Chính sách quyền riêng tư

1. Ai chịu trách nhiệm về dữ liệu của bạn

Bên kiểm soát dữ liệu cá nhân được xử lý trong Dịch vụ là Công ty Cổ phần SuZu Group, địa chỉ 2 Hải Triều, Bến Nghé, Quận 1, TP. Hồ Chí Minh, Việt Nam.

Nếu hợp đồng lao động hoặc hợp đồng cộng tác của bạn ký với một công ty khác trong SuZu Group, công ty đó cũng chịu trách nhiệm về dữ liệu lao động của bạn, và SuZu Group vận hành Dịch vụ thay mặt công ty đó.

Mọi câu hỏi về chính sách này, vui lòng gửi đến privacy@suzu.one.

2. Thông tin chúng tôi nhận từ Google

Đăng nhập bằng Google là cách duy nhất để sử dụng Dịch vụ. Khi bạn đăng nhập, chúng tôi chỉ xin Google các phạm vi đăng nhập tiêu chuẩn: openid, email và profile. Từ đó chúng tôi nhận được:

• họ tên và ảnh đại diện của bạn;
• địa chỉ email và việc Google đã xác minh email đó hay chưa;
• mã định danh tài khoản Google của bạn;
• tên miền Google Workspace mà tài khoản thuộc về (ví dụ suzu.group).

Chúng tôi chỉ dùng các thông tin này để xác thực bạn, kiểm tra tài khoản thuộc một tên miền Workspace được phép của SuZu Group và gắn với một người hiện có quyền truy cập, và hiển thị họ tên, ảnh của bạn trong Dịch vụ. Khi bạn mở các màn hình lương và thu nhập, chúng tôi yêu cầu bạn xác nhận danh tính với Google một lần nữa.

Chúng tôi không xin quyền truy cập Gmail, Google Drive, Google Lịch, danh bạ hay bất kỳ dữ liệu Google nào khác của bạn. Các mã (token) Google cấp khi đăng nhập chỉ được lưu trên máy chủ của chúng tôi để duy trì phiên đăng nhập và không được dùng để gọi bất kỳ dịch vụ Google nào khác thay bạn.

3. Cam kết của chúng tôi về dữ liệu người dùng Google

Việc SuZu One sử dụng và chuyển giao thông tin nhận được từ Google API tuân thủ Chính sách dữ liệu người dùng của Dịch vụ API Google (https://developers.google.com/terms/api-services-user-data-policy), bao gồm các yêu cầu về Sử dụng giới hạn (Limited Use). Cụ thể:

• chúng tôi chỉ dùng dữ liệu người dùng Google để cung cấp và bảo mật tính năng đăng nhập nêu trên;
• chúng tôi không bán dữ liệu người dùng Google, và không sử dụng hay chuyển giao dữ liệu đó cho quảng cáo, kể cả quảng cáo cá nhân hoá hay nhắm lại;
• chúng tôi không dùng dữ liệu người dùng Google để đánh giá khả năng tín dụng hay cho mục đích cho vay;
• chúng tôi không dùng dữ liệu người dùng Google để phát triển, cải tiến hay huấn luyện các mô hình trí tuệ nhân tạo hoặc học máy tổng quát;
• không ai đọc dữ liệu người dùng Google, trừ khi bạn đồng ý, khi cần cho bảo mật (ví dụ điều tra hành vi lạm dụng), khi pháp luật yêu cầu, hoặc ở dạng tổng hợp cho vận hành nội bộ.

4. Các thông tin khác trong Dịch vụ

Là nền tảng nhân sự và công việc, Dịch vụ lưu các thông tin do bạn, Phòng Nhân sự, quản lý hoặc đồng nghiệp nhập vào, hoặc do Dịch vụ ghi nhận khi bạn sử dụng:

• Nhận dạng và liên lạc: họ tên, ngày sinh, giới tính, số điện thoại, địa chỉ, thông tin CCCD hoặc hộ chiếu, người liên hệ khẩn cấp.
• Việc làm: công ty tuyển dụng bạn, đơn vị, chức danh, quản lý, loại và thời hạn hợp đồng, hồ sơ tiếp nhận và nghỉ việc, tài liệu như hợp đồng và quyết định.
• Chấm công và nghỉ phép: giờ vào và giờ ra; khi bạn chấm công trên ứng dụng, vị trí thiết bị báo về và địa chỉ mạng tại thời điểm đó, chỉ để xác nhận bạn đang ở địa điểm làm việc của công ty; dữ liệu nhập từ máy chấm công tại văn phòng (thời gian và mã nhân viên, không phải dấu vân tay hay dữ liệu khuôn mặt); số ngày phép và đơn nghỉ.
• Tiền lương và thu nhập: lương, phụ cấp, thưởng, thông tin bảo hiểm xã hội, bảo hiểm y tế, bảo hiểm thất nghiệp, thông tin thuế thu nhập cá nhân và người phụ thuộc, tài khoản ngân hàng, phiếu lương.
• Hiệu suất: mục tiêu, KPI, đánh giá và ghi nhận.
• Công việc: nhiệm vụ, dự án, kế hoạch hằng ngày, bình luận, tệp và phê duyệt.
• Đề xuất và tài sản: các đề xuất nội bộ và thiết bị được giao cho bạn.
• Dữ liệu kỹ thuật và bảo mật: địa chỉ IP, loại trình duyệt và thiết bị, nhật ký đăng nhập và phiên, nhật ký kiểm toán các thao tác trong Dịch vụ, và báo cáo lỗi khi có sự cố.

Số giấy tờ tùy thân, thông tin ngân hàng, lương và các khoản thu nhập khác, cùng thông tin sức khỏe trong hồ sơ nghỉ phép được coi là dữ liệu hạn chế và được bảo vệ thêm như mô tả ở mục 7.

5. Chúng tôi sử dụng dữ liệu cá nhân để làm gì

• vận hành các quy trình nhân sự của công ty: hồ sơ nhân viên, chấm công, nghỉ phép, tiền lương, bảo hiểm xã hội bắt buộc và thuế thu nhập cá nhân, tuyển dụng và đánh giá hiệu suất;
• tổ chức và theo dõi công việc: nhiệm vụ, dự án, đề xuất và phê duyệt;
• chia sẻ tri thức và thông báo nội bộ, và trả lời câu hỏi từ kho tri thức của công ty;
• gửi thông báo về công việc của bạn qua email, thông báo trình duyệt hoặc Google Chat;
• bảo mật Dịch vụ: xác thực, kiểm soát truy cập, ghi nhật ký kiểm toán và ngăn chặn lạm dụng;
• duy trì Dịch vụ hoạt động: theo dõi lỗi và khắc phục sự cố;
• thực hiện nghĩa vụ theo pháp luật Việt Nam, bao gồm pháp luật về lao động, bảo hiểm xã hội, thuế và kế toán.

Chúng tôi xử lý dữ liệu cá nhân trên các cơ sở mà pháp luật Việt Nam về bảo vệ dữ liệu cá nhân cho phép: để thực hiện hợp đồng lao động hoặc hợp đồng cộng tác của bạn, để tuân thủ nghĩa vụ pháp lý, với sự đồng ý của bạn khi pháp luật yêu cầu, và các trường hợp khác pháp luật cho phép. Chúng tôi không dùng dữ liệu cá nhân trong Dịch vụ cho quảng cáo và không bán dữ liệu.

6. Ai trong công ty có thể xem dữ liệu của bạn

Quyền truy cập trong Dịch vụ dựa trên vai trò và mặc định là từ chối. Mỗi người chỉ thấy những gì vai trò của họ cần: bạn xem hồ sơ và phiếu lương của chính mình; Phòng Nhân sự, Tài chính và quản lý xem những gì trách nhiệm của họ đòi hỏi. Quản lý trực tiếp không bao giờ xem được lương hay thu nhập của thành viên trong nhóm. Mở các màn hình thu nhập phải xác nhận lại danh tính với Google, và việc truy cập dữ liệu hạn chế được ghi vào nhật ký kiểm toán không thể sửa đổi.

7. Chúng tôi bảo vệ dữ liệu cá nhân như thế nào

• mọi kết nối đến Dịch vụ đều được mã hoá khi truyền (HTTPS);
• các trường dữ liệu hạn chế và thu nhập được mã hoá thêm trong cơ sở dữ liệu bằng khoá lưu tách biệt khỏi dữ liệu;
• cơ sở dữ liệu không thể truy cập qua bất kỳ giao diện dữ liệu công khai nào, và kho tệp là riêng tư;
• kiểm soát truy cập theo vai trò, xác thực lại cho màn hình nhạy cảm và nhật ký kiểm toán chỉ ghi thêm;
• phiên đăng nhập hết hạn sau bảy ngày và có thể thu hồi ngay khi quyền truy cập của một người chấm dứt.

Không hệ thống nào an toàn tuyệt đối. Nếu xảy ra vi phạm dữ liệu cá nhân, chúng tôi sẽ hành động để ngăn chặn và thông báo cho người bị ảnh hưởng và cơ quan có thẩm quyền theo quy định của pháp luật Việt Nam.

8. Các nhà cung cấp dịch vụ được chia sẻ dữ liệu

Chúng tôi không bán dữ liệu cá nhân. Chúng tôi chỉ chia sẻ dữ liệu với các nhà cung cấp vận hành một phần Dịch vụ cho chúng tôi, theo hợp đồng giới hạn việc sử dụng dữ liệu vào việc cung cấp dịch vụ của họ:

• Vercel Inc. — lưu trữ ứng dụng;
• Supabase Inc. — cơ sở dữ liệu và kho tệp riêng tư, đặt tại Singapore;
• Upstash Inc. — bộ nhớ đệm cho cấu hình và dữ liệu tham chiếu (không bao giờ chứa lương hay dữ liệu cá nhân nhạy cảm khác);
• Resend — gửi email do Dịch vụ phát đi;
• Functional Software Inc. (Sentry) — theo dõi lỗi;
• Google LLC — đăng nhập Google Workspace, và thông báo, lịch họp qua Google Chat, Google Lịch khi công ty bật các tính năng này;
• Anthropic PBC và Voyage AI — trợ lý và tìm kiếm kho tri thức, khi công ty bật các tính năng này; họ nhận câu hỏi được đặt ra và nội dung kho tri thức cần để trả lời.

Chúng tôi cũng cung cấp dữ liệu cá nhân khi pháp luật yêu cầu — ví dụ cho cơ quan thuế, cơ quan bảo hiểm xã hội hoặc ngân hàng chi trả lương — và, nếu SuZu Group hoặc một công ty trong nhóm được tổ chức lại, sáp nhập hay chuyển nhượng, cho bên kế thừa với cùng mức bảo vệ.

9. Chuyển dữ liệu ra nước ngoài

Cơ sở dữ liệu và tệp của Dịch vụ được lưu tại Singapore, và một số nhà cung cấp nêu trên có thể xử lý dữ liệu ở các quốc gia khác, bao gồm Hoa Kỳ. Chúng tôi chỉ chuyển dữ liệu cá nhân ra nước ngoài khi cần để cung cấp Dịch vụ và thực hiện các thủ tục mà pháp luật Việt Nam yêu cầu đối với việc chuyển dữ liệu cá nhân xuyên biên giới.

10. Chúng tôi lưu dữ liệu trong bao lâu

• Tài khoản đăng nhập và mã định danh Google: trong thời gian bạn có quyền truy cập Dịch vụ; được xoá khi quyền truy cập chấm dứt và bạn yêu cầu xoá, hoặc khi hồ sơ của bạn bị xoá.
• Hồ sơ việc làm, chấm công và nghỉ phép: trong thời gian bạn làm việc và sau đó trong thời hạn pháp luật lao động và bảo hiểm xã hội yêu cầu.
• Hồ sơ tiền lương, thuế và kế toán: trong thời hạn pháp luật thuế và kế toán Việt Nam yêu cầu (tối đa mười năm).
• Nhật ký kiểm toán: trong thời gian cần thiết cho bảo mật và để chứng minh việc tuân thủ.
• Phiên đăng nhập: bảy ngày kể từ lần hoạt động cuối. Báo cáo lỗi: một thời hạn giới hạn, sau đó tự động bị xoá.

Khi hết thời hạn lưu trữ, chúng tôi xoá dữ liệu hoặc ẩn danh hoá dữ liệu.

11. Quyền của bạn

Theo pháp luật Việt Nam về bảo vệ dữ liệu cá nhân, trong phạm vi và điều kiện pháp luật quy định, bạn có quyền:

• được biết dữ liệu cá nhân của mình được xử lý như thế nào, và được truy cập, nhận bản sao dữ liệu đó;
• yêu cầu chỉnh sửa dữ liệu không chính xác — nhiều thông tin có thể sửa trực tiếp trong hồ sơ của bạn trên Dịch vụ;
• yêu cầu xoá dữ liệu, hạn chế hoặc phản đối việc xử lý dữ liệu;
• rút lại sự đồng ý đã đưa ra, không ảnh hưởng đến việc xử lý đã thực hiện trước đó;
• khiếu nại đến cơ quan có thẩm quyền là Bộ Công an Việt Nam.

Để thực hiện các quyền này, vui lòng gửi email đến privacy@suzu.one hoặc liên hệ Phòng Nhân sự. Chúng tôi sẽ phản hồi trong thời hạn pháp luật Việt Nam quy định. Một số dữ liệu phải được lưu giữ theo luật ngay cả khi bạn yêu cầu xoá; khi đó chúng tôi sẽ cho bạn biết dữ liệu nào và vì sao.

12. Thu hồi quyền truy cập Google và xoá dữ liệu

Bạn có thể gỡ quyền truy cập của SuZu One vào tài khoản Google của mình bất cứ lúc nào tại https://myaccount.google.com/permissions. Sau đó bạn sẽ không đăng nhập được nữa.

Để xoá tài khoản đăng nhập và thông tin chúng tôi nhận từ Google, vui lòng gửi email đến privacy@suzu.one từ tài khoản công ty của bạn. Chúng tôi sẽ xoá trong vòng 30 ngày, trừ các hồ sơ pháp luật yêu cầu lưu giữ, sẽ được xoá khi hết thời hạn lưu trữ.

13. Cookie và bộ nhớ trình duyệt

Dịch vụ chỉ dùng các cookie cần thiết để hoạt động: cookie phiên giữ bạn đăng nhập, cookie ngắn hạn bảo vệ quá trình đăng nhập Google, và cookie ghi nhớ ngôn ngữ của bạn. Trình duyệt của bạn cũng lưu các tuỳ chọn giao diện, ví dụ thanh bên có thu gọn hay không. Chúng tôi không dùng cookie quảng cáo hay cookie theo dõi của bên thứ ba.

14. Trẻ em

Dịch vụ dành cho nhân sự SuZu Group và không hướng đến trẻ em. Thông tin duy nhất về trẻ em trong Dịch vụ là thông tin nhân viên cung cấp về người phụ thuộc cho mục đích thuế thu nhập cá nhân và bảo hiểm.

15. Thay đổi chính sách

Chúng tôi có thể cập nhật chính sách này. Ngày ở đầu trang cho biết lần thay đổi gần nhất. Nếu có thay đổi quan trọng, chúng tôi sẽ thông báo cho người dùng trong Dịch vụ trước khi thay đổi có hiệu lực.

16. Liên hệ

Công ty Cổ phần SuZu Group, 2 Hải Triều, Bến Nghé, Quận 1, TP. Hồ Chí Minh, Việt Nam. Email: privacy@suzu.one.