Thay thế: Chính sách bảo mật cập nhật ngày 05/03/2024
Văn bản này có thể có bản dịch tiếng Anh. Nếu bản dịch có chỗ khác với bản tiếng Việt, bản tiếng Việt được áp dụng.
Chính sách này giải thích chúng tôi thu thập dữ liệu cá nhân nào khi bạn dùng website ecocheck.ai và phần mềm EcoCheck, dùng để làm gì, chia sẻ với ai, lưu ở đâu và trong bao lâu, và bạn thực hiện quyền của mình như thế nào. Chính sách được soạn theo pháp luật Việt Nam về bảo vệ dữ liệu cá nhân hiện hành.
Với kết nối trợ lý AI, chính sách riêng tại https://ecocheck.ai/ai/bao-mat bổ sung chi tiết cho chính sách này. Nếu hai văn bản có chỗ khác nhau, chính sách này được áp dụng.
1. Chúng tôi là ai
1.1. EcoCheck là sản phẩm của CÔNG TY TNHH CÔNG NGHỆ BEEVR ("BeevR", "chúng tôi"), tên quốc tế BEEVR TECHNOLOGIES COMPANY LIMITED.
- Mã số doanh nghiệp (mã số thuế): 0110670663
- Địa chỉ: Lô S1, tầng 5, tòa Hoàng Ngân Plaza, 125 Hoàng Ngân, Phường Yên Hòa, Thành phố Hà Nội, Việt Nam
- Người đại diện theo pháp luật: Nguyễn Hữu Thiện
- Email: connect@beevr.ai
- Điện thoại: 037.6869.366
1.2. Hai vai trò của chúng tôi.
| Dữ liệu | Vai trò của BeevR | Ai quyết định mục đích xử lý |
|---|---|---|
| Dữ liệu tài khoản, dữ liệu liên hệ, form trên website, nhật ký bảo mật, cookie | Bên kiểm soát và xử lý dữ liệu cá nhân | BeevR |
| Dữ liệu cá nhân nằm trong Dữ liệu khách hàng do doanh nghiệp đưa vào workspace (người đại diện, nhân viên, liên hệ nhà cung cấp, chứng từ…) | Bên xử lý dữ liệu cá nhân | Doanh nghiệp sở hữu workspace (bên kiểm soát) |
Với nhóm thứ hai, chúng tôi chỉ xử lý theo chỉ dẫn của doanh nghiệp và theo Điều khoản dịch vụ. Nếu bạn là nhân viên hoặc đối tác của một doanh nghiệp dùng EcoCheck, hãy liên hệ doanh nghiệp đó trước. Chúng tôi sẽ hỗ trợ họ đáp ứng yêu cầu của bạn.
1.3. Người phụ trách bảo vệ dữ liệu cá nhân: ông Nguyễn Hữu Thiện. Email: connect@beevr.ai, tiêu đề "Bảo vệ dữ liệu cá nhân".
2. Dữ liệu cá nhân chúng tôi thu thập
| Nhóm | Dữ liệu cụ thể | Thu thập từ |
|---|---|---|
| Tài khoản | Họ, tên, email, số điện thoại, tên công ty/workspace, ngôn ngữ, mã định danh tài khoản; mật khẩu do AWS Cognito xử lý (chúng tôi không lưu) | Bạn, khi đăng ký |
| Hồ sơ (tuỳ chọn) | Ảnh đại diện, địa chỉ, ngày sinh, giới tính; với chuyên gia: số năm kinh nghiệm, lĩnh vực, chứng chỉ | Bạn |
| Vai trò và quyền | Workspace, tổ chức bạn tham gia; vai trò; người mời; trạng thái khoá | Hệ thống, Chủ workspace |
| Bằng chứng đồng ý | Ngày hiệu lực của điều khoản đã đồng ý, thời điểm chấp nhận, địa chỉ IP, thông tin trình duyệt (user-agent) | Hệ thống, khi bạn đăng ký hoặc chấp nhận bản mới |
| Nhật ký thao tác | Email người thao tác trong lịch sử duyệt, khoá năm, yêu cầu nhà cung cấp; nhật ký quản trị | Hệ thống |
| Nhật ký trợ lý AI | Người dùng, workspace, ứng dụng AI, thao tác, mức quyền, được phép hay bị chặn, thời điểm (không lưu nội dung hội thoại) | Hệ thống |
| Nhật ký kỹ thuật | Địa chỉ IP, thời điểm, đường dẫn, mã phản hồi, trình duyệt, trang giới thiệu (referrer) | Máy chủ, Cloudflare |
| Liên hệ và bán hàng | Họ tên, email, SĐT, công ty, mã số thuế, ngành, quy mô, nhu cầu, nội dung tin nhắn | Form liên hệ, báo giá, chuyên gia trên website |
| Góp ý trong ứng dụng | Nội dung, ảnh chụp màn hình (nếu bạn đính kèm), trang đang xem, trình duyệt | Bạn |
| Cổng nhà cung cấp | Tên doanh nghiệp, mã số thuế, người liên hệ (tên, email, SĐT), số liệu và tệp bằng chứng | Nhà cung cấp |
| Cookie và phân tích | Xem mục 9 | Trình duyệt của bạn |
| Dữ liệu khách hàng có thể chứa dữ liệu cá nhân | Tên, chức vụ, email, SĐT của người đại diện pháp luật và người phụ trách kiểm kê; danh bạ liên hệ; ghi chú tự do; hoá đơn, chứng từ tải lên | Doanh nghiệp sở hữu workspace |
Dữ liệu chúng tôi không yêu cầu: chúng tôi không yêu cầu số CCCD, thông tin tài khoản ngân hàng cá nhân, dữ liệu sức khoẻ, sinh trắc học hay vị trí chính xác. Xin đừng đưa các dữ liệu này vào ghi chú hay tệp đính kèm nếu không cần thiết.
Dữ liệu có thể thuộc nhóm nhạy cảm: theo pháp luật về bảo vệ dữ liệu cá nhân, thông tin đăng nhập và dữ liệu theo dõi hoạt động trên không gian mạng có thể thuộc nhóm dữ liệu cá nhân nhạy cảm. Chúng tôi xử lý các dữ liệu này chỉ để xác thực, bảo mật và thống kê sử dụng như mô tả ở mục 3.
3. Mục đích và căn cứ xử lý
| Mục đích | Dữ liệu | Căn cứ |
|---|---|---|
| Tạo, xác thực tài khoản; cung cấp Dịch vụ; phân quyền; gửi email giao dịch (kích hoạt, đặt lại mật khẩu, lời mời, thông báo) | Tài khoản, vai trò, nhật ký | Thực hiện hợp đồng với bạn hoặc tổ chức của bạn, và sự đồng ý của bạn khi đăng ký |
| Lưu bằng chứng giao kết điều khoản | Bằng chứng đồng ý | Thực hiện hợp đồng; nghĩa vụ chứng minh sự đồng ý theo pháp luật |
| Xử lý Dữ liệu khách hàng theo chỉ dẫn của doanh nghiệp | Dữ liệu khách hàng | Hợp đồng với doanh nghiệp (BeevR là bên xử lý) |
| Bảo mật, phòng chống gian lận và lạm dụng, điều tra sự cố | Nhật ký kỹ thuật, nhật ký AI, nhật ký quản trị, IP | Thực hiện hợp đồng; nghĩa vụ pháp luật về an ninh mạng |
| Hỗ trợ khách hàng; trả lời liên hệ và báo giá | Liên hệ, tài khoản | Sự đồng ý (ô đồng ý trên form) hoặc yêu cầu của bạn |
| Quản lý gói, xuất hoá đơn | Tài khoản, thông tin doanh nghiệp | Thực hiện hợp đồng; nghĩa vụ kế toán, thuế |
| Thống kê truy cập website để cải tiến | Cookie phân tích GA4 | Sự đồng ý riêng (banner cookie, mặc định tắt) |
| Đội kinh doanh liên hệ hỗ trợ dùng thử sau khi bạn đăng ký | Họ tên, email, SĐT | Một phần của việc hỗ trợ dùng thử. Bạn có thể từ chối bất kỳ lúc nào bằng cách trả lời email hoặc báo qua điện thoại |
| Gửi bản tin, tiếp thị | Chỉ khi bạn đồng ý riêng | |
| Tuân thủ yêu cầu của cơ quan nhà nước có thẩm quyền | Theo yêu cầu | Nghĩa vụ pháp luật |
Chúng tôi không bán dữ liệu cá nhân, không dùng dữ liệu cá nhân cho quảng cáo nhắm mục tiêu, và không dùng Dữ liệu khách hàng để huấn luyện mô hình AI.
Rút lại đồng ý: bạn có thể rút lại sự đồng ý bất kỳ lúc nào (mục 8). Việc rút lại không ảnh hưởng tới các xử lý đã thực hiện trước đó. Tuy nhiên, nếu bạn rút lại đồng ý với dữ liệu cần thiết để cung cấp tài khoản, chúng tôi sẽ không thể tiếp tục cung cấp Dịch vụ.
4. Chia sẻ dữ liệu
4.1. Bên xử lý thay mặt chúng tôi
| Bên nhận | Vai trò | Dữ liệu | Nơi xử lý |
|---|---|---|---|
| Amazon Web Services (AWS Lightsail, S3, Cognito) | Máy chủ, cơ sở dữ liệu, tệp đính kèm, xác thực đăng nhập, sao lưu | Toàn bộ dữ liệu tài khoản và Dữ liệu khách hàng | Singapore |
| Amazon Web Services (S3) | Bản sao lưu cơ sở dữ liệu, mã hoá | Bản sao toàn bộ cơ sở dữ liệu | Sydney, Úc |
| Amazon Web Services (SES) | Gửi một số email hệ thống và cảnh báo vận hành | Email người nhận, nội dung email | Hạ tầng AWS ở nước ngoài |
| Resend, Inc. | Gửi email giao dịch (kích hoạt, mã xác minh, đặt lại mật khẩu, lời mời, thông báo) | Email, tên người nhận, nội dung email | Gửi từ hạ tầng tại Tokyo, Nhật Bản; công ty tại Hoa Kỳ |
| Cloudflare, Inc. | CDN, chống tấn công, tường lửa ứng dụng web (WAF) cho ecocheck.ai | Địa chỉ IP, yêu cầu HTTP | Mạng toàn cầu |
| Google LLC (Google Workspace) | Hộp thư connect@beevr.ai: nhận email hỗ trợ, liên hệ và thông báo đăng ký mới | Nội dung email, họ tên, email, SĐT | Hạ tầng Google toàn cầu |
| Google LLC (Google Analytics 4) | Thống kê truy cập website, chỉ khi bạn đồng ý | Mã cookie, trang xem, thiết bị, vị trí ước lượng theo IP | Hoa Kỳ và toàn cầu |
| Google LLC (Google Fonts, YouTube) | Tải phông chữ; video nhúng trên website | Địa chỉ IP, trình duyệt | Toàn cầu |
| amCharts (qua CDN) | Thư viện biểu đồ trong ứng dụng | Địa chỉ IP, trình duyệt | Toàn cầu |
| Calendly LLC | Đặt lịch demo, chỉ khi bạn bấm chọn giờ | Tên, email bạn nhập | Hoa Kỳ |
Các bên này xử lý dữ liệu theo điều khoản dịch vụ và chính sách bảo vệ dữ liệu của họ.
4.2. Bên nhận khác
- Thành viên cùng workspace xem dữ liệu theo vai trò do Chủ workspace cấp. Chuyên gia và bên thẩm định do doanh nghiệp mời được xem trong phạm vi được cấp.
- Nhà cung cấp và khách hàng trong cổng nhà cung cấp:
- Khách hàng thấy số liệu, tên và thông tin liên hệ mà nhà cung cấp gửi.
- Nhà cung cấp thấy tên tổ chức yêu cầu và nội dung yêu cầu, nhưng không thấy email của người dùng phía khách hàng.
- Nhà cung cấp trợ lý AI do chính bạn kết nối (ví dụ Anthropic, OpenAI) nhận kết quả các thao tác bạn yêu cầu. Từ đó, dữ liệu chịu chính sách của họ. EcoCheck không tự gửi dữ liệu cho các bên này.
- Cơ quan nhà nước có thẩm quyền, khi có yêu cầu hợp lệ theo pháp luật.
- Bên kế thừa trong trường hợp sáp nhập, chia tách hay chuyển nhượng doanh nghiệp. Bên kế thừa phải tiếp tục tuân thủ chính sách này, và chúng tôi sẽ thông báo cho bạn.
5. Chuyển dữ liệu ra nước ngoài
5.1. Dữ liệu được xử lý ở đâu. EcoCheck vận hành trên điện toán đám mây đặt ở nước ngoài:
- máy chủ và dữ liệu chính ở Singapore;
- bản sao lưu ở Singapore và Úc;
- email giao dịch đi qua hạ tầng tại Nhật Bản của nhà cung cấp tại Hoa Kỳ;
- lưu lượng web đi qua mạng toàn cầu của Cloudflare.
Theo pháp luật về bảo vệ dữ liệu cá nhân, việc này là chuyển dữ liệu cá nhân ra nước ngoài. Khi đồng ý với chính sách này, bạn được thông báo về việc chuyển dữ liệu nói trên.
5.2. Biện pháp bảo vệ. Chúng tôi:
- mã hoá đường truyền;
- mã hoá bản sao lưu và tệp lưu trữ;
- giới hạn quyền truy cập ở mức cần thiết;
- chỉ dùng nhà cung cấp dịch vụ đám mây và email có cam kết bảo mật.
5.3. Thủ tục theo quy định. EcoCheck thực hiện các thủ tục về chuyển dữ liệu cá nhân ra nước ngoài theo quy định của pháp luật Việt Nam.
6. Thời gian lưu trữ
| Dữ liệu | Thời hạn |
|---|---|
| Tài khoản, hồ sơ | Trong thời gian tài khoản còn tồn tại. Khi bạn yêu cầu xoá: xử lý thủ công trong thời hạn pháp luật về bảo vệ dữ liệu cá nhân quy định |
| Dữ liệu khách hàng (workspace, số liệu, báo cáo, tệp đính kèm) | Trong thời gian dùng Dịch vụ. Sau khi chấm dứt, hoặc khi gói trả phí hết hạn mà không gia hạn, chúng tôi không có nghĩa vụ lưu giữ và có thể xoá (Điều khoản dịch vụ, Điều 15.3) |
| Bằng chứng đồng ý điều khoản | Lưu cùng tài khoản; có thể được giữ lâu hơn khi cần để giải quyết tranh chấp |
| Nhật ký thao tác trợ lý AI | Thời hạn lưu được đặt là 24 tháng; bản ghi quá hạn được hệ thống xoá dần |
| Thông báo trong ứng dụng | 180 ngày, tự xoá hằng ngày |
| Nhật ký kỹ thuật (log máy chủ) | Ghi đè vòng theo dung lượng; thời gian lưu thực tế phụ thuộc lưu lượng truy cập. Có thể lưu lâu hơn khi pháp luật yêu cầu |
| Nhật ký quản trị, nhật ký thao tác | Trong thời gian cần thiết cho mục đích bảo mật và kiểm tra |
| Liên hệ, báo giá, đăng ký chuyên gia trên website | Trong thời gian cần thiết để trả lời và chăm sóc khách hàng, hoặc tới khi bạn yêu cầu xoá |
| Hoá đơn, chứng từ kế toán | Theo thời hạn của pháp luật về kế toán và thuế |
| Bản sao lưu mã hoá | Bản hằng ngày: khoảng 30 ngày. Bản hằng tháng: khoảng 12 tháng. Bản trước mỗi lần cập nhật hệ thống: 60 ngày. Dữ liệu đã xoá chỉ hết hẳn khi các bản sao lưu chứa nó hết hạn |
| Cookie | Xem mục 9 |
7. Bảo mật dữ liệu
Các biện pháp chúng tôi đang áp dụng:
Mã hoá và xác thực
- Mã hoá đường truyền bằng TLS (HTTPS) cho website, ứng dụng và API.
- Mật khẩu do AWS Cognito quản lý; EcoCheck không lưu mật khẩu. Kết nối AI dùng OAuth 2.1 + PKCE, mã truy cập hết hạn sau 1 giờ.
- Tệp đính kèm và bản sao lưu được mã hoá khi lưu trữ (AES-256).
Phân quyền
- Phân quyền theo vai trò ở cả workspace, tổ chức và sổ kiểm kê. Quyền được kiểm tra trên máy chủ ở mỗi yêu cầu.
- Có thể khoá một tài khoản ở mọi lớp (đăng nhập, workspace, ứng dụng) và thu hồi phiên đăng nhập.
Giám sát và chống tấn công
- Nhật ký thao tác AI và nhật ký quản trị.
- Tường lửa ứng dụng web, giới hạn tần suất và chặn quét tự động.
Sao lưu
- Sao lưu hằng ngày ra vùng địa lý khác; đã kiểm thử khôi phục.
Không hệ thống nào an toàn tuyệt đối. Nếu phát hiện lỗ hổng, xin báo cho chúng tôi theo mục 13.
8. Quyền của bạn và cách thực hiện
8.1. Các quyền của bạn. Theo pháp luật về bảo vệ dữ liệu cá nhân, bạn có quyền:
- được biết về việc xử lý dữ liệu của mình;
- đồng ý hoặc rút lại đồng ý;
- xem, chỉnh sửa dữ liệu, hoặc yêu cầu chỉnh sửa;
- yêu cầu cung cấp bản sao dữ liệu;
- yêu cầu xoá dữ liệu;
- yêu cầu hạn chế xử lý;
- phản đối việc xử lý;
- khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường theo quy định.
8.2. Cách thực hiện.
- Họ tên, số điện thoại, ảnh đại diện, ngôn ngữ: tự sửa trong phần hồ sơ của ứng dụng.
- Các yêu cầu khác (kể cả yêu cầu xoá tài khoản): gửi email tới connect@beevr.ai, tiêu đề "Bảo vệ dữ liệu cá nhân", từ địa chỉ email của tài khoản, để chúng tôi xác minh. Hiện chưa có nút tự xoá tài khoản trong ứng dụng; yêu cầu được xử lý thủ công.
8.3. Thời hạn xử lý. Chúng tôi xác nhận đã nhận yêu cầu và hoàn tất trong thời hạn do pháp luật về bảo vệ dữ liệu cá nhân quy định. Nếu cần gia hạn trong phạm vi pháp luật cho phép, chúng tôi báo lý do cho bạn.
8.4. Dữ liệu trong workspace của một doanh nghiệp. Với dữ liệu cá nhân nằm trong Dữ liệu khách hàng (mục 1.2), chúng tôi chuyển yêu cầu của bạn tới doanh nghiệp sở hữu workspace và hỗ trợ họ thực hiện.
8.5. Khi chúng tôi có thể từ chối hoặc giới hạn. Chúng tôi có thể từ chối hoặc giới hạn yêu cầu khi pháp luật cho phép, ví dụ:
- dữ liệu phải giữ theo nghĩa vụ pháp luật;
- yêu cầu ảnh hưởng tới quyền của người khác;
- không xác minh được người yêu cầu.
Khi từ chối, chúng tôi nêu rõ lý do.
9. Cookie và công nghệ tương tự
| Tên | Loại | Mục đích | Thời hạn |
|---|---|---|---|
ecocheck_consent |
Cần thiết | Ghi nhớ lựa chọn cookie của bạn | 180 ngày |
accessToken, sessionToken, refreshToken, userName |
Cần thiết | Giữ đăng nhập (website, cổng nhà cung cấp) | Theo phiên đăng nhập |
ech_hv_* |
Cần thiết | Chuyển phiên đăng nhập an toàn từ website sang ứng dụng | 120 giây |
ech_acad_sid |
Cần thiết | Ghi nhớ tiến độ học trên EcoCheck Academy | 180 ngày |
uiLang, locale, ghgSectorField |
Chức năng | Ghi nhớ ngôn ngữ và lựa chọn giao diện | Đến 1 năm |
| Lưu trữ cục bộ của trình duyệt (localStorage/sessionStorage) | Cần thiết | Giữ phiên đăng nhập, workspace đang chọn, tuỳ chọn hiển thị | Đến khi đăng xuất hoặc xoá |
_ga, _ga_* (Google Analytics 4) |
Phân tích | Thống kê lượt truy cập website; chỉ đặt khi bạn bấm "Đồng ý"; quảng cáo luôn bị tắt | Theo mặc định của Google (tối đa 2 năm) |
Thống kê không dùng cookie: website còn đếm số lần xảy ra một số sự kiện (ví dụ bấm nút đăng ký) bằng bộ đếm của chính chúng tôi. Bộ đếm này không ghi IP, không gắn mã định danh và không dùng cookie.
Thay đổi lựa chọn: bạn đổi lựa chọn bất kỳ lúc nào qua liên kết "Quản lý cookie" ở chân trang. Ứng dụng EcoCheck (sau khi đăng nhập) không dùng công cụ phân tích hay quảng cáo của bên thứ ba.
10. Trẻ em
EcoCheck là dịch vụ cho doanh nghiệp, không dành cho người dưới 18 tuổi. Chúng tôi không cố ý thu thập dữ liệu của trẻ em. Nếu phát hiện đã thu thập dữ liệu của trẻ em, chúng tôi sẽ xoá.
11. Khi xảy ra vi phạm dữ liệu cá nhân
Khi phát hiện vi phạm có thể gây tổn hại tới dữ liệu cá nhân, chúng tôi:
- thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an trong thời hạn pháp luật quy định;
- thông báo cho doanh nghiệp sở hữu workspace bị ảnh hưởng không chậm trễ quá mức;
- thông báo cho người bị ảnh hưởng khi cần thiết để họ tự bảo vệ;
- áp dụng biện pháp khắc phục và rà soát lại biện pháp bảo mật.
12. Thay đổi chính sách
Khi cập nhật chính sách này, chúng tôi đăng bản mới có ngày hiệu lực. Với thay đổi quan trọng (mục đích mới, bên nhận mới, nơi lưu trữ mới), chúng tôi:
- thông báo qua email hoặc trên Dịch vụ ít nhất 15 ngày trước ngày hiệu lực;
- xin lại sự đồng ý khi pháp luật yêu cầu.
13. Liên hệ
Người phụ trách bảo vệ dữ liệu cá nhân: ông Nguyễn Hữu Thiện
- Email: connect@beevr.ai (tiêu đề "Bảo vệ dữ liệu cá nhân")
CÔNG TY TNHH CÔNG NGHỆ BEEVR (BEEVR TECHNOLOGIES CO., LTD)
- Mã số doanh nghiệp: 0110670663
- Địa chỉ: Lô S1, tầng 5, tòa Hoàng Ngân Plaza, 125 Hoàng Ngân, Phường Yên Hòa, Thành phố Hà Nội, Việt Nam
- Email chung: connect@beevr.ai
- Điện thoại: 037.6869.366 (thứ Hai – thứ Sáu, 8:30–17:30)
Nếu chưa hài lòng với cách chúng tôi giải quyết, bạn có quyền khiếu nại tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an.
© 2026 EcoCheck. Bảo lưu mọi quyền.
