CHÍNH SÁCH QUYỀN RIÊNG TƯ VÀ BẢO VỆ DỮ LIỆU CÁ NHÂN CỦA TAPDI

Phiên bản 1.0 · Ngày hiệu lực 01/10/2026

This document is published in Vietnamese, which is the authoritative version.

Chính sách này giải thích Tapdi thu thập dữ liệu gì, dùng để làm gì, chia sẻ với ai và Người dùng có những quyền gì. Chính sách được xây dựng theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, và có giá trị là thông báo của Tapdi gửi Người dùng trước khi xử lý dữ liệu cá nhân. Chính sách này là văn bản độc lập với Điều khoản sử dụng Dịch vụ Tapdi; các thuật ngữ được giải thích tại Mục 1.1.

Tóm tắt: Dữ liệu thẻ và giao dịch của bạn là dữ liệu nhạy cảm. Tapdi chỉ dùng để tính hoàn tiền và quản lý thẻ cho bạn. Tapdi không lưu mật khẩu ngân hàng, không bán dữ liệu cá nhân, và chỉ chia sẻ ra ngoài dữ liệu đã ẩn danh, trừ khi bạn đồng ý riêng. Bạn có thể xem, sửa, xuất hoặc xóa dữ liệu bất cứ lúc nào.

Mục 1: Giải thích từ ngữ và vai trò các bên#

1.1 Giải thích từ ngữ. Trong Chính sách này:

• Tapdi (hoặc "Chúng tôi"): là đơn vị vận hành website tapdi.vn, ứng dụng và các dịch vụ liên quan ("Dịch vụ"), thông tin đơn vị được nêu tại Mục 15.2.
• Người dùng: là cá nhân đăng ký Tài khoản và sử dụng Dịch vụ. Người dùng là Chủ thể dữ liệu đối với dữ liệu cá nhân của mình.
• Chủ thể dữ liệu: là cá nhân được dữ liệu cá nhân phản ánh, bao gồm Người dùng và người khác có dữ liệu do Người dùng cung cấp.
• Dữ liệu cá nhân, Dữ liệu cá nhân cơ bản, Dữ liệu cá nhân nhạy cảm, Xử lý dữ liệu cá nhân: có nghĩa theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Thông tin thẻ ngân hàng và lịch sử giao dịch là Dữ liệu cá nhân nhạy cảm.
• Bên Kiểm soát và xử lý dữ liệu cá nhân: là bên đồng thời quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu.
• Bên Xử lý dữ liệu cá nhân: là bên xử lý dữ liệu thay mặt Tapdi theo hợp đồng với Tapdi.
• Đối tác: là tổ chức hợp tác với Tapdi, bao gồm Bên Xử lý dữ liệu cá nhân và bên nhận Dữ liệu tổng hợp ẩn danh.
• Khử nhận dạng: là việc loại bỏ hoặc thay thế thông tin để dữ liệu không còn xác định được một cá nhân cụ thể.
• Dữ liệu tổng hợp ẩn danh: là số liệu thống kê được tạo từ dữ liệu của nhiều Người dùng sau khi khử nhận dạng, không chứa và không thể dùng để xác định một cá nhân cụ thể.
• Tài khoản, Gói Trả phí, Mã ưu đãi, Tổ chức phát hành thẻ và các thuật ngữ khác về Dịch vụ có nghĩa như tại Điều khoản sử dụng Dịch vụ Tapdi.

1.2 Tapdi là Bên Kiểm soát và xử lý dữ liệu cá nhân đối với dữ liệu cá nhân của Người dùng theo Chính sách này.

1.3 Đối tác cung cấp hạ tầng, thanh toán, gửi thông báo, giám sát lỗi và trí tuệ nhân tạo là Bên Xử lý dữ liệu cá nhân, chỉ xử lý dữ liệu theo yêu cầu và hợp đồng với Tapdi. Các nhóm Đối tác và quốc gia xử lý được nêu tại Mục 5.

1.4 Dữ liệu của người khác. Khi Người dùng cung cấp dữ liệu cá nhân của người khác (ví dụ email thành viên quỹ chi tiêu chung), Người dùng cam kết đã thông báo và có sự đồng ý của người đó. Chủ thể dữ liệu là bên thứ ba này có thể liên hệ legal@tapdi.vn để thực hiện quyền của mình, bao gồm yêu cầu xóa dữ liệu.

Mục 2: Dữ liệu cá nhân Tapdi xử lý#

2.1 Tapdi không thu thập: mật khẩu ngân hàng, mật khẩu email, mã OTP của ngân hàng, số thẻ đầy đủ, mã CVV, số và ảnh giấy tờ tùy thân, dữ liệu sinh trắc học, vị trí định vị. Mật khẩu tệp sao kê (nếu Người dùng cung cấp) chỉ được dùng một lần và không được lưu (Điều 5.4a Điều khoản sử dụng).

2.2 Thông báo về dữ liệu nhạy cảm: Thông tin thẻ ngân hàng và lịch sử giao dịch là dữ liệu cá nhân nhạy cảm theo Nghị định 356/2025/NĐ-CP. Nếu bị lộ, dữ liệu này có thể bị lợi dụng để lừa đảo có chủ đích hoặc suy đoán thói quen chi tiêu của Người dùng. Tapdi chỉ xử lý nhóm dữ liệu này khi Người dùng đồng ý rõ ràng bằng thao tác riêng.

2.3 Phân tích sử dụng: Tapdi ghi nhận một số sự kiện sử dụng được định nghĩa trước (ví dụ "đã thêm thẻ") để cải thiện sản phẩm. Tapdi không ghi lại phiên sử dụng (session recording), không tự động thu thập mọi thao tác, và không gửi số tiền hay nội dung giao dịch cho công cụ phân tích. Người dùng có thể tắt phân tích sử dụng theo Mục 11.

Mục 3: Mục đích xử lý#

3.1 Người dùng từ chối hoặc rút lại đồng ý cho mục đích tùy chọn (2, 7, 8, 9) vẫn dùng được các tính năng cốt lõi. Riêng người không tham gia mục đích 7 sẽ không dùng được các tính năng dựa trên dữ liệu cộng đồng, như tra cứu MCC do cộng đồng chia sẻ (Điều 14.1a Điều khoản sử dụng). Người dùng có thể thay đổi lựa chọn bất kỳ lúc nào trong phần Cài đặt quyền riêng tư.

3.2 Xử lý tự động. Tapdi dùng công thức và quy tắc tự động để: (a) tính Số liệu hoàn tiền ước tính cho từng giao dịch theo điều kiện của thẻ; (b) gợi ý thẻ nên dùng cho một khoản chi; (c) gợi ý thẻ nên mở dựa trên cơ cấu chi tiêu; (d) phân loại giao dịch theo ngành hàng, mã MCC. Các kết quả này chỉ để Người dùng tham khảo và không làm thay đổi quyền, nghĩa vụ của Người dùng.

Tapdi không dùng dữ liệu của Người dùng để đánh giá khả năng trả nợ, xếp hạng hay chấm điểm tín dụng, và không cung cấp kết quả phân tích về từng Người dùng cho Tổ chức phát hành thẻ, công ty thông tin tín dụng hoặc bên khác để quyết định cấp tín dụng, hạn mức hay mở thẻ cho Người dùng.

3.3 Tapdi chỉ xử lý dữ liệu cho mục đích mới ngoài bảng trên sau khi thông báo và có sự đồng ý mới của Người dùng, trừ trường hợp pháp luật cho phép xử lý không cần sự đồng ý.

Mục 4: Chia sẻ dữ liệu cá nhân#

4.1 Cam kết. Tapdi không mua bán dữ liệu cá nhân của Người dùng dưới bất kỳ hình thức nào. Tapdi chỉ chia sẻ dữ liệu cá nhân trong các trường hợp sau:

1. Bên Xử lý dữ liệu giúp Tapdi vận hành Dịch vụ (Mục 5), chỉ trong phạm vi cần thiết và theo hợp đồng có nghĩa vụ bảo mật;
2. Người nhận do Người dùng chỉ định, ví dụ email bảng quyết toán quỹ chi tiêu chung gửi theo yêu cầu của Người dùng;
3. Đối tác cụ thể khi Người dùng đồng ý từng lần (Mục đích 9), ví dụ Tổ chức phát hành thẻ khi Người dùng đăng ký mở thẻ qua Tapdi. Trước mỗi lần, Tapdi nêu rõ bên nhận, loại dữ liệu và mục đích;
4. Cơ quan nhà nước có thẩm quyền theo yêu cầu hợp lệ hoặc quy định của pháp luật;
5. Doanh nghiệp kế thừa khi thành lập doanh nghiệp, sáp nhập hoặc chuyển nhượng, sau khi thông báo cho Người dùng (theo Điều khoản sử dụng).

4.2 Dữ liệu tổng hợp ẩn danh không phải dữ liệu cá nhân và có thể được chia sẻ hoặc cấp phép cho Đối tác phục vụ nghiên cứu, phát triển thị trường, theo các cam kết tại Điều 14 Điều khoản sử dụng (chỉ từ Người dùng tham gia, đã được khử nhận dạng và bên nhận cam kết không tái nhận dạng).

Mục 5: Bên Xử lý dữ liệu và chuyển dữ liệu ra nước ngoài#

5.1 Để vận hành Dịch vụ, Tapdi sử dụng các nhóm Bên Xử lý dữ liệu sau. Một số Bên Xử lý đặt máy chủ ngoài Việt Nam, vì vậy dữ liệu cá nhân của Người dùng, bao gồm dữ liệu nhạy cảm, được chuyển ra nước ngoài:

Người dùng có thể yêu cầu danh sách tên cụ thể của các Bên Xử lý qua legal@tapdi.vn.

5.2 Biện pháp bảo vệ khi chuyển ra nước ngoài. Tapdi lựa chọn Đối tác có cam kết bảo mật và tiêu chuẩn an toàn thông tin được công nhận quốc tế; dữ liệu được mã hóa khi truyền và khi lưu trữ; Đối tác chỉ được xử lý dữ liệu theo yêu cầu của Tapdi. Tapdi lập, lưu giữ và gửi cơ quan có thẩm quyền hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo quy định của pháp luật.

5.3 Tapdi có thể thay đổi hoặc bổ sung Đối tác và sẽ cập nhật danh sách này trước khi chuyển dữ liệu cho Đối tác mới. Thay đổi làm phát sinh việc chuyển dữ liệu nhạy cảm sang quốc gia mới được thông báo theo Mục 13.

Mục 6: Thời gian lưu trữ và xóa dữ liệu#

6.1 Dữ liệu được xử lý từ khi Tapdi nhận được và lưu trữ theo thời hạn sau:

6.2 Tapdi dừng xử lý và xóa dữ liệu khi: Người dùng yêu cầu xóa hoặc rút lại sự đồng ý (đối với dữ liệu chỉ xử lý dựa trên sự đồng ý đó); mục đích xử lý đã hoàn thành; hoặc theo quy định của pháp luật. Trường hợp pháp luật yêu cầu tiếp tục lưu (như chứng từ kế toán), Tapdi chỉ lưu phần dữ liệu cần thiết và không dùng cho mục đích khác.

Mục 7: Sự đồng ý của Người dùng#

7.1 Tapdi chỉ xử lý dữ liệu cá nhân khi có sự đồng ý của Người dùng, trừ trường hợp pháp luật có quy định khác. Sự đồng ý phải được thể hiện rõ ràng, cụ thể thông qua thao tác tích chọn hoặc bật tùy chọn trên Nền tảng. Sự im lặng hoặc không phản hồi của Người dùng không được coi là sự đồng ý.

7.2 Người dùng có thể đồng ý một phần hoặc toàn bộ các mục đích xử lý nêu tại Mục 3. Đối với các mục đích cần thiết để cung cấp Dịch vụ, nếu Người dùng không đồng ý thì Tapdi không thể cung cấp Dịch vụ. Đối với các mục đích tùy chọn, Người dùng được lựa chọn riêng cho từng mục đích mà không ảnh hưởng đến việc sử dụng các tính năng cốt lõi. Tapdi lưu giữ thông tin về sự đồng ý của Người dùng, bao gồm thời điểm, phiên bản Chính sách và các mục đích đã đồng ý, làm căn cứ chứng minh theo quy định của pháp luật.

7.3 Người dùng có quyền rút lại sự đồng ý bất kỳ lúc nào thông qua phần Cài đặt quyền riêng tư hoặc bằng cách gửi yêu cầu theo Mục 8. Việc rút lại sự đồng ý không ảnh hưởng đến tính hợp pháp của hoạt động xử lý đã thực hiện trước đó. Trường hợp Người dùng rút lại sự đồng ý đối với các mục đích cần thiết để cung cấp Dịch vụ, Tapdi sẽ thông báo hệ quả và hướng dẫn Người dùng xuất, xóa dữ liệu.

Mục 8: Quyền của Chủ thể dữ liệu#

8.1 Chủ thể dữ liệu có các quyền sau đây theo quy định của pháp luật về bảo vệ dữ liệu cá nhân:

1. Quyền được biết về hoạt động xử lý dữ liệu cá nhân của mình;
2. Quyền đồng ý, không đồng ý và rút lại sự đồng ý;
3. Quyền truy cập, xem và chỉnh sửa dữ liệu cá nhân;
4. Quyền yêu cầu cung cấp dữ liệu cá nhân;
5. Quyền yêu cầu xóa dữ liệu cá nhân;
6. Quyền yêu cầu hạn chế xử lý và phản đối xử lý dữ liệu cá nhân;
7. Quyền khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại;
8. Các quyền khác theo quy định của pháp luật.

8.2 Cách thức thực hiện. Người dùng có thể trực tiếp xem, chỉnh sửa, xuất, xóa dữ liệu và thay đổi lựa chọn đồng ý thông qua các tính năng trên Nền tảng. Đối với các yêu cầu khác, Người dùng gửi yêu cầu bằng văn bản qua email legal@tapdi.vn từ địa chỉ email đã đăng ký Tài khoản. Để bảo vệ dữ liệu của Người dùng, Tapdi có thể đề nghị xác minh danh tính trước khi xử lý yêu cầu.

8.3 Thời hạn. Tapdi tiếp nhận, phản hồi và thực hiện yêu cầu hợp lệ của Chủ thể dữ liệu trong thời hạn theo quy định của pháp luật về bảo vệ dữ liệu cá nhân. Trường hợp cần thêm thời gian, Tapdi sẽ thông báo cho Người dùng về lý do và thời hạn dự kiến.

8.4 Giới hạn. Tapdi có thể từ chối hoặc chỉ thực hiện một phần yêu cầu trong các trường hợp: pháp luật yêu cầu tiếp tục lưu trữ dữ liệu; việc thực hiện yêu cầu ảnh hưởng đến quyền, lợi ích hợp pháp của người khác; hoặc không xác minh được danh tính người yêu cầu. Khi đó, Tapdi sẽ thông báo lý do cho Người dùng.

Mục 9: Nghĩa vụ của Chủ thể dữ liệu#

Người dùng có trách nhiệm: (a) cung cấp dữ liệu đầy đủ, chính xác và cập nhật khi thay đổi; (b) tự bảo vệ dữ liệu của mình, giữ bí mật thông tin đăng nhập, Địa chỉ tiếp nhận và mã xác thực; (c) thông báo ngay cho Tapdi khi phát hiện dữ liệu bị xâm phạm; (d) tôn trọng dữ liệu cá nhân của người khác; (e) tuân thủ pháp luật về bảo vệ dữ liệu cá nhân.

Mục 10: Biện pháp bảo vệ dữ liệu và hậu quả không mong muốn#

10.1 Biện pháp bảo vệ. Tapdi áp dụng các biện pháp kỹ thuật và quản lý phù hợp, bao gồm:

• Mã hóa dữ liệu khi truyền trên mạng và khi lưu trữ;
• Phân quyền ở cấp cơ sở dữ liệu: mỗi Tài khoản chỉ truy cập được dữ liệu của chính mình;
• Mật khẩu được mã hóa một chiều; hỗ trợ đăng nhập bằng passkey; giới hạn số lần truy cập để chống dò mật khẩu;
• Không thu thập mật khẩu ngân hàng, số thẻ đầy đủ, CVV; xóa định kỳ dữ liệu tạm;
• Giới hạn số người có quyền truy cập nội bộ và ghi nhật ký các thao tác quản trị.

10.2 Hậu quả, thiệt hại không mong muốn có thể xảy ra. Mặc dù Tapdi áp dụng các biện pháp bảo vệ phù hợp, không có hệ thống nào bảo đảm an toàn tuyệt đối trên không gian mạng. Dữ liệu cá nhân có thể bị lộ, mất hoặc bị truy cập trái phép do tấn công mạng, lỗi phần cứng, phần mềm, sự cố từ Đối tác, hoặc do thiết bị, tài khoản của Người dùng bị xâm nhập. Khi đó, Người dùng có thể gặp các rủi ro như bị lừa đảo, bị giả mạo liên hệ hoặc bị suy đoán thông tin chi tiêu. Do Tapdi không thu thập mật khẩu ngân hàng, số thẻ đầy đủ và mã CVV, dữ liệu bị lộ không thể được dùng để trực tiếp thực hiện giao dịch bằng thẻ của Người dùng.

10.3 Xử lý sự cố. Khi phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân hoặc sự cố lộ, mất dữ liệu, Tapdi sẽ áp dụng ngay các biện pháp cần thiết để ngăn chặn và khắc phục hậu quả; thông báo cho cơ quan nhà nước có thẩm quyền trong thời hạn theo quy định của pháp luật; đồng thời thông báo kịp thời cho Người dùng bị ảnh hưởng về sự việc, loại dữ liệu liên quan và các biện pháp Người dùng nên thực hiện để tự bảo vệ.

Mục 11: Cookie và công nghệ tương tự#

11.1 Tapdi sử dụng cookie và các công nghệ tương tự (như bộ nhớ cục bộ của trình duyệt) để duy trì phiên đăng nhập, ghi nhớ cài đặt, bảo đảm an toàn cho Tài khoản và, khi được Người dùng cho phép, thống kê cách Người dùng sử dụng các tính năng nhằm cải thiện Dịch vụ.

11.2 Cookie phục vụ đăng nhập và bảo mật là cần thiết cho hoạt động của Nền tảng nên không thể tắt. Cookie phục vụ thống kê chỉ được sử dụng khi Người dùng đồng ý; Người dùng có thể từ chối hoặc thay đổi lựa chọn bất kỳ lúc nào trong phần Cài đặt quyền riêng tư. Người dùng cũng có thể xóa hoặc chặn cookie bằng cài đặt trình duyệt, tuy nhiên một số tính năng có thể không hoạt động đầy đủ. Tapdi không sử dụng cookie quảng cáo của bên thứ ba.

Mục 12: Dữ liệu của trẻ em#

Dịch vụ chỉ dành cho người từ đủ 18 tuổi. Tapdi không chủ động thu thập dữ liệu của người dưới 18 tuổi. Khi phát hiện Tài khoản do người dưới 18 tuổi tạo, Tapdi sẽ xóa Tài khoản và dữ liệu liên quan. Cha, mẹ hoặc người giám hộ có thể liên hệ legal@tapdi.vn để yêu cầu xóa.

Mục 13: Sửa đổi Chính sách#

13.1 Tapdi có thể sửa đổi, bổ sung hoặc thay thế Chính sách này để phù hợp với thay đổi của Dịch vụ hoặc quy định của pháp luật. Phiên bản hiện hành được công bố tại tapdi.vn/quyen-rieng-tu, ghi rõ số phiên bản và ngày hiệu lực. Tapdi lưu giữ các phiên bản trước và cung cấp khi Người dùng yêu cầu.

13.2 Đối với thay đổi quan trọng, như bổ sung loại dữ liệu, mục đích xử lý, nhóm bên nhận dữ liệu hoặc quốc gia tiếp nhận dữ liệu chuyển ra nước ngoài, Tapdi sẽ thông báo cho Người dùng trên Nền tảng hoặc qua email ít nhất 15 ngày trước ngày áp dụng. Thay đổi nhỏ, không ảnh hưởng đến quyền của Người dùng, có hiệu lực kể từ ngày công bố.

13.3 Trường hợp thay đổi đòi hỏi sự đồng ý mới, Tapdi chỉ xử lý dữ liệu theo nội dung thay đổi sau khi Người dùng đồng ý theo Mục 7. Việc Người dùng tiếp tục sử dụng Dịch vụ không thay thế cho sự đồng ý này.

Mục 14: Khiếu nại và giải quyết tranh chấp#

14.1 Mọi thắc mắc, khiếu nại liên quan đến việc xử lý dữ liệu cá nhân, Người dùng vui lòng gửi đến legal@tapdi.vn. Tapdi sẽ tiếp nhận và phản hồi trong thời hạn 14 ngày làm việc.

14.2 Tranh chấp phát sinh (nếu có) trước hết được giải quyết thông qua thương lượng trên tinh thần thiện chí. Trường hợp thương lượng không thành, mỗi bên có quyền đưa tranh chấp ra Tòa án có thẩm quyền tại Việt Nam để giải quyết.

14.3 Chính sách này không hạn chế quyền của Người dùng gửi khiếu nại đến cơ quan nhà nước có thẩm quyền về bảo vệ dữ liệu cá nhân theo quy định của pháp luật. Chính sách này được điều chỉnh và giải thích theo pháp luật Việt Nam.

Mục 15: Điều khoản thi hành và thông tin liên hệ#

15.1 Chính sách này có hiệu lực kể từ ngày 01/10/2026. Chính sách này là văn bản độc lập và được áp dụng song song với Điều khoản sử dụng Dịch vụ Tapdi. Trường hợp có mâu thuẫn giữa Chính sách này và Điều khoản sử dụng về các vấn đề liên quan đến dữ liệu cá nhân, Chính sách này được ưu tiên áp dụng.

15.2 Đơn vị kiểm soát và xử lý dữ liệu cá nhân là đơn vị vận hành Tapdi được nêu tại Điều 1.1 của Điều khoản sử dụng Dịch vụ Tapdi đang có hiệu lực, công bố tại tapdi.vn/dieu-khoan. Khi đơn vị vận hành thay đổi, Tapdi sẽ thông báo cho Người dùng ít nhất 15 ngày trước khi chuyển giao vai trò này và dữ liệu liên quan.

15.3 Mọi yêu cầu, thắc mắc liên quan đến Chính sách này, Người dùng vui lòng liên hệ:

• Dữ liệu cá nhân và vấn đề pháp lý: legal@tapdi.vn
• Hỗ trợ chung: support@tapdi.vn
• Báo cáo lỗ hổng bảo mật: security@tapdi.vn

Terms of Use →