Thuê Business Manager và tài khoản agency: quyền sở hữu dữ liệu thuộc về ai?

06 — Thuê Business Manager và tài khoản agency: quyền sở hữu dữ liệu thuộc về ai?

SEO title: Thuê Business Manager, tài khoản agency: Ai sở hữu dữ liệu? Slug: `/thue-business-manager-tai-khoan-agency-quyen-so-huu-du-lieu/` Meta description: Phân tích quyền sở hữu, quyền truy cập và bàn giao dữ liệu khi thuê BM/tài khoản agency; checklist hợp đồng, bảo mật và lộ trình thoát an toàn. Từ khóa chính: thuê Business Manager Từ khóa liên quan: thuê BM Facebook, tài khoản quảng cáo agency, quyền sở hữu pixel Facebook, bàn giao tài khoản Meta Ads, dữ liệu quảng cáo thuộc về ai Đối tượng: CEO, CMO, CFO, pháp chế, DPO/phụ trách dữ liệu, kế toán trưởng, agency owner Ý định tìm kiếm: Đánh giá mô hình vận hành và rủi ro trước/sau khi thuê agency CTA chính: Rà soát quyền tài sản số và thiết kế cấu trúc VAT Billing có khả năng bàn giao

Answer Block

Khi thuê Business Manager hoặc tài khoản quảng cáo của agency, doanh nghiệp không nên đồng nhất “được cấp quyền dùng” với “sở hữu và kiểm soát dữ liệu”. Quyền đối với Trang, tài khoản quảng cáo, pixel/dataset, catalog, tên miền, tệp khách hàng và lead có thể nằm ở nhiều chủ thể khác nhau. Việc ai sở hữu dữ liệu còn phụ thuộc nguồn tạo dữ liệu, hợp đồng, vai trò xử lý dữ liệu và pháp luật áp dụng; không thể kết luận chỉ từ giao diện Meta. Cấu trúc an toàn thường ưu tiên tài sản cốt lõi do doanh nghiệp kiểm soát, agency nhận quyền đối tác đủ dùng, có nhật ký phân quyền, quy tắc bảo mật và kế hoạch thu hồi/bàn giao khi kết thúc hợp đồng.

1. Một câu hỏi tưởng đơn giản nhưng có bốn lớp quyền

“Dữ liệu thuộc về ai?” thường được trả lời quá nhanh bằng việc xem ai là admin. Trên thực tế, doanh nghiệp cần tách bốn lớp:

1. Quyền sở hữu hoặc quyền hợp pháp đối với dữ liệu: xác định theo nguồn dữ liệu, hợp đồng, sự đồng ý/căn cứ xử lý và pháp luật.
2. Quyền kiểm soát kỹ thuật: ai có thể thêm người, xóa quyền, liên kết tài sản hoặc thay đổi cấu hình.
3. Quyền sử dụng: ai được dùng dữ liệu để chạy quảng cáo, đo lường, tối ưu hoặc báo cáo, trong phạm vi nào.
4. Khả năng di chuyển/bàn giao: dữ liệu và cấu hình có thể xuất, chia sẻ hoặc chuyển sang hệ thống khác đến mức nào.

Một agency có quyền quản trị kỹ thuật không mặc nhiên sở hữu dữ liệu khách hàng. Ngược lại, hợp đồng ghi dữ liệu thuộc doanh nghiệp nhưng doanh nghiệp không có tài khoản quản trị, không có bản sao và không có cơ chế bàn giao thì quyền trên giấy rất khó thực thi trong tình huống khẩn cấp.

2. Business Manager/Business Portfolio và tài khoản quảng cáo là gì trong bài toán quản trị?

Meta đã sử dụng cách gọi Business Portfolio trong một số giao diện bên cạnh tên Business Manager quen thuộc trên thị trường. Tên hiển thị có thể thay đổi theo sản phẩm; nguyên tắc quản trị không đổi: đây là lớp tổ chức quyền truy cập cho con người, đối tác và các tài sản kinh doanh.

Doanh nghiệp cần phân biệt:

• Hồ sơ kinh doanh: nơi quản lý quyền và liên kết tài sản.
• Tài khoản quảng cáo: nơi tạo chiến dịch, ghi nhận chi tiêu và thông tin billing liên quan.
• Trang và tài khoản Instagram: điểm hiện diện thương hiệu.
• Pixel/dataset và sự kiện: dữ liệu đo lường hành vi được gửi về để phân tích/tối ưu.
• Catalog: dữ liệu sản phẩm dùng cho quảng cáo thương mại.
• Tên miền và cấu hình đo lường: tài sản liên quan website và luồng chuyển đổi.
• Lead và tệp đối tượng: có thể chứa hoặc suy ra thông tin liên quan cá nhân, cần được quản trị theo mục đích và căn cứ phù hợp.

Không phải mọi tài sản đều có cùng cơ chế chuyển giao trên nền tảng. Vì vậy, thiết kế đúng ngay từ đầu thường rẻ hơn cố “đòi lại BM” sau tranh chấp.

3. Ba mô hình phổ biến và mức độ kiểm soát

Mô hình thứ nhất thường phù hợp với mục tiêu quản trị dài hạn, nhưng không phải mọi trường hợp đều bắt buộc giống nhau. Một tập đoàn có thể dùng cấu trúc vùng; agency có thể cung cấp account hợp lệ theo hợp đồng. Điều quan trọng là doanh nghiệp hiểu mình đang dùng mô hình nào và chấp nhận rủi ro nào.

4. Ma trận tài sản: ai nên kiểm soát và cần bàn giao gì?

“Khuyến nghị” trong bảng là nguyên tắc quản trị, không phải kết luận pháp lý cho mọi trường hợp. Quyền sở hữu trí tuệ, dữ liệu và tài sản phải được xác định trong hợp đồng và theo luật áp dụng.

5. Dữ liệu cá nhân làm thay đổi câu chuyện như thế nào?

Lead form, danh sách khách hàng tải lên, sự kiện website và dữ liệu CRM có thể liên quan đến cá nhân. Khi đó, câu hỏi không chỉ là “ai có file?” mà là ai quyết định mục đích xử lý, ai xử lý theo chỉ dẫn, căn cứ nào cho việc thu thập/chia sẻ, giữ bao lâu và xử lý yêu cầu của chủ thể dữ liệu thế nào.

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 1/1/2026 tạo khung pháp lý trực tiếp cho hoạt động bảo vệ dữ liệu cá nhân tại Việt Nam. Doanh nghiệp và agency cần xác định vai trò, phạm vi xử lý, biện pháp bảo vệ, trách nhiệm thông báo/xử lý sự cố và việc chuyển dữ liệu trong trường hợp có yếu tố xuyên biên giới theo quy định áp dụng.

Hợp đồng dịch vụ quảng cáo nên có phụ lục dữ liệu nêu tối thiểu:

• Loại dữ liệu, nguồn và nhóm chủ thể dữ liệu.
• Mục đích xử lý và hành động agency được phép thực hiện.
• Người/tài khoản được truy cập và nguyên tắc phân quyền tối thiểu.
• Thời hạn lưu, cách hoàn trả/xóa sau khi kết thúc.
• Quy trình ứng phó sự cố, phối hợp cung cấp thông tin.
• Quy tắc sử dụng nhà thầu phụ và chia sẻ cho bên khác.
• Yêu cầu bảo mật, nhật ký và bằng chứng thực hiện.

Không nên cho phép agency tái sử dụng tệp khách hàng của doanh nghiệp để phục vụ khách hàng khác chỉ bằng một điều khoản chung chung.

6. Rủi ro an ninh và tính liên tục kinh doanh

Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ ngày 1/7/2026 là một phần của bối cảnh pháp lý doanh nghiệp cần theo dõi. Ở góc độ vận hành, các nguyên tắc cơ bản vẫn rất thực tế: kiểm soát danh tính, giới hạn quyền, bảo vệ thông tin xác thực, lưu nhật ký và có phương án ứng phó.

Các điểm yếu thường gặp khi thuê BM/tài khoản agency gồm:

• Dùng chung một tài khoản cá nhân cho nhiều nhân sự.
• Người đã nghỉ việc vẫn giữ quyền.
• Chỉ agency có quyền quản trị cao nhất.
• Không bắt buộc xác thực đa yếu tố.
• Email khôi phục thuộc cá nhân hoặc nhà cung cấp cũ.
• Không có danh sách tài sản và quyền cập nhật định kỳ.
• Tệp lead được tải về máy cá nhân, gửi qua kênh không kiểm soát.
• Không có đầu mối và thời gian phản hồi khi tài khoản bị xâm nhập.

Một lần mất quyền có thể làm dừng quảng cáo, lộ thông tin khách hàng, thay đổi phương thức thanh toán và phá vỡ khả năng đối soát. Vì vậy, bảo mật không phải việc riêng của đội IT; nó ảnh hưởng trực tiếp đến doanh thu, thuế và thương hiệu.

7. Quyền dữ liệu liên quan gì đến hóa đơn và quyết toán chi phí?

Tài khoản quảng cáo và dữ liệu chiến dịch là một phần bằng chứng cho giao dịch thực tế. Nếu công ty A ký hợp đồng và thanh toán, nhưng quảng cáo chạy trong tài khoản do công ty B kiểm soát, invoice mang tên công ty C và báo cáo chỉ là ảnh chụp do cá nhân D gửi, kế toán sẽ gặp khó khi giải thích mối liên hệ.

Không phải mọi cấu trúc nhiều bên đều sai. Agency có thể mua media thay khách hàng theo hợp đồng phù hợp. Nhưng hồ sơ phải thể hiện được vai trò từng bên và cách giá trị quảng cáo phục vụ hoạt động kinh doanh của doanh nghiệp. Khả năng truy cập hoặc xuất báo cáo là biện pháp quan trọng để bảo toàn bằng chứng, không chỉ là tiện ích marketing.

Một bộ hồ sơ nên liên kết:

1. Hợp đồng/phụ lục về dịch vụ và quyền tài sản.
2. Kế hoạch, phê duyệt và ngân sách chiến dịch.
3. Dữ liệu chi tiêu và kết quả từ tài khoản quảng cáo.
4. Đối soát media–phí–thuế–credit/refund.
5. Chứng từ thanh toán và hóa đơn phù hợp giao dịch.
6. Nghiệm thu và bằng chứng quảng cáo thực tế.

Việc đủ điều kiện thuế cần được đánh giá theo quy định hiện hành và tình tiết cụ thể; quyền admin trên Meta không tự tạo ra quyền khấu trừ.

8. 15 điều khoản nên có trong hợp đồng agency

1. Danh mục tài sản có trước ngày bắt đầu.
2. Chủ thể kiểm soát từng tài sản và dữ liệu.
3. Phạm vi quyền agency được cấp.
4. Mục đích và giới hạn sử dụng dữ liệu.
5. Quy định về nhân sự và nhà thầu phụ được truy cập.
6. Yêu cầu xác thực đa yếu tố và bảo vệ thông tin đăng nhập.
7. Quy trình thêm, thay đổi và thu hồi quyền.
8. Tần suất kiểm kê quyền và đối soát tài khoản.
9. Quyền truy cập báo cáo, billing và lịch sử chiến dịch của doanh nghiệp.
10. Quyền sở hữu/sử dụng creative, copy và file nguồn.
11. Cơ chế xử lý dữ liệu cá nhân và sự cố.
12. Thời hạn bàn giao khi chấm dứt hợp đồng.
13. Định dạng, phạm vi và tiêu chí nghiệm thu bàn giao.
14. Trách nhiệm với công nợ, vi phạm chính sách và hành vi trái phép.
15. Nghĩa vụ hỗ trợ chuyển đổi, xóa bản sao và xác nhận hoàn tất.

Không nên dùng câu “mọi dữ liệu thuộc về khách hàng” thay cho danh mục cụ thể. Một điều khoản tốt phải cho biết tài sản nào, dữ liệu nào, ở đâu, định dạng gì và ai thực hiện hành động bàn giao.

9. Mô hình RACI tối giản cho quản trị Meta

Trong đó: R là người thực hiện, A là người chịu trách nhiệm cuối cùng, C là người cần tham vấn, I là người cần được thông tin. Doanh nghiệp nên điều chỉnh theo quy mô, nhưng mỗi hoạt động phải có một đầu mối chịu trách nhiệm cuối cùng.

10. Checklist kiểm toán quyền truy cập hàng tháng

• Có bao nhiêu hồ sơ kinh doanh và tài khoản quảng cáo đang hoạt động?
• Ai giữ quyền quản trị cao nhất? Những người này còn làm việc không?
• Agency nhận quyền đối tác hay dùng tài khoản cá nhân?
• Có tài sản nào được tạo trong BM của bên thứ ba mà không có hợp đồng?
• Trang, Instagram, pixel/dataset, catalog và domain đang liên kết ở đâu?
• Phương thức thanh toán thuộc chủ thể nào và ai có thể thay đổi?
• Xác thực đa yếu tố đã được áp dụng cho các tài khoản quan trọng chưa?
• Lead được tải, lưu và chuyển cho ai? Có nhật ký hoặc quy định lưu trữ không?
• Báo cáo chi tiêu có khớp với đối soát và chứng từ kỳ này không?
• Có credit, refund, công nợ hoặc tài khoản bị hạn chế chưa xử lý không?
• Nếu dừng agency hôm nay, doanh nghiệp có thể duy trì chiến dịch cốt lõi không?
• Hồ sơ bàn giao đã được cập nhật và lưu ở kho doanh nghiệp chưa?

Checklist nên được ký xác nhận giữa marketing, tài chính và đầu mối agency. Đây là một kiểm soát nội bộ đơn giản nhưng giảm đáng kể phụ thuộc vào trí nhớ cá nhân.

11. Kế hoạch bàn giao an toàn khi đổi agency

#### Bước 1: Lập bản đồ hiện trạng

Liệt kê tài sản, chủ sở hữu/kiểm soát, người truy cập, tích hợp, phương thức thanh toán, công nợ và nguồn dữ liệu. Không thu hồi quyền vội khi chưa biết hệ thống nào phụ thuộc vào tài khoản đó.

#### Bước 2: Bảo toàn dữ liệu và bằng chứng

Xuất báo cáo chiến dịch, cấu hình, creative, lịch sử đối soát và tài liệu billing trong phạm vi quyền hợp pháp. Ghi nhận thời điểm và người thực hiện. Dữ liệu cá nhân phải được chuyển qua kênh bảo mật và đúng mục đích.

#### Bước 3: Thiết lập cấu trúc đích

Tạo hoặc củng cố hồ sơ do doanh nghiệp kiểm soát, xác định admin dự phòng, áp dụng xác thực đa yếu tố và phân quyền tối thiểu. Không nên dùng tài khoản cá nhân duy nhất của CEO làm điểm thất bại đơn lẻ.

#### Bước 4: Chuyển theo mức độ ưu tiên

Ưu tiên Trang, domain, dữ liệu đo lường, catalog và các tích hợp tạo doanh thu. Với tài sản không thể chuyển trực tiếp, cần phương án chia sẻ, tái cấu hình hoặc tạo mới có kiểm soát. Xác minh trên giao diện thực tế và tài liệu Meta tại thời điểm thực hiện vì khả năng thao tác có thể thay đổi.

#### Bước 5: Nghiệm thu và thu hồi

Chạy kiểm tra chiến dịch, đo lường và billing. Sau khi xác nhận ổn định, thu hồi quyền không còn cần thiết, thay thông tin khôi phục, đóng các điểm truy cập cũ và yêu cầu xác nhận xóa/hoàn trả dữ liệu theo hợp đồng.

12. Bốn sai lầm khi “thuê BM giá rẻ”

Sai lầm 1: Chỉ kiểm tra tài khoản có chạy được. Khả năng phân phối hôm nay không chứng minh quyền hợp pháp, lịch sử sạch hoặc tính liên tục ngày mai.

Sai lầm 2: Tin rằng có quyền admin nghĩa là sở hữu. Quyền có thể bị cấp tạm, thu hồi hoặc bị giới hạn bởi cấu trúc cấp cao hơn.

Sai lầm 3: Đưa toàn bộ pixel và tệp khách hàng vào tài sản của bên thuê. Khi quan hệ kết thúc, doanh nghiệp có thể mất quyền khai thác lịch sử hoặc phải tái xây dựng đo lường.

Sai lầm 4: Không gắn vận hành với hợp đồng và chứng từ. Marketing chạy được nhưng tài chính không giải trình được sẽ tạo rủi ro tích lũy đến kỳ quyết toán.

13. Khi nào mô hình tài khoản agency vẫn phù hợp?

Tài khoản agency không mặc nhiên xấu. Mô hình có thể phù hợp khi agency có vai trò mua media rõ ràng, hợp đồng xác định quyền và nghĩa vụ, nguồn thanh toán được kiểm soát, doanh nghiệp có mức truy cập/đối soát phù hợp, dữ liệu cốt lõi không bị chiếm dụng và kế hoạch bàn giao khả thi.

Các trường hợp chiến dịch ngắn hạn, thị trường mới hoặc cấu trúc tập đoàn có thể cần tài khoản không đứng trực tiếp trong hồ sơ nội bộ của pháp nhân sử dụng. Khi đó, hồ sơ phải giải thích quan hệ giữa các bên, và pháp chế/kế toán nên đánh giá trước thay vì chờ đến khi xảy ra sự cố.

14. YODAY Local Growth và VAT Billing nên đứng ở đâu?

Trong một giải pháp tổng thể, YODAY không chỉ cung cấp khả năng chạy quảng cáo. Cấu trúc tốt cần kết nối bốn lớp: quyền tài sản số, vận hành chiến dịch, thanh toán–đối soát và dữ liệu địa phương/khách hàng. VAT Billing là lớp giúp chuẩn hóa giao dịch và hồ sơ; Local Growth là lớp biến hoạt động truyền thông thành tăng trưởng có thể đo lường tại điểm bán hoặc khu vực.

Điều này không có nghĩa YODAY “sở hữu thay” mọi tài sản. Ngược lại, mô hình bền vững nên giúp doanh nghiệp biết mình kiểm soát gì, YODAY được cấp quyền gì, dữ liệu nào được xử lý cho mục đích nào và cách bàn giao khi kết thúc. Minh bạch quyền là một tính năng của dịch vụ, không phải thủ tục phụ.

Câu hỏi thường gặp

#### 1. Thuê BM có đồng nghĩa thuê quyền sở hữu tài khoản không?

Không. Thông thường doanh nghiệp chỉ được cấp một phạm vi sử dụng hoặc truy cập. Quyền thực tế phải kiểm tra trên cấu trúc tài sản, hợp đồng và khả năng thu hồi/bàn giao.

#### 2. Có quyền admin thì dữ liệu thuộc về doanh nghiệp chưa?

Chưa chắc. Admin là quyền kỹ thuật. Quyền hợp pháp đối với dữ liệu phụ thuộc nguồn, mục đích, hợp đồng, vai trò xử lý và luật áp dụng.

#### 3. Pixel tạo trong BM của agency có chuyển về doanh nghiệp được không?

Khả năng chia sẻ hoặc chuyển phụ thuộc loại tài sản, cấu trúc và tính năng Meta tại thời điểm thực hiện. Nên kiểm tra trực tiếp và ưu tiên tạo tài sản cốt lõi trong môi trường doanh nghiệp ngay từ đầu.

#### 4. Agency có được dùng tệp khách hàng của doanh nghiệp cho khách khác không?

Không nên mặc định được phép. Việc sử dụng phải có mục đích, căn cứ và phạm vi phù hợp; hợp đồng dữ liệu cần cấm tái sử dụng ngoài chỉ dẫn nếu không có cơ sở riêng.

#### 5. Dùng tài khoản agency có làm chi phí quảng cáo không hợp lệ không?

Không thể kết luận chỉ từ loại tài khoản. Cần xét giao dịch thực tế, hợp đồng, vai trò các bên, thanh toán, hóa đơn/chứng từ và quy định thuế áp dụng.

#### 6. Khi agency giữ toàn bộ quyền, việc đầu tiên nên làm là gì?

Lập danh mục tài sản và bảo toàn báo cáo trong phạm vi được phép; sau đó yêu cầu cơ chế đồng quản trị hoặc bàn giao theo hợp đồng. Tránh hành động đột ngột gây mất dữ liệu.

#### 7. Doanh nghiệp nhỏ có cần kiểm toán quyền hàng tháng không?

Có thể dùng checklist rút gọn. Chỉ 15–30 phút mỗi tháng để kiểm tra admin, tài sản, billing và người nghỉ việc đã giảm nhiều rủi ro phổ biến.

#### 8. YODAY có thể bảo đảm tài khoản không bao giờ bị hạn chế không?

Không ai nên cam kết tuyệt đối vì quyết định nền tảng và nhiều yếu tố vận hành nằm ngoài quyền kiểm soát. YODAY có thể thiết kế kiểm soát, quy trình tuân thủ và phương án ứng phó nhằm giảm rủi ro và gián đoạn.

Nguồn tham khảo chính thức

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15
• Luật An ninh mạng số 116/2025/QH15
• Luật Thuế giá trị gia tăng số 48/2024/QH15
• Meta Business Help Center
• Meta Terms of Service

Đăng ký phiên kiểm tra quyền Meta Ads cùng YODAY để nhận ma trận tài sản–quyền truy cập, danh sách lỗ hổng và lộ trình chuyển sang cấu trúc VAT Billing có thể đối soát, bàn giao. — Xem bảng tính và để lại số điện thoại hoặc liên hệ YODAY . Chuyên gia phản hồi trong 1 giờ làm việc.