Dữ liệu cá nhân trong MSONE Practice: ai giữ, giữ gì, và bạn bấm ở đâu để đòi lại.

• ① DỮ LIỆU TÀI KHOẢN NGƯỜI DÙNG PHẦN MỀM (chủ firm, nhân viên firm, khách được mời vào cổng): MS-ONE là BÊN KIỂM SOÁT. Chúng tôi quyết định lưu gì, lưu bao lâu, và chịu trách nhiệm về nó.
• ② DỮ LIỆU NGHIỆP VỤ CỦA FIRM (khách hàng của firm, hồ sơ thuế, công nợ, hồ sơ nhân sự & lương của firm): FIRM là BÊN KIỂM SOÁT, MS-ONE chỉ là BÊN XỬ LÝ theo ủy quyền của firm. Firm là người quyết định thu thập gì, dùng vào việc gì, giữ bao lâu, và là người phải thông báo cho chính những người đó.
• Hệ quả thực tế: nếu bạn là khách hàng của một firm và muốn xem / sửa / xoá dữ liệu của mình, hãy gửi yêu cầu tới FIRM đó — họ là người có thẩm quyền trả lời. MS-ONE không tự ý mở dữ liệu của firm ra cho ai, kể cả khi người hỏi là chính chủ dữ liệu.

Đây không phải cách nói để né trách nhiệm. Nó là mô tả đúng cơ chế: mặc định MS-ONE KHÔNG đọc được dữ liệu nghiệp vụ của firm — điều đó được cưỡng chế ngay tại cơ sở dữ liệu, không phải bằng lời hứa. Xem trang Bảo mật để đối chiếu.

• NGƯỜI DÙNG PHẦN MỀM (chủ firm, nhân viên firm): địa chỉ email dùng để đăng nhập, họ tên hiển thị, vai trò trong firm, và nhật ký thao tác.
• NHẬT KÝ THAO TÁC: mỗi thao tác nhạy cảm được ghi vào một sổ chỉ-ghi-thêm gồm người thực hiện, việc gì, lúc nào, kèm ĐỊA CHỈ IP và loại trình duyệt. Sổ này không sửa và không xoá được — đó chính là giá trị của nó, và cũng là lý do chúng tôi nói rõ ở đây thay vì im lặng.
• ĐĂNG NHẬP HỎNG: email và địa chỉ IP của các lần đăng nhập sai được lưu tạm để chặn dò mật khẩu.
• HỒ SƠ NHÂN SỰ CỦA FIRM (chỉ khi firm bật phân hệ nhân sự & lương): họ tên, chức danh, ngày vào làm / nghỉ việc, loại hợp đồng, vùng lương tối thiểu, SỐ LƯỢNG người phụ thuộc, và các khoản lương. Hệ thống CỐ Ý KHÔNG CÓ CỘT để lưu: số căn cước, mã số thuế cá nhân, số tài khoản ngân hàng, nơi cư trú, ngày sinh, giới tính, hay danh tính từng người phụ thuộc. Đây không phải chính sách trên giấy — cơ sở dữ liệu không có chỗ chứa chúng, và một phép kiểm tự động canh đúng danh sách này ở mỗi lần thay đổi phần mềm.
• NGƯỜI LIÊN HỆ CỦA KHÁCH HÀNG (do firm nhập): họ tên, chức danh, điện thoại, email. Có thêm ô ngày sinh để chúc mừng, nhưng chỉ dùng khi firm bật riêng cờ đồng ý, và dữ liệu ấy không bao giờ ra cổng khách, không vào email gửi khách, và không gửi cho bên AI nào.
• KHÁCH VÀO CỔNG KHÁCH: email đăng nhập; và khi khách bấm chấp nhận báo giá / hợp đồng trực tuyến thì lưu mã tin nhắn xác thực, thời điểm bấm, bản tài liệu đã xem, địa chỉ IP và trình duyệt — để làm bằng chứng cho chính giao dịch đó.

• THỰC HIỆN HỢP ĐỒNG: vận hành phần mềm cho firm đã đăng ký — đăng nhập, phân quyền, chạy nghiệp vụ, xuất dữ liệu.
• NGHĨA VỤ LUẬT ĐỊNH: chứng từ kế toán và hồ sơ lương phải được lưu theo pháp luật kế toán; nhật ký thao tác phục vụ việc truy vết khi có tranh chấp.
• LỢI ÍCH HỢP PHÁP, TỐI THIỂU: chặn dò mật khẩu, chống lạm dụng, bảo đảm an toàn hệ thống.
• THEO ĐỒNG Ý RIÊNG, MẶC ĐỊNH TẮT: ba tính năng AI; việc thu thập số liệu sử dụng ĐÃ ẨN DANH để cải tiến sản phẩm; và nhắc sinh nhật người liên hệ. Cả ba đều là ô tự tích, bỏ tích lúc nào cũng được, và không tích thì không có gì xảy ra.

• KHÔNG bán, cho thuê, hay chia sẻ dữ liệu cá nhân cho bên thứ ba vì mục đích thương mại.
• KHÔNG đọc dữ liệu nghiệp vụ của firm theo mặc định — kể cả người sáng lập. Muốn hỗ trợ kỹ thuật thì firm phải chủ động bấm nút cấp quyền có giờ hết hạn, và mọi lượt truy cập đều để lại vết vĩnh viễn mà firm xem lại được.
• KHÔNG gửi dữ liệu khách hàng của firm cho nhà cung cấp AI nào: tài liệu đánh dấu “chứa dữ liệu khách” không bao giờ được gửi, và câu hỏi có dấu vết tên / mã số thuế / số điện thoại bị chặn ngay trước khi rời máy chủ.
• KHÔNG có, và sẽ không có, bất kỳ tính năng nào nhằm làm “lương thực nhận” và “lương khai thuế” cố ý lệch nhau: không gợi ý kê khai thấp hơn thực tế, không có nút ẩn khoản thu nhập, và mọi khoản chia doanh thu đều đi qua phiếu lương chịu thuế thu nhập cá nhân.
• KHÔNG dùng dữ liệu cá nhân để tự động ra quyết định có ảnh hưởng pháp lý tới một người. Phần mềm chỉ nhắc việc và tính toán theo tham số do firm nhập; người quyết định luôn là người.

• HẠ TẦNG LƯU TRỮ: cơ sở dữ liệu và tệp đính kèm đặt trên hạ tầng đám mây tại SINGAPORE. Máy chủ chạy ứng dụng web do nhà cung cấp nền tảng vận hành.
• THƯ ĐIỆN TỬ: thư hệ thống gửi qua máy chủ thư (SMTP) mà chúng tôi cấu hình; firm cũng có thể khai máy chủ thư của chính mình, khi đó thư đi thẳng từ hòm thư của firm.
• TIN NHẮN ZALO ZNS / SMS: chỉ khi firm bật, và chỉ để xác thực các thao tác có giá trị pháp lý (chấp nhận báo giá, hợp đồng) hoặc gửi nhắc theo cấu hình của firm.
• AI — Anthropic (Claude): Đọc câu hỏi cùng các đoạn tài liệu/điều luật được trích ra rồi soạn câu trả lời. Gửi đi: Câu hỏi của nhân viên + các đoạn trích tài liệu nội bộ và điều luật đã qua ba lớp lọc dữ liệu nhạy cảm. KHÔNG gửi: Tài liệu đánh dấu “chứa dữ liệu khách”; đoạn dính email/số điện thoại/MST; câu hỏi có dấu vết tên hoặc MST khách hàng của firm (bị chặn ngay, không gửi đi). Lưu giữ: Theo Điều khoản Thương mại, dữ liệu gửi qua API KHÔNG được dùng để huấn luyện mô hình, trừ khi khách hàng tự chọn tham gia.
• AI — Voyage AI: Chuyển câu hỏi thành “dấu vân tay ý nghĩa” để tìm điều luật gần nghĩa, kể cả khi câu hỏi dùng từ khác luật. Gửi đi: Câu hỏi của nhân viên (đã qua đúng các lớp lọc như trên) và toàn văn kho luật — vốn là văn bản pháp luật công khai. KHÔNG gửi: Tài liệu nội bộ của firm; dữ liệu khách hàng; câu trả lời của AI. Lưu giữ: ⚠ MẶC ĐỊNH họ có GIỮ dữ liệu và dùng cho việc huấn luyện mô hình về sau. Tài khoản có thể chọn “Opted Out” trong mục Terms of Service trên bảng điều khiển để chuyển sang KHÔNG lưu giữ.

Vì hạ tầng đặt tại Singapore, việc xử lý dữ liệu cá nhân có yếu tố chuyển dữ liệu ra ngoài lãnh thổ Việt Nam. Chúng tôi nêu điều này rõ ràng thay vì giấu trong một câu kỹ thuật, để firm biết mà lập hồ sơ đánh giá tác động theo quy định áp dụng cho chính firm.

• Dữ liệu kế toán, thuế và chứng từ về lương được giữ theo thời hạn pháp luật kế toán yêu cầu (tối thiểu 10 năm với chứng từ kế toán).
• Nhật ký thao tác là sổ chỉ-ghi-thêm và được giữ lâu dài — đó là điều kiện để nó còn giá trị làm bằng chứng.
• Với dữ liệu nghiệp vụ của firm, FIRM là bên quyết định thời điểm huỷ hoặc ẩn danh. Hiện phần mềm CHƯA có cơ chế tự động ẩn danh hay tự động xoá theo lịch cho dữ liệu khách hàng — chúng tôi nói thẳng điều này thay vì để bạn tưởng có.
• Khi firm ngừng dùng phần mềm, firm xuất toàn bộ dữ liệu mang đi được bất cứ lúc nào; việc xoá dữ liệu sau đó thực hiện theo yêu cầu của firm.

• NẾU BẠN LÀ KHÁCH HÀNG CỦA MỘT FIRM: vào cổng khách → mục “Dữ liệu của tôi”. Công tắc nhận tin nhắc đổi ngay khi bấm. Yêu cầu xem / sửa / xoá được chuyển tới người của firm và do firm xử lý.
• NẾU BẠN LÀ NGƯỜI DÙNG PHẦN MỀM (chủ firm hoặc nhân viên): dữ liệu tài khoản của bạn do firm quản lý trong mục Nhân sự; firm là nơi bạn yêu cầu đính chính. Mọi yêu cầu đính chính hồ sơ đều để lại vết và do người có thẩm quyền của firm duyệt.
• NẾU BẠN LÀ NGƯỜI LAO ĐỘNG CỦA MỘT FIRM: bạn xem được phiếu lương của chính mình; việc ai đã mở xem phiếu lương được ghi vào một sổ riêng mà quản lý cấp trung không đọc được.
• QUYỀN MANG DỮ LIỆU ĐI: chủ firm có nút xuất toàn bộ dữ liệu của firm, định dạng mở, có xác thực 2 bước.
• MỌI TRƯỜNG HỢP KHÁC, hoặc khi bạn không liên hệ được với firm: gửi thư cho chúng tôi theo địa chỉ ở cuối trang. Chúng tôi CHƯA có máy đếm hạn xử lý tự động cho loại yêu cầu này, nên không hứa một số ngày cụ thể; chúng tôi trả lời theo thời hạn pháp luật quy định.