Chính sách bảo mật

1. Chúng tôi là ai

Dịch vụ Trano AI (trano.ai, app.trano.ai và các trang do người dùng tạo trên trano.page hoặc tên miền riêng) do CÔNG TY TNHH CÔNG NGHỆ VÀ GIẢI PHÁP SỐ TRANO ("Trano", "chúng tôi") cung cấp.

• Mã số doanh nghiệp / MST: 0319730113 — cấp ngày 01/10/2026 tại Phòng Đăng ký kinh doanh Thành phố Hồ Chí Minh
• Tên tiếng Anh: Trano Technology and Digital Solutions Company Limited (Trano Tech Co., Ltd)
• Địa chỉ: B199A Đường Đông Hưng Thuận 13, Khu phố 25, Phường Đông Hưng Thuận, Thành phố Hồ Chí Minh, Việt Nam
• Người đại diện theo pháp luật: Lê Quốc Hoàng — Giám đốc
• Liên hệ về dữ liệu cá nhân: privacy@trano.ai

2. Chính sách này áp dụng cho ai

Trano xử lý dữ liệu của ba nhóm người, với vai trò khác nhau:

3. Dữ liệu chúng tôi thu thập từ người dùng Trano

Trano không yêu cầu và không cần dữ liệu cá nhân nhạy cảm (sức khoẻ, tôn giáo, sinh trắc học, tài chính cá nhân…). Vui lòng không nhập các dữ liệu này vào mô tả ý tưởng hoặc nội dung trang.

4. Mục đích sử dụng

5. Trí tuệ nhân tạo (AI)

• Để tạo và chỉnh sửa trang, Trano gửi mô tả ý tưởng, thông tin doanh nghiệp bạn nhập và nội dung trò chuyện với AI tới nhà cung cấp mô hình AI (mục 8).
• Trước khi gửi tới nhà cung cấp AI, số điện thoại và email trong văn bản bạn nhập (mô tả, thông tin doanh nghiệp, tin nhắn với AI) được thay bằng mã tạm — AI không nhận số điện thoại, email thật trong văn bản đó. Tên người, địa chỉ viết trong văn bản không được che.
• Trano không gửi dữ liệu khách truy cập trang của bạn (thông tin form, lead) tới nhà cung cấp AI.
• Ảnh bạn tải lên (ảnh trên trang, logo) được gửi nguyên vẹn tới nhà cung cấp AI (DeepSeek — mục 8) để tự động kiểm tra nội dung vi phạm; ảnh không được che hay làm mờ. Vui lòng không tải lên ảnh có giấy tờ tuỳ thân, số điện thoại, địa chỉ hay thông tin cá nhân khác.
• Trano không dùng nội dung của bạn để huấn luyện mô hình AI.
• Việc tạo nội dung là xử lý tự động: AI đề xuất nội dung từ thông tin bạn nhập, không ra quyết định ảnh hưởng tới quyền lợi của bạn. Bạn có thể không dùng AI (tự soạn nội dung hoặc dùng mẫu có sẵn) và không nên nhập dữ liệu cá nhân vào mô tả (Nghị định 356/2025/NĐ-CP Điều 10.3).
• Nội dung do AI tạo có thể chưa chính xác; bạn chịu trách nhiệm kiểm tra trước khi xuất bản.

6. Cookie và lưu trữ trên trình duyệt

Ứng dụng và trang giới thiệu Trano không dùng cookie quảng cáo hay công cụ phân tích của bên thứ ba, nên không cần hỏi bạn đồng ý cookie. Trano dùng:

Bạn có thể xoá hoặc chặn dữ liệu này trong cài đặt trình duyệt (xoá cả lựa chọn đã mở khung chat); khi đó một số tính năng (đăng nhập) sẽ không hoạt động.

7. Dữ liệu của khách truy cập trang do người dùng tạo

Phần này dành cho người xem và người điền form trên trang do người dùng Trano tạo (ví dụ: trang của một tiệm spa).

• Ai chịu trách nhiệm: chủ trang (người dùng Trano) là bên kiểm soát dữ liệu của bạn. Trano lưu trữ và chuyển dữ liệu theo chỉ dẫn của chủ trang, không dùng cho mục đích riêng của Trano. Để xem, sửa, xoá dữ liệu hoặc rút đồng ý, hãy liên hệ chủ trang; Trano sẽ hỗ trợ chủ trang thực hiện. Nếu không liên hệ được chủ trang, gửi yêu cầu tới privacy@trano.ai.
• Dữ liệu được lưu khi bạn gửi form: họ tên, số điện thoại, email, lời nhắn, các ô khác trong form (ví dụ ngày giờ đặt lịch, chi nhánh, địa chỉ nhận hàng), trang và nguồn quảng cáo bạn đến từ, thời điểm và nội dung câu đồng ý (nếu form có ô đồng ý), địa chỉ IP dạng đã mã hoá một chiều để chống spam.
• Khi bạn chỉ xem trang: Trano đếm lượt xem theo ngày, không đặt cookie theo dõi. Để không đếm trùng, một mã tạm suy ra từ IP và trình duyệt được giữ tối đa 30 phút rồi tự xoá. Nếu chủ trang chạy thử nghiệm 2 phiên bản trang, một cookie _trano_ab_… giữ phiên bản bạn đã xem trong 30 ngày.
• Thông tin được gửi tới chủ trang qua kênh chủ trang chọn: email, Telegram, Slack, Discord, Google Sheets, Zalo, Zapier / Make hoặc webhook khác. Các kênh này do chủ trang cấu hình và chịu trách nhiệm.
• Dịch vụ bên thứ ba trên trang: trang tải phông chữ từ Google Fonts; khi chủ trang dùng ảnh từ thư viện Unsplash, trình duyệt của bạn tải ảnh trực tiếp từ máy chủ Unsplash (images.unsplash.com) — trình duyệt gửi địa chỉ IP của bạn tới các dịch vụ này. Chủ trang có thể tự thêm công cụ đo lường (Google Analytics, Google Tag Manager, Facebook Pixel, TikTok Pixel, Cloudflare Web Analytics), mã tuỳ chỉnh hoặc nội dung nhúng (bản đồ, video) — các dịch vụ này thu dữ liệu theo chính sách riêng của họ, chủ trang chịu trách nhiệm thông báo và xin đồng ý khi luật yêu cầu. Trano cung cấp sẵn tuỳ chọn hỏi bạn đồng ý trước khi bật công cụ đo lường (mặc định bật khi chủ trang gắn công cụ đo lường mới): khi bật, trang hiện một dòng nhỏ ở đáy với nút Đồng ý / Từ chối, công cụ đo lường chỉ chạy sau khi bạn đồng ý và lựa chọn được nhớ trên trình duyệt của bạn. Tuỳ chọn này không áp dụng cho mã tuỳ chỉnh chủ trang tự thêm.
• Trang demo: Trano có thể dựng thử một trang demo cho một cơ sở kinh doanh để giới thiệu dịch vụ (mục 16); trang có dòng chữ "Bản demo". Trang demo không đưa lên kết quả tìm kiếm (noindex) và form trên trang chỉ chạy thử — thông tin bạn nhập không được lưu và không gửi tới ai.
• Thời gian lưu: do chủ trang quyết định; dữ liệu bị xoá khi chủ trang xoá thông tin đó hoặc xoá trang (mục 10).

8. Bên nhận dữ liệu

Trano không bán dữ liệu cá nhân. Trano chỉ chia sẻ dữ liệu với các nhà cung cấp dịch vụ cần thiết để vận hành, theo hợp đồng và chỉ trong phạm vi cần thiết:

Khi Trano thêm nhà cung cấp mới nhận dữ liệu cá nhân, chính sách này được cập nhật trước khi áp dụng (mục 14).

9. Chuyển dữ liệu ra nước ngoài

Phần lớn nhà cung cấp ở mục 8 đặt máy chủ ngoài Việt Nam (Mỹ, EU, Trung Quốc), nên dữ liệu của bạn được chuyển ra nước ngoài để xử lý. Trano:

• chỉ chuyển dữ liệu cần thiết cho từng mục đích;
• chọn nhà cung cấp có cam kết bảo mật bằng hợp đồng;
• lập và nộp hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới tới Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) — Bộ Công an trong 60 ngày kể từ lần chuyển đầu tiên (Điều 20 Luật 91/2025);
• lưu bản sao dữ liệu tại Việt Nam, cập nhật hằng ngày, mã hoá khi truyền và khi lưu: bản sao toàn bộ cơ sở dữ liệu (kể cả dữ liệu khách truy cập trang) và bản sao riêng dữ liệu tài khoản + nhật ký đăng nhập (Nghị định 333/2026/NĐ-CP Điều 19.2).

Với người dùng ở EU / Anh: xem mục 15.

10. Thời gian lưu

11. Bảo mật

• Toàn bộ kết nối dùng HTTPS; dữ liệu lưu trên hạ tầng Cloudflare được mã hoá khi lưu trữ theo tiêu chuẩn của Cloudflare.
• Đăng nhập qua Google Firebase; mỗi yêu cầu tới hệ thống đều kiểm tra phiên đăng nhập.
• Địa chỉ IP được mã hoá một chiều khi cần lưu lâu (trừ nhật ký đăng nhập theo luật định); giới hạn số lần gọi để chống dò mật khẩu và spam.
• Nội dung trang được lọc mã độc trước khi xuất bản; trang xuất bản chạy trên tên miền tách khỏi ứng dụng.
• Quyền quản trị nội bộ giới hạn theo tài khoản; các thao tác quản trị quan trọng (đổi gói, credits, trạng thái trang, mẫu) được ghi nhật ký.
• Sự cố lộ dữ liệu: Trano báo Cục A05 — Bộ Công an chậm nhất 72 giờ kể từ khi phát hiện sự cố có thể gây hại cho bạn, và thông báo cho bạn khi sự cố ảnh hưởng tới bạn (Điều 23.1 Luật 91/2025).

Không hệ thống nào an toàn tuyệt đối; nếu phát hiện lỗ hổng, vui lòng báo tới privacy@trano.ai.

12. Quyền của bạn

Theo Luật Bảo vệ dữ liệu cá nhân (Điều 4.1 Luật 91/2025), bạn có quyền:

• được biết về việc xử lý dữ liệu của mình (chính sách này);
• đồng ý hoặc không đồng ý; rút lại sự đồng ý bất cứ lúc nào (không ảnh hưởng việc xử lý trước đó);
• truy cập, xem, chỉnh sửa dữ liệu;
• yêu cầu xoá dữ liệu; yêu cầu hạn chế xử lý;
• yêu cầu cung cấp bản sao dữ liệu;
• phản đối việc xử lý;
• yêu cầu áp dụng biện pháp bảo vệ dữ liệu của bạn;
• khiếu nại, tố cáo, khởi kiện; yêu cầu bồi thường thiệt hại theo quy định.

Cách thực hiện: sửa trực tiếp trong ứng dụng (tài khoản, trang, Brand Kit); tự xoá tài khoản trong Hồ sơ → Vùng nguy hiểm → "Xoá tài khoản" (mọi trang bị gỡ và xoá, thông tin khách hàng bị xoá, credits còn lại và thời hạn gói đã trả bị huỷ; nếu gói đang tự gia hạn, cần huỷ gia hạn trước); hoặc gửi email tới privacy@trano.ai từ email tài khoản.

Trano phản hồi trong 02 ngày làm việc. Thời hạn thực hiện: rút đồng ý, hạn chế, phản đối — 15 ngày; xem, sửa, cung cấp bản sao — 10 ngày; xoá — 20 ngày; có thể gia hạn 01 lần kèm lý do (Nghị định 356/2025/NĐ-CP Điều 5). Trano có thể từ chối hoặc giữ lại một phần dữ liệu khi pháp luật yêu cầu lưu (ví dụ chứng từ kế toán) và sẽ nói rõ lý do.

Tắt email: mỗi email báo cáo tuần và email gợi ý có link huỷ nhận (một link tắt cả hai loại; hộp thư có nút huỷ một chạm). Email báo khách mới, nhắc gia hạn gói và thông báo về tài khoản là email dịch vụ, vẫn được gửi. Tin khuyến mãi — kể cả lời mời giới thiệu bạn bè, ưu đãi chuyển gói năm trong email — chỉ gửi khi bạn đã đồng ý; bật / tắt trong Hồ sơ.

Khiếu nại: nếu không hài lòng với cách Trano xử lý, bạn có thể khiếu nại tới Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) — Bộ Công an.

13. Độ tuổi

Trano là công cụ cho người kinh doanh, dành cho người từ 18 tuổi. Trano không cố ý thu thập dữ liệu của người dưới 18 tuổi; nếu phát hiện, vui lòng báo để chúng tôi xoá.

14. Thay đổi chính sách

Khi thay đổi nội dung quan trọng (thêm mục đích, thêm bên nhận ở nước ngoài…), Trano báo qua email và bằng dòng thông báo trong ứng dụng (bấm "Đã hiểu" để ẩn). Thay đổi làm mở rộng việc xử lý dữ liệu của bạn (thêm mục đích, thêm bên nhận) được báo qua email ít nhất 30 ngày trước khi áp dụng với tài khoản đã đăng ký trước đó — ngày áp dụng ghi trong email, cùng đợt báo đổi Điều khoản dịch vụ. Thay đổi chỉ nói rõ hơn cách Trano đang xử lý dữ liệu, hoặc do pháp luật yêu cầu, áp dụng từ ngày cập nhật ở đầu trang.

Thay đổi ngày 22/10/2026: thêm mục 16 (khách hàng tiềm năng); nói rõ ảnh tải lên được gửi nguyên vẹn để kiểm duyệt (mục 5); khung chat hỗ trợ chỉ tải khi bạn bấm (mục 6); bản sao toàn bộ cơ sở dữ liệu tại Việt Nam (mục 8–10); những gì còn giữ sau khi xoá tài khoản (mục 10); lời mời giới thiệu, ưu đãi gói năm trong email chỉ gửi khi bạn đồng ý (mục 4, 12). Ngày 14/10/2026: kiểm duyệt ảnh tải lên chuyển sang DeepSeek (Trung Quốc).

15. Người dùng ở Liên minh châu Âu và Vương quốc Anh

• GDPR / UK GDPR áp dụng khi bạn ở EU / Anh. Căn cứ xử lý: thực hiện hợp đồng (mục 4), đồng ý (tin khuyến mãi), lợi ích hợp pháp (chống lạm dụng, cải thiện dịch vụ), nghĩa vụ pháp lý (kế toán).
• Dữ liệu được chuyển ra ngoài EU / Anh tới các nhà cung cấp ở mục 8 trên cơ sở Điều khoản hợp đồng mẫu (SCC) hoặc EU-US Data Privacy Framework, tuỳ nhà cung cấp.
• Bạn có quyền khiếu nại tới cơ quan bảo vệ dữ liệu nơi bạn cư trú.

16. Khách hàng tiềm năng của Trano

Phần này dành cho chủ các cơ sở kinh doanh chưa dùng Trano mà Trano liên hệ để giới thiệu dịch vụ (ví dụ một tiệm spa, tiệm nail). Trano là bên kiểm soát dữ liệu này.

• Nguồn và dữ liệu: thông tin doanh nghiệp công khai mà cơ sở tự công bố (Google Maps, fanpage, trang web): tên cơ sở, ngành, khu vực, địa chỉ, trang web, fanpage, số hotline của cơ sở. Số điện thoại và tên của người liên hệ chỉ được lưu sau khi bạn trả lời tin nhắn của Trano.
• Mục đích: giới thiệu dịch vụ Trano tới cơ sở của bạn, có thể kèm một trang demo làm thử (mục 7). Mọi tin nhắn đều do người của Trano đọc và gửi — Trano không gửi tin tự động. Trano có thể dùng AI (mục 8) để soạn nháp tin từ thông tin doanh nghiệp; số điện thoại được che trước khi gửi tới AI.
• Thời gian lưu: nếu bạn không phản hồi, thông tin của cơ sở tự xoá sau 90 ngày. Nếu bạn trả lời, Trano giữ thông tin trong thời gian trao đổi; khi bạn đăng ký tài khoản, mục 3–12 áp dụng.
• Từ chối, yêu cầu xoá: trả lời từ chối ngay trong tin nhắn hoặc gửi email tới privacy@trano.ai — Trano xoá thông tin và không liên hệ lại. Để không liên hệ lại, Trano chỉ giữ một mã băm một chiều (của mã địa điểm trên Google Maps hoặc số điện thoại) — không lưu tên, số điện thoại ở dạng đọc được. Bạn có các quyền ở mục 12.

17. Liên hệ

CÔNG TY TNHH CÔNG NGHỆ VÀ GIẢI PHÁP SỐ TRANO — privacy@trano.ai — B199A Đường Đông Hưng Thuận 13, Khu phố 25, Phường Đông Hưng Thuận, Thành phố Hồ Chí Minh, Việt Nam — trano.ai/contact