Chính sách quyền riêng tư & Bảo vệ dữ liệu cá nhân

1. Bên kiểm soát và xử lý dữ liệu cá nhân

CÔNG TY TNHH WINSELL (MST: 1801831784, Cần Thơ, Việt Nam) là Bên Kiểm soát dữ liệu cá nhân (Data Controller) và/hoặc Bên Xử lý dữ liệu cá nhân (Data Processor) đối với các thông tin thu thập trong quá trình bạn sử dụng dịch vụ WinSell, WISA và KODA.

Chúng tôi thiết lập vị trí Cán bộ Bảo vệ Dữ liệu (DPO) chuyên trách. Bạn có thể liên hệ trực tiếp với bộ phận bảo mật dữ liệu qua email: privacy@winsell.vn.

2. Các loại dữ liệu cá nhân được thu thập

Dữ liệu tài khoản cơ bản: Địa chỉ email, họ tên hiển thị, ảnh đại diện (nếu bạn đăng nhập qua Google OAuth), mật khẩu mã hóa một chiều (hash), tùy chọn ngôn ngữ hiển thị (vi, en, zh-CN).

Dữ liệu giao dịch và thanh toán: Lịch sử đơn hàng, mã gói thuê bao, mã giao dịch SePay/VietQR, thông tin xuất hóa đơn VAT (tên doanh nghiệp, mã số thuế, địa chỉ pháp lý theo yêu cầu của bạn). Chúng tôi không trực tiếp lưu trữ số thẻ ngân hàng hay mã OTP của bạn.

Dữ liệu kỹ thuật và tương tác: Địa chỉ IP truy cập, định danh thiết bị, nhật ký hệ thống (system logs), thông tin trình duyệt, hạn ngạch sử dụng CUBE, thời gian gửi yêu cầu.

Dữ liệu nội dung hội thoại: Lệnh nhập (prompts), tài liệu tải lên để phân tích, phản hồi sinh ra từ AI. Xin lưu ý: Đối với tài khoản dịch vụ thông thường, WinSell không sử dụng nội dung hội thoại riêng tư của bạn để phục vụ việc tự huấn luyện các mô hình AI công cộng.

3. Mục đích và căn cứ pháp lý xử lý dữ liệu

Cung cấp và duy trì Dịch vụ: Xác thực danh tính, điều phối yêu cầu AI đến cổng xử lý, hiển thị lịch sử chat, cung cấp môi trường làm việc Koda.

Thực hiện nghĩa vụ hợp đồng và thanh toán: Ghi nhận gói cước, tính toán hạn ngạch CUBE, đối soát giao dịch và xuất hóa đơn điện tử hợp pháp theo luật thuế Việt Nam.

An toàn hệ thống và phòng chống gian lận: Kiểm soát lưu lượng, ngăn chặn tấn công từ chối dịch vụ (DDoS), phát hiện hành vi lạm dụng khóa API, bảo vệ dữ liệu người dùng.

Tuân thủ pháp luật: Đáp ứng các yêu cầu kiểm tra, lưu trữ hồ sơ theo quy định của Luật An ninh mạng, Luật Giao dịch điện tử và pháp luật về thuế.

4. Chuyển dữ liệu cá nhân ra nước ngoài

Để cung cấp năng lực trí tuệ nhân tạo tiên tiến, các yêu cầu xử lý (prompts) của bạn có thể được truyền tải mã hóa qua cổng kết nối an toàn (HTTPS/TLS 1.3) đến hệ thống máy chủ của các nhà cung cấp mô hình AI đặt tại Hoa Kỳ, Châu Âu hoặc các quốc gia khác (như OpenAI, Anthropic, Google).

WinSell cam kết ký kết các thỏa thuận bảo vệ dữ liệu doanh nghiệp (Enterprise DPA) với các đối tác cung cấp hạ tầng, áp dụng các biện pháp bảo vệ kỹ thuật nghiêm ngặt và thực hiện Đánh giá tác động chuyển dữ liệu ra nước ngoài theo quy định của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.

5. Quyền và nghĩa vụ của chủ thể dữ liệu

Theo quy định của pháp luật Việt Nam và chuẩn mực quốc tế (GDPR tương đương), bạn có đầy đủ các quyền sau:

1. Quyền được biết và quyền đồng ý về các hoạt động xử lý dữ liệu của mình.

2. Quyền truy cập, xem và tải về bản sao dữ liệu cá nhân của bạn.

3. Quyền yêu cầu chỉnh sửa, bổ sung thông tin không chính xác.

4. Quyền yêu cầu xóa dữ liệu ("quyền được quên") hoặc hạn chế phạm vi xử lý dữ liệu cá nhân.

5. Quyền rút lại sự đồng ý đã cung cấp trước đó (việc rút lại đồng ý không ảnh hưởng đến tính hợp pháp của việc xử lý dữ liệu trước đó).

6. Quyền khiếu nại, tố cáo hoặc khởi kiện theo quy định của pháp luật.

Để thực hiện bất kỳ quyền nào nêu trên, bạn vui lòng gửi yêu cầu từ chính email đăng ký tài khoản đến privacy@winsell.vn. Chúng tôi sẽ phản hồi và xử lý trong vòng 72 giờ làm việc.

6. Bảo vệ dữ liệu cá nhân của người vị thành niên

WinSell nhận thức sâu sắc tầm quan trọng của việc bảo vệ quyền riêng tư của trẻ em và người vị thành niên. Chúng tôi không chủ động thu thập thông tin của trẻ em dưới 13 tuổi. Trường hợp phát hiện tài khoản được tạo bởi trẻ em dưới 13 tuổi mà không có sự đồng ý của cha mẹ, chúng tôi sẽ tiến hành xóa dữ liệu và khóa tài khoản ngay lập tức.

Đối với người dùng từ đủ 13 đến dưới 18 tuổi, chúng tôi không áp dụng các công nghệ phân tích hành vi để phục vụ quảng cáo thương mại hoặc lập hồ sơ rủi ro.

7. Thời hạn lưu trữ và biện pháp an ninh

Dữ liệu cá nhân chỉ được lưu trữ trong khoảng thời gian cần thiết để thực hiện các mục đích đã công bố, hoặc cho đến khi nhận được yêu cầu xóa hợp lệ từ bạn, trừ trường hợp pháp luật có quy định thời hạn lưu trữ bắt buộc khác (như hồ sơ chứng từ kế toán, thuế lưu trữ tối thiểu 5 năm). Chi tiết về các chu kỳ lưu trữ hội thoại (30 ngày, 90 ngày, 12 tháng, vĩnh viễn), quy trình xóa bất đối xứng hai giai đoạn và ngoại lệ Legal Hold được quy định cụ thể tại Chính sách Quản trị dữ liệu & Lưu trữ Chat (/legal/data-governance).

Mọi dữ liệu truyền tải đều được bảo vệ bằng giao thức mã hóa TLS 1.3. Dữ liệu tĩnh được mã hóa theo tiêu chuẩn AES-256 trên hệ thống cơ sở dữ liệu có tường lửa và kiểm soát quyền truy cập nhiều lớp.