1 Phạm vi Áp dụng và Định nghĩa Pháp lý
Chính sách này áp dụng cho toàn bộ cá nhân, hộ kinh doanh, doanh nghiệp và tổ chức (sau đây gọi chung là "Người dùng" hoặc "Khách hàng") truy cập vào website, khởi tạo tài khoản, đăng ký sử dụng bất kỳ gói phần mềm hoặc tích hợp dịch vụ nào thuộc hệ sinh thái ZapoViet tại https://zapoviet.io.vn.
Giải thích thuật ngữ theo Luật hiện hành:
- Chủ thể dữ liệu: Cá nhân được dữ liệu cá nhân phản ánh (bao gồm đại diện pháp luật, nhân viên, khách hàng mua lẻ của Bên thuê phần mềm).
- Dữ liệu cá nhân: Thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một cá nhân cụ thể hoặc giúp xác định một cá nhân cụ thể.
- Bên Kiểm soát Dữ liệu (Data Controller): ZapoViet đóng vai trò kiểm soát đối với dữ liệu tài khoản trực tiếp của Khách hàng ký hợp đồng với ZapoViet.
- Bên Xử lý Dữ liệu (Data Processor): ZapoViet đóng vai trò xử lý dữ liệu đại diện cho Khách hàng đối với các dữ liệu kinh doanh (đơn hàng, công nợ, đối tác) do Khách hàng nhập vào hệ thống ZapoViet.
2 Cơ sở Pháp lý của Việc Xử lý Dữ liệu
ZapoViet thu thập và xử lý dữ liệu dựa trên các cơ sở pháp lý vững chắc quy định tại Điều 9 và Điều 17 Nghị định 13/2023/NĐ-CP:
- a. Sự đồng ý tự nguyện của Chủ thể dữ liệu Khi bạn đăng ký tài khoản, tích chọn đồng ý Điều khoản & Chính sách bảo mật hoặc chấp nhận qua giao diện ứng dụng.
- b. Thực hiện Hợp đồng Dịch vụ SaaS Xử lý dữ liệu cần thiết để cung cấp tính năng phần mềm, quản lý đơn hàng, xuất hóa đơn tài chính và đối soát công nợ theo hợp đồng đã giao kết.
- c. Tuân thủ Nghĩa vụ Pháp luật Đáp ứng các yêu cầu lưu trữ chứng từ kế toán, nghĩa vụ kê khai thuế, kiểm toán và yêu cầu từ cơ quan quản lý nhà nước có thẩm quyền.
- d. Lợi ích hợp pháp của Đơn vị vận hành Bảo vệ an ninh mạng, phát hiện và ngăn chặn tấn công giả mạo, phòng chống gian lận và nâng cấp hiệu năng hệ thống.
3 Phân loại & Chi tiết Phạm vi Dữ liệu Thu thập
ZapoViet thu thập thông tin theo nguyên tắc tối thiểu hóa (Data Minimization), chỉ thu thập những dữ liệu cần thiết cho việc vận hành phần mềm:
3.1. Dữ liệu Cá nhân Cơ bản & Thông tin Tài khoản
- Họ và tên, số điện thoại liên lạc, địa chỉ email, địa chỉ đăng ký kinh doanh / địa chỉ giao hàng.
- Thông tin đại diện doanh nghiệp: Chức vụ, Mã số thuế (MST), Số CCCD/Hộ chiếu (khi phát hành hóa đơn điện tử hoặc xác minh tài khoản doanh nghiệp).
- Thông tin tài khoản ngân hàng, thông tin thanh toán (chỉ lưu vết mã giao dịch giao tiếp với Cổng thanh toán, ZapoViet không lưu giữ số thẻ tín dụng trực tiếp).
3.2. Dữ liệu Vận hành & Bí mật Kinh doanh B2B (Data Processor)
- Danh mục hàng hóa vật liệu xây dựng (tên sản phẩm, mã SKU, quy cách, đơn vị tính, giá nhập, giá bán).
- Nhật ký đơn hàng, phiếu nhập/xóa/xuất kho, thông tin công nợ nhà cung cấp và đại lý.
- Danh sách thông tin đối tác/khách hàng do Bên thuê phần mềm tự quản lý và lưu giữ trên hạ tầng ZapoViet.
3.3. Dữ liệu Kỹ thuật, Nhật ký Truy cập & Thiết bị
- Địa chỉ IP (Internet Protocol), loại trình duyệt, hệ điều hành, dấu hiệu thiết bị (Device Fingerprint).
- Nhật ký thao tác (Audit Logs): thời gian đăng nhập, các lệnh thay đổi dữ liệu kho/công nợ nhằm mục đích đối soát và bảo mật nội bộ cho Khách hàng.
- Dữ liệu vị trí địa lý GPS (chỉ thu thập khi người dùng bật tính năng điều vận giao hàng trên Mobile App và chấp nhận cấp quyền vị trí).
4 Mục Đích Xử Lý Dữ Liệu
Mọi dữ liệu thu thập được ZapoViet xử lý duy nhất cho các mục đích hợp pháp sau đây:
5 Quyền và Nghĩa vụ của Chủ thể Dữ liệu (Theo NĐ 13/2023/NĐ-CP)
Theo quy định tại Điều 9 Nghị định 13/2023/NĐ-CP, Chủ thể dữ liệu cá nhân có đầy đủ 11 quyền cơ bản sau đây đối với dữ liệu của mình trên hệ thống ZapoViet:
6 Quy Trình & Thời Hạn Xử Lý Yêu Cầu của Chủ Thể Dữ Liệu
Để thực thi các quyền nêu tại Mục 5, Khách hàng thực hiện theo quy trình sau:
- Gửi yêu cầu chính thức: Qua email bảo mật của Bộ phận DPO ZapoViet: privacy@zapoviet.io.vn hoặc qua tính năng "Yêu cầu quyền riêng tư" trực tiếp trong phần Cài đặt Tài khoản.
- Xác thực danh tính: ZapoViet sẽ tiến hành xác minh thông tin chủ sở hữu tài khoản (thông qua mã OTP gửi về SĐT/Email đăng ký hoặc văn bản xác nhận chữ ký số/CCCD) trong vòng 24 giờ làm việc để tránh rủi ro giả mạo lấy cắp dữ liệu.
- Thời hạn xử lý: ZapoViet sẽ thực hiện yêu cầu hợp lệ của Chủ thể dữ liệu trong vòng 72 giờ làm việc kể từ khi xác minh thành công danh tính. Trường hợp vụ việc phức tạp, thời gian có thể kéo dài tối đa 30 ngày theo đúng quy định pháp luật (có thông báo lý do bằng văn bản/email).
7 Chia Sẻ và Chuyển Giao Dữ Liệu Cho Bên Thứ Ba
ZapoViet CAM KẾT KHÔNG BÁN, KHÔNG CHO THUÊ VÀ KHÔNG THƯƠNG MẠI HÓA DỮ LIỆU CÁ NHÂN / DỮ LIỆU KINH DOANH CỦA KHÁCH HÀNG CHO BẤT KỲ BÊN THỨ BA NÀO.
Chúng tôi chỉ thực hiện chia sẻ dữ liệu trong các phạm vi giới hạn sau đây, với hợp đồng bảo mật dữ liệu (Data Processing Agreement - DPA) bắt buộc đối với đối tác:
- Đối tác hạ tầng Đám mây & Bảo mật: Các nhà cung cấp dịch vụ lưu trữ đạt chuẩn ISO/IEC 27001 (như VNPT Cloud, Viettel IDC, AWS) phục vụ mục đích duy trì hạ tầng vận hành.
- Đối tác cổng thanh toán & Ngân hàng: Các đơn vị trung gian thanh toán được Ngân hàng Nhà nước Việt Nam cấp phép (MoMo, VNPay, các Ngân hàng thương mại) để thực hiện giao dịch thanh toán tiền thuê dịch vụ.
- Đối tác hãng vận chuyển & Hóa đơn điện tử tích hợp: Khi Khách hàng chủ động bật tính năng kết nối với Hãng vận chuyển (GHN, ViettelPost) hoặc Phần mềm Hóa đơn điện tử (MISA, Sinvoice), dữ liệu cần thiết sẽ được truyền tải qua cổng API bảo mật.
- Yêu cầu từ Cơ quan Nhà nước có thẩm quyền: Khi có văn bản yêu cầu chính thức hợp lệ từ Cơ quan Công an, Tòa án, Viện Kiểm sát hoặc Cơ quan Thuế theo quy định pháp luật Việt Nam.
8 Lưu Trữ & Tuân Thủ Chuyển Dữ Liệu Ra Nước Ngoài
Hệ thống cơ sở dữ liệu chính của ZapoViet được ưu tiên lưu trữ tại các Trung tâm dữ liệu (Datacenter) đạt chuẩn Tier III đặt trên lãnh thổ Nước Cộng hòa Xã hội Chủ nghĩa Việt Nam.
Trong trường hợp có sử dụng hạ tầng điện toán đám mây quốc tế (chẳng hạn như dịch vụ sao lưu dự phòng CDN/Cloudflare hoặc hạ tầng xử lý trí tuệ nhân tạo AI), ZapoViet cam kết hoàn thiện đầy đủ Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài (DTA) trình Bộ Công an (A05) theo đúng quy định tại Điều 25 Nghị định 13/2023/NĐ-CP trước khi tiến hành chuyển giao.
9 Biện Pháp An Toàn và Bảo Mật Dữ Liệu Cá Nhân
ZapoViet áp dụng các biện pháp quản lý và kỹ thuật tiên tiến nhất nhằm bảo vệ dữ liệu khỏi rủi ro truy cập trái phép, mất mát, phá hoại hoặc rò rỉ:
🔒 Mã hóa dữ liệu tiêu chuẩn cao
Mã hóa đường truyền bằng giao thức TLS 1.3 / HTTPS. Mã hóa toàn bộ dữ liệu lưu trữ (Data at Rest) bằng thuật toán chuẩn quân sự AES-256 bits.
🛡️ Quản lý truy cập nghiêm ngặt
Áp dụng cơ chế phân quyền RBAC (Role-Based Access Control) và nguyên tắc quyền tối thiểu (Least Privilege). Bắt buộc xác thực đa yếu tố (2FA) đối với tài khoản quản trị.
💾 Sao lưu dự phòng & Khắc phục sự cố
Tự động sao lưu dữ liệu hàng ngày (Daily Automated Backup). Xây dựng kịch bản Disaster Recovery đảm bảo khôi phục dữ liệu trong vòng 2 giờ khi gặp sự cố phần cứng.
🚨 Quy trình ứng phó Sự cố Rò rỉ Dữ liệu
Trong trường hợp phát hiện sự cố an ninh mạng rò rỉ dữ liệu, ZapoViet cam kết thông báo cho Bộ Công an (A05) và gửi cảnh báo tới Khách hàng trong vòng 72 giờ kể từ thời điểm phát hiện sự cố theo quy định pháp luật.
10 Thời Gian Lưu Trữ và Tiêu Hủy Dữ Liệu An Toàn
- Dữ liệu được lưu trữ trong suốt thời gian Khách hàng duy trì Hợp đồng dịch vụ SaaS với ZapoViet.
- Sau khi chấm dứt Hợp đồng dịch vụ, Khách hàng có 30 ngày để tải xuống/xuất dữ liệu (Data Export). Sau thời hạn này, ZapoViet sẽ duy trì dữ liệu ở trạng thái lưu trữ khóa (Archived) tối đa 36 tháng nhằm mục đích giải quyết khiếu nại hoặc kiểm toán kế toán/thuế (nếu có).
- Khi hết thời hạn lưu trữ hoặc khi có yêu cầu xóa hợp lệ từ Chủ thể dữ liệu, ZapoViet sẽ tiến hành xóa vĩnh viễn dữ liệu khỏi hệ thống bằng quy trình tiêu hủy dữ liệu số an toàn (Secure Data Wipe), không thể khôi phục.
11 Chính Sách Cookies và Công Nghệ Theo Dõi
ZapoViet sử dụng Cookies và các công nghệ theo dõi tương tự (như LocalStorage, SessionStorage) để nâng cao trải nghiệm người dùng:
- Cookies Thiết yếu (Essential Cookies): Bắt buộc để duy trì phiên đăng nhập bảo mật và ghi nhớ trạng thái làm việc của cửa hàng/kho hàng.
- Cookies Tùy chỉnh (Preference Cookies): Ghi nhớ ngôn ngữ, giao diện hiển thị và tùy chọn cá nhân.
- Cookies Phân tích (Analytics Cookies): Đo lường lưu lượng truy cập, tốc độ phản hồi trang web để tối ưu hóa hiệu năng hệ thống.
Người dùng có thể chủ động từ chối hoặc quản lý Cookies thông qua phần cài đặt của trình duyệt web (Chrome, Firefox, Safari, Edge).
12 Bảo Vệ Dữ Liệu Trẻ Em & Dữ Liệu Cá Nhân Nhạy Cảm
Nền tảng ZapoViet là giải pháp quản trị kinh doanh B2B dành riêng cho người trưởng thành (từ đủ 18 tuổi trở lên) có đầy đủ năng lực hành vi dân sự. ZapoViet không cố ý thu thập hoặc xử lý bất kỳ dữ liệu cá nhân nào của trẻ em dưới 16 tuổi.
ZapoViet cũng không thu thập các dữ liệu cá nhân nhạy cảm như quan điểm chính trị, tôn giáo, thông tin di truyền, dữ liệu sinh trắc học cá nhân hoặc tình trạng sức khỏe trừ khi có yêu cầu pháp lý đặc thù.
13 Điều Khoản Thi Hành & Thông Tin Liên Hệ Chuyên Viên DPO
ZapoViet có quyền sửa đổi, cập nhật Chính Sách Bảo Mật này bất kỳ lúc nào để phản ánh các thay đổi trong quy định pháp luật hoặc cải tiến tính năng dịch vụ. Mọi sự thay đổi sẽ được công bố công khai trên website và gửi thông báo qua email/hệ thống tới Khách hàng trước 07 ngày kể từ ngày áp dụng bản cập nhật mới.
📍 ĐƠN VỊ VẬN HÀNH VÀ BỘ PHẬN BẢO VỆ DỮ LIỆU (DPO):
Tên tổ chức: CÔNG TY NỀN TẢNG CÔNG NGHỆ ZAPOVIET
Bộ phận chuyên trách: Ban Bảo vệ Dữ liệu Cá nhân & An ninh mạng (Data Protection Office - DPO)
Email chăm sóc khách hàng: support@zapoviet.io.vn
Email quản trị hệ thống: hoanglong@zapoviet.io.vn
Email nền tảng & kỹ thuật: platform@zapoviet.io.vn
Email tiếp nhận yêu cầu bảo mật: privacy@zapoviet.io.vn
Website chính thức: https://zapoviet.io.vn