Chính sách quyền riêng tư và bảo vệ dữ liệu

Có hiệu lực từ: 01 tháng 6 năm 2026

Chính sách này giải thích cách chúng tôi thu thập, sử dụng, lưu trữ, chia sẻ, chuyển giao và bảo vệ dữ liệu cá nhân khi bạn truy cập website Duall Master hoặc sử dụng Duall Master Cloud Service. Chúng tôi cam kết xử lý dữ liệu cá nhân đúng mục đích, đúng phạm vi, minh bạch và phù hợp với các quy định bảo vệ dữ liệu có liên quan, bao gồm Luật Bảo vệ dữ liệu cá nhân của Việt Nam năm 2025 (Luật số 91/2025/QH15, có hiệu lực từ ngày 01/01/2026), Nghị định 13/2023/NĐ-CP trong phạm vi còn áp dụng, Luật Bảo vệ thông tin cá nhân của Hàn Quốc (PIPA), Quy định chung về bảo vệ dữ liệu của EU (GDPR) trong phạm vi áp dụng và các quy định pháp luật khác có liên quan.

Tài liệu này gồm hai phần: Phần A áp dụng cho khách truy cập website Duall Master; Phần B áp dụng cho người dùng và khách hàng sử dụng Duall Master Cloud Service. Chính sách này không thay thế hợp đồng dịch vụ, thỏa thuận xử lý dữ liệu hoặc thông báo riêng mà khách hàng/tổ chức vận hành công trình phải cung cấp cho nhân viên, cư dân, khách thăm hoặc người dùng cuối của mình.

Phần A — Website Duall Master

1. Chúng tôi là ai

Website này giới thiệu Duall Master, nền tảng an ninh và vận hành tòa nhà do Duali phát triển. Đối với dữ liệu thu thập trực tiếp qua website này, bên kiểm soát dữ liệu là:

Duali Inc
1-309, 306 Sinwon-ro, Yeongtong-gu, Suwon-si, Gyeonggi-do 16675, Republic of Korea
Email: sales@duali.com

Duali Inc có trụ sở chính tại Suwon, Gyeonggi-do, Hàn Quốc và có văn phòng tại Hà Nội, Việt Nam, phục vụ khách hàng tại Hàn Quốc, Việt Nam và Đông Nam Á.

2. Phạm vi dữ liệu website

Phần A áp dụng cho dữ liệu cá nhân của khách truy cập website — ví dụ, người gửi yêu cầu qua biểu mẫu liên hệ hoặc người mà lượt truy cập được đo lường bằng công cụ phân tích. Đối với dữ liệu website, Duali đóng vai trò là bên kiểm soát dữ liệu.

3. Chúng tôi thu thập những gì trên website

Thông tin gửi qua biểu mẫu liên hệ. Khi bạn liên hệ qua website, chúng tôi thu thập thông tin bạn cung cấp: họ tên, công ty, email công việc, số điện thoại, quốc gia, các phân hệ bạn quan tâm và nội dung tin nhắn.

Dữ liệu phân tích (chỉ khi có sự đồng ý của bạn). Nếu bạn chấp nhận banner cookie, chúng tôi sử dụng công cụ phân tích chú trọng quyền riêng tư (Google Analytics 4 với chế độ ẩn danh địa chỉ IP, và/hoặc Plausible) để hiểu khách truy cập sử dụng website như thế nào. Script phân tích chỉ được tải sau khi bạn chấp nhận. Chúng tôi không sử dụng cookie quảng cáo hoặc theo dõi hồ sơ xuyên website.

Nhật ký máy chủ và an ninh. Nhà cung cấp dịch vụ lưu trữ và phân phối nội dung ghi lại các thông tin kỹ thuật như địa chỉ IP và siêu dữ liệu yêu cầu để vận hành, bảo mật và bảo vệ website khỏi hành vi lạm dụng.

4. Vì sao chúng tôi sử dụng dữ liệu website

• Để phản hồi yêu cầu của bạn và theo dõi về Duall Master — trên cơ sở thực hiện các bước theo yêu cầu của bạn trước khi giao kết hợp đồng, và lợi ích hợp pháp của chúng tôi trong việc phản hồi các yêu cầu về bán hàng và sản phẩm.
• Để đo lường và cải thiện website thông qua công cụ phân tích — trên cơ sở sự đồng ý tự nguyện, rõ ràng và có thể rút lại của bạn; sự im lặng hoặc không phản hồi không được xem là đồng ý.
• Để bảo mật và vận hành website — trên cơ sở lợi ích hợp pháp của chúng tôi trong việc giữ cho website luôn sẵn sàng, ổn định và được bảo vệ khỏi lạm dụng.
• Để tuân thủ nghĩa vụ pháp lý — bao gồm việc lưu hồ sơ xử lý phù hợp, tiếp nhận yêu cầu của chủ thể dữ liệu và xử lý sự cố bảo mật theo quy định pháp luật.

5. Cookie

Chúng tôi sử dụng một số ít cookie thiết yếu cho lựa chọn ngôn ngữ và an ninh, và — chỉ khi có sự đồng ý rõ ràng của bạn — cookie phân tích. Bạn có thể từ chối, rút lại hoặc thay đổi lựa chọn cookie bất cứ lúc nào; việc tiếp tục im lặng/không phản hồi không được xem là đồng ý. Để biết chi tiết và quản lý lựa chọn của bạn, xem Chính sách cookie.

6. Chia sẻ dữ liệu website

Chúng tôi không bán dữ liệu cá nhân của bạn. Chúng tôi chỉ chia sẻ dữ liệu với các nhà cung cấp dịch vụ giúp vận hành website, theo các điều khoản bảo vệ dữ liệu phù hợp:

• Web3Forms — xử lý nội dung gửi qua biểu mẫu liên hệ và chuyển đến chúng tôi.
• Google Analytics 4 và/hoặc Plausible — phân tích website, chỉ tải sau khi bạn đồng ý.
• Cloudflare Pages — lưu trữ và phân phối nội dung website, bao gồm ghi nhật ký an ninh.

Phần B — Duall Master Cloud Service

7. Phạm vi áp dụng cho dịch vụ cloud

Phần B áp dụng khi tổ chức của bạn sử dụng Duall Master Cloud Service — dịch vụ phần mềm trên nền tảng cloud để vận hành các phân hệ như kiểm soát ra vào, quản lý khách thăm, chấm công, bãi xe, video management, intercom, giám sát thiết bị và nhật ký vận hành.

Trong hầu hết triển khai, khách hàng/tổ chức vận hành công trình là bên kiểm soát dữ liệu vì họ quyết định mục đích và phương thức xử lý dữ liệu của nhân viên, cư dân, khách thăm, nhà thầu hoặc người dùng cuối. Duali đóng vai trò là bên xử lý dữ liệu, cung cấp hạ tầng, phần mềm, bảo mật, hỗ trợ kỹ thuật và các chức năng xử lý theo thỏa thuận với khách hàng.

Nếu hợp đồng dịch vụ, thỏa thuận xử lý dữ liệu (DPA) hoặc điều khoản riêng giữa Duali và khách hàng có quy định cụ thể hơn, các văn bản đó sẽ được ưu tiên áp dụng cho phạm vi dịch vụ tương ứng.

8. Các loại dữ liệu có thể được xử lý trong dịch vụ

Tùy cấu hình và phân hệ được khách hàng kích hoạt, Duall Master Cloud Service có thể xử lý các nhóm dữ liệu sau:

• Thông tin người dùng và định danh: họ tên, mã nhân viên/cư dân/khách, công ty/bộ phận, chức danh, email, số điện thoại, ảnh hồ sơ, nhóm quyền, khu vực được phép truy cập và trạng thái tài khoản.
• Thông tin xác thực và thẻ: mã thẻ, mã QR, PIN hoặc thông tin định danh thiết bị. Giá trị nhạy cảm được giới hạn truy cập và không được ghi thô vào nhật ký ứng dụng khi có thể tránh được.
• Dữ liệu sinh trắc học hoặc dữ liệu liên quan sinh trắc học: mẫu vân tay, token nhận diện khuôn mặt, ảnh khuôn mặt hoặc dữ liệu đăng ký nhận diện, nếu khách hàng bật chức năng này. Đây là dữ liệu nhạy cảm và cần có cơ sở pháp lý/đồng ý phù hợp từ chủ thể dữ liệu theo luật áp dụng.
• Sự kiện kiểm soát ra vào và vận hành: thời gian ra/vào, cửa/cổng/thang máy, kết quả cấp hoặc từ chối quyền truy cập, ảnh sự kiện nếu có, lịch sử thay đổi quyền và nhật ký kiểm toán.
• Dữ liệu khách thăm: tên khách, thông tin liên hệ, đơn vị đến thăm, người tiếp đón, thời gian đăng ký/ra vào, ảnh hoặc giấy tờ định danh nếu khách hàng cấu hình thu thập.
• Dữ liệu chấm công và bãi xe: thời gian làm việc, lịch sử check-in/check-out, biển số xe, thông tin phương tiện, làn/cổng bãi xe và sự kiện liên quan.
• Dữ liệu video, hình ảnh và intercom: ảnh chụp, đoạn video, ảnh sự kiện hoặc nhật ký cuộc gọi intercom nếu phân hệ tương ứng được triển khai.
• Dữ liệu kỹ thuật: địa chỉ IP, thông tin thiết bị, định danh thiết bị, nhật ký API, nhật ký bảo mật, trạng thái kết nối và thông tin lỗi phục vụ vận hành, hỗ trợ và an toàn hệ thống.

9. Mục đích xử lý trong dịch vụ cloud

Dữ liệu trong Duall Master Cloud Service được xử lý để:

• Cung cấp, vận hành và duy trì các phân hệ Duall Master mà khách hàng đã đăng ký.
• Xác thực người dùng, phân quyền truy cập, đồng bộ quyền xuống thiết bị và ghi nhận sự kiện vận hành.
• Hỗ trợ an ninh công trình, quản lý khách thăm, quản lý nhân sự/chấm công, vận hành bãi xe, video/intercom và các quy trình liên quan.
• Ghi nhật ký kiểm toán, phát hiện bất thường, điều tra sự cố, bảo vệ hệ thống và ngăn chặn truy cập trái phép.
• Cung cấp hỗ trợ kỹ thuật, khắc phục lỗi, sao lưu, khôi phục và cải thiện độ ổn định của dịch vụ.
• Tuân thủ nghĩa vụ pháp lý, yêu cầu hợp lệ từ cơ quan có thẩm quyền hoặc nghĩa vụ theo hợp đồng với khách hàng.

10. Trách nhiệm của khách hàng và người dùng cuối

Khách hàng chịu trách nhiệm bảo đảm rằng việc thu thập và sử dụng dữ liệu trong Duall Master Cloud Service có cơ sở pháp lý phù hợp, đúng mục đích và đúng phạm vi đã thông báo. Trước khi đưa dữ liệu vào hệ thống, khách hàng cần thông báo cho nhân viên, cư dân, khách thăm, nhà thầu hoặc người dùng cuối về loại dữ liệu được xử lý, mục đích xử lý, bên kiểm soát/bên xử lý, quyền và nghĩa vụ của chủ thể dữ liệu, thời hạn lưu trữ, khả năng chia sẻ/chuyển giao và phương thức liên hệ để thực hiện quyền.

Đối với dữ liệu nhạy cảm như sinh trắc học, hình ảnh khuôn mặt, dữ liệu vị trí hoặc video, khách hàng cần thu thập sự đồng ý riêng hoặc xác lập cơ sở pháp lý hợp lệ theo quy định tại quốc gia nơi dịch vụ được sử dụng. Sự đồng ý phải tự nguyện, rõ ràng, thể hiện cho từng mục đích, có thể lưu lại/kiểm chứng được và không được gộp bắt buộc với các mục đích không cần thiết cho dịch vụ.

Người dùng cuối nên liên hệ trước với tổ chức quản lý công trình/tài khoản Duall Master của mình để thực hiện các quyền liên quan đến dữ liệu cá nhân, vì tổ chức đó thường là bên kiểm soát dữ liệu và có quyền quyết định đối với dữ liệu trong hệ thống.

11. Cách chúng tôi bảo vệ dữ liệu dịch vụ

Chúng tôi áp dụng các biện pháp kỹ thuật và tổ chức phù hợp để bảo vệ dữ liệu trong Duall Master Cloud Service, bao gồm:

• Kiểm soát truy cập theo vai trò và nguyên tắc quyền tối thiểu.
• Phân tách dữ liệu theo khách hàng/tenant và giới hạn truy cập nội bộ.
• Mã hóa hoặc cơ chế bảo vệ tương đương cho dữ liệu khi truyền tải và dữ liệu lưu trữ, phù hợp với kiến trúc triển khai.
• Nhật ký kiểm toán cho các thao tác quản trị và sự kiện bảo mật quan trọng.
• Giám sát hệ thống, sao lưu, khôi phục và quy trình ứng phó sự cố.
• Duy trì hồ sơ/đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ chuyển dữ liệu xuyên biên giới trong phạm vi pháp luật yêu cầu.
• Thông báo và phối hợp xử lý sự cố vi phạm quy định về bảo vệ dữ liệu cá nhân; khi luật yêu cầu, thông báo cho cơ quan chuyên trách trong thời hạn luật định, bao gồm mốc 72 giờ đối với sự cố thuộc diện phải thông báo.
• Không mua, bán dữ liệu cá nhân; không sử dụng dữ liệu khách hàng cho quảng cáo hành vi.

Không có hệ thống nào an toàn tuyệt đối, nhưng chúng tôi nỗ lực duy trì mức bảo vệ phù hợp với tính chất dữ liệu và rủi ro của dịch vụ.

12. Bên xử lý phụ và chuyển dữ liệu quốc tế

Để cung cấp dịch vụ cloud, chúng tôi có thể sử dụng nhà cung cấp hạ tầng cloud, lưu trữ, bảo mật, giám sát, email thông báo hoặc hỗ trợ kỹ thuật. Khi sử dụng bên xử lý phụ, chúng tôi áp dụng các điều khoản bảo vệ dữ liệu phù hợp và giới hạn việc xử lý trong phạm vi cần thiết để cung cấp dịch vụ.

Dữ liệu có thể được xử lý hoặc truy cập từ các quốc gia khác với nơi khách hàng hoặc người dùng cư trú. Khi dữ liệu cá nhân được thu thập tại Việt Nam được chuyển ra nước ngoài, lưu trữ trên hệ thống đặt ngoài Việt Nam hoặc xử lý trên nền tảng đặt ngoài Việt Nam, chúng tôi và/hoặc khách hàng sẽ thực hiện các biện pháp phù hợp theo luật áp dụng, bao gồm lập/cập nhật hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới và gửi cơ quan chuyên trách trong thời hạn luật định khi thuộc diện phải thực hiện.

13. Lưu trữ, xóa và hoàn trả dữ liệu

Dữ liệu trong Duall Master Cloud Service được lưu giữ theo cấu hình, chính sách lưu trữ của khách hàng, yêu cầu vận hành, yêu cầu pháp lý và điều khoản hợp đồng. Chúng tôi chỉ lưu trữ dữ liệu trong khoảng thời gian phù hợp với mục đích xử lý, trừ trường hợp pháp luật, hợp đồng hoặc yêu cầu bảo mật/hồ sơ kiểm toán có quy định khác. Một số dữ liệu như nhật ký kiểm toán hoặc nhật ký an ninh có thể cần được lưu trong thời gian nhất định để bảo vệ hệ thống, điều tra sự cố, chứng minh tuân thủ hoặc đáp ứng nghĩa vụ pháp lý.

Khi chấm dứt dịch vụ, việc hoàn trả, xuất dữ liệu, xóa dữ liệu hoặc lưu giữ tạm thời để phục vụ sao lưu/khôi phục sẽ được thực hiện theo hợp đồng dịch vụ và DPA tương ứng. Dữ liệu trong bản sao lưu có thể được xóa theo chu kỳ sao lưu và chính sách lưu giữ an toàn.

14. Quyền của chủ thể dữ liệu

Theo quy định pháp luật hiện hành, bao gồm Luật Bảo vệ dữ liệu cá nhân của Việt Nam năm 2025 trong phạm vi áp dụng, bạn có thể có quyền được biết về hoạt động xử lý dữ liệu cá nhân; đồng ý hoặc không đồng ý; rút lại sự đồng ý; xem, chỉnh sửa hoặc yêu cầu chỉnh sửa; yêu cầu cung cấp, xóa hoặc hạn chế xử lý; phản đối xử lý; khiếu nại, tố cáo, khởi kiện hoặc yêu cầu bồi thường theo quy định pháp luật. Đối với dữ liệu trong Duall Master Cloud Service, yêu cầu nên được gửi đến tổ chức quản lý công trình/tài khoản của bạn. Nếu Duali nhận được yêu cầu liên quan đến dữ liệu do khách hàng kiểm soát, chúng tôi sẽ chuyển tiếp hoặc hỗ trợ khách hàng xử lý yêu cầu đó trong phạm vi hợp đồng và pháp luật cho phép.

15. AI, phân tích và dữ liệu nhạy cảm

Một số triển khai Duall Master có thể sử dụng tính năng phân tích, trợ lý AI, dữ liệu lớn, điện toán đám mây hoặc tích hợp bên thứ ba. Các tính năng này chỉ được bật theo cấu hình và thỏa thuận với khách hàng, phải giới hạn trong mục đích cần thiết và được áp dụng biện pháp phân quyền, xác thực, bảo mật phù hợp với mức độ rủi ro. Chúng tôi không sử dụng dữ liệu sinh trắc học, video hoặc dữ liệu vận hành của khách hàng để huấn luyện mô hình AI công khai hoặc phục vụ quảng cáo, trừ khi có thỏa thuận riêng và cơ sở pháp lý hợp lệ.

Quy định chung

16. Trẻ em

Website này và Duall Master Cloud Service hướng đến khách hàng tổ chức/doanh nghiệp. Chúng tôi không cố ý thu thập dữ liệu cá nhân trực tiếp từ trẻ em qua website. Nếu hệ thống được triển khai tại trường học, khu dân cư hoặc môi trường có trẻ em, khách hàng/tổ chức vận hành cần bảo đảm thông báo, đồng ý và cơ sở pháp lý phù hợp trước khi xử lý dữ liệu của trẻ em. Đối với trẻ em từ đủ 07 tuổi trở lên trong trường hợp công bố/tiết lộ thông tin về đời sống riêng tư hoặc bí mật cá nhân, khách hàng cần bảo đảm có sự đồng ý của trẻ em và người đại diện theo pháp luật khi pháp luật yêu cầu.

17. Thay đổi chính sách này

Chúng tôi có thể cập nhật chính sách này theo thời gian. Khi đó, chúng tôi sẽ chỉnh sửa ngày hiệu lực/cập nhật ở trên và, khi cần thiết, đưa ra thông báo bổ sung.

18. Liên hệ

Nếu có bất kỳ câu hỏi nào về chính sách này hoặc dữ liệu cá nhân, vui lòng liên hệ sales@duali.com. Đối với yêu cầu liên quan đến dữ liệu trong Duall Master Cloud Service, vui lòng cho biết tên tổ chức/khách hàng, hệ thống hoặc công trình liên quan để chúng tôi có thể định tuyến yêu cầu phù hợp.