản có thể định danh để huấn luyện, Công ty sẽ xin sự đồng ý riêng của Người dùng trước.

(4) Yêu cầu từ chối

Người dùng có thể yêu cầu từ chối việc sử dụng thông tin cá nhân cho mục đích huấn luyện bất cứ lúc nào bằng cách liên hệ privacy@geniein.com. Trong khoảng thời gian hợp lý sau khi nhận yêu cầu, Công ty sẽ loại thông tin cá nhân của Người dùng khỏi các tập dữ liệu huấn luyện trong tương lai. Tuy nhiên, việc tách hoặc gỡ bỏ dữ liệu đã giả danh hóa/ẩn danh hóa khỏi các mô hình đã được huấn luyện có thể không khả thi về mặt kỹ thuật.

(5) Cấm chia sẻ ra bên ngoài để tiền huấn luyện mô hình AI đa dụng

Công ty không chia sẻ thông tin cá nhân của Người dùng cho bên thứ ba nhằm mục đích tiền huấn luyện các mô hình AI đa dụng bên ngoài.

Công ty sẽ hủy thông tin cá nhân ngay khi mục đích thu thập và sử dụng đã hoàn thành. Tuy nhiên, các thông tin sau được lưu giữ trong thời hạn quy định.

1. Thông tin Thành viên

Được hủy trong vòng 30 ngày kể từ khi Thành viên hủy tư cách hoặc khi mục đích đã hoàn thành. Tuy nhiên, hệ thống sao lưu có thể lưu giữ thông tin tối đa 90 ngày.

2. Lưu giữ theo pháp luật hiện hành

3. Lưu giữ theo chính sách nội bộ

Để vận hành Dịch vụ ổn định, ngăn chặn lạm dụng và xử lý sự cố bảo mật, Công ty có thể lưu giữ các thông tin sau trong một khoảng thời gian nhất định theo chính sách nội bộ.

• Hồ sơ ngăn chặn sử dụng gian lận và lạm dụng: 1 năm
• Nhật ký liên quan đến điều tra và xử lý sự cố bảo mật: 1 năm
• Nhật ký vận hành dịch vụ và nhật ký lỗi: tối đa 90 ngày
• Nhật ký truy cập hệ thống xử lý thông tin cá nhân: từ 1 năm trở lên
• Nhật ký đăng nhập (IP truy cập, thông tin thiết bị): 1 tháng

Nếu pháp luật hiện hành yêu cầu lưu giữ riêng, thông tin sẽ được lưu giữ trong thời hạn mà pháp luật quy định.

4. Dữ liệu đã giả danh hóa và ẩn danh hóa

Thông tin giả danh được lưu trữ tách biệt với thông tin bổ sung, được xử lý trong 5 năm kể từ ngày giả danh hóa và sau đó bị hủy (Điều 28-4 khoản 2 PIPA). Thông tin ẩn danh đã loại bỏ hoàn toàn khả năng định danh không được xem là thông tin cá nhân, do đó không đặt ra thời hạn lưu giữ.

Biện pháp bảo vệ đối với thông tin giả danh

Khi Công ty xử lý thông tin cá nhân đã giả danh hóa cho mục đích phân tích thống kê, nghiên cứu khoa học hoặc lưu trữ hồ sơ vì lợi ích công cộng, các biện pháp bảo vệ sau sẽ được triển khai theo PIPA và Điều 29-5 Nghị định thi hành:

• Lưu trữ tách biệt thông tin giả danh và thông tin bổ sung (như mã định danh gốc và bảng ánh xạ)
• Tách riêng quyền truy cập vào thông tin giả danh và thông tin bổ sung, cấp quyền ở mức tối thiểu
• Hủy thông tin bổ sung ngay khi không còn cần thiết
• Ghi nhận và quản lý chi tiết quá trình xử lý, bao gồm mục đích giả danh hóa, các mục đã giả danh hóa, lịch sử sử dụng và bên nhận khi cung cấp cho bên thứ ba
• Ghi nhận và lưu giữ việc cấp, thay đổi, thu hồi quyền truy cập đối với thông tin giả danh và thông tin bổ sung
• Cấm mọi nỗ lực tái định danh và ràng buộc nghĩa vụ bảo mật với nhân viên liên quan
• Lập tức ngừng xử lý, khôi phục hoặc hủy dữ liệu nếu phát hiện khả năng xác định được một cá nhân cụ thể

Công ty chỉ xử lý thông tin cá nhân của chủ thể dữ liệu trong phạm vi nêu tại Điều 4 và không xử lý vượt quá mục đích ban đầu hay cung cấp cho bên thứ ba nếu chưa có sự đồng ý trước của chủ thể dữ liệu, trừ các trường hợp sau:

• Khi chủ thể dữ liệu đã đồng ý trước
• Khi có quy định đặc biệt trong pháp luật hiện hành hoặc khi bắt buộc phải làm vậy để tuân thủ nghĩa vụ pháp lý
• Khi cơ quan điều tra yêu cầu theo đúng trình tự và cách thức pháp luật quy định
• Khi được cung cấp dưới dạng giả danh hóa cho mục đích phân tích thống kê, nghiên cứu khoa học hoặc lưu trữ hồ sơ vì lợi ích công cộng (Điều 28-2 PIPA)

Hiện tại không có hoạt động cung cấp thường xuyên cho bên thứ ba. Nếu trong tương lai cần cung cấp cho bên thứ ba, Công ty sẽ xin sự đồng ý riêng của chủ thể dữ liệu.

Công ty ủy thác các công việc xử lý thông tin cá nhân như nêu dưới đây để cung cấp Dịch vụ một cách trơn tru. Theo Điều 26 PIPA, Công ty quy định rõ các nội dung bảo vệ thông tin cá nhân trong hợp đồng ủy thác và giám sát bên nhận ủy thác để đảm bảo quản lý an toàn.

Nếu công việc được ủy thác hoặc bên nhận ủy thác thay đổi, Công ty sẽ thông báo thông qua Chính sách này.

* Nếu trong tương lai Công ty triển khai dịch vụ gửi email, kênh hỗ trợ khách hàng, công cụ phân tích hoặc các dịch vụ tương tự, Công ty sẽ sửa đổi điều khoản này và thông báo cho Người dùng trước khi sử dụng.

Để cung cấp Dịch vụ ổn định, Công ty ủy thác một số thông tin cá nhân cho các nhà cung cấp đám mây và AI ở nước ngoài. Theo Điều 28-8 PIPA, Công ty công bố như sau:

Thông tin liên hệ của cán bộ bảo vệ dữ liệu tại mỗi bên nhận có trên trang chính sách bảo mật của nhà cung cấp tương ứng.

Phản đối việc chuyển dữ liệu: Người dùng có thể phản đối việc chuyển dữ liệu ra nước ngoài, khi đó việc sử dụng các tính năng liên quan có thể bị hạn chế. Vui lòng gửi phản đối tới support@geniein.com.

Chủ thể dữ liệu có thể thực hiện các quyền sau đối với Công ty bất cứ lúc nào:

• Yêu cầu truy cập thông tin cá nhân;
• Yêu cầu chỉnh sửa thông tin sai sót;
• Yêu cầu xóa (trừ trường hợp thông tin cá nhân được pháp luật khác quy định là phải thu thập);
• Yêu cầu tạm ngừng xử lý;
• Rút lại sự đồng ý (khi đó việc sử dụng một phần hoặc toàn bộ Dịch vụ có thể bị hạn chế);
• Quyền chuyển dữ liệu (trong phạm vi pháp luật hiện hành quy định);
• Từ chối việc dùng thông tin cá nhân để huấn luyện AI (việc sử dụng Nội dung được điều chỉnh theo Điều khoản).

Cách thực hiện

• Gửi yêu cầu bằng văn bản qua email tới support@geniein.com.

Thời gian xử lý

Công ty sẽ xử lý yêu cầu trong vòng 10 ngày kể từ khi nhận và thông báo lý do nếu từ chối. Yêu cầu có thể bị từ chối khi có nghĩa vụ lưu giữ theo pháp luật, có nguy cơ xâm phạm quyền của người khác, hoặc là yêu cầu lặp lại rõ ràng không chính đáng.

Công ty sẽ hủy thông tin cá nhân ngay khi không còn cần thiết, chẳng hạn khi hết thời hạn lưu giữ hoặc khi mục đích xử lý đã hoàn thành.

Quy trình hủy: phát sinh căn cứ hủy → được Cán bộ phụ trách bảo mật phê duyệt → hủy bằng biện pháp an toàn.

Phương pháp hủy

• Tệp điện tử: xử lý an toàn theo cách không thể khôi phục hay tái tạo (xóa vĩnh viễn, khử từ, v.v.)
• Tài liệu giấy: hủy bằng máy cắt hoặc thiêu hủy

Thông tin được lưu giữ theo pháp luật hiện hành sẽ được hủy theo cùng quy trình khi hết thời hạn lưu giữ.

Công ty triển khai các biện pháp bảo mật sau theo Điều 29 PIPA và Nghị định thi hành:

1. Biện pháp quản lý

• Xây dựng và triển khai kế hoạch quản lý nội bộ về bảo vệ thông tin cá nhân
• Hạn chế tối đa số nhân sự xử lý thông tin cá nhân và định kỳ rà soát quyền truy cập
• Đào tạo định kỳ cho nhân viên về bảo vệ thông tin cá nhân
• Ký kết thỏa thuận bảo mật

2. Biện pháp kỹ thuật

• Mã hóa khi truyền (TLS), mã hóa một chiều mật khẩu và mã hóa thông tin xác thực bao gồm dữ liệu thanh toán
• Vận hành hệ thống kiểm soát truy cập và chặn truy cập trái phép
• Xác thực đa yếu tố (MFA) cho quản trị viên
• Cài đặt/cập nhật chương trình bảo mật và đánh giá lỗ hổng định kỳ
• Lưu giữ và rà soát nhật ký truy cập (vượt thời hạn pháp luật yêu cầu)

3. Biện pháp vật lý

Công ty sử dụng các trung tâm dữ liệu do các nhà cung cấp hạ tầng đám mây đạt chứng nhận bảo mật quốc tế như SOC 2 và ISO/IEC 27001 vận hành. Các biện pháp bảo mật vật lý của những trung tâm dữ liệu này (kiểm soát ra vào, CCTV, bảo vệ môi trường, v.v.) được quản lý theo chính sách bảo mật và phạm vi chứng nhận của nhà cung cấp hạ tầng đám mây.

4. Xử lý sự cố

Sự cố bảo mật được xử lý theo quy trình ứng phó sự cố nội bộ của Công ty. Khi phát sinh nghĩa vụ thông báo hoặc báo cáo theo pháp luật, Công ty sẽ thông báo và báo cáo ngay cho chủ thể dữ liệu cũng như Ủy ban Bảo vệ thông tin cá nhân, Cơ quan An ninh và Internet Hàn Quốc (KISA) và các cơ quan có thẩm quyền khác.

Công ty sử dụng cookie để vận hành Dịch vụ.

1. Mục đích sử dụng cookie

• Duy trì phiên đăng nhập và xác minh bảo mật
• Lưu tùy chọn của Người dùng

2. Các loại cookie

• Cookie thiết yếu: cần thiết để vận hành Dịch vụ như đăng nhập và bảo mật. Từ chối có thể khiến việc sử dụng Dịch vụ bị hạn chế
• Cookie chức năng: lưu các tùy chọn của Người dùng
• Cookie liên kết: duy trì liên kết với Google Drive, chỉ được đặt khi bạn kết nối (tối đa 90 ngày)

* Hiện tại Công ty không vận hành công cụ phân tích hay pixel quảng cáo/tiếp thị. Nếu trong tương lai có triển khai cookie phân tích hoặc tiếp thị, điều khoản này sẽ được sửa đổi và vận hành kèm quy trình đồng ý riêng.

3. Cách từ chối cookie

• Chặn hoặc xóa cookie trực tiếp qua thiết lập trình duyệt web
• Tuy nhiên, việc chặn cookie thiết yếu có thể khiến bạn không dùng được một phần Dịch vụ

Công ty chỉ định Cán bộ phụ trách bảo mật sau đây để giám sát việc xử lý thông tin cá nhân và giải quyết khiếu nại, yêu cầu khắc phục của chủ thể dữ liệu liên quan đến việc xử lý thông tin cá nhân.

Cán bộ phụ trách bảo mật

• Họ tên: Byun Beom Joon
• Chức vụ: Giám đốc điều hành
• Email: support@geniein.com

Chủ thể dữ liệu có thể liên hệ theo thông tin trên với mọi thắc mắc, khiếu nại hoặc yêu cầu khắc phục về bảo vệ thông tin cá nhân phát sinh trong quá trình sử dụng Dịch vụ. Công ty sẽ phản hồi và xử lý ngay.

Chủ thể dữ liệu có thể yêu cầu giải quyết tranh chấp hoặc tư vấn tại các cơ quan sau để được khắc phục khi thông tin cá nhân bị xâm phạm:

• Ủy ban Hòa giải tranh chấp thông tin cá nhân: (không cần mã vùng) 1833-6972 / www.kopico.go.kr
• Trung tâm Tiếp nhận báo cáo xâm phạm thông tin cá nhân (KISA): (không cần mã vùng) 118 / privacy.kisa.or.kr
• Phòng Điều tra không gian mạng, Viện Kiểm sát tối cao: (không cần mã vùng) 1301 / www.spo.go.kr
• Cục Điều tra không gian mạng, Tổng cục Cảnh sát quốc gia: (không cần mã vùng) 182 / ecrm.cyber.go.kr

Chính sách này được áp dụng cùng với Điều khoản dịch vụ GNOM do Công ty đăng tải riêng. Các thuật ngữ không được định nghĩa trong Chính sách này sẽ tuân theo định nghĩa trong Điều khoản. Trong trường hợp có mâu thuẫn giữa Chính sách này và Điều khoản, Chính sách này sẽ được ưu tiên áp dụng đối với các vấn đề về bảo vệ thông tin cá nhân.

Chính sách này được áp dụng kể từ ngày có hiệu lực. Nếu có bổ sung, lược bỏ hoặc chỉnh sửa do thay đổi về pháp luật, chính sách hay công nghệ bảo mật, Công ty sẽ thông báo cho Người dùng qua thông báo trong Dịch vụ hoặc qua email ít nhất 7 ngày trước ngày hiệu lực (30 ngày trước, nếu thay đổi bất lợi cho Người dùng).