Chính sách bảo vệ dữ liệu cá nhân

Chính sách bảo vệ dữ liệu cá nhân này quy định nguyên tắc, phạm vi, phương thức thu thập, lưu trữ, sử dụng, chia sẻ và bảo vệ thông tin cá nhân của Khách hàng khi truy cập, đăng ký tài khoản và sử dụng các sản phẩm, dịch vụ do CÔNG TY TNHH TRAM LABS (sau đây gọi là “Tram Labs” hoặc “Chúng tôi”) cung cấp trên nền tảng Trạm AI. Tram Labs cam kết xử lý dữ liệu cá nhân theo đúng quy định của pháp luật Việt Nam và áp dụng các biện pháp kỹ thuật, quản trị phù hợp. Chính sách này là một phần không tách rời của Điều khoản nền tảng, được quy định cụ thể như sau:

Trong Chính sách này, Khách hàng là chủ thể dữ liệu cá nhân theo quy định của pháp luật về bảo vệ dữ liệu cá nhân. Đối với dữ liệu cá nhân của Khách hàng, Tram Labs là Bên Kiểm soát và xử lý dữ liệu cá nhân. Đối với dữ liệu cá nhân của người dùng cuối do Khách hàng là tổ chức đưa vào nền tảng, Khách hàng là Bên Kiểm soát dữ liệu cá nhân và Tram Labs là Bên Xử lý dữ liệu cá nhân. Quan hệ này được điều chỉnh bởi Điều khoản nền tảng, Chính sách này và thỏa thuận xử lý dữ liệu cá nhân ký riêng giữa Tram Labs và Khách hàng (nếu có).

1. Thông tin Chúng tôi thu thập

1.1. Thông tin do Khách hàng cung cấp

Các thông tin dưới đây thuộc nhóm dữ liệu cá nhân cơ bản, trừ trường hợp được nêu rõ là dữ liệu cá nhân nhạy cảm.

• Thông tin nhận dạng và liên hệ: họ và tên; địa chỉ email; số điện thoại; tên doanh nghiệp hoặc tổ chức; mã số thuế; địa chỉ xuất hóa đơn; thông tin người đại diện; giấy tờ định danh khi cần xác minh danh tính hoặc thực hiện nghĩa vụ pháp lý.
• Thông tin thanh toán và giao dịch: lịch sử nạp tiền, sử dụng số dư, giá trị và mã giao dịch, phương thức thanh toán, thông tin hóa đơn, lịch sử hoàn tiền.
• Thông tin liên hệ hỗ trợ: nội dung trao đổi qua email, điện thoại hoặc trực tiếp; phản ánh, khiếu nại và tài liệu Khách hàng chủ động cung cấp.
• Nội dung sử dụng dịch vụ: câu lệnh (prompt), văn bản, mã nguồn, tài liệu, hình ảnh, âm thanh, video, tệp tin và dữ liệu khác Khách hàng gửi lên để xử lý. Nội dung này chỉ được coi là dữ liệu cá nhân khi Khách hàng tự đưa dữ liệu cá nhân vào.

1.2. Thông tin thu thập tự động

• Thông tin thiết bị: loại thiết bị, hệ điều hành, trình duyệt, ngôn ngữ, múi giờ.
• Thông tin mạng và nhật ký truy cập (access log): địa chỉ IP, thời gian và thời lượng phiên, mã phiên, đường dẫn truy cập, khu vực ước tính theo IP.
• Dữ liệu vận hành dịch vụ: mô hình được chọn, thời điểm gửi và nhận, số lượt gọi, số token, thời gian xử lý, mã lỗi, lịch sử API Key.

1.3. Thông tin từ bên thứ ba

Khi Khách hàng sử dụng tính năng đăng nhập qua nền tảng xác thực, đối tác thanh toán hoặc dịch vụ hóa đơn điện tử (e-invoice), Chúng tôi có thể tiếp nhận tên, email, ảnh đại diện và mã định danh tài khoản trong phạm vi Khách hàng ủy quyền.

1.4. Cookie

Chúng tôi sử dụng Cookie và công nghệ tương tự để duy trì đăng nhập, ghi nhớ tùy chọn, phân tích lưu lượng truy cập và phòng chống gian lận. Khách hàng có thể quản lý Cookie qua thiết lập trình duyệt; việc tắt một số Cookie có thể ảnh hưởng đến trải nghiệm sử dụng.

2. Mục đích sử dụng thông tin

Chúng tôi sử dụng thông tin của Khách hàng nhằm:

• Tạo và quản lý tài khoản, xác minh chủ thể giao dịch;
• Cung cấp và vận hành dịch vụ, chuyển tiếp nội dung tới mô hình trí tuệ nhân tạo mà Khách hàng lựa chọn;
• Tính phí, xử lý thanh toán và xuất hóa đơn giá trị gia tăng;
• Hỗ trợ khách hàng, tiếp nhận và giải quyết phản ánh, khiếu nại;
• Bảo đảm an toàn hệ thống, phát hiện và ngăn chặn gian lận, lạm dụng;
• Bảo vệ dữ liệu cá nhân của trẻ em theo quy định của pháp luật;
• Sàng lọc tuân thủ quy định về cấm vận và kiểm soát xuất khẩu;
• Thực hiện nghĩa vụ pháp lý về thuế, kế toán, lưu trữ và phối hợp với cơ quan nhà nước có thẩm quyền.

3. Cơ sở pháp lý và sự đồng ý

3.1. Chúng tôi xử lý dữ liệu cá nhân dựa trên một hoặc nhiều căn cứ sau: sự đồng ý của Khách hàng; để thực hiện hợp đồng và cung cấp dịch vụ theo yêu cầu; để thực hiện nghĩa vụ pháp lý của Tram Labs; và vì lợi ích hợp pháp của Tram Labs trong bảo đảm an toàn hệ thống, phòng chống gian lận.

3.2. Sự đồng ý được thu thập khi Khách hàng đăng ký tài khoản bằng việc tích chọn đồng ý với Điều khoản nền tảng, Chính sách sử dụng và Chính sách này. Khách hàng có thể rút lại đồng ý bất cứ lúc nào; việc rút lại đồng ý đối với các mục đích cần thiết để cung cấp dịch vụ đồng nghĩa với việc ngừng sử dụng dịch vụ.

3.3. Việc rút lại đồng ý không ảnh hưởng đến tính hợp pháp của việc xử lý đã thực hiện trước đó.

4. Xử lý nội dung yêu cầu bởi nhà cung cấp mô hình ở nước ngoài

4.1. Trạm AI là nền tảng trung chuyển tới các mô hình trí tuệ nhân tạo được vận hành bởi các nhà cung cấp ở nước ngoài. Vì vậy, nội dung yêu cầu Khách hàng gửi lên (câu lệnh, tệp đính kèm và các tham số kỹ thuật) được chuyển tới nhà cung cấp ở nước ngoài để xử lý và trả kết quả. Đây là điều kiện kỹ thuật bắt buộc để dịch vụ vận hành. Thông tin tài khoản, thông tin liên hệ, mã số thuế và dữ liệu thanh toán của Khách hàng được lưu trữ tại Việt Nam và không được chuyển tới nhà cung cấp mô hình. Trường hợp Khách hàng tự đưa dữ liệu cá nhân vào nội dung yêu cầu, phần dữ liệu đó được chuyển ra nước ngoài theo mục này.

4.2. Chúng tôi chỉ chuyển nội dung yêu cầu và các tham số kỹ thuật cần thiết để xử lý yêu cầu. Chúng tôi không chuyển kèm thông tin định danh tài khoản và dữ liệu thanh toán của Khách hàng. Chúng tôi không ghi nhật ký nội dung câu lệnh và kết quả trả về, kể cả nhật ký gỡ lỗi và hàng đợi xử lý.

4.3. Tùy mô hình Khách hàng lựa chọn, nội dung yêu cầu được chuyển tới một trong các nhóm quốc gia hoặc khu vực tiếp nhận sau:

4.4. Bằng việc đồng ý với Chính sách này khi đăng ký tài khoản, Khách hàng đồng ý với việc xử lý nội dung yêu cầu theo mục này. Khách hàng có thể giới hạn các mô hình được phép sử dụng tại mục Quản lý model cho phép trong console; nội dung yêu cầu chỉ được chuyển tới nhà cung cấp vận hành các mô hình được phép.

4.5. Khi làm việc với nhà cung cấp, Chúng tôi áp dụng các nguyên tắc sau:

• Với nhà cung cấp vận hành song song nhiều kênh đặt tại các quốc gia khác nhau, Chúng tôi lựa chọn kênh có mức bảo vệ cao hơn.
• Chúng tôi giao kết thỏa thuận bảo vệ dữ liệu với nhà cung cấp trong phạm vi nhà cung cấp có cung cấp thỏa thuận đó, và lựa chọn cấu hình có mức bảo vệ cao nhất mà nhà cung cấp cho phép.
• Chúng tôi không cam kết cơ chế từ chối huấn luyện đối với các mô hình mà nhà cung cấp không công bố cơ chế đó.

4.6. Chúng tôi lập, lưu giữ và cập nhật Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài, và thực hiện nghĩa vụ gửi hồ sơ tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn pháp luật quy định.

5. Dữ liệu nhạy cảm và dữ liệu của trẻ em

5.1. Khách hàng không được nhập dữ liệu cá nhân nhạy cảm (quan điểm chính trị, tôn giáo; tình trạng sức khỏe; đời sống và xu hướng tình dục; dữ liệu di truyền, dữ liệu sinh trắc học; tình trạng phạm tội; dữ liệu tài chính cá nhân; dữ liệu vị trí) khi không có cơ sở pháp lý rõ ràng, và không được nhập dữ liệu cá nhân của người khác khi chưa có sự đồng ý hợp lệ hoặc cơ sở pháp lý.

5.2. Chúng tôi nghiêm cấm Khách hàng đưa dữ liệu sức khỏe định danh, dữ liệu sinh trắc học và dữ liệu cá nhân của trẻ em khác vào nội dung yêu cầu gửi qua nền tảng.

5.3. Người dưới 16 tuổi sử dụng dịch vụ với sự đồng ý và giám sát của cha mẹ hoặc người giám hộ hợp pháp (sau đây gọi là “Phụ huynh”) theo mục 3 Điều khoản nền tảng. Phụ huynh là người đồng ý và thực hiện các quyền về dữ liệu thay cho con, gồm quyền yêu cầu xem, chỉnh sửa, ngừng xử lý hoặc xóa dữ liệu của con bất kỳ lúc nào. Việc tích chọn đồng ý tại màn hình đăng ký của người dưới 16 tuổi phải do Phụ huynh thực hiện hoặc được Phụ huynh cho phép, và Phụ huynh chịu trách nhiệm bảo đảm việc đồng ý và thông tin về độ tuổi của con là đúng sự thật.

5.4. Chúng tôi xử lý dữ liệu cá nhân của trẻ em (người dưới 16 tuổi) vì lợi ích tốt nhất của trẻ và theo quy định của pháp luật. Chúng tôi không công bố, tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ; nếu có trường hợp cần làm việc này, Chúng tôi sẽ xin sự đồng ý của cả Phụ huynh và trẻ từ đủ 07 tuổi. Chúng tôi ngừng xử lý và xóa dữ liệu của trẻ khi Phụ huynh rút lại sự đồng ý, khi cơ quan nhà nước có thẩm quyền yêu cầu, hoặc khi phát hiện dữ liệu được thu thập không đúng quy định.

6. Thời gian lưu trữ

6.1. Dữ liệu cá nhân được lưu trong thời gian cần thiết để thực hiện mục đích xử lý, cung cấp dịch vụ, giải quyết khiếu nại, tranh chấp và thực hiện nghĩa vụ pháp lý.

6.2. Thời hạn lưu trữ cụ thể:

• Nội dung câu lệnh và kết quả trả về: không ghi nhật ký, kể cả nhật ký gỡ lỗi và hàng đợi xử lý.
• Dữ liệu tài khoản: trong thời gian tài khoản hoạt động. Sau khi chấm dứt, Chúng tôi chỉ giữ lại thông tin cần thiết cho chứng từ kế toán và hóa đơn theo thời hạn của pháp luật kế toán, thuế; phần còn lại được xóa hoặc ẩn danh.
• Dữ liệu giao dịch, thanh toán, hóa đơn: tối thiểu 10 năm theo pháp luật kế toán và thuế.
• Dữ liệu vận hành dịch vụ: trong thời hạn cần thiết để vận hành, đối soát và bảo đảm an toàn hệ thống.
• Nhật ký truy cập: theo thời hạn pháp luật về an ninh mạng quy định.
• Dữ liệu hỗ trợ, khiếu nại: đến khi vụ việc được giải quyết xong và hết thời hạn khiếu nại theo pháp luật.
• Bằng chứng đồng ý: trong thời gian xử lý dữ liệu và thời hạn cần thiết để giải quyết khiếu nại, tranh chấp sau đó.

6.3. Dữ liệu của người dùng tại Việt Nam, bao gồm dữ liệu tài khoản, nhật ký truy cập và bản sao lưu, được lưu trữ trên hạ tầng đặt tại Việt Nam theo quy định của pháp luật về lưu trữ dữ liệu trong nước.

6.4. Khi Khách hàng yêu cầu xóa dữ liệu, Chúng tôi xóa dữ liệu trong hệ thống của mình, nhưng chỉ có thể yêu cầu nhà cung cấp ở nước ngoài xóa trong phạm vi và thời hạn mà nhà cung cấp cam kết. Đối với dữ liệu đã được nhà cung cấp sử dụng để huấn luyện mô hình, về mặt kỹ thuật không thể xóa khỏi mô hình đã huấn luyện.

7. Chia sẻ thông tin

Chúng tôi chỉ chia sẻ thông tin của Khách hàng trong các trường hợp sau:

• Nhân sự của Tram Labs được phân công vận hành hệ thống và hỗ trợ Khách hàng, chỉ trong phạm vi cần thiết để thực hiện công việc;
• Đối tác cung cấp dịch vụ: hạ tầng máy chủ và lưu trữ trong nước, cổng thanh toán, hóa đơn điện tử, xác thực, bảo mật và chăm sóc khách hàng;
• Nhà cung cấp mô hình trí tuệ nhân tạo ở nước ngoài tương ứng với mô hình Khách hàng lựa chọn, theo mục 4;
• Cơ quan nhà nước có thẩm quyền khi có yêu cầu theo quy định của pháp luật;
• Tổ chức, cá nhân khác khi có sự đồng ý của Khách hàng.

Chúng tôi không mua, bán, trao đổi hoặc chuyển nhượng dữ liệu cá nhân của Khách hàng cho bên thứ ba vì mục đích thương mại.

Khách hàng lưu ý rằng cơ quan nhà nước của quốc gia nơi nhà cung cấp đặt trụ sở cũng có thể yêu cầu nhà cung cấp cung cấp dữ liệu theo pháp luật của quốc gia đó, và Tram Labs không kiểm soát được các yêu cầu này.

8. Quyền của Khách hàng

8.1. Khách hàng có các quyền: được biết; đồng ý và rút lại đồng ý; truy cập, xem; cập nhật, chỉnh sửa; yêu cầu cung cấp dữ liệu; phản đối và hạn chế xử lý; yêu cầu xóa dữ liệu; yêu cầu bồi thường thiệt hại; khiếu nại, tố cáo, khởi kiện; và tự bảo vệ.

8.2. Khách hàng gửi yêu cầu thực hiện quyền qua các kênh liên hệ tại mục 12. Chúng tôi có thể yêu cầu xác minh danh tính trước khi xử lý. Chúng tôi xác nhận đã tiếp nhận yêu cầu trong thời hạn không quá 03 ngày làm việc và giải quyết trong thời hạn không quá 15 ngày làm việc kể từ ngày nhận đủ thông tin cần thiết; đối với trường hợp phức tạp, thời hạn có thể được kéo dài và Chúng tôi thông báo lý do cùng thời gian dự kiến. Trường hợp pháp luật quy định thời hạn ngắn hơn, thời hạn theo pháp luật được áp dụng. Các yêu cầu có thể gửi gồm:

• Cung cấp bản sao dữ liệu cá nhân Chúng tôi đang lưu, bao gồm tình trạng đồng ý;
• Chỉnh sửa thông tin nhận dạng, liên hệ và thông tin xuất hóa đơn;
• Rút lại đồng ý. Để ngừng chuyển nội dung tới một mô hình, Khách hàng tự giới hạn tại mục Quản lý model cho phép trong console;
• Yêu cầu hạn chế xử lý một hoặc một số mục đích;
• Yêu cầu xóa dữ liệu hoặc xóa tài khoản. Trước khi thực hiện, Chúng tôi thông báo phạm vi dữ liệu bắt buộc phải lưu tiếp theo quy định của pháp luật;
• Đề nghị cung cấp thông tin về kết quả xử lý các yêu cầu đã gửi.

8.3. Chúng tôi thực hiện các quyền nêu trên không thu phí, trừ trường hợp yêu cầu được lặp lại nhiều lần một cách bất hợp lý theo quy định của pháp luật.

8.4. Việc xóa hoặc hạn chế xử lý được thực hiện trừ trường hợp pháp luật yêu cầu tiếp tục lưu trữ hoặc xử lý, và trừ giới hạn kỹ thuật nêu tại mục 6.4. Chúng tôi nêu rõ lý do khi từ chối một phần hoặc toàn bộ yêu cầu.

8.5. Phụ huynh của người dưới 16 tuổi thực hiện các quyền nêu trên thay cho con. Chúng tôi có thể yêu cầu xác minh quan hệ giữa Phụ huynh và người dưới 16 tuổi trước khi xử lý yêu cầu.

8.6. Với tư cách chủ thể dữ liệu, Khách hàng có nghĩa vụ tự bảo vệ dữ liệu cá nhân của mình; cung cấp thông tin đầy đủ, chính xác khi đồng ý cho xử lý dữ liệu; tôn trọng và bảo vệ dữ liệu cá nhân của người khác; và phối hợp với Chúng tôi, cơ quan nhà nước có thẩm quyền trong việc xử lý hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân.

9. Bảo mật và ứng phó sự cố

9.1. Chúng tôi áp dụng các biện pháp kỹ thuật và tổ chức phù hợp nhằm bảo vệ dữ liệu cá nhân khỏi bị mất, sử dụng sai mục đích, truy cập, tiết lộ, thay đổi hoặc phá hủy trái phép.

9.2. Chúng tôi áp dụng các biện pháp phù hợp nhằm bảo đảm nội dung yêu cầu chỉ được chuyển tới các nhóm quốc gia đã công bố tại mục 4, và chỉ tới nhà cung cấp của các mô hình Khách hàng cho phép sử dụng.

9.3. Chúng tôi không chủ động loại bỏ các dấu hiệu nhận biết nội dung trí tuệ nhân tạo, như siêu dữ liệu (metadata) hoặc hình mờ (watermark), mà nhà cung cấp gắn vào hình ảnh, âm thanh, video trả về.

9.4. Chúng tôi duy trì quy trình ứng phó sự cố dữ liệu cá nhân, bao gồm phát hiện, khoanh vùng, khắc phục và thông báo cho Khách hàng bị ảnh hưởng. Trường hợp phát hiện hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân, Chúng tôi thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn pháp luật quy định.

9.5. Chúng tôi chỉ định bộ phận, nhân sự có chức năng bảo vệ dữ liệu cá nhân và thông báo với cơ quan chuyên trách bảo vệ dữ liệu cá nhân theo quy định của pháp luật.

9.6. Mặc dù áp dụng các biện pháp nêu trên, không có hệ thống nào an toàn tuyệt đối. Khách hàng có trách nhiệm bảo mật thông tin đăng nhập và thông báo ngay cho Chúng tôi khi phát hiện dấu hiệu bất thường.

10. Sửa đổi chính sách

10.1. Chúng tôi có quyền cập nhật Chính sách này để phù hợp với thay đổi của pháp luật hoặc hoạt động dịch vụ. Nội dung sửa đổi được công bố trên website trước thời điểm áp dụng.

10.2. Khi có thay đổi trọng yếu, Chúng tôi sẽ thu thập lại sự đồng ý của Khách hàng. Việc bổ sung một mô hình có quốc gia tiếp nhận chưa từng được nêu tại mục 4.3, hoặc thay đổi mục đích xử lý dữ liệu, được coi là thay đổi trọng yếu.

11. Ngôn ngữ

Chính sách này được lập bằng tiếng Việt. Bản tiếng Việt là bản chính và là bản duy nhất có giá trị pháp lý. Các bản dịch sang ngôn ngữ khác, nếu có, chỉ nhằm mục đích tham khảo và thuận tiện cho Khách hàng. Trường hợp có bất kỳ khác biệt hoặc mâu thuẫn nào giữa bản tiếng Việt và bản dịch, bản tiếng Việt được áp dụng.

12. Liên hệ

Mọi yêu cầu về dữ liệu cá nhân hoặc thắc mắc về Chính sách này, Khách hàng vui lòng liên hệ:

CÔNG TY TNHH TRAM LABS

• Địa chỉ: Tầng 5 NO2-T5.03 TTTM & Văn phòng, Số 47 Nguyễn Tuân, Phường Thanh Xuân, Thành phố Hà Nội, Việt Nam
• Hotline: 0797 227 789
• Email: contact@tramlabs.io

Trường hợp không đồng ý với kết quả giải quyết, Khách hàng có quyền khiếu nại đến cơ quan nhà nước có thẩm quyền.