CHÍNH SÁCH BẢO VỆ THÔNG TIN CÁ NHÂN

LƯU Ý QUAN TRỌNG

Chính sách này mô tả cách CÔNG TY TNHH CÔNG NGHỆ SCANEATS (gọi tắt là "ScanEats" hoặc "Chúng tôi") thu thập, sử dụng, lưu trữ và chia sẻ Dữ liệu cá nhân của Bạn khi Bạn sử dụng các sản phẩm và dịch vụ của Chúng tôi.

Chính sách này được xây dựng trên cơ sở Luật Bảo vệ Dữ liệu Cá nhân năm 2025 (Luật số 91/2025/QH15, có hiệu lực từ 01/01/2026, sau đây gọi tắt là "Luật BVDLCN 2025") và các văn bản hướng dẫn thi hành, Luật An ninh mạng 2018, Luật Giao dịch điện tử 2023, Luật Bảo vệ quyền lợi người tiêu dùng 2023 cùng các quy định pháp luật khác có liên quan của Việt Nam.

Bằng việc đăng ký, đăng nhập hoặc sử dụng Dịch vụ, Bạn xác nhận đã đọc, hiểu và đồng ý cho ScanEats xử lý Dữ liệu cá nhân của Bạn theo các nội dung trong Chính sách này. Nếu Bạn không đồng ý với một hoặc một số nội dung, vui lòng ngừng sử dụng Dịch vụ và thực hiện quyền rút lại sự đồng ý theo hướng dẫn tại Điều 9.

1. Phạm vi và định nghĩa

1.1 Phạm vi áp dụng

Chính sách này áp dụng cho toàn bộ hệ sinh thái ScanEats, bao gồm nhưng không giới hạn:

• ScanEats Mini App trên Zalo và Web H5 dành cho Người dùng cuối;

• ScanEats for Business (Merchant App) dành cho Đối tác nhà hàng;

• ScanEats Smart Box (hộp in đám mây) và các thiết bị KDS, CDS đi kèm;

• Website chính thức tại địa chỉ https://www.scaneats.vn;

• Các kênh chăm sóc khách hàng: Zalo OA, email, hotline, fanpage chính thức.

1.2 Định nghĩa các bên

1.3 Định nghĩa thuật ngữ

Các thuật ngữ định nghĩa dưới đây được hiểu theo Luật BVDLCN 2025. Một số thuật ngữ then chốt:

1.4 Vai trò của ScanEats trong xử lý dữ liệu

ScanEats có hai vai trò khác nhau tùy theo loại dữ liệu:

• (a) Bên kiểm soát dữ liệu cá nhân đối với:

  • Dữ liệu định danh tài khoản (tên Zalo, số điện thoại, email);

  • Dữ liệu vận hành Nền tảng (lịch sử đăng nhập, log thiết bị);

  • Dữ liệu chăm sóc khách hàng do Người dùng chủ động cung cấp.

• (b) Bên xử lý dữ liệu cá nhân thay mặt Đối tác nhà hàng đối với:

  • Dữ liệu phát sinh khi Người dùng đặt món tại một Nhà hàng cụ thể (lịch sử đơn, điểm thành viên, voucher của Nhà hàng đó);

  • Trong trường hợp này, Nhà hàng là Bên kiểm soát dữ liệu giao dịch của khách tại quán mình. ScanEats chỉ xử lý theo cấu hình mà Nhà hàng đã thiết lập.

Việc tách bạch này quan trọng để Bạn biết khi nào liên hệ ScanEats và khi nào liên hệ trực tiếp Nhà hàng.

2. Dữ liệu cá nhân Chúng tôi thu thập

2.1 Đối với Người dùng (thực khách)

Dữ liệu cá nhân cơ bản — định danh và liên hệ:

• Họ tên, ảnh đại diện, mã định danh Zalo (Zalo ID) — lấy qua Zalo OAuth khi Bạn đồng ý đăng nhập bằng Zalo;

• Số điện thoại — Bạn chủ động ủy quyền cung cấp qua giao diện của Zalo;

• Email và địa chỉ giao hàng — chỉ khi Bạn nhập trong tính năng giao hàng tận nơi.

Dữ liệu giao dịch và hành vi:

• Lịch sử đặt món (món, số lượng, tổng tiền, ghi chú, Nhà hàng, thời điểm);

• Lịch sử voucher, mã giảm giá, điểm thành viên đã tích/đổi tại từng Nhà hàng;

• Đánh giá, bình luận do Bạn để lại (nếu có);

• Hoạt động trên Nền tảng: trang đã xem, click, thời lượng phiên.

Dữ liệu thiết bị và kỹ thuật:

• Loại thiết bị, hệ điều hành, phiên bản trình duyệt, phiên bản ứng dụng, ngôn ngữ;

• Địa chỉ IP, mã định danh thiết bị (Device ID);

• Múi giờ, dữ liệu cookie và công nghệ tương tự.

Dữ liệu vị trí (chỉ khi Bạn cho phép):

• Tọa độ GPS — sử dụng cho tính năng "tìm Nhà hàng gần nhất" hoặc tự động điền địa chỉ giao hàng. Bạn có thể từ chối qua cài đặt thiết bị bất cứ lúc nào.

Dữ liệu thanh toán (xem thêm tại Chính sách Thanh toán):

• ScanEats KHÔNG thu thập, lưu trữ hoặc xử lý số thẻ ngân hàng, mật khẩu ngân hàng, mã CVV của Bạn;

• Chúng tôi chỉ ghi nhận dữ liệu siêu thông tin (metadata) của giao dịch: mã đơn, số tiền, phương thức thanh toán đã chọn, trạng thái giao dịch (thành công/thất bại), mã tham chiếu do tổ chức trung gian thanh toán trả về.

2.2 Đối với Đối tác nhà hàng

Dữ liệu pháp nhân và người đại diện:

• Tên cơ sở kinh doanh, mã số thuế hoặc số đăng ký hộ kinh doanh, địa chỉ;

• Họ tên, số căn cước công dân (CCCD), số điện thoại, email của chủ quán hoặc người đại diện;

• Hình ảnh CCCD và Giấy chứng nhận đăng ký kinh doanh (nếu có) — chỉ phục vụ xác minh.

Dữ liệu vận hành quán:

• Thông tin thực đơn, giá cả, khuyến mãi do Nhà hàng tự đăng tải;

• Cấu hình bàn, máy in, KDS, CDS;

• Thông tin tài khoản ngân hàng nhận tiền — được liên kết qua tổ chức trung gian thanh toán, ScanEats KHÔNG lưu trữ số tài khoản hay thông tin xác thực ngân hàng.

Dữ liệu nhân viên Nhà hàng:

• Họ tên, số điện thoại, vai trò (thu ngân, phục vụ, bếp trưởng) của nhân viên do chủ quán thêm vào hệ thống;

• Lịch sử thao tác trên Merchant App (audit log).

2.3 Dữ liệu cá nhân nhạy cảm

ScanEats không chủ động thu thập Dữ liệu cá nhân nhạy cảm. Trong các trường hợp ngoại lệ (ví dụ: thông tin sức khỏe trong ghi chú dị ứng món ăn do Bạn nhập), Chúng tôi chỉ xử lý theo đúng mục đích Bạn cung cấp và không sử dụng cho mục đích khác.

2.4 Dữ liệu của trẻ em dưới 13 tuổi

Dịch vụ của ScanEats không hướng đến trẻ em dưới 13 tuổi. Nếu phát hiện đã vô tình thu thập dữ liệu của trẻ dưới 13 tuổi mà không có sự đồng ý của cha/mẹ hoặc người giám hộ, Chúng tôi sẽ xóa dữ liệu đó trong vòng 72 giờ kể từ khi nhận được thông báo hợp lệ.

3. Mục đích xử lý dữ liệu

ScanEats xử lý Dữ liệu cá nhân của Bạn cho các mục đích sau:

ScanEats không xử lý dữ liệu cho mục đích khác ngoài những mục đích trên. Khi phát sinh mục đích mới, Chúng tôi sẽ thông báo và xin sự đồng ý lại.

4. Cơ sở pháp lý của việc xử lý

ScanEats chỉ xử lý Dữ liệu cá nhân khi có ít nhất một trong các cơ sở pháp lý sau theo Luật BVDLCN 2025:

Bạn có quyền rút lại sự đồng ý bất cứ lúc nào đối với các mục đích thuộc nhóm "Sự đồng ý". Việc rút lại không ảnh hưởng tới tính hợp pháp của hoạt động xử lý đã diễn ra trước thời điểm rút lại. Lưu ý: Khi rút lại đồng ý đối với một số tính năng then chốt (vd: từ chối cung cấp số điện thoại), một số phần của Dịch vụ có thể không còn sử dụng được — Chúng tôi sẽ thông báo rõ trước khi Bạn xác nhận.

5. Cách thức xử lý dữ liệu

ScanEats xử lý Dữ liệu cá nhân theo hai phương thức:

• Tự động: thông qua hệ thống phần mềm và thuật toán (ví dụ: gợi ý món kèm bằng AI Smart-Upsell, phân tích thống kê, phát hiện gian lận, gửi webhook xác nhận thanh toán);

• Thủ công: bởi nhân viên ScanEats có thẩm quyền (ví dụ: xử lý khiếu nại, hỗ trợ khôi phục tài khoản) — luôn dưới các quy trình kiểm soát truy cập và ghi log đầy đủ.

ScanEats không thực hiện quyết định hoàn toàn tự động có ảnh hưởng pháp lý đáng kể đến Bạn mà không có sự can thiệp của con người, trừ trường hợp được Bạn đồng ý rõ ràng.

6. Chia sẻ dữ liệu với bên thứ ba

ScanEats không bán Dữ liệu cá nhân của Bạn. Chúng tôi chỉ chia sẻ với các bên dưới đây, trong phạm vi và mục đích đã nêu:

6.1 Đối tác nhà hàng

Khi Bạn đặt món tại một Nhà hàng, ScanEats chia sẻ với Nhà hàng đó những thông tin tối thiểu để xử lý đơn:

• Họ tên hoặc bí danh hiển thị, số điện thoại, địa chỉ giao hàng (nếu chọn giao hàng);

• Nội dung đơn hàng, ghi chú, voucher đã áp dụng;

• Số dư điểm thành viên tại chính Nhà hàng đó.

Nhà hàng cam kết chỉ sử dụng dữ liệu này cho mục đích giao kết và thực hiện đơn hàng. ScanEats yêu cầu mọi Nhà hàng tuân thủ Luật BVDLCN 2025 thông qua điều khoản trong Thỏa thuận sử dụng dịch vụ.

6.2 Tổ chức trung gian thanh toán

Để xử lý giao dịch, dữ liệu giao dịch (mã đơn, số tiền, mô tả) được chuyển tới các tổ chức được Ngân hàng Nhà nước cấp phép, bao gồm: PayOS, SePay, OnePay, Zalopay, MoMo, VNPay. Các tổ chức này chịu trách nhiệm bảo mật theo quy định của NHNN và chính sách của họ.

6.3 Đối tác giao hàng

Khi Bạn chọn giao hàng tận nơi qua Nền tảng tự doanh giao hàng của Nhà hàng, dữ liệu giao hàng (tên, số điện thoại, địa chỉ) được chia sẻ với đối tác vận chuyển: Ahamove, GrabExpress, Lalamove. Dữ liệu chỉ phục vụ mục đích giao hàng.

6.4 Đối tác hóa đơn điện tử

Khi Bạn yêu cầu xuất hóa đơn VAT, thông tin xuất hóa đơn được chuyển tới nhà cung cấp dịch vụ hóa đơn điện tử: Viettel, VNPT, MISA.

6.5 Nhà cung cấp hạ tầng kỹ thuật

ScanEats sử dụng dịch vụ điện toán đám mây của các nhà cung cấp uy tín (như Google Cloud, Amazon Web Services) để vận hành Nền tảng. Dữ liệu cá nhân của Người dùng tại Việt Nam được lưu trữ tuân thủ Luật An ninh mạng 2018 và các quy định lưu trữ dữ liệu trong nước.

6.6 Cơ quan nhà nước có thẩm quyền

Khi có yêu cầu hợp lệ bằng văn bản từ cơ quan nhà nước có thẩm quyền, ScanEats sẽ cung cấp Dữ liệu cá nhân theo đúng phạm vi yêu cầu.

6.7 Đối tác tư vấn pháp lý, kiểm toán, bảo hiểm

Trong các tình huống cần thiết để bảo vệ quyền và lợi ích hợp pháp của ScanEats hoặc tuân thủ nghĩa vụ pháp luật, Chúng tôi có thể chia sẻ dữ liệu với đối tác tư vấn pháp lý, kiểm toán, bảo hiểm — luôn dưới các thỏa thuận bảo mật ràng buộc.

6.8 Chuyển dữ liệu xuyên biên giới

Một phần dữ liệu (ví dụ: log hệ thống, dữ liệu phân tích đã ẩn danh) có thể được xử lý tại các trung tâm dữ liệu quốc tế của nhà cung cấp hạ tầng. Việc chuyển này tuân thủ quy định về chuyển dữ liệu xuyên biên giới của Luật BVDLCN 2025 và các thỏa thuận chuyển dữ liệu phù hợp. Dữ liệu định danh trực tiếp của Người dùng tại Việt Nam được ưu tiên lưu trữ trong nước.

7. Hậu quả và thiệt hại không mong muốn có thể xảy ra

Mặc dù ScanEats nỗ lực cao nhất để bảo vệ Dữ liệu cá nhân, không có hệ thống nào tuyệt đối an toàn. Bạn cần nhận thức về các rủi ro tiềm tàng sau:

ScanEats cam kết áp dụng các biện pháp kỹ thuật và quản lý hợp lý theo tiêu chuẩn ngành (xem Điều 11) để giảm thiểu các rủi ro nêu trên. Trong trường hợp xảy ra sự cố vi phạm Dữ liệu cá nhân, Chúng tôi sẽ thực hiện thông báo theo quy định tại Điều 11.1.

8. Dữ liệu phái sinh và huấn luyện AI

8.1 Định nghĩa

"Dữ liệu phái sinh" là dữ liệu được tạo ra từ Dữ liệu cá nhân của Bạn nhưng đã được:

• Ẩn danh hóa (anonymization) — không thể khôi phục để định danh ngược lại Bạn; hoặc

• Tổng hợp và thống kê (aggregation) — kết hợp với dữ liệu của nhiều người dùng khác để tạo ra các chỉ số, xu hướng, phân khúc.

8.2 Quyền sử dụng của ScanEats

ScanEats có quyền sử dụng Dữ liệu phái sinh để:

• Cải tiến sản phẩm, kiểm thử tính năng mới;

• Huấn luyện và cải thiện các tính năng AI, đặc biệt là AI Smart-Upsell (tính năng gợi ý món kèm tự động);

• Tạo báo cáo ngành, nghiên cứu thị trường (không chứa thông tin định danh cá nhân);

• Chia sẻ với Đối tác nhà hàng dưới dạng báo cáo tổng hợp giúp Nhà hàng vận hành tốt hơn.

8.3 Cam kết của ScanEats

• Dữ liệu phái sinh không thể truy ngược để định danh Bạn cá nhân;

• ScanEats không bán Dữ liệu phái sinh cho bên thứ ba ngoài hệ sinh thái Đối tác nhà hàng đã được thông báo;

• Các mô hình AI được huấn luyện trên Dữ liệu phái sinh không lưu giữ Dữ liệu cá nhân gốc;

• Bạn có quyền phản đối việc sử dụng dữ liệu của Bạn cho mục đích huấn luyện AI bằng cách liên hệ qua kênh tại Điều 9.1 — sau khi nhận yêu cầu, ScanEats sẽ loại Bạn khỏi tập huấn luyện trong vòng 30 ngày làm việc.

9. Quyền của Bạn (Chủ thể dữ liệu)

Bạn có 11 quyền cốt lõi sau đối với Dữ liệu cá nhân của mình theo Luật BVDLCN 2025:

1. Quyền được biết — về hoạt động xử lý Dữ liệu cá nhân của Bạn (trừ trường hợp luật quy định khác).

2. Quyền đồng ý — chấp thuận hoặc không chấp thuận việc xử lý Dữ liệu cá nhân.

3. Quyền truy cập — xem, sao chép Dữ liệu cá nhân của Bạn đang được Chúng tôi xử lý.

4. Quyền rút lại sự đồng ý — rút lại sự đồng ý đã cấp trước đó.

5. Quyền xóa dữ liệu — yêu cầu xóa Dữ liệu cá nhân, trừ trường hợp pháp luật quy định khác.

6. Quyền hạn chế xử lý — yêu cầu tạm ngừng xử lý trong các trường hợp luật cho phép.

7. Quyền cung cấp dữ liệu — yêu cầu Chúng tôi cung cấp Dữ liệu cá nhân của Bạn cho Bạn (quyền chuyển giao dữ liệu).

8. Quyền phản đối xử lý — phản đối việc xử lý nhằm ngăn chặn/hạn chế tiết lộ hoặc sử dụng vì mục đích quảng cáo, tiếp thị, hoặc huấn luyện AI.

9. Quyền khiếu nại, tố cáo, khởi kiện — theo quy định pháp luật.

10. Quyền yêu cầu bồi thường thiệt hại — khi xảy ra vi phạm Dữ liệu cá nhân, theo Bộ luật Dân sự 2015.

11. Quyền tự bảo vệ — sử dụng các biện pháp tự bảo vệ phù hợp.

9.1 Cách thực hiện quyền

Bạn có thể gửi yêu cầu thực hiện các quyền nêu trên qua một trong các kênh sau:

• Email chính thức: privacy@scaneats.vn (tiếp nhận yêu cầu) — sao gửi: contact@scaneats.vn

• Trong ứng dụng: Trung tâm cá nhân → Quyền riêng tư → Yêu cầu của tôi

• Qua Zalo OA chính thức: "ScanEats" (đã xác minh)

• Đường bưu điện: gửi tới địa chỉ trụ sở chính (xem cuối tài liệu)

9.2 Thời gian phản hồi

ScanEats cam kết:

• Xác nhận đã nhận yêu cầu trong vòng 72 giờ làm việc;

• Phản hồi xử lý trong vòng 15 ngày làm việc kể từ ngày nhận yêu cầu hợp lệ. Trường hợp phức tạp, thời gian có thể kéo dài thêm tối đa 15 ngày làm việc và Chúng tôi sẽ thông báo cho Bạn.

9.3 Xác minh danh tính

Để bảo vệ Bạn khỏi yêu cầu giả mạo, Chúng tôi có thể yêu cầu Bạn xác minh danh tính (qua mã OTP gửi đến số điện thoại/email đã đăng ký, hoặc qua tài khoản Zalo đã liên kết) trước khi xử lý các yêu cầu nhạy cảm.

9.4 Khiếu nại tới cơ quan có thẩm quyền

Nếu Bạn cho rằng yêu cầu của mình chưa được giải quyết thỏa đáng, Bạn có quyền khiếu nại tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân theo Luật BVDLCN 2025, hoặc khởi kiện tại Tòa án có thẩm quyền theo quy định của pháp luật.

10. Thời hạn lưu trữ

Sau thời hạn lưu trữ, Dữ liệu cá nhân sẽ được xóa hoặc ẩn danh hóa theo cách mà không thể khôi phục để định danh.

11. An toàn bảo mật

ScanEats áp dụng các biện pháp kỹ thuật và quản lý hợp lý theo tiêu chuẩn ngành để bảo vệ Dữ liệu cá nhân, bao gồm nhưng không giới hạn:

• Mã hóa dữ liệu: sử dụng giao thức HTTPS/TLS 1.2+ cho mọi giao tiếp giữa thiết bị của Bạn và máy chủ; mã hóa dữ liệu nhạy cảm trong cơ sở dữ liệu;

• Phân quyền truy cập: áp dụng nguyên tắc đặc quyền tối thiểu (least privilege) — nhân viên ScanEats chỉ truy cập dữ liệu cần thiết cho công việc;

• Giám sát an ninh: ghi log truy cập, phát hiện bất thường, đánh giá định kỳ lỗ hổng bảo mật;

• Sao lưu và phục hồi thảm họa: sao lưu định kỳ với mã hóa đầy đủ, có quy trình phục hồi sự cố;

• Ký kết NDA với mọi đối tác tiếp xúc với Dữ liệu cá nhân.

Mặc dù Chúng tôi nỗ lực ở mức cao nhất, không có hệ thống nào tuyệt đối an toàn. ScanEats khuyến nghị Bạn:

• Đặt mật khẩu tài khoản dài, có chữ-số-ký tự đặc biệt;

• Không chia sẻ mật khẩu, mã OTP với bất kỳ ai;

• Đăng xuất khi sử dụng thiết bị công cộng;

• Báo ngay cho ScanEats nếu nhận được tin nhắn/cuộc gọi đáng ngờ tự xưng là ScanEats yêu cầu cung cấp thông tin xác thực.

11.1 Thông báo sự cố vi phạm dữ liệu

Trong trường hợp xảy ra sự cố vi phạm Dữ liệu cá nhân có khả năng ảnh hưởng đến quyền và lợi ích của Bạn, ScanEats sẽ:

• Thông báo cho cơ quan có thẩm quyền trong vòng 72 giờ theo quy định của Luật BVDLCN 2025;

• Thông báo cho Bạn qua kênh phù hợp (in-app, email, Zalo OA) khi có yêu cầu của cơ quan thẩm quyền hoặc khi Chúng tôi xét thấy cần thiết để Bạn tự bảo vệ.

12. Cookie và công nghệ tương tự

Nền tảng ScanEats sử dụng cookie và các công nghệ định danh thiết bị tương tự cho:

• Cookie thiết yếu — duy trì phiên đăng nhập, ghi nhớ giỏ hàng (không thể tắt);

• Cookie thống kê — đo lường lưu lượng, tối ưu trải nghiệm (Google Analytics hoặc tương đương — đã ẩn danh hóa IP);

• Cookie marketing — chỉ kích hoạt khi Bạn đồng ý.

Bạn có thể quản lý cookie qua cài đặt trình duyệt hoặc trong Trung tâm cá nhân của ứng dụng.

13. Cập nhật chính sách

ScanEats có thể cập nhật Chính sách này khi có thay đổi về sản phẩm, công nghệ hoặc pháp luật.

Phiên bản hiện hành luôn được công bố tại https://www.scaneats.vn/chinh-sach-bao-mat. Các phiên bản cũ được lưu trữ và sẵn sàng cung cấp khi có yêu cầu hợp lệ.

14. Liên hệ

Mọi thắc mắc liên quan đến Chính sách này, Bạn có thể liên hệ:

Tổ chức ban hành: CÔNG TY TNHH CÔNG NGHỆ SCANEATS
(Loại hình: Công ty TNHH Một thành viên · Tên giao dịch quốc tế: SCANEATS TECHNOLOGIES COMPANY LIMITED)

Mã số doanh nghiệp / Mã số thuế: 0111343965
Trụ sở chính: Tầng 2, Tòa nhà Detech Tower, số 8 Tôn Thất Thuyết, Phường Cầu Giấy, Thành phố Hà Nội, Việt Nam
Người đại diện theo pháp luật: Bà Nguyễn Thanh Tâm — Giám đốc
Email chính thức: contact@scaneats.vn
Email về quyền riêng tư: privacy@scaneats.vn
Điện thoại đăng ký: 0798804714
Website: https://www.scaneats.vn

Phiên bản: v1.0.0
Ngày ban hành: 06/06/2026
Ngày có hiệu lực: 06/06/2026