1. Căn cứ Pháp lý & Nguyên tắc Tuân thủ
Chính sách này được xây dựng phù hợp với quy định tại Nghị định số 13/2023/NĐ-CP của Chính phủ nước Cộng hòa Xã hội Chủ nghĩa Việt Nam về Bảo vệ dữ liệu cá nhân và Luật An ninh mạng năm 2018.
Meko Chatbot (thuộc Hệ sinh thái AI Ops Solutions / Cường Nguyễn) cam kết thực hiện đầy đủ trách nhiệm của Bên Kiểm soát và Bên Xử lý dữ liệu cá nhân theo các nguyên tắc: Hợp pháp, Minh bạch, Đúng mục đích đã thông báo, Tối thiểu hóa dữ liệu và Bảo mật tuyệt đối.
2. Các Loại Dữ liệu Cá nhân Được Thu thập
A. Dữ liệu Chủ tài khoản Doanh nghiệp (Người dùng Meko)
- Địa chỉ email đăng ký (OTP email hoặc tài khoản Google).
- Họ tên hiển thị tài khoản, địa chỉ IP đăng nhập và chuỗi User-Agent trình duyệt để phát hiện truy cập bất thường.
- Lịch sử nạp ví và đối soát giao dịch VietQR SePay.
B. Dữ liệu Khách ghé thăm Chat qua Widget / Fanpage / Zalo OA
- Nội dung văn bản các câu hỏi, tin nhắn trao đổi trong phiên hội thoại.
- Thông tin liên hệ (Họ tên, Số điện thoại, Email) do khách hàng chủ động nhập vào khung chat khi có nhu cầu tư vấn hoặc mua hàng.
- Đường dẫn URL trang web mà khách hàng đang xem (Page & Context Awareness) nhằm giúp bot trả lời đúng ngữ cảnh sản phẩm.
3. Mục đích Thu thập & Xử lý Dữ liệu
- Vận hành phản hồi AI tức thì: Tra cứu tài liệu tri thức để trợ lý AI trả lời khách hàng 24/7.
- Trích xuất Lead & Chấm điểm tiềm năng: Tự động bóc tách thông tin liên hệ và chuyển thẳng vào hộp thư nội bộ của chính doanh nghiệp sở hữu workspace đó hoặc đồng bộ về CRM/Webhook của doanh nghiệp.
- Bàn giao nhân viên tiếp quản: Lưu trữ lịch sử tin nhắn để nhân viên hỗ trợ có đầy đủ ngữ cảnh trò chuyện khi tiếp quản cuộc hội thoại (Human Takeover).
- Đối soát & Trừ cước ví: Tính toán chính xác số token tiêu thụ thực tế của từng phiên chat.
4. Quyền của Chủ thể Dữ liệu (Điều 9 NĐ 13/2023/NĐ-CP)
Chủ thể dữ liệu có đầy đủ các quyền theo quy định của pháp luật, bao gồm:
- Quyền được biết & Đồng ý: Được biết rõ mục đích và phạm vi thu thập dữ liệu trước khi cung cấp.
- Quyền truy cập & Xem dữ liệu: Chủ tài khoản có thể truy cập lịch sử hội thoại, nhật ký đăng nhập và danh sách khách hàng tiềm năng bất kỳ lúc nào trên console quản trị.
- Quyền yêu cầu xóa dữ liệu (Right to be Forgotten): Chủ tài khoản có thể chủ động bấm xóa các lead hoặc yêu cầu xóa toàn bộ tài khoản và tri thức đã tải lên.
5. Thời gian Lưu trữ & Cơ chế Retention Tự động 30 Ngày
Hệ thống Meko áp dụng cơ chế xóa mềm (soft-delete) 30 ngày đối với các tài khoản yêu cầu xóa hoặc dữ liệu hội thoại cũ. Sau 30 ngày, hệ thống background worker tự động thực hiện thanh trừng vĩnh viễn (purge) khỏi cơ sở dữ liệu và vector index, không thể phục hồi.
6. Biện pháp Kỹ thuật & Cách ly Đa Tenant (Row-Level Security)
Meko triển khai kiến trúc bảo mật nhiều lớp chuẩn công nghiệp:
- Phân lập đa khách hàng (Postgres RLS): Áp dụng cơ chế Row-Level Security nghiêm ngặt ở tầng cơ sở dữ liệu. Dữ liệu của workspace A tuyệt đối không thể bị rò rỉ sang workspace B, ngay cả trong trường hợp phát sinh lỗi ứng dụng.
- Mã hóa đường truyền & Lưu trữ: 100% dữ liệu truyền tải đều được mã hóa bằng TLS 1.3 (Full Strict qua Cloudflare). Mật khẩu và token phiên được băm bằng thuật toán an toàn cao (Scrypt, SHA-256).
- Quản lý phiên đăng nhập: Cho phép người dùng theo dõi danh sách các thiết bị đang đăng nhập và chủ động thu hồi phiên (Revoke session) chỉ với một thao tác.
7. Cam kết Zero-Retention & Chia sẻ Bên Thứ Ba
Các mô hình trí tuệ nhân tạo nền tảng (như Gemini 2.5 Flash thông qua OpenRouter API) được tích hợp theo thỏa thuận cấp doanh nghiệp với điều khoản Zero Data Retention: Dữ liệu gửi sang để sinh câu trả lời được xử lý tức thời trong bộ nhớ và xóa ngay lập tức, không lưu log tại server nhà cung cấp AI.
8. Thông tin Đầu mối Bảo vệ Dữ liệu (DPO)
Mọi thắc mắc, yêu cầu tra soát, chỉnh sửa hoặc yêu cầu xóa dữ liệu cá nhân xin vui lòng gửi về bộ phận phụ trách bảo vệ dữ liệu:
Bộ phận Bảo vệ Dữ liệu: Hệ sinh thái AI Ops Solutions / Cường Nguyễn
Email tiếp nhận: hotro@aiops.vn (Phản hồi trong vòng 72 giờ làm việc)