Chính sách Bảo mật Lummitry

Công ty thu thập thông tin cá nhân tối thiểu cần thiết để cung cấp Dịch vụ, với mục đích thu thập, hạng mục và thời hạn lưu giữ khác nhau tùy theo từng dịch vụ cụ thể.

Lưu ý về xử lý thông tin cá nhân
• Công ty không cung cấp dịch vụ cho trẻ em dưới 7 tuổi và không cố ý thu thập thông tin cá nhân của trẻ em dưới 7 tuổi. Đối với trẻ em từ 7 đến dưới 16 tuổi, việc thu thập và xử lý thông tin cá nhân yêu cầu sự đồng ý của cha, mẹ hoặc người giám hộ theo quy định tại Điều 20 Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15).
• Khi mục đích và hạng mục thu thập thông tin thành viên thay đổi, Công ty sẽ xin đồng ý trước theo quy định pháp luật.
• Công ty thu thập thông tin cá nhân bằng các phương thức sau và xin đồng ý trước khi thu thập:
  - Người dùng trực tiếp nhập thông tin cá nhân trong quá trình sử dụng dịch vụ;
  - Thu thập thông tin cá nhân bằng văn bản tại các sự kiện ngoại tuyến;
  - Tự động tạo và thu thập hồ sơ truy cập, hồ sơ sử dụng, v.v. trong quá trình sử dụng dịch vụ.
• Dữ liệu khuôn mặt được phân loại là dữ liệu cá nhân nhạy cảm theo Điều 2, khoản 4 của Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15). Công ty chỉ xử lý dữ liệu này khi có sự đồng ý rõ ràng, riêng biệt của chủ thể dữ liệu theo Điều 11 của Luật.

Công ty thu thập nhiều ảnh khuôn mặt do người dùng chụp và cung cấp thông qua ứng dụng "Lummitry" nhằm mục đích tái tạo khuôn mặt 3D bằng công nghệ tự phát triển của Công ty. Từ các ảnh này, "dữ liệu khuôn mặt" được xử lý. Dữ liệu khuôn mặt bao gồm ảnh gốc, các đặc điểm khuôn mặt trích xuất (điểm mốc, đường viền, thông tin kết cấu, v.v.) và mô hình khuôn mặt 3D được tạo bằng thuật toán.

Mục đích thu thập và sử dụng dữ liệu khuôn mặt: Dữ liệu khuôn mặt chỉ được thu thập và sử dụng cho các mục đích sau:
• Tạo mô hình khuôn mặt 3D của người dùng. Mô hình 3D là chức năng cốt lõi của ứng dụng "Lummitry", cho phép người dùng trực quan hóa sự khác biệt trước và sau thẩm mỹ trên biểu diễn 3D của mình. Việc lưu trữ dữ liệu là cần thiết để cung cấp chức năng liên tục này cho người dùng.
• Lưu trữ trong hồ sơ người dùng và sử dụng trong ứng dụng trong suốt thời gian tài khoản hoạt động để cung cấp các chức năng nêu trên.
• Cải thiện dịch vụ tùy chọn: Dữ liệu ẩn danh và tổng hợp từ quá trình tái tạo 3D (ví dụ: chỉ số thành công tái tạo, thuộc tính hình học chung không chứa thông tin nhận dạng cá nhân) có thể được sử dụng để cải thiện hiệu suất và độ chính xác của công nghệ tái tạo 3D. Ảnh gốc và mô hình khuôn mặt 3D có thể nhận dạng sẽ không được sử dụng cho mục đích này.

Chia sẻ dữ liệu khuôn mặt: Ảnh gốc và mô hình khuôn mặt 3D đã tạo không được chia sẻ, bán hoặc cho thuê cho bên thứ ba sử dụng độc lập. Tất cả quá trình xử lý được thực hiện bằng công nghệ tự phát triển của Công ty. Dữ liệu được lưu trữ trên Amazon Web Services (AWS) như mô tả tại Điều 4 và Điều 5. AWS chỉ được sử dụng với mục đích cung cấp cơ sở hạ tầng lưu trữ và hosting an toàn.

Lưu trữ dữ liệu khuôn mặt: Ảnh gốc và mô hình khuôn mặt 3D đã tạo được lưu trữ an toàn trên máy chủ Amazon Web Services (AWS) với các biện pháp bảo vệ kỹ thuật và quản lý. Chi tiết về vị trí máy chủ nước ngoài được mô tả tại Điều 5.

Lưu giữ và xóa dữ liệu khuôn mặt: Ảnh được cung cấp cho tái tạo 3D và mô hình khuôn mặt 3D kết quả chỉ được lưu giữ trong khi tài khoản người dùng còn hoạt động. Điều này là cần thiết để cung cấp chức năng mô hình 3D cốt lõi của ứng dụng cho người dùng trong thời gian đó. Dữ liệu này sẽ bị xóa khỏi hệ thống hoạt động của Công ty khi người dùng rút khỏi dịch vụ (xóa tài khoản).

Trong quá trình sử dụng Dịch vụ, các thông tin sau có thể được tự động tạo/thu thập và sử dụng cho các mục đích sau:

Thông tin tự động thu thập và phương thức từ chối
Hạng mục thu thập: Hồ sơ truy cập, thông tin IP truy cập, hồ sơ sử dụng dịch vụ, loại thiết bị di động, tên model, phiên bản hệ điều hành, khu vực cư trú, tất cả hoạt động trong ứng dụng, trạng thái kết nối, loại mạng, cookie (cookie là thông tin nhỏ mà máy chủ HTTP gửi đến trình duyệt của người dùng và có thể được lưu trữ trên ổ cứng máy tính của người dùng).

Cách cài đặt, vận hành và từ chối cookie: Bạn có thể từ chối lưu cookie bằng các phương thức sau:
[Di động]
• iPhone: Ứng dụng Safari > Xóa lịch sử và dữ liệu trang web > Xác nhận
• Chrome: Ứng dụng Chrome > Thêm (góc trên bên phải) > Lịch sử > Xóa dữ liệu duyệt web > Chọn khoảng thời gian > Đánh dấu "Cookie và dữ liệu trang web" và "Hình ảnh và tệp được lưu trong bộ nhớ đệm" > Xóa dữ liệu duyệt web

Công ty xử lý thông tin cá nhân đã thu thập trong thời hạn lưu giữ và sử dụng đã được đồng ý khi thu thập hoặc theo quy định pháp luật. Khi mục đích đã đạt được và thời hạn lưu giữ đã hết, thông tin cá nhân sẽ được hủy ngay bằng phương thức không thể khôi phục hoặc tái tạo. Việc xử lý cụ thể dữ liệu khuôn mặt (bao gồm ảnh tái tạo 3D và mô hình 3D) được mô tả chi tiết tại Điều 1-1.

Thông tin thành viên
• Khi người dùng rút khỏi tư cách thành viên (xóa tài khoản), thông tin cá nhân bao gồm tất cả ảnh tái tạo 3D và mô hình khuôn mặt 3D kết quả như mô tả tại Điều 1-1 sẽ bị xóa khỏi hệ thống hoạt động.
• Sau khi rút khỏi tư cách thành viên, nhằm ngăn chặn sử dụng không chính đáng, một số dữ liệu giao dịch hoặc sử dụng dịch vụ đã ẩn danh hóa (không bao gồm dữ liệu khuôn mặt - ảnh và mô hình 3D) có thể được lưu giữ ở trạng thái không thể nhận dạng trong 1 năm. Trong thời gian này, có thể không thể đăng ký lại bằng cùng ID.
• Thông tin liên quan đến tài khoản bị đình chỉ vĩnh viễn do vi phạm điều khoản sử dụng sẽ không bị xóa theo chính sách sử dụng dịch vụ.
• Tài khoản không sử dụng dịch vụ trong 1 năm sẽ được chuyển sang trạng thái ngủ đông. Thông tin cá nhân (bao gồm dữ liệu khuôn mặt nếu có) sẽ được tách riêng khỏi cơ sở dữ liệu thành viên hoạt động và lưu giữ an toàn cho đến khi tài khoản được kích hoạt lại hoặc xóa.
• Ngay cả khi rút khỏi tư cách thành viên, trong trường hợp pháp luật yêu cầu lưu giữ thông tin cá nhân, Công ty sẽ tuân thủ theo quy định của luật tương ứng.

[Thông báo]
Công ty thông báo cho người dùng ít nhất 30 ngày trước khi hết thời hạn các nội dung sau:
• Việc thông tin cá nhân sẽ bị hủy hoặc được tách riêng để lưu trữ, quản lý;
• Ngày hết hạn;
• Các hạng mục thông tin cá nhân liên quan;
• Phương thức thông báo: email, văn bản, điện thoại hoặc phương thức tương tự.

Thời hạn lưu giữ bắt buộc theo pháp luật
a. Hồ sơ về quảng cáo, tiếp thị: 6 tháng; Căn cứ: Luật Bảo vệ quyền lợi người tiêu dùng
b. Hồ sơ về hợp đồng hoặc hủy bỏ giao dịch: 5 năm; Căn cứ: Luật Bảo vệ quyền lợi người tiêu dùng
c. Hồ sơ về thanh toán và cung cấp hàng hóa/dịch vụ: 5 năm; Căn cứ: Luật Bảo vệ quyền lợi người tiêu dùng
d. Hồ sơ về khiếu nại hoặc tranh chấp của người tiêu dùng: 3 năm; Căn cứ: Luật Bảo vệ quyền lợi người tiêu dùng
e. Hồ sơ truy cập: 3 tháng; Căn cứ: Luật An ninh mạng (Luật số 24/2018/QH14)

Công ty ủy thác một phần công việc xử lý thông tin cá nhân để đảm bảo hoạt động suôn sẻ. Khi giao kết hợp đồng ủy thác, Công ty giám sát bên nhận ủy thác xử lý thông tin cá nhân an toàn theo quy định pháp luật. Khi có thêm hoặc thay đổi về nội dung ủy thác hoặc bên nhận ủy thác, Công ty sẽ thông báo kịp thời theo quy định pháp luật hoặc công khai thông qua Chính sách Bảo mật này.

Danh sách ủy thác xử lý thông tin cá nhân
Bên nhận ủy thác: Google Play Store
Nội dung ủy thác: Xử lý thanh toán trong ứng dụng
Liên hệ: 080-234-0051

Bên nhận ủy thác: Apple App Store
Nội dung ủy thác: Xử lý thanh toán trong ứng dụng
Liên hệ: apple.com/legal/privacy/contact

Bên nhận ủy thác: Amazon Web Services (AWS)
Nội dung ủy thác: Vận hành hệ thống và lưu trữ dữ liệu an toàn (bao gồm ảnh do người dùng cung cấp và mô hình khuôn mặt 3D đã tạo)
Liên hệ: support@keensight.kr

Công ty sử dụng Amazon Web Services (AWS), nhà cung cấp cơ sở hạ tầng đám mây toàn cầu, để cung cấp Dịch vụ, đặc biệt là lưu trữ dữ liệu người dùng (bao gồm ảnh, mô hình khuôn mặt 3D và thông tin cá nhân khác như nêu tại Điều 1). Hiện tại, máy chủ AWS mà Công ty sử dụng đặt tại Nhật Bản. Tuy nhiên, vì lý do vận hành như tối ưu hóa dịch vụ, giảm độ trễ hoặc phục hồi sau thảm họa, Công ty có thể sử dụng máy chủ AWS tại các khu vực khác hoặc chuyển dữ liệu giữa các khu vực AWS trong tương lai. Các khu vực này có thể nằm ngoài quốc gia cư trú của người dùng (bao gồm Việt Nam), bao gồm nhưng không giới hạn ở các quốc gia tại Châu Á, Bắc Mỹ, Châu Âu, v.v.

Amazon Web Services, với tư cách là bên xử lý dữ liệu, lưu trữ dữ liệu theo chỉ thị của Công ty trong khuôn khổ cung cấp cơ sở hạ tầng hosting và không sử dụng thông tin cá nhân này cho mục đích riêng. AWS chỉ lưu giữ dữ liệu trong thời gian theo chỉ thị của Công ty (đối với dữ liệu người dùng hoạt động, tương ứng với thời gian tài khoản hoạt động; dữ liệu được xóa khi rút khỏi tài khoản theo Điều 1-1 và Điều 3).

Theo quy định tại Điều 26 Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15) và Nghị định 53/2022/NĐ-CP, Công ty đảm bảo rằng việc chuyển dữ liệu ra nước ngoài được thực hiện tuân thủ pháp luật bảo vệ dữ liệu liên quan và có các biện pháp bảo vệ phù hợp cho thông tin cá nhân. Amazon Web Services duy trì các chứng nhận bảo mật và thực tiễn bảo vệ dữ liệu mạnh mẽ áp dụng cho dữ liệu được lưu trữ trên cơ sở hạ tầng của mình. Bằng việc sử dụng Dịch vụ, người dùng đồng ý rằng thông tin cá nhân của mình có thể được chuyển đến máy chủ AWS ngoài Việt Nam theo các điều kiện này.

Công ty nỗ lực quản lý an toàn thông tin cá nhân của người dùng, ngăn ngừa mất mát, đánh cắp, rò rỉ, sửa đổi hoặc hư hỏng, và thực hiện các biện pháp kỹ thuật, quản lý và vật lý cần thiết.

• Mã hóa thông tin cá nhân: Thông tin cá nhân của người dùng (bao gồm dữ liệu nhạy cảm như ảnh và mô hình khuôn mặt 3D) được mã hóa trong quá trình truyền tải và lưu trữ.
• Hạn chế quyền truy cập: Công ty thực hiện kiểm soát truy cập dựa trên vai trò và trách nhiệm đối với hệ thống xử lý thông tin cá nhân, bao gồm cấp, thay đổi và thu hồi quyền truy cập.
• Xây dựng và thực hiện kế hoạch quản lý nội bộ: Công ty xây dựng và thực hiện kế hoạch quản lý nội bộ để xử lý thông tin cá nhân an toàn.
• Lưu giữ và bảo vệ hồ sơ truy cập: Công ty lưu giữ và quản lý hồ sơ truy cập vào hệ thống xử lý thông tin cá nhân (nhật ký web, thông tin tóm tắt, v.v.) tối thiểu 1 năm để dễ dàng ứng phó khi xảy ra sự cố xâm phạm thông tin cá nhân, và sử dụng các tính năng bảo mật để ngăn ngừa giả mạo, đánh cắp hoặc mất mát hồ sơ truy cập.
• Biện pháp kỹ thuật chống tấn công: Công ty cài đặt chương trình bảo mật và thực hiện cập nhật, kiểm tra định kỳ để ngăn ngừa rò rỉ và hư hỏng thông tin cá nhân do tấn công mạng hoặc virus. Hệ thống được đặt trong khu vực hạn chế truy cập từ bên ngoài và được giám sát, chặn về mặt kỹ thuật/vật lý.
• Kiểm soát truy cập thông tin cá nhân: Công ty thực hiện các biện pháp kiểm soát truy cập đối với hệ thống xử lý thông tin cá nhân thông qua cấp, thay đổi và thu hồi quyền truy cập.

Người dùng có các quyền sau đối với thông tin cá nhân của mình theo quy định tại Điều 9 Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15), và có thể thực hiện quyền như sau:

Quyền và phương thức thực hiện quyền của người dùng
• Quyền được biết: Người dùng có quyền được biết về việc xử lý dữ liệu cá nhân của mình.
• Quyền đồng ý: Người dùng có quyền đồng ý hoặc không đồng ý với việc xử lý dữ liệu cá nhân.
• Quyền truy cập: Người dùng có quyền truy cập, xem và sao chép dữ liệu cá nhân của mình. Thực hiện qua: Hồ sơ > Chỉnh sửa hồ sơ.
• Quyền chỉnh sửa: Người dùng có quyền yêu cầu chỉnh sửa dữ liệu cá nhân không chính xác. Thực hiện qua: Hồ sơ > Chỉnh sửa hồ sơ.
• Quyền xóa: Người dùng có quyền yêu cầu xóa dữ liệu cá nhân. Thực hiện qua: Hồ sơ > Cài đặt > Rút khỏi dịch vụ. Khi rút khỏi, thông tin cá nhân bao gồm dữ liệu khuôn mặt nêu tại Điều 1-1 sẽ bị xóa theo điều kiện tại Điều 1-1 và Điều 3.
• Quyền hạn chế xử lý: Người dùng có quyền yêu cầu hạn chế xử lý dữ liệu cá nhân bằng văn bản, email, v.v. gửi đến người chịu trách nhiệm bảo vệ dữ liệu cá nhân.
• Quyền rút lại sự đồng ý: Người dùng có quyền rút lại sự đồng ý đã cho trước đó đối với việc xử lý dữ liệu cá nhân.
• Quyền khiếu nại: Người dùng có quyền khiếu nại, tố cáo hoặc khởi kiện theo quy định pháp luật khi quyền bảo vệ dữ liệu cá nhân bị vi phạm.

• Khi có yêu cầu chỉnh sửa lỗi thông tin cá nhân hoặc yêu cầu rút khỏi tư cách thành viên, Công ty sẽ không sử dụng hoặc cung cấp thông tin cá nhân cho đến khi hoàn tất chỉnh sửa hoặc xóa.
• Yêu cầu chỉnh sửa và xóa thông tin cá nhân không thể thực hiện khi pháp luật quy định thông tin đó phải được thu thập trong thời hạn nhất định.
• Công ty xác minh danh tính người yêu cầu khi nhận được yêu cầu xem, chỉnh sửa/xóa hoặc hạn chế xử lý thông tin cá nhân.
• Như mô tả tại Điều 1-1, hiện tại Công ty không cung cấp cơ chế cho phép người dùng xóa riêng dữ liệu khuôn mặt cụ thể (ảnh và mô hình 3D) trong khi vẫn duy trì tài khoản hoạt động. Việc xóa dữ liệu khuôn mặt gắn liền với việc xóa toàn bộ tài khoản khi rút khỏi tư cách thành viên.

Công ty chỉ định người chịu trách nhiệm bảo vệ dữ liệu cá nhân để chịu trách nhiệm tổng thể về xử lý thông tin cá nhân và xử lý khiếu nại, khắc phục thiệt hại liên quan đến xử lý thông tin cá nhân của người dùng.

Người chịu trách nhiệm bảo vệ dữ liệu cá nhân
Họ tên: Cho Hyun-su
Chức vụ: CEO
Liên hệ: support@keensight.kr
Vai trò: Chịu trách nhiệm tổng thể về xử lý thông tin cá nhân, xử lý yêu cầu, khiếu nại và khắc phục thiệt hại liên quan

Người dùng có thể liên hệ với người chịu trách nhiệm bảo vệ dữ liệu cá nhân về mọi vấn đề liên quan đến bảo vệ thông tin cá nhân phát sinh trong quá trình sử dụng Dịch vụ. Công ty sẽ phản hồi và xử lý yêu cầu của người dùng kịp thời.

Cơ quan hỗ trợ khi quyền lợi bị xâm phạm
Theo pháp luật Việt Nam, người dùng có thể liên hệ các cơ quan sau:
• Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao - Bộ Công an
• Cục An toàn thông tin - Bộ Thông tin và Truyền thông
• Hội Bảo vệ quyền lợi người tiêu dùng Việt Nam
• Tòa án nhân dân có thẩm quyền

Chính sách Bảo mật này có hiệu lực từ ngày hiệu lực ghi bên dưới. Khi có bổ sung, xóa hoặc chỉnh sửa theo pháp luật và chính sách liên quan, Công ty sẽ thông báo kịp thời qua trang web hoặc thông báo trong ứng dụng.

Phiên bản Chính sách Bảo mật: 1.0 (Việt Nam)
Ngày hiệu lực: ngày 6 tháng 4 năm 2026