Chính sách bảo mật

01 Ai chịu trách nhiệm

Bên kiểm soát dữ liệu cá nhân là Công ty TNHH ALFA Media (tên quốc tế ALFA MEDIA COMPANY LIMITED), mã số thuế 4500659694, trụ sở tại Lô 60, Khu quy hoạch giống thủy sản An Hải, thôn Hòa Thạnh, xã An Hải, Tỉnh Khánh Hòa.

Mọi yêu cầu liên quan tới dữ liệu cá nhân gửi về admin@alfamedia.vn, người phụ trách Não Minh Tâm.

Căn cứ pháp lý

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Quốc hội thông qua ngày 26/6/2025, hiệu lực từ 01/01/2026, cùng Nghị định 356/2025/NĐ-CP hướng dẫn thi hành. Nghị định 13/2023/NĐ-CP trước đây đã hết hiệu lực từ 01/01/2026.

02 Chúng tôi thu thập gì

Qua website này, chỉ ba nhóm dữ liệu, và toàn bộ đều là dữ liệu cá nhân cơ bản. Chúng tôi không thu thập dữ liệu cá nhân nhạy cảm: không dữ liệu sức khỏe, không sinh trắc học, không thông tin tài khoản ngân hàng, không vị trí chính xác.

Có một dòng dữ liệu thứ hai không đi qua website và không thuộc mục này: dữ liệu tài khoản Google Ads của khách hàng, khi chúng tôi rà soát tài khoản cho họ. Nó có mục riêng ở mục 05.

Khi nào	Dữ liệu	Vì sao cần
Bạn gửi form rà soát tài khoản	Họ tên, tên doanh nghiệp, email, số điện thoại. Website và lời nhắn là tùy chọn.	Để liên hệ lại và thực hiện bản rà soát bạn yêu cầu.
Bạn được cấp tài khoản nội bộ	Email, tên hiển thị, mật khẩu đã băm bằng bcrypt, vai trò. Chúng tôi không lưu mật khẩu dạng đọc được.	Để bạn đăng nhập và để phân quyền.
Mỗi lần đăng nhập, thành công hay không	Email đã nhập, địa chỉ IP, thời điểm, kết quả.	Để chặn dò mật khẩu tự động. Không dùng vào việc gì khác.

Điều chúng tôi không làm

Không có mã theo dõi quảng cáo, không pixel bán hàng, không mạng quảng cáo lại. Chúng tôi có dùng Google Analytics để đo lượt đọc, nhưng chỉ sau khi bạn bấm Đồng ý — xem mục 03.
Không mua, không bán, không trao đổi dữ liệu cá nhân.
Không gửi email tiếp thị. Chúng tôi chỉ liên hệ về đúng yêu cầu bạn gửi.
Không nhận danh sách khách hàng cuối của bạn. Nếu bạn định gửi cho chúng tôi tệp chứa tên, số điện thoại hay email người mua, đừng gửi — chúng tôi không cần và sẽ đề nghị bạn xóa trước khi gửi lại. Ngoại lệ duy nhất, và nó không do chúng tôi chọn: báo cáo cụm từ tìm kiếm của Google đôi khi có sẵn thông tin người dùng tự gõ vào ô tìm kiếm. Xem mục 05.

03 Cookie

Website dùng đúng một cookie, tên alfa_phien, và chỉ đặt sau khi bạn đăng nhập thành công. Không có cookie quảng cáo, không mạng quảng cáo lại, không pixel bán hàng.

Chứa mã tài khoản, email, tên hiển thị và vai trò, dưới dạng chuỗi có chữ ký.
Thuộc tính httpOnly — mã JavaScript trên trang không đọc được.
Hết hạn sau 7 ngày, hoặc ngay khi bạn bấm Đăng xuất.
Đặt trên phạm vi tên miền .alfamedia để bạn đăng nhập một lần dùng được cả các công cụ chạy trên tên miền phụ.

Đo lưu lượng, và cổng đồng ý đứng trước nó

Chúng tôi dùng Google Analytics để biết trang nào được đọc và người ta tới từ đâu. Nó đặt cookie riêng của Google trên trình duyệt bạn.

Chưa đồng ý thì chưa có gì chạy

Chúng tôi không dùng chế độ tải trước rồi hạn chế sau. Khi bạn chưa bấm Đồng ý, không một dòng mã nào của Google được tải về máy bạn, và không cookie nào được đặt. Từ chối thì website chạy y hệt, không thiếu chức năng nào.

Lựa chọn của bạn lưu trong localStorage của chính trình duyệt bạn — không phải cookie, vì đặt một cookie để nhớ rằng bạn từ chối cookie là chuyện tự mâu thuẫn. Nó không rời khỏi máy bạn và không ai đọc được.

Đổi ý lúc nào cũng được, và đổi dễ ngang lúc đồng ý:

Ngoài cookie đó, website lưu tạm một giá trị trong bộ nhớ phiên của trình duyệt (sessionStorage) khi bạn tới đây bằng cách bấm một quảng cáo Google của chúng tôi: đó là mã nhận dạng cú nhấp mà chính Google gắn vào đường dẫn quảng cáo. Nó dùng để chúng tôi biết quảng cáo nào thật sự mang lại yêu cầu rà soát.

Không phải cookie — trình duyệt không tự đính nó vào bất kỳ yêu cầu mạng nào.
Không bên thứ ba nào đọc được từ trình duyệt của bạn.
Tự mất khi bạn đóng thẻ trình duyệt.
Chỉ rời máy bạn đúng một lần, kèm theo form mà chính bạn bấm gửi. Nếu bạn không gửi form thì nó không đi đâu cả.

04 Ai khác nhận được dữ liệu

Chúng tôi không bán và không chia sẻ dữ liệu cho bên thứ ba vì mục đích của họ. Nhưng website chạy trên hạ tầng của bên khác, và trung thực mà nói thì các bên đó có tiếp xúc với dữ liệu:

Bên	Vai trò	Tiếp xúc dữ liệu nào
Vercel Inc.	Chạy website	Địa chỉ IP và thông tin kỹ thuật của mọi lượt truy cập.
Supabase Inc.	Lưu cơ sở dữ liệu	Toàn bộ dữ liệu ở mục 02. Máy chủ đặt tại Singapore.
Google LLC	Đo lưu lượng (Analytics)	Chỉ khi bạn đã bấm Đồng ý ở mục 03. Khi đó Google nhận địa chỉ IP, thông tin trình duyệt, và những trang bạn xem trên website này. Không nhận tên, email hay số điện thoại của bạn — chúng tôi không gửi những thứ đó sang.
Google LLC	Nhận kết quả quảng cáo	Nếu bạn tới website bằng cách bấm một quảng cáo Google của chúng tôi và sau đó gửi form, chúng tôi tải lên Google Ads mã cú nhấp của chính lần bấm đó cùng thời điểm gửi. Không kèm tên, email hay số điện thoại của bạn. Mã đó do Google sinh ra và gắn vào đường dẫn quảng cáo, nên đây là trả lại cho Google thứ Google đã biết, không phải đưa thêm.

Còn một bên nữa, nhưng nó chỉ chạm tới dữ liệu tài khoản quảng cáo chứ không chạm gì tới dữ liệu bạn gửi qua website: nhà cung cấp mô hình AI ở mục 05. Mục đó cũng nói về hai công cụ nội bộ của chúng tôi chạy trên hạ tầng Vercel, và về việc dữ liệu quảng cáo của khách hàng đi qua máy chủ đặt ở đâu.

Chuyển dữ liệu ra nước ngoài

Mọi bên nêu trong bảng trên — và cả bên ở mục 05 — đều đặt hệ thống ngoài lãnh thổ Việt Nam. Theo Luật 91/2025/QH15, việc dùng nền tảng ở nước ngoài để xử lý dữ liệu cá nhân thu thập tại Việt Nam là chuyển dữ liệu xuyên biên giới, và bên kiểm soát dữ liệu phải lập hồ sơ đánh giá tác động gửi cơ quan chuyên trách trong vòng 60 ngày kể từ ngày bắt đầu chuyển.

Bạn có quyền biết điều này trước khi gửi thông tin, nên nó được ghi ở đây thay vì giấu trong một điều khoản dài.

05 Dữ liệu tài khoản quảng cáo của khách hàng

Mục 02 nói về dữ liệu thu qua website. Mục này nói về một dòng dữ liệu khác hẳn, và nó đáng có mục riêng: dữ liệu tài khoản Google Ads của khách hàng, khi chúng tôi chạy hai công cụ nội bộ của mình. Cả hai đều nằm sau cổng đăng nhập, chỉ nhân sự ALFA mở được, và cả hai đều chạy trên hạ tầng Vercel đặt tại Hoa Kỳ.

ALFA CHECKING — ra-soat.alfamedia.vn. Khách hàng không tự tải gì lên; người đưa dữ liệu vào là nhân viên phụ trách tài khoản, lấy từ bản xuất báo cáo của chính tài khoản đó.
ALFA REPORT — report.alfamedia.vn. Ghi số liệu vận hành hằng ngày. Xem mục riêng bên dưới.

Ngoài hai công cụ trên, chúng tôi có thể dùng AdPilot — phần mềm của chính chúng tôi dưới thương hiệu ALFA Software — để làm việc trên tài khoản Google Ads. Xem phần cuối mục này.

Trong bản xuất có dữ liệu cá nhân nào

Phần lớn là số liệu quảng cáo, không phải dữ liệu cá nhân. Nhưng có đúng hai chỗ là dữ liệu cá nhân, và chúng tôi nói ra thay vì lờ đi:

Cụm từ tìm kiếm — nguyên văn thứ người dùng đã gõ vào Google. Chúng tôi không chọn được nội dung đó và không chủ động thu thập nó; Google trả nó về trong báo cáo. Người ta thỉnh thoảng gõ cả tên riêng, số điện thoại hoặc địa chỉ vào ô tìm kiếm.
Lịch sử thay đổi — cột "Người thay đổi" là địa chỉ email của người đã sửa tài khoản, thường là nhân sự của khách hàng hoặc của đơn vị quản lý trước.

Chúng tôi giữ lại bao lâu

Không giữ lại gì

File được đọc thẳng trong bộ nhớ rồi bỏ khi lượt rà soát kết thúc. Không ghi xuống đĩa, không ghi vào cơ sở dữ liệu — công cụ rà soát không có cơ sở dữ liệu nào cả. Bản rà soát chạy xong nằm trong trình duyệt của người soát; muốn giữ thì phải tự in ra PDF.

Đây là lý do bảng ở mục 06 không có dòng nào cho dữ liệu này: không có gì để giữ.

Phần nào rời khỏi máy chủ của chúng tôi

Một phần dữ liệu được gửi tới nhà cung cấp mô hình AI để phân tích những mục mà máy không tự tính được. Không phải cả file, mà là phần trích gồm:

Danh sách hành động chuyển đổi: tên, nguồn, cách đếm.
Những cụm từ tìm kiếm tốn tiền nhất, kèm chi phí và số chuyển đổi.
Từ khoá phủ định đang có.
Nội dung quảng cáo và đường dẫn trang đích.
Lịch sử thay đổi: ngày, người thực hiện, nội dung sửa.
Bối cảnh do người soát tự mô tả: ngành hàng, thương hiệu, trang đích.

Nhà cung cấp này đặt hệ thống ngoài lãnh thổ Việt Nam, nên đây cũng là chuyển dữ liệu xuyên biên giới như nêu ở mục 04. Tại thời điểm cập nhật trang này, đó là Anthropic, gọi thẳng tới api.anthropic.com, không qua bên trung gian nào. Trước đây chúng tôi không in tên ra đây vì sợ nó cũ đi trong âm thầm khi thiết lập đổi; nay chúng tôi có một phép kiểm tự động đối chiếu câu này với cấu hình đang chạy thật, nên nói tên ra được. Khách hàng muốn xác nhận lại tại một thời điểm cụ thể thì hỏi qua admin@alfamedia.vn.

ALFA REPORT

Nhân sự của chúng tôi dùng một công cụ nội bộ để ghi số liệu vận hành hằng ngày. Công cụ này cho phép tải ảnh chụp màn hình bảng điều khiển quảng cáo lên để mô hình đọc số ra thay vì gõ tay. Ảnh được gửi tới Anthropic, đặt hệ thống ngoài lãnh thổ Việt Nam, nên đây cũng là chuyển dữ liệu xuyên biên giới như nêu ở mục 04.

Khác với phần trích ở trên, ảnh chụp gửi đi nguyên khung hình — chúng tôi không chọn được trường nào gửi và trường nào giữ lại, nên trong ảnh có thể có tên chiến dịch, cụm từ tìm kiếm, hoặc phần giao diện không liên quan tới con số cần đọc.

Ảnh không được giữ lại

Đọc trong bộ nhớ, gửi đi, nhận số về, rồi bỏ. Không ghi xuống đĩa và không ghi vào cơ sở dữ liệu — thứ được lưu chỉ là con số đã đọc, kèm dấu ghi rằng số đó do mô hình đọc chứ không do người gõ, và tên người đã duyệt trước khi lưu. Mô hình không tự lưu được: nó điền số vào biểu mẫu, người nhập kiểm rồi mới bấm lưu.

Nhân sự được yêu cầu cắt bớt vùng ảnh trước khi tải nếu trong khung có thứ không liên quan, và màn hình nhắc lại điều đó ngay tại chỗ chọn ảnh.

AdPilot của ALFA Software

Chúng tôi có thể dùng AdPilot để đọc số liệu và thực hiện thay đổi trên tài khoản Google Ads của khách hàng. AdPilot là sản phẩm của chính Công ty TNHH ALFA Media, bán dưới thương hiệu ALFA Software — không phải của một bên khác. Nó chạy trên hạ tầng riêng, tách khỏi hai công cụ nội bộ nêu ở đầu mục này, và dữ liệu đi qua nó được mô tả chi tiết ở chính sách bảo mật của ALFA AdPilot (mở trong tab mới).

Căn cứ, và cách từ chối

Việc xử lý này dựa trên hợp đồng dịch vụ với khách hàng sở hữu tài khoản quảng cáo. Khách hàng không muốn dữ liệu tài khoản của mình đi qua nhà cung cấp mô hình AI thì báo trước khi rà soát — chúng tôi soát tay và không chạy công cụ. Bản rà soát vẫn đủ danh mục, chỉ lâu hơn. Với ảnh chụp ở ALFA REPORT cũng vậy: nhân sự gõ số bằng tay được, và đó vốn là cách mặc định — đường đọc ảnh chỉ là lối tắt.

06 Giữ bao lâu

Dữ liệu	Thời gian giữ	Rồi sao
Yêu cầu rà soát tài khoản	24 tháng kể từ ngày gửi	Xóa khỏi cơ sở dữ liệu.
Nhật ký đăng nhập	12 tháng	Xóa khỏi cơ sở dữ liệu.
Ảnh chụp gửi lên để đọc số	Không lưu	Đọc trong bộ nhớ rồi bỏ ngay; chỉ con số đã đọc được giữ lại.
Tài khoản nội bộ	Tới khi tài khoản bị xóa	Xóa trong vòng 30 ngày kể từ khi chấm dứt quyền truy cập.

Bạn yêu cầu xóa sớm hơn thì chúng tôi xóa sớm hơn, trừ phần buộc phải giữ theo nghĩa vụ kế toán hoặc theo yêu cầu của cơ quan nhà nước có thẩm quyền.

07 Quyền của bạn

Luật 91/2025/QH15 cho bạn các quyền dưới đây đối với dữ liệu cá nhân của chính mình. Chúng tôi không đòi bạn giải thích lý do khi thực hiện các quyền này.

Quyền được biết — biết dữ liệu nào của bạn đang được xử lý và xử lý thế nào. Trang này chính là cách chúng tôi thực hiện nghĩa vụ đó.
Quyền đồng ý và rút lại đồng ý — rút lại bất cứ lúc nào. Việc rút lại không làm mất hiệu lực của việc xử lý đã diễn ra hợp pháp trước đó.
Quyền truy cập — yêu cầu một bản sao dữ liệu của bạn mà chúng tôi đang giữ.
Quyền chỉnh sửa — sửa dữ liệu sai hoặc không còn đúng.
Quyền xóa — yêu cầu xóa dữ liệu của bạn.
Quyền hạn chế và phản đối việc xử lý.
Quyền khiếu nại, tố cáo, khởi kiện và quyền yêu cầu bồi thường thiệt hại theo quy định pháp luật.

Cách thực hiện

Gửi yêu cầu tới admin@alfamedia.vn hoặc gọi 0938 079 049. Chúng tôi trả lời trong 72 giờ kể từ khi nhận yêu cầu. Nếu cần thêm thời gian để xác minh danh tính hoặc để tập hợp dữ liệu, chúng tôi sẽ nói rõ lý do và thời hạn dự kiến.

08 Chúng tôi bảo vệ dữ liệu thế nào

Toàn bộ kết nối đi qua HTTPS.
Mật khẩu băm bằng bcrypt, không lưu bản đọc được, không khôi phục lại được.
Cookie phiên đặt cờ httpOnly, secure và sameSite, nên không đọc được bằng mã JavaScript trên trang.
Đăng nhập sai quá 5 lần trong 15 phút thì bị chặn tạm thời.
Tài khoản do quản trị cấp tay, không có đăng ký tự do, nên không có tài khoản lạ trong hệ thống.
Số người có quyền đọc dữ liệu này giới hạn ở mức tối thiểu cần cho công việc.

Nếu xảy ra sự cố làm lộ dữ liệu cá nhân, chúng tôi thông báo cho cơ quan chuyên trách và cho người bị ảnh hưởng trong vòng 72 giờ kể từ khi phát hiện, theo đúng nghĩa vụ tại Luật 91/2025/QH15.

09 Trẻ em

Dịch vụ của chúng tôi dành cho doanh nghiệp và người trưởng thành. Chúng tôi không chủ động thu thập dữ liệu của người dưới 16 tuổi. Nếu phát hiện đã nhận dữ liệu như vậy mà không có sự đồng ý hợp lệ của cha, mẹ hoặc người giám hộ, chúng tôi xóa ngay.

10 Khi chính sách này thay đổi

Chúng tôi sửa trang này khi cách xử lý dữ liệu thay đổi, và luôn cập nhật ngày ở đầu trang. Nếu thay đổi làm ảnh hưởng đáng kể tới quyền của bạn, chúng tôi báo trực tiếp cho những người đang có dữ liệu trong hệ thống thay vì chỉ sửa lặng lẽ.

Xem thêm Điều khoản sử dụng.

Chính sách bảo mật dữ liệu cá nhân