Chính sách Xử lý Thông tin Cá nhân

① Để cung cấp dịch vụ, Công ty thu thập các thông tin cá nhân của Quý khách như sau:

Các mục thu thập bắt buộc: Địa chỉ email, mật khẩu (đã mã hóa), biệt danh, lịch sử sử dụng dịch vụ, nhật ký truy cập, thông tin thiết bị (hệ điều hành, trình duyệt, địa chỉ IP).

Các mục thu thập tùy chọn: Ảnh đại diện, ngày sinh, giới tính, lĩnh vực quan tâm.

Khi đăng nhập bằng tài khoản mạng xã hội: Thông tin hồ sơ cơ bản do nền tảng đó cung cấp (tên, email, ảnh đại diện).

Các mục thu thập tự động: Cookie, tần suất truy cập, hành vi sử dụng dịch vụ, siêu dữ liệu hội thoại với trợ lý AI.

② Phương thức thu thập: Thông tin được thu thập tự động hoặc do người dùng trực tiếp cung cấp trong quá trình đăng ký thành viên, sử dụng dịch vụ, liên hệ bộ phận hỗ trợ khách hàng hoặc tham gia sự kiện.

Thông tin cá nhân thu thập được chỉ sử dụng cho các mục đích sau: Cung cấp dịch vụ và quản lý tài khoản; định danh và xác thực người dùng; cải thiện chất lượng dịch vụ trợ lý AI (sau khi đã ẩn danh hóa); cung cấp và đề xuất dịch vụ cá nhân hóa; phân tích thống kê sử dụng dịch vụ; hỗ trợ khách hàng và xử lý khiếu nại; gửi thông báo liên quan đến dịch vụ và sự kiện (khi có sự đồng ý tùy chọn); thực hiện nghĩa vụ pháp lý và giải quyết tranh chấp; lọc nội dung có hại và đảm bảo an toàn dịch vụ; ứng phó với các tình huống khẩn cấp và thông báo cho cơ quan có thẩm quyền theo quy định của pháp luật.

① Khi thành viên hủy tài khoản, thông tin cá nhân sẽ được xóa ngay lập tức. Tuy nhiên, trong các trường hợp sau, thông tin sẽ được lưu trữ trong khoảng thời gian được quy định:

Hồ sơ liên quan đến hợp đồng hoặc việc rút lại đề nghị giao kết hợp đồng: 5 năm (theo Luật Giao dịch điện tử).

Hồ sơ liên quan đến việc thanh toán và cung cấp hàng hóa, dịch vụ: 5 năm (theo Luật Giao dịch điện tử).

Hồ sơ liên quan đến khiếu nại của người tiêu dùng hoặc xử lý tranh chấp: 3 năm (theo Luật Giao dịch điện tử).

Hồ sơ liên quan đến lịch sử truy cập: 3 tháng (theo Luật An ninh mạng).

Hồ sơ vận hành dịch vụ AI theo quy định của luật chuyên ngành về AI: 5 năm.

Hồ sơ về việc lọc nội dung và các biện pháp xử lý vi phạm: 5 năm.

② Khi hết thời hạn lưu trữ hoặc mục đích xử lý đã hoàn thành, chúng tôi sẽ xóa thông tin cá nhân liên quan trong vòng 05 ngày.

① Về nguyên tắc, Công ty không cung cấp thông tin cá nhân của người dùng cho bên thứ ba. Tuy nhiên, các trường hợp sau đây là ngoại lệ:

- Khi được người dùng đồng ý trước.

- Khi có yêu cầu theo quy định của pháp luật, hoặc theo trình tự và thủ tục pháp lý cho mục đích điều tra.

② Khi sử dụng dịch vụ AI bên ngoài, nội dung hội thoại (ngữ cảnh tối thiểu) có thể được truyền qua máy chủ của nhà cung cấp đó. Dữ liệu truyền đi được tối thiểu hóa và mã hóa; thời gian lưu trữ tuân theo chính sách của từng nhà cung cấp (Công ty không đảm bảo việc 'xóa ngay lập tức').

③ Successful Companion local vault turns (Privacy Art. 8 ⑧·⑨) are not routed to external AI servers under clause ②. Local inference runs XenLook 4b-Ko on your device; the company does not provide that plaintext to third-party AI providers.

Để cải thiện dịch vụ, Công ty có thể ủy thác việc xử lý thông tin cá nhân. Khi ủy thác, chúng tôi sẽ công khai nội dung ủy thác theo quy định pháp luật, đồng thời quản lý và giám sát để đảm bảo bên nhận ủy thác xử lý thông tin cá nhân một cách an toàn.

① Người dùng (hoặc người đại diện hợp pháp) có thể thực hiện các quyền sau đây vào bất kỳ lúc nào: yêu cầu truy cập thông tin cá nhân, yêu cầu chỉnh sửa sai sót, yêu cầu xóa, và yêu cầu tạm ngưng xử lý.

② Quý khách có thể thực hiện các quyền này thông qua mục Cài đặt trong dịch vụ hoặc qua email ([email protected]). Công ty sẽ xử lý yêu cầu của quý khách ngay lập tức.

③ Người dùng có thể yêu cầu xem, tải xuống hoặc xóa lịch sử hội thoại với Trợ lý AI của mình.

④ Nội dung hội thoại vault cục bộ trên thiết bị; truy cập, xóa, xuất là cục bộ.

① Công ty sử dụng cookie để cung cấp các dịch vụ được cá nhân hóa cho từng người dùng.

② Quý khách có thể từ chối lưu cookie thông qua cài đặt trình duyệt web. Trong trường hợp này, việc sử dụng một số tính năng của dịch vụ có thể bị hạn chế.

③ Cookie sẽ hết hạn khi quý khách đóng trình duyệt hoặc đăng xuất.

① Chế độ đám mây (mặc định) có thể dùng hội thoại cải thiện mô hình. ①·② không áp dụng vault cục bộ (⑧·⑨).

② Bạn có thể đồng ý hoặc từ chối dùng dữ liệu hội thoại để huấn luyện.

③ «Chế độ riêng tư» chưa cung cấp; khác vault cục bộ Companion (⑧).

④ Mặc định, trò chuyện và tìm kiếm AI được xử lý trên đám mây (ví dụ Google Vertex AI, DeepSeek). Kho Companion cục bộ chỉ xử lý trên thiết bị khi bạn opt-in riêng; văn bản rõ của các lượt đó không lưu trong DB công ty.

⑤ Quý khách có thể rút lại sự đồng ý cho phép sử dụng dữ liệu hội thoại AI để huấn luyện vào bất kỳ lúc nào. Khi rút lại, quý khách có thể yêu cầu xóa dữ liệu đã được dùng để huấn luyện trước đó.

⑥ Công ty công khai tình hình sử dụng dữ liệu dưới dạng báo cáo minh bạch ít nhất mỗi năm một lần.

⑦ Người dùng thuộc phạm vi áp dụng của Quy định chung về Bảo vệ Dữ liệu của EU (GDPR) có thể thực hiện Quyền Di chuyển Dữ liệu (Right to Portability).

⑧ Vault cục bộ Companion: sau đồng ý, văn bản không lưu DB chat (chat-history).

⑨ Dữ liệu tài khoản tối thiểu có thể xử lý theo điều 3; không tự gửi đám mây khi daemon lỗi.

⑩ Vault cục bộ bật bằng **đồng ý riêng**; quản lý qua `COMPANION_VAULT_LEGAL_VERSION`.

Công ty chúng tôi áp dụng các biện pháp đảm bảo an toàn sau đây: Về quản lý (xây dựng kế hoạch quản lý nội bộ, tối thiểu hóa và đào tạo nhân viên xử lý thông tin cá nhân); Về kỹ thuật (mã hóa thông tin cá nhân, quản lý quyền truy cập, vận hành chương trình bảo mật, lưu trữ nhật ký truy cập); và Về vật lý (kiểm soát ra vào phòng máy chủ và phòng lưu trữ dữ liệu).

① Công ty phải có sự đồng thuận của người đại diện theo pháp luật khi thu thập thông tin cá nhân của trẻ em dưới 14 tuổi.

② Người đại diện theo pháp luật của trẻ em dưới 14 tuổi có quyền yêu cầu xem, chỉnh sửa hoặc xóa thông tin cá nhân của trẻ.

① Để cung cấp dịch vụ AI, dữ liệu hội thoại (ngữ cảnh tối thiểu) có thể được chuyển tới nhà cung cấp quốc tế gồm Google LLC (Vertex AI Gemini), Anthropic (Claude qua Vertex AI), DeepSeek, xAI (Grok), OpenAI (hình ảnh), Suno (âm nhạc) và Fal.ai (video). Gói trả phí gửi truy vấn tìm kiếm web tới Google LLC. Gói Explorer miễn phí không có tìm kiếm web. Hạ tầng có thể qua Cloudflare, Inc.

② Khi chuyển dữ liệu ra nước ngoài, chúng tôi sẽ thông báo và xin chấp thuận của người dùng về các mục được chuyển, quốc gia nhận, thời gian và phương thức chuyển, cũng như mục đích sử dụng và thời gian lưu giữ của bên nhận.

③ Văn bản vault cục bộ không chuyển ra nước ngoài (điều 8 ⑧·⑨).

④ Khu vực GDPR (EU/UK): chuyển giao dựa trên SCC EU (2021/914) và DPA bên xử lý (vd. Google Cloud). Mỹ: SCC & DPA. Trung Quốc (DeepSeek): đồng ý PIPL.

Công ty chỉ định một Giám đốc Bảo vệ Thông tin Cá nhân (CPO) chịu trách nhiệm phụ trách tổng thể các hoạt động liên quan đến việc xử lý thông tin cá nhân.

Giám đốc Bảo vệ Thông tin Cá nhân: Nam Ki-yeon (Đồng Đại diện) · [email protected] · 1833-6972 (Ủy ban Hòa giải Tranh chấp Thông tin Cá nhân)

Người dùng có thể yêu cầu tư vấn từ các cơ quan sau đây để được hỗ trợ khắc phục thiệt hại do hành vi xâm phạm thông tin cá nhân:

Ủy ban Hòa giải Tranh chấp Thông tin Cá nhân: (gọi không cần mã vùng) 1833-6972 (www.kopico.go.kr)

Trung tâm Báo cáo Xâm phạm Thông tin Cá nhân: (gọi không cần mã vùng) 118 (privacy.kisa.or.kr)

Viện Kiểm sát Tối cao: (gọi không cần mã vùng) 1301 (www.spo.go.kr)

Cơ quan Cảnh sát Quốc gia: (gọi không cần mã vùng) 182 (ecrm.cyber.go.kr)

Chính sách này có hiệu lực kể từ ngày ban hành. Trường hợp có bất kỳ nội dung nào được bổ sung, xóa bỏ hoặc sửa đổi do thay đổi về luật pháp, chính sách hoặc công nghệ bảo mật, chúng tôi sẽ thông báo trên mục Thông báo của dịch vụ ít nhất 7 ngày trước khi các thay đổi có hiệu lực.

① Khi xảy ra sự cố xâm phạm thông tin cá nhân, Công ty sẽ ngay lập tức thông báo cho người dùng bị ảnh hưởng về sự cố, các mục thông tin bị xâm phạm, biện pháp giảm thiểu thiệt hại và thông tin liên hệ.

② Trong trường hợp thông tin cá nhân của người dùng tại EU bị xâm phạm, chúng tôi sẽ thông báo cho cơ quan giám sát trong vòng 72 giờ theo Điều 33 của GDPR. Nếu có nguy cơ rủi ro cao, chúng tôi cũng sẽ thông báo ngay cho người dùng theo Điều 34.

③ Đối với người dùng tại Trung Quốc, chúng tôi sẽ thông báo về sự cố xâm phạm theo Điều 57 của Luật Bảo vệ Thông tin Cá nhân (PIPL). Đối với người dùng tại Hàn Quốc, chúng tôi sẽ thực hiện ngay một hoặc nhiều biện pháp theo Điều 34 của Luật Bảo vệ Thông tin Cá nhân.

① Công ty không sử dụng AI để đưa ra các quyết định hoàn toàn tự động có hiệu lực pháp lý đối với người dùng. Mọi quyết định quan trọng đều có sự xem xét của con người.

② Theo Điều 22 của GDPR, người dùng tại EU có quyền yêu cầu sự can thiệp của con người đối với quy trình xử lý tự động. Quý khách có thể gửi yêu cầu qua [email protected].

③ Trong trường hợp người dùng phản đối quyết định tự động hoặc yêu cầu con người xem xét, Công ty sẽ thông báo kết quả xử lý trong vòng 7 ngày làm việc.

Chính sách Quyền riêng tư này có hiệu lực từ ngày 01 tháng 06 năm 2026.