Chính sách bảo mật

Ngày hiệu lực: 05/11/2026

Chính sách bảo mật này giải thích cách Công ty Cổ phần Công nghệ RADA360 ("AI360", "Công ty", "chúng tôi") thu thập, sử dụng, lưu trữ, chia sẻ và bảo vệ dữ liệu cá nhân khi bạn sử dụng website và dịch vụ chatbot AI360. Chính sách được xây dựng theo Luật Bảo vệ dữ liệu cá nhân 2025 (có hiệu lực từ ngày 01/01/2026), Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân (trong phạm vi còn hiệu lực và các văn bản hướng dẫn thi hành), Luật An ninh mạng 2018, Luật An toàn thông tin mạng 2015, Luật Giao dịch điện tử 2023, Luật Bảo vệ quyền lợi người tiêu dùng 2023 và Bộ luật Dân sự 2015. Chính sách là một phần của Điều khoản sử dụng.

Mục lục

• 1. Phạm vi áp dụng và vai trò của AI360
• 2. Dữ liệu chúng tôi thu thập
• 3. Mục đích xử lý
• 4. Cơ sở pháp lý
• 5. Chia sẻ dữ liệu và bên xử lý
• 6. Chuyển dữ liệu ra nước ngoài
• 7. Thời gian lưu trữ
• 8. Biện pháp bảo mật
• 9. Thông báo khi xảy ra vi phạm dữ liệu
• 10. Quyền của chủ thể dữ liệu
• 11. Cookie và công nghệ tương tự
• 12. Đăng nhập bằng Google
• 13. Trẻ em
• 14. Không bán dữ liệu
• 15. Yêu cầu từ cơ quan nhà nước
• 16. Trách nhiệm của Khách hàng đối với dữ liệu của người dùng cuối
• 17. Thay đổi Chính sách
• 18. Liên hệ

1. Phạm vi áp dụng và vai trò của AI360

1.1. Hai vai trò khác nhau

• AI360 là Bên Kiểm soát dữ liệu đối với dữ liệu của chính người đăng ký và sử dụng tài khoản AI360 (thông tin tài khoản, thanh toán, nhật ký truy cập, hỗ trợ khách hàng, hoạt động tiếp thị của AI360) và dữ liệu của khách truy cập website AI360.
• AI360 là Bên Xử lý dữ liệu đối với dữ liệu cá nhân của khách hàng của doanh nghiệp (người dùng cuối) nằm trong hội thoại, tệp huấn luyện và dữ liệu khác mà doanh nghiệp ("Khách hàng") đưa vào dịch vụ. Trong trường hợp này, Khách hàng là Bên Kiểm soát dữ liệu, quyết định mục đích và phương tiện xử lý, và AI360 chỉ xử lý theo hướng dẫn hợp pháp của Khách hàng và theo Điều khoản sử dụng.

1.2. Đối tượng áp dụng

Chính sách áp dụng đối với: người đăng ký/sử dụng tài khoản AI360 và thành viên của họ; khách truy cập website; đối tác/người giới thiệu; và (với tư cách thông tin) người dùng cuối của Khách hàng. Nếu bạn là người dùng cuối trò chuyện với chatbot của một doanh nghiệp, doanh nghiệp đó chịu trách nhiệm chính về thông báo và cơ sở xử lý dữ liệu của bạn; bạn nên xem chính sách bảo mật của doanh nghiệp đó.

2. Dữ liệu chúng tôi thu thập

2.1. Dữ liệu bạn cung cấp

• Thông tin tài khoản: họ tên, email, số điện thoại, mật khẩu (được băm, không lưu dạng gốc), ngôn ngữ.
• Thông tin doanh nghiệp: tên, ngành nghề, địa chỉ, mã số thuế/đăng ký kinh doanh, thông tin xuất hóa đơn.
• Nội dung huấn luyện và cấu hình: tệp, tài liệu, bảng giá, câu hỏi thường gặp, kịch bản, cấu hình chatbot, kênh. Các tệp huấn luyện được mã hóa khi lưu trữ.
• Nội dung hội thoại: tin nhắn giữa người dùng cuối và chatbot, thông tin liên hệ người dùng cuối cung cấp (tên, số điện thoại, nhu cầu, lịch hẹn), phản hồi và đánh giá hội thoại.
• Liên hệ và hỗ trợ: nội dung bạn gửi qua biểu mẫu liên hệ, đăng ký demo, email, hotline.

2.2. Dữ liệu thu thập tự động

• Nhật ký hệ thống: địa chỉ IP, vị trí ước tính theo IP, loại trình duyệt/thiết bị, thời điểm truy cập, trang đã xem, lỗi.
• Dấu vân tay thiết bị (device fingerprint) và dữ liệu chống gian lận để phát hiện lạm dụng ưu đãi dùng thử, tạo nhiều tài khoản và truy cập bất thường.
• Mã thông báo đẩy (FCM push token) nếu bạn cho phép nhận thông báo trên trình duyệt hoặc ứng dụng.
• Số liệu sử dụng: số tin nhắn, số chatbot, kênh, thời gian hoạt động để lập báo cáo hằng tháng và quản lý hạn mức.
• Cookie và công nghệ tương tự (xem mục 11).

2.3. Dữ liệu từ bên thứ ba

• Đăng nhập Google: tên, email, ảnh đại diện và mã định danh tài khoản Google (xem mục 12).
• Kênh nhắn tin (ví dụ Zalo OA, Facebook Messenger, Telegram): mã định danh người dùng, tên hiển thị, nội dung tin nhắn, mã truy cập (token) mà Khách hàng ủy quyền.
• Thanh toán: Stripe và PayPal cung cấp cho chúng tôi thông tin giao dịch (mã giao dịch, trạng thái, số tiền, loại và bốn số cuối của thẻ nếu có). AI360 không lưu trữ số thẻ đầy đủ hoặc mã bảo mật thẻ.

2.4. Dữ liệu nhạy cảm

Chúng tôi không chủ động yêu cầu dữ liệu cá nhân nhạy cảm. Nếu Khách hàng hoặc người dùng cuối tự đưa vào hội thoại hoặc tệp (ví dụ thông tin sức khỏe, tình trạng da trong ngành làm đẹp), Khách hàng với tư cách Bên Kiểm soát dữ liệu chịu trách nhiệm có căn cứ hợp pháp và sự đồng ý rõ ràng cho việc đó, và AI360 xử lý với tư cách bên xử lý.

3. Mục đích xử lý

• Tạo và quản lý tài khoản, xác thực, xác minh email, bảo mật đăng nhập.
• Cung cấp, vận hành, duy trì dịch vụ chatbot AI: xử lý hội thoại, truy xuất tài liệu huấn luyện, đặt lịch, chuyển giao cho nhân viên, chiến dịch, báo cáo.
• Thanh toán, lập hóa đơn, quản lý gói dịch vụ, hạn mức, đối soát và chương trình đối tác.
• Hỗ trợ khách hàng, gửi thông báo dịch vụ (nhắc hết hạn dùng thử, hóa đơn, bảo mật, thay đổi điều khoản).
• Phát hiện, ngăn chặn gian lận, lạm dụng, spam và sự cố an ninh; thực thi Điều khoản.
• Cải thiện sản phẩm bằng dữ liệu đã ẩn danh hoặc tổng hợp; phân tích hiệu năng và chi phí hệ thống.
• Tuân thủ nghĩa vụ pháp lý, kế toán - thuế và yêu cầu của cơ quan nhà nước có thẩm quyền.
• Tiếp thị, giới thiệu sản phẩm/tính năng mới tới người đã đăng ký hoặc đã liên hệ, khi có sự đồng ý hoặc trong phạm vi pháp luật cho phép; bạn có thể từ chối bất kỳ lúc nào.

Cam kết riêng về dữ liệu của Khách hàng: chúng tôi không sử dụng dữ liệu có thể định danh trong hội thoại hoặc tệp huấn luyện của Khách hàng này để phục vụ, huấn luyện hoặc trả lời cho Khách hàng khác. Chúng tôi chỉ dùng dữ liệu đã ẩn danh/tổng hợp, không thể xác định lại danh tính, để thống kê và cải tiến sản phẩm.

4. Cơ sở pháp lý

Chúng tôi xử lý dữ liệu cá nhân dựa trên một hoặc nhiều căn cứ sau, theo quy định của pháp luật về bảo vệ dữ liệu cá nhân:

• Sự đồng ý của chủ thể dữ liệu (ví dụ đánh dấu đồng ý khi đăng ký, đồng ý nhận tiếp thị, đồng ý thông báo đẩy, cookie không bắt buộc). Bạn có thể rút lại sự đồng ý bất kỳ lúc nào (mục 10), việc rút lại không ảnh hưởng đến tính hợp pháp của việc xử lý trước đó.
• Thực hiện hợp đồng mà chủ thể dữ liệu là một bên, hoặc thực hiện các bước theo yêu cầu trước khi giao kết hợp đồng (cung cấp Dịch vụ theo Điều khoản sử dụng).
• Tuân thủ nghĩa vụ pháp lý (kế toán, thuế, hóa đơn, an ninh mạng, yêu cầu của cơ quan có thẩm quyền).
• Lợi ích hợp pháp trong phạm vi pháp luật cho phép, như bảo đảm an ninh hệ thống, phòng chống gian lận và lạm dụng, bảo vệ quyền và lợi ích hợp pháp của AI360 và người dùng, mà không gây phương hại không cần thiết tới quyền của chủ thể dữ liệu.
• Đối với dữ liệu người dùng cuối do Khách hàng kiểm soát: căn cứ pháp lý do Khách hàng xác định và chịu trách nhiệm.

5. Chia sẻ dữ liệu và bên xử lý

Chúng tôi chỉ chia sẻ dữ liệu trong các trường hợp sau và trong phạm vi cần thiết:

• Nhà cung cấp hạ tầng và lưu trữ (máy chủ, đám mây, lưu trữ tệp, sao lưu).
• Nhà cung cấp AI: dịch vụ mô hình ngôn ngữ lớn (LLM), nhúng văn bản (embedding), nhận dạng và tổng hợp giọng nói được dùng để tạo câu trả lời và xử lý giọng nói. Nội dung gửi tới họ chỉ ở mức cần thiết để xử lý yêu cầu.
• Cổng thanh toán: Stripe, PayPal.
• Dịch vụ email/SMS/thông báo đẩy (bao gồm Firebase Cloud Messaging) để gửi thông báo dịch vụ.
• Dịch vụ xác thực và chống lạm dụng: Google (đăng nhập, reCAPTCHA), dịch vụ định vị theo IP.
• Công cụ phân tích: Google Analytics để đo lường lưu lượng truy cập website.
• Nền tảng kênh nhắn tin mà Khách hàng chọn kết nối (Zalo, Meta, Telegram...) khi chatbot gửi/nhận tin nhắn.
• Cố vấn chuyên môn (luật sư, kiểm toán, kế toán) bị ràng buộc nghĩa vụ bảo mật.
• Đối tác giới thiệu: chỉ chia sẻ thông tin cần thiết để tính hoa hồng, không bao gồm nội dung hội thoại.
• Chuyển giao kinh doanh: khi sáp nhập, mua bán, tái cấu trúc, dữ liệu có thể được chuyển cho bên kế thừa với cam kết tuân thủ chính sách này.
• Cơ quan nhà nước theo mục 15, hoặc khi có sự đồng ý của bạn.

Các bên xử lý chỉ được xử lý dữ liệu theo hướng dẫn của chúng tôi, bị ràng buộc nghĩa vụ bảo mật và bảo vệ dữ liệu phù hợp.

6. Chuyển dữ liệu ra nước ngoài

Một số nhà cung cấp của chúng tôi (hạ tầng đám mây, AI, thanh toán, email, phân tích) có thể đặt máy chủ hoặc xử lý dữ liệu ngoài lãnh thổ Việt Nam. Khi chuyển dữ liệu cá nhân ra nước ngoài, chúng tôi sẽ: (a) chỉ chuyển trong phạm vi cần thiết cho mục đích nêu trên; (b) áp dụng biện pháp bảo vệ phù hợp, bao gồm ràng buộc hợp đồng với bên nhận; (c) thực hiện các nghĩa vụ theo pháp luật Việt Nam về đánh giá tác động chuyển dữ liệu ra nước ngoài, lập và lưu hồ sơ, và thông báo cho cơ quan có thẩm quyền khi pháp luật yêu cầu. Bằng việc sử dụng dịch vụ, bạn thừa nhận và (khi pháp luật yêu cầu) đồng ý với việc chuyển dữ liệu như vậy. Khách hàng với tư cách Bên Kiểm soát dữ liệu có thể có thêm nghĩa vụ riêng đối với dữ liệu người dùng cuối của mình; AI360 hỗ trợ cung cấp thông tin cần thiết theo yêu cầu hợp lý.

7. Thời gian lưu trữ

Chúng tôi chỉ lưu dữ liệu trong thời gian cần thiết cho mục đích thu thập và theo quy định pháp luật:

• Dữ liệu tài khoản: trong thời gian tài khoản hoạt động và tối đa 36 tháng sau khi tài khoản bị đóng hoặc hết hiệu lực, để giải quyết khiếu nại, tranh chấp và phòng chống gian lận (ví dụ nhận diện tài khoản lạm dụng dùng thử), sau đó xóa hoặc ẩn danh hóa.
• Nội dung của Khách hàng (hội thoại, tệp huấn luyện): trong thời gian hợp đồng; sau khi chấm dứt, Khách hàng có 30 ngày để xuất dữ liệu, sau đó dữ liệu bị xóa khỏi hệ thống vận hành; bản sao lưu bị ghi đè theo chu kỳ sao lưu (thông thường không quá 90 ngày).
• Nhật ký hệ thống, truy cập, bảo mật: 12 tháng, hoặc lâu hơn nếu pháp luật yêu cầu hoặc phục vụ điều tra sự cố.
• Hóa đơn, chứng từ kế toán, giao dịch thanh toán: theo pháp luật về kế toán, thuế và hóa đơn điện tử, tối thiểu 10 năm.
• Dữ liệu tiếp thị: đến khi bạn rút lại sự đồng ý hoặc từ chối nhận tin.
• Dữ liệu phục vụ chương trình đối tác: trong thời gian tham gia chương trình và thời hiệu đối soát, hoàn tiền, thu hồi hoa hồng.

Khi pháp luật yêu cầu lưu giữ lâu hơn, hoặc khi cần để xác lập, thực hiện, bảo vệ quyền khởi kiện, chúng tôi lưu trong thời gian cần thiết.

8. Biện pháp bảo mật

• Mã hóa kết nối (HTTPS/TLS) và mã hóa tệp huấn luyện của Khách hàng khi lưu trữ; mật khẩu được băm.
• Phân tách dữ liệu theo từng Khách hàng (multi-tenant) và phân quyền theo vai trò.
• Kiểm soát truy cập, xác thực chữ ký (HMAC) cho webhook và tích hợp, giới hạn tốc độ, reCAPTCHA, phát hiện gian lận.
• Ghi nhật ký truy cập, giám sát bất thường, sao lưu định kỳ.
• Giới hạn nhân sự được truy cập dữ liệu theo nguyên tắc cần biết và ràng buộc nghĩa vụ bảo mật.

Không có hệ thống nào an toàn tuyệt đối. Bạn cũng cần giữ an toàn mật khẩu, khóa API, thiết bị và thông báo ngay cho chúng tôi khi nghi ngờ bị xâm nhập.

9. Thông báo khi xảy ra vi phạm dữ liệu

Khi phát hiện hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân hoặc sự cố lộ, mất dữ liệu cá nhân, chúng tôi sẽ thực hiện thông báo cho cơ quan nhà nước có thẩm quyền và cho chủ thể dữ liệu bị ảnh hưởng theo thời hạn, trình tự pháp luật quy định, đồng thời áp dụng biện pháp khắc phục. Đối với dữ liệu mà AI360 xử lý thay mặt Khách hàng, chúng tôi sẽ thông báo cho Khách hàng không chậm trễ để Khách hàng thực hiện nghĩa vụ của Bên Kiểm soát dữ liệu.

10. Quyền của chủ thể dữ liệu

10.1. Các quyền

Theo pháp luật bảo vệ dữ liệu cá nhân, bạn có quyền: (a) được biết về hoạt động xử lý dữ liệu của mình; (b) đồng ý hoặc không đồng ý, và rút lại sự đồng ý; (c) truy cập, xem, nhận bản sao dữ liệu; (d) chỉnh sửa dữ liệu; (e) yêu cầu xóa dữ liệu; (f) yêu cầu hạn chế xử lý; (g) yêu cầu cung cấp dữ liệu của mình; (h) phản đối xử lý (bao gồm tiếp thị trực tiếp); (i) khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định; (j) tự bảo vệ hoặc yêu cầu bảo vệ theo pháp luật.

10.2. Cách thực hiện

Gửi yêu cầu tới contact@rada360.com từ email đã đăng ký (hoặc kèm thông tin xác minh danh tính). Chúng tôi sẽ phản hồi và xử lý theo thời hạn pháp luật quy định. Chúng tôi có thể từ chối hoặc hạn chế yêu cầu trong các trường hợp pháp luật cho phép (ví dụ dữ liệu phải lưu theo nghĩa vụ pháp lý, yêu cầu không xác minh được danh tính, yêu cầu gây ảnh hưởng đến quyền của người khác hoặc rõ ràng không có cơ sở) và sẽ nêu lý do.

10.3. Dữ liệu do Khách hàng kiểm soát

Nếu yêu cầu liên quan tới dữ liệu của bạn với tư cách người dùng cuối trong chatbot của một doanh nghiệp, vui lòng gửi yêu cầu tới doanh nghiệp đó. Nếu bạn gửi tới chúng tôi, chúng tôi sẽ chuyển yêu cầu cho Khách hàng liên quan và hỗ trợ trong phạm vi vai trò Bên Xử lý dữ liệu.

10.4. Rút lại đồng ý và hậu quả

Việc rút lại đồng ý hoặc yêu cầu xóa dữ liệu có thể khiến chúng tôi không thể tiếp tục cung cấp một phần hoặc toàn bộ dịch vụ cho bạn; hậu quả này không làm phát sinh quyền hoàn tiền trừ trường hợp pháp luật quy định khác.

10.5. Khiếu nại

Bạn có thể khiếu nại trực tiếp tới chúng tôi, hoặc tới cơ quan nhà nước có thẩm quyền về bảo vệ dữ liệu cá nhân.

11. Cookie và công nghệ tương tự

• Cookie cần thiết: phiên đăng nhập, mã chống giả mạo yêu cầu (CSRF), lựa chọn ngôn ngữ và bảo mật. Không thể tắt nếu bạn muốn dùng các chức năng này.
• Cookie phân tích: Google Analytics giúp chúng tôi hiểu cách website được sử dụng.
• Cookie chống lạm dụng: reCAPTCHA của Google.
• Widget chat có thể lưu mã định danh phiên của khách truy cập trên trình duyệt để duy trì cuộc hội thoại.

Bạn có thể quản lý hoặc xóa cookie trong cài đặt trình duyệt; việc chặn một số cookie có thể ảnh hưởng đến chức năng của website.

12. Đăng nhập bằng Google

Khi bạn chọn đăng nhập bằng Google, chúng tôi nhận từ Google tên, địa chỉ email, ảnh đại diện và mã định danh tài khoản để tạo và xác thực tài khoản AI360. Chúng tôi không truy cập email, danh bạ, tệp hay dữ liệu Google khác của bạn. Việc sử dụng thông tin nhận từ Google tuân thủ Chính sách Dữ liệu Người dùng của các API Google, bao gồm các yêu cầu Sử dụng Hạn chế. Bạn có thể thu hồi quyền truy cập trong phần bảo mật của tài khoản Google.

13. Trẻ em

Dịch vụ dành cho doanh nghiệp và cá nhân từ đủ 18 tuổi. Chúng tôi không chủ đích thu thập dữ liệu cá nhân của trẻ em dưới 16 tuổi. Nếu phát hiện đã thu thập dữ liệu của trẻ em mà không có sự đồng ý của cha, mẹ hoặc người giám hộ theo quy định, chúng tôi sẽ xóa dữ liệu đó. Khách hàng không được dùng dịch vụ để xử lý dữ liệu của trẻ em trái pháp luật.

14. Không bán dữ liệu

AI360 không bán dữ liệu cá nhân của bạn hoặc của người dùng cuối cho bên thứ ba và không dùng dữ liệu hội thoại của Khách hàng để quảng cáo cho bên khác. Việc chia sẻ chỉ diễn ra theo mục 5.

15. Yêu cầu từ cơ quan nhà nước

Chúng tôi có thể cung cấp dữ liệu cho cơ quan nhà nước có thẩm quyền khi có yêu cầu hợp lệ theo quy định pháp luật Việt Nam (bao gồm Luật An ninh mạng 2018), hoặc khi cần thiết để bảo vệ quyền, tài sản, an toàn của AI360, người dùng hoặc công chúng. Khi pháp luật cho phép, chúng tôi sẽ cố gắng thông báo cho bạn hoặc Khách hàng liên quan.

16. Trách nhiệm của Khách hàng đối với dữ liệu của người dùng cuối

Khách hàng với tư cách Bên Kiểm soát dữ liệu có trách nhiệm: thông báo rõ ràng cho người dùng cuối rằng họ đang trò chuyện với chatbot AI và dữ liệu được xử lý (bao gồm bởi AI360 và nhà cung cấp của AI360); có căn cứ pháp lý, sự đồng ý hợp lệ khi cần thiết (bao gồm khi gửi tiếp thị, xử lý dữ liệu nhạy cảm hoặc dữ liệu của trẻ em); giải quyết yêu cầu của chủ thể dữ liệu; bảo đảm tính chính xác của dữ liệu; và tuân thủ pháp luật bảo vệ dữ liệu cá nhân áp dụng cho hoạt động của mình. Chi tiết về quyền, nghĩa vụ giữa AI360 và Khách hàng xem tại mục 7.3 của Điều khoản sử dụng.

17. Thay đổi Chính sách

Chúng tôi có thể cập nhật Chính sách này khi có thay đổi về dịch vụ hoặc pháp luật. Chúng tôi sẽ cập nhật "Ngày hiệu lực" và, với thay đổi quan trọng, thông báo trước tối thiểu 07 ngày qua email đã đăng ký, thông báo trong ứng dụng hoặc đăng công khai trên website. Việc tiếp tục sử dụng dịch vụ sau ngày hiệu lực được coi là chấp nhận thay đổi, và nếu pháp luật yêu cầu sự đồng ý riêng đối với thay đổi, chúng tôi sẽ xin sự đồng ý đó.

18. Liên hệ

Xem thêm: Điều khoản sử dụng.