Chính Sách Bảo Mật Dữ Liệu

LỜI MỞ ĐẦU VÀ NGUYÊN TẮC CỐT LÕI

ChayAds ("Chúng tôi", "Hệ thống", "Nền tảng") cam kết bảo vệ dữ liệu cá nhân và quyền riêng tư của Khách hàng ("Bạn", "Người dùng") theo các tiêu chuẩn pháp lý cao nhất tại Việt Nam và thông lệ quốc tế.

Văn bản này quy định chi tiết cách thức chúng tôi thu thập, xử lý, mã hóa, lưu trữ và bảo vệ dữ liệu khi bạn truy cập website `https://chayads.com`, sử dụng các tiện ích mở rộng (browser extensions), ứng dụng web, API, và các dịch vụ liên kết quản lý chiến dịch quảng cáo.

ĐIỀU 1. CĂN CỨ PHÁP LÝ XÁC LẬP

Chính sách này được xây dựng và thực thi nghiêm ngặt dựa trên:

• Nghị định số 13/2023/NĐ-CP ngày 17/04/2023 của Chính phủ về Bảo vệ dữ liệu cá nhân ("NĐ 13").
• Luật An toàn thông tin mạng số 86/2015/QH13 và các văn bản hướng dẫn thi hành.
• Luật An ninh mạng số 24/2018/QH14 và Nghị định số 53/2022/NĐ-CP.
• Luật Giao dịch điện tử số 20/2023/QH15.
• Chính sách nền tảng và Điều khoản nhà phát triển của Meta Platforms Inc., TikTok Pte. Ltd., và Google LLC.

ĐIỀU 2. PHÂN ĐỊNH VAI TRÒ TRONG XỬ LÝ DỮ LIỆU

Căn cứ Điều 2 Nghị định 13/2023/NĐ-CP:

• ChayAds là Bên Kiểm soát Dữ liệu Cá nhân (Data Controller): Đối với thông tin đăng ký tài khoản của bạn (Họ tên, email, số điện thoại, mật khẩu mã hóa, lịch sử giao dịch và gói cước).
• ChayAds là Bên Xử lý Dữ liệu Cá nhân (Data Processor): Đối với các dữ liệu quảng cáo, chiến dịch, tệp khách hàng tiềm năng, báo cáo số liệu mà bạn ủy quyền nạp từ tài khoản quảng cáo Meta/TikTok/Google thông qua Access Token hoặc API. Bạn giữ toàn quyền sở hữu đối với dữ liệu quảng cáo của mình.

ĐIỀU 3. DANH MỤC DỮ LIỆU THU THẬP

### 3.1. Dữ liệu tài khoản Người dùng:

• Họ và tên, địa chỉ email, số điện thoại liên lạc.
• Thông tin định danh Telegram Chat ID (nếu kích hoạt nhận thông báo bot).
• Thông tin thanh toán: Lịch sử nạp tiền, mã giao dịch ngân hàng, gói dịch vụ đăng ký (ChayAds không bao giờ lưu trữ số thẻ tín dụng hoặc mã CVV/CVC của bạn).

### 3.2. Dữ liệu kỹ thuật & vận hành:

• Địa chỉ IP, user-agent của trình duyệt, dấu thời gian truy cập, nhật ký hệ thống (system access logs).
• Dữ liệu cookie phiên làm việc nhằm duy trì trạng thái đăng nhập an toàn.

### 3.3. Dữ liệu ủy quyền qua Nền tảng thứ ba (Meta Graph API / TikTok API):

• Access Token quảng cáo: Khóa truy cập do bạn chủ động cấp quyền để hệ thống đọc báo cáo.
• Dữ liệu quảng cáo: ID tài khoản quảng cáo, tên chiến dịch, nhóm quảng cáo, bài viết (ads), chi phí chi tiêu (spend), số lượng tương tác, tin nhắn, CPM, CPC, CTR, doanh thu chuyển đổi.
• Tuyệt đối không thu thập: Mật khẩu đăng nhập Facebook/TikTok của bạn, tin nhắn riêng tư cá nhân, hoặc dữ liệu nhạy cảm không thuộc phạm vi API quảng cáo.

ĐIỀU 4. MỤC ĐÍCH XỬ LÝ DỮ LIỆU

Dữ liệu thu thập chỉ phục vụ các mục đích hợp pháp sau:

• Khởi tạo, xác thực và duy trì tài khoản SaaS của bạn trên hệ thống.
• Thực thi tính năng cốt lõi: Phân tích chỉ số quảng cáo, phát hiện bất thường, tính toán ROAS/CPA, tự động cảnh báo chiến dịch qua Telegram/Web.
• Hỗ trợ khách hàng, giải quyết khiếu nại kỹ thuật và đối soát giao dịch.
• Ngăn chặn gian lận, tấn công mạng, bảo vệ tính toàn vẹn của nền tảng.
• Tuân thủ nghĩa vụ báo cáo theo quy định pháp luật của cơ quan nhà nước có thẩm quyền.

ĐIỀU 5. NGUYÊN TẮC BẢO MẬT VÀ MÃ HÓA

• Mã hóa đường truyền: Toàn bộ lưu lượng truy cập giữa thiết bị của bạn và máy chủ ChayAds được bảo vệ bằng giao thức mã hóa TLS 1.3 (HTTPS).
• Mã hóa dữ liệu nhạy cảm (Encryption at Rest): Tất cả Meta Access Tokens, khóa bí mật API đều được mã hóa bằng chuẩn đối xứng AES-256-GCM / Fernet trước khi lưu vào cơ sở dữ liệu. Không ai – kể cả quản trị viên hệ thống – có thể đọc được token dưới dạng plain-text.
• Phân quyền tối thiểu (Least Privilege): Nhân viên kỹ thuật chỉ được truy cập hệ thống khi có yêu cầu hỗ trợ cụ thể và mọi thao tác đều được ghi lại trong audit log không thể chỉnh sửa.

ĐIỀU 6. THỜI HẠN LƯU TRỮ VÀ XÓA BỎ DỮ LIỆU

• Dữ liệu tài khoản được lưu trữ trong suốt thời gian tài khoản của bạn còn hoạt động.
• Dữ liệu Access Token sẽ bị xóa ngay lập tức khi bạn bấm hủy liên kết tài khoản quảng cáo hoặc token hết hạn.
• Dữ liệu báo cáo quảng cáo tạm thời được định kỳ tổng hợp và dọn dẹp theo chính sách gói cước.
• Khi có yêu cầu xóa tài khoản, hệ thống sẽ thực hiện tiêu hủy hoặc ẩn danh vĩnh viễn toàn bộ dữ liệu cá nhân trong vòng 72 giờ làm việc, trừ các chứng từ kế toán/hóa đơn bắt buộc lưu trữ theo luật Thuế.

ĐIỀU 7. QUYỀN CỦA CHỦ THỂ DỮ LIỆU

Theo quy định tại Điều 9 Nghị định 13/2023/NĐ-CP, bạn có đầy đủ các quyền:

• Quyền được biết & Quyền đồng ý: Biết rõ mục đích và phạm vi xử lý dữ liệu trước khi cung cấp.
• Quyền truy cập & Chỉnh sửa: Xem và cập nhật thông tin cá nhân bất cứ lúc nào tại trang Profile.
• Quyền rút lại sự đồng ý & Quyền xóa dữ liệu: Ngắt kết nối API hoặc gửi yêu cầu xóa vĩnh viễn dữ liệu tại trang `/data-deletion` hoặc gửi email về `[email protected]`.
• Quyền khiếu nại: Khiếu nại khi phát hiện dữ liệu bị sử dụng sai mục đích cam kết.

ĐIỀU 8. CHIA SẺ DỮ LIỆU CHO BÊN THỨ BA

ChayAds cam kết KHÔNG BÁN, KHÔNG CHO THUÊ, KHÔNG CHIA SẺ dữ liệu cá nhân hay dữ liệu quảng cáo của bạn cho bất kỳ bên thứ ba nào vì mục đích thương mại hoặc tiếp thị. Dữ liệu chỉ được chia sẻ trong các trường hợp:

• Các nhà cung cấp hạ tầng đám mây (Cloud Server, Database Hosting, Redis) đạt chứng chỉ bảo mật ISO 27001 / SOC 2, hoạt động như đơn vị xử lý hạ tầng ủy quyền.
• Cổng thanh toán trực tuyến hợp pháp tại Việt Nam phục vụ thanh toán nạp tiền.
• Yêu cầu bằng văn bản hợp pháp từ cơ quan công an hoặc cơ quan tư pháp theo luật định Việt Nam.

ĐIỀU 9. THÔNG BÁO SỰ CỐ VÀ VI PHẠM DỮ LIỆU

Trong trường hợp phát hiện máy chủ bị xâm phạm ảnh hưởng tới dữ liệu cá nhân, ChayAds sẽ:

• Kích hoạt quy trình ứng phó sự cố khẩn cấp, cô lập khu vực bị ảnh hưởng trong vòng 01 giờ.
• Báo cáo bằng văn bản tới Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) - Bộ Công an trong thời hạn 72 giờ kể từ khi phát hiện theo quy định tại Điều 26 NĐ 13.
• Gửi thông báo trực tiếp qua email tới các khách hàng bị ảnh hưởng kèm theo các khuyến cáo bảo mật (đổi mật khẩu, hủy token).

ĐIỀU 10. THÔNG TIN LIÊN HỆ BẢO MẬT

Mọi thắc mắc, khiếu nại hoặc yêu cầu thực thi quyền dữ liệu cá nhân, vui lòng liên hệ:

• Bộ phận Bảo vệ Dữ liệu (DPO) - ChayAds SaaS
• Email: `[email protected]` / `[email protected]`
• Website: `https://chayads.com`