Chính sách bảo mật

Chính sách này áp dụng cho toàn bộ website QUANTRADA.VN ("chúng tôi"), xây dựng theo Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15, hiệu lực từ 01/01/2026) và Nghị định 356/2025/NĐ-CP quy định chi tiết thi hành (thay thế Nghị định 13/2023/NĐ-CP trước đây).

1. Dữ liệu chúng tôi thu thập

• Thông tin tài khoản: họ tên, email, ngày sinh (không bắt buộc). Mật khẩu do Supabase Auth tiếp nhận và quản lý; chúng tôi không đọc được mật khẩu của bạn.
• Thông tin thanh toán: mã đơn, số tiền, trạng thái giao dịch, gói/sản phẩm và voucher. PayOS xử lý giao dịch VietQR; chúng tôi không yêu cầu hay lưu số thẻ hoặc thông tin đăng nhập ngân hàng.
• Thông tin đặt sách giấy: họ tên, số điện thoại, địa chỉ giao hàng.
• Nội dung bạn chủ động tạo: bình luận, kế hoạch mua nhà, sổ quyết định đầu tư, sổ xây dựng cuộc đời, nhắc việc và các tùy chọn cá nhân.
• Nhật ký đồng ý và bảo mật: phiên bản chính sách, thời điểm, địa chỉ IP và thông tin trình duyệt tại thời điểm đồng ý; nhật ký kỹ thuật cần thiết để phát hiện lỗi, chống lạm dụng và bảo vệ dịch vụ.
• Dữ liệu truy cập tổng hợp: trang đã xem, nguồn giới thiệu, quốc gia/khu vực gần đúng, loại thiết bị, hệ điều hành và trình duyệt qua Vercel Web Analytics. Công cụ này không dùng cookie theo dõi và không gắn lượt xem với tài khoản của bạn.

2. Mục đích sử dụng

Dữ liệu được dùng để: vận hành tài khoản và quyền lợi thành viên, xử lý thanh toán và giao hàng, lưu các công cụ/sổ cá nhân theo yêu cầu của bạn, gửi thông báo hoặc email mà bạn đã bật, đo lường hiệu quả website ở dạng tổng hợp, hỗ trợ người dùng, bảo vệ hệ thống, giải quyết tranh chấp và tuân thủ nghĩa vụ pháp lý.

3. Chia sẻ dữ liệu với bên thứ ba

Chúng tôi chỉ chia sẻ dữ liệu với các đối tác kỹ thuật cần thiết để vận hành dịch vụ:

• Supabase — xác thực, cơ sở dữ liệu, lưu trữ tệp và chức năng máy chủ.
• Vercel — lưu trữ/vận hành website, nhật ký kỹ thuật và Web Analytics tổng hợp.
• Cloudinary — lưu trữ, tối ưu và phân phối hình ảnh được đăng lên website.
• PayOS — tạo và xác nhận giao dịch thanh toán VietQR.
• Resend — chuyển email giao dịch, nhắc việc và thông báo mà bạn đã bật.

Chúng tôi chỉ cung cấp dữ liệu cần thiết cho đúng nhiệm vụ của từng bên, không bán và không cho thuê dữ liệu cá nhân dưới bất kỳ hình thức nào. Một số nhà cung cấp có thể xử lý dữ liệu ngoài Việt Nam theo hạ tầng và điều khoản bảo vệ dữ liệu của họ; chúng tôi chỉ lựa chọn đối tác có cam kết bảo mật phù hợp với phạm vi dữ liệu được chuyển giao.

4. Cookie, lưu trữ trên thiết bị và analytics

• Supabase đặt cookie phiên đăng nhập cần thiết để duy trì tài khoản, bảo mật phiên và thực hiện lựa chọn “ghi nhớ đăng nhập”. Đây là cookie kỹ thuật bắt buộc; website không thể cung cấp luồng tài khoản đầy đủ nếu trình duyệt chặn cookie này.
• Vercel Web Analytics đo lượt xem ở dạng tổng hợp, không dùng cookie theo dõi và không tạo hồ sơ hành vi gắn với tài khoản của bạn.
• sessionStorage trên thiết bị được dùng để nhớ rằng một lời nhắc đã xuất hiện trong phiên và lưu tạm bản nháp Sổ quyết định đầu tư; dữ liệu này không phải cookie quảng cáo và tự mất khi phiên trình duyệt kết thúc.
• QUANTRADA.VN hiện không dùng Google Analytics, Meta Pixel, quảng cáo hành vi hoặc cookie marketing của bên thứ ba. Vì không có cookie theo dõi tùy chọn để bật/tắt, website không hiển thị banner cookie hình thức.

Nếu sau này chúng tôi thêm công nghệ theo dõi hoặc quảng cáo cần sự đồng ý, chính sách này sẽ được cập nhật và chúng tôi sẽ xin lựa chọn của bạn trước khi kích hoạt, đúng theo yêu cầu pháp luật hiện hành.

5. Email Chuyện trà và lựa chọn marketing

Chúng tôi chỉ ghi nhận email Chuyện trà khi bạn chủ động nhập địa chỉ và bấm nút đăng ký. Việc đăng ký này tách biệt với việc tạo tài khoản hoặc mua dịch vụ. Email và nguồn form được lưu để quản lý danh sách; chúng tôi không bán và không chia sẻ danh sách email cho bên thứ ba ngoài mục 3. Bạn có thể yêu cầu ngừng nhận qua trang Liên hệ bằng chính địa chỉ đã đăng ký. Việc ngừng Chuyện trà không ảnh hưởng email giao dịch, bảo mật hoặc thông báo cần thiết để cung cấp dịch vụ bạn đang sử dụng.

6. Thời hạn lưu dữ liệu

• Tài khoản, hồ sơ và nội dung bạn tạo được giữ trong thời gian tài khoản hoạt động hoặc đến khi bạn yêu cầu xóa, trừ dữ liệu phải tiếp tục lưu theo pháp luật.
• Đơn hàng, giao dịch và nhật ký đồng ý được giữ trong thời hạn cần thiết cho kế toán, thuế, đối soát, giải quyết khiếu nại và chứng minh tuân thủ; thời hạn cụ thể phụ thuộc nghĩa vụ pháp luật áp dụng.
• Yêu cầu hỗ trợ được giữ đến khi xử lý xong và trong khoảng thời gian hợp lý sau đó để theo dõi vụ việc.
• Hình ảnh trên Cloudinary được giữ khi nội dung tương ứng còn được xuất bản; bản sao lưu hoặc nhật ký của nhà cung cấp có thể tồn tại thêm trong chu kỳ sao lưu/xóa an toàn của họ.
• Vercel Web Analytics hủy mã nhận diện lượt truy cập sau 24 giờ; số liệu tổng hợp được hiển thị theo cửa sổ báo cáo của gói Vercel đang sử dụng.

Chúng tôi định kỳ rà soát và xóa hoặc ẩn danh dữ liệu không còn cần cho các mục đích trên.

7. Quyền của bạn và cách gửi yêu cầu

Theo Luật Bảo vệ dữ liệu cá nhân (số 91/2025/QH15), bạn có quyền:

• Truy cập và xem lại dữ liệu cá nhân của mình tại trang Tài khoản.
• Chỉnh sửa thông tin hồ sơ trực tiếp tại trang Tài khoản.
• Yêu cầu cung cấp bản sao, sửa, hạn chế xử lý hoặc xóa tài khoản và dữ liệu liên quan.
• Tắt thông báo/email tùy chọn hoặc rút lại sự đồng ý; việc rút lại không làm mất tính hợp pháp của hoạt động xử lý đã diễn ra hợp lệ trước đó.

Gửi yêu cầu tại trang Liên hệ hoặc email quantradavn@gmail.com. Hãy dùng email gắn với tài khoản và nêu rõ dữ liệu/quyền bạn muốn thực hiện để chúng tôi xử lý nhanh và chính xác nhất. Chúng tôi có thể cần xác minh danh tính trước khi thực hiện yêu cầu, sẽ xác nhận đã nhận và xử lý trong thời hạn pháp luật quy định. Một phần dữ liệu có thể chưa được xóa ngay nếu đang có tranh chấp hoặc phải lưu theo nghĩa vụ pháp lý; khi đó chúng tôi sẽ giải thích rõ phạm vi và lý do.

8. Bảo mật & xử lý sự cố

Dữ liệu được bảo vệ bằng Row Level Security (RLS) ở tầng cơ sở dữ liệu, mã hoá kết nối HTTPS, và kiểm soát quyền truy cập theo vai trò. Nếu xảy ra sự cố ảnh hưởng đến dữ liệu cá nhân, chúng tôi sẽ đánh giá, khắc phục trong khả năng kỹ thuật hợp lý và thông báo cho người dùng/cơ quan có thẩm quyền theo đúng thời hạn và hình thức pháp luật yêu cầu.

9. Thay đổi chính sách

Chúng tôi có thể cập nhật chính sách này để phản ánh đúng cách vận hành thực tế hoặc thay đổi của pháp luật. Khi nội dung quan trọng thay đổi, chúng tôi sẽ cập nhật ngày ở đầu trang và thông báo hoặc xin lại sự đồng ý nếu pháp luật yêu cầu. Bản chính sách có hiệu lực là bản đang hiển thị tại địa chỉ này tại thời điểm bạn sử dụng dịch vụ. Mọi câu hỏi về chính sách này có thể gửi qua trang Liên hệ.