Chính sách bảo mật

1. Giới thiệu

KhachQuen (khachquen.com) là nền tảng quản lý đặt lịch và chăm sóc khách hàng dành cho Spa, Salon tại Việt Nam. Chính sách này mô tả cách chúng tôi thu thập, sử dụng, lưu trữ và bảo vệ thông tin cá nhân của:

• Chủ tiệm / Người dùng Admin: đăng ký và quản lý tài khoản tại admin.khachquen.com
• Khách hàng của tiệm: đặt lịch qua Zalo Mini App được tích hợp KhachQuen

Bằng cách sử dụng dịch vụ của chúng tôi, bạn đồng ý với các điều khoản trong chính sách này. Nếu không đồng ý, vui lòng ngừng sử dụng dịch vụ.

2. Thông tin chúng tôi thu thập

2.1. Từ Chủ tiệm (Admin)

• Tên tiệm, địa chỉ, số điện thoại, email đăng ký
• Mật khẩu (được mã hoá bằng PBKDF2-SHA256, không lưu dạng thô)
• Thông tin thanh toán gói dịch vụ (chúng tôi chỉ lưu mã giao dịch, không lưu thông tin tài khoản ngân hàng)
• Dữ liệu hoạt động: lịch hẹn, nhân viên, dịch vụ, khách hàng được nhập vào hệ thống

2.2. Từ Khách hàng (qua Zalo Mini App)

• Tên hiển thị Zalo và Zalo ID (khi đăng nhập Mini App)
• Số điện thoại (nếu khách cấp quyền trong Zalo)
• Lịch sử đặt lịch và điểm tích luỹ tại tiệm

2.3. Tự động thu thập

• Địa chỉ IP, loại trình duyệt, thời gian truy cập (qua Cloudflare)
• Nhật ký hệ thống (logs) để hỗ trợ kỹ thuật và phát hiện gian lận

3. Mục đích sử dụng thông tin

• Cung cấp và vận hành dịch vụ đặt lịch, tích điểm, thông báo ZNS
• Xác thực danh tính người dùng và bảo vệ tài khoản
• Xử lý thanh toán và kích hoạt gói dịch vụ
• Gửi email thông báo kỹ thuật, hoá đơn, nhắc gia hạn
• Cải thiện tính năng sản phẩm dựa trên dữ liệu ẩn danh tổng hợp
• Tuân thủ nghĩa vụ pháp lý theo quy định của pháp luật Việt Nam

Chúng tôi không sử dụng thông tin của bạn để gửi quảng cáo từ bên thứ ba hoặc bán dữ liệu cho bất kỳ ai.

4. Lưu trữ và bảo mật

• Dữ liệu lưu trữ trên Cloudflare D1 (trung tâm dữ liệu Singapore, khu vực APAC)
• Kết nối HTTPS bắt buộc (TLS 1.2+) cho mọi API và trang web
• Mật khẩu mã hoá bằng PBKDF2-SHA256 với 100.000 vòng lặp
• Token JWT có thời hạn 7 ngày, tự động hết hạn
• Dữ liệu được cô lập theo từng tiệm (multi-tenant) — tiệm này không thể xem dữ liệu tiệm khác

Dù áp dụng nhiều biện pháp bảo mật, không có hệ thống nào đảm bảo an toàn tuyệt đối 100%. Nếu phát hiện rủi ro bảo mật, chúng tôi sẽ thông báo đến người dùng bị ảnh hưởng trong vòng 72 giờ.

5. Chia sẻ thông tin với bên thứ ba

KhachQuen chỉ chia sẻ thông tin với các đối tác vận hành dịch vụ, bao gồm:

• Cloudflare (Mỹ): Hosting, CDN, lưu trữ D1 và KV
• SePay / Casso (Việt Nam): Xác nhận giao dịch thanh toán qua webhook ngân hàng
• Zalo / VNG (Việt Nam): Gửi thông báo ZNS qua nền tảng Zalo OA

Các đối tác này chỉ nhận dữ liệu tối thiểu cần thiết và bị ràng buộc bởi điều khoản bảo mật riêng. Chúng tôi không chia sẻ dữ liệu với bên thứ ba vì mục đích thương mại.

Trong trường hợp pháp luật yêu cầu, chúng tôi có thể phải cung cấp thông tin cho cơ quan nhà nước có thẩm quyền.

6. Quyền của bạn

Theo Luật An ninh mạng 2018 và Nghị định 13/2023/NĐ-CP, bạn có các quyền sau:

• Quyền truy cập: Yêu cầu xem thông tin cá nhân chúng tôi đang lưu
• Quyền chỉnh sửa: Cập nhật thông tin không chính xác qua trang cài đặt tài khoản
• Quyền xoá: Yêu cầu xoá tài khoản và toàn bộ dữ liệu liên quan
• Quyền hạn chế xử lý: Yêu cầu tạm dừng xử lý dữ liệu trong các trường hợp cụ thể
• Quyền di chuyển dữ liệu: Xuất dữ liệu khách hàng của bạn (gói Pro)

Để thực hiện các quyền trên, vui lòng liên hệ [email protected]. Chúng tôi sẽ phản hồi trong vòng 5 ngày làm việc.

Sau khi xoá tài khoản, dữ liệu sẽ được xoá khỏi hệ thống trong vòng 30 ngày (ngoại trừ dữ liệu cần giữ lại theo quy định pháp luật như hoá đơn, giao dịch tài chính tối thiểu 5 năm).

7. Cookie và dữ liệu trình duyệt

KhachQuen sử dụng:

• LocalStorage: Lưu token đăng nhập và thông tin cơ bản của tài khoản trong trình duyệt
• Session Storage: Dữ liệu tạm thời trong phiên làm việc

Chúng tôi không sử dụng cookie theo dõi quảng cáo (tracking cookies) hay cookie của bên thứ ba. Bạn có thể xoá dữ liệu lưu trữ này bất kỳ lúc nào qua cài đặt trình duyệt — điều này sẽ đăng xuất bạn khỏi hệ thống.

8. Tích hợp Zalo

KhachQuen tích hợp với nền tảng Zalo của VNG để cung cấp Mini App và thông báo ZNS. Khi khách hàng đăng nhập qua Zalo:

• Chúng tôi nhận Zalo ID và tên hiển thị từ Zalo API theo sự chấp thuận của người dùng
• Số điện thoại chỉ được thu thập nếu người dùng cấp quyền scope.userPhonenumber
• KhachQuen tuân thủ Điều khoản sử dụng API của Zalo

Chính sách bảo mật của Zalo áp dụng cho việc xử lý dữ liệu trên nền tảng Zalo. KhachQuen chỉ chịu trách nhiệm về dữ liệu được lưu trữ trong hệ thống của chúng tôi.

9. Thay đổi chính sách

KhachQuen có thể cập nhật chính sách này để phản ánh thay đổi trong dịch vụ hoặc quy định pháp luật. Khi có thay đổi quan trọng:

• Chúng tôi sẽ thông báo qua email đăng ký trước ít nhất 14 ngày
• Cập nhật ngày "Cập nhật lần cuối" ở đầu trang này
• Đăng thông báo nổi bật trên trang admin nếu thay đổi ảnh hưởng đến quyền lợi người dùng

Tiếp tục sử dụng dịch vụ sau ngày có hiệu lực đồng nghĩa với việc bạn chấp nhận chính sách mới.

10. Liên hệ