Chính sách quyền riêng tư
CoreSkill thu thập dữ liệu cá nhân nào, để làm gì, trên căn cứ pháp lý nào, chia sẻ với ai, lưu bao lâu, bảo vệ ra sao, và bạn có những quyền gì dù bạn ở đâu.
Hiệu lực từ 22/9/2026
Chính sách này giải thích cách Core Skill, trụ sở tại coreskill.app, xử lý dữ liệu cá nhân liên quan tới dịch vụ CoreSkill. Chính sách áp dụng cho khách truy cập, chủ tài khoản và thành viên của các tổ chức khách hàng trên toàn thế giới. Hãy đọc kèm Chính sách cookie và Phụ lục xử lý dữ liệu, văn bản điều chỉnh dữ liệu thuộc về một tổ chức khách hàng.
1. Hai tư cách, và vì sao sự khác biệt đó quan trọng
- Core Skill là bên kiểm soát
- Với chính tài khoản của bạn và hồ sơ kinh doanh của chúng tôi: tên, email, bản băm mật khẩu, thiết lập hai lớp, ngôn ngữ, sự kiện đăng nhập và bảo mật, hồ sơ đồng ý, hồ sơ thanh toán và thư từ trao đổi với chúng tôi. Core Skill quyết định xử lý dữ liệu này vì sao và như thế nào, và chính sách này điều chỉnh nó.
- Core Skill là bên xử lý
- Với mọi thứ bên trong doanh nghiệp của khách hàng: thành viên, phòng ban, chức danh, skill, file đính kèm, key và nhật ký MCP. Tổ chức khách hàng là bên kiểm soát và Core Skill chỉ xử lý dữ liệu này theo chỉ dẫn của họ, theo Phụ lục xử lý dữ liệu. Nếu bạn là thành viên đang hỏi về phần dữ liệu này, hãy liên hệ tổ chức của bạn trước: họ là bên quyết định, và Core Skill sẽ hỗ trợ họ trả lời.
2. Thu thập những gì
| Nhóm | Ví dụ | Nguồn |
|---|---|---|
| Tài khoản | Tên, email, mật khẩu (chỉ lưu dưới dạng bản băm bcrypt), ngôn ngữ, vai trò hệ thống. | Bạn, lúc đăng ký |
| Hồ sơ đồng ý | Bạn đã chấp nhận phiên bản nào của Điều khoản và chính sách này, vào lúc nào, và bạn có đồng ý nhận email tiếp thị hay không. | Bạn, lúc đăng ký và trong phần cài đặt |
| Bảo mật | Secret hai lớp (đã mã hóa), bản băm của mã dự phòng, mã xác minh dùng một lần (chỉ bản băm), các lượt thử đăng nhập, mốc thu hồi phiên. | Bạn, và hệ thống |
| Đăng nhập qua bên thứ ba | Nếu bạn chọn đăng nhập bằng Google hoặc Facebook: tên, email và mã định danh tài khoản của bạn tại nhà cung cấp đó. | Nhà cung cấp bạn chọn |
| Thành viên | Các doanh nghiệp bạn thuộc về, vai trò, phòng ban, chức vụ, cấp bậc và chức danh tự do của bạn, và tư cách thành viên có đang hoạt động hay không. | Tổ chức của bạn |
| Key | Tiền tố của key, bản băm của key, tên key, người phát, ngày hết hạn và ngày thu hồi. Không bao giờ lưu key thật. | Hệ thống tự sinh |
| Nhật ký sử dụng MCP | Địa chỉ IP, tên client và user agent, thời điểm, tool được gọi, trạng thái, thời lượng, tóm tắt ngắn về yêu cầu, cùng thành viên và phòng ban tại thời điểm gọi. | Sinh ra ở mỗi lượt gọi |
| Nội dung của khách hàng | Skill, file đính kèm, tên server và phòng ban. Những thứ này có thể chứa dữ liệu cá nhân nếu tổ chức đưa vào. | Tổ chức của bạn |
| Thanh toán | Khi mua gói trả phí: đơn hàng, số tiền, đơn vị tiền tệ, gói, tên và email người thanh toán, và mã giao dịch của nhà cung cấp thanh toán. Không lưu số thẻ đầy đủ. | Bạn, và nhà cung cấp thanh toán |
| Kỹ thuật và thư từ | Địa chỉ IP và dữ liệu trình duyệt trong nhật ký máy chủ và nhật ký bảo mật, các cookie mô tả trong Chính sách cookie, và thư bạn gửi bộ phận hỗ trợ. | Trình duyệt của bạn, và bạn |
3. Những gì cố ý không thu thập
- Không có dữ liệu thẻ thanh toán. Thông tin thẻ và tài khoản ngân hàng được nhập tại nhà cung cấp thanh toán, không phải tại CoreSkill.
- Không có hồ sơ quảng cáo hay hành vi. Ứng dụng không có pixel quảng cáo, không có bộ công cụ phân tích của bên thứ ba và không có công cụ ghi lại phiên làm việc.
- Không có mật khẩu hay key ở dạng chữ thường. Cả hai chỉ được lưu dưới dạng bản băm, nên key bị mất chỉ có thể thay, không thể khôi phục.
- Không yêu cầu dữ liệu thuộc nhóm đặc biệt. CoreSkill không bao giờ hỏi dữ liệu về sức khỏe, sinh trắc học, chính trị, tôn giáo hay các loại tương tự. Nếu một tổ chức đưa dữ liệu như vậy vào skill, họ tự chịu trách nhiệm và chịu sự điều chỉnh của Phụ lục xử lý dữ liệu.
- Không có nội dung cuộc trò chuyện với AI của bạn. CoreSkill thấy skill nào được yêu cầu, chứ không thấy bạn và trợ lý của mình trao đổi gì sau đó.
4. Mục đích và căn cứ pháp lý
Khi Quy định chung về bảo vệ dữ liệu của EU hoặc Vương quốc Anh (GDPR) được áp dụng, Core Skill dựa trên các căn cứ pháp lý tại Điều 6 như bảng dưới. Khi luật khác, như pháp luật về bảo vệ dữ liệu cá nhân của Việt Nam, yêu cầu sự đồng ý cho một mục đích, sự đồng ý đó được lấy lúc bạn đăng ký hoặc trước khi việc xử lý bắt đầu.
| Mục đích | Dữ liệu sử dụng | Căn cứ pháp lý |
|---|---|---|
| Tạo và duy trì tài khoản, đăng nhập cho bạn, chuyển skill tới các key hợp lệ | Tài khoản, bảo mật, thành viên, key, nội dung của khách hàng | Hợp đồng (Điều 6(1)(b)), và sự đồng ý của bạn khi luật địa phương yêu cầu |
| Gửi email dịch vụ: mã xác minh, cảnh báo bảo mật, lời mời, key, thông báo thanh toán và pháp lý | Tên, email, ngôn ngữ | Hợp đồng (Điều 6(1)(b)); các email này là một phần của dịch vụ |
| Giữ an toàn cho dịch vụ: giới hạn tần suất, nhật ký sử dụng, nhật ký kiểm toán, phát hiện lạm dụng và gian lận | Nhật ký sử dụng MCP, bảo mật, dữ liệu kỹ thuật | Lợi ích chính đáng (Điều 6(1)(f)) trong việc bảo vệ dịch vụ và người dùng |
| Xử lý thanh toán và lưu sổ sách kế toán | Thanh toán, tài khoản | Hợp đồng (Điều 6(1)(b)) và nghĩa vụ pháp lý (Điều 6(1)(c)) |
| Tính năng tùy chọn: đăng nhập qua bên thứ ba, email tiếp thị | Đăng nhập qua bên thứ ba, tên, email | Sự đồng ý (Điều 6(1)(a)), bạn có thể rút lại bất cứ lúc nào |
| Đáp ứng yêu cầu hợp pháp và xác lập hoặc bảo vệ quyền lợi trong tranh chấp pháp lý | Chỉ những gì yêu cầu hoặc tranh chấp đó cần | Nghĩa vụ pháp lý (Điều 6(1)(c)) hoặc lợi ích chính đáng (Điều 6(1)(f)) |
| Hiểu dịch vụ vận hành ra sao, bằng số liệu thống kê tổng hợp không nhận diện được ai | Nhật ký sử dụng MCP, dữ liệu kỹ thuật | Lợi ích chính đáng (Điều 6(1)(f)) trong việc cải thiện dịch vụ |
5. Sự đồng ý của bạn khi đăng ký
Khi tạo tài khoản, bạn được yêu cầu xác nhận những gì mình đồng ý bằng các ô đánh dấu riêng biệt. Core Skill ghi lại phiên bản tài liệu bạn đã chấp nhận và thời điểm chấp nhận.
- Điều khoản và chính sách này. Bạn chấp nhận Điều khoản sử dụng và xác nhận đã đọc Chính sách quyền riêng tư này. Không có xác nhận này thì không tạo được tài khoản.
- Tên và email của bạn được lưu lại để CoreSkill tạo tài khoản, đăng nhập cho bạn, giúp tổ chức của bạn nhận ra bạn và liên hệ với bạn về tài khoản.
- Email dịch vụ là cần thiết cho dịch vụ và không phụ thuộc vào sự đồng ý nhận tiếp thị: mã dùng một lần, thông báo bảo mật, lời mời, key được phát cho bạn, thông báo thanh toán và thông báo thay đổi các văn bản này. Bạn không thể tắt chúng khi tài khoản còn tồn tại.
- Không có email tiếp thị hay quảng cáo nào được gửi khi chưa có sự đồng ý riêng, do bạn chủ động chọn. Hiện tại CoreSkill hoàn toàn không gửi email tiếp thị. Nếu sau này thay đổi, bạn sẽ được hỏi trước, lựa chọn đó không bao giờ được chọn sẵn, và từ chối không ảnh hưởng gì tới việc bạn dùng CoreSkill.
- Bạn có thể rút lại sự đồng ý bất cứ lúc nào: bấm liên kết hủy đăng ký có trong mọi email tiếp thị, hoặc gửi thư tới [email protected]. Việc rút lại không ảnh hưởng tới việc xử lý đã diễn ra trước đó, và rút lại sự đồng ý với Điều khoản đồng nghĩa với việc đóng tài khoản.
6. Ai nhận dữ liệu
Core Skill không bán dữ liệu cá nhân và không chia sẻ nó cho mục đích quảng cáo theo hành vi. Dữ liệu cá nhân chỉ được tiết lộ cho các nhóm bên nhận dưới đây, mỗi bên đều bị ràng buộc bằng hợp đồng chỉ được xử lý cho đúng chức năng đã nêu và phải bảo vệ dữ liệu.
| Bên nhận | Chức năng | Dữ liệu liên quan |
|---|---|---|
| Hạ tầng lưu trữ đám mây | Lưu trữ ứng dụng, cơ sở dữ liệu và bản sao lưu trên hạ tầng đám mây uy tín. | Mọi dữ liệu được lưu, ở tầng hạ tầng, được mã hóa khi truyền. |
| Dịch vụ mạng và bảo mật | Dịch vụ tên miền, phân phối nội dung, TLS và chống tấn công. | Siêu dữ liệu truy cập như địa chỉ IP, URL được yêu cầu và user agent. |
| Gửi email | Gửi email dịch vụ như mã xác minh, lời mời, key và thông báo. | Địa chỉ người nhận, tên và nội dung thư. |
| Nhà cung cấp đăng nhập | Google hoặc Facebook, chỉ khi bạn chọn đăng nhập bằng họ. | Dữ liệu trao đổi trong lượt đăng nhập đó. |
| Nhà cung cấp thanh toán | SePay (VND) và PayPal (USD), chỉ khi có mua gói trả phí. | Mã đơn hàng, số tiền và thông tin người thanh toán cần để hoàn tất giao dịch. |
| Cố vấn, cơ quan nhà nước và bên kế thừa | Luật sư và kiểm toán viên có nghĩa vụ bảo mật; cơ quan nhà nước đưa ra yêu cầu hợp pháp; bên kế thừa trong một vụ sáp nhập hay mua lại. | Chỉ những gì cần cho mục đích đó. |
Danh sách bên xử lý phụ hiện hành, kèm quốc gia nơi mỗi bên xử lý dữ liệu, luôn được cập nhật và được cung cấp theo yêu cầu qua [email protected]. Khách hàng được thông báo về các thay đổi như mô tả trong Phụ lục xử lý dữ liệu.
7. Chuyển dữ liệu ra nước ngoài
CoreSkill phục vụ khách hàng trên toàn thế giới, nên dữ liệu cá nhân có thể được xử lý ở những quốc gia khác với nơi bạn sống, kể cả những quốc gia có luật bảo vệ dữ liệu khác với luật của bạn. Khi pháp luật yêu cầu, Core Skill áp dụng các biện pháp bảo đảm phù hợp, như Điều khoản hợp đồng tiêu chuẩn của Ủy ban châu Âu, Phụ lục chuyển dữ liệu quốc tế của Vương quốc Anh, hoặc dựa trên quyết định về mức độ bảo vệ tương xứng, và hoàn tất mọi đánh giá hay hồ sơ chuyển dữ liệu mà luật áp dụng yêu cầu. Bạn có thể yêu cầu bản sao các biện pháp bảo đảm liên quan qua [email protected].
8. Lưu trữ bao lâu
| Dữ liệu | Lưu trong | Sau đó |
|---|---|---|
| Tài khoản | Chừng nào tài khoản còn tồn tại. | Bị xóa khi bạn xóa tài khoản, theo chu kỳ sao lưu bên dưới. |
| Nội dung doanh nghiệp: skill, file, thành viên, phòng ban | Chừng nào doanh nghiệp còn tồn tại. | Xóa doanh nghiệp là xóa ngay toàn bộ, và không thể hoàn tác. |
| Nhật ký sử dụng MCP | Thời hạn lưu do quản trị viên hệ thống đặt, mặc định 90 ngày. | Tự động xóa bởi một tác vụ định kỳ. |
| Mã xác minh qua email | 10 phút. | Bị xóa khi dùng hoặc khi hết hạn. |
| Lời mời | 7 ngày, dùng một lần. | Tự hết hạn và có thể bị thu hồi sớm hơn. |
| Hồ sơ đồng ý | Chừng nào tài khoản còn tồn tại, và sau đó trong thời gian cần thiết để chứng minh sự đồng ý đã được đưa ra. | Bị xóa khi không còn cần làm bằng chứng. |
| Hồ sơ thanh toán | Theo thời hạn luật kế toán và thuế yêu cầu, kể cả sau khi doanh nghiệp đã bị xóa. | Bị xóa khi hết thời hạn luật định. |
| Bản sao lưu | Tối đa 14 ngày, cuốn chiếu. | Tự động bị ghi đè khi hết hạn. |
9. Dữ liệu được bảo vệ ra sao
- Mọi lưu lượng đều được mã hóa khi truyền bằng HTTPS (TLS).
- Mật khẩu được băm bằng bcrypt. Key được lưu dưới dạng bản băm SHA-256 kèm một pepper bí mật và so sánh trong thời gian hằng định, nên một bản sao cơ sở dữ liệu không cho ra mật khẩu hay key nào dùng được.
- Xác thực hai lớp có sẵn cho mọi tài khoản, và secret hai lớp được mã hóa bằng AES-256-GCM.
- Nội dung skill có thể được mã hóa khi lưu bằng AES-256-GCM. Việc này chặn được bản sao lưu bị lộ, ổ đĩa bị lấy hay cơ sở dữ liệu bị đọc trộm.
- Kiểm soát truy cập theo vai trò và phòng ban được đánh giá ở mỗi yêu cầu, và cơ sở dữ liệu không mở ra internet công cộng.
- Nhật ký kiểm toán ghi lại các thao tác quản trị, và giới hạn tần suất bảo vệ đăng nhập, đặt lại mật khẩu và các endpoint MCP.
- Đổi mật khẩu hay đổi vai trò sẽ thu hồi các phiên đang có, và quyền truy cập dữ liệu vận hành của nhân viên được giới hạn ở mức công việc cần.
Nếu xảy ra sự cố vi phạm dữ liệu cá nhân có khả năng ảnh hưởng tới quyền của bạn, Core Skill sẽ thông báo cho các khách hàng bị ảnh hưởng và, khi pháp luật yêu cầu, cho cơ quan giám sát có thẩm quyền, trong thời hạn luật áp dụng quy định (ví dụ, trong vòng 72 giờ theo GDPR), đồng thời giải thích chuyện gì đã xảy ra và bạn có thể làm gì.
10. Quyền của bạn
| Bạn ở đâu | Quyền của bạn |
|---|---|
| Ở mọi nơi | Truy cập và nhận bản sao dữ liệu của mình, chỉnh sửa, yêu cầu xóa, và rút lại sự đồng ý. Phần lớn dữ liệu tài khoản có thể sửa trực tiếp trong Cài đặt. |
| Khu vực Kinh tế châu Âu, Vương quốc Anh, Thụy Sĩ | Theo GDPR: truy cập, chỉnh sửa, xóa, hạn chế xử lý, di chuyển dữ liệu, phản đối việc xử lý dựa trên lợi ích chính đáng, rút lại sự đồng ý, và quyền khiếu nại tới cơ quan giám sát của bạn. |
| California và các bang khác của Hoa Kỳ có luật về quyền riêng tư | Theo CCPA/CPRA và các luật tương tự: được biết dữ liệu nào được thu thập và dùng thế nào, yêu cầu xóa, chỉnh sửa, và từ chối việc bán hay chia sẻ. Core Skill không bán hay chia sẻ thông tin cá nhân, và sẽ không phân biệt đối xử với bạn vì bạn thực hiện bất kỳ quyền nào. |
| Việt Nam | Theo pháp luật về bảo vệ dữ liệu cá nhân của Việt Nam: được biết, đồng ý và rút lại sự đồng ý, truy cập, chỉnh sửa và xóa, hạn chế và phản đối việc xử lý, khiếu nại, tố cáo và khởi kiện, yêu cầu bồi thường thiệt hại, và tự bảo vệ. |
| Các quốc gia khác | Những quyền mà luật địa phương của bạn trao. Core Skill sẽ tôn trọng chúng trong phạm vi luật đó được áp dụng. |
11. Cách thực hiện quyền của bạn
- Gửi thư tới [email protected] từ địa chỉ email của tài khoản, nêu rõ quyền bạn muốn thực hiện.
- Core Skill sẽ xác minh danh tính của bạn trước khi xử lý, để không ai dùng các quyền này để chạm tới dữ liệu của người khác. Bạn có thể dùng người đại diện được ủy quyền khi luật của bạn cho phép.
- Core Skill sẽ phản hồi trong vòng một tháng (có thể gia hạn thêm hai tháng với yêu cầu phức tạp, kèm thông báo) theo GDPR, trong vòng 45 ngày theo CCPA, và trong mọi thời hạn ngắn hơn mà luật địa phương của bạn yêu cầu.
- Yêu cầu được xử lý miễn phí, trừ khi rõ ràng là vô căn cứ hoặc quá mức.
- Nếu yêu cầu liên quan tới dữ liệu bên trong một doanh nghiệp, như tư cách thành viên, key hay các dòng nhật ký MCP của bạn, Core Skill sẽ chuyển nó tới tổ chức khách hàng đang kiểm soát dữ liệu đó và hỗ trợ họ trả lời.
12. Trẻ em
CoreSkill là công cụ cho doanh nghiệp và không hướng tới trẻ em dưới 16 tuổi. Core Skill không cố ý thu thập dữ liệu về trẻ em. Nếu bạn cho rằng một trẻ em đã cung cấp dữ liệu cá nhân, hãy gửi thư tới [email protected] và dữ liệu đó sẽ bị xóa.
13. Ra quyết định tự động
Core Skill không đưa ra quyết định về bạn chỉ dựa trên xử lý tự động, kể cả lập hồ sơ, mà gây ra hệ quả pháp lý hay tác động đáng kể tương tự. Các cơ chế bảo mật tự động, như giới hạn tần suất và chặn key đã thu hồi, chỉ áp dụng quy tắc mà tổ chức của bạn hoặc dịch vụ đã đặt ra, và có thể được một người xem xét lại khi bạn yêu cầu.
14. Thay đổi chính sách này
Khi chính sách này thay đổi, phiên bản mới được công bố tại đây kèm ngày hiệu lực mới. Thay đổi quan trọng được thông báo qua email hoặc trong sản phẩm ít nhất 30 ngày trước khi có thể, và khi pháp luật yêu cầu, bạn sẽ được đề nghị đồng ý lại.
15. Liên hệ
Mọi việc về dữ liệu cá nhân, hãy gửi thư tới [email protected], hoặc qua đường bưu điện tới Core Skill, coreskill.app. Các việc khác, gửi tới [email protected]. Nếu chưa hài lòng với câu trả lời, bạn có thể khiếu nại tới cơ quan bảo vệ dữ liệu nơi bạn sống hoặc làm việc. Chính sách này có hiệu lực từ ngày 22/9/2026.