Chính sách bảo mật

1. Phạm vi áp dụng & bên kiểm soát dữ liệu

Chính sách này áp dụng cho website ChicStay, ứng dụng web dành cho chủ home (Host Studio), các email giao dịch và mọi kênh hỗ trợ chính thức do ChicStay vận hành.

ChicStay là sản phẩm do ChicMedia vận hành. Với dữ liệu cá nhân của khách và của chủ home phát sinh trên nền tảng, ChicMedia đóng vai trò Bên Kiểm soát dữ liệu cá nhân. Với dữ liệu mà chủ home tự thu thập tại chỗ (ví dụ nội quy lưu trú, đăng ký tạm trú theo yêu cầu của cơ quan chức năng), chủ home là bên kiểm soát độc lập và chịu trách nhiệm theo quy định pháp luật.

2. Dữ liệu cá nhân chúng tôi xử lý

Tuỳ theo cách bạn dùng nền tảng, chúng tôi có thể xử lý các nhóm dữ liệu sau:

• Dữ liệu định danh & liên hệ: họ tên hoặc tên hiển thị, địa chỉ email, số điện thoại, ảnh đại diện (nếu bạn tải lên).
• Dữ liệu tài khoản: mã người dùng, thời điểm tạo tài khoản, trạng thái xác thực email, vai trò (khách, chủ home, quản trị), tuỳ chọn ngôn ngữ và giao diện sáng/tối.
• Dữ liệu đặt phòng: không gian đã chọn, ngày và khung giờ, gói dịch vụ (theo giờ, qua đêm, cả ngày), số khách, ghi chú yêu cầu đặc biệt, mã đơn và trạng thái đơn.
• Dữ liệu thanh toán: số tiền, nội dung chuyển khoản, mã tham chiếu giao dịch VietQR và trạng thái đối soát. ChicStay KHÔNG lưu số thẻ, mã PIN hay thông tin đăng nhập ngân hàng của bạn.
• Dữ liệu tương tác: tin nhắn giữa bạn và chủ home trong hộp thoại của nền tảng, đánh giá và bình luận bạn đăng, danh sách yêu thích (wishlist).
• Dữ liệu kỹ thuật: địa chỉ IP, loại thiết bị và trình duyệt, hệ điều hành, trang đã xem, thời điểm truy cập, nhật ký lỗi.
• Dữ liệu vị trí gần đúng: chỉ khi bạn chủ động cho phép trình duyệt chia sẻ vị trí, dùng để sắp xếp kết quả tìm kiếm theo khoảng cách. Bạn có thể tắt quyền này bất cứ lúc nào trong trình duyệt.
• Dữ liệu dành riêng cho chủ home: thông tin cơ sở lưu trú, giấy tờ pháp lý phục vụ thẩm định hồ sơ, thông tin tài khoản ngân hàng nhận đối soát doanh thu.

3. Chúng tôi thu thập bằng cách nào

• Trực tiếp từ bạn: khi bạn đăng ký tài khoản, điền thông tin đặt phòng, nhắn tin, viết đánh giá hoặc gửi yêu cầu hỗ trợ.
• Tự động: khi bạn truy cập nền tảng, thông qua cookie và nhật ký máy chủ.
• Từ bên thứ ba: nhà cung cấp đăng nhập (nếu bạn dùng đăng nhập bằng tài khoản bên ngoài), đối tác thanh toán SePay khi đối soát giao dịch, và chủ home khi họ cập nhật trạng thái đơn của bạn.

4. Mục đích và căn cứ xử lý

Chúng tôi chỉ xử lý dữ liệu khi có ít nhất một căn cứ hợp pháp: sự đồng ý của bạn, việc thực hiện hợp đồng dịch vụ với bạn, nghĩa vụ pháp lý của chúng tôi, hoặc lợi ích hợp pháp tương xứng (như phòng chống gian lận).

• Tạo và quản lý tài khoản, xác thực đăng nhập, khôi phục mật khẩu — căn cứ: thực hiện hợp đồng.
• Xử lý đơn đặt phòng, tạo mã thanh toán, đối soát giao dịch, gửi email xác nhận — căn cứ: thực hiện hợp đồng.
• Kết nối liên lạc giữa bạn và chủ home để chuẩn bị nhận phòng — căn cứ: thực hiện hợp đồng.
• Hỗ trợ khách hàng, xử lý khiếu nại, giải quyết tranh chấp — căn cứ: thực hiện hợp đồng và lợi ích hợp pháp.
• Cải thiện sản phẩm, đo lường hiệu quả tính năng, gợi ý không gian theo vibe bạn quan tâm — căn cứ: lợi ích hợp pháp.
• Gửi email giới thiệu ưu đãi và nội dung mới — căn cứ: sự đồng ý của bạn; có thể rút lại bất cứ lúc nào.
• Phát hiện và ngăn chặn gian lận, lạm dụng, tấn công hệ thống — căn cứ: lợi ích hợp pháp và nghĩa vụ pháp lý.
• Lưu trữ chứng từ giao dịch, cung cấp thông tin cho cơ quan nhà nước có thẩm quyền khi có yêu cầu hợp lệ — căn cứ: nghĩa vụ pháp lý.

5. Cookie và công nghệ tương tự

Chúng tôi dùng cookie và bộ nhớ cục bộ của trình duyệt (localStorage) để nền tảng hoạt động và ghi nhớ lựa chọn của bạn.

• Cookie thiết yếu: duy trì phiên đăng nhập, bảo vệ biểu mẫu, cân bằng tải. Không thể tắt vì dịch vụ sẽ không hoạt động.
• Cookie tuỳ chọn giao diện: ngôn ngữ (tiếng Việt hoặc tiếng Anh), chế độ sáng/tối, bộ lọc tìm kiếm gần nhất.
• Cookie đo lường: thống kê ẩn danh về lượt xem trang và hiệu năng, giúp chúng tôi biết tính năng nào hữu ích.
• Bạn có thể xoá hoặc chặn cookie trong cài đặt trình duyệt. Việc chặn cookie thiết yếu sẽ khiến chức năng đăng nhập và đặt phòng ngừng hoạt động.

6. Chúng tôi chia sẻ dữ liệu với ai

Chúng tôi không bán, không cho thuê và không trao đổi dữ liệu cá nhân của bạn vì mục đích thương mại. Dữ liệu chỉ được chia sẻ trong phạm vi cần thiết với:

• Chủ home của đơn bạn đặt: tên hoặc tên hiển thị, số điện thoại liên hệ, khung giờ, số khách và ghi chú yêu cầu — để họ chuẩn bị và bàn giao không gian.
• Đối tác thanh toán (SePay và ngân hàng thụ hưởng): thông tin cần thiết để tạo mã VietQR và đối soát khoản chuyển.
• Nhà cung cấp hạ tầng và công cụ vận hành: Supabase (cơ sở dữ liệu, xác thực, lưu trữ tệp), nhà cung cấp dịch vụ gửi email giao dịch, nhà cung cấp máy chủ và CDN.
• Cơ quan nhà nước có thẩm quyền: khi có yêu cầu hợp lệ bằng văn bản theo quy định pháp luật.
• Bên nhận chuyển giao trong trường hợp tái cơ cấu, sáp nhập hoặc chuyển nhượng dịch vụ — với cam kết duy trì mức bảo vệ tương đương và thông báo trước cho bạn.

7. Chuyển dữ liệu ra ngoài lãnh thổ Việt Nam

Một số nhà cung cấp hạ tầng của chúng tôi vận hành máy chủ ngoài lãnh thổ Việt Nam. Khi phát sinh việc chuyển dữ liệu ra nước ngoài, chúng tôi thực hiện đánh giá tác động và áp dụng biện pháp bảo vệ theo quy định của Nghị định 13/2023/NĐ-CP, bao gồm ràng buộc hợp đồng với bên xử lý dữ liệu và giới hạn phạm vi truy cập tối thiểu cần thiết.

8. Thời gian lưu trữ

Chúng tôi chỉ lưu dữ liệu trong thời gian cần thiết cho mục đích đã nêu hoặc theo thời hạn pháp luật yêu cầu.

• Dữ liệu tài khoản: lưu trong suốt thời gian tài khoản còn hoạt động và tối đa 12 tháng sau khi bạn yêu cầu xoá, phục vụ xử lý khiếu nại tồn đọng.
• Dữ liệu đơn đặt phòng và chứng từ thanh toán: lưu tối thiểu theo thời hạn của pháp luật kế toán và thuế hiện hành.
• Nội dung tin nhắn và đánh giá: lưu đến khi bạn yêu cầu xoá hoặc nội dung bị gỡ do vi phạm quy tắc cộng đồng.
• Nhật ký kỹ thuật: thường lưu tối đa 12 tháng, trừ khi cần giữ lâu hơn để điều tra sự cố an ninh.

9. Biện pháp bảo mật

• Toàn bộ kết nối đến nền tảng dùng mã hoá TLS.
• Cơ sở dữ liệu áp dụng kiểm soát truy cập theo hàng (Row Level Security), mỗi tài khoản chỉ đọc và ghi được dữ liệu thuộc về mình.
• Mật khẩu được băm một chiều; nhân sự ChicStay không xem được mật khẩu của bạn.
• Quyền truy cập nội bộ được cấp theo nguyên tắc tối thiểu cần thiết; các thao tác quản trị nhạy cảm đều được ghi nhật ký kiểm toán.
• Không có hệ thống nào an toàn tuyệt đối. Hãy dùng mật khẩu mạnh, không chia sẻ mật khẩu và đăng xuất khi dùng thiết bị chung.

10. Quyền của bạn đối với dữ liệu cá nhân

Theo pháp luật Việt Nam về bảo vệ dữ liệu cá nhân, bạn có các quyền sau và có thể thực hiện bằng cách gửi yêu cầu tới email hỗ trợ của chúng tôi:

• Quyền được biết: biết dữ liệu nào của bạn đang được xử lý và xử lý vì mục đích gì.
• Quyền đồng ý và rút lại sự đồng ý: đồng ý hoặc rút lại bất cứ lúc nào mà không ảnh hưởng đến tính hợp pháp của việc xử lý trước đó.
• Quyền truy cập và yêu cầu cung cấp bản sao dữ liệu của bạn.
• Quyền chỉnh sửa dữ liệu không chính xác hoặc chưa cập nhật.
• Quyền xoá dữ liệu, trừ phần chúng tôi buộc phải lưu theo nghĩa vụ pháp lý hoặc để giải quyết tranh chấp đang diễn ra.
• Quyền hạn chế hoặc phản đối việc xử lý trong một số trường hợp nhất định.
• Quyền khiếu nại tới ChicStay hoặc tới cơ quan nhà nước có thẩm quyền.
• Chúng tôi phản hồi yêu cầu trong vòng 72 giờ làm việc và hoàn tất xử lý trong tối đa 30 ngày. Nếu yêu cầu phức tạp, chúng tôi sẽ thông báo lý do gia hạn.

11. Email, thông báo và cách từ chối

Chúng tôi phân biệt rõ hai loại email. Email giao dịch (xác nhận đơn, nhắc giờ nhận phòng, biên nhận thanh toán, cảnh báo bảo mật) là bắt buộc và không thể huỷ khi tài khoản còn hoạt động. Email giới thiệu ưu đãi và nội dung mới chỉ được gửi khi bạn đồng ý, và mỗi email đều có liên kết huỷ đăng ký một chạm ở cuối thư.

12. Dữ liệu của trẻ em

Dịch vụ không dành cho người dưới 16 tuổi. Chúng tôi không cố ý thu thập dữ liệu của trẻ em. Nếu phát hiện tài khoản do trẻ em tạo mà không có sự đồng ý của cha, mẹ hoặc người giám hộ, chúng tôi sẽ khoá tài khoản và xoá dữ liệu liên quan. Cha mẹ hoặc người giám hộ có thể liên hệ chúng tôi để yêu cầu xoá.

13. Xử lý sự cố lộ lọt dữ liệu

Khi phát hiện sự cố có nguy cơ ảnh hưởng đến dữ liệu cá nhân, chúng tôi khoanh vùng và khắc phục ngay, đồng thời thông báo cho người dùng bị ảnh hưởng và cơ quan nhà nước có thẩm quyền theo thời hạn luật định. Thông báo sẽ nêu rõ phạm vi ảnh hưởng, hậu quả có thể xảy ra và khuyến nghị hành động cho bạn.

14. Thay đổi chính sách

Chúng tôi có thể cập nhật chính sách này khi dịch vụ hoặc quy định pháp luật thay đổi. Phiên bản mới nhất luôn được đăng tại trang này kèm ngày cập nhật. Với thay đổi ảnh hưởng đáng kể đến quyền của bạn, chúng tôi sẽ thông báo qua email hoặc thông báo trong ứng dụng trước ít nhất 07 ngày.

15. Liên hệ và khiếu nại

Mọi yêu cầu liên quan đến dữ liệu cá nhân, vui lòng gửi email tới ecom@chicmedia.vn kèm mô tả yêu cầu và địa chỉ email đã đăng ký để chúng tôi xác minh danh tính. Nếu chưa hài lòng với cách chúng tôi xử lý, bạn có quyền khiếu nại tới cơ quan nhà nước có thẩm quyền về bảo vệ dữ liệu cá nhân.