Chính sách bảo mật

1. Dữ liệu chúng tôi thu thập

Chúng tôi chỉ thu thập thông tin tối thiểu cần thiết để vận hành dịch vụ:

• Tài khoản cloud: email, tên, mật khẩu (đã hash bằng Argon2id). Dùng để xác thực + cấp license cho thiết bị.
• Thông tin thiết bị: ID máy (fingerprint ẩn danh), hệ điều hành, phiên bản app, địa chỉ IP truy cập gần nhất. Dùng để thực thi giới hạn số máy theo gói, và phát hiện vi phạm giấy phép.
• Lịch sử thanh toán: số tiền, gói, trạng thái đơn, mã giao dịch từ cổng thanh toán. Không lưu thông tin thẻ / tài khoản ngân hàng.
• Log hệ thống: timestamp các API call, mã lỗi, thời lượng. Không lưu nội dung dữ liệu kinh doanh của bạn.

2. Dữ liệu chúng tôi KHÔNG thu thập

• Đơn hàng, khách hàng, sản phẩm, kho, giá bán, doanh thu — tất cả nằm trên máy của bạn
• Báo cáo tài chính, sổ sách kế toán — không có bất kỳ bản sao nào ở BizFlow
• Nội dung ảnh / file đính kèm trong ứng dụng
• Thông tin thẻ tín dụng / tài khoản ngân hàng — do cổng thanh toán SePay xử lý và lưu trữ theo tiêu chuẩn PCI-DSS

3. Mục đích sử dụng

Thông tin thu thập chỉ dùng để:

• Xác thực đăng nhập + cấp giấy phép thiết bị
• Xử lý thanh toán, kích hoạt gói đã mua
• Gửi email thông báo giao dịch, cập nhật phần mềm
• Phát hiện & ngăn chặn gian lận giấy phép
• Khắc phục lỗi kỹ thuật khi được bạn yêu cầu

4. Chia sẻ với bên thứ ba

Chúng tôi không bán, không thuê, không chia sẻ dữ liệu khách hàng vì mục đích tiếp thị. Dữ liệu chỉ được chia sẻ trong các trường hợp giới hạn sau:

• Nhà cung cấp dịch vụ thiết yếu: SePay (thanh toán), nhà cung cấp hạ tầng cloud — chỉ thông tin tối thiểu cần để vận hành dịch vụ
• Yêu cầu pháp lý: khi có yêu cầu của cơ quan có thẩm quyền theo đúng quy trình pháp luật Việt Nam (toà án, cơ quan điều tra)

5. Lưu trữ và bảo mật

• Mật khẩu hash bằng Argon2id — không thể khôi phục plaintext
• Kết nối HTTPS/TLS 1.2+ cho mọi API
• Database được mã hoá at-rest (longhorn + PostgreSQL)
• Backup tự động 4 lần/ngày, retention 14 ngày
• Access control nội bộ: chỉ admin hệ thống có quyền truy cập DB, có audit log

6. Quyền của bạn

Bạn có quyền:

• Yêu cầu bản sao dữ liệu tài khoản của bạn trong hệ thống BizFlow
• Yêu cầu chỉnh sửa thông tin sai lệch
• Yêu cầu xoá tài khoản (kéo theo xoá mọi dữ liệu liên quan trừ log giao dịch tài chính phải lưu theo luật)
• Rút lại sự đồng ý với chính sách này bằng cách huỷ tài khoản

7. Cookies và theo dõi

Website marketing chỉ dùng cookies kỹ thuật (session, token đăng nhập). Không dùng tracker quảng cáo bên thứ ba, không Google Analytics / Facebook Pixel.

8. Trẻ em

Dịch vụ không dành cho người dưới 16 tuổi. Chúng tôi không cố ý thu thập thông tin của trẻ em.

9. Thay đổi chính sách

Chính sách có thể được cập nhật. Thay đổi trọng yếu sẽ được thông báo qua email trước khi có hiệu lực.