Chính sách bảo vệ dữ liệu cá nhân

Smart Menu (“chúng tôi”) tôn trọng và bảo vệ dữ liệu cá nhân của bạn. Chính sách này áp dụng cho mọi hoạt động xử lý dữ liệu cá nhân phát sinh từ việc truy cập và sử dụng nền tảng Smart Menu.

Chính sách được xây dựng phù hợp với pháp luật Việt Nam về bảo vệ dữ liệu cá nhân, bao gồm Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ ngày 01/01/2026, Luật An ninh mạng năm 2018, Nghị định 53/2022/NĐ-CP và các văn bản sửa đổi, bổ sung hoặc thay thế.

Chính sách này là một phần không tách rời của Điều khoản sử dụng dịch vụ Smart Menu và thay thế mọi phiên bản Chính sách đã công bố trước đó.

Trong Chính sách này, các từ ngữ dưới đây được hiểu như sau:

• “Dữ liệu cá nhân” là thông tin dưới mọi hình thức gắn với một con người cụ thể hoặc giúp xác định một con người cụ thể.
• “Dữ liệu cá nhân nhạy cảm” là dữ liệu cá nhân gắn với quyền riêng tư mà khi bị xâm phạm sẽ ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của chủ thể dữ liệu, bao gồm dữ liệu tài khoản thanh toán, dữ liệu về vị trí và các loại khác theo quy định pháp luật.
• “Chủ thể dữ liệu” là người mà dữ liệu cá nhân phản ánh, bao gồm chủ quán, nhân viên nhà hàng và Khách gọi món tại bàn.
• “Xử lý dữ liệu cá nhân” là một hoặc nhiều hoạt động tác động tới dữ liệu cá nhân, như thu thập, ghi, lưu trữ, sử dụng, chia sẻ, xoá.
• “Bên kiểm soát dữ liệu cá nhân” là bên quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.
• “Bên xử lý dữ liệu cá nhân” là bên thực hiện việc xử lý dữ liệu cá nhân thay cho bên kiểm soát theo thỏa thuận.

Với dữ liệu cá nhân của Khách hàng (chủ quán) và Người dùng (nhân viên nhà hàng), Smart Menu là bên kiểm soát dữ liệu cá nhân: chúng tôi quyết định mục đích và phương thức xử lý để cung cấp, vận hành và bảo vệ Dịch vụ.

Với dữ liệu cá nhân của Khách (người tiêu dùng gọi món tại bàn), nhà hàng mà bạn đang gọi món là bên kiểm soát dữ liệu cá nhân và chịu trách nhiệm thông báo, thu thập sự đồng ý khi cần thiết và bảo đảm có căn cứ pháp lý để xử lý. Smart Menu xử lý dữ liệu này với vai trò bên xử lý dữ liệu cá nhân, chỉ trong phạm vi cần thiết để vận hành tính năng gọi món mà nhà hàng đã cấu hình.

Nếu bạn là khách gọi món tại bàn và muốn thực hiện quyền đối với dữ liệu cá nhân của mình, trước tiên hãy liên hệ với nhà hàng, vì nhà hàng là bên kiểm soát dữ liệu. Smart Menu sẽ phối hợp với nhà hàng để xử lý yêu cầu của bạn.

Đối với Khách hàng (chủ quán) và Người dùng (nhân viên):

• Thông tin nhận diện và liên hệ: họ và tên, email, số điện thoại, vai trò trong nhà hàng.
• Thông tin đăng nhập: mật khẩu được lưu ở dạng băm, không lưu mật khẩu gốc; lịch sử đăng nhập và lịch sử thao tác trên hệ thống.
• Thông tin nhà hàng do Khách hàng nhập: tên nhà hàng, địa chỉ, số điện thoại, hình ảnh, thực đơn và thông tin tài khoản nhận tiền gồm tên ngân hàng, số tài khoản, tên chủ tài khoản.
• Thông tin gói dịch vụ: gói đang dùng, hạn sử dụng, lịch sử thanh toán phí dịch vụ.
• Thông tin kỹ thuật: địa chỉ IP, loại thiết bị và trình duyệt, nhật ký truy cập.

Đối với Khách (người gọi món tại bàn):

• Mã phiên thiết bị (device token) dùng để nhận diện phiên gọi món, thay cho việc yêu cầu Khách tạo tài khoản.
• Nội dung Đơn hàng: món đã gọi, số lượng, tuỳ chọn món, ghi chú cho món, thời gian gọi món, bàn hoặc thông tin đặt trước.
• Tên hoặc số điện thoại, nếu Khách tự nguyện nhập khi đặt trước hoặc khi nhà hàng yêu cầu.
• Thông tin kỹ thuật: địa chỉ IP, loại thiết bị và trình duyệt, nhật ký truy cập.

Dữ liệu chúng tôi không thu thập: chúng tôi không yêu cầu Khách tạo tài khoản; không thu thập dữ liệu sinh trắc học hay dữ liệu sức khoẻ; không lưu số thẻ ngân hàng, mã CVV hoặc thông tin xác thực thanh toán. Mã VietQR được tạo từ thông tin do Khách hàng cung cấp, và giao dịch chuyển khoản diễn ra trực tiếp giữa Khách với Khách hàng tại ứng dụng ngân hàng.

• Cung cấp Dịch vụ và thực hiện hợp đồng: tạo và quản lý tài khoản, vận hành tính năng gọi món, chuyển đơn hàng tới nhà hàng, hiển thị thực đơn cho Khách. Căn cứ: thực hiện hợp đồng cung cấp Dịch vụ.
• Xác thực và bảo mật: xác thực đăng nhập, phòng chống gian lận, phát hiện truy cập bất thường, bảo vệ hệ thống. Căn cứ: thực hiện hợp đồng và lợi ích hợp pháp của chúng tôi trong việc bảo vệ Dịch vụ.
• Hỗ trợ khách hàng: tiếp nhận và xử lý yêu cầu hỗ trợ, khắc phục sự cố. Căn cứ: thực hiện hợp đồng.
• Thông báo vận hành: thông báo về thay đổi tính năng, bảo trì, thay đổi Điều khoản hoặc Chính sách này. Căn cứ: thực hiện hợp đồng và nghĩa vụ pháp lý.
• Tuân thủ pháp luật: lưu trữ và cung cấp thông tin theo yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền. Căn cứ: nghĩa vụ pháp lý.
• Đo lường và cải thiện Dịch vụ: phân tích dữ liệu đã tổng hợp hoặc ẩn danh hoá để nâng cao chất lượng Dịch vụ. Căn cứ: lợi ích hợp pháp của chúng tôi.

Với bất kỳ mục đích nào pháp luật yêu cầu có sự đồng ý, chúng tôi sẽ xin sự đồng ý của bạn trước và bạn có quyền rút lại sự đồng ý bất kỳ lúc nào. Việc rút lại sự đồng ý không ảnh hưởng đến tính hợp pháp của việc xử lý đã thực hiện trước đó.

Smart Menu sử dụng tối thiểu cookie và bộ nhớ cục bộ (localStorage) cho các mục đích thiết yếu sau:

• Ghi nhớ ngôn ngữ hiển thị bạn đã chọn.
• Ghi nhớ tuỳ chọn giao diện, chẳng hạn chế độ sáng hoặc tối, và mã phiên của Khách.
• Duy trì phiên đăng nhập của chủ quán và nhân viên thông qua cookie làm mới phiên bản quyền.

Chúng tôi không sử dụng cookie quảng cáo và không theo dõi hành vi của bạn trên các trang web khác. Bạn có thể xoá cookie và bộ nhớ cục bộ trong cài đặt trình duyệt; một số tính năng có thể hoạt động không đúng sau khi xoá.

Chúng tôi không bán dữ liệu cá nhân của bạn. Dữ liệu cá nhân chỉ được chia sẻ trong các trường hợp sau:

• Với nhà hàng: khi bạn là Khách, thông tin Đơn hàng và thông tin liên hệ bạn tự nguyện cung cấp được chuyển cho nhà hàng để phục vụ bạn.
• Với nhà cung cấp dịch vụ: hạ tầng máy chủ và lưu trữ, dịch vụ lưu ảnh, dịch vụ gửi email và dịch vụ giám sát lỗi. Các bên này chỉ xử lý dữ liệu theo hướng dẫn của chúng tôi và theo hợp đồng có điều khoản bảo mật.
• Với cơ quan nhà nước có thẩm quyền: khi có yêu cầu hợp pháp bằng văn bản, hoặc khi cần thiết để bảo vệ quyền và lợi ích hợp pháp của chúng tôi, của Khách hàng hoặc của bên thứ ba.
• Trong giao dịch doanh nghiệp: khi sáp nhập, mua lại hoặc chuyển nhượng một phần hay toàn bộ hoạt động kinh doanh, với điều kiện bên nhận tiếp tục tuân thủ Chính sách này.

Một số nhà cung cấp hạ tầng mà chúng tôi sử dụng có máy chủ đặt ngoài lãnh thổ Việt Nam. Khi phải chuyển dữ liệu cá nhân ra nước ngoài, chúng tôi tuân thủ đầy đủ nghĩa vụ theo pháp luật Việt Nam, bao gồm việc lập và lưu giữ hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và thực hiện thủ tục thông báo tới cơ quan chuyên trách về an ninh mạng theo quy định.

• Dữ liệu tài khoản của Khách hàng và Người dùng: lưu trong thời gian tài khoản còn hoạt động và tối đa 24 tháng sau khi tài khoản bị đóng, nhằm giải quyết khiếu nại và tuân thủ nghĩa vụ pháp lý.
• Dữ liệu Đơn hàng của Khách: lưu theo thời gian Khách hàng còn sử dụng Dịch vụ hoặc theo thời hạn Khách hàng thiết lập, và theo quy định pháp luật về lưu trữ chứng từ kế toán nếu thuộc phạm vi áp dụng.
• Mã phiên thiết bị của Khách: hết hiệu lực sau 5 giờ kể từ khi tạo; Khách cần quét lại mã QR để tiếp tục gọi món.
• Nhật ký truy cập, nhật ký hệ thống và lịch sử thao tác: lưu tối đa 12 tháng nhằm mục đích bảo mật và khắc phục sự cố.
• Dữ liệu đã tổng hợp hoặc ẩn danh hoá: có thể được lưu không thời hạn vì không còn nhận diện được cá nhân.

• Mã hoá dữ liệu khi truyền qua HTTPS và áp dụng các biện pháp bảo vệ phù hợp khi lưu trữ.
• Mật khẩu được lưu ở dạng băm bằng thuật toán phù hợp, không lưu mật khẩu gốc.
• Tách dữ liệu theo từng nhà hàng và kiểm soát truy cập theo vai trò, bảo đảm nhân viên chỉ truy cập được phần dữ liệu thuộc phạm vi công việc.
• Ghi nhật ký thao tác để phục vụ truy vết khi cần thiết.
• Hạn chế số lượng nhân sự được truy cập dữ liệu cá nhân và ràng buộc nghĩa vụ bảo mật.

Theo pháp luật về bảo vệ dữ liệu cá nhân, bạn có các quyền sau:

• Quyền được biết về hoạt động xử lý dữ liệu cá nhân của mình.
• Quyền đồng ý hoặc không đồng ý, và quyền rút lại sự đồng ý.
• Quyền truy cập để xem và yêu cầu cấp bản sao dữ liệu cá nhân của mình.
• Quyền yêu cầu chỉnh sửa, bổ sung thông tin không chính xác.
• Quyền yêu cầu xoá dữ liệu cá nhân trong các trường hợp luật định.
• Quyền hạn chế hoặc phản đối việc xử lý dữ liệu.
• Quyền yêu cầu cung cấp dữ liệu của mình và yêu cầu chuyển cho bên khác khi được pháp luật cho phép.
• Quyền khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định pháp luật.

Chúng tôi phản hồi yêu cầu hợp lệ trong thời hạn pháp luật quy định, thường không quá 72 giờ kể từ khi nhận được yêu cầu đầy đủ, và có thể gia hạn khi yêu cầu phức tạp theo quy định. Trường hợp yêu cầu không thuộc phạm vi kiểm soát của mình, chúng tôi sẽ hướng dẫn bạn liên hệ với nhà hàng tương ứng hoặc chuyển yêu cầu tới bên kiểm soát dữ liệu có liên quan.

Để thực hiện các quyền này, bạn gửi yêu cầu tới hello@smartmenu.io.vn. Bạn cần cung cấp thông tin đủ để chúng tôi xác minh danh tính và xác định dữ liệu liên quan. Trong một số trường hợp, chúng tôi có thể từ chối yêu cầu nếu có căn cứ pháp lý để tiếp tục lưu giữ hoặc xử lý.

Dịch vụ không hướng tới và không dành cho trẻ em. Chúng tôi không chủ đích thu thập dữ liệu cá nhân của trẻ em. Nếu phát hiện đã thu thập dữ liệu cá nhân của trẻ em mà không có sự đồng ý của cha, mẹ hoặc người giám hộ theo quy định pháp luật, chúng tôi sẽ xoá dữ liệu đó.

Theo pháp luật Việt Nam, việc xử lý dữ liệu cá nhân của trẻ em cần có sự đồng ý của cha, mẹ hoặc người giám hộ theo độ tuổi luật định. Chúng tôi không chủ đích xử lý dữ liệu cá nhân của trẻ em cho bất kỳ mục đích nào khác ngoài việc phục vụ Đơn hàng do nhà hàng thực hiện.

Khi phát hiện sự cố dẫn tới rò rỉ, mất mát hoặc truy cập trái phép dữ liệu cá nhân, chúng tôi sẽ: (a) kịp thời khoanh vùng, ngăn chặn và khắc phục; (b) thông báo cho Khách hàng có liên quan trong thời gian sớm nhất; và (c) thực hiện nghĩa vụ báo cáo, thông báo tới cơ quan nhà nước có thẩm quyền trong thời hạn luật định.

Trong phạm vi vai trò bên xử lý dữ liệu cá nhân, chúng tôi hỗ trợ Khách hàng thực hiện nghĩa vụ thông báo tới chủ thể dữ liệu theo hướng dẫn của Khách hàng và quy định pháp luật.

Chúng tôi có thể cập nhật Chính sách này để phản ánh thay đổi về pháp luật hoặc về cách chúng tôi xử lý dữ liệu. Phiên bản mới được công bố trên website kèm ngày cập nhật. Với thay đổi quan trọng, chúng tôi sẽ thông báo qua email đăng ký hoặc qua thông báo trong Dịch vụ trước khi thay đổi có hiệu lực.

Nếu bạn tiếp tục sử dụng Dịch vụ sau ngày Chính sách mới có hiệu lực, bạn được coi là chấp nhận Chính sách đã cập nhật.

Đầu mối tiếp nhận mọi yêu cầu liên quan đến dữ liệu cá nhân: hello@smartmenu.io.vn · Website: smartmenu.io.vn

Nếu bạn không đồng ý với cách chúng tôi xử lý yêu cầu của mình, bạn có quyền khiếu nại tới cơ quan nhà nước có thẩm quyền về bảo vệ dữ liệu cá nhân hoặc khởi kiện theo quy định pháp luật.