Chính sách bảo mật thông tin cá nhân

1Office công bố Chính sách Bảo mật Thông tin Cá nhân (“Chính sách”) này nhằm giải thích rõ với các cá nhân là chủ thể dữ liệu cách 1Office thu thập, sử dụng, chia sẻ và bảo vệ dữ liệu cá nhân, cũng như các quyền của chủ thể dữ liệu theo quy định pháp luật. Chính sách này công khai và áp dụng chung, không cần ký kết, có hiệu lực kể từ ngày công bố và có thể được cập nhật theo Điều 14 dưới đây.

1. Giới thiệu và phạm vi áp dụng

Chính sách này áp dụng cho mọi cá nhân có dữ liệu cá nhân được 1Office thu thập hoặc xử lý, bao gồm: khách truy cập website và trang thông tin sản phẩm của 1Office; cá nhân đăng ký trải nghiệm, đại diện liên hệ của khách hàng doanh nghiệp; và người dùng (User) được khách hàng doanh nghiệp (“Khách hàng”) cấp quyền truy cập, sử dụng Nền tảng phần mềm 1Office trong phạm vi công việc.

Chính sách này không thay thế các thỏa thuận riêng giữa 1Office và Khách hàng, bao gồm Hợp đồng nguyên tắc, Điều khoản dịch vụ (ToS) và Cam kết về xử lý dữ liệu cá nhân (DPA) — các văn bản đó điều chỉnh quan hệ giữa 1Office và Khách hàng với vai trò lần lượt là Bên xử lý dữ liệu và Bên kiểm soát dữ liệu đối với dữ liệu do Khách hàng nhập vào Nền tảng.

2. Vai trò của 1Office đối với dữ liệu cá nhân

Tùy theo loại dữ liệu, 1Office đóng một trong hai vai trò sau:

• Bên kiểm soát dữ liệu: Đối với dữ liệu cá nhân mà 1Office trực tiếp thu thập để phục vụ hoạt động kinh doanh của chính 1Office (ví dụ: thông tin khách truy cập website, người đăng ký trải nghiệm, đại diện liên hệ của Khách hàng, ứng viên tuyển dụng, đối tác). Đối với các dữ liệu này, 1Office tự quyết định mục đích và phương tiện xử lý, và là đầu mối trực tiếp chịu trách nhiệm trước chủ thể dữ liệu.
• Bên xử lý dữ liệu: Đối với Dữ liệu Khách hàng mà Khách hàng hoặc User nhập vào Nền tảng trong quá trình sử dụng Dịch vụ (ví dụ: hồ sơ nhân sự, dữ liệu chấm công, tiền lương của nhân viên Khách hàng). Đối với các dữ liệu này, Khách hàng (là người sử dụng lao động hoặc bên thu thập dữ liệu ban đầu) là Bên kiểm soát dữ liệu, còn 1Office chỉ xử lý theo chỉ dẫn của Khách hàng và theo DPA. Nếu chủ thể dữ liệu muốn thực hiện quyền của mình đối với loại dữ liệu này, vui lòng liên hệ trực tiếp với Khách hàng (đơn vị sử dụng lao động hoặc đơn vị thu thập dữ liệu của quý vị); 1Office sẽ hỗ trợ Khách hàng xử lý yêu cầu đó theo Điều 5 DPA.

3. Dữ liệu cá nhân chúng tôi thu thập

3.1. Dữ liệu do 1Office trực tiếp thu thập (1Office là Bên kiểm soát dữ liệu)

• Thông tin liên hệ: họ tên, số điện thoại, email, chức vụ, tên công ty của người đăng ký trải nghiệm, đại diện liên hệ, ứng viên tuyển dụng, đối tác;
• Thông tin tài khoản: tên đăng nhập, mật khẩu (đã mã hóa), lịch sử đăng nhập;
• Dữ liệu kỹ thuật (nhật ký hệ thống): địa chỉ IP, loại thiết bị, trình duyệt, hệ điều hành, thời gian truy cập, hành vi sử dụng website/Nền tảng nhằm mục đích vận hành, an toàn thông tin, đo lường và cải tiến dịch vụ;
• Thông tin trao đổi qua kênh chăm sóc khách hàng: Nội dung ticket, chat, email hỗ trợ.

3.2. Dữ liệu Khách hàng nhập vào Nền tảng (1Office là Bên xử lý dữ liệu)

Bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm (theo định nghĩa tại Điều 1 DPA) mà Khách hàng hoặc User nhập vào Nền tảng để phục vụ hoạt động quản trị doanh nghiệp, ví dụ: hồ sơ nhân sự, dữ liệu chấm công, tiền lương, đánh giá hiệu suất. Việc thu thập và cơ sở pháp lý xử lý các dữ liệu này thuộc trách nhiệm của Khách hàng với vai trò Bên kiểm soát dữ liệu, theo Điều 2 DPA.

4. Mục đích xử lý dữ liệu cá nhân

1Office xử lý dữ liệu cá nhân nêu tại Điều 3.1 cho các mục đích sau:

• Cung cấp, vận hành, duy trì và cải tiến Nền tảng và Dịch vụ;
• Xử lý đăng ký trải nghiệm, tư vấn bán hàng, chăm sóc khách hàng và hỗ trợ kỹ thuật;
• Quản trị tài khoản, xác thực đăng nhập và bảo đảm an toàn thông tin;
• Gửi thông báo vận hành (cập nhật hệ thống, thay đổi chính sách, hóa đơn) và, nếu chủ thể dữ liệu đồng ý, thông tin tiếp thị về sản phẩm, dịch vụ mới;
• Tuân thủ nghĩa vụ pháp luật và giải quyết khiếu nại, tranh chấp (nếu có).

5. Cơ sở pháp lý xử lý dữ liệu

1Office xử lý dữ liệu cá nhân trên một hoặc nhiều cơ sở pháp lý sau, phù hợp với Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15:

• Sự đồng ý của chủ thể dữ liệu;
• Thực hiện hợp đồng hoặc chuẩn bị ký kết hợp đồng theo yêu cầu của chủ thể dữ liệu (Ví dụ: xử lý thông tin đăng ký trải nghiệm để tư vấn sản phẩm);
• Tuân thủ nghĩa vụ pháp luật của 1Office;
• Lợi ích hợp pháp của 1Office hoặc bên thứ ba, với điều kiện không ảnh hưởng đến quyền và lợi ích hợp pháp của chủ thể dữ liệu (Ví dụ: bảo đảm an toàn thông tin, phòng chống gian lận).

6. Chia sẻ dữ liệu cá nhân với bên thứ ba

1Office không bán dữ liệu cá nhân cho bất kỳ ai. 1Office chỉ chia sẻ dữ liệu cá nhân với:

• Các nhà cung cấp hạ tầng, dịch vụ kỹ thuật hỗ trợ vận hành Nền tảng (hosting, lưu trữ đám mây, ký số điện tử, SMS, mô hình/nền tảng AI), theo danh mục Bên thứ ba và quy trình thông báo/phản đối quy định tại Điều 4 DPA;
• Cơ quan nhà nước có thẩm quyền, khi có yêu cầu hợp pháp bằng văn bản, theo Điều 8 DPA;
• Bên tư vấn pháp lý, kiểm toán của 1Office, trong phạm vi cần thiết và với cam kết bảo mật tương ứng;
• Bên nhận chuyển nhượng trong trường hợp tái cấu trúc, mua bán, sáp nhập doanh nghiệp, với điều kiện bên nhận chuyển nhượng tiếp tục tuân thủ Chính sách này.

7. Chuyển dữ liệu ra nước ngoài

Dữ liệu cá nhân được lưu trữ chính tại Trung tâm Dữ liệu tại Việt Nam theo Điều 11.3 ToS.Trường hợp việc sử dụng một số Bên thứ ba (Ví dụ nhà cung cấp mô hình AI) làm phát sinh việc chuyển dữ liệu cá nhân ra nước ngoài, 1Office thực hiện theo đúng quy định về chuyển dữ liệu cá nhân ra nước ngoài tại Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, bao gồm việc đánh giá tác động chuyển dữ liệu ra nước ngoài khi thuộc trường hợp pháp luật yêu cầu.

8. Thời gian lưu trữ dữ liệu

• Dữ liệu tài khoản và dữ liệu kỹ thuật: lưu trữ trong suốt thời gian chủ thể dữ liệu còn sử dụng tài khoản, và tối đa 06 (sáu) tháng sau khi Hợp đồng nguyên tắc giữa 1Office và Khách hàng chấm dứt, theo Điều 7 DPA;
• Thông tin liên hệ của người đăng ký trải nghiệm/đối tác không phát sinh giao dịch: lưu trữ tối đa 24 (hai mươi bốn) tháng kể từ lần liên hệ gần nhất, trừ khi chủ thể dữ liệu yêu cầu xóa sớm hơn hoặc pháp luật yêu cầu lưu giữ lâu hơn;
• Sau thời hạn lưu trữ, dữ liệu được xóa hoặc ẩn danh theo quy trình nội bộ của 1Office.

9. Biện pháp bảo mật dữ liệu

1Office áp dụng các biện pháp bảo mật kỹ thuật và tổ chức phù hợp với tiêu chuẩn ISO/IEC 27001:2022, bao gồm: Mã hóa dữ liệu, Kiểm soát truy cập theo nguyên tắc cần biết, Giám sát an toàn thông tin 24/7, sao lưu định kỳ và quy trình ứng phó sự cố, theo Điều 12 ToS và Điều 3 DPA.

10. Quyền của chủ thể dữ liệu

Phù hợp với Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, chủ thể dữ liệu có các quyền sau đối với dữ liệu cá nhân của mình do 1Office kiểm soát (dữ liệu nêu tại Điều 3.1 Chính sách này):

• Quyền được biết về hoạt động xử lý dữ liệu cá nhân của mình;
• Quyền đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân;
• Quyền truy cập để xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân của mình;
• Quyền rút lại sự đồng ý;
• Quyền xóa dữ liệu cá nhân;
• Quyền hạn chế xử lý dữ liệu cá nhân;
• Quyền phản đối xử lý dữ liệu cá nhân;
• Quyền khiếu nại, tố cáo, khởi kiện theo quy định pháp luật;
• Quyền yêu cầu bồi thường thiệt hại theo quy định pháp luật khi có hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân của mình, trừ trường hợp các bên có thỏa thuận khác hoặc pháp luật có quy định khác;
• Quyền tự bảo vệ theo quy định pháp luật hoặc yêu cầu cơ quan, tổ chức có thẩm quyền thực hiện các phương thức bảo vệ quyền dân sự.

1Office phản hồi các yêu cầu trên trong thời hạn quy định tại Nghị định 356/2025/NĐ-CP: 02 (hai) ngày làm việc đối với yêu cầu rút lại sự đồng ý, hạn chế hoặc phản đối xử lý; 10 (mười) ngày đối với yêu cầu truy cập, chỉnh sửa hoặc cung cấp dữ liệu; 20 (hai mươi) ngày đối với yêu cầu xóa dữ liệu, hoặc thời hạn khác theo quy định pháp luật được sửa đổi, bổ sung tại từng thời điểm.

11. Cách thực hiện quyền của chủ thể dữ liệu

• Đối với dữ liệu nêu tại Điều 3.1 (1Office là Bên kiểm soát dữ liệu): chủ thể dữ liệu gửi yêu cầu qua email support@1office.vn hoặc kênh liên lạc chính thức khác của 1Office, kèm thông tin xác minh danh tính hợp lý;
• Đối với Dữ liệu Khách hàng nêu tại Điều 3.2 (Khách hàng là Bên kiểm soát dữ liệu): chủ thể dữ liệu liên hệ trực tiếp với Khách hàng (đơn vị sử dụng lao động hoặc đơn vị thu thập dữ liệu của quý vị); 1Office sẽ hỗ trợ Khách hàng xử lý yêu cầu trong phạm vi và thời hạn quy định tại Điều 5 DPA.

12. Dữ liệu cá nhân của trẻ em

Nền tảng 1Office không hướng đến và không chủ đích thu thập dữ liệu cá nhân của trẻ em (người dưới 16 tuổi theo quy định pháp luật Việt Nam). Trường hợp phát hiện đã thu thập dữ liệu cá nhân của trẻ em mà không có sự đồng ý hợp pháp của cha, mẹ hoặc người giám hộ, 1Office sẽ xóa dữ liệu đó trong thời gian sớm nhất.

13. Cookie và công nghệ theo dõi

Website và Nền tảng 1Office có thể sử dụng cookie và công nghệ tương tự nhằm ghi nhớ phiên đăng nhập, phân tích lưu lượng truy cập và cải thiện trải nghiệm người dùng. Chủ thể dữ liệu có thể tùy chỉnh hoặc từ chối cookie không thiết yếu thông qua cài đặt trình duyệt, tuy nhiên việc từ chối một số cookie thiết yếu có thể ảnh hưởng đến khả năng sử dụng Nền tảng.

14. Thay đổi chính sách

1Office có thể cập nhật Chính sách này theo từng thời kỳ để phản ánh thay đổi trong hoạt động xử lý dữ liệu hoặc quy định pháp luật. Phiên bản cập nhật sẽ được công bố tại website chính thức của 1Office kèm ngày hiệu lực; đối với thay đổi quan trọng, 1Office sẽ thông báo qua email hoặc thông báo trên Nền tảng trước khi áp dụng.

15. Thông tin liên hệ

Công ty Cổ phần 1Office

Địa chỉ: Tầng 5, Tòa nhà Diamond Place, số 25 đường Lê Văn Lương, Phường Thanh Xuân, Thành phố Hà Nội, Việt Nam

Điện thoại: 1900 3313

Email: support@1office.vn