Chính sách bảo vệ dữ liệu cá nhân

Áp dụng cho website, phần mềm SaaS/ERP và các dịch vụ của DEVFORFUTURE

• Đơn vị phát hành: CÔNG TY TNHH DEVFORFUTURE (DEVFORFUTURE CO., LTD.)
• Mã số doanh nghiệp: 1201736352
• Trụ sở chính: Tổ 2, Ấp Pháo Đài, Xã Tân Phú Đông, Tỉnh Đồng Tháp, Việt Nam
• Điện thoại: 0383889690 · Email: contact@devforfuture.com · Website: devforfuture.com
• Phiên bản: 1.1
• Ngày hiệu lực: 20/10/2026 đối với khách hàng mới; khách hàng đang sử dụng theo phiên bản 1.0: sau 30 ngày kể từ ngày DEVFORFUTURE gửi email thông báo

1. Giới thiệu

1.1. CÔNG TY TNHH DEVFORFUTURE (“DEVFORFUTURE”, “chúng tôi”) tôn trọng và cam kết bảo vệ dữ liệu cá nhân của khách hàng, người dùng và đối tác. Chính sách này giải thích chúng tôi thu thập dữ liệu cá nhân nào, vì sao, xử lý và bảo vệ ra sao, chia sẻ với ai và bạn có những quyền gì.

1.2. Chính sách được xây dựng theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực từ 01/01/2026), Nghị định 356/2025/NĐ-CP quy định chi tiết Luật này, cùng các quy định liên quan về an ninh mạng, giao dịch điện tử và bảo vệ quyền lợi người tiêu dùng.

1.3. Chính sách áp dụng cho website devforfuture.com, các ứng dụng, phần mềm SaaS/ERP (theo danh mục sản phẩm công bố trên website của DEVFORFUTURE tại từng thời điểm), dịch vụ tư vấn, triển khai, hỗ trợ của DEVFORFUTURE, và các kênh liên lạc (email, điện thoại, Zalo, mạng xã hội). Chính sách này là văn bản riêng, áp dụng song song với Điều khoản dịch vụ của DEVFORFUTURE.

2. Vai trò của DEVFORFUTURE trong xử lý dữ liệu

DEVFORFUTURE có hai vai trò khác nhau tùy loại dữ liệu:

• DEVFORFUTURE là bên kiểm soát và xử lý dữ liệu cá nhân đối với dữ liệu của khách hàng cá nhân (kể cả người tiêu dùng) mà họ cung cấp trực tiếp khi đăng ký, thanh toán, hỗ trợ; dữ liệu người đại diện/người liên hệ của khách hàng tổ chức; khách truy cập website; người đăng ký dùng thử; ứng viên tuyển dụng; đối tác. DEVFORFUTURE tự quyết định mục đích và phương tiện xử lý các dữ liệu này.
• DEVFORFUTURE là bên xử lý dữ liệu cá nhân đối với dữ liệu cá nhân mà khách hàng (tổ chức hoặc cá nhân) nhập vào phần mềm với vai trò bên kiểm soát (ví dụ: hồ sơ nhân viên, bảng lương, danh sách khách hàng, nhà cung cấp). Khi đó, khách hàng là bên kiểm soát dữ liệu, chịu trách nhiệm có cơ sở pháp lý hợp lệ để thu thập, thông báo và xin sự đồng ý (khi pháp luật yêu cầu), kể cả khi dữ liệu là dữ liệu cá nhân nhạy cảm; DEVFORFUTURE chỉ xử lý theo hợp đồng/chỉ dẫn hợp pháp của khách hàng và có thể ký Thỏa thuận xử lý dữ liệu (DPA) khi khách hàng yêu cầu hợp lý. Người dùng cuối muốn thực hiện quyền đối với loại dữ liệu này nên liên hệ trước với bên đã thu thập dữ liệu của mình; DEVFORFUTURE chuyển tiếp yêu cầu hợp lệ cho khách hàng đó và hỗ trợ theo hợp đồng, trong phạm vi kỹ thuật và pháp lý cho phép.

3. Dữ liệu cá nhân chúng tôi thu thập

3.1. Khách hàng (tổ chức hoặc cá nhân) và người liên hệ

• Họ tên; với tổ chức: chức vụ, tên doanh nghiệp, mã số thuế; địa chỉ, số điện thoại, email;
• Thông tin xuất hóa đơn, thanh toán (tên tài khoản, số tài khoản ngân hàng, lịch sử giao dịch, đề nghị thanh toán và trạng thái thanh toán trực tuyến trong tài khoản khách hàng do DEVFORFUTURE cung cấp - DEVFORFUTURE không lưu trữ số thẻ thanh toán);
• Nội dung trao đổi, yêu cầu hỗ trợ, ghi âm cuộc gọi hỗ trợ (nếu có, sẽ thông báo trước), biên bản họp, hợp đồng.
• Đối với khách hàng cá nhân/người tiêu dùng mua Dịch vụ trực tiếp: DEVFORFUTURE là bên kiểm soát đối với dữ liệu tài khoản, liên hệ và thanh toán nêu trên.

3.2. Người dùng phần mềm (nhân viên của khách hàng)

• Thông tin tài khoản: họ tên, email, tên đăng nhập, mật khẩu (được mã hóa một chiều), vai trò, phân quyền;
• Dữ liệu kỹ thuật: địa chỉ IP, loại thiết bị, trình duyệt, nhật ký đăng nhập và thao tác hệ thống (audit log) phục vụ bảo mật, khắc phục lỗi.

3.3. Dữ liệu do khách hàng nhập vào phần mềm

Tùy phân hệ khách hàng sử dụng (nhân sự, tiền lương, bán hàng, CRM, kế toán…), có thể bao gồm dữ liệu cá nhân cơ bản và trong một số trường hợp là dữ liệu cá nhân nhạy cảm (ví dụ: thông tin lương, bảo hiểm, sức khỏe, tài khoản ngân hàng của nhân viên). DEVFORFUTURE xử lý loại dữ liệu này với vai trò bên xử lý như nêu tại Mục 2 và áp dụng biện pháp bảo vệ tăng cường.

3.4. Khách truy cập website

• Thông tin bạn tự nguyện cung cấp qua biểu mẫu liên hệ, đăng ký dùng thử, nhận bản tin: họ tên, email, số điện thoại, tên công ty, nhu cầu;
• Dữ liệu tự động: địa chỉ IP, loại trình duyệt, trang đã xem, thời gian truy cập, nguồn truy cập, thông qua cookie và công nghệ tương tự (xem Mục 9).

3.5. Ứng viên và đối tác

Hồ sơ ứng tuyển (CV, thông tin học vấn, kinh nghiệm) và thông tin liên hệ của đối tác, nhà cung cấp trong phạm vi cần thiết cho việc tuyển dụng, hợp tác.

DEVFORFUTURE không cố ý thu thập dữ liệu cá nhân của trẻ em dưới 16 tuổi qua website và dịch vụ của mình. Dịch vụ của DEVFORFUTURE hướng đến doanh nghiệp và người đi làm.

4. Mục đích xử lý

• Cung cấp, vận hành, duy trì Dịch vụ: tạo và quản lý tài khoản, cấu hình hệ thống, triển khai, tùy biến, chuyển đổi dữ liệu;
• Hỗ trợ khách hàng, xử lý yêu cầu, khắc phục sự cố, đào tạo người dùng;
• Ký kết, thực hiện hợp đồng; lập hóa đơn điện tử, thu phí, đối soát, thực hiện nghĩa vụ kế toán, thuế;
• Bảo đảm an ninh, an toàn hệ thống: xác thực, phát hiện và ngăn chặn truy cập trái phép, gian lận;
• Thông báo về thay đổi dịch vụ, bảo trì, gia hạn, cập nhật điều khoản;
• Gửi thông tin tiếp thị, bản tin, ưu đãi - chỉ khi bạn đồng ý và bạn có thể hủy đăng ký bất kỳ lúc nào;
• Phân tích thống kê (ưu tiên dữ liệu đã tổng hợp, ẩn danh) để cải thiện website và sản phẩm;
• Tuân thủ yêu cầu của pháp luật và cơ quan nhà nước có thẩm quyền.

DEVFORFUTURE không bán dữ liệu cá nhân và không sử dụng dữ liệu do khách hàng nhập vào phần mềm cho mục đích tiếp thị của DEVFORFUTURE.

5. Căn cứ xử lý

DEVFORFUTURE chỉ xử lý dữ liệu cá nhân khi có ít nhất một trong các căn cứ theo Luật Bảo vệ dữ liệu cá nhân:

• Sự đồng ý của chủ thể dữ liệu: được thu thập rõ ràng, tự nguyện, có thể kiểm chứng (ví dụ: tích chọn đồng ý khi đăng ký, đồng ý nhận bản tin, đồng ý cookie không thiết yếu). Bạn có thể rút lại sự đồng ý bất kỳ lúc nào; việc rút lại không ảnh hưởng đến tính hợp pháp của việc xử lý trước đó;
• Thực hiện hợp đồng: xử lý cần thiết để ký kết và thực hiện hợp đồng dịch vụ với khách hàng;
• Thực hiện nghĩa vụ pháp lý: lưu trữ chứng từ kế toán, hóa đơn, cung cấp thông tin theo yêu cầu cơ quan có thẩm quyền;
• Tình huống khẩn cấp hoặc các trường hợp khác không cần sự đồng ý theo quy định của pháp luật.

Khi DEVFORFUTURE xử lý dữ liệu cá nhân nhạy cảm với vai trò bên kiểm soát (ví dụ: một số thông tin trong hồ sơ ứng viên, hoặc dữ liệu nhạy cảm của khách hàng cá nhân nếu phát sinh), DEVFORFUTURE thông báo cho chủ thể dữ liệu rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm trước khi xin sự đồng ý, theo Nghị định 356/2025/NĐ-CP. Việc đăng ký/mua Dịch vụ không bị buộc phải đồng ý thu thập dữ liệu ngoài phạm vi cần thiết để thực hiện hợp đồng hoặc nghĩa vụ pháp lý. Đối với dữ liệu khách hàng nhập vào phần mềm, căn cứ xử lý của DEVFORFUTURE là hợp đồng dịch vụ với khách hàng (bên kiểm soát dữ liệu); việc thông báo và xin đồng ý (kể cả với dữ liệu nhạy cảm) thuộc trách nhiệm của khách hàng đó.

6. Lưu trữ và bảo mật dữ liệu

6.1. Nơi lưu trữ và chuyển xuyên biên giới: Dữ liệu của phần mềm SaaS/ERP do DEVFORFUTURE vận hành được lưu trữ trên hạ tầng máy chủ/điện toán đám mây của nhà cung cấp dịch vụ hosting đặt tại Việt Nam. Một số nhà cung cấp dịch vụ hỗ trợ (nhà cung cấp dịch vụ thư điện tử cho email giao dịch, hỗ trợ và email thông báo từ phần mềm SaaS; nhà cung cấp hạ tầng đám mây/máy chủ; nhà cung cấp công cụ phân tích website, nếu sử dụng) có thể đặt máy chủ hoặc xử lý dữ liệu ngoài lãnh thổ Việt Nam (ví dụ: Singapore, Hoa Kỳ hoặc quốc gia khác). Việc đó là chuyển dữ liệu cá nhân xuyên biên giới theo Điều 20 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. Chủ thể dữ liệu có thể yêu cầu thêm thông tin về các nhà cung cấp này qua đầu mối liên hệ tại Mục 11. Thanh toán trực tuyến trong tài khoản khách hàng (nếu sử dụng) được xử lý qua nhà cung cấp dịch vụ thanh toán, trung gian thanh toán tại Việt Nam, trừ khi được thông báo khác tại thời điểm thanh toán. DEVFORFUTURE thực hiện các nghĩa vụ liên quan (kể cả hồ sơ đánh giá tác động chuyển dữ liệu, nếu thuộc trường hợp phải thực hiện) theo quy định pháp luật; Chính sách này không cam kết một ngày nộp hồ sơ cụ thể.

6.2. Biện pháp bảo vệ:

• Mã hóa đường truyền (HTTPS/TLS); mật khẩu được băm (hash) không thể đọc ngược;
• Phân quyền truy cập theo nguyên tắc tối thiểu; chỉ nhân sự có nhiệm vụ mới được truy cập dữ liệu khách hàng, có ghi nhật ký;
• Sao lưu định kỳ, tách biệt môi trường thử nghiệm và vận hành; không dùng dữ liệu thật để thử nghiệm khi chưa có sự đồng ý của khách hàng;
• Nhân sự và cộng tác viên ký cam kết bảo mật; đào tạo nhận thức an toàn thông tin;
• Cập nhật bản vá bảo mật, giám sát hệ thống, quy trình ứng phó sự cố.

6.3. Sự cố vi phạm dữ liệu: Khi phát hiện sự cố vi phạm quy định bảo vệ dữ liệu cá nhân, DEVFORFUTURE khoanh vùng, khắc phục trong phạm vi hợp lý và, theo quy định pháp luật, thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Cục An ninh mạng, Bộ Công an) trong thời hạn không quá 72 giờ kể từ khi phát hiện khi pháp luật yêu cầu thông báo trong thời hạn đó, đồng thời thông báo cho khách hàng/chủ thể dữ liệu bị ảnh hưởng khi pháp luật bắt buộc. Với dữ liệu mà DEVFORFUTURE là bên xử lý, DEVFORFUTURE thông báo không chậm trễ không đáng có cho khách hàng doanh nghiệp để khách hàng phối hợp thực hiện nghĩa vụ của mình. DEVFORFUTURE không cam kết nghĩa vụ thông báo vượt quá mức pháp luật quy định.

7. Chia sẻ dữ liệu

DEVFORFUTURE chỉ chia sẻ dữ liệu cá nhân trong phạm vi cần thiết, với các bên sau:

• Nhà cung cấp dịch vụ (bên xử lý phụ/subprocessors): hạ tầng máy chủ, đám mây; email giao dịch; hóa đơn điện tử; thanh toán, trung gian thanh toán (nếu sử dụng); công cụ hỗ trợ khách hàng; phân tích website. Các bên này chỉ được xử lý dữ liệu theo chỉ dẫn của DEVFORFUTURE, có nghĩa vụ bảo mật bằng hợp đồng;
• Đối tác triển khai/chuyên gia tham gia dự án của khách hàng, khi được khách hàng đồng ý;
• Cơ quan nhà nước có thẩm quyền khi có yêu cầu hợp pháp;
• Bên kế thừa trong trường hợp sáp nhập, chia tách, chuyển nhượng doanh nghiệp, với điều kiện tiếp tục tuân thủ Chính sách này.

Các nhóm bên xử lý phụ DEVFORFUTURE đang hoặc có thể sử dụng (danh sách tên nhà cung cấp cụ thể được cung cấp cho khách hàng doanh nghiệp khi có yêu cầu):

Các nhà cung cấp có máy chủ hoặc xử lý dữ liệu ngoài Việt Nam trong bảng trên được sử dụng theo quy định về chuyển dữ liệu cá nhân xuyên biên giới (Điều 20 Luật 91/2025/QH15) và các nghĩa vụ kèm theo theo pháp luật. Chủ thể dữ liệu và khách hàng doanh nghiệp có thể yêu cầu thêm thông tin về nhà cung cấp cụ thể qua đầu mối liên hệ tại Mục 11. Khi có thay đổi bên xử lý phụ trọng yếu, DEVFORFUTURE cập nhật danh sách này và thông báo cho khách hàng doanh nghiệp theo thỏa thuận trong hợp đồng hoặc bằng cách đăng bản Chính sách mới.

8. Quyền của chủ thể dữ liệu

Theo Luật Bảo vệ dữ liệu cá nhân, bạn có các quyền chính sau:

• Được biết về hoạt động xử lý dữ liệu cá nhân của mình;
• Đồng ý hoặc không đồng ý; rút lại sự đồng ý đối với việc xử lý dựa trên sự đồng ý;
• Xem, truy cập, chỉnh sửa dữ liệu cá nhân của mình (nhiều thông tin có thể tự chỉnh sửa trong phần hồ sơ tài khoản);
• Yêu cầu xóa, hạn chế xử lý, phản đối xử lý dữ liệu, trừ trường hợp pháp luật yêu cầu lưu giữ hoặc cần thiết để thực hiện hợp đồng;
• Yêu cầu cung cấp bản sao dữ liệu cá nhân của mình;
• Khiếu nại, tố cáo, khởi kiện; yêu cầu bồi thường thiệt hại theo quy định pháp luật;
• Tự bảo vệ hoặc yêu cầu cơ quan có thẩm quyền bảo vệ quyền lợi của mình.

Cách thực hiện: gửi yêu cầu tới email contact@devforfuture.com với tiêu đề “Yêu cầu dữ liệu cá nhân”, nêu rõ họ tên, thông tin liên hệ, nội dung yêu cầu. DEVFORFUTURE có thể đề nghị xác minh danh tính trước khi xử lý để bảo vệ chính bạn.

Khi DEVFORFUTURE là bên kiểm soát (hoặc bên kiểm soát và xử lý) đối với dữ liệu của bạn, theo Nghị định 356/2025/NĐ-CP Điều 5: DEVFORFUTURE phản hồi tiếp nhận trong 02 ngày làm việc; thực hiện yêu cầu rút lại sự đồng ý / hạn chế / phản đối xử lý trong 15 ngày (20 ngày nếu cần yêu cầu bên xử lý hoặc bên thứ ba); yêu cầu xem, chỉnh sửa hoặc cung cấp dữ liệu trong 10 ngày (15 ngày nếu cần qua bên xử lý/bên thứ ba); yêu cầu xóa trong 20 ngày (30 ngày nếu cần qua bên xử lý/bên thứ ba). Có thể gia hạn thêm tối đa 01 lần theo đúng thời hạn gia hạn mà Nghị định cho phép, kèm thông báo lý do. Thời hạn cụ thể áp dụng theo văn bản pháp luật hiện hành tại thời điểm xử lý yêu cầu.

Khi yêu cầu liên quan đến dữ liệu mà DEVFORFUTURE chỉ là bên xử lý (dữ liệu khách hàng doanh nghiệp nhập vào phần mềm), DEVFORFUTURE chuyển tiếp yêu cầu hợp lệ cho khách hàng (bên kiểm soát) không chậm trễ không đáng có và hỗ trợ trong phạm vi hợp đồng; việc quyết định và trả lời chủ thể dữ liệu thuộc trách nhiệm của khách hàng đó, trừ khi pháp luật hoặc hợp đồng quy định khác.

Bạn cũng có nghĩa vụ tự bảo vệ dữ liệu của mình, cung cấp thông tin chính xác và tôn trọng dữ liệu cá nhân của người khác khi sử dụng Dịch vụ.

9. Cookie và công nghệ theo dõi trên website

9.1. Website devforfuture.com sử dụng các loại cookie:

• Cookie thiết yếu: cần cho website, phần mềm hoạt động (duy trì phiên đăng nhập, bảo mật, ngôn ngữ). Không thể tắt;
• Cookie phân tích: giúp thống kê lượt truy cập, hành vi sử dụng để cải thiện website (công cụ phân tích website của bên thứ ba, nếu được sử dụng);
• Cookie tiếp thị: đo lường hiệu quả quảng cáo (nếu được sử dụng).

9.2. Cookie phân tích và tiếp thị chỉ được kích hoạt khi bạn đồng ý qua thông báo cookie (cookie banner) trên website. Bạn có thể thay đổi lựa chọn hoặc xóa cookie qua cài đặt trình duyệt; việc tắt cookie thiết yếu có thể làm một số chức năng không hoạt động.

10. Thời hạn lưu trữ

DEVFORFUTURE chỉ lưu dữ liệu trong thời gian cần thiết cho mục đích đã nêu hoặc theo yêu cầu của pháp luật:

Hết thời hạn lưu trữ, dữ liệu được xóa, hủy hoặc ẩn danh hóa không thể khôi phục.

11. Liên hệ và bộ phận phụ trách bảo vệ dữ liệu cá nhân

Đầu mối phụ trách bảo vệ dữ liệu cá nhân của DEVFORFUTURE: Ông Nguyễn Ngọc Phát - Chủ tịch Công ty kiêm Giám đốc

• Email: contact@devforfuture.com (tiêu đề: “Bảo vệ dữ liệu cá nhân”)
• Điện thoại: 0383889690
• Địa chỉ: Tổ 2, Ấp Pháo Đài, Xã Tân Phú Đông, Tỉnh Đồng Tháp, Việt Nam

Nếu chưa hài lòng với phản hồi của DEVFORFUTURE, bạn có quyền gửi khiếu nại đến cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Cục An ninh mạng, Bộ Công an) hoặc cơ quan nhà nước có thẩm quyền khác.

12. Cập nhật Chính sách

DEVFORFUTURE có thể cập nhật Chính sách này khi thay đổi hoạt động xử lý dữ liệu hoặc khi pháp luật thay đổi. Phiên bản mới được đăng tại devforfuture.com với số phiên bản và ngày hiệu lực mới. Với thay đổi quan trọng (ví dụ: thêm mục đích xử lý mới, chuyển dữ liệu ra nước ngoài), DEVFORFUTURE sẽ thông báo qua email hoặc trong ứng dụng và xin lại sự đồng ý khi pháp luật yêu cầu. Phiên bản 1.1 có hiệu lực từ ngày 20/10/2026 đối với khách hàng mới; đối với khách hàng đang sử dụng dịch vụ theo phiên bản 1.0, phiên bản này áp dụng sau 30 ngày kể từ ngày DEVFORFUTURE gửi email thông báo.

Lịch sử phiên bản

• v1.0 (23/09/2026): Ban hành lần đầu.
• v1.1 (20/10/2026): Cập nhật theo Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP; bổ sung chuyển dữ liệu ra nước ngoài, bên xử lý phụ và thông báo sự cố.

Chính sách này do CÔNG TY TNHH DEVFORFUTURE (DEVFORFUTURE CO., LTD.) ban hành, phiên bản 1.1, có hiệu lực từ ngày 20/10/2026 đối với khách hàng mới; đối với khách hàng đang sử dụng theo phiên bản 1.0, có hiệu lực sau 30 ngày kể từ ngày DEVFORFUTURE gửi email thông báo. Người đại diện theo pháp luật: Ông Nguyễn Ngọc Phát - Chủ tịch Công ty kiêm Giám đốc.