Chính sách bảo mật

1. Phạm vi áp dụng

Văn bản này có hiệu lực từ ngày 11/10/2026.

Chính sách này áp dụng cho dữ liệu cá nhân mà Công ty Cổ phần CMC Media ("chúng tôi") xử lý với tư cách bên kiểm soát dữ liệu, gồm: dữ liệu của người truy cập website yofatik.com, của người liên hệ tư vấn, và của chủ tài khoản, Người dùng thuộc doanh nghiệp Khách hàng (dữ liệu tài khoản, thanh toán, hỗ trợ).

Đối với dữ liệu của khách hàng cuối mà doanh nghiệp đưa vào Yofatik CRM (tin nhắn fanpage, đơn hàng, thông tin người mua…), doanh nghiệp là bên kiểm soát dữ liệu và chúng tôi chỉ xử lý theo chỉ dẫn của họ, theo Thoả thuận xử lý dữ liệu. Khách hàng cuối muốn thực hiện quyền của mình nên liên hệ trước tiên với doanh nghiệp đã bán hàng cho mình; chúng tôi sẽ hỗ trợ doanh nghiệp đó.

Chính sách được xây dựng theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, Luật An ninh mạng 2018 và các văn bản có liên quan.

2. Một số khái niệm

• Dữ liệu cá nhân: thông tin gắn với hoặc giúp xác định một con người cụ thể, như họ tên, số điện thoại, email, địa chỉ IP.
• Chủ thể dữ liệu: người mà dữ liệu cá nhân phản ánh.
• Bên kiểm soát dữ liệu: bên quyết định mục đích và phương tiện xử lý dữ liệu.
• Bên xử lý dữ liệu: bên xử lý dữ liệu thay mặt bên kiểm soát, theo hợp đồng hoặc chỉ dẫn.

3. Dữ liệu chúng tôi thu thập, mục đích và thời hạn lưu trữ

Chúng tôi không thu thập dữ liệu cá nhân nhạy cảm (tình trạng sức khoẻ, tôn giáo, sinh trắc học…) của người truy cập website hay Người dùng. Website không sử dụng cookie quảng cáo.

4. Nguyên tắc xử lý

• Chỉ thu thập dữ liệu cần thiết cho mục đích đã nêu; không dùng dữ liệu cho mục đích khác khi chưa thông báo hoặc chưa có căn cứ pháp lý.
• Không bán, không cho thuê dữ liệu cá nhân.
• Không gửi email tiếp thị khi bạn chưa đồng ý; bạn có thể từ chối bất kỳ lúc nào qua đường liên kết trong email hoặc bằng cách liên hệ chúng tôi.
• Thông báo dịch vụ thiết yếu (bảo mật, thay đổi điều khoản, thanh toán) vẫn được gửi trong thời gian sử dụng dịch vụ.

5. Chia sẻ dữ liệu

Chúng tôi chỉ chia sẻ dữ liệu cá nhân trong các trường hợp sau:

• Nhà cung cấp hạ tầng: nhà cung cấp hạ tầng máy chủ/trung tâm dữ liệu tại Việt Nam và, với một số bản triển khai, Cloudflare (CDN, DNS, proxy) — chỉ để lưu trữ và truyền tải.
• Nền tảng doanh nghiệp tự kết nối: khi doanh nghiệp kết nối Meta, TikTok, Google, Nhanh.vn, Viettel Post, Telegram, dữ liệu được trao đổi với các nền tảng đó theo cấu hình của doanh nghiệp. Danh sách chi tiết tại Thoả thuận xử lý dữ liệu.
• Cơ quan nhà nước có thẩm quyền: khi có yêu cầu hợp pháp theo quy định pháp luật.
• Tổ chức lại doanh nghiệp: trong trường hợp sáp nhập, chia tách, chuyển nhượng, bên nhận phải tiếp tục bảo vệ dữ liệu theo chính sách tương đương.

6. Nơi lưu trữ và chuyển dữ liệu ra nước ngoài

Dữ liệu được lưu trữ trên máy chủ đặt tại Việt Nam. Một số Nền tảng bên thứ ba mà doanh nghiệp chủ động kết nối (như Meta, Google, TikTok, Telegram) xử lý dữ liệu trên hạ tầng của họ ở ngoài lãnh thổ Việt Nam; việc trao đổi dữ liệu này chỉ diễn ra khi doanh nghiệp bật kết nối tương ứng. Chúng tôi thực hiện các thủ tục liên quan đến chuyển dữ liệu ra nước ngoài theo quy định pháp luật.

7. Bảo vệ dữ liệu

• Kết nối được mã hoá bằng HTTPS;
• Dữ liệu của mỗi doanh nghiệp được cô lập ở tầng cơ sở dữ liệu (chính sách bảo mật theo dòng cho từng doanh nghiệp);
• Mật khẩu được lưu dưới dạng băm; khoá truy cập, mã thông báo của nền tảng kết nối được mã hoá khi lưu trữ;
• Phân quyền theo vai trò, có thể che số điện thoại khách hàng cuối với người không được cấp quyền;
• Nhật ký thao tác không thể sửa hoặc xoá, phục vụ đối soát.

Chi tiết xem tại trang Bảo mật. Khi xảy ra vi phạm dữ liệu cá nhân, chúng tôi thông báo cho cơ quan chuyên trách về bảo vệ dữ liệu cá nhân trong thời hạn 72 giờ theo quy định pháp luật và thông báo cho bên bị ảnh hưởng khi cần thiết.

8. Quyền của chủ thể dữ liệu

Theo quy định pháp luật về bảo vệ dữ liệu cá nhân, bạn có các quyền sau:

• Quyền được biết về hoạt động xử lý dữ liệu cá nhân của mình;
• Quyền đồng ý hoặc không đồng ý; quyền rút lại sự đồng ý;
• Quyền truy cập, xem, chỉnh sửa dữ liệu của mình;
• Quyền yêu cầu xoá dữ liệu;
• Quyền yêu cầu hạn chế xử lý;
• Quyền yêu cầu cung cấp dữ liệu;
• Quyền phản đối việc xử lý dữ liệu;
• Quyền khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định pháp luật.

Việc rút lại sự đồng ý không ảnh hưởng tới tính hợp pháp của hoạt động xử lý đã thực hiện trước đó. Một số quyền có thể bị giới hạn khi pháp luật yêu cầu lưu giữ dữ liệu (ví dụ chứng từ kế toán).

9. Cách gửi yêu cầu

1. Gửi email tới support@cmcmedia.com.vn với tiêu đề "Yêu cầu về dữ liệu cá nhân".
2. Nêu rõ: họ tên, email hoặc số điện thoại đã dùng, quyền muốn thực hiện, và (nếu có) tên doanh nghiệp liên quan.
3. Chúng tôi có thể đề nghị xác minh danh tính để tránh việc người khác yêu cầu thay bạn.
4. Chúng tôi phản hồi trong thời hạn pháp luật quy định, thông thường không quá 72 giờ để xác nhận đã nhận yêu cầu.

Hướng dẫn riêng về xoá dữ liệu lấy từ Facebook/Messenger có tại trang Yêu cầu xoá dữ liệu.

10. Trẻ em

Yofatik CRM là dịch vụ dành cho doanh nghiệp, không hướng tới trẻ em. Chúng tôi không chủ động thu thập dữ liệu của trẻ em dưới 16 tuổi; nếu phát hiện đã thu thập ngoài ý muốn, chúng tôi sẽ xoá theo quy định pháp luật.

11. Cập nhật chính sách

Chúng tôi có thể cập nhật Chính sách này khi hoạt động xử lý hoặc quy định pháp luật thay đổi. Ngày hiệu lực ở đầu văn bản cho biết lần cập nhật gần nhất; thay đổi quan trọng sẽ được thông báo qua email hoặc trong ứng dụng.

12. Thông tin liên hệ

Yêu cầu, câu hỏi hoặc khiếu nại về dữ liệu cá nhân xin gửi về:

Bạn cũng có thể gửi yêu cầu qua trang Liên hệ.