Chính sách bảo mật

Chính sách này giải thích cách H2 Transaction Flow (h2pay) ("chúng tôi") xử lý dữ liệu cá nhân của người dùng khi truy cập https://h2transactionflow.io.vn, cài đặt ứng dụng web (PWA) hoặc sử dụng bất kỳ tính năng nào của Dịch vụ. Chính sách được xây dựng phù hợp với pháp luật Việt Nam về bảo vệ dữ liệu cá nhân, bao gồm Nghị định 13/2023/NĐ-CP và các văn bản thay thế, hướng dẫn có hiệu lực.

Chính sách áp dụng cho mọi đối tượng: khách truy cập, thành viên đã đăng ký, Quản trị CLB và khách vãng lai có thông tin được nhập vào hệ thống bởi Quản trị CLB.

Tuỳ cách bạn sử dụng, chúng tôi có thể thu thập các nhóm dữ liệu sau:

Chúng tôi không chủ động thu thập dữ liệu nhạy cảm như sức khoẻ, tôn giáo, chính trị, và không yêu cầu bạn cung cấp mật khẩu hay mã OTP ngân hàng. Chúng tôi cũng không thu thập vị trí GPS chính xác của bạn.

Chúng tôi chỉ xử lý dữ liệu cho những mục đích rõ ràng, hợp pháp sau:

• Tạo và quản lý tài khoản, xác thực danh tính, chống truy cập trái phép và dò mật khẩu.
• Vận hành tính năng cốt lõi: quản lý CLB, lên lịch và điểm danh buổi chơi, chia chi phí, tạo mã QR, đối soát thanh toán, ghi nhận quỹ và công nợ.
• Gửi thông báo trong ứng dụng, email xác thực, nhắc thanh toán và các thông báo dịch vụ cần thiết.
• Cho phép giao tiếp giữa các thành viên (chat, bình luận, lời mời, yêu cầu tham gia).
• Cung cấp trợ lý AI tra cứu dữ liệu mà bạn có quyền xem, và cải thiện độ chính xác của trợ lý.
• Bảo đảm an toàn hệ thống: phát hiện gian lận, lạm dụng, điều tra sự cố; lưu nhật ký hoạt động phục vụ kiểm toán.
• Phân tích hiệu năng tổng hợp, sửa lỗi và cải tiến sản phẩm, không nhằm nhận dạng cá nhân.
• Tuân thủ nghĩa vụ pháp lý và yêu cầu hợp lệ của cơ quan có thẩm quyền.

Chúng tôi xử lý dữ liệu dựa trên một hoặc nhiều cơ sở sau, tuỳ từng trường hợp:

• Sự đồng ý của bạn, thể hiện khi đăng ký, đăng nhập bằng Google, tải ảnh lên hoặc bật các tính năng tuỳ chọn. Bạn có thể rút lại sự đồng ý bất kỳ lúc nào (xem mục Quyền của bạn), nhưng việc rút lại không ảnh hưởng tới tính hợp pháp của xử lý đã thực hiện trước đó.
• Thực hiện thoả thuận với bạn, tức là cung cấp Dịch vụ theo Điều khoản sử dụng.
• Lợi ích hợp pháp của chúng tôi và cộng đồng, như bảo mật hệ thống, chống gian lận, miễn là không xâm phạm quyền lợi của bạn.
• Tuân thủ nghĩa vụ pháp luật.

Người dưới 16 tuổi cần có sự đồng ý của cha mẹ hoặc người giám hộ. Nếu phát hiện đã thu thập dữ liệu của trẻ em mà không có sự đồng ý phù hợp, chúng tôi sẽ xoá dữ liệu đó trong thời gian sớm nhất.

Đối với khách vãng lai, Quản trị CLB có trách nhiệm bảo đảm đã thông báo và được sự đồng ý của người đó trước khi nhập tên, số điện thoại vào hệ thống.

Chúng tôi không bán, cho thuê hay trao đổi dữ liệu cá nhân của bạn. Dữ liệu chỉ được chia sẻ trong các trường hợp sau:

1. Với thành viên và Quản trị CLB mà bạn tham gia

• Tên, ảnh đại diện và vai trò của bạn hiển thị cho các thành viên cùng CLB.
• Quản trị CLB (theo quyền được phân) xem được trạng thái điểm danh, khoản phải đóng, lịch sử thanh toán và thông tin liên hệ cần thiết để điều hành CLB.
• Với công nợ cá nhân, đối tác trong khoản nợ xem được các thông tin liên quan tới khoản nợ đó.

2. Với nhà cung cấp dịch vụ xử lý thay mặt chúng tôi

3. Theo yêu cầu pháp luật

Chúng tôi có thể cung cấp dữ liệu cho cơ quan nhà nước có thẩm quyền khi có yêu cầu hợp lệ bằng văn bản, hoặc khi cần thiết để bảo vệ quyền, tài sản, an toàn của chúng tôi, người dùng và công chúng. Chúng tôi sẽ giới hạn ở mức tối thiểu cần thiết.

4. Khi có chuyển giao hoạt động

Trong trường hợp sáp nhập, chuyển nhượng hoặc tái cơ cấu, dữ liệu có thể được chuyển cho bên tiếp nhận với cam kết tiếp tục tuân thủ chính sách này; chúng tôi sẽ thông báo trước cho bạn.

Chúng tôi áp dụng nhiều lớp biện pháp kỹ thuật và tổ chức để bảo vệ dữ liệu:

• Mật khẩu được băm bằng thuật toán một chiều, không ai kể cả nhân viên của chúng tôi đọc được mật khẩu gốc.
• Kết nối giữa trình duyệt và máy chủ được mã hoá bằng HTTPS/TLS.
• Mã đăng nhập (token) được lưu trong cookie có cờ HttpOnly để hạn chế bị đánh cắp qua mã độc trên trang.
• Các khoá bí mật và khoá API của bên thứ ba được mã hoá khi lưu trữ và không hiển thị lại sau khi cấu hình.
• Kiểm soát quyền truy cập theo vai trò ở phía máy chủ: bạn chỉ truy xuất được dữ liệu của CLB mà bạn thuộc về; quản trị hệ thống được phân quyền chi tiết theo nguyên tắc tối thiểu cần thiết.
• Giới hạn tần suất yêu cầu, khoá tạm thời khi đăng nhập sai nhiều lần, ghi nhật ký hoạt động để truy vết bất thường.
• Nội dung văn bản có định dạng được lọc phía máy chủ để chống chèn mã độc (XSS).
• Ảnh tải lên được xử lý (thay đổi kích thước, chuẩn hoá định dạng) trước khi lưu.
• Định kỳ rà soát bảo mật, cập nhật thư viện và sao lưu dữ liệu.

Dữ liệu được lưu trên hạ tầng đám mây và máy chủ do các nhà cung cấp uy tín vận hành, có thể đặt ở trong hoặc ngoài lãnh thổ Việt Nam. Khi chuyển dữ liệu ra nước ngoài, chúng tôi thực hiện theo quy định pháp luật Việt Nam hiện hành.

Chúng tôi chỉ lưu dữ liệu trong thời gian cần thiết cho mục đích thu thập hoặc theo yêu cầu pháp luật:

Chúng tôi dùng một số ít cookie và bộ nhớ cục bộ (localStorage) thuần tuý cho chức năng của ứng dụng. Chúng tôi không dùng cookie quảng cáo và không bán dữ liệu duyệt web của bạn.

Bạn có thể xoá hoặc chặn cookie qua cài đặt trình duyệt; tuy nhiên khi chặn cookie đăng nhập, bạn sẽ không thể sử dụng các chức năng yêu cầu tài khoản.

Khi bạn dùng trợ lý AI, câu hỏi của bạn cùng phần dữ liệu cần thiết để trả lời (ví dụ danh sách khoản phải đóng của chính bạn) được gửi tới nhà cung cấp mô hình ngôn ngữ để tạo câu trả lời.

• Trợ lý chỉ được truy xuất dữ liệu mà tài khoản của bạn đã có quyền xem; không được phép đọc dữ liệu CLB khác.
• Đừng nhập mật khẩu, mã OTP hoặc thông tin nhạy cảm không cần thiết vào khung chat AI.
• Câu trả lời do AI tạo có thể chưa chính xác; hãy đối chiếu với số liệu trong ứng dụng trước khi đưa ra quyết định tài chính.
• Chúng tôi lựa chọn nhà cung cấp và cấu hình sao cho dữ liệu của bạn không bị dùng để huấn luyện công khai khi điều khoản của nhà cung cấp cho phép.

Theo pháp luật hiện hành, bạn có các quyền sau và có thể thực hiện chúng như hướng dẫn bên dưới:

Để bảo vệ bạn, chúng tôi có thể cần xác minh danh tính trước khi xử lý yêu cầu. Chúng tôi phản hồi trong thời hạn pháp luật quy định (thông thường tối đa 72 giờ kể từ khi nhận yêu cầu hợp lệ cho các yêu cầu cơ bản, và có thể lâu hơn với yêu cầu phức tạp, kèm thông báo lý do). Gửi yêu cầu tới privacy@h2transactionflow.io.vn.

Bạn có thể yêu cầu xoá tài khoản bằng cách gửi email tới privacy@h2transactionflow.io.vn từ địa chỉ email đã đăng ký, hoặc liên hệ qua trang Hỗ trợ. Sau khi xác minh, chúng tôi sẽ:

1. Vô hiệu hoá đăng nhập và các phiên đang hoạt động.
2. Gỡ hoặc ẩn danh hoá thông tin hồ sơ (tên hiển thị, email, số điện thoại, ảnh đại diện, ảnh bìa, mã QR).
3. Xoá tin nhắn và nội dung cá nhân của bạn khi không còn cần thiết.
4. Giữ lại các bản ghi giao dịch, công nợ, điểm danh gắn với người khác ở dạng đã giảm thiểu danh tính để sổ sách của CLB không bị sai lệch, và các dữ liệu pháp luật bắt buộc lưu giữ.

Chúng tôi có thể cập nhật Chính sách bảo mật theo thời gian. Khi có thay đổi quan trọng ảnh hưởng đến cách xử lý dữ liệu của bạn, chúng tôi sẽ thông báo nổi bật trong ứng dụng hoặc qua email, và cập nhật ngày hiệu lực ở đầu trang. Chúng tôi khuyến khích bạn xem lại trang này định kỳ.

Nếu bạn có câu hỏi, muốn thực hiện quyền của mình hoặc khiếu nại về cách chúng tôi xử lý dữ liệu, vui lòng liên hệ:

• Email về quyền riêng tư: privacy@h2transactionflow.io.vn
• Email hỗ trợ chung: support@h2transactionflow.io.vn
• Website: https://h2transactionflow.io.vn