Chính sách bảo mật thông tin

Công ty TNHH thương mại điện tử Sudo ("Sudo", "chúng tôi") tôn trọng quyền riêng tư và cam kết bảo vệ thông tin, dữ liệu cá nhân của các tổ chức, cá nhân ("Khách hàng") sử dụng dịch vụ của Sudo, bao gồm: tư vấn phát triển phần mềm may đo, thiết kế website, lập trình ứng dụng di động, giải pháp Zalo Mini App, hạ tầng máy chủ Cloud Server, DevOps và các dịch vụ công nghệ liên quan.

Chính sách bảo mật này được xây dựng và tuân thủ nghiêm ngặt các quy định pháp luật hiện hành của nước Cộng hòa Xã hội Chủ nghĩa Việt Nam và các chuẩn mực bảo vệ dữ liệu quốc tế, bao gồm:

• Nghị định số 13/2023/NĐ-CP của Chính phủ về Bảo vệ Dữ liệu Cá nhân;
• Luật An toàn Thông tin Mạng 2015 và Luật An ninh Mạng 2018;
• Luật Bảo vệ Quyền lợi Người tiêu dùng 2023;
• Luật Giao dịch Điện tử 2023;
• Các tiêu chuẩn bảo vệ dữ liệu quốc tế tương thích tại các thị trường Sudo hoạt động (bao gồm Đạo luật Bảo vệ Dữ liệu Liên bang Thụy Sĩ - FADP và GDPR).

Bằng việc đăng ký tài khoản, gửi thông tin tư vấn, ký kết hợp đồng hoặc sử dụng bất kỳ dịch vụ nào do Sudo cung cấp, Khách hàng xác nhận đã đọc kỹ, hiểu rõ và đồng ý vô điều kiện với toàn bộ nội dung của Chính sách bảo mật này.

Điều 1: Định nghĩa và phân định vai trò pháp lý

Nhằm đảm bảo sự minh bạch và tuân thủ chặt chẽ Nghị định 13/2023/NĐ-CP, các thuật ngữ trong chính sách này được định nghĩa và phân định vai trò như sau:

• "Khách hàng": Là tổ chức, doanh nghiệp hoặc cá nhân trực tiếp ký kết hợp đồng, đăng ký tài khoản hoặc sử dụng dịch vụ kỹ thuật số của Sudo.
• "Dữ liệu cá nhân": Là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể.
• "Dữ liệu dịch vụ": Là toàn bộ thông tin, tệp tin mã nguồn, cơ sở dữ liệu nội bộ, nội dung kinh doanh và dữ liệu người dùng cuối mà Khách hàng lưu trữ, truyền tải, xử lý thông qua phần mềm may đo, website hoặc hạ tầng máy chủ do Sudo cung cấp/bàn giao.
• "Vai trò Bên Kiểm soát Dữ liệu cá nhân (Data Controller)": Sudo đóng vai trò là Bên Kiểm soát Dữ liệu đối với thông tin định danh, thông tin liên hệ và lịch sử giao dịch trực tiếp của Khách hàng với Sudo nhằm mục đích quản trị hợp đồng và hỗ trợ kỹ thuật.
• "Vai trò Bên Xử lý Dữ liệu cá nhân (Data Processor)": Đối với "Dữ liệu dịch vụ" do Khách hàng đưa lên máy chủ hoặc vận hành trên phần mềm may đo, Khách hàng là Bên Kiểm soát Dữ liệu duy nhất, Sudo chỉ đóng vai trò là Bên Xử lý Dữ liệu thay mặt Khách hàng trong phạm vi kỹ thuật cần thiết để duy trì hệ thống.
• "Sự cố an toàn thông tin": Bất kỳ hành vi xâm nhập, rò rỉ, phá hoại hoặc thất thoát dữ liệu trái phép phát sinh từ các cuộc tấn công mạng hoặc sự cố kỹ thuật ngoài ý muốn.

Điều 2: Phạm vi và mục đích thu thập thông tin

2.1. Thông tin Sudo thu thập từ Khách hàng

Sudo thu thập các thông tin sau khi Khách hàng yêu cầu tư vấn, ký kết hợp đồng hoặc sử dụng hệ thống quản trị của Sudo:

• Thông tin định danh pháp lý: Họ và tên người đại diện, chức vụ, tên doanh nghiệp, mã số thuế, số CCCD/Hộ chiếu (đối với cá nhân đại diện ký kết).
• Thông tin liên hệ nghiệp vụ: Địa chỉ trụ sở, địa chỉ văn phòng, địa chỉ email, số điện thoại liên lạc, thông tin tài khoản ngân hàng phục vụ xuất hóa đơn GTGT.
• Thông tin kỹ thuật và truy cập: Địa chỉ IP, nhật ký truy cập (access log), loại trình duyệt, hệ điều hành khi khách hàng thao tác trên hệ thống quản trị hỗ trợ (support.sudo.vn).
• Thông tin thanh toán: Lịch sử thanh toán dịch vụ. Sudo không lưu trữ số thẻ tín dụng hoặc mật khẩu thanh toán của khách hàng; toàn bộ giao dịch thanh toán trực tuyến được xử lý bảo mật qua các cổng thanh toán được Ngân hàng Nhà nước cấp phép (VNPAY, MoMo, VietQR).

2.2. Mục đích xử lý thông tin

Toàn bộ thông tin định danh của Khách hàng chỉ được sử dụng cho các mục đích chính đáng sau:

• Khảo sát nghiệp vụ, tư vấn kiến trúc giải pháp và gửi báo giá may đo theo đúng yêu cầu;
• Ký kết, thực hiện hợp đồng kinh tế và phát hành hóa đơn tài chính hợp pháp;
• Cung cấp dịch vụ quản trị, cấp phát tài nguyên máy chủ và kích hoạt bảo hành phần mềm;
• Gửi thông báo kỹ thuật, lịch bảo trì hệ thống, nhắc hạn gia hạn dịch vụ và tiếp nhận yêu cầu hỗ trợ (ticket);
• Tuân thủ các nghĩa vụ pháp lý bắt buộc theo quy định của pháp luật Việt Nam.

Sudo cam kết tuyệt đối không bán, không cho thuê, không chia sẻ thông tin cá nhân của Khách hàng cho bất kỳ bên thứ ba nào vì mục đích tiếp thị hoặc quảng cáo thương mại.

Điều 3: Dữ liệu dịch vụ lưu trữ trên hạ tầng máy chủ và phần mềm Sudo

Quy định này áp dụng riêng biệt cho các Khách hàng sử dụng dịch vụ Cloud Server, VPS, Hosting, dịch vụ bảo trì DevOps hoặc các phần mềm quản trị (HRM, CRM, Bảo hành điện tử) chạy trên hạ tầng do Sudo quản lý:

3.1. Quyền sở hữu dữ liệu tuyệt đối của Khách hàng

Toàn bộ cơ sở dữ liệu kinh doanh, thông tin nhân sự, thông tin khách hàng cuối và tài liệu số mà Khách hàng lưu trữ trên máy chủ ("Dữ liệu dịch vụ") là tài sản sở hữu riêng biệt và bất khả xâm phạm của Khách hàng. Sudo không xác lập bất kỳ quyền sở hữu trí tuệ hoặc quyền sử dụng thương mại nào đối với Dữ liệu dịch vụ này.

3.2. Trách nhiệm của Khách hàng đối với dữ liệu người dùng cuối

Với tư cách là Bên Kiểm soát Dữ liệu đối với khách hàng và nhân sự của mình, Khách hàng có trách nhiệm pháp lý cao nhất trong việc:

• Đảm bảo đã thu thập sự đồng ý hợp pháp của người dùng cuối trước khi nhập, lưu trữ hoặc xử lý thông tin trên phần mềm/máy chủ;
• Chịu hoàn toàn trách nhiệm trước pháp luật và các cơ quan quản lý nhà nước về tính hợp pháp của nội dung dữ liệu được lưu trữ;
• Cam kết bồi thường thiệt hại và giữ cho Sudo không bị ảnh hưởng trước mọi khiếu nại, tranh chấp, xử phạt hành chính phát sinh từ việc Khách hàng lưu trữ dữ liệu trái phép hoặc vi phạm quyền riêng tư của bên thứ ba.

3.3. Quyền truy cập hạn chế của kỹ sư Sudo

Kỹ sư Sudo chỉ được phép tiếp cận hạ tầng lưu trữ của Khách hàng trong các trường hợp giới hạn sau:

• Khách hàng chủ động gửi yêu cầu hỗ trợ kỹ thuật (ticket) hoặc yêu cầu hỗ trợ khẩn cấp qua các kênh chính thức;
• Thực hiện các thao tác ứng cứu sự cố hệ thống (system outage, DDoS, nghẽn tài nguyên) theo đúng cam kết SLA đã thỏa thuận;
• Bảo trì định kỳ phần cứng/hệ điều hành máy chủ theo lịch thông báo trước (không xem hoặc sao chép nội dung cơ sở dữ liệu);
• Tuân thủ yêu cầu văn bản bắt buộc từ cơ quan có thẩm quyền theo luật định.

3.4. Chính sách sao lưu dự phòng (Backup)

• Sudo triển khai cơ chế sao lưu tự động (daily/weekly backup) theo thông số của từng gói dịch vụ hạ tầng được công bố minh bạch. Bản sao lưu được lưu trữ trên hệ thống phân tán cách ly (off-site storage).
• Tuy nhiên, để đảm bảo an toàn tuyệt đối cho tài sản số, Khách hàng vẫn có trách nhiệm duy trì phương án tự sao lưu dữ liệu nghiệp vụ quan trọng về hệ thống nội bộ định kỳ.

3.5. Quy trình xử lý và hủy dữ liệu khi kết thúc hợp đồng

• Khi dịch vụ kết thúc hoặc Khách hàng chủ động chấm dứt hợp đồng, Sudo sẽ gửi cảnh báo bằng văn bản hoặc email trước ít nhất 15 ngày.
• Khách hàng có thời hạn 15 ngày kể từ ngày chấm dứt để chủ động tải toàn bộ cơ sở dữ liệu và mã nguồn về máy chủ riêng.
• Sau thời hạn trên, Sudo sẽ tiến hành hủy toàn bộ Dữ liệu dịch vụ của Khách hàng khỏi hệ thống lưu trữ trong vòng 15 ngày tiếp theo. Quá trình hủy dữ liệu được thực hiện triệt để, không thể khôi phục. Sudo sẵn sàng cấp văn bản xác nhận hoàn tất hủy dữ liệu theo yêu cầu của Khách hàng.

Điều 4: Bảo mật thông tin đăng nhập và bàn giao mã nguồn

4.1. Trong quá trình phát triển dự án

Mọi thông tin tài khoản máy chủ, API key hoặc dữ liệu mẫu do Khách hàng cung cấp để phục vụ kiểm thử dự án chỉ được lưu hành trong nội bộ nhóm kỹ sư chuyên trách và được bảo mật tuyệt đối theo Thỏa thuận không tiết lộ thông tin (NDA).

4.2. Sau khi nghiệm thu và bàn giao 100% mã nguồn

• Sudo cam kết bàn giao 100% mã nguồn sạch cùng tài liệu kỹ thuật, toàn quyền tài khoản quản trị cao nhất (Super Admin/Root).
• Sudo không lưu trữ bản sao mật khẩu quản trị của Khách hàng sau khi nghiệm thu. Khách hàng có trách nhiệm thay đổi toàn bộ mật khẩu quản trị, chứng thư bảo mật và khóa API ngay sau khi nhận bàn giao.
• Trong các đợt bảo trì hoặc nâng cấp sau này, Khách hàng chỉ cấp quyền truy cập tạm thời cho kỹ sư Sudo và chủ động thu hồi quyền ngay sau khi công việc hoàn tất.

4.3. Quy trình bảo vệ dữ liệu khi nhân sự nghỉ việc

Sudo áp dụng quy trình bảo mật nhân sự nghiêm ngặt: Trong vòng 24 giờ kể từ thời điểm nhân viên kỹ thuật có quyết định nghỉ việc, toàn bộ quyền truy cập nội bộ, tài khoản VPN, máy chủ phát triển và quyền truy cập vào các dự án khách hàng của nhân sự đó đều bị khóa vĩnh viễn.

Điều 5: Lưu trữ dữ liệu và chuyển dữ liệu quốc tế

5.1. Thời gian lưu trữ dữ liệu quản trị

5.2. Chuyển dữ liệu xuyên biên giới (Cross-Border Data Transfer)

Nhằm đảm bảo hiệu năng cao nhất, chống tấn công DDoS và tối ưu độ trễ cho người dùng toàn cầu, một số dữ liệu kỹ thuật hoặc hạ tầng máy chủ của Sudo có thể được đặt tại các trung tâm dữ liệu chuẩn Tier 3 quốc tế (như Akamai/Linode tại Singapore, Tokyo, hoặc trung tâm dữ liệu tại Thụy Sĩ). Quá trình này được Sudo thực hiện tuân thủ Điều 25 Nghị định 13/2023/NĐ-CP và các thỏa thuận bảo mật dữ liệu xuyên biên giới tiêu chuẩn.

Điều 6: Quyền của khách hàng đối với dữ liệu cá nhân

Căn cứ theo Điều 9 Nghị định 13/2023/NĐ-CP, Khách hàng với tư cách là chủ thể dữ liệu có đầy đủ các quyền pháp lý sau đây đối với dữ liệu cá nhân của mình tại Sudo:

• Quyền được biết: Được thông báo rõ ràng về hoạt động thu thập, mục đích xử lý dữ liệu;
• Quyền đồng ý: Chấp thuận hoặc từ chối cho phép Sudo xử lý dữ liệu cá nhân theo thỏa thuận;
• Quyền truy cập và yêu cầu cung cấp: Xem, chỉnh sửa hoặc yêu cầu cung cấp bản sao dữ liệu cá nhân của mình;
• Quyền rút lại sự đồng ý: Rút lại sự đồng ý xử lý dữ liệu (trừ trường hợp pháp luật có quy định khác);
• Quyền xóa dữ liệu: Yêu cầu xóa bỏ thông tin cá nhân khi không còn nhu cầu sử dụng dịch vụ;
• Quyền hạn chế hoặc phản đối xử lý dữ liệu: Đề nghị hạn chế việc sử dụng dữ liệu vào mục đích tiếp thị;
• Quyền khiếu nại, tố cáo hoặc khởi kiện: Khiếu nại trực tiếp đến Sudo hoặc cơ quan chức năng có thẩm quyền theo luật định.

Khách hàng có thể thực hiện các quyền trên trực tiếp tại trang quản lý support.sudo.vn hoặc gửi văn bản/email đến info@sudo.vn. Sudo cam kết phản hồi và xử lý yêu cầu hợp lệ trong vòng 72 giờ làm việc.

Điều 7: Biện pháp kỹ thuật và an toàn thông tin

Sudo áp dụng các tiêu chuẩn an toàn thông tin đa tầng cấp doanh nghiệp nhằm bảo vệ dữ liệu tối đa:

• Tiêu chuẩn mã hóa: Áp dụng mã hóa đầu cuối giao thức HTTPS/TLS 1.3 cho toàn bộ dữ liệu truyền tải; mật khẩu tài khoản được băm một chiều bằng thuật toán mã hóa an toàn cao (Argon2 / bcrypt); cơ sở dữ liệu nhạy cảm được mã hóa chuẩn AES-256.
• Phân quyền truy cập đa cấp (RBAC): Giới hạn quyền truy cập theo đúng nguyên tắc "Đặc quyền tối thiểu" (Least Privilege). Nhân sự các bộ phận chỉ được truy cập dữ liệu trong phạm vi công việc được giao.
• Bảo vệ hạ tầng mạng: Hệ thống tường lửa đa tầng, lọc lưu lượng chống tấn công DDoS, thiết lập xác thực 2 yếu tố (2FA) bắt buộc đối với toàn bộ kỹ sư quản trị hệ thống.
• Rà soát định kỳ: Thực hiện quét lỗ hổng bảo mật định kỳ hàng quý và áp dụng quy trình kiểm thử xâm nhập (Pentest) trước khi phát hành các bản nâng cấp phần mềm.

Điều 8: Quy trình xử lý sự cố an toàn thông tin (Data Breach)

Trong trường hợp phát hiện sự cố an ninh mạng hoặc rò rỉ dữ liệu ngoài ý muốn, Sudo lập tức kích hoạt quy trình ứng cứu khẩn cấp gồm các bước:

1. Cô lập sự cố: Khoanh vùng hệ thống, chặn đứng luồng truy cập độc hại và bảo vệ tính nguyên vẹn của dữ liệu trong vòng 60 phút từ khi phát hiện.
2. Thông báo cho Khách hàng: Gửi văn bản/email thông báo trực tiếp cho Khách hàng bị ảnh hưởng trong vòng 72 giờ, nêu rõ bản chất sự cố, loại dữ liệu bị ảnh hưởng, các biện pháp khắc phục đang triển khai và đầu mối liên hệ.
3. Báo cáo cơ quan quản lý: Thực hiện thông báo và báo cáo sự cố bằng văn bản đến Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) - Bộ Công an và Cục An toàn thông tin - Bộ Thông tin và Truyền thông theo đúng quy định tại Điều 26 Nghị định 13/2023/NĐ-CP.
4. Khắc phục và cung cấp báo cáo: Khôi phục hệ thống từ các bản sao lưu an toàn gần nhất và cung cấp báo cáo phân tích nguyên nhân gốc rễ (Post-Incident Report) cho Khách hàng.

Điều 9: Giới hạn trách nhiệm và miễn trừ trách nhiệm

Nhằm đảm bảo sự công bằng và phân định rủi ro rõ ràng trong hoạt động công nghệ, Sudo quy định cụ thể các trường hợp giới hạn và miễn trừ trách nhiệm như sau:

9.1. Các trường hợp Sudo được miễn trừ toàn bộ trách nhiệm

Sudo hoàn toàn không chịu trách nhiệm đối với việc mất mát, lộ lọt dữ liệu hoặc gián đoạn hoạt động của Khách hàng phát sinh từ:

• Khách hàng tự ý để lộ thông tin tài khoản quản trị (Admin), mật khẩu root máy chủ, mã khóa API hoặc để thiết bị cá nhân bị nhiễm mã độc, virus, trojan, keylogger;
• Khách hàng tự ý can thiệp, chỉnh sửa cấu trúc mã nguồn, tự ý cài đặt thêm các tiện ích (plugins), giao diện (themes) hoặc thư viện phần mềm bên thứ ba không rõ nguồn gốc mà không qua kiểm định của Sudo;
• Khách hàng không thực hiện khuyến cáo bảo mật hoặc chậm trễ trong việc cập nhật các bản vá an ninh do Sudo đề xuất;
• Sự cố đứt gãy mạng diện rộng quốc tế, lỗi từ nhà cung cấp dịch vụ viễn thông cấp 1 hoặc các trường hợp bất khả kháng theo quy định pháp luật (thiên tai, hỏa hoạn, xung đột vũ trang, sự thay đổi bất thường của chính sách pháp luật).

9.2. Giới hạn bồi thường thiệt hại tối đa (Cap on Liability)

• Trong mọi trường hợp, Sudo không chịu trách nhiệm đối với bất kỳ thiệt hại gián tiếp, thiệt hại do mất cơ hội kinh doanh, mất doanh thu, mất lợi nhuận kỳ vọng, giảm uy tín thương hiệu hoặc chi phí phục hồi kinh doanh của Khách hàng.
• Trách nhiệm bồi thường thiệt hại trực tiếp của Sudo (nếu có, và được cơ quan tài phán có thẩm quyền xác định phát sinh do lỗi cố ý trực tiếp từ phía Sudo) trong mọi trường hợp sẽ không vượt quá tổng số phí dịch vụ mà Khách hàng đã thanh toán thực tế cho Sudo trong vòng 03 tháng gần nhất của hợp đồng dịch vụ bị ảnh hưởng trực tiếp.

Điều 10: Chia sẻ thông tin với bên thứ ba

Sudo chỉ chia sẻ thông tin trong phạm vi tối thiểu cần thiết đối với các trường hợp sau:

• Đối tác hạ tầng kỹ thuật ủy quyền: Các nhà cung cấp trung tâm dữ liệu (Datacenter), cổng thanh toán trung gian hoặc đơn vị cung cấp hạ tầng SMS/ZNS theo thỏa thuận bảo mật chặt chẽ nhằm duy trì dịch vụ cho Khách hàng.
• Yêu cầu pháp lý bắt buộc: Khi nhận được yêu cầu chính thức bằng văn bản từ Tòa án, Viện Kiểm sát hoặc Cơ quan Điều tra theo đúng trình tự pháp luật quy định.
• Bảo vệ quyền lợi hợp pháp: Khi cần thiết để ngăn chặn hành vi lừa đảo, tấn công mạng phá hoại hạ tầng quốc gia hoặc bảo vệ an toàn cho hệ sinh thái công nghệ Sudo.

Điều 11: Sử dụng Cookie và công nghệ theo dõi

Website sudo.vn và các ứng dụng của Sudo sử dụng cookie nhằm:

• Duy trì trạng thái đăng nhập an toàn của Khách hàng trên trang quản lý;
• Ghi nhớ các tùy chọn ngôn ngữ, cấu hình hiển thị;
• Phân tích dữ liệu ẩn danh (Google Analytics) nhằm tối ưu tốc độ tải trang và trải nghiệm người dùng.

Khách hàng có toàn quyền từ chối hoặc vô hiệu hóa cookie thông qua cài đặt trình duyệt của mình mà không bị hạn chế xem các nội dung thông tin cơ bản trên website.

Điều 12: Sửa đổi và cập nhật chính sách

Sudo có quyền cập nhật, bổ sung Chính sách bảo mật này bất cứ lúc nào để phù hợp với sự phát triển của công nghệ và quy định pháp luật. Khi có thay đổi trọng yếu ảnh hưởng đến quyền lợi của Khách hàng:

• Sudo sẽ đăng tải thông báo công khai trên website và gửi email thông báo trước ít nhất 30 ngày trước ngày chính sách mới có hiệu lực;
• Nếu Khách hàng không đồng ý với các nội dung thay đổi, Khách hàng có quyền chấm dứt sử dụng dịch vụ trước ngày chính sách có hiệu lực mà không phải chịu bất kỳ khoản phạt nào.

Điều 13: Thông tin đơn vị kiểm soát và quản lý dữ liệu

Công ty Cổ phần Thương mại Điện tử Sudo

• Mã số doanh nghiệp: 0107082414
• Mã số định danh D-U-N-S: 55-678-2017
• Trụ sở chính: Số 19 Cổ Vân, xã Việt Hùng, Huyện Đông Anh, Hà Nội
• Văn phòng Hà Nội: Tầng 3 - Dolphin Plaza (Tháp 3-4), số 6 Nguyễn Hoàng, Phường Từ Liêm.
• Văn phòng Nghệ An: Tầng 14 (Tòa nhà Dầu Khí Nghệ An), Số 7 Quang Trung, Phường Quang Trung.
• Văn phòng Quốc tế: Dorfstrasse 14, 8956 Killwangen, Thụy Sĩ
• Hotline tư vấn: 0989.022.022 | Hotline kỹ thuật: 0819.022.022
• Email pháp lý & bảo mật: info@sudo.vn

Điều 14: Kênh tiếp nhận liên hệ và giải quyết khiếu nại

Mọi thắc mắc, đề nghị thực hiện quyền của chủ thể dữ liệu hoặc khiếu nại liên quan đến an toàn thông tin, Khách hàng vui lòng liên hệ:

• Cổng tiếp nhận hỗ trợ tập trung: www.support.sudo.vn
• Email đầu mối an toàn thông tin: info@sudo.vn
• Thời hạn xử lý và phản hồi chính thức: Trong vòng 72 giờ làm việc kể từ thời điểm tiếp nhận văn bản hợp lệ.

Trong trường hợp tranh chấp không thể hòa giải thương lượng, Khách hàng có quyền yêu cầu sự hỗ trợ từ các cơ quan quản lý nhà nước có thẩm quyền:

• Bảo vệ quyền lợi người tiêu dùng: Ủy ban Cạnh tranh Quốc gia - Bộ Công Thương;
• Bảo vệ dữ liệu cá nhân & An ninh mạng: Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) - Bộ Công an;
• An toàn thông tin mạng: Cục An toàn thông tin - Bộ Thông tin và Truyền thông.

Chính sách bảo mật này có hiệu lực chính thức kể từ ngày 19 tháng 10 năm 2026 và thay thế toàn bộ các phiên bản trước đây.