Chính sách bảo mật
Phiên bản 2.0 · Cập nhật lần cuối: 17 tháng 4 năm 2026
Alvoru rất coi trọng việc bảo vệ dữ liệu cá nhân. Chính sách quyền riêng tư này được soạn thảo phù hợp với Quy định chung về bảo vệ dữ liệu (Quy định (EU) 2016/679, sau đây gọi là: GDPR) và Luật thi hành GDPR, và mô tả cách Alvoru thu thập, xử lý, bảo vệ và xóa dữ liệu cá nhân.
1. Bên kiểm soát dữ liệu
Bên kiểm soát dữ liệu theo nghĩa của điều 4 khoản 7 GDPR là:
Alvoru (doanh nghiệp tư nhân)
Chủ sở hữu: Yousri
Địa điểm đặt trụ sở: Cuijk, Hà Lan
Số KvK: 42071779
E-mail: info@alvoru.com
Điện thoại: 06-34783929
Người liên hệ về các vấn đề quyền riêng tư: Yousri qua info@alvoru.com. Alvoru không có nghĩa vụ theo GDPR phải bổ nhiệm một Cán bộ Bảo vệ Dữ liệu (DPO).
2. Chúng tôi xử lý những dữ liệu cá nhân nào?
Alvoru chỉ xử lý những dữ liệu cá nhân cần thiết để cung cấp dịch vụ của chúng tôi. Tùy theo dịch vụ, có thể bao gồm:
- Dữ liệu liên hệ và doanh nghiệp: tên, tên doanh nghiệp, địa chỉ email, số điện thoại, địa chỉ, số KvK và thông tin chức vụ.
- Dữ liệu tài khoản: thông tin đăng nhập, hash mật khẩu, cookie phiên, tùy chọn.
- Nội dung cuộc trò chuyện: tin nhắn và cuộc trò chuyện giữa người dùng cuối và các kênh AI của chúng tôi (chatbot và email).
- Dữ liệu đặt chỗ và lịch: tên, thông tin liên hệ, thời điểm và chủ đề của các cuộc hẹn.
- Dữ liệu kỹ thuật: địa chỉ IP, trình duyệt và hệ điều hành, dấu thời gian, hành vi trên trang.
- Dữ liệu cookie: xem mục 10.
- Dữ liệu thanh toán: dữ liệu hóa đơn và lịch sử thanh toán; dữ liệu thẻ tín dụng và IBAN không được Alvoru lưu trữ mà chỉ được xử lý bởi bên xử lý thanh toán Mollie.
3. Mục đích và cơ sở pháp lý (điều 6 GDPR)
| Mục đích | Cơ sở pháp lý |
|---|---|
| Thực hiện Hợp đồng và cung cấp Dịch vụ | Thực hiện hợp đồng (điều 6 khoản 1 điểm b) |
| Lập hóa đơn, thanh toán và giấy tờ hành chính | Nghĩa vụ pháp lý (điều 6 khoản 1 điểm c) — nghĩa vụ lưu trữ về thuế |
| Chăm sóc khách hàng và hỗ trợ | Thực hiện hợp đồng |
| Bảo mật, phát hiện gian lận và ngăn ngừa lạm dụng | Lợi ích chính đáng (điều 6 khoản 1 điểm f) |
| Cải thiện Dịch vụ và phát triển sản phẩm | Lợi ích chính đáng |
| Email tiếp thị đến khách hàng hiện có về các dịch vụ tương tự | Lợi ích chính đáng (có tùy chọn từ chối) |
| Bản tin đến những người không phải khách hàng | Sự đồng ý (điều 6 khoản 1 điểm a) |
| Cookie phân tích | Sự đồng ý (banner cookie) |
Đối với các hoạt động xử lý dựa trên lợi ích chính đáng (điều 6 khoản 1 điểm f GDPR), Alvoru đã thực hiện một đánh giá lợi ích chính đáng (LIA). Cụ thể đối với bảo mật, phát hiện gian lận và ngăn ngừa lạm dụng: Alvoru có một lợi ích chính đáng trong việc bảo vệ hệ thống và dữ liệu khách hàng của mình. Lợi ích của bạn không được ưu tiên hơn lợi ích chính đáng này, vì việc xử lý được giới hạn ở dữ liệu kỹ thuật (địa chỉ IP, dấu thời gian), là cần thiết một cách nghiêm ngặt để bảo vệ tất cả người dùng, và bạn được thông báo về việc này qua chính sách quyền riêng tư này.
4. Thời hạn lưu trữ
Alvoru không lưu trữ dữ liệu cá nhân lâu hơn mức cần thiết cho các mục đích mà chúng được thu thập:
- Dữ liệu khách hàng (đang hoạt động): trong suốt thời hạn của Hợp đồng và đến 60 ngày sau khi chấm dứt (xem Điều khoản chung điều 11).
- Hóa đơn và giấy tờ tài chính: 7 năm, theo điều 52 AWR (nghĩa vụ lưu trữ về thuế).
- Nhật ký cuộc trò chuyện AI: 12 tháng, trừ khi Khách hàng đồng ý bằng văn bản về một thời hạn ngắn hơn.
- Đồng ý nhận tiếp thị: cho đến khi rút lại sự đồng ý.
- Dữ liệu khách hàng tiềm năng (không phải khách hàng): tối đa 12 tháng.
- Tệp nhật ký kỹ thuật và nhật ký bảo mật: tối đa 12 tháng.
- Bản sao lưu: tối đa 90 ngày.
5. Chia sẻ với bên thứ ba và chuyển giao
Alvoru chỉ chia sẻ dữ liệu cá nhân với các bên xử lý phụ thực sự cần thiết cho việc cung cấp dịch vụ. Với mỗi bên xử lý phụ đã ký một hợp đồng xử lý dữ liệu theo điều 28 GDPR.
| Bên xử lý phụ | Mục đích | Địa điểm / biện pháp bảo đảm |
|---|---|---|
| Anthropic | Tạo văn bản AI (Claude) — chính | Hoa Kỳ — SCC + các biện pháp bổ sung |
| Voyage AI | Vector embeddings cho tìm kiếm RAG | Hoa Kỳ (SCC) |
| OpenAI | Tạo văn bản AI (GPT) — dự phòng | Hoa Kỳ — DPF + SCC |
| Resend | Gửi email giao dịch | Hoa Kỳ — được chứng nhận DPF |
| Hetzner Online | Lưu trữ và lưu trữ dữ liệu | Đức / Phần Lan (EU) |
| Cloudflare | CDN, bảo vệ DDoS, DNS & Email Routing | Toàn cầu — DPF + SCC |
| Sentry | Giám sát lỗi (nhật ký kỹ thuật, 30 ngày) | Đức (EU) |
| Meta Platforms Ireland | WhatsApp Business API (chỉ khi được kích hoạt) | Ireland (EU) và Hoa Kỳ — SCC + DPF |
| Google LLC | Định tuyến email Workspace và Maps Platform (dữ liệu doanh nghiệp công khai) | Hoa Kỳ — DPF + SCC |
| Moneybird | Lập hóa đơn và kế toán | Hà Lan (EU) |
| Mollie | Xử lý thanh toán | Hà Lan (EU) |
| n8n | Tự động hóa quy trình làm việc (tìm kiếm khách hàng tiềm năng, tự lưu trữ trên Hetzner) | Đức (EU) — tự lưu trữ, không chuyển giao ra bên ngoài |
| Litestream | Sao chép SQLite liên tục (sao lưu ngoài trang đến Hetzner Storage Box) | Đức (EU) — dữ liệu vẫn ở lại trong EU |
| AbuseIPDB | Kiểm tra uy tín IP để bảo vệ khỏi bot (chỉ địa chỉ IP, không có dữ liệu cá nhân nào khác) | Hoa Kỳ — lợi ích chính đáng, dữ liệu tối thiểu |
Việc chuyển giao đến các quốc gia ngoài EEA chỉ diễn ra trên cơ sở một quyết định đầy đủ hợp lệ, một chứng nhận DPF hoặc các Điều khoản Hợp đồng Tiêu chuẩn của EU, được bổ sung bằng các biện pháp kỹ thuật và tổ chức bổ sung khi cần thiết.
6. Quyền của chủ thể dữ liệu
Theo GDPR bạn có các quyền sau đây:
- Truy cập (điều 15) — biết chúng tôi xử lý những dữ liệu nào của bạn.
- Đính chính và chỉnh sửa (điều 16) — bạn có quyền yêu cầu chỉnh sửa dữ liệu cá nhân sai hoặc không đầy đủ. Bạn có thể nộp yêu cầu chỉnh sửa qua info@alvoru.com kèm mô tả về những dữ liệu nào sai và đâu là dữ liệu đúng. Alvoru xử lý yêu cầu của bạn trong vòng một tháng và xác nhận việc chỉnh sửa đã thực hiện bằng văn bản qua email.
- Xóa (điều 17, "quyền được lãng quên").
- Hạn chế việc xử lý (điều 18).
- Khả năng chuyển giao (điều 20) — nhận dữ liệu của bạn ở định dạng máy đọc được.
- Phản đối (điều 21) — đối với các hoạt động xử lý dựa trên lợi ích chính đáng hoặc tiếp thị trực tiếp.
- Rút lại sự đồng ý (điều 7 khoản 3) — đối với các hoạt động xử lý dựa trên sự đồng ý, mà không ảnh hưởng đến tính hợp pháp trước đó.
- Sự can thiệp của con người (điều 22) đối với việc ra quyết định tự động (xem mục 7).
Bạn có thể nộp yêu cầu qua info@alvoru.com. Alvoru phản hồi trong vòng một tháng, theo điều 12 khoản 3 GDPR. Để xác minh danh tính của bạn, Alvoru có thể yêu cầu thông tin bổ sung.
Nếu bạn cho rằng Alvoru vi phạm GDPR, bạn có quyền nộp đơn khiếu nại lên Autoriteit Persoonsgegevens (Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl).
7. Ra quyết định tự động và AI
Chatbot AI và tự động hóa email của Alvoru xử lý tin nhắn một cách tự động và có thể tự tạo ra câu trả lời. Đối với việc đặt chỗ và đặt lịch tự động, điều này có thể dẫn đến các quyết định có hệ quả pháp lý đối với người dùng cuối theo nghĩa của điều 22 GDPR.
Người dùng cuối có quyền theo điều 22 khoản 3 GDPR để:
- nhận được sự can thiệp của con người;
- trình bày quan điểm của mình;
- phản đối quyết định.
Quyền này có thể được thực hiện bằng cách liên hệ với doanh nghiệp sử dụng Dịch vụ của Alvoru, hoặc với chính Alvoru qua info@alvoru.com.
Xóa các cuộc trò chuyện chat (điều 17): Khách truy cập đã trò chuyện qua chatbot AI trên một website do Alvoru vận hành có thể yêu cầu xóa lịch sử chat của họ bằng cách gửi email đến info@alvoru.com kèm theo thông tin: website nơi cuộc trò chuyện diễn ra, ngày (ước chừng) và mô tả cuộc trò chuyện. Alvoru xử lý yêu cầu trong vòng 30 ngày. Dữ liệu chat cũ hơn 90 ngày sẽ được ẩn danh tự động.
Theo điều 50 của Quy định AI của EU (2024/1689), các hệ thống AI của chúng tôi thông báo rõ ràng cho người dùng cuối rằng họ đang giao tiếp với một hệ thống AI.
7a. Khách truy cập chatbot trên website của khách hàng
Khách hàng của chúng tôi triển khai chatbot AI Alvoru trên website riêng của họ. Là khách truy cập một website khách hàng như vậy, các cuộc trò chuyện chat của bạn được Alvoru xử lý với vai trò bên xử lý phụ. Trong trường hợp đó, khách hàng là bên kiểm soát dữ liệu theo nghĩa của GDPR. Alvoru chỉ xử lý dữ liệu chat của bạn theo chỉ dẫn của và vì lợi ích của khách hàng liên quan. Xem chính sách quyền riêng tư của website nơi bạn sử dụng chatbot để biết thêm về cách khách hàng đó xử lý dữ liệu của bạn.
8. Bảo mật
Alvoru áp dụng các biện pháp kỹ thuật và tổ chức phù hợp để bảo vệ dữ liệu cá nhân khỏi mất mát hoặc bất kỳ hình thức xử lý trái pháp luật nào (điều 32 GDPR), bao gồm:
- Mã hóa TLS 1.2+ cho mọi liên lạc (HTTPS).
- Băm mật khẩu có salt (bcrypt) và quản lý phiên với luân chuyển.
- Tường lửa và fail2ban trên tất cả máy chủ.
- Giới hạn tốc độ trên các API và lần thử đăng nhập.
- Quyền tối thiểu (nguyên tắc least privilege) cho người dùng dịch vụ.
- Quyền tệp hạn chế (600) trên các tệp cấu hình và dữ liệu.
- Sao lưu tự động hàng ngày có mã hóa.
- Ghi log và giám sát truy cập vào dữ liệu nhạy cảm.
- Xác thực hai yếu tố cho truy cập quản trị.
- Cập nhật bảo mật trong vòng 72 giờ sau khi công bố các lỗ hổng nghiêm trọng.
9. Rò rỉ dữ liệu
Một vụ rò rỉ dữ liệu được báo cáo tới Autoriteit Persoonsgegevens trong vòng 72 giờ sau khi phát hiện, theo điều 33 GDPR, trừ khi vụ rò rỉ có khả năng không gây rủi ro cho các quyền và tự do của cá nhân.
Nếu vụ rò rỉ dữ liệu gây rủi ro cao cho các chủ thể dữ liệu, Alvoru thông báo cho các chủ thể dữ liệu ngay lập tức, theo điều 34 GDPR, để họ có thể thực hiện các biện pháp phù hợp.
Alvoru lưu giữ sổ đăng ký các vụ rò rỉ dữ liệu theo điều 33 khoản 5 GDPR.
10. Cookie
Alvoru sử dụng cookie và các kỹ thuật tương tự dựa trên điều 11.7a Luật Viễn thông:
- Cookie chức năng (luôn hoạt động, không cần sự đồng ý): phiên, tùy chọn, bảo mật CSRF, bảo vệ DDoS (Cloudflare).
- Cookie phân tích và tiếp thị: Hiện tại Alvoru đặt không có cookie phân tích hoặc tiếp thị. Không có Google Analytics, Meta Pixel hay công cụ theo dõi tương tự nào chạy trên alvoru.com. Biểu ngữ cookie hiện diện để nếu trong tương lai chúng tôi muốn dùng phân tích, chúng tôi sẽ xin sự đồng ý rõ ràng của bạn trước.
Bạn có thể thay đổi tùy chọn cookie của mình qua liên kết ở cuối mỗi trang hoặc biểu ngữ cookie. Để xem tổng quan đầy đủ, hãy xem Tuyên bố về cookie.
10a. Cung cấp dữ liệu có bắt buộc không?
Bạn không bị bắt buộc về mặt pháp lý hay hợp đồng phải cung cấp dữ liệu cá nhân cho chúng tôi, trừ khi có ghi chú khác. Nếu bạn không cung cấp dữ liệu, chúng tôi có thể không cung cấp được dịch vụ cho bạn. Ví dụ, việc cung cấp địa chỉ email là bắt buộc để tạo tài khoản và nhận các thông báo dịch vụ, nhưng việc cung cấp số điện thoại thường là tùy chọn.
11. Thay đổi
Alvoru có thể thay đổi chính sách quyền riêng tư này theo thời gian. Các thay đổi trọng yếu được thông báo ít nhất 30 ngày trước khi có hiệu lực qua email đến khách hàng hiện tại và trên trang này. Phiên bản mới nhất luôn có sẵn tại alvoru.com/privacy.