Chính sách bảo mật

1Phạm vi

Chính sách này áp dụng cho website holissuite.com, ứng dụng quản lý HolisSuite (chạy trên tên miền riêng của từng cơ sở dùng phần mềm) và các kết nối tới nền tảng bên ngoài mà cơ sở chủ động bật.

Trong chính sách, “cơ sở” là doanh nghiệp, hộ kinh doanh dùng HolisSuite để vận hành; “người dùng” là chủ và nhân viên của cơ sở; “khách của cơ sở” là người đặt lịch, mua dịch vụ hoặc nhắn tin cho cơ sở.

↑ Về mục lục

2Chúng tôi là ai và vai trò với dữ liệu

HolisSuite do HolisSuite (đang cập nhật tên pháp nhân) vận hành. Email liên hệ về dữ liệu: support@holissuite.com.

• Chúng tôi quyết định cách xử lý (bên kiểm soát) đối với: thông tin bạn gửi qua form Liên hệ trên website, và thông tin tài khoản người dùng.
• Chúng tôi xử lý thay cho cơ sở (bên xử lý) đối với: dữ liệu khách hàng, lịch hẹn, đơn hàng, liệu trình, nhân sự, tin nhắn mà cơ sở nhập hoặc kết nối vào phần mềm. Dữ liệu đó thuộc về cơ sở; chúng tôi chỉ lưu trữ và xử lý theo chỉ dẫn của cơ sở.

Nếu bạn là khách của một cơ sở và muốn hỏi về dữ liệu của mình, hãy liên hệ trực tiếp cơ sở đó trước — họ là bên quyết định. Chúng tôi sẽ hỗ trợ cơ sở thực hiện yêu cầu của bạn.

↑ Về mục lục

3Thông tin chúng tôi thu thập

Thông tin bạn tự cung cấp

• Form Liên hệ trên website: họ tên, số điện thoại; email, tên cơ sở và nội dung cần tư vấn nếu bạn điền; thời điểm bạn tick đồng ý.
• Tài khoản người dùng: họ tên, email, số điện thoại, chức vụ, chi nhánh. Với nhân viên, cơ sở có thể nhập thêm ngày sinh, giới tính, địa chỉ và số tài khoản ngân hàng để trả lương.
• Dữ liệu nghiệp vụ cơ sở nhập vào: thông tin khách hàng (họ tên, số điện thoại, giới tính, ngày sinh, tỉnh/thành, ghi chú), lịch hẹn, đơn hàng, thẻ liệu trình, công nợ, kho, chấm công, bảng lương, ảnh chụp trong quá trình chăm sóc khách. Một số dữ liệu này có thể liên quan tới sức khoẻ của khách; cơ sở chịu trách nhiệm có sự đồng ý của khách trước khi nhập.
• Khách đặt lịch online qua trang đặt lịch của một cơ sở: họ tên, số điện thoại, chi nhánh, dịch vụ, khung giờ và ghi chú khách tự nhập.

Thông tin ghi nhận tự động

• Nhật ký truy cập máy chủ: địa chỉ IP, loại trình duyệt, thời điểm và đường dẫn được gọi — để vận hành, chống tấn công và tìm lỗi.
• Chấm công: khi nhân viên chấm công, hệ thống ghi vị trí (toạ độ GPS và độ chính xác) cùng địa chỉ IP để đối chiếu với chi nhánh. Trình duyệt sẽ hỏi quyền vị trí trước.
• Nhật ký bảo mật: lần đăng nhập của quản trị viên nền tảng, thao tác quản trị, và mỗi lần một ứng dụng AI đã được cấp quyền đọc dữ liệu (thời điểm, loại dữ liệu, địa chỉ IP).

Website không dùng Google Analytics, Meta Pixel, TikTok Pixel hay bất kỳ công cụ theo dõi quảng cáo nào, và không gửi sự kiện chuyển đổi về các nền tảng quảng cáo.

Thông tin từ nền tảng cơ sở chủ động kết nối

Khi cơ sở kết nối Facebook, Instagram, Zalo OA, TikTok, WhatsApp hoặc Telegram, chúng tôi nhận tin nhắn khách gửi tới trang/tài khoản đó, tên và ảnh đại diện người nhắn (số điện thoại với WhatsApp), và bình luận trên bài viết của trang Facebook. Chi tiết ở mục 7.

Những gì chúng tôi không thu thập

Chúng tôi không thu thập dữ liệu sinh trắc học, không yêu cầu ảnh giấy tờ tuỳ thân, và không lưu số thẻ thanh toán — việc nạp tiền đi qua cổng thanh toán PayOS.

↑ Về mục lục

4Chúng tôi dùng thông tin để làm gì

• Liên hệ tư vấn khi bạn gửi form Liên hệ.
• Cung cấp các chức năng của phần mềm: lịch hẹn, bán hàng, thẻ liệu trình, kho, chấm công, bảng lương, báo cáo, hộp thư.
• Hiển thị tin nhắn từ các kênh đã kết nối và gửi câu trả lời của nhân viên qua đúng kênh đó.
• Khi cơ sở bật AI cho hộp thư: gửi nội dung hội thoại và tài liệu cơ sở nạp tới nhà cung cấp AI cơ sở đã chọn để soạn câu trả lời.
• Khi cơ sở dùng dịch vụ chạy quảng cáo của chúng tôi: dùng thông tin chiến dịch cơ sở gửi (mục tiêu, ưu đãi, hình ảnh) và — chỉ khi cơ sở chọn nhắm theo một nhóm khách trong phần mềm — danh sách số điện thoại của nhóm đó để tạo tệp đối tượng trên nền tảng quảng cáo.
• Đăng nhập, phân quyền, chống truy cập trái phép, sao lưu và khôi phục.
• Hỗ trợ kỹ thuật khi cơ sở yêu cầu.
• Thực hiện nghĩa vụ theo yêu cầu hợp lệ của cơ quan nhà nước có thẩm quyền.

↑ Về mục lục

5Căn cứ xử lý và luật áp dụng

Chúng tôi xử lý dữ liệu cá nhân theo pháp luật Việt Nam về bảo vệ dữ liệu cá nhân, dựa trên một trong các căn cứ sau:

• Sự đồng ý của bạn — với form Liên hệ (ô tick đồng ý trước khi gửi).
• Thực hiện hợp đồng — với tài khoản và dữ liệu cần để cung cấp dịch vụ cho cơ sở.
• Chỉ dẫn của cơ sở — với dữ liệu chúng tôi xử lý thay cho cơ sở.
• Nghĩa vụ pháp lý — ví dụ lưu chứng từ kế toán theo thời hạn luật định.

↑ Về mục lục

6Chia sẻ với ai

Chúng tôi không bán dữ liệu cá nhân và không dùng dữ liệu của cơ sở để quảng cáo. Dữ liệu chỉ đi tới các bên dưới đây, đúng phần cần cho từng việc:

Nhà cung cấp AI cho hộp thư do cơ sở tự chọn và tự nhập khoá: Google Gemini, Anthropic Claude, DeepSeek, Alibaba Qwen, Zhipu GLM, Moonshot Kimi, hoặc một dịch vụ tương thích khác do cơ sở cung cấp địa chỉ. Ngoài các bên trên, chúng tôi chỉ cung cấp dữ liệu khi có yêu cầu bằng văn bản hợp lệ của cơ quan nhà nước có thẩm quyền.

↑ Về mục lục

7Dữ liệu từ nền tảng Meta (Facebook, Instagram, WhatsApp)

Chúng tôi chỉ truy cập dữ liệu Meta sau khi cơ sở bấm kết nối và cấp quyền trên trang uỷ quyền chính thức của Facebook. Cơ sở chọn trang nào thì chỉ nhận dữ liệu của trang đó. Các quyền ứng dụng xin:

• Dữ liệu nhận về: tin nhắn khách gửi tới trang hoặc tài khoản Instagram, tên và ảnh đại diện người nhắn, bình luận trên bài viết của trang; với WhatsApp là số điện thoại của người nhắn.
• Dùng vào: hiển thị để nhân viên của cơ sở trả lời ngay trong HolisSuite. Nếu cơ sở bật AI cho hộp thư, nội dung hội thoại được gửi tới nhà cung cấp AI cơ sở đã chọn (mục 6).
• Không dùng vào: quảng cáo, lập hồ sơ người dùng, bán hay chia sẻ cho bên thứ ba ngoài mục 6. Tin nhắn và thông tin người nhắn nhận qua các quyền trên không được dùng để chạy quảng cáo. Ứng dụng không đọc số liệu quảng cáo qua API của Meta.
• Thông tin truy cập trang mà Meta cấp được lưu bảo mật trên máy chủ và chỉ dùng cho các việc nêu trên.
• Dữ liệu Meta được xử lý theo Điều khoản Nền tảng của Meta. Cách gỡ kết nối và yêu cầu xoá: xem Yêu cầu xoá dữ liệu.

↑ Về mục lục

8Chuyển dữ liệu ra nước ngoài

Một số nhà cung cấp ở mục 6 đặt máy chủ ngoài Việt Nam (ví dụ Cloudflare, Cloudinary, Google, Meta, TikTok, Telegram, Anthropic tại Hoa Kỳ hoặc nhiều quốc gia; một số nhà cung cấp AI như DeepSeek, Qwen, GLM, Kimi tại Trung Quốc). Dữ liệu chỉ đi tới nhà cung cấp AI và các nền tảng nhắn tin khi cơ sở chủ động bật tính năng tương ứng. Cơ sở nên cân nhắc nhà cung cấp AI phù hợp với yêu cầu của mình và của khách.

↑ Về mục lục

9Lưu trữ bao lâu

• Form Liên hệ: tối đa 24 tháng kể từ ngày gửi, sau đó hệ thống tự xoá. Bạn có thể yêu cầu xoá sớm hơn.
• Tài khoản và dữ liệu của cơ sở: trong suốt thời gian cơ sở dùng dịch vụ. Khi tài khoản cơ sở bị tạm khoá, dữ liệu được giữ 30 ngày để cơ sở có thể quay lại; quá 30 ngày, toàn bộ dữ liệu của cơ sở bị xoá vĩnh viễn.
• Bản sao lưu: sao lưu tự động hằng ngày, các bản cũ bị thay thế theo vòng xoay. Dữ liệu đã xoá có thể còn trong bản sao lưu cho tới khi bản đó bị thay thế.
• Phiên đăng nhập: hết hạn sau tối đa 30 ngày không dùng.
• Dữ liệu buộc phải lưu theo pháp luật (ví dụ chứng từ kế toán) được giữ đủ thời hạn luật định.

↑ Về mục lục

10Bảo mật

Chúng tôi áp dụng các biện pháp kỹ thuật và quản lý phù hợp để bảo vệ dữ liệu, gồm:

• Kết nối tới website và ứng dụng được mã hoá.
• Dữ liệu của mỗi cơ sở được tách riêng; cơ sở này không xem được dữ liệu của cơ sở khác.
• Mật khẩu và thông tin truy cập các nền tảng kết nối được lưu bảo mật.
• Phân quyền theo vai trò và theo từng người dùng.
• Ghi nhật ký các thao tác quản trị quan trọng.

Không hệ thống nào an toàn tuyệt đối. Nếu xảy ra sự cố ảnh hưởng tới dữ liệu cá nhân, chúng tôi sẽ thông báo cho cơ sở bị ảnh hưởng và cơ quan có thẩm quyền theo quy định.

↑ Về mục lục

11Quyền của bạn

Theo pháp luật Việt Nam, bạn có quyền:

• Được biết dữ liệu của mình đang được xử lý thế nào, xem và yêu cầu bản sao.
• Yêu cầu chỉnh sửa dữ liệu sai.
• Rút lại sự đồng ý và yêu cầu xoá dữ liệu.
• Yêu cầu hạn chế xử lý hoặc phản đối việc xử lý.
• Khiếu nại tới cơ quan nhà nước có thẩm quyền về bảo vệ dữ liệu cá nhân.

Người dùng tự xem, sửa và xuất dữ liệu (khách hàng, đơn hàng, báo cáo) ngay trong phần mềm theo quyền được giao. Các yêu cầu khác gửi tới support@holissuite.com; cách gửi yêu cầu xoá ở trang Yêu cầu xoá dữ liệu. Chúng tôi có thể hỏi thêm thông tin để xác minh bạn là chủ dữ liệu trước khi thực hiện.

↑ Về mục lục

12Trẻ em

HolisSuite là công cụ làm việc cho doanh nghiệp, không dành cho người dưới 16 tuổi, và website không cố ý thu thập dữ liệu của trẻ em. Nếu phát hiện dữ liệu của trẻ em được gửi qua form Liên hệ, chúng tôi sẽ xoá. Dữ liệu khách là trẻ em do cơ sở nhập thì cơ sở chịu trách nhiệm có sự đồng ý của cha mẹ hoặc người giám hộ.

↑ Về mục lục

13Tin nhắn tiếp thị

Hiện chúng tôi không gửi email hay tin nhắn quảng cáo tự động. Thông tin form Liên hệ chỉ dùng để gọi lại tư vấn theo yêu cầu của bạn. Nếu sau này có bản tin, chúng tôi chỉ gửi khi bạn đồng ý riêng và luôn kèm cách từ chối.

↑ Về mục lục

14Cookie

Website công khai không đặt cookie. Ứng dụng quản lý dùng cookie cần thiết để giữ phiên đăng nhập và lưu một số lựa chọn giao diện trên thiết bị. Danh sách đầy đủ: Chính sách cookie.

↑ Về mục lục

15Thay đổi chính sách

Khi chính sách thay đổi đáng kể, chúng tôi thông báo trong ứng dụng ít nhất 30 ngày trước ngày hiệu lực của bản mới. Ngày hiệu lực, số phiên bản và ngày cập nhật gần nhất luôn ghi ở đầu trang.

↑ Về mục lục

16Liên hệ

• Đơn vị vận hành: HolisSuite (đang cập nhật tên pháp nhân)
• Email: support@holissuite.com
• Địa chỉ: Đang cập nhật
• Website: holissuite.com

↑ Về mục lục