Chính sách bảo mật

1. Chúng tôi thu thập dữ liệu gì

• Dữ liệu cơ bản: họ tên / tên doanh nghiệp, mã số thuế (MST), địa chỉ kinh doanh, số điện thoại, email, Zalo ID của người liên hệ.
• Dữ liệu hoá đơn: hình ảnh/file hóa đơn đầu vào, đầu ra (số hóa đơn, ngày, số tiền, dòng chi tiết hàng hóa, MST bên mua/bán).
• Lịch sử trao đổi qua Zalo OA: tin nhắn, hình ảnh và file khách hàng gửi để hỗ trợ và ghi nhận hóa đơn.
• Mã số thuế (MST) là dữ liệu cá nhân cơ bản (được gộp vào số định danh cá nhân theo Điều 3 NĐ 356/2025/NĐ-CP), không phải dữ liệu nhạy cảm. Danh mục dữ liệu nhạy cảm tại Điều 4 NĐ 356/2025 là danh mục đóng, liệt kê và không bao gồm dữ liệu hóa đơn GTGT.
• Tuy vậy, với khách hàng là cá nhân / hộ kinh doanh, nội dung hàng hóa – dịch vụ trên hóa đơn có thể chạm tới đời sống riêng tư. Vì vậy LAS chủ động áp dụng biện pháp bảo vệ ở mức dành cho dữ liệu nhạy cảm cho toàn bộ dữ liệu hóa đơn, dù về mặt phân loại pháp lý đây không phải dữ liệu nhạy cảm.
• LAS không thu thập CMND/CCCD, số tài khoản – sao kê – thẻ ngân hàng, dữ liệu sinh trắc học, sức khỏe, vị trí, và không giữ chữ ký số của khách hàng.

2. Mục đích xử lý dữ liệu

• Trích xuất, phân loại và tính thuế GTGT từ hóa đơn khách hàng cung cấp.
• Lập tờ khai thuế (01/GTGT) và hỗ trợ quy trình kê khai.
• Nhắc hạn nộp thuế, gửi báo cáo định kỳ, hỗ trợ qua Zalo.
• Liên hệ và chăm sóc khách hàng.

Chúng tôi chỉ sử dụng dữ liệu cho các mục đích đã nêu; không dùng cho mục đích quảng cáo, không bán lại và không chia sẻ với bên thứ ba ngoài các bên xử lý nêu tại Mục 3, trừ khi pháp luật yêu cầu.

Mô hình không khai thay: khách hàng tự kiểm tra, tự ký số bằng chữ ký số của chính mình và tự nộp tờ khai qua cổng thuế điện tử. LAS không ký số thay, không giữ chữ ký số và không nộp tờ khai thay khách hàng.

3. Chia sẻ dữ liệu với bên thứ ba

Để vận hành dịch vụ, dữ liệu của khách hàng có thể được chuyển tới và xử lý bởi các bên xử lý sau:

Việc chuyển dữ liệu cá nhân ra nước ngoài được thực hiện theo Điều 20 Luật 91/2025/QH15, trên cơ sở sự đồng ý riêng của khách hàng cho mục đích này và hợp đồng xử lý dữ liệu (DPA/SCCs) ràng buộc trách nhiệm bảo mật của bên nhận. Zalo OA (VNG) là bên xử lý trong nước, không phát sinh chuyển dữ liệu xuyên biên giới.

LAS không sử dụng DeepSeek hay bất kỳ nhà cung cấp AI nào khác ngoài danh sách trên. Toàn bộ xử lý AI chạy trên OpenAI (Mỹ). Danh sách này phản ánh trạng thái hiện hành và sẽ được cập nhật khi có thay đổi.

4. Sự đồng ý (Consent)

Khi đăng ký sử dụng dịch vụ, khách hàng ký hợp đồng và mẫu đồng ý xử lý dữ liệu cá nhân (PDPL) qua Adobe Acrobat Sign. Trong bộ hồ sơ ký, khách hàng được yêu cầu đồng ý riêng cho từng mục đích:

• Thu thập dữ liệu để khai thuế;
• Chia sẻ dữ liệu hóa đơn với hệ thống AI (OpenAI);
• Chuyển dữ liệu ra nước ngoài (Supabase – Nhật Bản, OpenAI – Mỹ, Vercel – Cloud quốc tế, Adobe Sign – Cloud quốc tế);
• Liên lạc và nhận hóa đơn qua Zalo (VNG – Việt Nam);
• Ký điện tử qua Adobe Acrobat Sign.

Chữ ký điện tử qua Adobe có nhật ký kiểm toán (ai ký, thời điểm, IP) ghi nhận thời điểm và nội dung đồng ý của khách hàng.

Thông báo lưu trữ 10 năm: Việc lưu trữ hóa đơn và chứng từ kế toán trong 10 năm là nghĩa vụ pháp luật của LAS theo Luật Kế toán và Luật Quản lý Thuế — không dựa trên sự đồng ý của khách hàng và không thể từ chối hay rút lại. Khi khách hàng rút lại đồng ý hoặc yêu cầu xóa dữ liệu, LAS vẫn phải giữ lại phần dữ liệu hóa đơn thuộc diện lưu trữ bắt buộc cho tới khi hết thời hạn luật định; các dữ liệu cá nhân khác vẫn được xóa bình thường.

Khách hàng có thể rút lại sự đồng ý bất cứ lúc nào bằng cách liên hệ với chúng tôi. Việc rút lại có thể ảnh hưởng tới khả năng cung cấp dịch vụ. Khi rút lại, LAS sẽ ngừng xử lý và xóa dữ liệu theo yêu cầu (trừ dữ liệu hóa đơn phải lưu 10 năm theo luật).

5. Quyền của khách hàng

Theo Luật 91/2025/QH15 và NĐ 356/2025/NĐ-CP, khách hàng (chủ thể dữ liệu) có các quyền:

• Quyền được biết dữ liệu nào đang được xử lý.
• Quyền đồng ý / không đồng ý.
• Quyền truy cập, chỉnh sửa dữ liệu không chính xác.
• Quyền yêu cầu xoá dữ liệu (theo các giới hạn lưu trữ pháp lý).
• Quyền xuất (portability) dữ liệu của mình.
• Quyền rút lại sự đồng ý.
• Quyền hạn chế / phản đối việc xử lý dữ liệu.
• Quyền khiếu nại — gửi khiếu nại đến LAS hoặc đến cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Bộ Công an).

Cách thực hiện quyền: liên hệ Zalo OA chính thức của LAS hoặc email nêu tại Mục 8.

LAS xác nhận đã nhận yêu cầu trong 24 giờ; dữ liệu cá nhân được xóa trong 48 giờ theo yêu cầu, trừ dữ liệu hóa đơn thuộc diện lưu 10 năm theo luật.

6. Thời gian lưu trữ và bảo mật

• Dữ liệu hóa đơn và chứng từ: lưu 10 năm theo Luật Kế toán và Luật Quản lý Thuế — đây là nghĩa vụ pháp luật, không dựa trên sự đồng ý (xem Mục 4).
• Dữ liệu cá nhân khác (số điện thoại, Zalo, email, địa chỉ): lưu trong thời gian hợp đồng có hiệu lực.
• Sau khi chấm dứt hợp đồng: LAS bàn giao dữ liệu hóa đơn đã xử lý và file tờ khai đã lập cho khách hàng; dữ liệu cá nhân khác được xóa trong vòng 48 giờ kể từ khi khách hàng yêu cầu.
• Biện pháp bảo vệ: kiểm soát truy cập, mã hoá đường truyền (HTTPS), phân quyền truy cập ở cấp bản ghi (RLS) trên mọi bảng và kho file, đường dẫn file có chữ ký và thời hạn (signed URL) thay cho đường dẫn công khai, cùng nhật ký truy vết mọi thay đổi.

7. Thông báo vi phạm dữ liệu

Trong trường hợp xảy ra sự cố bảo mật ảnh hưởng tới dữ liệu cá nhân, LAS sẽ thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Bộ Công an) và cho khách hàng bị ảnh hưởng trong vòng 72 giờ kể từ khi phát hiện sự cố, theo quy định tại Luật 91/2025/QH15 và NĐ 356/2025/NĐ-CP.

8. Liên hệ và Bên Kiểm soát dữ liệu cá nhân

Long An Solutions — Hộ Kinh Doanh Công Nghệ Thông Tin là Bên Kiểm soát dữ liệu cá nhân (data controller) theo Luật 91/2025/QH15. Chủ hộ kinh doanh Phạm Thái Dương chịu trách nhiệm cuối cùng về việc xử lý dữ liệu cá nhân.

• Tên đăng ký: Long An Solutions — Hộ Kinh Doanh Công Nghệ Thông Tin
• Chủ hộ kinh doanh: Phạm Thái Dương · MST: 001088040737
• Địa chỉ: 24 Trần Nhân Tôn

Mọi thắc mắc hoặc yêu cầu về quyền chủ thể dữ liệu (xem, sửa, xóa, xuất dữ liệu, rút lại đồng ý), vui lòng liên hệ qua Zalo OA chính thức hoặc email của Long An Solutions — chúng tôi xác nhận đã nhận yêu cầu trong vòng 24 giờ.

Điều khoản sử dụng dịch vụ được nêu tại Điều khoản dịch vụ.