Chính sách bảo mật dữ liệu

ZAgent là đơn vị xử lý dữ liệu (Data Processor) thay mặt doanh nghiệp khách hàng (Data Controller). Khách hàng quyết định mục đích và phạm vi xử lý; ZAgent thực hiện theo hướng dẫn đó và pháp luật.

• Dữ liệu tài khoản: tên, email, số điện thoại của Owner/User trong workspace.
• Dữ liệu vận hành: token đăng nhập Zalo, log truy cập, audit log.
• Dữ liệu khách hàng cuối: hội thoại Zalo, thông tin liên hệ khách, tags, ghi chú do bạn lưu.
• Dữ liệu kỹ thuật: User-Agent, IP, cookie phiên, sự cố lỗi (error report).

• Cung cấp tính năng được khách hàng yêu cầu (gom hội thoại, broadcast, AI bot…).
• Đảm bảo an toàn nền tảng (chống lạm dụng, anti-abuse, audit).
• Vận hành thanh toán, gia hạn, hoá đơn.
• Hỗ trợ khách hàng khi có yêu cầu (debug, recovery).
• Cải thiện chất lượng dịch vụ trên cơ sở dữ liệu tổng hợp ẩn danh.

Theo Điều 17 Nghị định 13/2023/NĐ-CP, ZAgent xử lý dữ liệu cá nhân dựa trên: (a) hợp đồng cung cấp dịch vụ với doanh nghiệp khách hàng, (b) sự đồng ý hợp pháp của chủ thể dữ liệu khi cần, (c) nghĩa vụ pháp lý của ZAgent.

Chúng tôi có thể chia sẻ một phần dữ liệu giới hạn cho các đối tác sau, đều đã ký DPA:

• VNG (Zalo): thông qua Zalo OA API / Zalo Cloud — bắt buộc cho hoạt động Zalo.
• Nhà cung cấp AI: OpenAI, Google (Gemini) — chỉ khi khách hàng dùng AI Bot, không bao gồm dữ liệu nhạy cảm vượt mức cần thiết.
• Hạ tầng cloud: nhà cung cấp lưu trữ + CDN — dữ liệu lưu mã hóa.
• Cổng thanh toán: SePay, Stripe (cho khách quốc tế) — dữ liệu thanh toán không được lưu trên ZAgent.

ZAgent không bán dữ liệu cá nhân cho bên thứ ba dưới bất kỳ hình thức nào.

Dữ liệu được lưu trữ tại Việt Nam và các trung tâm dữ liệu đối tác (đã đáp ứng tiêu chuẩn ISO 27001). Thời gian lưu:

• Dữ liệu hoạt động: theo gói khách hàng đã chọn (30 ngày → vĩnh viễn).
• Audit log: 90 ngày.
• Backup snapshot: 7 ngày tới 30 ngày tuỳ gói.
• Sau khi huỷ tài khoản: 30 ngày grace period rồi xoá vĩnh viễn (trừ log bắt buộc theo luật).

Bạn có quyền theo Điều 9–17 Nghị định 13/2023:

• Quyền được biết: bạn đang đọc tài liệu này.
• Quyền đồng ý / rút đồng ý: cài đặt trong workspace.
• Quyền truy cập, chỉnh sửa, xoá dữ liệu cá nhân.
• Quyền yêu cầu hạn chế xử lý.
• Quyền nhận bản sao dữ liệu (export).
• Quyền khiếu nại lên cơ quan có thẩm quyền.

Yêu cầu thực hiện quyền: gửi email [email protected] — chúng tôi phản hồi trong 7 ngày làm việc theo quy định.

Mã hoá AES-256 ở rest, TLS 1.3 ở transit, hash mật khẩu bcrypt cost 12, RBAC theo workspace, audit log không thể chỉnh sửa. Chi tiết tại /security.

ZAgent dùng cookie cần thiết (đăng nhập, phiên), cookie phân tích (PostHog ẩn danh), cookie ưu tiên (theme, locale). Không dùng cookie quảng cáo bên thứ ba. Chi tiết tại /cookies.

ZAgent không hướng đến trẻ em dưới 16 tuổi. Nếu phát hiện đã thu thập dữ liệu của trẻ em không có sự đồng ý của người giám hộ, chúng tôi sẽ xoá ngay khi nhận được thông báo.

Chúng tôi có thể cập nhật chính sách này. Thay đổi quan trọng sẽ được thông báo trước 30 ngày qua email + banner in-app.

Data Protection Officer: [email protected]