Tiếng Việt bên dưới. English version below — face data collection, use, sharing, retention and deletion are covered in Section 3, “Face data”.
Ứng dụng có thể xử lý thông tin tài khoản, thông tin khách hàng, hồ sơ giao dịch, dữ liệu tài sản, ảnh giấy tờ, ảnh chân dung và dữ liệu đọc từ QR, NFC hoặc OCR.
Một số dữ liệu có thể được lưu tạm trên thiết bị để phục vụ thao tác trong phiên làm việc, ví dụ ảnh chụp nhanh hoặc thông tin đăng nhập cục bộ.
Dữ liệu được sử dụng để xác thực người dùng, hỗ trợ tra cứu, đối chiếu, tạo mới hồ sơ khách hàng và phục vụ các nghiệp vụ được cấp phép.
Dữ liệu không được dùng cho mục đích quảng cáo, chia sẻ ra bên ngoài hoặc xử lý ngoài quy trình quản trị dữ liệu của đơn vị.
Ứng dụng chụp ảnh tĩnh khuôn mặt của khách hàng bằng camera trước. Việc này chỉ diễn ra trong màn hình “Nhận dạng khuôn mặt”, chỉ khi khách hàng có mặt trực tiếp tại văn phòng công chứng và đã tự tay bấm xác nhận đồng ý trên màn hình ứng dụng, và chỉ sau khi nhân viên đã chọn đúng hồ sơ khách hàng cần đối chiếu. Cụ thể ứng dụng thu thập: một ảnh tĩnh khuôn mặt dùng để đối chiếu; một số khung hình tĩnh của bước kiểm tra người thật (nhìn thẳng, nhìn trái, nhìn phải, nháy mắt); và kết quả sinh ra từ việc đối chiếu là điểm tương đồng cùng kết luận đạt hoặc không đạt.
Ứng dụng không tạo, không lưu và không truyền bất kỳ mẫu khuôn mặt (face template), dấu vân khuôn mặt (faceprint), hình học khuôn mặt (face geometry), chữ ký khuôn mặt (face signature) hay vector đặc trưng khuôn mặt (face embedding) nào, cũng như bất kỳ biểu diễn toán học nào khác của khuôn mặt. Ứng dụng chỉ chụp ảnh thông thường, cùng loại với ảnh do một ứng dụng máy ảnh tạo ra.
Ứng dụng có dùng khung Vision của Apple ngay trên thiết bị, chỉ nhằm nhận biết có khuôn mặt trong khung hình và căn khung cho đúng để nhân viên chụp được ảnh dùng được. Kết quả nhận biết này là tạm thời, chạy hoàn toàn trên thiết bị, không tạo ra định danh nào, không được lưu và không được truyền đi. Face ID (LocalAuthentication) chỉ được cung cấp như một tuỳ chọn mở khoá ứng dụng; theo tài liệu của Apple, ứng dụng không bao giờ nhận được dữ liệu sinh trắc học từ Face ID mà chỉ nhận kết quả thành công hoặc thất bại.
Ảnh khuôn mặt chỉ được dùng cho đúng một mục đích: đối chiếu người đang có mặt tại văn phòng công chứng với ảnh chân dung đã lưu trong hệ thống hồ sơ của chính văn phòng đó, và xác nhận đây là người thật chứ không phải ảnh chụp giơ trước camera. Xác minh danh tính người ký là yêu cầu bắt buộc theo pháp luật công chứng Việt Nam; tính năng này thay cho việc nhân viên đối chiếu ảnh bằng mắt thường. Kết quả đối chiếu được đính kèm hồ sơ công chứng tương ứng.
Dữ liệu khuôn mặt không được dùng cho quảng cáo, tiếp thị, lập hồ sơ hành vi, phân tích, theo dõi người dùng, đối chiếu với bất kỳ cơ sở dữ liệu nào của người khác, hay huấn luyện mô hình. Dữ liệu khuôn mặt không được dùng để tạo tài khoản, định danh hay hồ sơ nào khác ngoài hồ sơ công chứng đang thực hiện.
Dữ liệu khuôn mặt không được chia sẻ, bán, tiết lộ hay xử lý bởi bất kỳ bên thứ ba nào. Ứng dụng không tích hợp bất kỳ SDK bên thứ ba nào: không có công cụ phân tích, không có mạng quảng cáo, không có SDK đo lường hay quy kết, không có công cụ báo lỗi, không có dịch vụ AI hay nhận dạng khuôn mặt trên đám mây, không có đăng nhập mạng xã hội, không có cổng thanh toán.
Ảnh khuôn mặt chỉ được truyền qua kết nối HTTPS/TLS mã hoá tới máy chủ của chính văn phòng công chứng mà nhân viên đăng nhập đang làm việc — do chúng tôi, với tư cách nhà phát triển ứng dụng, vận hành và đặt tại Việt Nam. Việc đối chiếu khuôn mặt được thực hiện trên chính máy chủ đó. Không có dịch vụ bên ngoài nào tham gia vào bất kỳ bước nào của quá trình này.
Nếu trong tương lai dữ liệu khuôn mặt được chia sẻ với bất kỳ bên thứ ba nào, chúng tôi cam kết bên thứ ba đó phải bảo vệ dữ liệu khuôn mặt ở mức tương đương hoặc cao hơn mức nêu trong chính sách này, được ràng buộc bằng hợp đồng bằng văn bản, và chính sách này sẽ được cập nhật nêu rõ danh tính bên nhận cùng mục đích chia sẻ trước khi việc chia sẻ đó diễn ra.
Trên thiết bị: các khung hình chỉ tồn tại trong bộ nhớ tạm (RAM) của ứng dụng trong vài giây thực hiện thao tác đối chiếu. Chúng không được ghi vào hệ thống tệp của thiết bị, không lưu vào thư viện ảnh, không đưa vào bộ nhớ đệm, Keychain hay bất kỳ cơ sở dữ liệu nào, và vì không bao giờ được lưu nên cũng không nằm trong bất kỳ bản sao lưu nào. Chúng được giải phóng ngay khi thao tác đối chiếu kết thúc hoặc khi người dùng đóng màn hình. Sau đó không còn dữ liệu khuôn mặt nào trên thiết bị.
Trên máy chủ: ảnh được lưu trong hệ thống hồ sơ của chính văn phòng công chứng đó, gắn với đúng hồ sơ công chứng mà ảnh thuộc về, và chỉ nhân viên đã xác thực của chính văn phòng đó mới truy cập được, theo tài khoản và phân quyền do quản trị của văn phòng cấp.
Thời hạn lưu giữ: ảnh khuôn mặt được lưu như một phần của hồ sơ công chứng, theo đúng thời hạn lưu trữ hồ sơ công chứng do pháp luật Việt Nam quy định — tối thiểu 20 năm đối với hợp đồng, giao dịch về bất động sản và 10 năm đối với các hợp đồng, giao dịch khác. Hết thời hạn đó, ảnh được xoá vĩnh viễn cùng toàn bộ hồ sơ lưu trữ. Điểm tương đồng và kết quả đạt/không đạt được lưu cùng hồ sơ trong cùng thời hạn.
Việc chụp ảnh khuôn mặt chỉ bắt đầu sau khi khách hàng bấm đồng ý trên màn hình xác nhận, trong đó nêu rõ thông tin nào được thu thập, để làm gì, ai giữ, lưu bao lâu và quyền của khách hàng. Nếu khách hàng không đồng ý, thao tác không thực hiện được và văn phòng vẫn tiếp nhận hồ sơ theo cách nhập liệu thủ công thông thường.
Rút lại sự đồng ý: khách hàng có thể rút lại sự đồng ý bất kỳ lúc nào, bằng cách bấm từ chối trên màn hình xác nhận trước khi chụp; đóng màn hình đang chụp, khi đó ảnh trong bộ nhớ tạm bị huỷ ngay và không có gì được gửi đi; hoặc gửi yêu cầu rút lại sự đồng ý tới văn phòng công chứng đang giữ hồ sơ, hoặc gửi email tới vinbsgroup@gmail.com. Sau khi rút lại sự đồng ý, ứng dụng ngừng thu thập và ngừng sử dụng dữ liệu khuôn mặt của khách hàng đó.
Xoá dữ liệu khuôn mặt: khách hàng có thể yêu cầu xoá ảnh khuôn mặt của mình bất kỳ lúc nào, qua văn phòng công chứng đang giữ hồ sơ hoặc qua email vinbsgroup@gmail.com. Nhân viên văn phòng xoá ảnh khỏi hồ sơ tương ứng; yêu cầu được xử lý trong vòng 30 ngày, trừ phần bắt buộc phải lưu theo nghĩa vụ lưu trữ hồ sơ công chứng nêu tại mục 3.4. Người dùng ứng dụng có thể yêu cầu xoá tài khoản và toàn bộ dữ liệu liên quan ngay trong ứng dụng tại Tài khoản > Yêu cầu xoá tài khoản. Trên thiết bị không cần thao tác xoá nào vì không có dữ liệu khuôn mặt nào được lưu ở đó.
Ứng dụng có hai loại tài khoản. Tài khoản khách hàng do văn phòng công chứng cấp cho chính chủ thể dữ liệu: khi đăng nhập bằng tài khoản này, người dùng chỉ xem và xử lý dữ liệu của chính mình, không thấy thông tin của người khác. Tài khoản nhân viên dành cho người của văn phòng công chứng, dùng để tác nghiệp trên hồ sơ mà văn phòng đang tiếp nhận.
Khi nhân viên dùng ứng dụng để đọc chip thẻ căn cước, chụp ảnh khuôn mặt, chụp hoặc đọc chữ trên giấy tờ của khách hàng, khách hàng luôn có mặt trực tiếp tại văn phòng và tự tay bấm xác nhận đồng ý ngay trên màn hình ứng dụng trước khi thao tác bắt đầu. Màn hình xác nhận nêu rõ thông tin nào được thu thập, để làm gì, ai giữ, lưu bao lâu và quyền của khách hàng. Không có xác nhận này thì thao tác không thực hiện được.
Thời điểm đồng ý và họ tên người đồng ý được ghi nhận cùng hồ sơ công chứng. Khách hàng có quyền từ chối, rút lại sự đồng ý hoặc yêu cầu xoá dữ liệu bất kỳ lúc nào thông qua văn phòng công chứng; khi từ chối, văn phòng vẫn tiếp nhận hồ sơ theo cách nhập liệu thủ công thông thường.
Ứng dụng không truy cập danh bạ, không thu thập thông tin về bạn bè, người quen hay bất kỳ người nào không có mặt trong giao dịch, và không thu thập dữ liệu của người thứ ba ngoài phạm vi hồ sơ công chứng mà chính họ đang tham gia. Việc xử lý dữ liệu tuân thủ Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân; văn phòng công chứng sử dụng ứng dụng là bên kiểm soát dữ liệu và chịu trách nhiệm về mục đích, phạm vi xử lý.
Thông tin được truyền về máy chủ cấu hình của đơn vị và có thể được lưu tạm trên thiết bị trong phạm vi cần thiết để ứng dụng hoạt động.
Người dùng cần khoá màn hình thiết bị, hạn chế cài phần mềm không tin cậy và báo ngay cho quản trị khi mất máy, nghi rò rỉ tài khoản hoặc thấy truy cập bất thường.
Bạn có trách nhiệm chỉ nhập, chụp, quét và xử lý dữ liệu khi có căn cứ nghiệp vụ phù hợp và trong phạm vi được phân quyền.
Khi phát hiện dữ liệu sai, thiếu hoặc có dấu hiệu xâm phạm quyền riêng tư, bạn cần dừng thao tác liên quan và thông báo cho quản trị hoặc cấp phụ trách.
Đơn vị vận hành hướng tới giảm thiểu truy cập không cần thiết, giới hạn phạm vi hiển thị theo quyền và tăng cường các biện pháp bảo vệ dữ liệu theo điều kiện triển khai thực tế.
Chính sách này có thể được điều chỉnh khi thay đổi quy trình nghiệp vụ, yêu cầu pháp lý hoặc cấu hình kỹ thuật của hệ thống. Mọi yêu cầu về quyền riêng tư, rút lại sự đồng ý hoặc xoá dữ liệu xin gửi tới vinbsgroup@gmail.com.
The app may process account information, customer information, transaction records, asset data, photographs of documents, portrait photographs, and data read from QR codes, NFC chips or OCR.
Some data may be held temporarily on the device to support operations within a working session, for example a photograph just taken or local sign-in information.
Data is used to authenticate users, to support lookup and verification, to create customer records, and to carry out the notarial operations the user is authorised to perform.
Data is not used for advertising, is not shared externally, and is not processed outside the data governance procedures of the notary office.
The app captures still photographs of a notary client's face using the front camera. This happens only inside the “Face recognition” screen, only when the client is physically present at the notary office and has personally tapped to consent on the app screen, and only after a staff member has selected the client's existing record. Specifically, the app collects: one still frame of the client's face used for the comparison; a short set of still frames for the liveness check, in which the client is asked to look centre, left, right and to blink; and the output of the comparison, which is a similarity score and a pass or fail result.
The app does not create, store or transmit any face template, faceprint, face geometry, face signature, face embedding, or any other mathematical representation of a face. It captures ordinary photographs only, of the same kind a camera app produces.
The app uses Apple's Vision framework on-device solely to determine whether a face is present and correctly framed inside the capture oval, so that the staff member can be guided to a usable photograph. That detection is transient, runs entirely on the device, produces no identifier of any kind, and nothing derived from it is stored or transmitted. Face ID (LocalAuthentication) is offered only as an optional convenience for unlocking the app; as Apple documents, the app never receives any biometric data from Face ID, only a success or failure result.
The photographs are used for exactly one purpose: to compare the person physically present at the notary office against the portrait already held in that office's own record system, and to confirm that the capture is of a live person rather than a photograph held up to the camera. Confirming the identity of the person signing is a legal requirement of the Vietnamese notarisation process, and this feature replaces a manual visual comparison by staff. The result of the comparison is attached to the corresponding notarisation record.
Face data is never used for advertising, marketing, profiling, analytics, user tracking, identification against any database of other people, or for training any model. It is not used to create any account, identifier or profile beyond the notarisation record being processed.
Face data is never shared with, sold to, disclosed to, or processed by any third party. The app contains no third-party SDK of any kind: no analytics, no advertising network, no attribution or measurement SDK, no crash reporter, no cloud AI or face-recognition service, no social login, no payment processor.
Face images are transmitted only over an encrypted HTTPS/TLS connection to the backend server of the notary office that the signed-in staff member works for — operated by us as the developer of the app and hosted in Vietnam. The face comparison itself is performed on that same server. No external or third-party service participates at any point in the process.
If face data were ever to be shared with any third party in the future, we undertake that such third party would be required, under a written contract, to provide protection of the face data equal to or greater than the protection stated in this privacy policy, and this policy would be updated to identify the recipient and the purpose of the sharing before any such sharing took place.
On the device: the captured frames exist only in the app's temporary memory (RAM) for the few seconds during which the comparison is performed. They are not written to the device's file system, not saved to the photo library, not placed in any cache, keychain or database, and — because they are never persisted at all — they are excluded from every backup. They are released as soon as the verification completes or the user closes the screen. No face data remains on the device afterwards.
On the server: the images are stored only inside the record system of that same notary office, attached to the specific notarisation record they belong to, and are accessible only to authenticated staff of that same office, according to the per-user account and permissions issued by the office administrator.
Retention period: face images are retained as part of the notarisation record, for the record retention period required by Vietnamese law for notarised files — a minimum of 20 years for contracts and transactions concerning real estate, and 10 years for other contracts and transactions. At the end of that period the images are permanently deleted together with the rest of the archived file. The similarity score and pass/fail result are retained with the record for the same period.
Face capture begins only after the client taps to consent on a confirmation screen that states what is collected, for what purpose, who holds it, how long it is kept, and what rights the client has. If the client does not consent, the operation cannot proceed and the office accepts the file through ordinary manual data entry instead.
Revoking consent: a client may revoke consent at any time, by declining on the confirmation screen before capture; by closing the capture screen, in which case the frames held in temporary memory are discarded immediately and nothing is sent; or by sending a request to revoke consent to the notary office holding the record, or by email to vinbsgroup@gmail.com. Once consent is revoked, the app stops collecting and stops using that client's face data.
Deleting face data: a client may request deletion of their face images at any time, through the notary office holding the record or by email to vinbsgroup@gmail.com. Office staff delete the images from the corresponding record; requests are actioned within 30 days, except for what must be kept under the statutory notarial archiving obligation described in section 3.4. App users can request deletion of their own account and all associated data from within the app at Account > Request account deletion. No deletion action is needed on the device, because no face data is stored there.
The app has two kinds of account. A customer account is issued by the notary office to the data subject themselves: when signed in with such an account, the user sees and handles only their own data and cannot see anyone else's. A staff account is for personnel of the notary office, used to work on the files the office is handling.
When a staff member uses the app to read an ID card chip, capture a face photograph, or photograph and read text from a client's documents, the client is always physically present at the office and personally taps to consent on the app screen before the operation begins. The confirmation screen states what information is collected, for what purpose, who holds it, how long it is kept, and what rights the client has. Without that consent the operation cannot be performed.
The time of consent and the name of the person consenting are recorded with the notarisation file. Clients may refuse, revoke consent, or request deletion of their data at any time through the notary office; if they refuse, the office still accepts the file through ordinary manual data entry.
The app does not access contacts, does not collect information about friends, acquaintances or any person not present in the transaction, and does not collect data about third parties beyond the notarisation file those parties are themselves taking part in. Processing complies with Decree 13/2023/ND-CP on personal data protection; the notary office using the app is the data controller and is responsible for the purpose and scope of processing.
Information is transmitted to the office's configured server and may be held temporarily on the device to the extent needed for the app to function.
Users should keep the device screen locked, avoid installing untrusted software, and immediately notify their administrator if the device is lost, an account is suspected of being compromised, or unusual access is observed.
You are responsible for entering, photographing, scanning and processing data only where there is a proper business basis for doing so and only within the permissions granted to you.
If you find data that is incorrect or incomplete, or see signs of a privacy breach, stop the operation concerned and notify your administrator or supervisor.
The operator works to minimise unnecessary access, limit what is displayed according to permissions, and strengthen data protection measures as deployment conditions allow.
This policy may be amended when business procedures, legal requirements or the technical configuration of the system change. Any privacy request, request to revoke consent, or request for deletion should be sent to vinbsgroup@gmail.com.