1. Vai trò của mỗi bên
GomIO cài trên máy tính của doanh nghiệp khách hàng. Vì vậy có ba lớp dữ liệu, chứ không phải hai như một dịch vụ đám mây, và luật đối xử với chúng khác nhau:
- Dữ liệu khách hàng doanh nghiệp — bản ghi tổ chức, thông tin xuất hoá đơn, bản ghi bản quyền, bản ghi thiết bị, liên hệ nhận cảnh báo sự cố. Ở lớp này GomIO là bên kiểm soát dữ liệu.
- Dữ liệu hội thoại đi qua trạm trung chuyển — gói tin từ Zalo và Meta nằm tạm trên hạ tầng của chúng tôi trong lúc chờ đẩy xuống máy khách. Ở lớp này doanh nghiệp là bên kiểm soát, còn GomIO là bên xử lý. Xem mục 4.
- Dữ liệu nằm trên máy của doanh nghiệp — toàn bộ lịch sử hội thoại, hồ sơ liên hệ, tệp đính kèm, kho tài liệu, tài khoản nhân viên, nhật ký. Ở lớp này GomIO không ở vai trò nào cả, vì chúng tôi không nhận, không lưu và không truy cập được dữ liệu đó. Doanh nghiệp là bên kiểm soát và cũng là bên duy nhất xử lý.
Nếu bạn từng nhắn tin cho một doanh nghiệp dùng GomIO và muốn thực hiện quyền của mình, hãy liên hệ chính doanh nghiệp đó. Dữ liệu của bạn nằm trên máy của họ; chúng tôi không tra cứu, không sửa và không xoá hộ được.
2. Dữ liệu nằm ở đâu
Đây là bảng quan trọng nhất của trang này.
| Loại dữ liệu | Nằm ở đâu | GomIO có thấy không |
|---|---|---|
| Nội dung hội thoại, lịch sử | Máy của doanh nghiệp | Không, trừ lúc đi qua trạm trung chuyển (mục 4) |
| Tệp đính kèm — ảnh, tài liệu, ghi âm | Máy của doanh nghiệp | Không |
| Hồ sơ liên hệ, định danh đa kênh | Máy của doanh nghiệp | Không |
| Kho tài liệu nạp cho AI | Máy của doanh nghiệp | Không |
| Tài khoản nhân viên, vai trò, phân quyền | Máy của doanh nghiệp | Không |
| Nhật ký thao tác (audit log) | Máy của doanh nghiệp | Không |
| Khoá kết nối kênh, thông tin xác thực API | Máy của doanh nghiệp, mã hoá khi lưu | Không lưu. Token kênh đi qua máy chủ chúng tôi trong lúc đổi mã uỷ quyền và làm mới, không ghi nhật ký |
| Khoá nhà cung cấp AI | Kho bảo mật của hệ điều hành trên máy đó | Không |
| Gói tin webhook đang chờ giao | Bộ đệm trên hạ tầng GomIO, tối đa 168 giờ | Có — về mặt kỹ thuật dữ liệu nằm đó (mục 4) |
| Bản ghi tổ chức, bản quyền, hoá đơn | Hạ tầng GomIO | Có |
| Bản ghi thiết bị, liên hệ nhận cảnh báo | Hạ tầng GomIO | Có |
Hạ tầng của chúng tôi đặt tại Việt Nam. Máy của doanh nghiệp đặt ở đâu là do doanh nghiệp quyết định.
3. Dữ liệu GomIO thu thập
Từ khách hàng doanh nghiệp
- Tên tổ chức, mã số thuế, địa chỉ, thông tin xuất hoá đơn.
- Tên khách hàng và mã số thuế ghi trong mã bản quyền, cùng phạm vi và thời hạn của mã.
- Một liên hệ nhận cảnh báo — họ tên và email — do chính máy của bạn khai lúc ghép máy, để chúng tôi báo được khi máy của bạn ngừng nhận tin.
- Thông tin kỹ thuật của máy GomIO: tên máy bạn đặt, hệ điều hành, phiên bản phần mềm, thời điểm online gần nhất, số gói tin đang chờ, vai trò của máy (chính hay trạm), và khi bật cho máy nhân viên nối vào thì thêm vân tay chứng chỉ, cổng và tên máy chính.
- Thông tin bản quyền và tổ chức khai trên máy: tên tổ chức, mã và giai đoạn bản quyền, hạn bản quyền, có đang dùng thử không, và mã băm của mã bản quyền lúc ghép máy để đếm lượt kích hoạt.
- Thư từ trao đổi khi bạn liên hệ hỗ trợ, bán hàng hoặc yêu cầu về dữ liệu.
Chúng tôi không thu thập danh sách nhân viên của bạn, vai trò của họ, mật khẩu của họ hay nhật ký thao tác của họ. Những thứ đó nằm trên máy bạn và không được gửi lên.
Từ kênh đã kết nối
Bản cài trên máy bạn nhận và lưu: nội dung tin nhắn hai chiều kèm dấu thời gian và trạng thái gửi; tệp đính kèm, được sao về chính máy bạn vì đường dẫn của nền tảng hết hạn sau vài ngày; định danh do nền tảng cấp như Zalo user id, Facebook PSID, số điện thoại hoặc email nếu khách tự cung cấp; và thông tin hồ sơ công khai nền tảng trả về, thường là tên hiển thị và ảnh đại diện.
Trong số đó, thứ đi qua hạ tầng GomIO là gói tin webhook, và chỉ trong thời gian chờ giao. Tệp đính kèm được tải trực tiếp từ nền tảng về máy bạn, không qua chúng tôi.
GomIO không đọc tin nhắn cá nhân, không truy cập danh bạ điện thoại, và không quét các nhóm chat chưa được uỷ quyền qua API chính thức.
4. Trạm trung chuyển và các dịch vụ chạy trên máy chủ chúng tôi
Zalo, Meta và Telegram chỉ gửi webhook tới một địa chỉ công khai cố định, còn máy của doanh nghiệp nằm sau NAT và không nhận được kết nối từ ngoài vào. Không có kiến trúc nào bỏ được khâu này. Vì nội dung hội thoại chạm vào hạ tầng của chúng tôi ở đây, nó được mô tả đầy đủ thay vì giấu trong một dòng. Ngoài webhook, hạ tầng này còn chở khung chat website, máy nhân viên ở xa và báo lỗi — xem phần cuối mục này.
Trạm làm gì
- Nhận webhook, xác thực chữ ký của nền tảng, trả xác nhận cho nền tảng đúng hạn.
- Tra bảng định tuyến để biết gói tin thuộc máy nào, rồi đẩy xuống máy đó.
- Giữ lại gói tin chưa giao được cho tới khi máy bật lên nhận.
- Nhận callback uỷ quyền khi bạn kết nối một kênh mới.
Trạm giữ gì, và không giữ gì
- Không đọc nội dung. Trạm chỉ đọc phần tiêu đề kỹ thuật của gói tin — mã định tuyến, số thứ tự, tên nền tảng, thời điểm nhận, kích thước. Nội dung không được phân tích, không được lập chỉ mục, không được ghi vào nhật ký.
- Không lưu định danh kênh ở dạng đọc được. Bảng định tuyến dùng mã băm có muối, nên đọc cả bảng cũng không suy ra được OA id hay Page id của bạn.
- Nhưng nội dung vẫn nằm trong bộ đệm suốt thời gian chờ. Chúng tôi nói thẳng: bộ đệm này là kho dữ liệu cá nhân nhạy cảm kể từ gói tin đầu tiên. Việc trạm không đọc nó không làm nó biến mất.
- Thời hạn 168 giờ (7 ngày). Gói tin đã giao bị xoá ngay khi máy bạn xác nhận đã nhận; gói chưa giao tự xoá sau thời hạn này. Đây là cơ chế xoá của bộ đệm.
Những đường khác đi qua máy chủ chúng tôi
- Khung chat website (webchat). Chúng tôi giữ cấu hình khung chat và mã nhận diện khách vãng lai. Tin của khách đi xuống máy bạn qua bộ đệm ở trên; câu trả lời của nhân viên nằm ở dạng đọc được trên máy chủ chúng tôi tối đa 24 giờ (đã giao thì khoảng 1 giờ) rồi bị xoá. Nếu bạn bật form trước chat, tên, số điện thoại và email khách điền cũng đi qua đường này.
- Máy nhân viên ở xa (từ bản 0.1.7). Dữ liệu phiên làm việc giữa máy nhân viên và máy chính đi qua máy chủ chúng tôi dưới dạng đã mã hoá đầu-cuối giữa hai máy; chúng tôi chỉ thấy nhãn định tuyến và không đọc được nội dung.
- Báo lỗi bạn chủ động gửi từ bản cài. Tiêu đề, mô tả, ảnh chụp màn hình (chỉ khi bạn đồng ý) và thông tin chẩn đoán — phiên bản, hệ điều hành, mã máy, mã tổ chức, múi giờ — được lưu 30 ngày để xử lý.
- Kết nối kênh. Khi đổi mã uỷ quyền hoặc làm mới token của một kênh, token đi qua bộ nhớ của một yêu cầu trên máy chủ chúng tôi vì bước đó cần bí mật cấp ứng dụng do chúng tôi giữ; không lưu và không ghi nhật ký. Token bot Telegram và Zalo Bot được gửi lên một lần khi gắn webhook.
- Yêu cầu xoá dữ liệu. Yêu cầu từ Meta hoặc từ chủ thể dữ liệu qua trang yêu cầu của chúng tôi được chuyển tới đúng máy của doanh nghiệp; máy chủ chúng tôi chỉ giữ trạng thái tối thiểu (mã xác nhận, mã băm của chủ thể, tổ chức, máy), không có thông tin cá nhân đọc được.
5. Mục đích xử lý
| Mục đích | Căn cứ pháp lý |
|---|---|
| Chuyển tiếp webhook và callback uỷ quyền xuống máy khách | Thực hiện hợp đồng với khách hàng doanh nghiệp |
| Giữ tạm gói tin khi máy khách đang tắt | Chỉ dẫn của bên kiểm soát dữ liệu |
| Phát hành, xác thực và quản lý mã bản quyền | Thực hiện hợp đồng |
| Báo cho khách hàng khi máy của họ ngừng nhận tin | Thực hiện hợp đồng và lợi ích hợp pháp |
| Bảo mật hạ tầng, chống lạm dụng, ghi nhật ký kiểm toán phía chúng tôi | Lợi ích hợp pháp và nghĩa vụ pháp lý |
| Xuất hoá đơn, kế toán, lưu trữ chứng từ | Nghĩa vụ pháp lý |
Chúng tôi không dùng nội dung hội thoại để huấn luyện mô hình, không bán dữ liệu, và không chia sẻ cho mục đích quảng cáo. Với phần lớn dữ liệu, chúng tôi thậm chí không ở vị trí làm được những việc đó.
6. Dữ liệu nhạy cảm
Nghị định 356/2025 xếp dữ liệu về hành vi sử dụng dịch vụ viễn thông và mạng xã hội vào nhóm dữ liệu cá nhân nhạy cảm. Nội dung hội thoại Zalo OA và Facebook Page nằm đúng nhóm này — cả phần nằm trên máy doanh nghiệp lẫn phần đi qua bộ đệm của chúng tôi.
Trên máy của doanh nghiệp
- Kiểm soát truy cập theo vai trò, chi nhánh và nhóm. Nhân viên chỉ thấy hội thoại thuộc phạm vi được gán.
- Nhật ký không sửa được cho mọi thao tác nhạy cảm và mọi lần xuất dữ liệu.
- Khoá kết nối kênh và thông tin xác thực API được mã hoá khi lưu; khoá AI được mã hoá bằng khoá của hệ điều hành trên chính máy đó.
- An ninh vật lý của máy, tài khoản hệ điều hành và việc sao lưu thuộc trách nhiệm doanh nghiệp — xem điều khoản mục 4.
Trên hạ tầng của chúng tôi
- Mã hoá trên đường truyền cho toàn bộ lưu lượng giữa nền tảng, trạm và máy khách.
- Thời hạn xoá bắt buộc cho bộ đệm, không có tuỳ chọn tắt.
- Nhân sự GomIO xem được trạng thái kết nối của máy để hỗ trợ, không xem được nội dung hội thoại qua đường đó.
- GomIO thuộc nhóm không được hưởng miễn trừ dành cho doanh nghiệp nhỏ, nên đã lập hồ sơ đánh giá tác động xử lý dữ liệu cho phần hạ tầng mình vận hành, cập nhật định kỳ 6 tháng.
7. AI và chuyển dữ liệu ra nước ngoài
Để AI trả lời được, nội dung hội thoại và đoạn tài liệu liên quan phải được gửi tới mô hình ngôn ngữ. Trong mô hình cài trên máy, đường đi này không qua chúng tôi, và điều đó đổi ai chịu nghĩa vụ gì:
- Lời gọi đi thẳng từ máy bạn tới nhà cung cấp AI bạn chọn. Khoá là của bạn, được mã hoá bằng khoá của hệ điều hành và chỉ nằm trên máy bạn. Chúng tôi không thấy khoá, không thấy nội dung lượt gọi, và không nhận bản sao nào.
- Quan hệ với nhà cung cấp AI là giữa bạn và họ. Điều khoản sử dụng, chính sách lưu trữ và chính sách huấn luyện áp dụng theo hợp đồng của bạn với nhà cung cấp đó. Chúng tôi không phải một bên và không cam kết thay họ về việc dữ liệu có được dùng để huấn luyện hay không — bạn kiểm tra điều đó trên tài khoản của chính mình.
- Chọn mô hình đặt ở nước ngoài là chuyển dữ liệu cá nhân ra nước ngoài. Vì bạn là bên kiểm soát và là bên thực hiện việc chuyển, hồ sơ đánh giá chuyển dữ liệu ra nước ngoài theo Nghị định 356 thuộc nghĩa vụ của bạn.
- Có đường để dữ liệu không rời máy. Bản cài hỗ trợ mô hình chạy cục bộ ngay trên máy bạn. Chọn đường đó thì nội dung hội thoại không rời máy vì lý do AI — nhưng vẫn rời máy qua API của Zalo và Meta, vì đó là nơi tin nhắn đi và đến.
- Cần tư vấn hồ sơ cho tình huống cụ thể của bạn, liên hệ tuong@tgr.vn.
8. Bên thứ ba
Bản cài trên máy bạn kết nối tới các bên sau. Trừ nhóm thứ ba, đây là kết nối từ máy bạn, không phải từ hạ tầng của chúng tôi:
- Nền tảng nhắn tin — Zalo, Meta. Bắt buộc, vì đó là nơi tin nhắn đi và đến. Webhook chiều vào đi qua trạm trung chuyển của chúng tôi; tin nhắn chiều ra đi thẳng từ máy bạn.
- Nhà cung cấp mô hình AI — theo lựa chọn của bạn, đi thẳng từ máy bạn, như nêu ở mục 7.
- API nghiệp vụ bạn tự khai — CRM, tồn kho, đặt lịch. Bạn khai, bạn kiểm soát, gọi thẳng từ máy bạn.
- Nhà cung cấp hạ tầng của GomIO — máy chủ đặt tại Việt Nam cho trạm trung chuyển và control plane, dịch vụ gửi email giao dịch cho cảnh báo và hoá đơn.
- Cơ quan nhà nước — khi có yêu cầu hợp pháp bằng văn bản. Chúng tôi thông báo cho khách hàng liên quan, trừ khi pháp luật cấm. Lưu ý rằng phần lớn dữ liệu hội thoại không nằm trong tay chúng tôi để mà cung cấp.
Mọi nhà cung cấp hạ tầng của chúng tôi đều được ràng buộc bằng hợp đồng có điều khoản bảo vệ dữ liệu. Danh sách chi tiết kèm nơi đặt máy chủ được cung cấp theo yêu cầu.
9. Thời hạn giữ
Trên hạ tầng của chúng tôi
- Gói tin trong bộ đệm trung chuyển — tối đa 168 giờ (7 ngày), tự xoá.
- Liên hệ nhận cảnh báo — xoá khi bạn thu hồi máy đó. Bản ghi thiết bị được giữ ở trạng thái đã thu hồi để đối soát.
- Bản ghi tổ chức và bản quyền — giữ trong thời gian quan hệ hợp đồng còn hiệu lực và thời hạn khiếu nại sau đó.
- Nhật ký kiểm toán phía chúng tôi — giữ 24 tháng.
- Chứng từ kế toán — giữ theo thời hạn pháp luật kế toán quy định.
Trên máy của doanh nghiệp
Hội thoại và hồ sơ khách không bị tự xoá; chúng tôi không áp thời hạn và cũng không tự giữ lại. Phần mềm chỉ tự dọn: bản nháp (mặc định 30 ngày) và tệp xuất (mặc định 7 ngày) — hai mốc này doanh nghiệp chỉnh được trong phần cài đặt lưu trữ — cùng nhật ký thao tác quá 24 tháng và tệp nhật ký ứng dụng (mặc định 60 ngày).
Ngừng dịch vụ không làm dữ liệu trên máy bạn bị xoá và cũng không đặt ra hạn chót để bạn lấy dữ liệu về — xem điều khoản mục 14.
10. Biện pháp bảo vệ
Trong phần mềm chúng tôi giao cho bạn
- Khoá và thông tin kết nối được mã hoá khi lưu — thông tin kết nối kênh, thông tin xác thực của các API bạn khai báo, và khoá ký webhook. Chúng được mã hoá bằng khoá dữ liệu, khoá đó lại được mã hoá bằng khoá chủ của bản cài. Bản sao lưu cơ sở dữ liệu chứa bản mã, không chứa khoá chủ — lấy được tệp sao lưu vẫn không giải mã được.
- Khoá nhà cung cấp AI được mã hoá bằng khoá của hệ điều hành — Keychain trên macOS, DPAPI trên Windows — rồi lưu trong tệp cấu hình của GomIO trên máy đó; cơ sở dữ liệu chỉ giữ một tham chiếu. Hệ điều hành không mã hoá được thì GomIO từ chối lưu chứ không lưu dạng chữ thường. Khoá không hiển thị lại sau khi lưu.
- Nội dung hội thoại không được mã hoá ở tầng ứng dụng, mà được bảo vệ bằng phân quyền trong phần mềm cùng với quyền truy cập của hệ điều hành trên máy bạn. Chúng tôi nói rõ điều này thay vì viết “mã hoá toàn bộ”, và khuyến nghị bạn bật mã hoá toàn ổ đĩa — FileVault trên macOS, BitLocker trên Windows — cho máy chạy GomIO.
- Phân tách dữ liệu theo tổ chức ở tầng ứng dụng và tầng truy vấn.
- Phân quyền theo vai trò, chi nhánh và nhóm; phiên đăng nhập thu hồi được.
- Nhật ký không sửa được cho các thao tác nhạy cảm: xuất dữ liệu, gộp hồ sơ, đổi quyền, nhập mã bản quyền.
- Chỉ thị ẩn trong tài liệu hoặc trong tin của khách được xử lý như dữ liệu, không như mệnh lệnh gửi cho AI.
- Chức năng sao lưu ra tệp, để bạn chạy theo lịch của mình.
Trên hạ tầng chúng tôi vận hành
- Mã hoá TLS trên toàn bộ đường truyền; xác thực chữ ký webhook, từ chối khi sai.
- Định tuyến bằng mã mờ, không lưu định danh kênh ở dạng đọc được.
- Thời hạn xoá bắt buộc cho bộ đệm, có trần cứng ở tầng cấu hình.
- Mã ghép máy dùng một lần, có hạn, có giới hạn số lần thử.
- Khoá ký bản quyền giữ tách biệt, không nằm trong mã nguồn hay bản phát hành.
- Có người phụ trách bảo vệ dữ liệu cá nhân theo yêu cầu của Nghị định 356.
Một giới hạn phải nói ra: khoá chủ của bản cài nằm trên chính máy bạn và chúng tôi không giữ bản sao, nên không có cửa hậu và không có cơ chế cứu hộ. Mất khoá đó thì thông tin kết nối kênh và thông tin xác thực API không giải mã lại được; khoá AI thì gắn với khoá của hệ điều hành trên máy đó. Lịch sử hội thoại vẫn còn, nhưng bạn phải kết nối lại từng kênh và nhập lại từng khoá. Đó là cái giá đi kèm với việc dữ liệu thuộc về bạn.
11. Quyền của chủ thể dữ liệu
Theo Luật 91/2025, bạn có quyền được biết, truy cập, chỉnh sửa, rút lại sự đồng ý, phản đối, yêu cầu xoá, yêu cầu hạn chế xử lý, và khiếu nại.
Gửi yêu cầu cho đúng bên. Nếu bạn từng nhắn tin cho một doanh nghiệp dùng GomIO, dữ liệu của bạn nằm trên máy của doanh nghiệp đó — hãy gửi yêu cầu cho họ. Chúng tôi không tra cứu, không sửa và không xoá hộ được, và điều đó là cố ý. Bản cài có sẵn công cụ để họ đáp ứng yêu cầu của bạn đúng hạn.
Với dữ liệu mà GomIO là bên kiểm soát — bản ghi tổ chức, bản quyền, thiết bị, liên hệ nhận cảnh báo — bạn gửi yêu cầu trực tiếp cho chúng tôi theo thời hạn dưới đây:
| Loại yêu cầu | Thời hạn |
|---|---|
| Xác nhận đã nhận yêu cầu | 2 ngày làm việc |
| Truy cập hoặc chỉnh sửa dữ liệu | 10 ngày |
| Rút lại sự đồng ý, phản đối xử lý | 15 ngày |
| Yêu cầu xoá dữ liệu | 20 ngày |
Gửi yêu cầu tới tuong@tgr.vn. Với yêu cầu thuộc về một doanh nghiệp dùng GomIO, chúng tôi chuyển tiếp cho họ và hỗ trợ họ trả lời đúng hạn.
12. Sự cố dữ liệu
Khi xảy ra sự cố ảnh hưởng tới dữ liệu cá nhân trên hạ tầng chúng tôi vận hành, chúng tôi thông báo cho cơ quan có thẩm quyền và cho khách hàng bị ảnh hưởng trong vòng 72 giờ kể từ khi phát hiện, kèm mô tả phạm vi, dữ liệu liên quan, biện pháp đã thực hiện và khuyến nghị.
Sự cố xảy ra trên máy của doanh nghiệp — máy bị xâm nhập, tài khoản nhân viên bị lộ, thiết bị bị mất — là sự cố của doanh nghiệp đó với tư cách bên kiểm soát, và nghĩa vụ thông báo thuộc về họ. Chúng tôi hỗ trợ điều tra kỹ thuật theo yêu cầu.
Phát hiện lỗ hổng bảo mật trong phần mềm, báo cho chúng tôi tại tuong@tgr.vn.
13. Cookie
Trang giới thiệu gomio.tgr.vn không dùng cookie quảng cáo và không gắn mã theo dõi của bên thứ ba.
Trang có khung chat của chính GomIO. Khi bạn mở hoặc nhắn, trình duyệt lưu một mã phiên trong bộ nhớ cục bộ (tối đa 30 ngày) và tin nhắn được chuyển tới đội ngũ GomIO; chúng tôi ghi trang bạn vào, trình duyệt và địa chỉ IP đã băm.
Giao diện làm việc của GomIO chạy ngay trên máy bạn và dùng cookie phiên đăng nhập cục bộ — bắt buộc để giữ trạng thái đăng nhập của từng nhân viên. Cookie đó nằm trên máy bạn và không gửi tới chúng tôi.
14. Liên hệ
Bên kiểm soát dữ liệu
Với lớp dữ liệu mà GomIO là bên kiểm soát — và với vai trò bên xử lý ở trạm trung chuyển — đơn vị chịu trách nhiệm là:
- CÔNG TY TNHH MTV TGR FUSION
- Mã số thuế: 0319232118
- Địa chỉ: 71 Thống Nhất, Phường Thông Tây Hội, Thành phố Hồ Chí Minh, Việt Nam
- Website: tgr.vn · Điện thoại: 0972 685 340
Gửi yêu cầu tới đâu
Một hộp thư cho mọi việc — yêu cầu về quyền của chủ thể dữ liệu, DPA, hỗ trợ chung và liên hệ doanh nghiệp: tuong@tgr.vn. Ghi rõ trong thư bạn đang yêu cầu điều gì để chúng tôi trả lời đúng hạn luật định.
Nhắc lại điều quan trọng nhất của trang này: nếu bạn là người đã nhắn tin cho một doanh nghiệp dùng GomIO, dữ liệu của bạn nằm trên máy của doanh nghiệp đó. Gửi yêu cầu cho họ trước — chúng tôi không tra cứu, không sửa và không xoá hộ được.
Điều khoản sử dụng nằm ở trang điều khoản.