Chính sách quản trị dữ liệu hội thoại, thời hạn lưu trữ & bằng chứng tuân thủ

1. Phân loại và cấu trúc dữ liệu trên hệ thống

Hệ thống WinSell, WISA và KODA phân tách dữ liệu người dùng thành các cấu phần độc lập nhằm đảm bảo kiểm soát chặt chẽ quyền riêng tư và an toàn thông tin theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Luật Giao dịch điện tử số 20/2023/QH15:

- Dữ liệu hội thoại (Chat Transcripts & Messages): Bao gồm các lệnh nhập (prompts), phản hồi tạo sinh của AI, tiến trình suy luận (reasoning tokens), lịch sử trao đổi và các bản tóm tắt phiên làm việc.

- Tệp tải lên và dữ liệu đính kèm (Attachments & Files): Hình ảnh, tài liệu văn bản, bảng tính, tệp PDF được lưu trữ mã hóa độc lập trên hạ tầng lưu trữ đối tượng đám mây (Cloudflare R2) có cơ chế thiết lập thời hạn hết hạn tự động.

- Nhật ký kiểm toán công cụ và điều phối (Tool & Execution Audit Logs): Bản ghi thực thi các công cụ lập trình, tìm kiếm web thông minh, tạo ảnh, bao gồm tham số đã che thông tin nhạy cảm (redacted arguments), mã băm SHA-256 và định danh biên nhận (receipt ID).

- Dữ liệu đồng bộ máy tính Koda Desktop (Cloud Sync Sessions): Các bản chụp phiên làm việc (snapshots) được mã hóa khi lưu truyền theo cơ chế do máy chủ quản lý trước khi lưu trữ đám mây phục vụ tính năng đồng bộ đa thiết bị. Đây không phải là cam kết mã hóa đầu cuối nếu máy chủ vẫn có thể giải mã để xử lý đồng bộ.

- Dữ liệu giao dịch và chứng từ kế toán: Hồ sơ thanh toán SePay/VietQR, hạn ngạch CUBE và dữ liệu xuất hóa đơn VAT theo Luật Quản lý thuế số 108/2025/QH15.

2. Chu kỳ lưu trữ hội thoại và quyền lựa chọn của người dùng

WinSell trao quyền tự chủ tối đa cho người dùng trong việc quyết định vòng đời lưu trữ của các đoạn hội thoại AI. Trong trang Cài đặt tài khoản, người dùng có quyền lựa chọn một trong bốn (04) chu kỳ lưu trữ dữ liệu hội thoại:

1. Chu kỳ 30 ngày: Toàn bộ phiên hội thoại và tin nhắn sẽ tự động được xóa sau 30 ngày kể từ lần tương tác gần nhất.

2. Chu kỳ 90 ngày: Phiên hội thoại được lưu giữ trong vòng 90 ngày phục vụ nhu cầu làm việc ngắn hạn và trung hạn.

3. Chu kỳ 12 tháng (Mặc định áp dụng): Áp dụng mặc định cho các tài khoản đăng ký mới. Dữ liệu được bảo lưu trong 12 tháng kể từ hoạt động cuối cùng của phiên chat.

4. Lưu trữ lâu dài (Không tự động xóa): Dữ liệu được bảo toàn liên tục trên tài khoản cho đến khi bạn chủ động thao tác xóa hoặc gửi yêu cầu đóng tài khoản.

Cơ chế cảnh báo chủ động: Đối với các phiên hội thoại sắp chạm mốc thời hạn tự động dọn dẹp theo chu kỳ đã chọn, hệ thống WinSell sẽ gửi thông báo cảnh báo trước tối thiểu mười bốn (14) ngày để người dùng chủ động tải về (Export) hoặc điều chỉnh cấu hình lưu trữ.

3. Quy trình xóa dữ liệu bất đối xứng và Mã băm bằng chứng (Evidence Hash)

Để cân bằng giữa tính phản hồi tức thì của giao diện và tính an toàn tuyệt đối của hạ tầng phân tán, WinSell áp dụng quy trình xóa dữ liệu hai giai đoạn có kiểm toán chặt chẽ:

Giai đoạn 1 - Xóa logic tức thì (Logical Soft Deletion): Ngay khi người dùng nhấn lệnh xóa một tin nhắn, cuộc hội thoại hoặc tệp tài liệu trong ứng dụng, bản ghi dữ liệu sẽ được đóng dấu mốc thời gian xóa (deletedAt), thu hồi quyền truy cập và ẩn vĩnh viễn khỏi toàn bộ giao diện Web, Desktop và API. Không người dùng hay tiến trình thông thường nào có thể đọc lại dữ liệu này.

Giai đoạn 2 - Xóa vật lý và ghi đè an toàn (Physical Purge): Các tiến trình dọn dẹp hệ thống chạy ngầm định kỳ (Background Workers) sẽ quét các bản ghi đã xóa logic, thực hiện xóa vĩnh viễn dữ liệu khỏi cụm cơ sở dữ liệu chính, giải phóng các đối tượng tệp trên kho lưu trữ đám mây R2 và đồng bộ lệnh xóa tới các nút đồng bộ Koda Desktop.

Mã băm bằng chứng xóa (Deletion Evidence Hash): Nhằm phục vụ công tác đối soát và chứng minh việc thực thi yêu cầu xóa dữ liệu, khi thực hiện lệnh xóa trong giao dịch an toàn (database transaction), hệ thống tự động sinh ra một mã băm mật mã SHA-256 từ định danh và nội dung yêu cầu, được lưu trữ vĩnh viễn tại Sổ kiểm toán xóa dữ liệu (Deletion Audit Ledger). Bản ghi này chỉ chứa mã băm toán học và mốc thời gian UTC, hoàn toàn không chứa nội dung gốc đã bị hủy.

Vòng quay sao lưu dự phòng (Backups): Các bản sao lưu hệ thống định kỳ (Automated Database Backups) được lưu trữ cô lập phục vụ khắc phục thảm họa sẽ tự động ghi đè và tiêu hủy theo vòng quay lưu trữ tiêu chuẩn ba mươi (30) ngày mà không được sử dụng cho bất kỳ mục đích tác nghiệp nào khác.

4. Cơ chế Bảo toàn chứng cứ khẩn cấp (Legal Hold)

Bảo toàn chứng cứ (Legal Hold) là một cơ chế ngoại lệ pháp lý bắt buộc và tối thượng đối với quy trình dọn dẹp hoặc xóa dữ liệu tự động.

WinSell có quyền và nghĩa vụ đình chỉ việc xóa, ghi đè hoặc tiêu hủy dữ liệu đối với các tài khoản hoặc đối tượng dữ liệu cụ thể trong các trường hợp nghiêm ngặt sau:

1. Có văn bản yêu cầu chính thức hoặc quyết định tố tụng từ cơ quan điều tra, Viện kiểm sát, Tòa án nhân dân hoặc cơ quan nhà nước có thẩm quyền theo quy định của pháp luật Việt Nam.

2. Đang phát sinh tranh chấp pháp lý, khiếu nại bồi thường, hoặc thủ tục trọng tài/tòa án đang được thụ lý giữa người dùng với WinSell hoặc với bên thứ ba.

3. Dữ liệu liên quan trực tiếp đến hành vi tấn công mạng nghiêm trọng, xâm phạm an toàn hạ tầng, gian lận thanh toán hoặc vi phạm nghiêm trọng Quy tắc nền tảng.

Dữ liệu thuộc diện Legal Hold được khóa bảo mật trong một vùng lưu trữ riêng biệt, có nhật ký ghi nhận căn cứ áp dụng, người phê duyệt nội bộ và thời hạn rà soát định kỳ. Sau khi lý do áp dụng Legal Hold chấm dứt hợp pháp, dữ liệu sẽ ngay lập tức được đưa trở lại quy trình xóa vật lý theo nguyện vọng của người dùng.

5. Sổ nhật ký kiểm toán bất biến & Quy chế tiết lộ chứng cứ

Nhật ký kiểm toán bất biến (Immutable Audit Trail): WinSell duy trì hệ thống ghi nhận nhật ký an ninh tự động đối với toàn bộ các thao tác cốt lõi: tạo tài khoản, chấp thuận điều khoản, truy xuất dữ liệu, thực thi công cụ hệ thống, thay đổi cấu hình bảo mật và xóa dữ liệu. Mỗi sự kiện kiểm toán bao gồm: Mã định danh duy nhất (UUID), định danh người dùng/tổ chức, mốc thời gian chuẩn UTC, địa chỉ IP (đã chuẩn hóa ẩn danh một phần theo chuẩn an toàn), phiên bản chính sách có hiệu lực và mã băm toàn vẹn SHA-256.

Bảo mật nhật ký kỹ thuật nội bộ: Toàn bộ mã nguồn, cấu hình hạ tầng, mã khóa bảo mật và các bản ghi nhật ký thô (raw technical logs) cấu thành bí mật công nghệ và tài sản an ninh tối mật của CÔNG TY TNHH WINSELL. WinSell KHÔNG có nghĩa vụ cung cấp nhật ký kỹ thuật nội bộ thô cho người dùng cá nhân hoặc bất kỳ bên thứ ba không có thẩm quyền tư pháp.

Quy chế cung cấp cho cơ quan có thẩm quyền: WinSell cam kết chỉ cung cấp thông tin, hồ sơ đối soát kỹ thuật hoặc dữ liệu liên quan khi:

- Có văn bản yêu cầu hợp pháp của cơ quan điều tra, Viện kiểm sát, Tòa án hoặc cơ quan chức năng có thẩm quyền theo đúng trình tự, thủ tục quy định của pháp luật Việt Nam.

- Việc cung cấp được kiểm tra tính hợp lệ về mặt thẩm quyền và phạm vi dữ liệu được giới hạn ở mức tối thiểu cần thiết để đáp ứng yêu cầu công vụ.

- Mọi hoạt động cung cấp dữ liệu đều được lưu vết trong Sổ thụ lý yêu cầu cơ quan thẩm quyền (Government Request Register) của WinSell.

6. Phạm vi lưu giữ dữ liệu của Nhà cung cấp mô hình AI thượng nguồn

Để thực hiện các tác vụ suy luận và tạo sinh nội dung, dữ liệu lệnh nhập (prompt) và ngữ cảnh tệp tin của bạn được chuyển tiếp qua kết nối bảo mật đến máy chủ của các nhà cung cấp mô hình AI quốc tế (OpenAI, Anthropic, Google Cloud, DeepSeek).

Chính sách giám sát an toàn của Upstream (Abuse Monitoring): Theo Thỏa thuận Dịch vụ Doanh nghiệp (Enterprise API Agreements) và chính sách bảo mật của các nhà cung cấp này:

- Dữ liệu gửi qua cổng API thương mại chỉ được mô tả là không dùng để huấn luyện hoặc cải tiến mô hình công cộng khi tuyến provider, gói dịch vụ và hợp đồng thực tế có điều khoản tương ứng.

- Để ngăn chặn các hành vi tấn công, lạm dụng và bảo vệ an toàn hệ thống, các nhà cung cấp mô hình (như OpenAI, Anthropic) có thể duy trì các bản ghi nhật ký giám sát an toàn (Abuse Monitoring Logs) tạm thời trong thời hạn tiêu chuẩn tối đa ba mươi (30) ngày trên hệ thống của họ trước khi tiến hành xóa tự động theo quy chuẩn của từng đơn vị.

WinSell minh bạch đầy đủ thông tin này để người dùng hiểu rõ rằng quy trình dọn dẹp dữ liệu của WinSell áp dụng trên toàn bộ hạ tầng do WinSell quản lý, đồng thời phụ thuộc vào chính sách lưu giữ an toàn kỹ thuật của các đối tác hạ tầng toàn cầu theo cam kết thương mại.

7. Quyền của chủ thể dữ liệu và Thủ tục tiếp nhận yêu cầu

Tuân thủ Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15, người dùng WinSell được bảo đảm toàn vẹn các quyền:

1. Quyền xem và tra cứu: Truy cập xem lại toàn bộ lịch sử trò chuyện và tài liệu đang được lưu trữ trên tài khoản.

2. Quyền trích xuất dữ liệu (Data Export): Yêu cầu xuất toàn bộ lịch sử hội thoại và siêu dữ liệu thuộc quyền sở hữu của bạn dưới định dạng tiêu chuẩn (JSON/ZIP) thông qua công cụ trong ứng dụng hoặc gửi yêu cầu tới privacy@winsell.vn.

3. Quyền yêu cầu xóa bỏ hoặc đóng tài khoản: Xóa từng hội thoại trực tiếp trên giao diện hoặc gửi yêu cầu hủy toàn bộ tài khoản và xóa vĩnh viễn dữ liệu cá nhân liên quan.

4. Quyền khiếu nại và phản ánh: Gửi phản ánh liên quan đến hoạt động xử lý dữ liệu tới Cán bộ Bảo vệ Dữ liệu (DPO) của WinSell.

Quy trình xác minh danh tính: Để bảo vệ tài sản và thông tin cá nhân của bạn khỏi các hành vi chiếm đoạt trái phép, WinSell bắt buộc người gửi yêu cầu phải gửi từ chính địa chỉ email đã dùng để đăng ký tài khoản và có thể yêu cầu thực hiện bước xác thực thứ cấp trước khi tiến hành xử lý yêu cầu dữ liệu.

Thời hạn giải quyết: WinSell tiếp nhận và phản hồi xác nhận yêu cầu trong vòng bảy mươi hai (72) giờ làm việc và xử lý hoàn tất trong thời hạn tối đa ba mươi (30) ngày theo quy định của pháp luật, trừ trường hợp dữ liệu thuộc diện Legal Hold hoặc vướng mắc kỹ thuật bất khả kháng.