Chính sách quyền riêng tư

Chính sách này giải thích Life Event OS thu thập dữ liệu gì, dùng để làm gì, chia sẻ cho ai, lưu ở đâu và bao lâu, và bạn có những quyền gì. Đơn vị vận hành và chịu trách nhiệm xử lý dữ liệu: đang cập nhật. Email liên hệ về quyền riêng tư: đang cập nhật. Chính sách có bản tiếng Việt và tiếng Anh; nếu có khác biệt, bản tiếng Việt được ưu tiên áp dụng.

Chính sách áp dụng cho:

• Sổ Mừng Cưới — Zalo Mini App;
• Life Event OS — ứng dụng di động (đang thử nghiệm, chưa phát hành trên kho ứng dụng);
• trang thiệp mời và album mà khách mời mở bằng đường dẫn (link) riêng;
• trang web này.

Tóm tắt nhanh

• Chúng tôi không bán dữ liệu của bạn hay của khách mời, và không dùng dữ liệu đó để quảng cáo.
• Sổ tiền mừng chỉ người có quyền trong sự kiện mới xem được: ban tổ chức theo vai trò, cùng Chủ và Quản trị của Nhà mình / Hội mình chứa sự kiện (xem mục 4.1). Không có chức năng nào cho người khác tra “ai từng mừng bao nhiêu” ở sự kiện khác.
• Chúng tôi chỉ ghi chép. Chúng tôi không giữ tiền, không chuyển tiền và không gợi ý số tiền mừng.
• Ứng dụng không cài công cụ phân tích hành vi, quảng cáo hay theo dõi của bên thứ ba.
• Mật khẩu, mã OTP và phiên đăng nhập chỉ được lưu dưới dạng băm (không đọc ngược được).
• Ứng dụng chưa có nút tự xoá tài khoản. Bạn gửi yêu cầu và chúng tôi xử lý — xem Xoá dữ liệu & tài khoản.

1. Dữ liệu chúng tôi thu thập

1.1. Khi bạn đăng nhập

Bằng Zalo

• Chúng tôi nhận từ Zalo: mã định danh người dùng Zalo (mã riêng cho ứng dụng của chúng tôi), tên hiển thị và ảnh đại diện. Tên Zalo được cập nhật lại mỗi lần bạn đăng nhập.
• Chúng tôi xác minh lượt đăng nhập trực tiếp với Zalo, không dựa vào thông tin do thiết bị tự khai.
• Số điện thoại Zalo chỉ được lấy khi bạn bấm đồng ý chia sẻ trong hộp thoại xin quyền của Zalo.

Bằng số điện thoại và mật khẩu (sắp có)

• Cách đăng nhập này chưa mở cho người dùng. Khi mở, chúng tôi lưu số điện thoại của bạn; mật khẩu chỉ lưu ở dạng băm (BCrypt), không lưu mật khẩu gốc.
• Mã xác minh (OTP) và vé dùng một lần sau khi xác minh cũng chỉ lưu dạng băm.
• Nhập sai mật khẩu 5 lần liên tiếp sẽ tạm khoá đăng nhập bằng mật khẩu trong 15 phút.

Bằng Face ID / vân tay (passkey)

• Chỉ dùng được khi thiết bị và Zalo hỗ trợ.
• Dấu vân tay và khuôn mặt không bao giờ rời khỏi thiết bị của bạn.
• Máy chủ chỉ lưu khoá công khai của thiết bị, mã định danh khoá, tên thiết bị, bộ đếm sử dụng và thời điểm dùng gần nhất.

Phiên đăng nhập

• Mã truy cập có hiệu lực 15 phút.
• Mã làm mới có hiệu lực 30 ngày, dùng một lần và chỉ được lưu dạng băm SHA-256.
• Nếu một mã làm mới cũ bị dùng lại, toàn bộ chuỗi phiên đó bị thu hồi để chống chiếm tài khoản.

1.2. Thông tin hồ sơ bạn tự nhập (không bắt buộc)

Họ tên tự đặt, biệt danh, giới tính, ngày sinh, địa chỉ, nghề nghiệp, nơi làm việc.

1.3. Nội dung bạn tạo trong ứng dụng

• Sự kiện: loại sự kiện, tiêu đề, ngày, địa điểm, ảnh bìa; với đám cưới là tên cô dâu, chú rể. Cùng với đó là thành viên ban tổ chức và vai trò của họ.
• Sổ tiền mừng: tên người mừng, số tiền hoặc món quà, ghi chú, ảnh hoặc video đính kèm (ví dụ ảnh phong bì), trạng thái đối soát. Khoản bị huỷ được giữ lại kèm lý do huỷ.
• Sổ đi lại: các khoản bạn đã đi và đã nhận giữa gia đình bạn với người khác.
• Khách mời:
  • thông tin cơ bản: tên, số điện thoại (nếu bạn nhập), quan hệ, nhóm, bên nhà trai/nhà gái, thẻ, bàn tiệc, nhiệm vụ, ghi chú, số người đi cùng;
  • theo dõi mời: cách mời, thời điểm gửi thiệp, thời điểm khách mở thiệp lần đầu;
  • phản hồi của khách: trả lời tham dự, lời chúc, check-in.
• Album ảnh: ảnh, chú thích, người đăng, trạng thái duyệt, lượt thả tim. Mỗi ảnh có một mã băm nội dung để cảnh báo ảnh trùng.
• Không gian Nhà mình (gia đình) / Hội mình (nhóm):
  • thành viên, vai trò, lời mời bằng đường dẫn hoặc mã;
  • danh bạ: tên, số điện thoại, cách xưng hô, ngày sinh, địa chỉ, nghề nghiệp, ghi chú, thẻ, ảnh;
  • cây gia đình: họ tên, giới tính, ngày/năm sinh, ngày/năm mất, tình trạng còn sống, ngày giỗ âm lịch, tên gọi trong nhà và cách từng thành viên gọi người đó, quan hệ cha mẹ / vợ chồng, ghi chú;
  • quỹ hội và các đợt thu.
• Việc cần làm: danh sách, người phụ trách, nhắc hẹn, tệp đính kèm.
• Thu chi: khoản chi, khoản thu.
• Tin nhắn: nội dung tin nhắn, cảm xúc, tin ghim và tệp đính kèm — trong phòng chung của Nhà mình / Hội mình hoặc sự kiện, tin nhắn riêng giữa hai thành viên, nhóm nhỏ, và câu hỏi của khách gửi ban tổ chức.
• Thông báo trong ứng dụng và cài đặt thông báo của bạn.

1.4. Dữ liệu về người không dùng ứng dụng

Khi bạn nhập khách mời, người mừng, người thân trong cây gia đình hay người trong danh bạ, bạn đang cung cấp cho chúng tôi thông tin về người khác — thường là người không có tài khoản. Chúng tôi:

• chỉ lưu những gì bạn chủ động nhập; không tự thu thập số điện thoại của khách mời;
• giữ dữ liệu đó trong phạm vi sự kiện hoặc không gian mà bạn tạo ra;
• không bao giờ tự gộp hồ sơ người chỉ vì trùng tên. Riêng khi một người xác minh số điện thoại, các liên hệ, khách mời, thành viên mà người khác đã lưu với đúng số đó sẽ tự được nối với tài khoản của họ (xem mục 1.6).

Bạn có trách nhiệm chỉ nhập những thông tin cần cho việc tổ chức sự kiện của mình.

1.5. Khách mời mở thiệp bằng đường dẫn riêng

Khách mời không cần tài khoản. Khi khách mở thiệp, chúng tôi ghi nhận:

• thời điểm mở thiệp lần đầu, để ban tổ chức biết “khách đã xem”;
• câu trả lời tham dự và số người đi;
• lời chúc;
• ảnh khách góp vào album, cùng tên người đăng do khách nhập.

Mã trong đường dẫn chỉ được lưu dạng băm. Khách thấy thông tin sự kiện, câu trả lời của chính mình, và những ảnh album (kèm tên người đăng) hay lời chúc mà ban tổ chức chia sẻ cho khách; khách không thấy danh sách khách mời hay sổ tiền mừng. Khách tự xoá được ảnh mình đã góp.

1.6. Danh bạ và quyền trên thiết bị

Danh bạ điện thoại (ứng dụng di động, hoặc trình duyệt có hỗ trợ):

• Khi bạn cho phép, ứng dụng đọc tên và số điện thoại đầu tiên của từng liên hệ ngay trên máy để hiện danh sách cho bạn chọn.
• Chỉ những người bạn tích chọn mới được gửi lên máy chủ. Toàn bộ danh bạ không được tải lên.

Bạn bè Zalo (trong Mini App):

• Zalo chỉ cho chúng tôi nhận tên của những người bạn chọn (tối đa 10 người mỗi lần), không có số điện thoại.

Tự nối với tài khoản qua số điện thoại đã xác minh:

• Khi bạn xác minh số điện thoại (ví dụ đồng ý chia sẻ số điện thoại Zalo), các liên hệ trong danh bạ, khách mời và thành viên mà người khác đã lưu với đúng số đó sẽ tự được nối với tài khoản của bạn, không cần ai xác nhận.
• Sau khi nối, bạn có thể thấy các sự kiện mà bạn là khách mời, và trở thành thành viên của Nhà mình / Hội mình mà người khác đã thêm bạn vào bằng số điện thoại.
• Việc nối chỉ dựa trên số điện thoại đã xác minh, không bao giờ dựa trên tên.

Camera, micro, thư viện ảnh:

• Chỉ dùng khi bạn chủ động quét mã QR, chụp hoặc chọn ảnh, quay video để đính kèm.

Vị trí:

• Ứng dụng không truy cập vị trí của bạn.

1.7. Dữ liệu kỹ thuật

• Nhật ký kiểm toán. Các thao tác ghi, sửa, huỷ trên sổ tiền mừng, khách mời, dữ liệu sự kiện và nhiều dữ liệu dùng chung của Nhà mình / Hội mình (như cây gia đình, quỹ hội, đợt thu) để lại một dòng nhật ký gồm: ai thực hiện (dưới dạng mã người dùng), lúc nào, thao tác gì, bản ghi trước và sau khi đổi, lý do (nếu có). Bản ghi trước và sau có thể chứa tên, số điện thoại của khách mời, người thân, liên hệ và số tiền, đúng như tại thời điểm thay đổi. Nhật ký chỉ được ghi thêm; việc sửa, xoá nhật ký bị chặn ngay ở tầng cơ sở dữ liệu, không chỉ trong mã ứng dụng. Tin nhắn, danh bạ riêng, hồ sơ cá nhân và thông báo không được ghi vào nhật ký này.
• Nhật ký máy chủ. Gồm địa chỉ IP, thời điểm, đường dẫn được gọi và mã lỗi; dùng để vận hành và điều tra sự cố. Chúng tôi không ghi mã đăng nhập, mật khẩu, nội dung ghi chú hay cặp “tên người mừng – số tiền” vào nhật ký vận hành.
• Không có công cụ theo dõi. Không có SDK phân tích hành vi, quảng cáo hay đo lường của bên thứ ba.

2. Chúng tôi dùng dữ liệu để làm gì

1. Cung cấp các tính năng bạn dùng: ghi sổ, quản lý khách mời, gửi thiệp, album, việc cần làm, thu chi, Nhà mình / Hội mình, tin nhắn, thông báo.
2. Xác thực đăng nhập, giữ an toàn tài khoản, phát hiện và ngăn chặn gian lận hoặc truy cập trái phép.
3. Bảo đảm tính toàn vẹn của sổ: chống ghi trùng, đối soát, lưu vết ai đã sửa gì.
4. Hỗ trợ khi bạn liên hệ, và xử lý các yêu cầu về quyền dữ liệu.
5. Tuân thủ nghĩa vụ pháp lý và yêu cầu hợp lệ của cơ quan nhà nước có thẩm quyền.

Chúng tôi không dùng dữ liệu của bạn hay của khách mời để quảng cáo, lập hồ sơ tiếp thị, hay bán cho bất kỳ ai.

3. Cơ sở xử lý

• Sự đồng ý của bạn: khi đăng nhập, khi cho phép chia sẻ số điện thoại, khi cấp quyền danh bạ, camera hay ảnh. Riêng mục Dịch vụ của đối tác (khi ra mắt) chỉ xử lý khi bạn chủ động gửi yêu cầu.
• Thực hiện thoả thuận sử dụng dịch vụ giữa bạn và chúng tôi (xem Điều khoản sử dụng).
• Nghĩa vụ pháp lý và các trường hợp khác pháp luật cho phép.

Bạn có thể rút lại sự đồng ý bất cứ lúc nào. Việc rút lại không ảnh hưởng tới các xử lý đã thực hiện hợp pháp trước đó. Nếu bạn rút lại đồng ý cần cho việc đăng nhập, chúng tôi sẽ không thể tiếp tục cung cấp dịch vụ cho tài khoản đó.

4. Ai có thể thấy dữ liệu

4.1. Bên trong ứng dụng

• Sự kiện: người được thêm vào ban tổ chức thấy sự kiện theo quyền của vai trò được giao. Nếu sự kiện thuộc một Nhà mình / Hội mình, Chủ và Quản trị của không gian đó mặc định có toàn quyền với sự kiện, kể cả xem sổ tiền mừng.
• Thành viên thường của Nhà mình / Hội mình: mặc định xem được thông tin sự kiện của không gian, sổ lời chúc đã chia sẻ và album, nhưng không xem được sổ tiền mừng. Chủ không gian có thể đổi quyền của từng vai trò. Sổ đi lại có lớp quyền riêng: thành viên thường mặc định không xem được.
• Khách mời có tài khoản: nếu tài khoản của khách được nối với khách mời trong sự kiện (xem mục 1.6), khách mở được sự kiện đó với quyền xem như khách mời, không xem được sổ tiền mừng hay danh sách khách.
• Khi ai đó không có quyền mở một sự kiện, hệ thống trả lời như thể sự kiện không tồn tại, để không lộ việc nó có thật.

4.2. Bên thứ ba cung cấp hạ tầng và dịch vụ

• Zalo (Công ty Cổ phần VNG): xác thực đăng nhập, cung cấp số điện thoại khi bạn đồng ý, và nền tảng chạy Mini App. Zalo xử lý dữ liệu theo chính sách riêng của Zalo.
• Nhà cung cấp hạ tầng đám mây: máy chủ, cơ sở dữ liệu, kho lưu tệp, bản sao lưu (xem mục 5). Nhà cung cấp chỉ lưu trữ thay chúng tôi, không được dùng dữ liệu cho mục đích riêng.
• Nhà cung cấp gửi tin nhắn (SMS / Zalo ZNS): nếu chúng tôi dùng để gửi mã OTP, họ chỉ nhận số điện thoại và mã xác minh để gửi tin.

4.3. Đối tác trong mục Dịch vụ (chưa ra mắt)

Khi mục Dịch vụ của đối tác ra mắt, thông tin chỉ được gửi tới đối tác khi bạn chủ động gửi yêu cầu, và chỉ những thông tin cần cho yêu cầu đó: loại sự kiện, ngày, khu vực, quy mô, ngân sách, nhu cầu.

Đối tác không bao giờ nhận được: danh sách khách, số điện thoại, thành viên, quan hệ, cây gia đình, nội dung tin nhắn nội bộ, tiền mừng, quà, đóng góp hay thông tin tang lễ, giỗ chạp.

4.4. Cơ quan nhà nước

Chúng tôi cung cấp dữ liệu cho cơ quan nhà nước có thẩm quyền khi pháp luật yêu cầu, và chỉ trong phạm vi yêu cầu.

5. Dữ liệu được lưu ở đâu

• Nơi lưu (dự kiến): dữ liệu ứng dụng, tệp và ảnh được lưu trên máy chủ thuê của Google Cloud, khu vực Singapore (asia-southeast1). Khu vực thực tế sẽ được xác nhận khi chính sách có hiệu lực.
• Sao lưu (dự kiến): cơ sở dữ liệu được sao lưu hằng đêm vào kho lưu trữ của Google Cloud trong cùng khu vực.
• Chuyển ra nước ngoài: lưu trữ ở Singapore là chuyển dữ liệu cá nhân ra ngoài lãnh thổ Việt Nam. Chúng tôi đang hoàn tất các thủ tục pháp luật yêu cầu cho việc chuyển dữ liệu ra nước ngoài.
• Thay đổi: nếu đổi nơi lưu trữ, chúng tôi sẽ cập nhật chính sách này.

6. Thời gian lưu trữ

Ẩn không phải là xoá. Khi bạn “xoá” một sự kiện hoặc một khách mời trong ứng dụng, dữ liệu được ẩn khỏi danh sách nhưng vẫn được giữ lại, để tránh mất dữ liệu do bấm nhầm. Khoản ghi trong sổ chỉ có thể huỷ kèm lý do, không xoá hẳn. Muốn xoá hẳn, xem Xoá dữ liệu & tài khoản.

7. Chúng tôi bảo vệ dữ liệu thế nào

• Kết nối giữa ứng dụng và máy chủ được mã hoá (HTTPS).
• Mật khẩu, mã OTP, mã phiên đăng nhập và mã trong đường dẫn thiệp mời chỉ được lưu dạng băm.
• Ảnh và tệp nằm trong kho riêng, chỉ mở được qua đường dẫn có chữ ký và có thời hạn.
• Mỗi yêu cầu đều được kiểm tra quyền ở máy chủ. Hệ thống không tin mã người dùng do thiết bị gửi lên.
• Nhật ký kiểm toán chỉ được ghi thêm, được bảo vệ bằng ràng buộc ở cơ sở dữ liệu.
• Bí mật hệ thống chỉ nằm trong biến môi trường của máy chủ, không nằm trong mã nguồn.

Không hệ thống nào an toàn tuyệt đối. Nếu xảy ra sự cố lộ lọt dữ liệu cá nhân, chúng tôi sẽ:

1. ngăn chặn nguồn rò rỉ;
2. xác định phạm vi bị ảnh hưởng dựa trên nhật ký kiểm toán;
3. thông báo cho cơ quan có thẩm quyền và cho người bị ảnh hưởng theo thời hạn pháp luật quy định.

8. Quyền của bạn

Theo pháp luật Việt Nam về bảo vệ dữ liệu cá nhân, bạn có quyền:

• được biết về việc xử lý dữ liệu của mình (chính sách này);
• đồng ý hoặc rút lại sự đồng ý;
• truy cập và xem dữ liệu của mình — phần lớn đã xem được ngay trong ứng dụng;
• chỉnh sửa dữ liệu. Khoản ghi trong sổ sửa được trực tiếp, và mỗi lần sửa đều được lưu vết trong nhật ký kiểm toán để giữ lịch sử minh bạch;
• xoá dữ liệu, trong giới hạn nêu ở Xoá dữ liệu & tài khoản;
• hạn chế xử lý, phản đối xử lý — dữ liệu của bạn mặc định không được dùng cho mục Dịch vụ của đối tác;
• yêu cầu cung cấp bản sao dữ liệu của mình. Tính năng tự xuất dữ liệu chưa có; hiện chúng tôi xử lý theo yêu cầu;
• khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường theo quy định của pháp luật.

Để thực hiện các quyền trên, hãy liên hệ qua địa chỉ email liên hệ của chúng tôi (đang cập nhật). Chúng tôi có thể đề nghị bạn xác nhận danh tính, ví dụ xác nhận từ chính tài khoản đó, trước khi xử lý.

9. Trẻ em

Dịch vụ dành cho người từ đủ 16 tuổi trở lên. Nếu bạn chưa đủ 16 tuổi, bạn cần có sự đồng ý của cha mẹ hoặc người giám hộ. Nếu biết mình đã nhận dữ liệu của trẻ em mà không có sự đồng ý hợp lệ, chúng tôi sẽ xoá dữ liệu đó.

10. Trang web này

Trang web giới thiệu này:

• là trang tĩnh, không dùng cookie;
• không có công cụ phân tích hay theo dõi;
• không tải phông chữ hoặc mã từ máy chủ bên thứ ba.

Trong thời gian chưa có tên miền riêng, trang chạy trên tên miền tạm của dịch vụ DNS sslip.io (bên thứ ba): khi trình duyệt tra địa chỉ của trang, truy vấn DNS đi qua máy chủ tên miền của sslip.io.

Máy chủ web có thể ghi nhật ký truy cập kỹ thuật (địa chỉ IP, thời điểm, trang được mở) để vận hành và chống tấn công.

11. Thay đổi chính sách

Khi có thay đổi quan trọng, chúng tôi sẽ cập nhật ngày ở đầu trang và thông báo trong ứng dụng trước khi thay đổi có hiệu lực.

12. Liên hệ

• Đơn vị vận hành: đang cập nhật
• Email: đang cập nhật