Chính sách bảo mật

PHẦN I — Chính sách Thu thập Dữ liệu Cá nhân

I.1. Giới thiệu & phạm vi

TaxEasy là nền tảng hỗ trợ hộ kinh doanh (HKD) và cá nhân kinh doanh (CNKD) tại Việt Nam tự động tính thuế (PP1/PP2), lập và nộp tờ khai, quản lý sổ sách kế toán và kết nối hóa đơn điện tử. Phần này mô tả những dữ liệu cá nhân mà TaxEasy thu thập, thu thập bằng cách nào và với mục đích thu thập là gì. Việc bạn đăng ký, truy cập hoặc sử dụng TaxEasy đồng nghĩa với việc bạn đã đọc và hiểu toàn bộ trang này, bao gồm cả Chính sách Lưu trữ, Sử dụng & Chia sẻ Dữ liệu (Phần II) và Điều khoản Dịch vụ (Phần III). Nền tảng pháp lý chung: • Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực 01/01/2026) • Nghị định 356/2025/NĐ-CP (thay thế Nghị định 13/2023/NĐ-CP) • Các quy định chuyên ngành: NĐ 68/2026, NĐ 123/2025, TT 18/2026 • Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15 Tham chiếu cấu trúc quyền chủ thể của GDPR (EU) và cam kết không bán dữ liệu theo tinh thần CCPA (Hoa Kỳ).

I.2. Định nghĩa

• TaxEasy / "chúng tôi": Công ty TNHH Tư vấn Quản lý LUMA (LUMA Consulting LLC), mã số doanh nghiệp 0111403325, trụ sở tại 127 Lò Đúc, Hai Bà Trưng, Hà Nội — đơn vị sở hữu và vận hành nền tảng TaxEasy. • Người dùng / "bạn": HKD, CNKD, đại lý thuế hoặc cá nhân được ủy quyền đăng ký và sử dụng TaxEasy. • Dữ liệu cá nhân: thông tin gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể; bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm theo Luật số 91/2025/QH15. • Dữ liệu nghiệp vụ: dữ liệu thuế, doanh thu, hóa đơn, sổ sách kế toán và các dữ liệu tài chính mà người dùng nhập hoặc tạo ra trong quá trình sử dụng TaxEasy. • Bên thứ ba: tổ chức, cá nhân không phải TaxEasy và người dùng — ví dụ nhà cung cấp chữ ký số, tổ chức phát hành hóa đơn điện tử (TVAN), cổng thanh toán, ngân hàng, cơ quan thuế, nhà cung cấp hạ tầng đám mây và dịch vụ AI.

I.3. Vai trò pháp lý của TaxEasy

Tùy từng loại dữ liệu, TaxEasy có thể giữ một trong hai vai trò: • Bên Kiểm soát dữ liệu: đối với dữ liệu tài khoản và dữ liệu định danh của chính người dùng (họ tên, số điện thoại, email, MST cá nhân…), TaxEasy quyết định mục đích và phương tiện xử lý. • Bên Xử lý dữ liệu: đối với dữ liệu nghiệp vụ mà người dùng (đặc biệt là đại lý thuế) nhập vào để phục vụ khách hàng của họ — bao gồm dữ liệu cá nhân của bên thứ ba trên hóa đơn — TaxEasy xử lý thay mặt và theo chỉ dẫn của người dùng. Người dùng chịu trách nhiệm bảo đảm đã có cơ sở pháp lý hợp lệ để cung cấp dữ liệu đó.

I.4. Các loại dữ liệu thu thập

I.4.1. Dữ liệu định danh & liên hệ (cơ bản) • Họ và tên, tên hộ kinh doanh • Số điện thoại, địa chỉ thư điện tử, Zalo • Địa chỉ kinh doanh / địa chỉ liên hệ • Mã số thuế cá nhân / mã số thuế hộ kinh doanh • Số định danh cá nhân / CCCD (khi cần thiết để định danh người nộp thuế theo quy định) • Ngành nghề kinh doanh, phương pháp tính thuế đã chọn I.4.2. Dữ liệu tài chính & thuế (nhạy cảm) • Doanh thu, dữ liệu sổ sách kế toán • Hóa đơn đầu vào/đầu ra, giá trị và nội dung giao dịch • Tờ khai thuế và dữ liệu kê khai • Thông tin tài khoản/giao dịch thanh toán liên kết ở mức cần thiết để đối soát và xuất hóa đơn Dữ liệu tài chính và thuế được TaxEasy đối xử ở mức bảo vệ cao. Việc xử lý dữ liệu nhạy cảm chỉ thực hiện khi cần thiết cho chức năng cốt lõi và trên cơ sở pháp lý phù hợp (xem Mục I.6). I.4.3. Dữ liệu chứng thư số / xác thực • Thông tin liên kết chữ ký số phục vụ ký hóa đơn/tờ khai — TaxEasy không lưu khóa bí mật của chứng thư số • Thông tin đăng nhập nền tảng (tên đăng nhập, mật khẩu đã băm, mã OTP, phiên đăng nhập) I.4.4. Dữ liệu của bên thứ ba trên chứng từ Hóa đơn, chứng từ mà người dùng tải lên có thể chứa dữ liệu cá nhân của bên thứ ba (tên, MST, địa chỉ của khách hàng hoặc nhà cung cấp của người dùng). TaxEasy xử lý dữ liệu này với vai trò Bên Xử lý theo Mục I.3. I.4.5. Dữ liệu kỹ thuật & sử dụng (tự động) • Địa chỉ IP, loại thiết bị, hệ điều hành, trình duyệt, cài đặt ngôn ngữ • Nhật ký hoạt động (log), thời điểm truy cập, thao tác trên nền tảng • Dữ liệu cookie và công nghệ tương tự phục vụ đăng nhập, bảo mật và cải thiện trải nghiệm

I.5. Nguồn & cách thức thu thập

Bạn cung cấp trực tiếp khi đăng ký, thiết lập hồ sơ, nhập liệu: → Định danh, liên hệ, MST, ngành nghề, doanh thu, dữ liệu sổ sách Chụp/tải hóa đơn → OCR & AI trích xuất: → Số tiền, MST, ngành hàng và các trường trên hóa đơn (xem Mục I.7) Kết nối tích hợp bên thứ ba (TVAN, CA, ngân hàng, cổng thanh toán, cơ quan thuế): → Trạng thái hóa đơn/tờ khai, dữ liệu đối soát giao dịch, xác thực chứng thư số Tự động khi bạn truy cập web/app: → Dữ liệu kỹ thuật, log, cookie Kênh hỗ trợ (Zalo OA, email, tổng đài, biểu mẫu liên hệ): → Nội dung trao đổi, yêu cầu hỗ trợ

I.6. Cơ sở pháp lý để thu thập

TaxEasy chỉ thu thập và xử lý dữ liệu cá nhân khi có ít nhất một trong các cơ sở pháp lý sau (theo Luật số 91/2025/QH15; đối chiếu Điều 6 GDPR): • Sự đồng ý của chủ thể dữ liệu: Nhận thông tin tiếp thị; xử lý dữ liệu nhạy cảm ngoài phạm vi bắt buộc • Thực hiện hợp đồng với người dùng: Cung cấp chức năng tính thuế, lập tờ khai, xuất hóa đơn • Tuân thủ nghĩa vụ pháp lý: Lưu trữ chứng từ, kê khai thuế, cung cấp thông tin cho cơ quan thuế theo quy định • Lợi ích hợp pháp của TaxEasy: Bảo mật hệ thống, phòng chống gian lận, cải thiện dịch vụ (không lấn át quyền của bạn)

I.7. Xử lý bằng AI/OCR & loại bỏ PII

TaxEasy sử dụng công nghệ nhận dạng ký tự quang học (OCR) và mô hình ngôn ngữ (AI/LLM) để trích xuất thông tin từ hóa đơn, giúp tự động điền sổ sách. Chúng tôi áp dụng các nguyên tắc minh bạch sau: • Loại bỏ PII trước khi gọi AI: dữ liệu cá nhân trực tiếp không cần thiết cho việc trích xuất được lược bỏ/che (PII strip) trước khi gửi tới dịch vụ mô hình ngôn ngữ. • Kiểm soát của người dùng: kết quả AI trích xuất luôn được hiển thị để bạn kiểm tra và xác nhận; hệ thống không tự động ra quyết định có hệ quả pháp lý mà không có sự kiểm soát của con người. • Chuyển dữ liệu ra nước ngoài: trường hợp dịch vụ AI/hạ tầng đặt ngoài lãnh thổ Việt Nam, TaxEasy chỉ chuyển dữ liệu đã được loại bỏ danh tính; nếu có chuyển dữ liệu cá nhân ra nước ngoài, việc chuyển sẽ tuân thủ quy định về chuyển dữ liệu xuyên biên giới của Luật số 91/2025/QH15 (bao gồm lập Hồ sơ đánh giá tác động khi được yêu cầu).

I.8. Nguyên tắc tối thiểu hóa dữ liệu

Chúng tôi chỉ yêu cầu những dữ liệu cá nhân liên quan trực tiếp đến chức năng cốt lõi của TaxEasy. Chúng tôi không yêu cầu thông tin không cần thiết như một điều kiện bắt buộc để sử dụng dịch vụ, phù hợp với nguyên tắc tối thiểu hóa dữ liệu của pháp luật Việt Nam và yêu cầu của các nền tảng phân phối ứng dụng.

I.9. Dữ liệu của trẻ em / người chưa thành niên

TaxEasy hướng tới người nộp thuế và không dành cho người dưới 16 tuổi. Chúng tôi không cố ý thu thập dữ liệu của trẻ em. Trường hợp phát hiện đã thu thập dữ liệu của trẻ em mà không có sự đồng ý của cha, mẹ hoặc người giám hộ theo quy định, chúng tôi sẽ xóa dữ liệu đó trong thời gian sớm nhất. Nếu bạn cho rằng chúng tôi đang giữ dữ liệu của trẻ em, vui lòng liên hệ theo Mục Liên hệ ở cuối trang.

I.10. Đồng ý & rút lại đồng ý

• Khi dữ liệu được thu thập trên cơ sở sự đồng ý, sự đồng ý được thể hiện rõ ràng, tự nguyện và có thể phân tách theo từng mục đích. • Bạn có quyền rút lại sự đồng ý bất kỳ lúc nào. Việc rút lại không ảnh hưởng tới tính hợp pháp của hoạt động xử lý đã thực hiện trước thời điểm rút lại. • Việc rút lại đồng ý đối với dữ liệu cần thiết cho chức năng cốt lõi có thể khiến một phần hoặc toàn bộ dịch vụ không thể tiếp tục cung cấp. • Cách thực hiện quyền (bao gồm truy cập, chỉnh sửa, xóa) được mô tả tại Mục II.9.

PHẦN II — Chính sách Lưu trữ, Sử dụng & Chia sẻ Dữ liệu

II.1. Giới thiệu & phạm vi

Phần này mô tả cách TaxEasy lưu trữ, sử dụng và chia sẻ dữ liệu cá nhân sau khi thu thập, cũng như quyền của bạn đối với dữ liệu đó; cần được đọc cùng Phần I và Phần III.

II.2. Mục đích sử dụng dữ liệu

TaxEasy sử dụng dữ liệu cá nhân của bạn cho các mục đích sau: Cung cấp dịch vụ cốt lõi: • Tính thuế PP1/PP2; lập & nộp tờ khai; ghi sổ kế toán. • Xuất và ký hóa đơn điện tử; đối soát thanh toán. Vận hành & hỗ trợ: • Xác thực đăng nhập; nhắc hạn nộp tờ khai; chăm sóc khách hàng; xử lý khiếu nại, sự cố. Tuân thủ pháp luật: • Lưu trữ chứng từ; cung cấp thông tin cho cơ quan thuế/nhà nước có thẩm quyền; lập báo cáo theo quy định. Bảo mật & toàn vẹn: • Phòng chống gian lận, truy cập trái phép; ghi nhật ký kiểm toán. Cải thiện sản phẩm: • Phân tích, thống kê ẩn danh nhằm nâng cao chất lượng và trải nghiệm. Tiếp thị (chỉ khi có đồng ý): • Giới thiệu tính năng, ưu đãi qua email/Zalo — bạn có thể từ chối bất kỳ lúc nào. TaxEasy không sử dụng dữ liệu của bạn cho mục đích khác với các mục đích nêu trên nếu chưa có cơ sở pháp lý phù hợp hoặc chưa được bạn đồng ý.

II.3. Lưu trữ & lưu trú dữ liệu tại Việt Nam

Lưu trú dữ liệu: • Dữ liệu cá nhân và dữ liệu nghiệp vụ của người dùng được lưu trữ trên hạ tầng đặt tại Việt Nam, phù hợp yêu cầu về nội địa hóa dữ liệu theo pháp luật an ninh mạng và Nghị định 53/2023/NĐ-CP. Phân tách dữ liệu đa người thuê: • Với đại lý thuế quản lý nhiều HKD, dữ liệu mỗi HKD được cô lập logic bằng cơ chế phân quyền hàng dữ liệu (Row-Level Security). Sao lưu: • Dữ liệu được sao lưu định kỳ để phục hồi khi có sự cố; bản sao lưu áp dụng cùng mức bảo mật với dữ liệu gốc.

II.4. Biện pháp bảo mật

• Mã hóa: dữ liệu được mã hóa khi truyền (TLS/SSL) và mã hóa các trường nhạy cảm khi lưu trữ (pgcrypto). • Chuỗi băm bất biến: mỗi giao dịch tạo một mắt xích trong chuỗi băm SHA-256 kèm dấu thời gian (timestamp RFC 3161), phục vụ kiểm toán và chứng minh tính toàn vẹn. • Kiểm soát truy cập: phân quyền theo vai trò, phân quyền hàng dữ liệu (Row-Level Security), nhật ký truy cập. • Nguyên tắc chung: không hệ thống nào an toàn tuyệt đối; chúng tôi áp dụng các biện pháp kỹ thuật và tổ chức phù hợp nhưng không thể cam kết an toàn 100%. Bạn có trách nhiệm bảo mật thông tin đăng nhập, mã OTP và thiết bị của mình.

II.5. Chia sẻ với bên thứ ba

TaxEasy chỉ chia sẻ dữ liệu trong phạm vi cần thiết để cung cấp dịch vụ và tuân thủ pháp luật, với các nhóm đối tượng sau: • Các tổ chức phát hành hóa đơn điện tử / TVAN có kết nối với TaxEasy: Dữ liệu hóa đơn để phát hành, ký và truyền nhận. • Các nhà cung cấp dịch vụ chữ ký số: Dữ liệu cần thiết để ký số tờ khai/hóa đơn. • Ngân hàng và trung gian/cổng thanh toán liên kết: Đối soát giao dịch, thu hộ, xuất hóa đơn theo yêu cầu của bạn. • Cơ quan thuế / cơ quan nhà nước có thẩm quyền: Nộp tờ khai và cung cấp thông tin theo quy định pháp luật. • Nhà cung cấp hạ tầng đám mây & dịch vụ AI/OCR: Lưu trữ và xử lý kỹ thuật; dữ liệu đã loại bỏ PII trước khi gửi tới dịch vụ AI (xem Mục II.6). • Đơn vị tư vấn, kiểm toán, pháp lý (khi cần): Trong phạm vi và nghĩa vụ bảo mật tương ứng. Danh sách đối tác cụ thể có thể thay đổi theo thời gian. TaxEasy cập nhật khi cần và cung cấp thông tin về các đối tác đang kết nối theo yêu cầu hợp lệ của bạn. Cam kết bảo vệ tương đương: Mọi bên thứ ba được TaxEasy chia sẻ dữ liệu đều bị ràng buộc bằng hợp đồng/thỏa thuận yêu cầu áp dụng mức bảo vệ dữ liệu tương đương hoặc cao hơn mức nêu trong Chính sách này và theo quy định pháp luật.

II.6. Chuyển dữ liệu ra nước ngoài

TaxEasy ưu tiên xử lý và lưu trữ dữ liệu trong nước. Trường hợp một số dịch vụ kỹ thuật (ví dụ mô hình AI) được cung cấp từ ngoài lãnh thổ Việt Nam: • Dữ liệu gửi đi được loại bỏ danh tính/PII ở mức tối đa có thể. • Nếu có chuyển dữ liệu cá nhân ra nước ngoài, TaxEasy tuân thủ quy định về chuyển dữ liệu xuyên biên giới tại Luật số 91/2025/QH15, bao gồm việc lập và lưu Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài khi được yêu cầu.

II.7. Thời hạn lưu trữ

Thời hạn lưu trữ của TaxEasy được neo theo hợp đồng dịch vụ, không phải nghĩa vụ lưu trữ độc lập. Cụ thể: Dữ liệu nghiệp vụ của bạn (chứng từ, sổ sách, hóa đơn, tờ khai): • Ai chịu nghĩa vụ lưu theo luật: Bạn (người nộp thuế) — theo Luật Kế toán, thường 5–10 năm tùy loại tài liệu. • TaxEasy lưu bao lâu: Trong thời gian hợp đồng dịch vụ còn hiệu lực. TaxEasy giữ hộ với vai trò Bên Xử lý — như một tính năng của dịch vụ (có thể có phí), không phải nghĩa vụ luật định của TaxEasy. Dữ liệu tài khoản người dùng: • TaxEasy (Bên Kiểm soát) lưu trong thời gian bạn sử dụng dịch vụ + thời gian chuyển tiếp hợp lý sau khi chấm dứt. Hóa đơn/hợp đồng dịch vụ giữa bạn và TaxEasy: • TaxEasy (nghĩa vụ kế toán, thuế của chính LUMA) lưu theo thời hạn luật định áp dụng cho LUMA. Nhật ký kỹ thuật: • Theo yêu cầu bảo mật và quy định pháp luật. Nghĩa vụ lưu trữ dài hạn (5–10 năm) thuộc về bạn với tư cách người nộp thuế, không phải của TaxEasy. Khi chấm dứt dịch vụ, TaxEasy cho phép bạn trích xuất (export) toàn bộ dữ liệu để tự lưu theo nghĩa vụ của mình. Sau thời gian chuyển tiếp 30–90 ngày, dữ liệu nghiệp vụ sẽ được xóa khỏi hệ thống, trừ khi (i) bạn đăng ký gói lưu trữ mở rộng có phí để TaxEasy tiếp tục giữ hộ, hoặc (ii) pháp luật yêu cầu tiếp tục lưu. Khi hết thời hạn hoặc mục đích xử lý đã hoàn thành, dữ liệu được xóa hoặc ẩn danh, trừ trường hợp pháp luật yêu cầu tiếp tục lưu trữ.

II.8. Cam kết không bán dữ liệu

TaxEasy không bán, không cho thuê và không trao đổi dữ liệu cá nhân của bạn để nhận đối giá. Chúng tôi cũng không chia sẻ dữ liệu cho bên thứ ba nhằm mục đích quảng cáo chéo (cross-context behavioral advertising). Cam kết này phù hợp với tinh thần quyền "không bán/không chia sẻ dữ liệu" của CCPA (California, Hoa Kỳ) và nguyên tắc bảo vệ dữ liệu của pháp luật Việt Nam.

II.9. Quyền của bạn & cách thực hiện

Theo Luật số 91/2025/QH15 (đối chiếu quyền chủ thể dữ liệu của GDPR), bạn có các quyền: 1. Quyền được biết về hoạt động xử lý dữ liệu của mình. 2. Quyền đồng ý và rút lại sự đồng ý. 3. Quyền truy cập và nhận bản sao dữ liệu. 4. Quyền chỉnh sửa dữ liệu không chính xác. 5. Quyền xóa dữ liệu — lưu ý: chứng từ thuế/kế toán là tài liệu bạn có nghĩa vụ tự lưu theo luật, vì vậy chúng tôi khuyến nghị bạn trích xuất trước khi yêu cầu xóa; một số dữ liệu TaxEasy buộc phải giữ theo quy định pháp luật. 6. Quyền hạn chế và phản đối xử lý. 7. Quyền yêu cầu cung cấp/chuyển dữ liệu cho bên khác. 8. Quyền khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường theo quy định. Cách thực hiện: gửi yêu cầu qua info@lumaconsulting.vn, trong phần cài đặt tài khoản trên portal.taxeasy.vn, hoặc qua taxeasy.vn/contact. Chúng tôi có thể cần xác minh danh tính trước khi xử lý và sẽ phản hồi trong thời hạn pháp luật quy định. Rút đồng ý hoặc yêu cầu xóa đối với dữ liệu cần thiết cho chức năng cốt lõi có thể dẫn tới việc dịch vụ không được cung cấp đầy đủ. Ngoài ra, trong trường hợp bạn là người tiêu dùng theo Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15, bạn còn được hưởng các quyền bảo vệ thông tin, khiếu nại và yêu cầu bồi thường theo luật này và Nghị định 55/2024/NĐ-CP.

II.10. Sự cố & thông báo vi phạm

Trường hợp xảy ra sự cố an toàn thông tin dẫn tới lộ, mất hoặc truy cập trái phép dữ liệu cá nhân, TaxEasy sẽ áp dụng biện pháp khắc phục, thông báo cho cơ quan chức năng có thẩm quyền và thông báo cho người dùng bị ảnh hưởng theo thời hạn và cách thức mà pháp luật quy định.

II.11. Thay đổi chính sách

Trang này có thể được cập nhật theo từng thời kỳ. Phiên bản mới sẽ được đăng tại taxeasy.vn/privacy kèm ngày hiệu lực. Với thay đổi trọng yếu, chúng tôi sẽ thông báo qua kênh phù hợp (email/Zalo/thông báo trong ứng dụng) và, khi pháp luật yêu cầu, xin lại sự đồng ý của bạn. Việc bạn tiếp tục sử dụng dịch vụ sau khi cập nhật đồng nghĩa với việc chấp nhận phiên bản mới.

Liên hệ

CÔNG TY TNHH TƯ VẤN QUẢN LÝ LUMA (LUMA Consulting LLC) • Mã số doanh nghiệp: 0111403325 • Đầu mối bảo vệ dữ liệu (DPO): info@lumaconsulting.vn • Địa chỉ: 127 Lò Đúc, Hai Bà Trưng, Hà Nội • Website: taxeasy.vn/contact