Chính sách Bảo mật Dữ liệu

1. Giới thiệu chung

Chính sách Bảo mật này ("Chính sách") áp dụng cho mọi dịch vụ của Cogni Retail OS ("Cogni", "chúng tôi"), bao gồm nền tảng phần mềm Cogni Retail OS, website cogni.vn và các sản phẩm/dịch vụ kèm theo.

Bằng cách sử dụng dịch vụ Cogni, bạn đồng ý với các điều khoản trong Chính sách này. Nếu bạn không đồng ý, vui lòng ngừng sử dụng dịch vụ và liên hệ chúng tôi để xoá tài khoản.

Cogni tuân thủ Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân tại Việt Nam và tham chiếu các chuẩn quốc tế phổ biến (GDPR, ISO 27001) trong các quy trình bảo mật.

2. Dữ liệu chúng tôi thu thập

2.1. Dữ liệu cá nhân của khách hàng (Customer Personal Data)

Khi bạn đăng ký tài khoản, sử dụng dịch vụ, hoặc tương tác với website Cogni:

• Họ tên, email, số điện thoại
• Tên doanh nghiệp, vị trí công việc, ngành nghề
• Địa chỉ liên hệ, mã số thuế (nếu phát hành hoá đơn)
• Thông tin thanh toán (đã mã hoá, xử lý qua đối tác thanh toán)

2.2. Dữ liệu kinh doanh (Business Data)

Dữ liệu phát sinh từ vận hành hệ thống Cogni — thuộc sở hữu của khách hàng, Cogni chỉ xử lý theo yêu cầu:

• Đơn hàng, sản phẩm, tồn kho, khách hàng cuối
• Giao dịch tài chính, hoá đơn điện tử, đối soát
• Báo cáo nội bộ, dashboard, log thao tác

2.3. Dữ liệu kỹ thuật (Technical Data)

• Địa chỉ IP, loại trình duyệt, hệ điều hành
• Lịch sử đăng nhập, hành vi sử dụng tính năng
• Log lỗi, log truy cập (phục vụ debug + bảo mật)

3. Mục đích thu thập

Cogni thu thập và xử lý dữ liệu cho các mục đích sau:

1. Cung cấp dịch vụ: tạo tài khoản, xử lý đơn hàng, vận hành các mô đun Cogni
2. Thanh toán & Hoá đơn: tính phí dịch vụ, xuất hoá đơn cho khách hàng
3. Hỗ trợ khách hàng: tư vấn, xử lý sự cố, đào tạo người dùng
4. Cải thiện sản phẩm: phân tích hành vi sử dụng (đã ẩn danh) để cải tiến UX
5. Bảo mật & Phòng chống gian lận: phát hiện đăng nhập bất thường, ngăn truy cập trái phép
6. Tuân thủ pháp luật: đáp ứng yêu cầu của cơ quan có thẩm quyền khi cần
7. Marketing: gửi tin tức sản phẩm, khuyến mãi (CHỈ khi bạn đồng ý — có thể từ chối bất kỳ lúc nào)

4. Cơ sở pháp lý cho việc xử lý dữ liệu

Cogni xử lý dữ liệu của bạn dựa trên một trong các cơ sở sau:

• Sự đồng ý của bạn — khi bạn đăng ký tài khoản, sử dụng tính năng, hoặc đồng ý nhận thông báo
• Thực hiện hợp đồng — Hợp đồng Dịch vụ giữa bạn và Cogni
• Nghĩa vụ pháp lý — tuân thủ Luật Kế toán, Luật Thuế, Luật Hoá đơn điện tử
• Lợi ích hợp pháp — bảo mật hệ thống, cải tiến sản phẩm, phòng chống gian lận

5. Chia sẻ dữ liệu với bên thứ ba

Cogni KHÔNG bán, cho thuê, trao đổi dữ liệu cá nhân của khách hàng với bất kỳ bên thứ ba nào vì mục đích thương mại.

Trong một số trường hợp giới hạn, Cogni chia sẻ dữ liệu với:

• Đối tác hạ tầng đám mây: AWS, Google Cloud, Microsoft Azure — lưu trữ dữ liệu khách hàng (data center tại Việt Nam hoặc khu vực Châu Á)
• Đối tác thanh toán: VNPay, Momo, ZaloPay, ngân hàng — xử lý giao dịch thanh toán dịch vụ
• Nhà cung cấp HĐĐT: Viettel, VNPT, BKAV — phát hành hoá đơn điện tử thay khách hàng
• Sàn TMĐT: Shopee, TikTok Shop, Lazada — chỉ khi khách hàng tự kết nối để đồng bộ dữ liệu
• Cơ quan có thẩm quyền: khi pháp luật yêu cầu (lệnh khám xét, điều tra)

Mọi đối tác đều ký Hợp đồng Xử lý Dữ liệu (DPA) với Cogni, cam kết tuân thủ cùng chuẩn bảo mật.

6. Lưu trữ & Bảo mật dữ liệu

6.1. Vị trí lưu trữ

Dữ liệu khách hàng được lưu trữ tại data center khu vực Châu Á (chủ yếu Singapore, Tokyo, hoặc Việt Nam tuỳ gói dịch vụ). Khách hàng cấp Enterprise có thể yêu cầu lưu trữ on-premise tại hạ tầng doanh nghiệp.

6.2. Biện pháp bảo mật

• Mã hoá dữ liệu khi truyền (TLS 1.3) và khi lưu (AES-256)
• Xác thực 2 yếu tố (2FA) bắt buộc với tài khoản admin
• Phân quyền truy cập theo vai trò (RBAC) chi tiết
• Nhật ký truy cập đầy đủ — truy ngược được mọi thao tác
• Backup dữ liệu hàng ngày, lưu trữ 30 ngày-2 năm tuỳ cấp dịch vụ
• Penetration test định kỳ + bug bounty cho lỗ hổng nghiêm trọng

6.3. Thời gian lưu trữ

• Dữ liệu tài khoản: lưu trong suốt thời gian hợp đồng + 1 năm sau khi chấm dứt
• Dữ liệu kinh doanh: lưu theo cam kết trong Hợp đồng dịch vụ (tối thiểu 5 năm theo Luật Kế toán VN)
• Dữ liệu kỹ thuật (log): 6-24 tháng tuỳ loại log
• Sau thời hạn — dữ liệu được xoá vĩnh viễn hoặc ẩn danh hoá

7. Quyền của người dùng

Theo Nghị định 13/2023/NĐ-CP, bạn có các quyền sau đối với dữ liệu cá nhân của mình:

• Quyền được biết: biết dữ liệu nào của bạn đang được xử lý, mục đích, đối tượng nhận
• Quyền truy cập: yêu cầu xem bản sao dữ liệu cá nhân của bạn
• Quyền chỉnh sửa: cập nhật, sửa đổi thông tin không chính xác
• Quyền xoá: yêu cầu xoá dữ liệu cá nhân (trừ trường hợp pháp luật yêu cầu lưu)
• Quyền hạn chế xử lý: yêu cầu Cogni tạm ngừng xử lý dữ liệu trong một số trường hợp
• Quyền phản đối: phản đối xử lý dữ liệu cho mục đích marketing trực tiếp
• Quyền chuyển dữ liệu: yêu cầu xuất dữ liệu sang định dạng có thể đọc được (Excel, JSON, CSV)
• Quyền khiếu nại: khiếu nại với Cơ quan Bảo vệ Dữ liệu Cá nhân nếu cho rằng quyền bị xâm phạm

Để thực hiện các quyền trên, vui lòng gửi yêu cầu đến [email protected] — chúng tôi phản hồi trong 5 ngày làm việc.

8. Cookie & Công nghệ theo dõi

Website cogni.vn sử dụng cookie và các công nghệ tương tự để:

• Cookie cần thiết: duy trì phiên đăng nhập, ghi nhớ thiết lập (không thể tắt)
• Cookie phân tích: đo lường lưu lượng truy cập, hành vi (Google Analytics) — có thể tắt
• Cookie marketing: theo dõi quảng cáo (Facebook, TikTok, Google Ads) — yêu cầu sự đồng ý của bạn

Bạn có thể quản lý cookie qua cài đặt trình duyệt hoặc banner đồng ý cookie khi truy cập lần đầu.

9. Cập nhật Chính sách

Cogni có quyền cập nhật Chính sách Bảo mật khi có thay đổi quan trọng. Phiên bản mới sẽ được đăng tại trang này với ngày cập nhật rõ ràng.

Đối với thay đổi lớn ảnh hưởng đến quyền của bạn, Cogni sẽ thông báo qua email tối thiểu 30 ngày trước ngày có hiệu lực.

Bạn nên định kỳ kiểm tra trang này để cập nhật.

10. Liên hệ — Data Protection Officer (DPO)

Mọi câu hỏi, yêu cầu, khiếu nại liên quan đến dữ liệu cá nhân vui lòng liên hệ:

Trường hợp bạn không hài lòng với phản hồi của Cogni, có thể khiếu nại đến Cục An toàn Thông tin - Bộ Thông tin và Truyền thông hoặc cơ quan có thẩm quyền liên quan.