Chính sách bảo mật thông tin

1. Phạm vi và bên kiểm soát dữ liệu

Chính sách này áp dụng cho website mocaone.com và các dịch vụ MocaOne cung cấp theo báo giá và hợp đồng. Chính sách được soạn theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Nghị định 356/2025/NĐ-CP, Luật Thương mại điện tử số 122/2025/QH15 và Nghị định 248/2026/NĐ-CP.

Bên kiểm soát dữ liệu cá nhân: Công ty Cổ phần Mocato Việt Nam, mã số thuế 0109787586, trụ sở tại Số 248 phố Phú Viên, phường Bồ Đề, thành phố Hà Nội, Việt Nam, do Trần Hữu Tùng — Giám đốc đại diện theo pháp luật. Liên hệ về dữ liệu cá nhân: [email protected], điện thoại 0243 996 9997.

Khi cung cấp dịch vụ, MocaOne có thể giữ hai vai trò: bên kiểm soát đối với dữ liệu của người liên hệ và khách hàng ký hợp đồng (liên hệ, hợp đồng, thanh toán), và bên xử lý đối với dữ liệu của khách hàng của khách hàng mà khách hàng đưa vào dự án (ví dụ dữ liệu trong hệ thống chúng tôi xây dựng hoặc vận hành giúp). Với vai trò bên xử lý, chúng tôi chỉ xử lý theo thỏa thuận xử lý dữ liệu ký với khách hàng.

2. Dữ liệu qua website

Website mocaone.com là trang tĩnh giới thiệu. Website không có tài khoản người dùng, không có biểu mẫu, không đặt cookie, không chạy mã theo dõi hay phân tích và không tải tài nguyên từ bên thứ ba (phông chữ và hình ảnh được lưu trên chính website).

Dữ liệu chúng tôi nhận được qua website là dữ liệu bạn chủ động gửi: nội dung email, địa chỉ email và tên hiển thị của bạn, khi bạn gửi thư tới [email protected] hoặc liên hệ qua điện thoại, Zalo. Chúng tôi chỉ dùng thông tin này để trả lời bạn, báo giá và thực hiện hợp đồng.

Máy chủ lưu trữ website (Cloudflare) có thể ghi nhật ký kỹ thuật như địa chỉ IP, thời điểm và trang được truy cập để vận hành và chống lạm dụng. Chúng tôi không tự thu thập hay khai thác các nhật ký này cho mục đích quảng cáo.

3. Dữ liệu chúng tôi thu thập khi cung cấp dịch vụ

Khi bạn liên hệ và sử dụng dịch vụ, chúng tôi thu thập dữ liệu theo từng mục đích. Dữ liệu cần thiết để thực hiện hợp đồng, xuất hóa đơn và tuân thủ nghĩa vụ pháp lý được xử lý không cần sự đồng ý riêng (Điều 19 Luật Bảo vệ dữ liệu cá nhân). Các mục đích còn lại, ví dụ nhận thông tin giới thiệu, chỉ thực hiện khi bạn đồng ý riêng cho từng mục đích, và bạn không bị bắt buộc đồng ý các mục đích đó để dùng dịch vụ.

• Dữ liệu liên hệ: họ tên, email, số điện thoại, tên doanh nghiệp, chức danh. Mục đích: trao đổi, báo giá, hỗ trợ.
• Dữ liệu hợp đồng và thanh toán: thông tin xuất hóa đơn, nội dung hợp đồng, chứng từ chuyển khoản, trạng thái thanh toán. Chúng tôi không lưu thông tin thẻ thanh toán (xem Chính sách thanh toán).
• Dữ liệu phục vụ dự án: thông tin truy cập và kết nối do bạn cung cấp (ví dụ quản trị website, kênh bán hàng) để thực hiện công việc đã thỏa thuận. Mục đích: thực hiện dự án.
• Dữ liệu do bạn đưa vào hệ thống thuộc dự án: nội dung hội thoại, đơn hàng, bài đăng. Chúng tôi xử lý với vai trò bên xử lý theo chỉ dẫn của bạn.
• Dữ liệu kỹ thuật và nhật ký: địa chỉ IP, loại thiết bị, nhật ký lỗi và hoạt động của hệ thống chúng tôi vận hành. Mục đích: bảo mật, chẩn đoán lỗi, vận hành.

Chúng tôi không thu thập dữ liệu cá nhân nhạy cảm nếu không thật sự cần thiết và không có sự đồng ý rõ ràng của bạn. Nếu bạn đưa dữ liệu của người khác vào dịch vụ, bạn chịu trách nhiệm có cơ sở hợp pháp để làm việc đó.

4. Phạm vi sử dụng

Chúng tôi chỉ sử dụng dữ liệu trong phạm vi các mục đích đã nêu ở mục 3: cung cấp và vận hành dịch vụ, thực hiện hợp đồng, xuất hóa đơn và đối soát, hỗ trợ khách hàng, bảo đảm an toàn hệ thống, và thực hiện nghĩa vụ theo pháp luật.

Chúng tôi không bán dữ liệu cá nhân. Chúng tôi không dùng nội dung dữ liệu của khách hàng để huấn luyện mô hình AI cho mục đích khác ngoài việc cung cấp tính năng cho chính khách hàng đó, trừ khi có thỏa thuận riêng và sự đồng ý rõ ràng.

5. Ai được tiếp cận dữ liệu

Dữ liệu chỉ được tiếp cận bởi nhân sự có thẩm quyền của MocaOne theo nguyên tắc cần-biết, và bởi các bên xử lý chúng tôi thuê để vận hành dịch vụ. Với mỗi bên, chúng tôi áp dụng điều khoản xử lý dữ liệu của nhà cung cấp hoặc hợp đồng xử lý dữ liệu riêng, bắt buộc họ bảo mật và chỉ xử lý theo chỉ dẫn.

• Cloudflare, Inc. (Hoa Kỳ): lưu trữ và phân phối website, và hạ tầng chạy các hệ thống chúng tôi vận hành.
• Google LLC (Hoa Kỳ): hộp thư và công cụ làm việc (Google Workspace) của MocaOne.
• Ngân hàng nhận thanh toán chuyển khoản của MocaOne: xử lý giao dịch chuyển tiền theo quy định của ngân hàng.
• Zalo (VNG Corporation, Việt Nam): kênh nhắn tin hỗ trợ khi bạn chủ động liên hệ qua số Zalo công bố; nội dung tin nhắn do bạn gửi được xử lý trên nền tảng Zalo theo điều khoản của nhà cung cấp này.

Chúng tôi chỉ cung cấp dữ liệu cho cơ quan nhà nước có thẩm quyền khi có yêu cầu hợp pháp bằng văn bản.

6. Chuyển dữ liệu ra nước ngoài

Cloudflare và Google ở mục 5 đặt hệ thống ngoài lãnh thổ Việt Nam. Theo Điều 20 Luật Bảo vệ dữ liệu cá nhân, việc dùng nền tảng ở nước ngoài để xử lý dữ liệu cá nhân thu thập tại Việt Nam là chuyển dữ liệu xuyên biên giới.

MocaOne lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi cơ quan chuyên trách trong thời hạn 60 ngày kể từ ngày đầu tiên chuyển dữ liệu, và cập nhật khi có thay đổi theo luật. Chúng tôi chỉ chuyển dữ liệu cho nhà cung cấp có điều khoản bảo mật và xử lý dữ liệu rõ ràng, và áp dụng cho dữ liệu đó các biện pháp bảo vệ nêu ở mục 8.

Email bạn gửi tới MocaOne được lưu trên hộp thư Google Workspace nêu trên và được bảo vệ, lưu trữ và xóa theo các mục 7 và 8 của chính sách này.

7. Thời gian lưu trữ

Chúng tôi lưu dữ liệu không lâu hơn mức cần thiết cho mục đích xử lý. Mức mặc định hiện nay:

• Email liên hệ và nội dung trao đổi chưa dẫn tới hợp đồng và không phải khiếu nại: tối đa 12 tháng kể từ lần liên hệ cuối, sau đó xóa.
• Dữ liệu dự án và dữ liệu của khách hàng: trong thời hạn hợp đồng. Sau khi hợp đồng chấm dứt hoặc dự án được nghiệm thu, bạn có 30 ngày để nhận bàn giao và tải dữ liệu; hết 30 ngày đó chúng tôi xóa, trừ dữ liệu chúng tôi phải lưu theo luật.
• Dữ liệu liên quan đến hợp đồng đã giao kết: tối thiểu 3 năm kể từ ngày giao kết (hoặc 1 năm nếu doanh nghiệp thuộc diện luật cho phép thời hạn ngắn hơn), theo Luật Thương mại điện tử. Chứng từ kế toán, thuế: theo thời hạn của pháp luật về kế toán và thuế.
• Hồ sơ phản ánh, khiếu nại và nội dung xử lý: ít nhất 3 năm kể từ ngày giải quyết xong.
• Nhật ký kỹ thuật: tối đa 90 ngày, trừ khi cần giữ lâu hơn để điều tra sự cố bảo mật.
• Dữ liệu của khách hàng của khách hàng (vai trò bên xử lý): theo thời hạn thỏa thuận với khách hàng; sau khi hợp đồng chấm dứt và hết 30 ngày tải dữ liệu, chúng tôi xóa hoặc trả lại.

8. Biện pháp bảo mật

• Truyền dữ liệu mã hóa qua HTTPS.
• Phân quyền truy cập theo vai trò, nguyên tắc cần-biết; không đưa khóa bí mật vào mã nguồn.
• Nhật ký truy cập, rà soát và cập nhật biện pháp kỹ thuật, quản lý khi cần.
• Chọn bên xử lý có cam kết bảo mật và ký hợp đồng xử lý dữ liệu với họ.
• Khi phát hiện hành vi vi phạm quy định bảo vệ dữ liệu cá nhân có thể gây tổn hại, chúng tôi thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện và thông báo cho người bị ảnh hưởng theo quy định.

Không có hệ thống nào an toàn tuyệt đối. Chúng tôi cam kết nỗ lực hợp lý và trung thực với bạn khi có sự cố.

9. Quyền của bạn và cách thực hiện

Bạn có quyền: được biết về việc xử lý dữ liệu; đồng ý hoặc không đồng ý và rút lại sự đồng ý; xem, chỉnh sửa hoặc yêu cầu chỉnh sửa; yêu cầu cung cấp, xóa, hạn chế xử lý, phản đối xử lý; khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường theo pháp luật.

Cách gửi yêu cầu: gửi văn bản (email là đủ) tới [email protected], ghi rõ họ tên, email đã dùng với MocaOne, quyền bạn muốn thực hiện và phạm vi dữ liệu. Chúng tôi có thể yêu cầu xác minh danh tính để tránh người khác mạo danh.

• Chúng tôi xác nhận đã nhận yêu cầu trong 02 ngày làm việc.
• Xem, chỉnh sửa, cung cấp dữ liệu: thực hiện trong 10 ngày kể từ ngày nhận yêu cầu hợp lệ (15 ngày nếu phải yêu cầu bên xử lý hoặc bên thứ ba thực hiện).
• Rút lại đồng ý, hạn chế xử lý, phản đối xử lý: thực hiện trong 15 ngày (20 ngày nếu phải yêu cầu bên xử lý hoặc bên thứ ba). Việc rút lại đồng ý không ảnh hưởng đến xử lý đã thực hiện trước đó.
• Xóa dữ liệu: thực hiện trong 20 ngày (30 ngày nếu phải yêu cầu bên xử lý hoặc bên thứ ba).

Chúng tôi có thể từ chối xóa hoặc hạn chế khi pháp luật cho phép hoặc yêu cầu giữ dữ liệu (ví dụ nghĩa vụ lưu chứng từ). Khi đó chúng tôi thông báo lý do cho bạn.

10. Khiếu nại về bảo mật thông tin

Nếu bạn cho rằng dữ liệu của mình bị xử lý sai, gửi khiếu nại tới [email protected] với tiêu đề “Khiếu nại bảo mật”. Chúng tôi tiếp nhận, thông báo đã nhận trong 02 ngày làm việc và trả lời kết quả theo quy trình và thời hạn tại trang Giải quyết khiếu nại. Bạn vẫn có quyền khiếu nại tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân hoặc khởi kiện theo pháp luật.

11. Trẻ em

Dịch vụ dành cho tổ chức và người từ đủ 18 tuổi. Chúng tôi không chủ ý thu thập dữ liệu cá nhân của trẻ em. Nếu phát hiện, chúng tôi sẽ xóa.

12. Thay đổi chính sách

Khi thay đổi nội dung thuộc các mục trên, chúng tôi đăng phiên bản mới, cập nhật số phiên bản và ngày hiệu lực ở đầu trang, và thông báo qua email với khách hàng đang có hợp đồng đối với thay đổi quan trọng.