Chính sách bảo mật

Cập nhật lần cuối: 26/04/2026

Quyền riêng tư của khách hàng là ưu tiên của chúng tôi. Công ty Cổ phần Repio ("Repio", "chúng tôi") xây dựng Chính sách Bảo mật này để giải thích rõ ràng về việc chúng tôi thu thập, sử dụng, chia sẻ và bảo vệ dữ liệu cá nhân khi khách hàng sử dụng nền tảng của chúng tôi, bao gồm các tích hợp với Facebook Messenger, Zalo và WhatsApp. Khi sử dụng dịch vụ của Repio, khách hàng xác nhận đã đọc và đồng ý với nội dung Chính sách này.

Chính sách này được xây dựng phù hợp với Luật Bảo vệ dữ liệu cá nhân 2025 (Luật số 91/2025/QH15), Nghị định 356/2025/NĐ-CP, Luật Trí tuệ nhân tạo 2025 (Luật số 134/2025/QH15) và các quy định pháp luật Việt Nam có liên quan.

1. Dữ liệu chúng tôi thu thập

Để vận hành nền tảng và phục vụ khách hàng tốt hơn, chúng tôi thu thập các loại dữ liệu sau:

• Dữ liệu tài khoản: Khi đăng ký sử dụng nền tảng, chúng tôi thu thập các thông tin như tên, email, số điện thoại của người dùng hệ thống, cùng với thông tin đăng nhập, quản trị và thông tin thanh toán (nếu có).
• Dữ liệu hội thoại: Trong quá trình vận hành, hệ thống lưu trữ nội dung tin nhắn giữa người dùng cuối và hệ thống, lịch sử hội thoại đầy đủ, thông tin liên quan đến yêu cầu dịch vụ (ví dụ: đặt lịch hẹn, tư vấn dịch vụ) và thông tin đi kèm hội thoại bao gồm thời gian, kênh và trạng thái.
• Dữ liệu người dùng cuối: Thông qua các kênh nhắn tin, chúng tôi có thể nhận được họ tên, số điện thoại, nội dung trao đổi và thông tin hồ sơ công khai từ nền tảng nhắn tin (tên hiển thị, ảnh đại diện, theo phạm vi nền tảng cho phép). Dữ liệu này do khách hàng doanh nghiệp thu thập và gửi vào hệ thống Repio. Khách hàng doanh nghiệp chịu trách nhiệm thu thập sự đồng ý hợp lệ từ người dùng cuối trước khi dữ liệu được xử lý qua nền tảng.
• Dữ liệu nhạy cảm liên quan đến sức khỏe: Do Repio phục vụ doanh nghiệp trong nhiều lĩnh vực trong đó có các dịch vụ liên quan đến sức khoẻ, hệ thống có thể xử lý dữ liệu liên quan đến tình trạng sức khỏe cơ bản, nhu cầu điều trị hoặc thông tin dị ứng được người dùng cuối cung cấp trong hội thoại. Repio không chủ động thu thập loại dữ liệu này, nhưng nhận thức rằng dữ liệu sức khỏe có thể xuất hiện trong nội dung hội thoại. Dữ liệu sức khỏe được phân loại là dữ liệu cá nhân nhạy cảm theo Điều 4 Nghị định 356/2025/NĐ-CP và được áp dụng các biện pháp bảo vệ bổ sung (xem Mục 4). Khách hàng doanh nghiệp có trách nhiệm thu thập sự đồng ý rõ ràng từ người dùng cuối trước khi dữ liệu sức khỏe được nhập vào hoặc xử lý qua hệ thống, đồng thời cần thực hiện đánh giá tác động xử lý dữ liệu cá nhân theo quy định.
• Dữ liệu kỹ thuật: Khi khách hàng truy cập nền tảng, chúng tôi tự động thu thập một số thông tin kỹ thuật bao gồm địa chỉ IP, thông tin thiết bị và trình duyệt, log hệ thống và log truy cập, cùng với cookie và dữ liệu phân tích (xem Mục 10).
• Dữ liệu từ nền tảng bên thứ ba: Khi tích hợp với Facebook Messenger, Zalo và WhatsApp, chúng tôi nhận dữ liệu theo phạm vi mà các nền tảng này cho phép, bao gồm thông tin hồ sơ công khai và nội dung tin nhắn.

2. Cách chúng tôi sử dụng dữ liệu

Dữ liệu thu thập được sử dụng để cung cấp và vận hành nền tảng, tự động tạo phản hồi, quản lý và lưu trữ hội thoại, cải thiện hiệu năng và độ chính xác của hệ thống, phát hiện và ngăn chặn lạm dụng, hỗ trợ kỹ thuật cho khách hàng doanh nghiệp, và tuân thủ nghĩa vụ pháp lý.

Repio không sử dụng dữ liệu khách hàng để huấn luyện mô hình AI chung, quảng cáo hoặc tiếp thị đến người dùng cuối, hoặc bán và cho thuê cho bên thứ ba.

3. Cơ sở pháp lý cho việc xử lý dữ liệu

Theo Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP, chúng tôi xử lý dữ liệu cá nhân dựa trên các cơ sở sau:

• Hợp đồng: Xử lý dữ liệu cần thiết để thực hiện hợp đồng dịch vụ với khách hàng doanh nghiệp.
• Đồng ý: Sự đồng ý của chủ thể dữ liệu, do khách hàng doanh nghiệp thu thập từ người dùng cuối.
• Nghĩa vụ pháp lý: Khi pháp luật yêu cầu chúng tôi xử lý hoặc lưu giữ dữ liệu.
• Lợi ích hợp pháp: Để duy trì bảo mật hệ thống và ngăn chặn lạm dụng.

4. Bảo mật và lưu trữ dữ liệu

4.1 Cam kết bảo mật

Bảo vệ dữ liệu khách hàng là trách nhiệm xuyên suốt quá trình Repio cung cấp dịch vụ. Toàn bộ dữ liệu được lưu trữ trên hệ thống máy chủ đáp ứng tiêu chuẩn bảo mật, áp dụng mã hóa khi truyền tải và khi lưu trữ, kiểm soát truy cập theo vai trò, giám sát hệ thống liên tục và sao lưu định kỳ.

Dữ liệu chỉ được truy cập và xử lý trong phạm vi cần thiết để vận hành dịch vụ, hoặc khi có yêu cầu hợp pháp từ cơ quan có thẩm quyền.

4.2 Biện pháp bổ sung cho dữ liệu nhạy cảm

Đối với dữ liệu liên quan đến sức khỏe, chúng tôi áp dụng thêm các biện pháp bảo vệ bao gồm giới hạn quyền truy cập nội bộ chỉ cho nhân sự cần thiết, ghi log truy cập chi tiết và không sử dụng dữ liệu sức khỏe cho mục đích phân tích tổng hợp hoặc cải thiện hệ thống.

4.3 Lưu trữ dữ liệu

Repio chỉ lưu giữ dữ liệu cá nhân trong thời gian cần thiết để thực hiện các mục đích đã nêu trong Chính sách này và tuân thủ quy định pháp luật hiện hành. Sự đồng ý của khách hàng đối với các mục đích xử lý vẫn có hiệu lực sau khi kết thúc quan hệ sử dụng dịch vụ. Khi dữ liệu không còn cần thiết cho các mục đích đã xác định, chúng tôi sẽ xóa hoặc ẩn danh hóa dữ liệu một cách an toàn, trừ trường hợp pháp luật yêu cầu lưu giữ lâu hơn.

5. Chia sẻ dữ liệu

Repio không bán, cho thuê hoặc trao đổi dữ liệu cá nhân của khách hàng. Dữ liệu chỉ được chia sẻ trong các trường hợp sau:

• Khách hàng doanh nghiệp: Dữ liệu hội thoại và người dùng cuối thuộc phạm vi quản lý của họ.
• Nhà cung cấp dịch vụ: Một số đối tác kỹ thuật nhận dữ liệu để hỗ trợ vận hành nền tảng, bao gồm nhà cung cấp hạ tầng đám mây và nhà cung cấp mô hình trí tuệ nhân tạo. Các đối tác này phải tuân thủ các tiêu chuẩn bảo mật và quy định pháp luật Việt Nam về an toàn thông tin. Chi tiết được quy định trong hợp đồng dịch vụ.
• Cơ quan có thẩm quyền: Repio có thể cung cấp dữ liệu khi nhận được yêu cầu hợp pháp từ cơ quan nhà nước theo quy định pháp luật.

6. Tách biệt dữ liệu

Repio được thiết kế theo mô hình phục vụ nhiều khách hàng trên cùng hạ tầng, với cơ chế tách biệt dữ liệu chặt chẽ. Dữ liệu của mỗi khách hàng doanh nghiệp được lưu trữ tách biệt về mặt logic. Không có truy cập hoặc chia sẻ chéo dữ liệu giữa các khách hàng, và nội dung phản hồi được tạo riêng cho từng khách hàng dựa trên dữ liệu của chính họ.

7. Quyền của chủ thể dữ liệu

Tùy theo quy định pháp luật áp dụng, chủ thể dữ liệu có các quyền sau đây theo Luật Bảo vệ dữ liệu cá nhân 2025 (Điều 4):

• Quyền được biết: Được biết về việc xử lý dữ liệu cá nhân của mình.
• Quyền đồng ý: Đồng ý hoặc không đồng ý với việc xử lý dữ liệu.
• Quyền truy cập: Yêu cầu cung cấp bản sao dữ liệu cá nhân mà chúng tôi đang lưu trữ.
• Quyền chỉnh sửa: Yêu cầu chỉnh sửa dữ liệu không chính xác hoặc chưa đầy đủ.
• Quyền xóa: Yêu cầu xóa dữ liệu cá nhân trong các trường hợp nhất định.
• Quyền hạn chế xử lý: Yêu cầu ngừng hoặc hạn chế việc xử lý dữ liệu.
• Quyền rút lại đồng ý: Rút lại sự đồng ý đã cho trước đó.
• Quyền khiếu nại: Khiếu nại với cơ quan có thẩm quyền.

Đối với người dùng cuối, vì dữ liệu được thu thập bởi khách hàng doanh nghiệp, các yêu cầu về quyền dữ liệu nên được gửi trước tiên đến khách hàng doanh nghiệp liên quan. Repio sẽ hỗ trợ khách hàng doanh nghiệp thực hiện các yêu cầu này. Đối với người dùng hệ thống, vui lòng liên hệ trực tiếp với chúng tôi qua email: hello@repio.io.

8. Xóa dữ liệu

Khách hàng có thể yêu cầu xóa dữ liệu bằng cách gửi email đến hello@repio.io hoặc thực hiện qua giao diện quản trị trên nền tảng (khi tính năng khả dụng).

Yêu cầu xóa sẽ được xác nhận trong vòng 3 ngày làm việc và hoàn tất trong vòng 30 ngày kể từ ngày xác nhận. Dữ liệu đã gửi đến nhà cung cấp bên thứ ba sẽ được xóa theo chính sách lưu trữ của nhà cung cấp (thường là 30 ngày hoặc ngắn hơn).

Lưu ý rằng dữ liệu có thể được giữ lại sau khi xóa nếu có nghĩa vụ pháp lý yêu cầu lưu giữ (ví dụ: hồ sơ kế toán) hoặc nếu dữ liệu đã được ẩn danh hóa và không còn xác định được chủ thể.

9. Thông báo vi phạm dữ liệu

Trong trường hợp xảy ra vi phạm bảo mật dữ liệu, Repio sẽ thông báo cho khách hàng doanh nghiệp bị ảnh hưởng trong vòng 72 giờ kể từ khi phát hiện vi phạm. Thông báo sẽ bao gồm mô tả sự cố, loại dữ liệu bị ảnh hưởng, các biện pháp đã và đang thực hiện, cùng đầu mối liên hệ. Repio sẽ báo cáo cơ quan có thẩm quyền theo quy định của Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP. Khách hàng doanh nghiệp chịu trách nhiệm thông báo cho người dùng cuối bị ảnh hưởng theo nghĩa vụ pháp lý của mình.

10. Cookie và công nghệ theo dõi

Giống như hầu hết các nền tảng web, Repio sử dụng cookie để hỗ trợ xác thực, ghi nhớ cài đặt và phân tích lưu lượng truy cập. Khách hàng có thể quản lý cookie thông qua cài đặt trình duyệt.

Website marketing của Repio có thể sử dụng cookie cần thiết để vận hành (không yêu cầu đồng ý) và cookie phân tích để hiểu cách người dùng tương tác với website (yêu cầu đồng ý). Nền tảng Repio sử dụng cookie phiên cần thiết cho việc xác thực và vận hành, đây là cookie kỹ thuật bắt buộc và không được sử dụng cho mục đích quảng cáo.

Việc tắt cookie cần thiết có thể ảnh hưởng đến khả năng sử dụng dịch vụ.

11. Chuyển dữ liệu quốc tế

Một phần dữ liệu có thể được xử lý trên máy chủ đặt ngoài lãnh thổ Việt Nam. Trong mọi trường hợp, chúng tôi áp dụng các biện pháp bảo vệ phù hợp theo quy định pháp luật.

Dữ liệu có thể được xử lý bởi các nhà cung cấp hạ tầng đám mây và nhà cung cấp mô hình trí tuệ nhân tạo có máy chủ đặt tại nước ngoài, bao gồm Hoa Kỳ và các khu vực khác.

Khi chuyển dữ liệu ra ngoài Việt Nam, Repio thực hiện đánh giá tác động chuyển dữ liệu xuyên biên giới theo Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP khi cần thiết, chỉ chuyển dữ liệu đến các nhà cung cấp có cam kết bảo mật phù hợp và áp dụng mã hóa để bảo vệ dữ liệu trong quá trình truyền tải.

12. Dữ liệu theo từng nền tảng tích hợp

Repio tích hợp với nhiều nền tảng nhắn tin để hỗ trợ quản lý hội thoại và chăm sóc khách hàng. Dưới đây là cách chúng tôi xử lý dữ liệu từ từng nền tảng:

Facebook Messenger

• Thu thập dữ liệu qua API: Repio thu thập dữ liệu tin nhắn, thông tin hồ sơ công khai của người dùng (tên hiển thị, ảnh đại diện) và lịch sử tương tác qua Facebook Graph API, trong phạm vi quyền mà khách hàng doanh nghiệp đã cấp khi kết nối Facebook Page.
• Cập nhật theo thời gian thực: Repio nhận thông báo từ webhook của Facebook khi có tin nhắn mới hoặc sự kiện tương tác, cho phép hệ thống phản hồi ngay lập tức.
• Xử lý dữ liệu: Dữ liệu được xử lý để quản lý hội thoại, tạo phản hồi tự động và hỗ trợ chăm sóc khách hàng. Chỉ dữ liệu được nền tảng cho phép mới được thu thập.
• Lưu trữ: Dữ liệu từ Facebook Messenger được lưu trữ an toàn trên máy chủ của Repio với mã hóa khi truyền tải và khi lưu trữ.

Việc sử dụng dữ liệu từ Facebook tuân thủ Chính sách dữ liệu của Meta. Khách hàng doanh nghiệp chịu trách nhiệm tuân thủ điều khoản của Meta khi sử dụng tích hợp này.

Zalo

• Thu thập dữ liệu qua API: Repio thu thập dữ liệu tin nhắn và thông tin tương tác qua Zalo OA API để quản lý giao tiếp với khách hàng trên nền tảng Zalo.
• Xử lý dữ liệu: Dữ liệu được xử lý để phản hồi yêu cầu của người dùng cuối, quản lý hội thoại và tạo phản hồi tự động.
• Lưu trữ: Dữ liệu từ Zalo được lưu trữ an toàn và mã hóa trên máy chủ của Repio.

Việc sử dụng dữ liệu từ Zalo tuân thủ chính sách dữ liệu của Zalo/VNG.

WhatsApp

• Thu thập dữ liệu qua API: Repio thu thập dữ liệu tin nhắn, log tương tác và thông tin người dùng qua WhatsApp Business API để quản lý luồng nhắn tin.
• Xử lý dữ liệu: Tin nhắn được xử lý để quản lý hội thoại, tạo phản hồi tự động và tích hợp với hệ thống chăm sóc khách hàng.
• Lưu trữ: Dữ liệu từ WhatsApp được mã hóa và lưu trữ an toàn trên máy chủ của Repio.

Việc sử dụng dữ liệu từ WhatsApp tuân thủ chính sách dữ liệu của Meta/WhatsApp.

13. Liên kết đến website bên ngoài

Dịch vụ của chúng tôi có thể chứa liên kết đến các website hoặc dịch vụ bên ngoài không thuộc sở hữu hoặc kiểm soát của Repio. Chúng tôi không chịu trách nhiệm về nội dung, chính sách bảo mật hoặc cách xử lý dữ liệu của các website bên thứ ba. Khách hàng nên xem xét chính sách bảo mật của từng website trước khi cung cấp thông tin cá nhân.

14. Bảo vệ dữ liệu trẻ em

Nền tảng Repio được thiết kế cho doanh nghiệp, không dành cho người dưới 16 tuổi. Chúng tôi không chủ đích thu thập dữ liệu cá nhân của trẻ em. Trong trường hợp khách hàng doanh nghiệp xử lý dữ liệu liên quan đến trẻ em qua nền tảng, họ phải đảm bảo có sự đồng ý từ cha mẹ hoặc người giám hộ hợp pháp. Nếu phát hiện dữ liệu của trẻ em đã được gửi vào hệ thống mà không có sự đồng ý phù hợp, vui lòng liên hệ với chúng tôi ngay.

15. Thay đổi Chính sách

Chính sách này có thể được điều chỉnh khi có thay đổi về dịch vụ, đối tác hạ tầng hoặc quy định pháp luật. Khi có cập nhật quan trọng, chúng tôi sẽ gửi thông báo qua email hoặc hiển thị trên nền tảng ít nhất 15 ngày trước ngày áp dụng. Phiên bản hiện hành luôn được công bố tại repio.io/chinh-sach-bao-mat.

16. Liên hệ

Nếu Khách hàng có câu hỏi về Chính sách Bảo mật này hoặc về cách chúng tôi xử lý dữ liệu, vui lòng liên hệ:

• Email: hello@repio.io
• Địa chỉ: Số nhà 26, ngõ 203 Chùa Bộc, Phường Kim Liên, Thành phố Hà Nội, Việt Nam
• Thời gian phản hồi: Trong vòng 3 ngày làm việc

Đối với các yêu cầu hoặc câu hỏi liên quan đến bảo vệ dữ liệu, vui lòng liên hệ qua email: hello@repio.io.