Đăng ký quyền truy cập sớm

Nhập tên của bạn cùng email hoặc số điện thoại. Chúng tôi sẽ liên hệ và gửi thông tin truy cập Tajo.

Trên trang này

Bảo vệ dữ liệu và quyền riêng tư

Tài liệu này mô tả cách Tajo xử lý dữ liệu cá nhân của khách hàng, khách hàng tiềm năng và người truy cập website của nhà bán hàng. Cam kết bảo vệ dữ liệu của chúng tôi bảo đảm tuân thủ GDPR, CCPA và các quy định về quyền riêng tư khác trên toàn cầu.

Mục đích và tối thiểu hóa dữ liệu

Bạn có xử lý lượng dữ liệu cá nhân tối thiểu cần thiết để mang lại giá trị cho nhà bán hàng không?

Có. Tajo chỉ xử lý dữ liệu cá nhân thiết yếu cần thiết để:

Đồng bộ thông tin khách hàng sang Brevo phục vụ tự động hóa marketing
Vận hành các tính năng của chương trình khách hàng thân thiết
Theo dõi đơn hàng và mức độ tương tác của khách hàng
Cung cấp khả năng giao tiếp đa kênh

Dữ liệu cá nhân bao gồm thông tin nhận diện được một cá nhân duy nhất (tên, địa chỉ email) hoặc có thể liên kết ngược về một cá nhân duy nhất (tổng giá trị đơn hàng, ID khách hàng).

Bạn có cho nhà bán hàng biết dữ liệu cá nhân nào bạn xử lý và mục đích xử lý không?

Có. Chúng tôi minh bạch hoàn toàn thông qua:

Thỏa thuận xử lý dữ liệu (DPA) xác định rõ mọi loại dữ liệu được xử lý
Tài liệu nêu chính xác dữ liệu nào được đồng bộ sang Brevo
Tài liệu API rõ ràng hiển thị mọi trường dữ liệu được truyền đi
Khả năng theo dõi hoạt động đồng bộ dữ liệu theo thời gian thực

Bạn có giới hạn việc sử dụng dữ liệu cá nhân trong đúng mục đích đó không?

Có. Tajo chỉ sử dụng dữ liệu cá nhân cho:

Cung cấp các dịch vụ nền tảng cốt lõi như mô tả trong Điều khoản dịch vụ
Đồng bộ dữ liệu khách hàng sang Brevo phục vụ tự động hóa marketing
Vận hành chương trình khách hàng thân thiết và các tính năng tương tác khách hàng
Tạo báo cáo phân tích và thông tin chuyên sâu cho nhà bán hàng

Chúng tôi không sử dụng dữ liệu khách hàng cho bất kỳ mục đích nào ngoài những mục đích đã nêu rõ và được đồng thuận.

Sự đồng ý và cơ sở pháp lý

Bạn có thỏa thuận về quyền riêng tư và bảo vệ dữ liệu với nhà bán hàng không?

Có. Mọi nhà bán hàng đều phải chấp nhận:

Điều khoản dịch vụ - Điều chỉnh việc sử dụng nền tảng Tajo
Thỏa thuận xử lý dữ liệu (DPA) - Xác định vai trò của chúng tôi là bên xử lý dữ liệu
Chính sách quyền riêng tư - Mô tả cách chúng tôi xử lý dữ liệu

Các thỏa thuận này thiết lập:

Tajo đóng vai trò Bên xử lý đối với dữ liệu khách hàng của nhà bán hàng
Nhà bán hàng đóng vai trò Bên kiểm soát và chịu trách nhiệm thu thập sự đồng ý hợp lệ
Nghĩa vụ rõ ràng của cả hai bên về bảo vệ dữ liệu

Bạn có tôn trọng và áp dụng các quyết định đồng ý của khách hàng không?

Có. Tajo tôn trọng sự đồng ý của khách hàng thông qua:

Tự động xử lý yêu cầu hủy đăng ký từ Brevo
Đồng bộ tùy chọn đồng ý theo thời gian thực
Chặn liên lạc tới những khách hàng đã từ chối nhận tin
Tôn trọng tùy chọn của khách hàng trên mọi kênh (email, SMS, WhatsApp)

Khi một khách hàng hủy đăng ký hoặc rút lại sự đồng ý, Tajo lập tức:

Đồng bộ tùy chọn đó sang Brevo
Ngăn mọi liên lạc marketing trong tương lai
Lưu nhật ký kiểm toán về các thay đổi đồng ý

Bạn có tôn trọng và áp dụng quyết định của khách hàng về việc từ chối bán dữ liệu của họ không?

Có. Tajo không bán dữ liệu khách hàng trong bất kỳ trường hợp nào. Chúng tôi:

Không bao giờ chia sẻ dữ liệu cá nhân với bên thứ ba vì mục đích thương mại
Chỉ truyền dữ liệu sang Brevo như một phần của chức năng cốt lõi của nền tảng
Tuân thủ yêu cầu “Do Not Sell My Personal Information” của CCPA
Công bố rõ ràng rằng không có hoạt động bán dữ liệu nào diễn ra

Nếu bạn dùng dữ liệu cá nhân để ra quyết định tự động và các quyết định đó có thể gây hậu quả pháp lý hoặc đáng kể, khách hàng có thể từ chối không?

Không áp dụng. Tajo không thực hiện việc ra quyết định tự động gây hậu quả pháp lý hoặc hậu quả tương tự đáng kể cho cá nhân. Nền tảng cung cấp:

Tự động hóa marketing (khách hàng có thể từ chối hoàn toàn)
Quản lý chương trình khách hàng thân thiết (do nhà bán hàng kiểm soát)
Phân khúc khách hàng (chỉ dành cho nhà bán hàng sử dụng)

Không hoạt động nào trong số này cấu thành việc ra quyết định tự động gây hậu quả pháp lý hoặc đáng kể theo định nghĩa tại Điều 22 GDPR.

Lưu trữ và bảo mật

Bạn có thời hạn lưu trữ để bảo đảm dữ liệu cá nhân không bị giữ lâu hơn mức cần thiết không?

Có. Tajo áp dụng chính sách lưu trữ dữ liệu rõ ràng:

Dữ liệu khách hàng đang hoạt động:

Được lưu trong thời gian tài khoản nhà bán hàng còn hoạt động
Dùng cho việc đồng bộ liên tục và các chức năng của nền tảng
Nhà bán hàng có thể xóa dữ liệu khách hàng bất cứ lúc nào qua giao diện Tajo

Chấm dứt tài khoản:

Toàn bộ dữ liệu khách hàng bị xóa trong vòng 90 ngày kể từ khi chấm dứt tài khoản
Nhà bán hàng có thể yêu cầu xóa dữ liệu ngay lập tức khi chấm dứt
Dữ liệu sao lưu được xóa theo lịch lưu trữ bản sao lưu của chúng tôi (30 ngày)

Lưu trữ theo luật định:

Hồ sơ giao dịch có thể được lưu lâu hơn khi pháp luật yêu cầu (ví dụ hồ sơ thuế)
Chỉ giữ lại lượng dữ liệu tối thiểu phục vụ mục đích tuân thủ pháp lý

Nhà bán hàng chịu trách nhiệm:

Quản lý thời hạn lưu trữ cho các hoạt động xử lý dữ liệu của chính mình
Xóa dữ liệu khách hàng khi không còn cần thiết
Tuân thủ luật bảo vệ dữ liệu áp dụng tại khu vực pháp lý của họ

Bạn có mã hóa dữ liệu khi lưu trữ và khi truyền không?

Có. Tajo sử dụng mã hóa theo tiêu chuẩn ngành:

Khi truyền:

TLS 1.3 cho mọi hoạt động truyền dữ liệu
Bắt buộc HTTPS cho mọi lưu lượng web
Kết nối API tới Brevo được mã hóa
Ghim chứng chỉ cho các ứng dụng di động

Khi lưu trữ:

Mã hóa AES-256 cho dữ liệu trong cơ sở dữ liệu
Bản sao lưu được mã hóa
Mã hóa lưu trữ tệp cho mọi tài liệu được tải lên
Mã hóa ở cấp cơ sở dữ liệu cho các trường nhạy cảm (ví dụ khóa API)

Bạn có mã hóa các bản sao lưu dữ liệu không?

Có. Mọi dữ liệu sao lưu đều được mã hóa:

Sao lưu tự động hằng ngày, mã hóa bằng AES-256
Tệp sao lưu được lưu ở trạng thái mã hóa
Quản lý khóa an toàn cho các khóa mã hóa bản sao lưu
Kiểm thử khôi phục bản sao lưu định kỳ để xác minh tính toàn vẹn

Bạn có tách biệt dữ liệu thử nghiệm và dữ liệu sản xuất không?

Có. Tajo duy trì sự tách biệt nghiêm ngặt:

Môi trường sản xuất và môi trường phát triển/thử nghiệm hoàn toàn tách biệt
Không dùng dữ liệu sản xuất trong môi trường thử nghiệm
Dữ liệu thử nghiệm được ẩn danh và tổng hợp nhân tạo
Cơ sở dữ liệu, máy chủ và quyền truy cập riêng biệt
Khóa API và thông tin xác thực khác nhau cho từng môi trường

Bạn có chiến lược ngăn ngừa mất dữ liệu không?

Có. Tajo triển khai biện pháp ngăn ngừa mất dữ liệu toàn diện:

Biện pháp phòng ngừa:

Sao lưu tự động mỗi 24 giờ
Sao chép cơ sở dữ liệu theo thời gian thực
Lưu trữ dự phòng trên nhiều vùng khả dụng
Quản lý phiên bản và theo dõi thay đổi

Phát hiện:

Giám sát tự động tính toàn vẹn dữ liệu
Phát hiện bất thường trong các mẫu truy cập dữ liệu
Kiểm toán bảo mật và kiểm thử xâm nhập định kỳ
Cảnh báo tự động cho các nguy cơ rò rỉ dữ liệu

Khôi phục:

Khả năng khôi phục về thời điểm bất kỳ
Quy trình khắc phục thảm họa được ghi thành tài liệu
Diễn tập khắc phục thảm họa định kỳ
RTO (mục tiêu thời gian khôi phục): 4 giờ
RPO (mục tiêu điểm khôi phục): 24 giờ

Kiểm soát truy cập

Bạn có giới hạn quyền truy cập của nhân viên vào dữ liệu cá nhân của khách hàng không?

Có. Quyền truy cập dữ liệu khách hàng được kiểm soát nghiêm ngặt:

Nguyên tắc truy cập:

Nguyên tắc đặc quyền tối thiểu
Kiểm soát truy cập theo vai trò (RBAC)
Chỉ cấp quyền theo nhu cầu công việc
Rà soát quyền truy cập định kỳ (hằng quý)

Cấp độ truy cập:

Không truy cập: Phần lớn nhân viên không có quyền truy cập dữ liệu khách hàng trên môi trường sản xuất
Chỉ đọc: Nhân viên hỗ trợ có quyền đọc giới hạn và được ghi nhật ký để xử lý sự cố
Quản trị: Quản trị viên cơ sở dữ liệu có quyền nâng cao, được ghi nhật ký dày đặc
Khẩn cấp: Quy trình phá kính chỉ dùng cho sự cố nghiêm trọng

Biện pháp kiểm soát:

Bắt buộc xác thực đa yếu tố (MFA) với mọi nhân viên
Bắt buộc dùng VPN khi truy cập từ xa
Danh sách IP cho phép đối với truy cập quản trị
Hết hạn phiên và tự động khóa tài khoản

Bạn có yêu cầu mật khẩu mạnh cho nhân viên không?

Có. Tajo áp dụng chính sách mật khẩu cấp doanh nghiệp:

Yêu cầu:

Tối thiểu 16 ký tự
Phải có chữ hoa, chữ thường, chữ số và ký tự đặc biệt
Không được dùng lại 12 mật khẩu gần nhất
Mật khẩu hết hạn sau mỗi 90 ngày
Khóa tài khoản sau 5 lần đăng nhập thất bại

Bảo mật nâng cao:

Bắt buộc xác thực đa yếu tố (MFA) với mọi nhân viên
Tích hợp đăng nhập một lần (SSO) với nhà cung cấp danh tính của doanh nghiệp
Hỗ trợ xác thực sinh trắc học
Bắt buộc dùng trình quản lý mật khẩu với mọi nhân viên
Đào tạo nhận thức an ninh định kỳ

Bạn có ghi nhật ký truy cập dữ liệu cá nhân không?

Có. Chúng tôi duy trì nhật ký kiểm toán toàn diện:

Hoạt động được ghi nhật ký:

Mọi truy vấn cơ sở dữ liệu chạm vào dữ liệu khách hàng
Lệnh gọi API tới Brevo có kèm thông tin khách hàng
Truy cập quản trị vào hệ thống sản xuất
Xuất dữ liệu và các thao tác hàng loạt
Thay đổi cấu hình
Lần xác thực thất bại

Chi tiết nhật ký bao gồm:

Dấu thời gian truy cập
Danh tính người dùng
Địa chỉ IP và vị trí
Hành động đã thực hiện
Dữ liệu được truy cập (ID bản ghi)
Trạng thái thành công hay thất bại

Quản lý nhật ký:

Nhật ký được lưu tối thiểu 1 năm
Lưu trữ nhật ký ở dạng mã hóa
Hệ thống ghi nhật ký chống giả mạo
Rà soát nhật ký định kỳ
Tích hợp SIEM để giám sát theo thời gian thực
Cảnh báo tự động cho các hoạt động đáng ngờ

Bạn có chính sách ứng phó sự cố bảo mật không?

Có. Tajo duy trì Kế hoạch ứng phó sự cố bảo mật toàn diện:

Phát hiện và đánh giá:

Giám sát an ninh 24/7
Phát hiện mối đe dọa tự động
Phân loại mức độ nghiêm trọng của sự cố
Đánh giá ban đầu trong vòng 1 giờ

Đội ứng phó:

Đội ứng phó sự cố bảo mật chuyên trách
Quy trình leo thang rõ ràng
Vai trò và trách nhiệm được xác định rõ
Chuyên gia bảo mật bên ngoài luôn sẵn sàng theo hợp đồng

Quy trình ứng phó:

Khoanh vùng: Cô lập ngay các hệ thống bị ảnh hưởng
Điều tra: Phân tích pháp chứng để xác định phạm vi và nguyên nhân
Loại bỏ: Gỡ bỏ mối đe dọa và vá các lỗ hổng
Khôi phục: Phục hồi hệ thống và xác minh mức độ an toàn
Thông báo: Thông báo cho các bên bị ảnh hưởng theo quy định pháp luật
Rà soát sau sự cố: Ghi lại bài học kinh nghiệm và cải tiến quy trình

Mốc thời gian thông báo:

Nhà bán hàng được thông báo trong vòng 72 giờ kể từ khi xác nhận rò rỉ dữ liệu
Cơ quan quản lý được thông báo theo luật áp dụng (ví dụ yêu cầu 72 giờ của GDPR)
Cá nhân bị ảnh hưởng được thông báo khi có rủi ro cao với quyền lợi của họ

Tài liệu hóa:

Mọi sự cố đều được ghi chép chi tiết
Báo cáo sự cố bảo mật hằng năm
Đào tạo và diễn tập trên bàn giấy định kỳ
Liên tục cải tiến quy trình ứng phó

Thỏa thuận xử lý dữ liệu (DPA)

Tajo vận hành theo một Thỏa thuận xử lý dữ liệu toàn diện tuân thủ các yêu cầu tại Điều 28 GDPR. Các nội dung chính gồm:

Vai trò và trách nhiệm

Tajo đóng vai trò Bên xử lý đối với dữ liệu khách hàng của nhà bán hàng
Nhà bán hàng đóng vai trò Bên kiểm soát và chịu trách nhiệm:
- Thu thập sự đồng ý hợp lệ từ khách hàng
- Cung cấp thông báo về quyền riêng tư
- Xử lý yêu cầu thực hiện quyền của chủ thể dữ liệu
- Quyết định mục đích và phương thức xử lý

Chi tiết xử lý

Mục đích: Cung cấp dịch vụ nền tảng Tajo, bao gồm:

Đồng bộ dữ liệu khách hàng với Brevo
Quản lý chương trình khách hàng thân thiết
Tự động hóa marketing đa kênh
Phân tích và báo cáo

Loại dữ liệu:

Thông tin liên hệ (tên, email, số điện thoại)
Lịch sử đơn hàng và dữ liệu giao dịch
Tùy chọn và trạng thái đồng ý của khách hàng
Dữ liệu hành vi (lượt nhấp, lượt mở, mức tương tác)
Dữ liệu chương trình khách hàng thân thiết (điểm, hạng, phần thưởng)

Chủ thể dữ liệu:

Khách hàng của nhà bán hàng
Người truy cập website
Người đăng ký bản tin
Thành viên chương trình khách hàng thân thiết

Bên xử lý phụ

Tajo sử dụng các bên xử lý phụ sau:

Bên xử lý phụ	Dịch vụ	Địa điểm	Biện pháp bảo đảm
Brevo	Nền tảng email/SMS/WhatsApp	Pháp (EU)	Tuân thủ GDPR, Điều khoản hợp đồng tiêu chuẩn
AWS	Hạ tầng đám mây	Các vùng EU	Tuân thủ GDPR, Khung bảo mật dữ liệu EU-US
Cloudflare	CDN và bảo mật	Toàn cầu	Điều khoản hợp đồng tiêu chuẩn, Nội địa hóa dữ liệu

Thông báo thay đổi:

Nhà bán hàng được thông báo trước 30 ngày khi bổ sung bên xử lý phụ mới
Có quyền phản đối bên xử lý phụ mới
Được đề xuất giải pháp thay thế hoặc có quyền chấm dứt nếu phản đối là chính đáng

Quyền của chủ thể dữ liệu

Tajo hỗ trợ nhà bán hàng đáp ứng quyền của chủ thể dữ liệu:

Các quyền được hỗ trợ:

Quyền truy cập
Quyền chỉnh sửa
Quyền xóa (“quyền được lãng quên”)
Quyền di chuyển dữ liệu
Quyền phản đối
Quyền hạn chế xử lý

Xử lý yêu cầu:

Nhà bán hàng có thể xuất dữ liệu khách hàng bất cứ lúc nào
Có thể xóa dữ liệu khách hàng qua giao diện Tajo
Có endpoint API để quản lý dữ liệu tự động
Phản hồi yêu cầu của chủ thể dữ liệu trong vòng 5 ngày làm việc

Biện pháp bảo mật

Xem đầy đủ các biện pháp bảo mật tại Phụ lục 4 của DPA, bao gồm:

Kiểm soát truy cập vật lý và logic
Mã hóa khi lưu trữ và khi truyền
Giám sát an ninh và ứng phó sự cố
Kiểm toán bảo mật và kiểm thử xâm nhập định kỳ
Đào tạo nhân viên và kiểm tra lý lịch

Chuyển dữ liệu quốc tế

Bảo vệ dữ liệu tại EU:

Dữ liệu chủ yếu được lưu trữ tại EU (Bỉ, Pháp)
Điều khoản hợp đồng tiêu chuẩn cho mọi hoạt động chuyển dữ liệu ra ngoài EU
Biện pháp bổ sung gồm mã hóa và kiểm soát truy cập
Chứng nhận Khung bảo mật dữ liệu EU-US khi áp dụng

Tuân thủ CCPA:

Quan hệ Nhà cung cấp dịch vụ được xác định rõ ràng
Không bán hay chia sẻ thông tin cá nhân
Tuân thủ các quyền riêng tư theo luật California
Thỏa thuận xử lý dữ liệu đã được ký kết

Quyền kiểm toán

Nhà bán hàng có quyền:

Yêu cầu tài liệu chứng minh mức độ tuân thủ của Tajo
Xem xét các chứng nhận bảo mật và báo cáo kiểm toán
Thực hiện kiểm toán (báo trước hợp lý, tối đa một lần mỗi năm)
Nhận tài liệu bảo mật, bao gồm báo cáo SOC 2

Tuân thủ quy định

Trạng thái tuân thủ: Tuân thủ đầy đủ

Đặc điểm chính:

Cơ sở pháp lý hợp lệ cho mọi hoạt động xử lý
Thỏa thuận xử lý dữ liệu với mọi nhà bán hàng
Đã hoàn thành đánh giá tác động bảo vệ dữ liệu (DPIA)
Đã bổ nhiệm Cán bộ bảo vệ dữ liệu: [email protected]
Quy trình thông báo rò rỉ dữ liệu (72 giờ)
Duy trì hồ sơ về các hoạt động xử lý
Nguyên tắc bảo vệ quyền riêng tư ngay từ khâu thiết kế và theo mặc định

CCPA (Đạo luật quyền riêng tư của người tiêu dùng California)

Trạng thái tuân thủ: Tuân thủ đầy đủ

Đặc điểm chính:

Quan hệ Nhà cung cấp dịch vụ (không bán dữ liệu)
Hỗ trợ quyền của người tiêu dùng (truy cập, xóa, từ chối)
Công bố trong chính sách quyền riêng tư
Tôn trọng yêu cầu “Do Not Sell My Personal Information”
Đào tạo bảo vệ dữ liệu hằng năm cho nhân viên
Nghĩa vụ hợp đồng với nhà bán hàng

Chỉ thị NIS 2

Phạm vi áp dụng: Tuân thủ khi áp dụng

Biện pháp an ninh mạng:

Đã triển khai khung quản trị rủi ro
Báo cáo sự cố bảo mật tới các CSIRT
Yêu cầu bảo mật chuỗi cung ứng
Đánh giá an ninh định kỳ
Kế hoạch duy trì hoạt động kinh doanh và khắc phục thảm họa

DORA (Đạo luật về khả năng chống chịu hoạt động số)

Phạm vi áp dụng: Sẵn sàng cho các tổ chức tài chính dùng Tajo

Đặc điểm tuân thủ:

Khung quản trị rủi ro ICT
Quy trình báo cáo sự cố
Kiểm thử khả năng chống chịu hoạt động số
Quản trị rủi ro bên thứ ba
Quyền truy cập và kiểm toán của cơ quan quản lý

Lưu ý: Các quy định của DORA chỉ áp dụng cho tổ chức tài chính chịu sự quản lý. Nếu bạn là tổ chức tài chính thuộc phạm vi DORA, hãy liên hệ đội ngũ doanh nghiệp của chúng tôi để nhận tài liệu tuân thủ cụ thể.

Liên hệ và hỗ trợ

Cán bộ bảo vệ dữ liệu

Email: [email protected] Vai trò: Giám sát toàn bộ hoạt động tuân thủ về bảo vệ dữ liệu

Đội bảo mật

Email: [email protected] Vai trò: Xử lý sự cố bảo mật và các câu hỏi liên quan

Hỗ trợ nhà bán hàng

Email: [email protected] Website: https://tajo.io/support Vai trò: Hỗ trợ chung về nền tảng

Báo cáo lỗ hổng bảo mật

Email: [email protected] Khóa PGP: Có tại https://tajo.io/security.txt

Chúng tôi hoan nghênh việc công bố lỗ hổng bảo mật có trách nhiệm và duy trì chương trình thưởng lỗi cho các báo cáo đủ điều kiện.

Tài nguyên bổ sung

Phiên bản tài liệu

Phiên bản: 1.0 Cập nhật lần cuối: Tháng 1 năm 2025 Lần rà soát tiếp theo: Tháng 7 năm 2025

Tài liệu này được rà soát và cập nhật thường xuyên để bảo đảm liên tục tuân thủ các quy định bảo vệ dữ liệu đang thay đổi và các thông lệ tốt nhất của ngành.