Bảo mật tại UCTalent

1. Tổng quan

Trang này tóm tắt cách Công ty TNHH UCTalent Labs ("UCTalent", "chúng tôi") bảo vệ dữ liệu được xử lý trên uctalent.io, business.uctalent.io và các ứng dụng của chúng tôi. Chúng tôi vận hành hệ thống quản lý an toàn thông tin theo ISO/IEC 27001. Trang này bổ sung cho mục 11 của Chính sách quyền riêng tư.

2. Bảo vệ dữ liệu

• Mã hoá khi truyền: mọi kết nối tới Dịch vụ đều dùng TLS.
• Mã hoá các trường nhạy cảm: dữ liệu tài chính và định danh, như tài khoản ngân hàng và số CCCD dùng để chi trả thưởng giới thiệu, được mã hoá ở tầng ứng dụng bằng AES-256-GCM.
• Thanh toán thẻ được xử lý trên trang của đối tác thanh toán. Chúng tôi chỉ lưu token và 4 số cuối, không bao giờ lưu số thẻ đầy đủ.
• Trước khi gửi CV tới mô hình AI, chúng tôi loại bỏ các thông tin định danh trực tiếp như tên, email, số điện thoại, địa chỉ, ảnh và số giấy tờ. Dữ liệu của bạn không được dùng để huấn luyện mô hình AI.

3. Kiểm soát truy cập

• Đăng nhập không cần mật khẩu: bạn đăng nhập bằng Google hoặc nhà cung cấp được hỗ trợ khác, hoặc bằng mã một lần gửi tới email. Mã hết hạn sau 10 phút và số lần đăng nhập bị giới hạn.
• Cách ly workspace: dữ liệu của mỗi workspace Referral ATS được tách riêng khỏi các workspace khác.
• Phân quyền theo vai trò trong workspace. Ví dụ, người phỏng vấn chỉ thấy ứng viên được giao cho mình.
• Quyền truy cập của nhân sự theo nguyên tắc tối thiểu, được rà soát định kỳ, và mọi nhân sự đều cam kết bảo mật.
• Máy chủ production chỉ truy cập được qua mạng riêng, xác thực bằng khoá.

4. Vận hành

• Các sự kiện truy cập và bảo mật được ghi log. Log bảo mật được lưu 12 tháng.
• Dữ liệu được sao lưu định kỳ. Bản sao lưu được giữ tối đa 90 ngày.
• Thay đổi mã nguồn được review trước khi phát hành, và thư viện phụ thuộc được cập nhật qua các yêu cầu cập nhật tự động.
• Lỗi bảo mật được khắc phục theo mức độ: nghiêm trọng (critical) trong 7 ngày, mức cao (high) trong 30 ngày.
• Nền tảng được đơn vị độc lập kiểm thử xâm nhập (pentest) ít nhất mỗi năm một lần.

5. Ứng phó sự cố

Chúng tôi có quy trình ứng phó sự cố bằng văn bản. Khi xảy ra vi phạm dữ liệu cá nhân, chúng tôi ngăn chặn và khắc phục, thông báo cho cơ quan có thẩm quyền trong thời hạn pháp luật quy định, và thông báo cho người bị ảnh hưởng cũng như công ty khách hàng như mô tả ở mục 16 của Chính sách quyền riêng tư.

6. Nhà cung cấp dịch vụ

Danh sách nhà cung cấp xử lý dữ liệu cho chúng tôi có tại trang Bên xử lý phụ. Khách hàng Referral ATS có thể xem Thoả thuận xử lý dữ liệu.

7. Báo sự cố bảo mật

Nếu bạn phát hiện lỗ hổng hoặc sự cố bảo mật, hãy báo ngay cho chúng tôi. Xem cách báo sự cố bảo mật.