Privacy Policy

Effective date: 06 July 2026

This Privacy Policy applies to the Pickoo mobile application (the "Application") operated by Pickoo Joint Stock Company (the "Company", "we", "us"), acting as the personal data controller under the Law on Personal Data Protection of Vietnam (Law No. 91/2025/QH15, the "PDPL") and Decree No. 356/2025/ND-CP.

Contact: pickoo.app@gmail.com

1. Personal Data We Collect

Depending on how you use the Application, we collect and process the following categories of personal data:

Customer accounts:

• Identification and account data: full name, email address, language preference;
• Profile settings: allergy and dietary preferences, app rating;
• Transaction data: order history, favourites list, loyalty stamp cards;
• Device and technical data: push notification token, device operating system, IP address, in-app activity (screens visited, time and date of visit, time spent in the Application);
• Location data: your device's approximate geographical location (only with your explicit permission — see Section 4).

Restaurant / business accounts:

• Business profile data: restaurant name, address, photos, description, district, contact details;
• Content you publish: food deals and offers;
• Device and technical data: push notification token, IP address, in-app activity.

We do not collect sensitive personal data as defined under the PDPL, except where allergy preferences may be considered health-related information; such information is provided voluntarily by you, is used solely to display relevant food information to you, and is never shared with third parties for their own purposes.

2. Legal Bases and Purposes of Processing

We process your personal data on the following legal bases:

• Performance of a contract: to create and manage your account, display food deals and offers from restaurants, process reservations and orders, operate loyalty stamp cards, and provide customer support;
• Your consent: for the collection of location data, for sending marketing communications, and for any purpose not necessary for the performance of our contract with you. You may withdraw your consent at any time (see Section 7);
• Compliance with legal obligations: to retain records where required by Vietnamese law and to respond to lawful requests from competent state authorities.

We process personal data only for the specific purposes notified to you at the time of collection. We do not use your personal data for any new purpose without first informing you and, where required, obtaining your consent.

3. Consent

Where processing is based on consent, your consent must be — and will be requested in a manner that is — voluntary, specific, informed and unambiguous, expressed through a clear affirmative action (e.g. ticking a box or tapping an "Agree" button). Silence, inactivity or mere use of the Application does not constitute consent. We maintain records evidencing when, how and for what purpose consent was given. You may refuse or withdraw consent at any time without affecting the lawfulness of processing carried out before withdrawal; however, some features (such as location-based offers) may not function without the relevant consent.

4. Location Data

With your explicit permission, granted through your device's operating system, we collect your device's approximate location to:

• show you deals and offers from nearby restaurants;
• provide relevant recommendations and location-based features.

You can disable location access at any time in your device settings. Aggregated and anonymised location data (which can no longer identify you) may be used to analyse usage trends and improve the Application.

5. Sharing of Personal Data and Third-Party Services

We do not sell or buy personal data under any circumstances, in accordance with the PDPL's prohibition on the trading of personal data.

We share personal data only:

• with service providers (data processors) who process data on our behalf and under our instructions, namely: Google Play Services, Google Analytics for Firebase, and Firebase Crashlytics (each governed by its own privacy policy);
• between customers and restaurants to the extent strictly necessary to fulfil an order (e.g. a restaurant sees the name associated with a reservation);
• with competent state authorities where required by Vietnamese law, such as pursuant to a lawful order or to protect the rights, safety or property of the Company, our users or others;
• in aggregated, anonymised form that cannot identify you, for analytics and service improvement.

6. Cross-Border Data Transfers

The Application is built on Google Firebase infrastructure. As a result, your personal data may be stored and processed on servers located outside Vietnam. Where personal data of individuals in Vietnam is transferred abroad, the Company complies with the cross-border transfer requirements of the PDPL and Decree No. 356/2025/ND-CP, including preparing and submitting the required transfer impact assessment documentation to the competent authority, subject to any exemptions or grace periods applicable to the Company as a small enterprise or startup under Vietnamese law.

7. Your Rights as a Data Subject

Under the PDPL, you have the right to:

1. Be informed about the processing of your personal data;
2. Give or refuse consent, and withdraw consent previously given;
3. Access your personal data and obtain a copy;
4. Correct your personal data or request its correction;
5. Request deletion of your personal data;
6. Restrict the processing of your personal data;
7. Object to the processing of your personal data;
8. Obtain your personal data (data provision);
9. Complain, denounce or initiate legal proceedings, and claim compensation for damages in accordance with law;
10. Request protective measures from competent authorities and organisations.

How to exercise your rights: you can exercise most rights directly in the Application (Profile screen), including account deletion (see Section 9). For any other request, contact us at pickoo.app@gmail.com. We will acknowledge and respond to your request within the time limits prescribed by Vietnamese law (in principle, within 72 hours for consent withdrawal and deletion requests, unless otherwise provided by law). We may need to verify your identity before acting on a request.

8. Data Retention

We retain personal data only for as long as necessary to fulfil the purposes described in this Policy:

• account data: for as long as your account exists;
• after account deletion: as set out in Section 9;
• records we are legally required to keep (e.g. accounting records): for the period required by Vietnamese law, in anonymised form where possible.

When personal data is no longer needed, it is deleted or irreversibly anonymised.

9. Deleting Your Account and Your Data

You can delete your account and all associated personal data at any time directly inside the Application — no email required. The option is located in the Profile screen under "Delete account?".

When you tap Delete account and confirm, the following happens immediately and permanently:

Customer accounts:

• Your profile (name, email, language preference, allergy settings, app rating) is deleted;
• Your push notification token is deleted, so you will no longer receive any notifications;
• Your favourites list is deleted;
• Your loyalty stamp cards are deleted;
• Your order history records are anonymised: your name is replaced with "Deleted User" and your account identifier is removed. The order records themselves are kept in anonymised form for restaurant accounting and platform integrity purposes only — they can no longer be linked to you;
• Your Firebase Authentication account is deleted. You will no longer be able to log in with those credentials.

Restaurant / business accounts:

• Your restaurant profile (name, address, photos, description, district, contact details) is deleted;
• All deals and offers you have published are deleted;
• Your push notification token is deleted;
• Your account profile document is deleted;
• Your Firebase Authentication account is deleted.

Deletion is irreversible. Once confirmed, the Company cannot restore your account or recover your data.

If you are unable to access the Application, you may request deletion by emailing pickoo.app@gmail.com and we will process your request within the time limits prescribed by law.

10. Children

The Application is not directed at children. Under Vietnamese law, a child is a person under 16 years of age. We do not knowingly collect personal data from children. Where the processing of a child's personal data is ever necessary, we will obtain the consent of the child's parent or legal guardian and, for a child aged 7 or older, also the consent of the child, as required by the PDPL. If you are a parent or guardian and believe that your child has provided us with personal data, please contact us at pickoo.app@gmail.com and we will delete such data promptly.

11. Security

We implement appropriate managerial and technical measures to protect personal data against unauthorised access, disclosure, alteration, loss or destruction, including access controls, encrypted transmission, and use of reputable infrastructure providers. In the event of a personal data breach, we will notify the competent authority and affected users as required by Vietnamese law.

12. Artificial Intelligence

The Application does not use artificial intelligence technologies to process your personal data or to make decisions that produce legal effects concerning you.

13. Changes to This Policy

We may update this Privacy Policy from time to time. We will notify you of material changes through the Application or by email before they take effect, and where a change involves new processing purposes requiring consent, we will request your consent. Continued use of the Application alone does not constitute consent to new processing purposes.

14. Contact Us

If you have any questions about this Privacy Policy or our data practices, or wish to exercise your rights, please contact:

Pickoo Joint Stock Company
Email: pickoo.app@gmail.com

Chính sách quyền riêng tư

Ngày hiệu lực: 06/07/2026

Chính sách quyền riêng tư này áp dụng cho ứng dụng di động Pickoo ("Ứng dụng") do Công ty Cổ phần Pickoo (Pickoo Joint Stock Company) ("Công ty", "chúng tôi") vận hành, với tư cách là bên kiểm soát dữ liệu cá nhân theo Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15, "Luật BVDLCN") và Nghị định số 356/2025/NĐ-CP.

Liên hệ: pickoo.app@gmail.com

1. Dữ liệu cá nhân chúng tôi thu thập

Tùy theo cách bạn sử dụng Ứng dụng, chúng tôi thu thập và xử lý các loại dữ liệu cá nhân sau:

Tài khoản khách hàng:

• Dữ liệu định danh và tài khoản: họ tên, địa chỉ email, ngôn ngữ ưa thích;
• Thiết lập hồ sơ: tùy chọn dị ứng và chế độ ăn, đánh giá ứng dụng;
• Dữ liệu giao dịch: lịch sử đơn hàng, danh sách yêu thích, thẻ tích điểm;
• Dữ liệu thiết bị và kỹ thuật: mã thông báo đẩy (push notification token), hệ điều hành của thiết bị, địa chỉ IP, hoạt động trong Ứng dụng (các màn hình đã truy cập, thời gian và ngày truy cập, thời gian sử dụng Ứng dụng);
• Dữ liệu vị trí: vị trí địa lý gần đúng của thiết bị (chỉ khi bạn cho phép rõ ràng — xem Mục 4).

Tài khoản nhà hàng / doanh nghiệp:

• Dữ liệu hồ sơ kinh doanh: tên nhà hàng, địa chỉ, hình ảnh, mô tả, quận/huyện, thông tin liên hệ;
• Nội dung bạn đăng tải: các ưu đãi và khuyến mãi món ăn;
• Dữ liệu thiết bị và kỹ thuật: mã thông báo đẩy, địa chỉ IP, hoạt động trong Ứng dụng.

Chúng tôi không thu thập dữ liệu cá nhân nhạy cảm theo Luật BVDLCN, ngoại trừ trường hợp tùy chọn dị ứng có thể được coi là thông tin liên quan đến sức khỏe; thông tin này do bạn tự nguyện cung cấp, chỉ được sử dụng để hiển thị thông tin thực phẩm phù hợp cho bạn và không bao giờ được chia sẻ cho bên thứ ba vì mục đích riêng của họ.

2. Cơ sở pháp lý và mục đích xử lý

Chúng tôi xử lý dữ liệu cá nhân của bạn dựa trên các cơ sở pháp lý sau:

• Thực hiện hợp đồng: để tạo và quản lý tài khoản, hiển thị các ưu đãi và khuyến mãi từ nhà hàng, xử lý đặt chỗ và đơn hàng, vận hành thẻ tích điểm, và hỗ trợ khách hàng;
• Sự đồng ý của bạn: đối với việc thu thập dữ liệu vị trí, gửi thông tin tiếp thị, và bất kỳ mục đích nào không cần thiết cho việc thực hiện hợp đồng với bạn. Bạn có thể rút lại sự đồng ý bất cứ lúc nào (xem Mục 7);
• Tuân thủ nghĩa vụ pháp lý: để lưu giữ hồ sơ theo yêu cầu của pháp luật Việt Nam và đáp ứng yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền.

Chúng tôi chỉ xử lý dữ liệu cá nhân cho các mục đích cụ thể đã thông báo với bạn tại thời điểm thu thập. Chúng tôi không sử dụng dữ liệu cá nhân của bạn cho mục đích mới mà không thông báo trước và, khi pháp luật yêu cầu, không xin sự đồng ý của bạn.

3. Sự đồng ý

Khi việc xử lý dựa trên sự đồng ý, sự đồng ý của bạn phải — và sẽ được yêu cầu theo cách — tự nguyện, cụ thể, được thông báo đầy đủ và rõ ràng, thể hiện qua hành động khẳng định rõ ràng (ví dụ: đánh dấu vào ô hoặc nhấn nút "Đồng ý"). Sự im lặng, không hành động hoặc việc chỉ sử dụng Ứng dụng không được coi là sự đồng ý. Chúng tôi lưu giữ bằng chứng về thời điểm, cách thức và mục đích của sự đồng ý. Bạn có thể từ chối hoặc rút lại sự đồng ý bất cứ lúc nào mà không ảnh hưởng đến tính hợp pháp của việc xử lý đã thực hiện trước đó; tuy nhiên, một số tính năng (như ưu đãi theo vị trí) có thể không hoạt động nếu không có sự đồng ý tương ứng.

4. Dữ liệu vị trí

Với sự cho phép rõ ràng của bạn thông qua hệ điều hành của thiết bị, chúng tôi thu thập vị trí gần đúng của thiết bị để:

• hiển thị các ưu đãi và khuyến mãi từ các nhà hàng gần bạn;
• cung cấp các đề xuất phù hợp và tính năng dựa trên vị trí.

Bạn có thể tắt quyền truy cập vị trí bất cứ lúc nào trong cài đặt thiết bị. Dữ liệu vị trí đã được tổng hợp và ẩn danh (không còn khả năng nhận dạng bạn) có thể được sử dụng để phân tích xu hướng sử dụng và cải thiện Ứng dụng.

5. Chia sẻ dữ liệu cá nhân và dịch vụ bên thứ ba

Chúng tôi không mua, bán dữ liệu cá nhân trong bất kỳ trường hợp nào, phù hợp với quy định cấm mua bán dữ liệu cá nhân của Luật BVDLCN.

Chúng tôi chỉ chia sẻ dữ liệu cá nhân:

• với các nhà cung cấp dịch vụ (bên xử lý dữ liệu) xử lý dữ liệu thay mặt và theo chỉ dẫn của chúng tôi, cụ thể: Google Play Services, Google Analytics for Firebase và Firebase Crashlytics (mỗi dịch vụ có chính sách quyền riêng tư riêng);
• giữa khách hàng và nhà hàng trong phạm vi thực sự cần thiết để hoàn tất đơn hàng (ví dụ: nhà hàng thấy tên gắn với đơn đặt chỗ);
• với cơ quan nhà nước có thẩm quyền khi pháp luật Việt Nam yêu cầu, ví dụ theo quyết định hợp pháp hoặc để bảo vệ quyền, an toàn hoặc tài sản của Công ty, người dùng hoặc người khác;
• ở dạng tổng hợp, ẩn danh không thể nhận dạng bạn, phục vụ phân tích và cải thiện dịch vụ.

6. Chuyển dữ liệu cá nhân ra nước ngoài

Ứng dụng được xây dựng trên hạ tầng Google Firebase. Do đó, dữ liệu cá nhân của bạn có thể được lưu trữ và xử lý trên máy chủ đặt ngoài lãnh thổ Việt Nam. Khi dữ liệu cá nhân của cá nhân tại Việt Nam được chuyển ra nước ngoài, Công ty tuân thủ các yêu cầu về chuyển dữ liệu xuyên biên giới theo Luật BVDLCN và Nghị định số 356/2025/NĐ-CP, bao gồm việc lập và nộp hồ sơ đánh giá tác động chuyển dữ liệu cho cơ quan có thẩm quyền, trừ trường hợp Công ty được hưởng miễn trừ hoặc thời gian ân hạn dành cho doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp theo quy định của pháp luật Việt Nam.

7. Quyền của chủ thể dữ liệu

Theo Luật BVDLCN, bạn có quyền:

1. Được biết về hoạt động xử lý dữ liệu cá nhân của mình;
2. Đồng ý hoặc không đồng ý, và rút lại sự đồng ý đã đưa ra;
3. Truy cập dữ liệu cá nhân của mình và nhận bản sao;
4. Chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân;
5. Yêu cầu xóa dữ liệu cá nhân;
6. Hạn chế xử lý dữ liệu cá nhân;
7. Phản đối việc xử lý dữ liệu cá nhân;
8. Yêu cầu cung cấp dữ liệu cá nhân của mình;
9. Khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định của pháp luật;
10. Yêu cầu các biện pháp bảo vệ từ cơ quan, tổ chức có thẩm quyền.

Cách thực hiện quyền: bạn có thể thực hiện hầu hết các quyền ngay trong Ứng dụng (màn hình Hồ sơ), bao gồm xóa tài khoản (xem Mục 9). Đối với các yêu cầu khác, vui lòng liên hệ pickoo.app@gmail.com. Chúng tôi sẽ tiếp nhận và phản hồi yêu cầu của bạn trong thời hạn pháp luật Việt Nam quy định (về nguyên tắc, trong vòng 72 giờ đối với yêu cầu rút lại sự đồng ý và xóa dữ liệu, trừ trường hợp pháp luật có quy định khác). Chúng tôi có thể cần xác minh danh tính của bạn trước khi thực hiện yêu cầu.

8. Thời hạn lưu trữ dữ liệu

Chúng tôi chỉ lưu trữ dữ liệu cá nhân trong thời gian cần thiết để thực hiện các mục đích nêu trong Chính sách này:

• dữ liệu tài khoản: trong suốt thời gian tài khoản tồn tại;
• sau khi xóa tài khoản: theo quy định tại Mục 9;
• hồ sơ pháp luật yêu cầu lưu giữ (ví dụ: chứng từ kế toán): trong thời hạn pháp luật Việt Nam quy định, ở dạng ẩn danh khi có thể.

Khi dữ liệu cá nhân không còn cần thiết, dữ liệu sẽ được xóa hoặc ẩn danh hóa không thể khôi phục.

9. Xóa tài khoản và dữ liệu của bạn

Bạn có thể xóa tài khoản và toàn bộ dữ liệu cá nhân liên quan bất cứ lúc nào ngay trong Ứng dụng — không cần gửi email. Tùy chọn nằm ở màn hình Hồ sơ, mục "Xóa tài khoản?".

Khi bạn nhấn Xóa tài khoản và xác nhận, các thao tác sau sẽ được thực hiện ngay lập tức và vĩnh viễn:

Tài khoản khách hàng:

• Hồ sơ của bạn (họ tên, email, ngôn ngữ ưa thích, tùy chọn dị ứng, đánh giá ứng dụng) bị xóa;
• Mã thông báo đẩy của bạn bị xóa, bạn sẽ không nhận thêm bất kỳ thông báo nào;
• Danh sách yêu thích của bạn bị xóa;
• Thẻ tích điểm của bạn bị xóa;
• Lịch sử đơn hàng của bạn được ẩn danh hóa: tên của bạn được thay bằng "Deleted User" và mã định danh tài khoản bị gỡ bỏ. Bản ghi đơn hàng chỉ được giữ lại ở dạng ẩn danh phục vụ kế toán của nhà hàng và tính toàn vẹn của nền tảng — không còn khả năng liên kết với bạn;
• Tài khoản Firebase Authentication của bạn bị xóa. Bạn sẽ không thể đăng nhập bằng thông tin đăng nhập đó nữa.

Tài khoản nhà hàng / doanh nghiệp:

• Hồ sơ nhà hàng của bạn (tên, địa chỉ, hình ảnh, mô tả, quận/huyện, thông tin liên hệ) bị xóa;
• Toàn bộ ưu đãi và khuyến mãi bạn đã đăng bị xóa;
• Mã thông báo đẩy của bạn bị xóa;
• Tài liệu hồ sơ tài khoản của bạn bị xóa;
• Tài khoản Firebase Authentication của bạn bị xóa.

Việc xóa là không thể đảo ngược. Sau khi xác nhận, Công ty không thể khôi phục tài khoản hoặc dữ liệu của bạn.

Nếu bạn không thể truy cập Ứng dụng, bạn có thể yêu cầu xóa bằng cách gửi email đến pickoo.app@gmail.com và chúng tôi sẽ xử lý yêu cầu trong thời hạn pháp luật quy định.

10. Trẻ em

Ứng dụng không hướng đến trẻ em. Theo pháp luật Việt Nam, trẻ em là người dưới 16 tuổi. Chúng tôi không cố ý thu thập dữ liệu cá nhân của trẻ em. Trong trường hợp việc xử lý dữ liệu cá nhân của trẻ em là cần thiết, chúng tôi sẽ xin sự đồng ý của cha mẹ hoặc người giám hộ hợp pháp và, đối với trẻ em từ đủ 7 tuổi trở lên, cả sự đồng ý của trẻ em, theo quy định của Luật BVDLCN. Nếu bạn là cha mẹ hoặc người giám hộ và cho rằng con mình đã cung cấp dữ liệu cá nhân cho chúng tôi, vui lòng liên hệ pickoo.app@gmail.com và chúng tôi sẽ xóa dữ liệu đó kịp thời.

11. Bảo mật

Chúng tôi áp dụng các biện pháp quản lý và kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân khỏi truy cập trái phép, tiết lộ, sửa đổi, mất mát hoặc phá hủy, bao gồm kiểm soát truy cập, truyền dữ liệu mã hóa và sử dụng nhà cung cấp hạ tầng uy tín. Trong trường hợp xảy ra vi phạm dữ liệu cá nhân, chúng tôi sẽ thông báo cho cơ quan có thẩm quyền và người dùng bị ảnh hưởng theo quy định của pháp luật Việt Nam.

12. Trí tuệ nhân tạo

Ứng dụng không sử dụng công nghệ trí tuệ nhân tạo để xử lý dữ liệu cá nhân của bạn hoặc đưa ra các quyết định có hiệu lực pháp lý đối với bạn.

13. Thay đổi Chính sách

Chúng tôi có thể cập nhật Chính sách quyền riêng tư này theo thời gian. Chúng tôi sẽ thông báo cho bạn về các thay đổi quan trọng thông qua Ứng dụng hoặc qua email trước khi thay đổi có hiệu lực, và khi thay đổi liên quan đến mục đích xử lý mới cần sự đồng ý, chúng tôi sẽ xin sự đồng ý của bạn. Việc chỉ tiếp tục sử dụng Ứng dụng không được coi là sự đồng ý đối với mục đích xử lý mới.

14. Liên hệ

Nếu bạn có bất kỳ câu hỏi nào về Chính sách quyền riêng tư này hoặc về hoạt động xử lý dữ liệu của chúng tôi, hoặc muốn thực hiện quyền của mình, vui lòng liên hệ:

Công ty Cổ phần Pickoo (Pickoo Joint Stock Company)
Email: pickoo.app@gmail.com