Chính sách bảo mật
Chính sách này nói rõ chúng tôi thu thập dữ liệu nào, dùng để làm gì, lưu bao lâu và bạn có những quyền gì với dữ liệu của mình.
1. Phạm vi và đơn vị xử lý dữ liệu
Chính sách này áp dụng cho dữ liệu cá nhân mà Website GCard365 ([TÊN MIỀN WEBSITE]) thu thập và xử lý. CÔNG TY TNHH TP - GCAR VIỆT NAM là đơn vị quyết định mục đích và cách thức xử lý dữ liệu, thực hiện theo [VĂN BẢN PHÁP LUẬT VỀ BẢO VỆ DỮ LIỆU CÁ NHÂN ÁP DỤNG].
Chúng tôi chỉ thu thập dữ liệu cần cho việc bán thẻ và bảo vệ tài khoản của bạn, và không bán dữ liệu cá nhân cho bất kỳ ai.
2. Năm nhóm dữ liệu, mục đích, cơ sở pháp lý và thời hạn lưu
1. Tài khoản và liên lạc
- Gồm
- Họ tên, email, số điện thoại (nếu bạn nhập), mật khẩu ở dạng mã hóa một chiều, định danh tài khoản Google (nếu đăng nhập bằng Google), trạng thái xác minh email, hạng khách.
- Mục đích
- Tạo và bảo vệ tài khoản; xác định chủ của từng đơn hàng; liên lạc và hỗ trợ khôi phục tài khoản.
- Cơ sở pháp lý
- Thực hiện thỏa thuận mua bán với bạn; sự đồng ý của bạn khi đăng ký.
- Thời hạn lưu
- Trong suốt thời gian tài khoản hoạt động. Khi bạn yêu cầu xóa: ẩn danh hóa trong 30 ngày.
2. Giao dịch và ví
- Gồm
- Đơn hàng (mệnh giá, số lượng, giá đã chốt, trạng thái), lượt nạp ví, sổ cái biến động ví, thẻ đã giao cho bạn (mã thẻ và seri được mã hóa trước khi lưu), thông tin xuất hóa đơn bạn gửi.
- Mục đích
- Giao thẻ, ghi nhận số dư ví, đối soát, kế toán, kê khai thuế, giải quyết khiếu nại.
- Cơ sở pháp lý
- Thực hiện thỏa thuận mua bán; nghĩa vụ pháp lý về kế toán và thuế.
- Thời hạn lưu
- Tối thiểu 10 năm.
3. Thông tin chuyển khoản
- Gồm
- Mã giao dịch, mã ngân hàng, số tiền, thời điểm, nội dung chuyển khoản; tên và số tài khoản người chuyển khi ngân hàng cung cấp qua dịch vụ SePay.
- Mục đích
- Khớp tiền với đúng đơn hàng hoặc lượt nạp, đối soát với sao kê ngân hàng, phòng, chống rửa tiền.
- Cơ sở pháp lý
- Thực hiện thỏa thuận mua bán; nghĩa vụ pháp lý về kế toán và phòng, chống rửa tiền.
- Thời hạn lưu
- Tối thiểu 10 năm, cùng hồ sơ kế toán. Tên và số tài khoản người chuyển nằm trong chính bản ghi giao dịch nên được giữ cùng thời hạn đó (quy định phòng, chống rửa tiền đòi tối thiểu 5 năm).
4. Nhật ký truy cập và bảo mật
- Gồm
- Địa chỉ IP, thông tin trình duyệt, thời điểm đăng nhập; nhật ký mỗi lần hiện, sao chép hoặc xuất mã thẻ (tài khoản, mã đơn, tham chiếu thẻ, thời điểm, IP); bằng chứng đồng ý văn bản (văn bản, phiên bản, thời điểm, IP, trình duyệt).
- Mục đích
- Bảo vệ tài khoản và mã thẻ đã mua, phát hiện truy cập bất thường và gian lận, làm căn cứ khi có khiếu nại hoặc tranh chấp.
- Cơ sở pháp lý
- Thực hiện thỏa thuận mua bán; nghĩa vụ bảo đảm an toàn dữ liệu theo quy định của pháp luật.
- Thời hạn lưu
- Nhật ký: tối thiểu 5 năm. Bằng chứng đồng ý: trong suốt thời gian tài khoản tồn tại; khi ẩn danh hóa, địa chỉ IP và thông tin trình duyệt trong bằng chứng đồng ý bị xóa.
5. Khiếu nại và hỗ trợ
- Gồm
- Nội dung khiếu nại, ảnh bằng chứng bạn gửi (tối đa 5 ảnh mỗi khiếu nại, lưu trong kho ảnh riêng, không công khai), trao đổi với bộ phận hỗ trợ, kết quả tra soát và kết luận.
- Mục đích
- Giải quyết khiếu nại về mã thẻ và đơn hàng, tra soát với nhà cung cấp thẻ.
- Cơ sở pháp lý
- Thực hiện thỏa thuận mua bán; nghĩa vụ pháp lý về bảo vệ quyền lợi người tiêu dùng.
- Thời hạn lưu
- Tối thiểu 5 năm.
Website hiện không thu giấy tờ tùy thân hay giấy đăng ký kinh doanh. Nếu sau này áp dụng việc nộp hồ sơ định danh, hồ sơ đó được lưu tối thiểu 5 năm và Chính sách này sẽ được cập nhật trước khi thu.
3. Không xóa vĩnh viễn trong thời hạn lưu
Trong thời hạn lưu nêu trên, đơn hàng, sổ cái ví, giao dịch ngân hàng, hóa đơn, nhật ký kiểm toán, hồ sơ khiếu nại và hồ sơ định danh không bị xóa vĩnh viễn, kể cả khi bạn yêu cầu xóa tài khoản. Thời hạn lưu là thời hạn tối thiểu: hết thời hạn, dữ liệu không tự động bị xóa.
Yêu cầu xóa được thực hiện bằng cách ẩn danh hóa: họ tên, email, số điện thoại bị xóa khỏi hồ sơ tài khoản, tài khoản đăng nhập bị xóa, và các bản ghi trên chỉ còn nối với tài khoản qua một mã số. Ẩn danh hóa không sửa nội dung của chính các bản ghi đó, nên những thông tin sau vẫn được giữ nguyên trong thời hạn lưu, kể cả khi trong đó có họ tên hay thông tin khác của bạn:
- nội dung chuyển khoản, tên và số tài khoản người chuyển do ngân hàng cung cấp — chứng từ kế toán và hồ sơ phòng, chống rửa tiền;
- mô tả lỗi và ảnh bằng chứng bạn gửi kèm khiếu nại, cùng kết quả tra soát — hồ sơ khiếu nại;
- địa chỉ IP và thông tin trình duyệt trong nhật ký truy cập và bảo mật, địa chỉ IP lúc đặt từng đơn hàng.
Bản sao lưu tự động của cơ sở dữ liệu vẫn chứa dữ liệu như trước khi ẩn danh hóa cho tới khi bản sao lưu đó hết hạn theo chu kỳ sao lưu của nhà cung cấp hạ tầng.
4. Chia sẻ dữ liệu và nơi lưu trữ
Chúng tôi chỉ chia sẻ dữ liệu trong phạm vi cần thiết với:
- nhà cung cấp hạ tầng đám mây: Supabase (cơ sở dữ liệu và hệ thống đăng nhập), Vercel (máy chủ Website) và máy chủ xử lý nền thuê của Oracle Cloud;
- SePay — dịch vụ báo biến động số dư tài khoản ngân hàng nhận tiền của chúng tôi;
- Google — chỉ khi bạn chọn đăng ký hoặc đăng nhập bằng Google;
- vietqr.app — khi hiện mã QR thanh toán, trình duyệt của bạn tải ảnh QR từ dịch vụ này; đường dẫn ảnh chứa số tài khoản nhận tiền, số tiền và mã thanh toán của đơn, không chứa họ tên hay email của bạn;
- nhà cung cấp thẻ — chỉ những thông tin về thẻ cần cho việc tra soát khi bạn khiếu nại;
- cơ quan nhà nước có thẩm quyền, khi có yêu cầu theo quy định của pháp luật.
Dữ liệu được lưu trên máy chủ đặt tại Nhật Bản và Singapore.
5. Chúng tôi bảo vệ dữ liệu thế nào
- Mã thẻ và số seri được mã hóa bằng AES-256-GCM trước khi ghi vào cơ sở dữ liệu.
- Mật khẩu chỉ được lưu ở dạng mã hóa một chiều.
- Mã thẻ và số seri không bao giờ được gửi qua email hay tin nhắn; chúng chỉ hiện trên Website sau khi bạn đăng nhập. Nếu bạn nhận được một liên kết đặt lại mật khẩu hoặc xác minh email từ hệ thống đăng nhập, đó là liên kết dùng một lần, có thời hạn, tự đăng nhập bạn vào tài khoản — đừng chuyển tiếp liên kết đó cho người khác.
- Trong Kho thẻ đã mua, mã thẻ mặc định bị che; mỗi lần hiện, sao chép hay xuất mã đều được ghi nhật ký và bị giới hạn tối đa 60 lần mỗi phút.
- Trong 24 giờ sau mỗi lần mật khẩu hoặc email đăng nhập của tài khoản thay đổi — dù thay đổi bằng cách nào — chức năng xuất tệp mã thẻ tạm khóa và mỗi giờ chỉ hiện hoặc sao chép được tối đa 5 lần, để người chiếm được tài khoản không lấy được cả kho thẻ ngay sau khi đổi mật khẩu.
- Nhân viên chỉ truy cập dữ liệu theo quyền của vai trò; trên các màn hình quản trị, nhân viên chăm sóc khách hàng chỉ thấy 4 ký tự cuối của mã thẻ. Ảnh bằng chứng và nội dung bạn tự gửi kèm phiếu khiếu nại được nhân viên xử lý phiếu xem nguyên văn — vì vậy, đừng chụp hoặc ghi mã thẻ đầy đủ vào đó nếu không cần. Mọi tài khoản quản trị bắt buộc xác thực hai lớp khi đăng nhập.
7. Email giao dịch và tiếp thị
Hiện Website không gửi email thông báo về đơn hàng, ví hay khiếu nại. Bạn xem tình trạng đơn, mã thẻ, số dư ví và khiếu nại ngay trên Website sau khi đăng nhập (Kho thẻ đã mua, Ví GCard365, Khiếu nại của tôi). Chúng tôi chỉ gửi email khi trả lời yêu cầu mà chính bạn gửi tới ThuyetPhan002@gmail.com.
Chúng tôi hiện không gửi email tiếp thị. Nếu sau này có, email tiếp thị chỉ được gửi khi bạn chủ động bật một ô đồng ý riêng, tách khỏi việc đồng ý Điều khoản sử dụng và Chính sách bảo mật, mặc định ở trạng thái tắt, và bạn tắt lại được bất cứ lúc nào.
8. Quyền của bạn với dữ liệu cá nhân
- Được biết: nội dung Chính sách này.
- Nhận bản sao dữ liệu: Website hiện chưa có chức năng tự tải bản sao. Bạn gửi yêu cầu theo cách nêu cuối mục này; chúng tôi gửi bản sao dữ liệu cá nhân của bạn tới email của tài khoản trong vòng 72 giờ kể từ khi nhận yêu cầu hợp lệ. Bản sao liệt kê từng thẻ đã giao (mệnh giá, mã đơn, trạng thái, thời điểm) nhưng không chứa mã thẻ hay số seri; mã thẻ và số seri bạn tự xem và tự xuất tệp trong Kho thẻ đã mua, và lịch sử ví bạn tự xuất ở trang Ví của tôi.
- Chỉnh sửa: Website hiện chưa có chức năng tự sửa họ tên, số điện thoại hay tự đổi email. Bạn gửi yêu cầu chỉnh sửa qua ThuyetPhan002@gmail.com; mật khẩu bạn tự đổi trong Tài khoản, mục Bảo mật và đăng nhập khi đang đăng nhập; nếu quên mật khẩu, hãy liên hệ bộ phận hỗ trợ.
- Xóa: tài khoản được ẩn danh hóa trong vòng 30 ngày kể từ khi nhận yêu cầu hợp lệ, trong giới hạn nêu ở mục “Không xóa vĩnh viễn trong thời hạn lưu”. Sau khi ẩn danh hóa, tài khoản không đăng nhập được nữa. Đơn chưa kết thúc (đang chờ thanh toán hoặc đang xem xét) và khiếu nại chưa kết luận được xử lý xong trước. Số dư ví không rút được thành tiền (xem Điều khoản sử dụng, mục Ví GCard365), nên với tài khoản còn số dư, chúng tôi hỏi lại bạn bằng email và chỉ ẩn danh hóa khi bạn xác nhận.
- Rút lại sự đồng ý, phản đối hoặc hạn chế xử lý: bạn có thể yêu cầu bất cứ lúc nào. Việc xử lý cần thiết để thực hiện đơn hàng đã đặt hoặc để thực hiện nghĩa vụ pháp lý vẫn tiếp tục; rút lại đồng ý Điều khoản sử dụng hoặc Chính sách này đồng nghĩa với việc ngừng sử dụng tài khoản.
- Khiếu nại: bạn có quyền khiếu nại tới chúng tôi và tới cơ quan nhà nước có thẩm quyền về bảo vệ dữ liệu cá nhân.
Gửi yêu cầu tới ThuyetPhan002@gmail.com từ chính địa chỉ email của tài khoản. Chúng tôi có thể đề nghị bạn xác minh thêm để chắc chắn yêu cầu đến từ chủ tài khoản trước khi thực hiện.
9. Khi xảy ra sự cố lộ dữ liệu
Khi phát hiện dữ liệu cá nhân bị lộ, chúng tôi đánh giá phạm vi và mức độ ảnh hưởng trong vòng 24 giờ, và thông báo cho khách hàng bị ảnh hưởng cùng cơ quan nhà nước có thẩm quyền trong vòng 72 giờ kể từ khi phát hiện.
10. Thay đổi Chính sách
Mỗi lần Chính sách này được sửa, số phiên bản ở đầu trang thay đổi và bạn cần đồng ý với phiên bản mới, tương tự Điều khoản sử dụng.
11. Liên hệ
- Đơn vị vận hành
- CÔNG TY TNHH TP - GCAR VIỆT NAM
- Mã số thuế
- 3703512053
- Đăng ký doanh nghiệp
- 09/09, SỞ TÀI CHÍNH THÀNH PHỐ HỒ CHÍ MINH
- Người đại diện
- NGUYEN THI CAU
- Địa chỉ
- 28/57 đường Phạm Ngũ Lão, Phường Dĩ An, Thành Phố Hồ Chí Minh
- Hotline
- 0795977110
- Email hỗ trợ
- ThuyetPhan002@gmail.com
- Giờ làm việc
- 8h-24h