Tuyên bố bảo vệ dữ liệu

Cập nhật: 27.03.2026 Phiên bản: 2.0

Lưu ý về bản ngôn ngữ: bản tiếng Đức này là bản có giá trị pháp lý ràng buộc và quyết định. Bản dịch tiếng Anh nếu có chỉ để tham khảo; khi có mâu thuẫn, bản tiếng Đức được ưu tiên.

Tuyên bố này giải thích cách Etzensperger Informatik AG (“chúng tôi”) xử lý dữ liệu cá nhân khi bạn: (a) dùng website, dịch vụ trực tuyến, (b) tạo/quản lý tài khoản khách hàng SaaS, (c) là người dùng cuối/người tham gia nhập dữ liệu qua khách hàng trên nền tảng, (d) liên lạc với chúng tôi về hỗ trợ, bán hàng, tiếp thị, (e) ứng tuyển hoặc có quan hệ lao động với chúng tôi.

Chúng tôi đặc biệt tuân thủ Luật Bảo vệ dữ liệu Thụy Sĩ (DSG) và – khi áp dụng – Quy định bảo vệ dữ liệu chung của EU (DSGVO/GDPR).

1. Bên kiểm soát dữ liệu (Controller) và liên hệ

Bên chịu trách nhiệm xử lý theo DSG và, khi áp dụng, bên kiểm soát theo GDPR là:

Etzensperger Informatik AG Kirchweg 24 CH-3366 Bettenhausen Thụy Sĩ Email: support@edoobox.com Điện thoại: +41 43 434 65 91 Đăng ký thương mại/UID: CHE-107.413.131

2. Liên hệ / cố vấn / cán bộ bảo vệ dữ liệu (DPO)

Về bảo vệ dữ liệu, liên hệ: support@edoobox.com Etzensperger Informatik AG Kirchweg 24 CH-3366 Bettenhausen Thụy Sĩ

Lưu ý: nếu pháp luật áp dụng yêu cầu hoặc chúng tôi tự nguyện bổ nhiệm người phụ trách bảo vệ dữ liệu, có thể liên hệ người đó qua thông tin trên.

3. Mô hình vai trò SaaS: dữ liệu khách hàng và dữ liệu hoạt động kinh doanh riêng

3.1 Dữ liệu khách hàng (“Customer Content”): chúng tôi là bên xử lý

Khi dùng nền tảng SaaS, khách hàng có thể nhập dữ liệu cá nhân người dùng cuối/người tham gia (ví dụ dữ liệu tham dự, đặt chỗ/sự kiện). Trong phạm vi chúng tôi xử lý dữ liệu này theo ủy quyền và chỉ dẫn khách hàng:

• Khách hàng = bên kiểm soát dữ liệu (Controller),
• chúng tôi = bên xử lý dữ liệu theo ủy quyền (Processor).

Trong những trường hợp này, chúng tôi quy định việc xử lý dữ liệu theo ủy quyền trong một thỏa thuận riêng (AVV/DPA) với khách hàng.

3.2 Dữ liệu kinh doanh riêng: chúng tôi là bên kiểm soát

Chúng tôi cũng xử lý dữ liệu cá nhân cho mục đích riêng, như quản trị tài khoản, hợp đồng/tính phí, bảo mật, cải tiến sản phẩm, tiếp thị (nếu được phép), tuân thủ. Chúng tôi là bên kiểm soát đối với các hoạt động này.

4. Các loại dữ liệu cá nhân

Tùy ngữ cảnh, chúng tôi xử lý đặc biệt các nhóm sau:

A) Dữ liệu tài khoản và hợp đồng

• Họ, tên, công ty/tổ chức, vai trò/chức vụ
• Dữ liệu đăng nhập/định danh (ví dụ tên người dùng), giá trị băm mật khẩu
• Thông tin liên hệ (email, điện thoại, địa chỉ)
• Thông tin hợp đồng và gói dịch vụ, phạm vi giấy phép

B) Dữ liệu tính phí và thanh toán

• Địa chỉ hóa đơn, thông tin thuế GTGT
• Trạng thái thanh toán, dữ liệu giao dịch và tham chiếu (không gồm đầy đủ dữ liệu thẻ/ngân hàng nếu nhà cung cấp thanh toán xử lý trực tiếp)

C) Dữ liệu sử dụng và thiết bị

• Dữ liệu sử dụng trong nền tảng (ví dụ sử dụng tính năng, luồng nhấp trong ứng dụng)
• Dữ liệu thiết bị/trình duyệt, hệ điều hành, phiên bản ứng dụng
• Địa chỉ IP, dấu thời gian, vị trí gần đúng suy ra, ngôn ngữ/múi giờ

D) Dữ liệu giao tiếp và hỗ trợ

• Yêu cầu hỗ trợ, nội dung email/chat, tệp đính kèm
• Ghi chú cuộc gọi, phiếu hỗ trợ, lịch sử trạng thái và diễn biến

E) Dữ liệu nhật ký, bảo mật và siêu dữ liệu

• Nhật ký hệ thống và truy cập (ví dụ lần thử đăng nhập, thao tác quản trị)
• Nhật ký kiểm tra, báo cáo lỗi/sự cố
• Bản sao lưu/điểm khôi phục (gồm bản sao dữ liệu)

F) Dữ liệu marketing và sự kiện

• Đăng ký/hủy nhận bản tin, trạng thái đồng ý
• Tham số chiến dịch (ví dụ UTM), thông tin khách hàng tiềm năng

G) Dữ liệu ứng viên và nhân viên

• Hồ sơ ứng tuyển, nội dung giao tiếp, quản trị HR (có thể có thông báo riêng)

5. Mục đích xử lý và cơ sở pháp lý

Chúng tôi xử lý dữ liệu theo nguyên tắc đúng mục đích, tương xứng và tối thiểu. Dữ liệu được hủy hoặc ẩn danh khi không còn cần cho mục đích (bảo lưu nghĩa vụ lưu trữ pháp luật và lợi ích lưu trữ hợp pháp).

Khi GDPR áp dụng, chúng tôi xử lý dựa chủ yếu trên các cơ sở pháp lý sau:

• Thực hiện hợp đồng/biện pháp trước hợp đồng (Điều 6 khoản 1 điểm b GDPR),
• Nghĩa vụ pháp lý (Điều 6 khoản 1 điểm c GDPR),
• Lợi ích hợp pháp (Điều 6 khoản 1 điểm f GDPR),
• Sự đồng ý (Điều 6 khoản 1 điểm a GDPR) – ví dụ cho bản tin/tiếp thị hoặc cookie không thiết yếu, khi cần thiết,
• trường hợp ngoại lệ: bảo vệ lợi ích sống còn hoặc nhiệm vụ công (Điều 6 khoản 1 điểm d/e GDPR).

Mục đích chính:

5.1 Vận hành nền tảng SaaS và cung cấp tính năng

• Tạo tài khoản, đăng nhập, quyền truy cập, cung cấp tính năng
• Hỗ trợ, quản lý sự cố, phát triển, bảo đảm chất lượng

5.2 Hợp đồng, tính phí, quản trị

• Giao kết/quản lý hợp đồng, lập hóa đơn, thanh toán, nhắc nợ
• Kế toán tài chính, lưu bằng chứng, quản trị nội bộ

5.3 Bảo mật và ngăn ngừa lạm dụng

• Bảo mật IT, kiểm soát truy cập, ghi nhật ký, phát hiện gian lận/lạm dụng
• Thực thi điều khoản chung, bảo vệ quyền, yêu cầu pháp lý

5.4 Giao tiếp

• Thông báo dịch vụ (ví dụ lưu ý bảo mật, trạng thái hệ thống)
• Trao đổi hỗ trợ
• Giao tiếp marketing chỉ khi được phép hoặc có sự đồng ý

5.5 Vận hành trang web và cookie

Chúng tôi dùng cookie/công nghệ cần thiết để cung cấp website, nền tảng về mặt kỹ thuật. Với loại không thiết yếu (ví dụ đo tiếp cận, tiếp thị, mạng xã hội), chúng tôi quản lý sự đồng ý khi luật áp dụng yêu cầu. Bạn có thể rút lại, chỉnh sự đồng ý bất kỳ lúc nào trong cài đặt cookie ở chân trang.

Microsoft Advertising (Universal Event Tracking) Sau khi bạn đồng ý phân tích, tiếp thị, chúng tôi dùng Microsoft Advertising của Microsoft để gán lượt truy cập, đăng ký thành công cho quảng cáo. Có thể truyền URL đã xem, dữ liệu kỹ thuật trình duyệt/thiết bị, IP, mã cookie, mã nhấp quảng cáo (MSCLKID) tới Microsoft. Mã nhấp Microsoft do chúng tôi lưu được giữ tối đa 90 ngày để quy gán. Khi chuyển sang đăng ký tại app2.edoobox.com, chỉ truyền mã nếu có đồng ý tiếp thị. Khi rút lại, chúng tôi ngừng sự kiện UET, xóa mã tiếp thị liên quan trong khả năng truy cập. Microsoft cũng có thể xử lý dữ liệu cho quảng cáo riêng; xem thêm trong tuyên bố bảo vệ dữ liệu Microsoft.

6. Bên nhận, nhà cung cấp dịch vụ và bên xử lý dữ liệu phụ

Chúng tôi chỉ chia sẻ dữ liệu cá nhân khi cần thiết cho các mục đích đã nêu, khi có nghĩa vụ hoặc khi bạn đã đồng ý.

Các nhóm bên nhận có thể bao gồm:

• Nhà cung cấp lưu trữ/đám mây (vận hành, lưu trữ, sao lưu, giám sát)
• Nhà cung cấp dịch vụ liên lạc (email, SMS, điện thoại)
• Nhà cung cấp thanh toán (xử lý thanh toán, quản lý hóa đơn/gói dịch vụ)
• Nhà cung cấp phân tích/hiệu suất/bảo mật (ví dụ theo dõi lỗi, APM, CDN/WAF)
• Hệ thống CRM/hỗ trợ (phiếu hỗ trợ, chat, kho kiến thức)
• Cố vấn chuyên nghiệp (pháp lý, kiểm toán), ngân hàng/thu hồi nợ khi cần
• Cơ quan chức năng/tòa án khi pháp luật yêu cầu

Bên xử lý dữ liệu phụ (Subprocessors): danh sách hiện tại gồm mục đích, trụ sở, loại dữ liệu, cơ sở chuyển dữ liệu tại: https://www.edoobox.com/vi/tuân-thủ-dsg-và-gdpr-2/

7. Xử lý dữ liệu ở nước ngoài / chuyển dữ liệu xuyên biên giới

Dữ liệu nền tảng chính về nguyên tắc được lưu, xử lý chủ yếu tại Thụy Sĩ. Tùy nhà cung cấp, có thể xử lý trong EU/EEA hoặc nước khác. Nếu chúng tôi hoặc nhà cung cấp xử lý dữ liệu cá nhân ngoài Thụy Sĩ/EEA, chúng tôi bảo đảm mức bảo vệ phù hợp, đặc biệt qua:

• Quyết định về mức bảo vệ đầy đủ: quốc gia/tổ chức bảo vệ đầy đủ theo Thụy Sĩ; quyết định tương ứng của EU,
• Điều khoản hợp đồng/bảo vệ dữ liệu tiêu chuẩn (SCC) và biện pháp bổ sung khi cần,
• Các khung bảo vệ dữ liệu áp dụng (ví dụ Swiss-U.S. DPF hoặc EU-U.S. DPF), nếu áp dụng và bên nhận có chứng nhận tương ứng,
• hoặc bảo đảm khác theo luật/căn cứ chuyển dữ liệu ngoại lệ áp dụng.

8. Lưu giữ, xóa và kết thúc dịch vụ

Chúng tôi xác định thời hạn lưu theo nhu cầu biết và nhu cầu giữ.

8.1 Giá trị tham khảo

• Dữ liệu tài khoản/khách hàng: thời hạn hợp đồng cộng thời gian chuyển tiếp hợp lý để di chuyển và thực hiện hợp đồng
• Phiếu hỗ trợ: trong thời gian cần cho hỗ trợ, truy vết và tuân thủ
• Nhật ký bảo mật/truy cập: theo yêu cầu bảo mật và tuân thủ của chúng tôi
• Sao lưu: luân phiên theo chu kỳ sao lưu của chúng tôi (có thể xóa chậm)
• Dữ liệu khách hàng tiềm năng marketing: đến khi rút lại/hủy đăng ký hoặc hết mục đích
• Chứng từ kế toán/hóa đơn: theo nghĩa vụ lưu trữ pháp lý (thường tối đa 10 năm), nếu áp dụng

8.2 Tiếp nhận và kết thúc dịch vụ khách hàng

• Trong thời hạn hợp đồng: xử lý để cung cấp dịch vụ.
• Sau khi chấm dứt/kết thúc hợp đồng: (i) trả lại/xuất dữ liệu khách hàng khi cần, (ii) khóa tài khoản, (iii) xóa/ẩn danh sau thời hạn lưu trữ, trừ bản sao dữ liệu trong bản sao lưu cho đến lần ghi đè tiếp theo.
• Có thể xem xét yêu cầu xóa dữ liệu khách hàng sớm hơn nếu không có nghĩa vụ pháp lý hoặc lợi ích ưu tiên hơn ngăn cản.

9. Bảo mật dữ liệu (biện pháp kỹ thuật và tổ chức)

Chúng tôi áp dụng biện pháp kỹ thuật và tổ chức (TOM) phù hợp rủi ro, đặc biệt gồm:

Lưu ý: không thể bảo đảm an toàn tuyệt đối.

• Mã hóa khi truyền (TLS) và khi lưu trữ nếu phù hợp (Encryption at Rest)
• Mô hình vai trò và quyền tối thiểu cần thiết, phân tách môi trường
• Xác thực đa yếu tố cho quyền truy cập quản trị và các hệ thống nội bộ nhạy cảm, trong phạm vi kỹ thuật hỗ trợ
• Ghi nhật ký/kiểm tra thao tác liên quan đến bảo mật
• Vá lỗi/cập nhật định kỳ, quản lý lỗ hổng
• Sao lưu, phương án khôi phục và ứng phó khẩn cấp
• Đào tạo/cam kết của nhân viên (bảo mật thông tin)

10. Quyền của chủ thể dữ liệu

10.1 Quyền theo DSG của Thụy Sĩ

Tùy trường hợp và giới hạn pháp luật, bạn có các quyền sau:

• Quyền nhận thông tin, gồm mục đích, thời hạn/tiêu chí lưu giữ, bên nhận và quyết định tự động từng trường hợp,
• Quyền chỉnh sửa dữ liệu không chính xác,
• Quyền xóa/hủy dữ liệu khi được phép,
• Quyền nhận/chuyển dữ liệu theo các điều kiện pháp luật,
• Quyền liên quan đến quyết định tự động từng trường hợp (xem mục 11).

10.2 Quyền theo GDPR (khi áp dụng)

Tùy trường hợp, bạn có những quyền sau:

• Truy cập thông tin, chỉnh sửa, xóa, hạn chế xử lý,
• khả năng chuyển dữ liệu,
• Phản đối xử lý dựa trên lợi ích hợp pháp,
• Rút lại sự đồng ý với hiệu lực cho tương lai,
• Quyền khiếu nại với cơ quan giám sát.

10.3 Thực hiện các quyền

Gửi yêu cầu tới: support@edoobox.com. Chúng tôi có thể yêu cầu bằng chứng phù hợp để xác định danh tính.

Nguyên tắc vai trò SaaS quan trọng:

• Với “Customer Content” do khách hàng quản lý với vai trò bên kiểm soát, chúng tôi có thể không được phép trực tiếp sửa, xóa dữ liệu. Khi đó, trong phạm vi được phép, chúng tôi chuyển yêu cầu của chủ thể dữ liệu cho khách hàng tương ứng hoặc hướng dẫn bạn liên hệ trực tiếp.

11. Quyết định tự động từng trường hợp và lập hồ sơ

Nếu dùng quyết định cá nhân tự động có hiệu lực pháp lý hoặc ảnh hưởng đáng kể đến bạn, chúng tôi thông báo. Bạn có quyền trình bày quan điểm, yêu cầu người thật xem xét trong phạm vi luật áp dụng quy định. Hiện chúng tôi thông thường không dùng quyết định cá nhân tự động gây hiệu lực pháp lý hoặc ảnh hưởng đáng kể tương tự với chủ thể dữ liệu.

12. Thông báo vi phạm bảo mật dữ liệu (Data Breach)

Chúng tôi có quy trình phát hiện, điều tra, khắc phục, ghi nhận vi phạm bảo mật dữ liệu. Khi pháp luật yêu cầu, chúng tôi báo vi phạm liên quan cho cơ quan giám sát có thẩm quyền và thông báo người bị ảnh hưởng.

Khi xử lý dữ liệu theo ủy quyền, chúng tôi thông báo cho khách hàng không chậm trễ không cần thiết nếu phát hiện sự cố bảo mật liên quan đến dữ liệu khách hàng.

13. Dữ liệu ứng viên và nhân viên

Nếu ứng tuyển hoặc làm việc với chúng tôi, dữ liệu cá nhân được xử lý để thực hiện quan hệ ứng tuyển/lao động, quản trị, lương/bảo hiểm xã hội, tuân thủ, bảo mật CNTT. Chúng tôi cung cấp thêm thông báo bảo vệ dữ liệu nhân sự riêng khi cần hoặc trong quá trình ứng tuyển.

14. Người chưa thành niên

Dịch vụ của chúng tôi về nguyên tắc dành cho doanh nghiệp/người lớn. Người dưới 16 tuổi không nên dùng dịch vụ nếu chưa có sự đồng ý của người giám hộ, trong phạm vi pháp luật áp dụng yêu cầu.

15. Tuân thủ, kiểm tra và hợp đồng

• Trong phạm vi pháp luật yêu cầu hoặc tổ chức thấy hợp lý, chúng tôi duy trì danh mục hoạt động xử lý, ghi biện pháp bảo mật, sự cố liên quan. Chứng minh riêng cho khách hàng, bảng hỏi bảo mật, kiểm tra, kiểm toán được thực hiện sau thỏa thuận trước và tính phí riêng, trừ khi luật bắt buộc hoặc phát sinh do sự cố chúng tôi gây ra.
• Khi cần, chúng tôi ký thỏa thuận xử lý dữ liệu (AVV/DPA) với khách hàng.
• Chúng tôi ký hợp đồng phù hợp với các bên xử lý dữ liệu phụ, bao gồm TOM và – nếu cần – công cụ chuyển dữ liệu (ví dụ SCC).

16. Thay đổi tuyên bố bảo vệ dữ liệu này

Chúng tôi có thể cập nhật tuyên bố bảo vệ dữ liệu, ví dụ khi pháp luật hoặc sản phẩm thay đổi. Bản hiện hành được công bố tại /vi/tuyên-bố-bảo-vệ-dữ-liệu/. Thay đổi quan trọng được thông báo phù hợp.

17. Miễn trừ / giới hạn trách nhiệm (trong phạm vi cho phép)

Tuyên bố này mô tả xử lý dữ liệu theo hiểu biết tốt nhất của chúng tôi. Chúng tôi không bảo đảm dịch vụ bên ngoài (ví dụ website bên thứ ba, nhà cung cấp được liên kết) luôn hoạt động như nhau hoặc nội dung không đổi. Quy định trách nhiệm pháp luật được bảo lưu.