Chính sách bảo mật

1. Tổng quan

Chính sách bảo mật này được thiết kế để giải thích cách CÔNG TY TNHH POPHUBLY (“Công ty,” “chúng tôi,” hoặc “của chúng tôi”) thu thập, sử dụng, lưu trữ và chia sẻ thông tin của bạn khi bạn sử dụng các Dịch vụ của chúng tôi, bao gồm ứng dụng di động, ứng dụng web và các tính năng liên quan.

Chúng tôi cam kết bảo vệ quyền riêng tư của bạn và xử lý dữ liệu cá nhân một cách minh bạch, có trách nhiệm, tuân thủ nghiêm ngặt Nghị định 13/2023/NĐ-CP của Việt Nam và Quy định bảo vệ dữ liệu chung (GDPR) của Liên minh Châu Âu.

PopHubly là nền tảng marketplace kết nối khách hàng với các địa điểm tổ chức sự kiện, không phải dịch vụ xử lý tệp tin (SaaS). Do đó, việc chia sẻ dữ liệu với đối tác địa điểm là một phần thiết yếu của dịch vụ.

2. Danh mục dữ liệu xử lý

Chúng tôi áp dụng nguyên tắc "Thu thập tối thiểu" (Data Minimization). Các loại dữ liệu sau đây được thu thập với mục đích, cơ sở pháp lý và thời gian lưu trữ cụ thể:

3. Sự đồng ý

Chúng tôi tuân thủ nghiêm ngặt nguyên tắc “đồng ý rõ ràng” (Opt-in) theo Nghị định 13 và GDPR:

• Không tick sẵn: Mọi ô checkbox (như điều khoản, quyền vị trí, thu âm) đều ở trạng thái trống, yêu cầu người dùng tự kích hoạt.
• Kiểm soát tính năng: Việc kích hoạt Quyền Vị Trí (Location) chỉ diễn ra khi bạn sử dụng chức năng Check-in. Bạn hoàn toàn có quyền từ chối cung cấp định vị mà vẫn sử dụng được các tính năng cốt lõi khác.
• Không ép buộc: Người dùng có thể từ chối nhận thông báo tiếp thị mà không ảnh hưởng đến dịch vụ chính.
• Rút lại bất kỳ lúc nào: Bạn có thể thu hồi quyền truy cập (Vị trí, Micro) trực tiếp trên cài đặt của hệ điều hành thiết bị hoặc gửi yêu cầu đến email hỗ trợ.

4. Dữ liệu giọng nói, Vị trí & Cam kết AI

5. Bên xử lý dữ liệu (Third-party Processors)

Chúng tôi giới hạn việc chia sẻ dữ liệu với các nhà cung cấp hạ tầng đám mây và API đáng tin cậy. Tất cả đều có hợp đồng xử lý dữ liệu (DPA) tuân thủ tiêu chuẩn khắt khe nhất:

5A. Chia sẻ dữ liệu với Đối tác địa điểm (Venues)

Để vận hành dịch vụ đặt chỗ và kết nối người dùng với các không gian tổ chức sự kiện, PopHubly có thể chia sẻ một số thông tin cần thiết cho các Đối tác địa điểm (Venues) mà bạn lựa chọn. Đây là phần cốt lõi của dịch vụ marketplace và được thực hiện dựa trên sự đồng ý của bạn khi hoàn tất đặt chỗ.

Quyền từ chối: Bạn có quyền từ chối việc chia sẻ thông tin cho đối tác bằng cách không hoàn tất giao dịch đặt chỗ. Tuy nhiên, việc này sẽ ngăn cản bạn sử dụng tính năng đặt không gian qua PopHubly. Bạn vẫn có thể duy trì tài khoản và sử dụng các tính năng khác (như PopMinutes) mà không cần chia sẻ dữ liệu với đối tác.

6. Chuyển dữ liệu quốc tế

Dữ liệu của bạn có thể được truyền tải và xử lý tại Singapore, Hoa Kỳ và Liên minh Châu Âu (EU) qua hạ tầng của Google. Chúng tôi đảm bảo:

• Đối với người dùng EU: Áp dụng nghiêm ngặt các Điều khoản hợp đồng chuẩn (SCCs) do Ủy ban Châu Âu ban hành.
• Đối với người dùng Việt Nam: Tuân thủ đầy đủ Điều 22 Nghị định 13/2023/NĐ-CP (thực hiện Đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và thiết lập cơ chế bảo vệ phù hợp).

7. Quyền của chủ thể dữ liệu

Theo Nghị định 13/2023/NĐ-CP và GDPR, bạn có toàn quyền kiểm soát dữ liệu của mình:

• Truy cập & Di chuyển: Yêu cầu trích xuất bản sao dữ liệu (lịch sử đặt chỗ, thông tin cá nhân) dưới định dạng máy đọc được.
• Sửa đổi: Cập nhật các thông tin cá nhân chưa chính xác.
• Xóa bỏ (Right to be Forgotten): Yêu cầu xóa bỏ hoàn toàn dữ liệu đặt chỗ, tọa độ định vị hoặc tài khoản khi không còn nhu cầu sử dụng.
• Rút lại đồng ý: Tắt quyền truy cập Micro hoặc GPS bất kỳ lúc nào qua cài đặt thiết bị. Đối với việc chia sẻ dữ liệu với đối tác, bạn có thể rút lại bằng cách hủy đặt chỗ hoặc liên hệ DPO.
• Phản đối & Hạn chế: Phản đối việc xử lý dữ liệu cho mục đích phân tích tự động.

8. Bảo mật & Ứng phó sự cố

8.1 Biện pháp kỹ thuật

• Mã hóa đầu cuối: Toàn bộ dữ liệu (thông tin đặt chỗ, vị trí GPS, hồ sơ khách hàng) được mã hóa bằng chuẩn TLS 1.3 khi truyền tải và AES-256 khi lưu trữ trên Google Cloud.
• Kiểm soát truy cập: Giới hạn quyền truy cập ở mức tối thiểu (Principle of Least Privilege) bằng hệ thống xác thực đa yếu tố (MFA).

* Chúng tôi thực hiện đánh giá tác động bảo vệ dữ liệu cá nhân (DPIA) định kỳ cho các tính năng thu thập dữ liệu nhạy cảm (đặt chỗ, vị trí, ghi âm).

8.2 Ứng phó vi phạm dữ liệu

9. Cookie & Quyền thiết bị

• Quyền phần cứng (Microphone & GPS): Ứng dụng sẽ hiển thị thông báo xin cấp quyền rõ ràng (OS Prompts) trước khi bạn bắt đầu ghi âm hoặc thao tác check-in.
• Cookie bảo mật: Chỉ sử dụng Session Cookie và Token để duy trì trạng thái đăng nhập bảo mật (không yêu cầu banner đồng ý).
• Cookie phân tích: Chúng tôi chỉ kích hoạt công cụ theo dõi hiệu suất hệ thống (PostHog) khi được bạn chấp thuận. Bạn hoàn toàn có thể từ chối tính năng này trong cài đặt.

10. Trẻ em

Nền tảng của PopHubly được thiết kế dành riêng cho đối tượng doanh nghiệp và chuyên gia, do đó không phục vụ cá nhân dưới 18 tuổi. Nếu phát hiện hệ thống vô tình xử lý dữ liệu của trẻ vị thành niên, chúng tôi sẽ tiến hành thủ tục xóa dữ liệu vĩnh viễn và khóa tài khoản ngay lập tức.

11. Cập nhật chính sách

Chúng tôi có thể điều chỉnh chính sách này để đáp ứng quy định pháp luật mới hoặc khi ra mắt tính năng nâng cao. Đối với bất kỳ thay đổi trọng yếu nào liên quan đến quyền riêng tư, chúng tôi cam kết thông báo trước ít nhất 15 ngày cho người dùng thông qua Email hoặc thông báo trong ứng dụng. Việc bạn tiếp tục sử dụng dịch vụ sau thời gian thông báo đồng nghĩa với việc bạn chấp nhận phiên bản chính sách mới nhất.

12. Liên hệ & Quy trình khiếu nại

Quy trình giải quyết khiếu nại

Chúng tôi ưu tiên giải quyết khiếu nại thông qua đối thoại trực tiếp và minh bạch:

1. Bước 1: Gửi khiếu nại (có kèm bằng chứng nếu có) đến địa chỉ email info@pophubly.com.
2. Bước 2: Bộ phận DPO sẽ xác nhận tiếp nhận trong vòng 3 ngày làm việc và tiến hành kiểm tra, xác minh.
3. Bước 3: Phản hồi chính thức về hướng giải quyết trong vòng 15 ngày làm việc kể từ ngày tiếp nhận khiếu nại (theo quy định tại Nghị định 13).