Chính sách bảo mật

1. Phạm vi áp dụng

Chính sách bảo mật này (“Chính sách”) mô tả cách Công ty TNHH Công Nghệ ITECCOM (MST: 0318237748, “ITECCOM”, “chúng tôi”) xử lý dữ liệu cá nhân khi bạn truy cập website/ứng dụng, đăng ký tài khoản, sử dụng sản phẩm Office AI và các dịch vụ trong hệ sinh thái Office AI hoặc liên hệ với bộ phận hỗ trợ.

Chính sách áp dụng cùng Điều khoản sử dụng. Trường hợp Khách hàng tổ chức ký hợp đồng riêng về xử lý dữ liệu (DPA), điều khoản hợp đồng được ưu tiên trong phạm vi xung đột về dữ liệu nhân viên/khách hàng của tổ chức đó.

2. Vai trò trong xử lý dữ liệu cá nhân

• Bên kiểm soát dữ liệu cá nhân: ITECCOM đối với dữ liệu thu thập trực tiếp từ Người dùng cá nhân qua Office AI (đăng ký, thanh toán, hỗ trợ, marketing có đồng ý).
• Bên xử lý dữ liệu cá nhân: ITECCOM đối với dữ liệu mà Khách hàng tổ chức đưa vào Không gian tổ chức trên Office AI (hồ sơ nhân sự, hợp đồng, tài liệu nội bộ) — theo chỉ đạo và mục đích do Khách hàng tổ chức quy định.

3. Loại dữ liệu chúng tôi thu thập

3.1. Dữ liệu bạn cung cấp trực tiếp

• Thông tin tài khoản: họ tên, e-mail, số điện thoại, ảnh đại diện, mật khẩu (lưu dạng băm), tên tổ chức, chức danh.
• Dữ liệu giao dịch: gói đăng ký, lịch sử thanh toán, hóa đơn (không lưu trữ đầy đủ số thẻ — xử lý qua cổng thanh toán).
• Nội dung nghiệp vụ: văn bản, file đính kèm, bản ghi cuộc họp, metadata ký số, nhật ký phê duyệt.
• Trao đổi hỗ trợ: nội dung ticket, e-mail, cuộc gọi ghi âm (nếu có và được thông báo).

3.2. Dữ liệu thu thập tự động

• Nhật ký kỹ thuật: địa chỉ IP, loại trình duyệt/thiết bị, thời gian truy cập, URL tham chiếu.
• Cookie và công nghệ tương tự (mục 10).
• Dữ liệu sử dụng: tần suất đăng nhập, tính năng được dùng, lỗi hệ thống (phục vụ vận hành và bảo mật).

3.3. Dữ liệu từ bên thứ ba

• Đăng nhập Google / Facebook / Apple: định danh, e-mail, tên hiển thị theo phạm vi bạn ủy quyền.
• Đối tác chứng thực chữ ký số (CA), cổng thanh toán, nhà cung cấp hạ tầng đám mây — theo hợp đồng và yêu cầu pháp lý.

4. Mục đích xử lý dữ liệu

Chúng tôi xử lý dữ liệu cá nhân cho các mục đích sau:

1. Cung cấp, duy trì và cải tiến Nền tảng (xác thực, phân quyền, sao lưu, hỗ trợ kỹ thuật).
2. Thực hiện hợp đồng/Gói dịch vụ, thanh toán, gửi thông báo giao dịch.
3. Kích hoạt tính năng AI theo yêu cầu của bạn (soạn thảo, tóm tắt, phân loại) trong phạm vi cấu hình tổ chức.
4. Đảm bảo an toàn thông tin, phòng chống gian lận, truy vết sự cố.
5. Tuân thủ nghĩa vụ pháp lý (kế toán, thuế, cung cấp thông tin theo yêu cầu cơ quan có thẩm quyền).
6. Gửi thông tin sản phẩm, khuyến mãi khi có sự đồng ý của bạn; bạn có thể rút lại bất cứ lúc nào.

5. Cơ sở pháp lý xử lý (Nghị định 13/2023/NĐ-CP)

Tùy từng trường hợp, ITECCOM dựa trên một hoặc nhiều cơ sở sau:

• Sự đồng ý của chủ thể dữ liệu (đăng ký, marketing, cookie không thiết yếu).
• Thực hiện hợp đồng hoặc theo yêu cầu trước khi ký hợp đồng.
• Nghĩa vụ pháp lý theo quy định Việt Nam.
• Lợi ích hợp pháp của ITECCOM hoặc bên liên quan (bảo mật hệ thống, cải tiến dịch vụ), không trái quyền lợi chủ thể dữ liệu.
• Bảo vệ quyền và lợi ích hợp pháp của chủ thể dữ liệu trong tình huống khẩn cấp về tính mạng, sức khỏe.

6. Chia sẻ dữ liệu với bên thứ ba

Chúng tôi không bán dữ liệu cá nhân. Dữ liệu có thể được chia sẻ có kiểm soát với:

• Nhà cung cấp hạ tầng (máy chủ, CDN, sao lưu) tại Việt Nam hoặc nước ngoài có cam kết bảo mật.
• Đối tác thanh toán, CA/chữ ký số, dịch vụ gửi e-mail/SMS.
• Thành viên trong cùng Không gian tổ chức theo phân quyền do quản trị viên thiết lập.
• Cơ quan nhà nước khi có yêu cầu hợp pháp bằng văn bản.

Mọi bên nhận dữ liệu phải tuân thỏa thỏa thuận bảo mật và chỉ xử lý trong phạm vi mục đích đã thỏa thuận.

7. Lưu trữ và biện pháp bảo mật

Chúng tôi áp dụng các biện pháp phù hợp trên Office AI như: mã hóa truyền tải (TLS), phân tách dữ liệu theo tổ chức, kiểm soát truy cập theo vai trò, ghi nhật ký truy cập, sao lưu định kỳ, đánh giá rủi ro định kỳ.

Không có hệ thống nào an toàn tuyệt đối. Khi xảy ra sự cố rò rỉ dữ liệu có nguy cơ ảnh hưởng quyền lợi, chúng tôi thực hiện thông báo theo quy định của Nghị định 13/2023/NĐ-CP và luật liên quan.

8. Thời hạn lưu trữ

• Dữ liệu tài khoản: trong thời gian sử dụng dịch vụ và tối đa 24 tháng sau khi đóng tài khoản (trừ khi pháp luật yêu cầu lưu lâu hơn).
• Hồ sơ giao dịch, hóa đơn: theo quy định kế toán, thuế (thông thường tối thiểu 05–10 năm).
• Nhật ký bảo mật: thường từ 06–12 tháng, có thể kéo dài khi phục vụ điều tra sự cố.
• Nội dung do Khách hàng tổ chức tải lên: theo cấu hình và chỉ đạo của quản trị viên tổ chức.

9. Quyền của chủ thể dữ liệu cá nhân

Theo quy định hiện hành, bạn có quyền:

• Được biết về hoạt động xử lý dữ liệu liên quan đến mình.
• Đồng ý hoặc rút lại đồng ý (không ảnh hưởng tính hợp pháp của xử lý trước thời điểm rút).
• Truy cập, chỉnh sửa, bổ sung dữ liệu trên Nền tảng hoặc qua yêu cầu bằng văn bản.
• Yêu cầu xóa, hạn chế xử lý, phản đối xử lý trong các trường hợp luật cho phép.
• Yêu cầu cung cấp bản sao dữ liệu (định dạng phổ biến) khi khả thi về mặt kỹ thuật.
• Khiếu nại tới ITECCOM hoặc cơ quan quản lý nhà nước có thẩm quyền.

Chúng tôi phản hồi yêu cầu trong tối đa 72 giờ làm việc (hoặc theo thời hạn luật định nếu dài hơn), sau khi xác minh danh tính người yêu cầu. Hướng dẫn xóa dữ liệu tài khoản mạng xã hội: Data Deletion.

10. Cookie và công nghệ theo dõi

Chúng tôi dùng cookie phiên đăng nhập, cookie bảo mật và (nếu có) cookie phân tích. Bạn có thể cấu hình trình duyệt từ chối cookie không thiết yếu; một số tính năng có thể không hoạt động đầy đủ.

11. Trẻ em

Nền tảng hướng tới người từ đủ 16 tuổi trở lên hoặc có sự đồng ý của cha/mẹ/người giám hộ theo quy định. Chúng tôi không cố ý thu thập dữ liệu trẻ em; nếu phát hiện sẽ xóa sau khi xác minh.

12. Chuyển dữ liệu ra nước ngoài

Khi máy chủ hoặc dịch vụ đám mây đặt tại nước ngoài, ITECCOM thực hiện đánh giá tác động, ký thỏa thuận bảo vệ dữ liệu và chỉ chuyển dữ liệu khi đáp ứng điều kiện theo Nghị định 13/2023/NĐ-CP.

13. Đăng nhập qua Google, Facebook, Apple

Khi bạn chọn đăng nhập bằng tài khoản mạng xã hội, chúng tôi chỉ nhận các trường dữ liệu mà nhà cung cấp OAuth cấp phép (thường gồm ID, e-mail, tên). Chúng tôi không đăng bài thay bạn hoặc truy cập danh bạ nếu bạn không cấp quyền tương ứng.

Đối với Facebook Login: bạn có thể yêu cầu xóa dữ liệu liên kết bằng cách gửi e-mail tới privacy@officeai.vn hoặc theo hướng dẫn xóa dữ liệu.

14. Cập nhật Chính sách

Chúng tôi có thể sửa đổi Chính sách khi luật hoặc mô hình kinh doanh thay đổi. Phiên bản mới sẽ đăng tại địa chỉ này kèm ngày “Cập nhật”. Thay đổi quan trọng sẽ được thông báo qua e-mail hoặc thông báo trên Nền tảng.

15. Liên hệ & khiếu nại

Bạn có quyền khiếu nại tới Cục An toàn thông tin (Bộ Thông tin và Truyền thông) hoặc cơ quan có thẩm quyền theo quy định hiện hành nếu cho rằng quyền của mình bị vi phạm.