Chính Sách Bảo Vệ Dữ Liệu Cá Nhân – Shieldix

1. Phạm vi áp dụng và định nghĩa

Chính sách áp dụng cho việc xử lý dữ liệu cá nhân trên nền tảng và toàn bộ dịch vụ Shieldix, gồm Shieldix Active XDR và các dịch vụ đám mây, hạ tầng. Các khái niệm về dữ liệu cá nhân cơ bản, nhạy cảm, chủ thể dữ liệu, xử lý dữ liệu, bên kiểm soát và bên xử lý dữ liệu được hiểu theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.

2. Các loại dữ liệu thu thập

a)Dữ liệu tài khoản và liên hệ: họ tên, thư điện tử, số điện thoại, tên đăng nhập, thông tin xác thực.
b)Dữ liệu tổ chức khi Khách hàng là doanh nghiệp: tên doanh nghiệp, mã số thuế, địa chỉ, người liên hệ.
c)Dữ liệu giao dịch: lịch sử nạp và sử dụng Credit, dữ liệu hợp đồng và đối soát, hóa đơn.
d)Dữ liệu kỹ thuật của dịch vụ Active XDR: nhật ký thiết bị, sự kiện an ninh, cấu hình điểm cuối, địa chỉ IP thiết bị được bảo vệ, dữ liệu do phần mềm tác nhân ghi nhận trong phạm vi Khách hàng cài đặt và cấp quyền.
đ)Dữ liệu kỹ thuật của các dịch vụ đám mây và hạ tầng: cấu hình hệ thống, tên miền, địa chỉ IP nguồn, dữ liệu lưu lượng mạng và nhật ký hệ thống phục vụ giám sát bảo mật và xử lý sự cố. Nội dung khách hàng truyền qua các dịch vụ này thuộc quyền của Khách hàng. Chúng tôi chỉ xử lý theo yêu cầu kỹ thuật để cung cấp dịch vụ.
e)Dữ liệu thu thập tự động khi truy cập website: địa chỉ IP, loại trình duyệt, thời gian truy cập, trang đã xem và dữ liệu cookie, phục vụ các công cụ đo lường và quảng cáo của bên thứ ba, hiện gồm Google Analytics 4 và Yandex Metrica, có thể gồm Meta (Facebook) và LinkedIn khi triển khai quảng cáo.

Trường hợp thu thập dữ liệu cá nhân nhạy cảm, Chúng tôi thông báo cho Khách hàng ngay khi thu thập.

3. Mục đích xử lý

Cung cấp và vận hành các dịch vụ an ninh mạng và hạ tầng, tạo và quản lý tài khoản, xử lý thanh toán, nạp Credit, đối soát hợp đồng và xuất hóa đơn, hỗ trợ kỹ thuật, đo lường và cải thiện website, dịch vụ, thực hiện quảng cáo và tiếp thị khi Khách hàng đồng ý, bảo đảm an ninh và ngăn ngừa gian lận, thực hiện nghĩa vụ pháp lý.

4. Cơ sở pháp lý và cơ chế thu thập sự đồng ý

Việc xử lý dữ liệu dựa trên sự đồng ý của chủ thể dữ liệu và việc thực hiện hợp đồng cung cấp dịch vụ. Sự đồng ý được thu thập một cách chủ động, rõ ràng và có thể kiểm chứng. Im lặng hoặc không phản hồi không được coi là đồng ý. Chúng tôi không sử dụng ô đồng ý được tích sẵn. Đồng ý được tách theo mục đích: đồng ý xử lý dữ liệu để cung cấp dịch vụ (bắt buộc) tách khỏi đồng ý nhận thông tin tiếp thị và cookie phân tích, quảng cáo (tùy chọn). Khi xin đồng ý, Chúng tôi thông báo mục đích, loại dữ liệu, nguồn thu thập, các bên được chia sẻ, thời gian lưu trữ, cách rút lại đồng ý và cách xóa dữ liệu.

5. Chia sẻ dữ liệu với bên thứ ba

Chúng tôi không bán và không chia sẻ dữ liệu cá nhân của Khách hàng cho bên thứ ba vì mục đích thương mại. Chúng tôi có chia sẻ dữ liệu trong phạm vi cần thiết với các nhóm sau:

Đối tác cung cấp hạ tầng kỹ thuật để vận hành dịch vụ (ví dụ CDNetworks cho dịch vụ CDN và hạ tầng), theo thỏa thuận bảo mật dữ liệu.
Dịch vụ đo lường và quảng cáo của bên thứ ba, hiện gồm Google Analytics 4 và Yandex Metrica (nhà cung cấp tại Liên bang Nga), có thể gồm Meta (Facebook) và LinkedIn khi triển khai quảng cáo, xử lý dữ liệu truy cập website và cookie theo điều khoản của nhà cung cấp.
Đơn vị tư vấn, kiểm toán, pháp lý.
Cơ quan nhà nước có thẩm quyền khi có yêu cầu hợp pháp.

6. Nơi lưu trữ và chuyển dữ liệu ra nước ngoài

Dữ liệu cá nhân và nội dung của Khách hàng phục vụ tài khoản, giao dịch và cung cấp dịch vụ được lưu trữ tại Việt Nam, phù hợp quy định về địa phương hóa dữ liệu tại Nghị định 53/2022/NĐ-CP. Riêng dữ liệu truy cập website qua các công cụ đo lường và quảng cáo của bên thứ ba (hiện gồm Google Analytics 4 và Yandex Metrica, có thể gồm Meta và LinkedIn khi triển khai quảng cáo) có thể được nhà cung cấp xử lý trên hạ tầng đặt ngoài Việt Nam, gồm hạ tầng tại Hoa Kỳ và tại Liên bang Nga. Chúng tôi thực hiện các nghĩa vụ theo quy định về chuyển dữ liệu cá nhân ra nước ngoài của Luật Bảo vệ dữ liệu cá nhân.

Dữ liệu nhật ký và telemetry an ninh của Shieldix Active XDR, cùng dữ liệu kỹ thuật và nội dung khách hàng của các dịch vụ đám mây và hạ tầng, được xử lý và lưu trữ trên hạ tầng đặt tại Việt Nam và không chuyển ra hạ tầng của đối tác ở nước ngoài. Việc chuyển dữ liệu cá nhân ra nước ngoài nêu tại mục này chỉ giới hạn ở dữ liệu truy cập website thu thập qua các công cụ đo lường và quảng cáo của bên thứ ba.

7. Dữ liệu telemetry, điểm cuối và phân định vai trò kiểm soát, xử lý dữ liệu

Đối với Shieldix Active XDR, phần mềm tác nhân thu thập dữ liệu nhật ký và telemetry an ninh từ thiết bị được bảo vệ, gồm sự kiện an ninh, thông tin tiến trình và tệp, siêu dữ liệu mạng, cấu hình điểm cuối và địa chỉ IP thiết bị, giới hạn trong phạm vi cần thiết cho mục đích an ninh và theo cấu hình Khách hàng chọn.
Phân định vai trò đối với Khách hàng doanh nghiệp. Khi Khách hàng doanh nghiệp triển khai dịch vụ trên thiết bị của nhân viên, người dùng cuối của mình, Khách hàng là Bên Kiểm soát dữ liệu cá nhân đối với dữ liệu của nhân viên, người dùng cuối. Chúng tôi xử lý dữ liệu đó theo hợp đồng và chỉ dẫn hợp pháp của Khách hàng với tư cách Bên Xử lý dữ liệu. Điều này cũng áp dụng cho nội dung khách hàng truyền qua các dịch vụ đám mây và hạ tầng.
Trách nhiệm của Khách hàng doanh nghiệp: bảo đảm có cơ sở pháp lý hợp lệ cho việc giám sát an ninh và xử lý dữ liệu người dùng cuối, gồm thông báo và lấy đồng ý khi pháp luật yêu cầu.
Dữ liệu mối đe dọa đã tách khỏi thông tin định danh không được coi là dữ liệu cá nhân của Khách hàng. Chúng tôi có thể xử lý để vận hành và cải thiện năng lực phát hiện, phản hồi của dịch vụ.
Đối với Khách hàng cá nhân, Chúng tôi là Bên Kiểm soát và xử lý dữ liệu cá nhân đối với dữ liệu telemetry thu thập từ thiết bị của chính Khách hàng, phục vụ mục đích cung cấp dịch vụ.

8. Thời gian lưu trữ

Chúng tôi lưu dữ liệu trong thời gian cần thiết cho mục đích xử lý và theo thời hạn tối thiểu mà pháp luật quy định:

Loại dữ liệu	Thời gian lưu trữ
Dữ liệu tài khoản và liên hệ	Trong thời gian tài khoản còn hoạt động và tối đa 24 tháng sau khi chấm dứt, trừ khi Khách hàng yêu cầu xóa sớm hợp lệ
Dữ liệu giao dịch, Credit, hợp đồng, đối soát, hóa đơn	Theo pháp luật kế toán và thuế, tối thiểu 10 năm
Dữ liệu nhật ký, telemetry an ninh và nhật ký hệ thống	Trong thời gian dịch vụ còn hiệu lực và một khoảng thời gian hợp lý sau đó phục vụ điều tra sự cố, tối đa 12 tháng, trừ khi cần lưu lâu hơn theo yêu cầu hợp pháp
Nội dung khách hàng trên các dịch vụ đám mây và hạ tầng	Sau khi chấm dứt dịch vụ, được lưu tối đa 30 ngày để Khách hàng xuất dữ liệu, sau đó xóa
Dữ liệu truy cập website và cookie	Theo thời hạn của từng loại cookie nêu tại Chính sách cookie
Dữ liệu hỗ trợ, khiếu nại	Tối đa 5 năm kể từ lần trao đổi cuối

Sau khi hết thời hạn, dữ liệu được xóa hoặc ẩn danh, trừ trường hợp pháp luật yêu cầu tiếp tục lưu trữ.

9. Biện pháp bảo mật

Chúng tôi áp dụng mã hóa dữ liệu truyền tải và lưu trữ, kiểm soát truy cập theo nguyên tắc tối thiểu đặc quyền, giám sát bảo mật, kiểm tra và đánh giá lỗ hổng định kỳ, đào tạo nhân sự và ký cam kết bảo mật, tuân thủ tiêu chuẩn và quy chuẩn kỹ thuật về an toàn thông tin mạng. Trường hợp xảy ra sự cố lộ, mất dữ liệu, Chúng tôi thông báo cho cơ quan chức năng và Khách hàng theo quy định, trong thời hạn theo pháp luật.

10. Quyền của chủ thể dữ liệu và cách thực hiện

Theo Luật Bảo vệ dữ liệu cá nhân, Khách hàng có các quyền: được biết, đồng ý và rút lại đồng ý, truy cập và xem, chỉnh sửa, yêu cầu cung cấp, yêu cầu xóa, hạn chế xử lý, phản đối xử lý, khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường theo quy định.
Cách thực hiện. Khách hàng xem và chỉnh sửa thông tin cơ bản trực tiếp trong tài khoản. Đối với các quyền còn lại, gửi yêu cầu tới đầu mối bảo vệ dữ liệu qua thư điện tử info@shieldix.com.vn hoặc điện thoại +84 38 595 0328. Chúng tôi có thể xác minh danh tính trước khi xử lý.
Thời hạn phản hồi. Đối với yêu cầu xem và chỉnh sửa dữ liệu, Chúng tôi thực hiện trong vòng bảy mươi hai (72) giờ kể từ khi nhận yêu cầu hợp lệ. Đối với các quyền khác, phản hồi trong thời hạn theo pháp luật về bảo vệ dữ liệu cá nhân.
Rút lại đồng ý được thực hiện dễ dàng như khi đồng ý. Việc rút lại không ảnh hưởng đến tính hợp pháp của xử lý trước đó và có thể dẫn đến việc không thể tiếp tục cung cấp một phần hoặc toàn bộ dịch vụ. Chúng tôi thông báo trước hệ quả.
Đối với yêu cầu xóa, hủy dữ liệu, Chúng tôi xác minh, thông báo trước rủi ro rồi thực hiện, trừ trường hợp pháp luật yêu cầu lưu trữ hoặc dữ liệu cần cho giải quyết tranh chấp, thực hiện nghĩa vụ pháp lý.

11. Cookie và công nghệ theo dõi

Website sử dụng cookie và công nghệ theo dõi phục vụ vận hành, đo lường (Google Analytics 4) và quảng cáo. Chi tiết tại Chính sách cookie.

12. Dữ liệu của trẻ em

Dịch vụ không dành cho và không cố ý thu thập dữ liệu của trẻ em dưới 16 tuổi. Khi phát hiện, Chúng tôi xử lý theo quy định của Luật Bảo vệ dữ liệu cá nhân.

13. Hậu quả, thiệt hại không mong muốn có thể xảy ra

Chúng tôi áp dụng các biện pháp bảo vệ theo quy định, tuy nhiên việc xử lý dữ liệu trên môi trường mạng luôn tiềm ẩn rủi ro. Hậu quả, thiệt hại không mong muốn có thể xảy ra gồm dữ liệu bị truy cập trái phép do tấn công mạng vượt khả năng phòng vệ thông thường, do lỗi của bên thứ ba, hoặc do Khách hàng để lộ thông tin đăng nhập. Chúng tôi thông báo và phối hợp xử lý kịp thời khi có sự cố. Khách hàng chủ động bảo mật thông tin tài khoản để giảm thiểu rủi ro.

14. Đầu mối phụ trách bảo vệ dữ liệu cá nhân

Mọi yêu cầu, phản ánh, khiếu nại về dữ liệu cá nhân gửi tới:

Thư điện tử: info@shieldix.com.vn
Điện thoại: +84 38 595 0328

15. Thay đổi chính sách

Chúng tôi có thể cập nhật chính sách và thông báo trên nền tảng trước khi áp dụng. Chính sách có hiệu lực từ ngày 28/07/2026. Phiên bản 1.0.

16. Thông tin chủ quản

Tên công ty: Công ty Cổ phần Shieldix
Địa chỉ trụ sở chính: Số 6 ngách 97/34 Đình Thôn, tổ dân phố số 8 Đình Thôn, phường Từ Liêm, thành phố Hà Nội

1. Scope of Application and Definitions

This Policy applies to the processing of personal data on the platform and across all Shieldix services, including Shieldix Active XDR and the cloud and infrastructure services. The concepts of basic personal data, sensitive personal data, data subject, data processing, data controller, and data processor are to be understood in accordance with the Law on Personal Data Protection No. 91/2025/QH15.

2. Categories of Data Collected

a)Account and contact data: full name, email address, telephone number, username, and authentication information.
b)Organisation data where the Customer is a business: company name, tax code, address, and contact person.
c)Transaction data: Credit top-up and usage history, contract and reconciliation data, and invoices.
d)Technical data of the Active XDR service: device logs, security events, endpoint configuration, IP addresses of protected devices, and data recorded by the agent software within the scope installed and authorised by the Customer.
đ)Technical data of the cloud and infrastructure services: system configuration, domain names, source IP addresses, network traffic data, and system logs used for security monitoring and incident resolution. Customer Content transmitted through these services belongs to the Customer; we process it only as technically required to deliver the Services.
e)Data collected automatically on website visits: IP address, browser type, access time, pages viewed, and cookie data, used by third-party measurement and advertising tools, currently Google Analytics 4 and Yandex Metrica, and potentially Meta (Facebook) and LinkedIn once advertising is deployed.

Where sensitive personal data is collected, we notify the Customer at the time of collection.

3. Purposes of Processing

To provide and operate the cybersecurity and infrastructure services; create and manage accounts; process payments, Credit top-ups, contract reconciliation, and invoicing; provide technical support; measure and improve the website and the Services; carry out advertising and marketing where the Customer consents; ensure security and prevent fraud; and comply with legal obligations.

4. Legal Basis and Consent Mechanism

Data processing is based on the consent of the data subject and on performance of the service contract. Consent is obtained actively, clearly, and verifiably. Silence or non-response does not constitute consent. We do not use pre-ticked consent boxes. Consent is separated by purpose: consent to processing for the delivery of the Services (mandatory) is separate from consent to receive marketing communications and to analytics and advertising cookies (optional). When seeking consent, we disclose the purpose, the categories of data, the source of collection, the parties with whom data is shared, the retention period, how to withdraw consent, and how to have data deleted.

5. Sharing Data with Third Parties

We do not sell and do not share Customers' personal data with third parties for commercial purposes. We share data, to the extent necessary, with the following categories of recipient:

Partners providing technical infrastructure to operate the Services (for example, CDNetworks for the CDN and infrastructure services), under data protection agreements.
Third-party measurement and advertising services, currently Google Analytics 4 and Yandex Metrica (a provider established in the Russian Federation), and potentially Meta (Facebook) and LinkedIn once advertising is deployed, which process website access data and cookies under their own terms.
Advisory, audit, and legal service providers.
Competent state authorities upon lawful request.

6. Storage Location and Cross-Border Data Transfers

Customers' personal data and content relating to accounts, transactions, and service delivery are stored in Vietnam, in accordance with the data localisation requirements of Decree 53/2022/ND-CP. Website access data collected through third-party measurement and advertising tools (currently Google Analytics 4 and Yandex Metrica, and potentially Meta and LinkedIn once advertising is deployed) may be processed by those providers on infrastructure located outside Vietnam, including infrastructure in the United States and in the Russian Federation. We discharge our obligations under the cross-border personal data transfer provisions of the Law on Personal Data Protection.

Security logs and telemetry from Shieldix Active XDR, together with the technical data and Customer Content of the cloud and infrastructure services, are processed and stored on infrastructure located in Vietnam and are not transferred to partner infrastructure abroad. The cross-border transfers described in this section are limited to website access data collected through third-party measurement and advertising tools.

7. Telemetry, Endpoints, and Allocation of Controller and Processor Roles

For Shieldix Active XDR, the agent software collects security logs and telemetry from protected devices, including security events, process and file information, network metadata, endpoint configuration, and device IP addresses, limited to what is necessary for security purposes and to the configuration selected by the Customer.
Allocation of roles for business Customers. Where a business Customer deploys the Services on the devices of its employees or end users, the Customer is the Data Controller in respect of that employee and end user data. We process such data under contract and on the Customer's lawful instructions, in the capacity of Data Processor. The same applies to Customer Content transmitted through the cloud and infrastructure services.
Business Customer responsibilities: ensuring a valid legal basis for security monitoring and for processing end user data, including giving notice and obtaining consent where required by law.
Threat data separated from identifying information is not treated as the Customer's personal data. We may process it to operate and improve the detection and response capability of the Services.
For individual Customers, we act as Data Controller and process personal data in respect of telemetry collected from the Customer's own devices for the purpose of delivering the Services.

8. Retention Periods

We retain data for as long as necessary for the purposes of processing and for the minimum periods prescribed by law:

Category of data	Retention period
Account and contact data	For as long as the account is active and for up to 24 months after termination, unless the Customer makes a valid request for earlier deletion
Transaction, Credit, contract, reconciliation, and invoice data	In accordance with accounting and tax law, a minimum of 10 years
Security logs, telemetry, and system logs	For the term of the service and a reasonable period thereafter for incident investigation, up to 12 months, unless longer retention is lawfully required
Customer Content on the cloud and infrastructure services	Retained for up to 30 days after termination to allow the Customer to export it, then deleted
Website access data and cookies	For the lifetime of each cookie as set out in the Cookie Policy
Support and complaint records	Up to 5 years from the last exchange

Once the retention period expires, data is deleted or anonymised, except where law requires continued retention.

9. Security Measures

We apply encryption of data in transit and at rest, access control on the principle of least privilege, security monitoring, periodic vulnerability testing and assessment, staff training and confidentiality undertakings, and compliance with technical standards and regulations on network information security. In the event of an incident resulting in disclosure or loss of data, we notify the competent authorities and the Customer as required, within the periods prescribed by law.

10. Data Subject Rights and How to Exercise Them

Under the Law on Personal Data Protection, the Customer has the rights to be informed; to consent and withdraw consent; to access and view; to rectify; to request provision of data; to request erasure; to restrict processing; to object to processing; and to complain, denounce, litigate, and claim compensation as provided by law.
How to exercise them. The Customer may view and amend basic information directly within its account. For all other rights, requests should be sent to the data protection contact point by email at info@shieldix.com.vn or by telephone at +84 38 595 0328. We may verify identity before processing a request.
Response times. For requests to view and rectify data, we act within seventy-two (72) hours of receiving a valid request. For other rights, we respond within the periods prescribed by personal data protection law.
Withdrawing consent is as straightforward as giving it. Withdrawal does not affect the lawfulness of processing carried out beforehand and may mean that we can no longer provide part or all of the Services. We notify the Customer of these consequences in advance.
For erasure or destruction requests, we verify the request, notify the Customer of the associated risks, and then act, except where law requires retention or where the data is needed to resolve a dispute or discharge a legal obligation.

11. Cookies and Tracking Technologies

The website uses cookies and tracking technologies for operational purposes, measurement (Google Analytics 4), and advertising. Full details are set out in the Cookie Policy.

12. Children's Data

The Services are not intended for, and we do not knowingly collect data from, children under 16. Where we become aware of such data, we handle it in accordance with the Law on Personal Data Protection.

13. Potential Adverse Outcomes

We apply the protective measures required by law; nevertheless, processing data in a networked environment always carries residual risk. Potential adverse outcomes include unauthorised access to data through cyberattacks exceeding ordinary defensive capability, through third-party failures, or through the Customer disclosing its own login credentials. We give notice and cooperate in resolving incidents promptly. Customers should actively safeguard their account credentials to reduce risk.

14. Data Protection Contact Point

All requests, reports, and complaints concerning personal data should be sent to:

Email: info@shieldix.com.vn
Telephone: +84 38 595 0328

15. Changes to This Policy

We may update this Policy and will give notice on the platform before the update takes effect. This Policy is effective from 28 July 2026. Version 1.0.

16. Operator Information

Company name: Shieldix Joint Stock Company
Registered office: No. 6, Alley 97/34 Dinh Thon, Residential Group No. 8 Dinh Thon, Tu Liem Ward, Hanoi City