Chính sách bảo vệ dữ liệu cá nhân

Ngày hiệu lực: 19/08/2026 · Phiên bản: 1.1 · Cập nhật gần nhất: 11/10/2026 · English version ↓

Bên ban hành và chịu trách nhiệm:
CÔNG TY TNHH CENTREXIA
Mã số doanh nghiệp: 0111605265, cấp ngày 14/08/2026 tại Thành phố Hà Nội
Trụ sở chính: VP905, Tầng 9, khối C, toà nhà Hồ Gươm Plaza, số 102 Phố Trần Phú, Phường Hà Đông, Thành phố Hà Nội, Việt Nam
Thư điện tử: hello@socsom.com
Điện thoại: 0988 668 475
Sản phẩm: Socsom, gồm trang thông tin socsom.com và ứng dụng app.socsom.com (sau đây gọi chung là “Dịch vụ”).

Chính sách này áp dụng cho mọi hoạt động xử lý dữ liệu cá nhân phát sinh khi tổ chức, cá nhân sử dụng Dịch vụ, và được ban hành trên cơ sở Nghị định số 13/2023/NĐ-CP ngày 17/4/2023 của Chính phủ về bảo vệ dữ liệu cá nhân cùng các quy định pháp luật Việt Nam có liên quan.

Điều 1. Giải thích từ ngữ

Khách hàng: tổ chức hoặc cá nhân đăng ký tài khoản và sử dụng Dịch vụ.
Dữ liệu cá nhân: thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể, theo khoản 1 Điều 2 Nghị định 13/2023/NĐ-CP.
Bên Kiểm soát dữ liệu: bên quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.
Bên Xử lý dữ liệu: bên thực hiện việc xử lý dữ liệu thay mặt Bên Kiểm soát, thông qua hợp đồng hoặc thoả thuận.

Điều 2. Vai trò của các bên

2.1. Đối với dữ liệu cá nhân của chính Khách hàng (số điện thoại, họ tên, thông tin tài khoản), Centrexia là Bên Kiểm soát dữ liệu.

2.2. Đối với dữ liệu cá nhân của khách hàng, nhân viên hoặc đối tác do Khách hàng đưa vào Dịch vụ, Khách hàng là Bên Kiểm soát dữ liệu và Centrexia là Bên Xử lý dữ liệu, chỉ xử lý theo phạm vi và mục đích Khách hàng yêu cầu.

2.3. Khách hàng chịu trách nhiệm bảo đảm đã có căn cứ hợp pháp để thu thập và chuyển giao dữ liệu nêu tại khoản 2.2 cho Centrexia xử lý.

Điều 3. Dữ liệu cá nhân được xử lý

3.1. Dữ liệu do Khách hàng cung cấp trực tiếp: số điện thoại, họ tên người dùng, tên doanh nghiệp, thông tin đăng nhập.

3.2. Dữ liệu vận hành do Khách hàng đưa vào hoặc cho phép truy xuất: đơn hàng, thu chi, hàng hoá, thông tin nhân sự, nội dung trao đổi với các vai trợ lý.

3.3. Dữ liệu từ nền tảng của bên thứ ba do Khách hàng chủ động kết nối:

Google: nội dung của đúng những tệp Khách hàng tự chọn qua công cụ chọn tệp của Google, và các tệp do Dịch vụ tạo ra.
Meta (Facebook, Instagram), Zalo Official Account, TikTok, Shopee, Lazada, Tiki: tin nhắn, bình luận, đơn hàng và thông tin gian hàng, trong phạm vi quyền mà Khách hàng đã cấp và có thể thu hồi bất cứ lúc nào.

3.4. Dữ liệu kỹ thuật: thời điểm truy cập, địa chỉ IP, nhật ký lỗi hệ thống.

3.5. Dịch vụ không chủ động thu thập dữ liệu cá nhân nhạy cảm theo khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP. Trường hợp Khách hàng tự đưa loại dữ liệu này vào Dịch vụ, Khách hàng chịu trách nhiệm về căn cứ pháp lý tương ứng.

Điều 4. Mục đích xử lý dữ liệu

Cung cấp, vận hành và duy trì Dịch vụ theo yêu cầu của Khách hàng;
Tổng hợp số liệu thành báo cáo, nhắc việc và nội dung phục vụ riêng cho Khách hàng đó;
Hỗ trợ kỹ thuật, xử lý sự cố và khiếu nại;
Bảo đảm an toàn hệ thống, phòng chống gian lận và truy cập trái phép;
Thực hiện nghĩa vụ theo quy định của pháp luật.

Dữ liệu của mỗi Khách hàng được cách ly về mặt kỹ thuật; Khách hàng này không truy cập được dữ liệu của Khách hàng khác.

Điều 5. Cam kết đối với dữ liệu từ Google (Limited Use)

5.1. Khách hàng tự chọn kết nối từng dịch vụ Google. Mỗi kết nối chỉ xin đúng phạm vi tính năng đó cần:

Google Drive / Trang tính — drive.file: chỉ truy cập từng tệp do Khách hàng tự chọn qua công cụ chọn tệp của Google và tệp do Dịch vụ tạo ra (nhập đơn hàng, sản phẩm; ghi tổng hợp đơn ra trang tính). Không liệt kê, không đọc tệp khác.
YouTube — youtube.upload, youtube.force-ssl: tải lên kênh của chính Khách hàng các video ngắn Khách hàng đã duyệt; đọc và trả lời bình luận trên các video đó sau khi Khách hàng duyệt từng câu trả lời.
Google Business Profile — business.manage: đọc đánh giá của khách về địa điểm kinh doanh của Khách hàng và đăng câu trả lời Khách hàng đã duyệt.
Google Search Console — webmasters.readonly: chỉ đọc số liệu tìm kiếm (truy vấn, lượt nhấp, lượt hiển thị) của website của chính Khách hàng để gợi ý chủ đề bài viết. Không thay đổi gì.

Khách hàng có thể ngắt từng kết nối trong Dịch vụ hoặc thu hồi quyền tại myaccount.google.com/permissions bất cứ lúc nào; mã truy cập liên quan bị xoá khỏi Dịch vụ khi ngắt kết nối.

5.2. Việc Socsom sử dụng thông tin nhận được từ Google API tuân thủ Chính sách Dữ liệu Người dùng Dịch vụ API của Google, bao gồm các yêu cầu Limited Use. Cụ thể, dữ liệu Google:

chỉ được dùng để cung cấp và cải thiện các tính năng mà Khách hàng đang sử dụng;
không được bán, không chuyển giao cho bên thứ ba nhằm mục đích quảng cáo;
không được dùng để huấn luyện mô hình trí tuệ nhân tạo dùng chung;
chỉ được con người truy cập khi Khách hàng yêu cầu hỗ trợ, khi cần thiết cho mục đích an toàn thông tin, hoặc khi pháp luật yêu cầu.

Điều 6. Cam kết đối với dữ liệu từ Meta, Zalo, TikTok và các sàn thương mại điện tử

6.1. Khi Khách hàng kết nối một kênh, Khách hàng được chuyển tới trang xác thực chính thức của nền tảng đó để tự cấp quyền. Socsom không lưu giữ mật khẩu của Khách hàng; Socsom chỉ nhận một mã truy cập có phạm vi giới hạn, được mã hoá khi lưu trữ, và Khách hàng có thể thu hồi bất cứ lúc nào trên chính nền tảng.

6.2. Việc Socsom sử dụng dữ liệu nhận từ Meta tuân thủ Điều khoản Nền tảng của Meta và Chính sách Dữ liệu Nhà phát triển của Meta.

6.3. Đối với toàn bộ các nền tảng nêu tại khoản 3.3, dữ liệu chỉ được dùng để vận hành đúng những tính năng Khách hàng đang sử dụng; không bán, không chuyển giao cho bên thứ ba nhằm mục đích quảng cáo, không dùng để huấn luyện mô hình trí tuệ nhân tạo dùng chung, và không trộn lẫn dữ liệu giữa các Khách hàng.

Điều 7. Bên tiếp nhận dữ liệu

7.1. Socsom không mua bán dữ liệu cá nhân và không chuyển giao dữ liệu cho bên thứ ba nhằm mục đích quảng cáo.

7.2. Dữ liệu chỉ được chia sẻ ở mức tối thiểu cần thiết với các loại đối tác kỹ thuật sau đây, nhằm vận hành đúng những tính năng mà Khách hàng yêu cầu:

nhà cung cấp hạ tầng máy chủ và lưu trữ dữ liệu;
nhà cung cấp dịch vụ mạng phân phối nội dung và bảo vệ truy cập;
nhà cung cấp mô hình ngôn ngữ phục vụ các vai trợ lý;
nhà cung cấp dịch vụ gửi thư điện tử giao dịch;
đơn vị trung gian đối soát giao dịch thanh toán.

7.3. Các đối tác nêu tại khoản 7.2 chỉ được xử lý dữ liệu theo phạm vi và mục đích do Centrexia xác định, trên cơ sở hợp đồng có điều khoản bảo mật. Danh sách cụ thể các đối tác đang được sử dụng tại từng thời điểm được Centrexia cung cấp khi Khách hàng hoặc cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản gửi tới hello@socsom.com.

7.4. Ngoài các trường hợp trên, Socsom chỉ cung cấp dữ liệu khi cơ quan nhà nước có thẩm quyền yêu cầu theo quy định của pháp luật.

Điều 8. Địa điểm xử lý dữ liệu

8.1. Tuỳ theo nhà cung cấp hạ tầng được sử dụng tại từng thời điểm, dữ liệu có thể được lưu trữ và xử lý trong hoặc ngoài lãnh thổ Việt Nam. Trường hợp phát sinh chuyển dữ liệu cá nhân ra nước ngoài, Centrexia thực hiện theo Điều 25 Nghị định 13/2023/NĐ-CP, lập và lưu giữ Hồ sơ đánh giá tác động tương ứng, xuất trình khi cơ quan có thẩm quyền yêu cầu.

8.2. Trước khi gửi nội dung tới mô hình ngôn ngữ, Socsom thực hiện che các trường định danh trực tiếp (họ tên, số điện thoại, địa chỉ) trong phạm vi kỹ thuật cho phép.

8.3. Khách hàng có quyền yêu cầu Centrexia thông báo về địa điểm lưu trữ dữ liệu tại thời điểm yêu cầu.

Điều 9. Thời gian lưu trữ

Dữ liệu tài khoản và dữ liệu vận hành: lưu trong suốt thời gian tài khoản còn hiệu lực, và tối đa 90 ngày kể từ ngày chấm dứt sử dụng Dịch vụ, trừ trường hợp Khách hàng yêu cầu xoá sớm hơn theo Điều 11.
Dữ liệu nhận từ nền tảng bên thứ ba: xoá ngay khi Khách hàng ngắt kết nối kênh tương ứng hoặc gỡ ứng dụng khỏi nền tảng đó.
Nhật ký kỹ thuật: tối đa 12 tháng.
Chứng từ kế toán (hoá đơn, chứng từ thanh toán): lưu 10 năm theo Điều 41 Luật Kế toán số 88/2015/QH13. Phần dữ liệu này không thuộc phạm vi xoá theo yêu cầu.

Điều 10. Quyền của chủ thể dữ liệu

Theo Điều 9 Nghị định 13/2023/NĐ-CP, chủ thể dữ liệu có các quyền: được biết; đồng ý hoặc không đồng ý; truy cập để xem, chỉnh sửa; rút lại sự đồng ý; xoá dữ liệu; hạn chế xử lý dữ liệu; yêu cầu cung cấp dữ liệu; phản đối xử lý dữ liệu; khiếu nại, tố cáo, khởi kiện; yêu cầu bồi thường thiệt hại; và tự bảo vệ.

Để thực hiện các quyền trên, chủ thể dữ liệu gửi yêu cầu tới hello@socsom.com. Socsom trả lời trong thời hạn 72 giờ kể từ khi nhận được yêu cầu, trừ trường hợp pháp luật quy định khác. Ngoài ra, Khách hàng có thể chủ động:

thu hồi quyền truy cập Google tại myaccount.google.com/permissions;
gỡ ứng dụng Socsom trong phần cài đặt của Facebook, Instagram hoặc Zalo;
ngắt từng kênh kết nối ngay trong ứng dụng tại app.socsom.com.

Điều 11. Xoá dữ liệu theo yêu cầu

11.1. Chủ thể dữ liệu có quyền yêu cầu xoá dữ liệu bất cứ lúc nào và không phải trả bất kỳ khoản phí nào. Có hai cách:

Gỡ ứng dụng Socsom khỏi nền tảng (Facebook, Instagram, Zalo). Nền tảng sẽ thông báo cho Socsom và dữ liệu nhận từ nền tảng đó được xoá tự động. Khách hàng tra cứu tình trạng bằng mã xác nhận tại app.socsom.com/xoa-du-lieu.
Gửi thư điện tử tới hello@socsom.com với tiêu đề “Yêu cầu xoá dữ liệu”.

11.2. Socsom hoàn tất việc xoá trong thời hạn 30 ngày kể từ ngày nhận được yêu cầu hợp lệ, trừ phần chứng từ mà pháp luật kế toán bắt buộc lưu giữ nêu tại Điều 9; phần dữ liệu được giữ lại và căn cứ pháp lý tương ứng sẽ được nêu rõ trong văn bản trả lời.

Điều 12. Bảo mật và xử lý sự cố

12.1. Dữ liệu được truyền qua kênh mã hoá (HTTPS); mã truy cập các nền tảng được mã hoá khi lưu trữ. Quyền truy cập nội bộ được phân theo vai trò và ghi nhật ký.

12.2. Khi phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân, Centrexia thông báo cho Bộ Công an theo mẫu quy định chậm nhất 72 giờ kể từ khi phát hiện, theo Điều 23 Nghị định 13/2023/NĐ-CP, đồng thời thông báo cho Khách hàng bị ảnh hưởng.

Điều 13. Dữ liệu của người dưới 16 tuổi

Dịch vụ dành cho tổ chức và cá nhân kinh doanh, không hướng tới người dưới 16 tuổi. Socsom không cố ý thu thập dữ liệu cá nhân của người dưới 16 tuổi. Trường hợp phát hiện đã thu thập mà không có sự đồng ý của cha, mẹ hoặc người giám hộ theo Điều 20 Nghị định 13/2023/NĐ-CP, Socsom sẽ xoá dữ liệu đó trong thời hạn sớm nhất.

Điều 14. Sửa đổi Chính sách

Centrexia có thể sửa đổi Chính sách này để phù hợp với quy định pháp luật hoặc thay đổi của Dịch vụ. Bản sửa đổi được công bố tại địa chỉ này kèm ngày hiệu lực mới. Đối với thay đổi làm ảnh hưởng đáng kể tới quyền của chủ thể dữ liệu, Centrexia thông báo trước ít nhất 30 ngày qua thư điện tử hoặc thông báo trong ứng dụng.

Điều 15. Liên hệ và giải quyết khiếu nại

Mọi yêu cầu, thắc mắc hoặc khiếu nại liên quan đến dữ liệu cá nhân xin gửi tới hello@socsom.com hoặc gửi văn bản tới trụ sở chính nêu trên.

Trường hợp không đồng ý với kết quả giải quyết, chủ thể dữ liệu có quyền khiếu nại, tố cáo hoặc khởi kiện theo quy định của pháp luật Việt Nam.

Privacy Policy — English version

Effective 19/08/2026 · Last updated 11/10/2026. This English version is provided for users and platform reviewers; if it differs from the Vietnamese text above, the Vietnamese text prevails under Vietnamese law (Decree 13/2023/ND-CP on personal data protection).

1. Who we are

Socsom (the website socsom.com and the web app app.socsom.com, together the “Service”) is operated by CENTREXIA COMPANY LIMITED, enterprise code 0111605265, VP905, 9th floor, block C, Ho Guom Plaza, 102 Tran Phu Street, Ha Dong Ward, Hanoi, Vietnam. Contact: hello@socsom.com, phone +84 988 668 475.

2. What the Service does

Socsom helps small businesses run daily operations with AI assistants: answering customer messages, drafting social posts and short videos, keeping order and cash records, and planning tasks. The business owner (“Customer”) approves drafts before anything is sent or published.

3. Data we collect

Account data: name, phone number, email, business name and the business description the Customer enters.
Business records the Customer enters or imports: orders, products, customers’ names and contact details, cash entries.
Data from platforms the Customer connects (Google, Meta, TikTok, Zalo, e-commerce platforms, payment notifications): only what each connected feature needs, described below.
Technical data: log-in time, IP address and error logs needed to secure the Service.

4. Google user data — what we access and why

Each Google connection is optional and started by the Customer. We request only these scopes:

https://www.googleapis.com/auth/drive.file (Google Drive / Sheets) — read the spreadsheet files the Customer selects with the Google Picker, and create/update files the Service itself created, to import orders and products and write order summaries. We cannot list or open any other file in the Customer’s Drive.
https://www.googleapis.com/auth/youtube.upload — upload short videos that the Customer has approved to the Customer’s own YouTube channel.
https://www.googleapis.com/auth/youtube.force-ssl — read comments on the Customer’s videos and post replies the Customer has approved.
https://www.googleapis.com/auth/business.manage (Google Business Profile) — list the Customer’s business locations, read customer reviews, and post review replies the Customer has approved.
https://www.googleapis.com/auth/webmasters.readonly (Search Console) — read search performance data (queries, clicks, impressions) of the Customer’s own website to suggest article topics. Read-only.

Limited Use. Socsom’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. Specifically, Google user data:

is used only to provide and improve the user-facing features described above;
is not sold, and not transferred to third parties except as necessary to provide those features, to comply with law, or as part of a merger/acquisition with notice to users;
is not used for advertising, retargeting or credit assessment;
is not used to develop, improve or train generalized AI or machine-learning models;
is read by humans only with the Customer’s explicit permission (e.g. a support request), for security purposes, to comply with law, or when aggregated and anonymized for internal operations.

When the Service drafts a reply or post, the relevant text may be sent to an AI language-model provider acting as our processor, solely to generate that draft. Before sending, we mask direct identifiers (names, phone numbers, addresses) as far as technically possible.

5. Data from Meta, TikTok, Zalo and marketplaces

Handled the same way: the Customer authorizes on the platform’s own page, we never store platform passwords, access tokens are encrypted at rest, and data is used only for the features the Customer uses, in line with each platform’s developer terms.

6. Sharing

We do not sell personal data. We share it only with service providers that host or process data for us (cloud hosting, AI model APIs, email delivery), under contracts limiting use to providing the Service, or when required by law.

7. Storage, retention and security

Data is encrypted in transit (HTTPS) and access tokens are encrypted at rest. Depending on the infrastructure provider, data may be stored or processed inside or outside Vietnam, in compliance with Article 25 of Decree 13/2023/ND-CP. Retention: account and operating data — while the account is active and up to 90 days after the Customer stops using the Service (or sooner on request); data received from a connected platform — deleted as soon as the Customer disconnects that platform; technical logs — up to 12 months; accounting documents — 10 years as required by the Vietnamese Law on Accounting.

8. Your rights and data deletion

You may access, correct, export or delete your data, disconnect any platform in the app, or revoke Google access at myaccount.google.com/permissions. To delete your account and all data, email hello@socsom.com from the account’s email with the subject “Data deletion request”, or remove the Socsom app from the platform (Facebook, Instagram, Zalo) — see Article 11 (Data deletion). Deletion is free of charge. We respond to requests within 72 hours.

9. Children

The Service is for businesses and is not directed to anyone under 16.

10. Changes and contact

We will post changes on this page and notify Customers of material changes in the app. Questions: hello@socsom.com.