Chính sách bảo mật

Chính sách này giải thích cách Nhóm dự án THE ONE ("THE ONE", "chúng tôi") xử lý dữ liệu cá nhân khi bạn truy cập website, tạo tài khoản, sử dụng trình chỉnh sửa, thanh toán, hoặc xem một không gian được xuất bản trên THE ONE.

Chính sách được xây dựng theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật này, cùng các quy định pháp luật có liên quan.

Đối với dữ liệu tài khoản và hoạt động của bạn trên Dịch vụ, THE ONE là Bên kiểm soát và xử lý dữ liệu cá nhân: chúng tôi quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu.

Với dữ liệu cá nhân của người khác mà bạn đưa vào không gian của mình (ví dụ ảnh bạn bè, người thân), bạn là người quyết định việc thu thập và công khai, và cần có sự đồng ý của họ trước khi đăng tải.

Chúng tôi không thu thập và không lưu số thẻ, thông tin đăng nhập ngân hàng hay mã OTP: việc thanh toán diễn ra trên trang của payOS và ứng dụng ngân hàng của bạn.

Chúng tôi không yêu cầu dữ liệu cá nhân nhạy cảm. Vui lòng không đưa dữ liệu nhạy cảm (ví dụ thông tin sức khỏe, tài chính, số định danh cá nhân) của bạn hay của người khác vào không gian công khai.

Để chủ không gian biết có bao nhiêu lượt xem, mỗi lượt xem một trang đã xuất bản được ghi kèm một mã khách: mã băm một chiều HMAC-SHA256 tạo từ địa chỉ IP, thông tin trình duyệt và một khóa bí mật của hệ thống. Địa chỉ IP gốc không được lưu cùng lượt xem.

Mã khách chỉ dùng để không đếm lặp cùng một người xem trong vòng 30 phút. Trình thu thập tự động (bot, công cụ tạo bản xem trước liên kết) không được tính. Chủ không gian chỉ thấy số liệu tổng hợp theo ngày và theo trang, không thấy bạn là ai.

• Tạo và quản lý tài khoản, xác minh email, đăng nhập, đặt lại mật khẩu;
• Cung cấp trình chỉnh sửa, lưu bản nháp, lịch sử phiên bản, xuất bản và hiển thị không gian;
• Kiểm tra quyền và hạn mức theo gói, xử lý thanh toán, kích hoạt và gia hạn gói, đối soát giao dịch;
• Gửi email cần thiết cho việc dùng Dịch vụ (xác minh, đặt lại mật khẩu, thông báo về tài khoản, giao dịch và thay đổi chính sách);
• Hỗ trợ khách hàng, giải quyết khiếu nại và yêu cầu của bạn;
• Bảo đảm an ninh: phát hiện, ngăn chặn truy cập trái phép, gian lận và lạm dụng; điều tra sự cố;
• Cung cấp thống kê lượt xem cho chủ không gian và cải thiện Dịch vụ dựa trên số liệu tổng hợp;
• Thực hiện nghĩa vụ theo quy định pháp luật (kế toán, thuế, yêu cầu của cơ quan nhà nước có thẩm quyền).

Chúng tôi không bán dữ liệu cá nhân, không dùng dữ liệu để quảng cáo nhắm mục tiêu, không gửi email tiếp thị khi chưa có sự đồng ý riêng của bạn, và không đưa ra quyết định tự động gây ảnh hưởng pháp lý đến bạn.

Khi tạo tài khoản, bạn đồng ý cho chúng tôi xử lý dữ liệu cá nhân theo các mục đích nêu tại Chính sách này. Ngoài sự đồng ý của bạn, chúng tôi chỉ xử lý dữ liệu trong các trường hợp pháp luật cho phép không cần sự đồng ý, ví dụ để thực hiện hợp đồng dịch vụ với bạn, thực hiện nghĩa vụ pháp lý, hoặc trong tình huống khẩn cấp để bảo vệ tính mạng, sức khỏe.

Bạn có thể rút lại sự đồng ý bất cứ lúc nào (xem mục 10). Việc rút lại không ảnh hưởng đến tính hợp pháp của việc xử lý đã thực hiện trước đó; tuy nhiên vì dữ liệu tài khoản là điều kiện để cung cấp Dịch vụ, rút lại sự đồng ý đồng nghĩa với việc chúng tôi sẽ xóa tài khoản của bạn.

Chúng tôi chỉ chia sẻ dữ liệu cá nhân trong các trường hợp sau:

• Với người xem không gian công khai: nội dung không gian bạn đã xuất bản, kèm tên hiển thị và ảnh đại diện của bạn. Email, mã tài khoản và dữ liệu thanh toán không bao giờ được hiển thị công khai.
• Với bên cung cấp dịch vụ cho THE ONE (bên xử lý dữ liệu), chỉ trong phạm vi cần thiết, theo hợp đồng và chỉ dẫn của chúng tôi:

• Với cơ quan nhà nước có thẩm quyền khi có yêu cầu hợp pháp theo quy định pháp luật.
• Khi tái cấu trúc doanh nghiệp (sáp nhập, chuyển nhượng): dữ liệu có thể được chuyển cho bên kế thừa, với điều kiện bên đó tiếp tục bảo vệ dữ liệu theo Chính sách này; chúng tôi sẽ thông báo cho bạn trước.

Tệp tin của bạn (ảnh đại diện, hình ảnh, mô hình 3D) được lưu trên Amazon S3 tại khu vực Singapore (ap-southeast-1). Email giao dịch được gửi qua hạ tầng của Google, có thể đặt ngoài Việt Nam. Như vậy một phần dữ liệu cá nhân của bạn được chuyển ra nước ngoài.

Việc chuyển dữ liệu ra nước ngoài được thực hiện theo quy định của pháp luật Việt Nam về bảo vệ dữ liệu cá nhân, chỉ với bên nhận có biện pháp bảo vệ dữ liệu phù hợp, và chỉ trong phạm vi cần thiết để cung cấp Dịch vụ.

• Dữ liệu tài khoản, hồ sơ và nội dung: lưu trong thời gian tài khoản còn tồn tại. Không gian bạn xóa được giữ ở trạng thái đã xóa để bạn có thể khôi phục, và bị xóa vĩnh viễn cùng tài khoản.
• Thống kê lượt xem: gắn với không gian và bị xóa khi không gian bị xóa vĩnh viễn.
• Liên kết xác minh email hết hạn sau 24 giờ; liên kết đặt lại mật khẩu sau 30 phút. Tệp ảnh đại diện tải lên nhưng không xác nhận được dọn tự động.
• Phiên đăng nhập: cookie truy cập hết hạn sau 15 phút, cookie gia hạn phiên sau 7 ngày (xem Chính sách cookie).
• Dữ liệu giao dịch: lưu trong thời hạn pháp luật về kế toán, thuế yêu cầu, kể cả sau khi tài khoản bị xóa.
• Nhật ký kỹ thuật và bảo mật: lưu trong thời gian cần thiết để vận hành, điều tra sự cố và đáp ứng yêu cầu pháp luật.

Khi hết thời hạn hoặc khi bạn yêu cầu xóa, dữ liệu được xóa hoặc làm ẩn danh để không còn nhận diện được bạn, trừ phần pháp luật yêu cầu tiếp tục lưu giữ.

• Kết nối được mã hóa (HTTPS); mật khẩu chỉ lưu ở dạng băm một chiều;
• Phiên đăng nhập dùng cookie HttpOnly mà mã JavaScript không đọc được, kèm cơ chế chống giả mạo yêu cầu (CSRF);
• Mỗi yêu cầu được kiểm tra quyền sở hữu: chỉ bạn xem và sửa được bản nháp, tệp tin và dữ liệu của mình;
• Tệp tin riêng tư được truy cập qua đường dẫn ký số có thời hạn ngắn (khoảng 5 phút);
• Thông báo thanh toán từ payOS được xác thực chữ ký trước khi kích hoạt gói; dữ liệu thông báo lỗi lưu để đối soát được mã hóa;
• Quyền quản trị được giới hạn theo vai trò và mọi thao tác quản trị được ghi nhật ký.

Nếu xảy ra sự cố làm lộ, mất dữ liệu cá nhân, chúng tôi sẽ thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và cho người dùng bị ảnh hưởng theo thời hạn và cách thức pháp luật quy định, đồng thời áp dụng ngay biện pháp khắc phục.

Với tư cách chủ thể dữ liệu, bạn có các quyền theo Luật Bảo vệ dữ liệu cá nhân, gồm:

• được biết về hoạt động xử lý dữ liệu của bạn;
• đồng ý hoặc không đồng ý, và rút lại sự đồng ý;
• xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu;
• yêu cầu cung cấp bản sao dữ liệu của bạn;
• yêu cầu xóa dữ liệu, hạn chế xử lý hoặc phản đối việc xử lý dữ liệu;
• khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định pháp luật.

Tự thực hiện ngay trên Dịch vụ: sửa tên hiển thị, giới tính, ảnh đại diện và đổi mật khẩu trong phần Settings (Cài đặt); xóa không gian (và khôi phục từ mục Trash) ở trang My Spaces; hủy xuất bản trong mục Workspace và xóa tệp đã tải lên ở mục Uploads của trình chỉnh sửa.

Yêu cầu khác (bản sao dữ liệu, xóa tài khoản, rút lại sự đồng ý, hạn chế hoặc phản đối xử lý): gửi qua các kênh liên hệ tại trang Liên hệ & đơn vị vận hành từ địa chỉ email của tài khoản. Chúng tôi xác nhận đã nhận yêu cầu trong vòng 3 ngày làm việc và hoàn tất trong thời hạn pháp luật quy định. Chúng tôi có thể đề nghị bạn xác minh danh tính để bảo vệ tài khoản. Việc thực hiện quyền là miễn phí.

Dịch vụ dành cho người từ đủ 16 tuổi. Người dưới 16 tuổi chỉ được sử dụng khi có sự đồng ý của cha, mẹ hoặc người giám hộ. Nếu phát hiện dữ liệu của trẻ dưới 16 tuổi được xử lý khi chưa có sự đồng ý hợp lệ, chúng tôi sẽ xóa dữ liệu đó. Phụ huynh có thể liên hệ các kênh liên hệ tại trang Liên hệ & đơn vị vận hành để yêu cầu.

Chúng tôi có thể cập nhật Chính sách khi Dịch vụ hoặc pháp luật thay đổi. Với thay đổi quan trọng, chúng tôi thông báo qua email hoặc trên Dịch vụ trước khi áp dụng, và xin lại sự đồng ý của bạn khi pháp luật yêu cầu.

Mọi câu hỏi và yêu cầu về dữ liệu cá nhân, vui lòng gửi đến Nhóm dự án THE ONE qua các kênh liên hệ tại trang Liên hệ & đơn vị vận hành. Thông tin đơn vị vận hành có tại trang Liên hệ & đơn vị vận hành.