Chính sách bảo mật và Thỏa thuận xử lý dữ liệu
Stayloom giữ hai vai trò: bên kiểm soát với dữ liệu của chủ nhà, và bên xử lý thay chủ nhà với dữ liệu khách truy cập Website. Văn bản này đáp ứng Luật Bảo vệ dữ liệu cá nhân 2025, Nghị định 356/2025/NĐ-CP, và GDPR khi có chủ nhà hoặc khách ở EU, Anh.
Phiên bản: PRIV-v1.0
F1. Chính sách bảo mật (dữ liệu của chủ nhà)
1. Dữ liệu Stayloom thu thập
| Nhóm | Ví dụ | Mục đích | Cơ sở xử lý |
|---|---|---|---|
| Liên hệ | Họ tên, email, số điện thoại, Zalo/Telegram | Cung cấp Dịch vụ, liên lạc, nhắc gia hạn | Sự đồng ý; thực hiện hợp đồng |
| Thanh toán và hóa đơn | Mã giao dịch, tên công ty, mã số thuế, địa chỉ | Xác nhận thanh toán, xuất hóa đơn | Nghĩa vụ pháp lý (thuế, kế toán) |
| Chi trả hoa hồng | Số tài khoản ngân hàng, mã số thuế hoặc số định danh | Chi trả và khấu trừ thuế | Nghĩa vụ pháp lý; thực hiện hợp đồng |
| Nội dung chủ nhà | Ảnh, câu chuyện, thông tin phòng, link | Dựng và vận hành Website | Thực hiện hợp đồng |
| Kỹ thuật | Địa chỉ IP, thiết bị, nhật ký truy cập bảng điều khiển | Bảo mật, chống gian lận | Lợi ích hợp pháp; sự đồng ý |
| Bằng chứng chấp thuận | Phiên bản văn bản, thời điểm, IP khi tích đồng ý | Chứng minh giao kết hợp đồng | Nghĩa vụ pháp lý |
Stayloom không mua bán dữ liệu cá nhân và không dùng dữ liệu chủ nhà để quảng cáo cho bên thứ ba.
2. Bên nhận dữ liệu
| Bên nhận | Vai trò | Nơi xử lý |
|---|---|---|
| Cloudflare | Hosting, lưu trữ, CDN, đăng ký tên miền, gửi email thông báo | Hoa Kỳ và mạng toàn cầu |
| Anthropic (mô hình AI Claude) | Xử lý Nội dung chủ nhà để dựng và chỉnh Website | Hoa Kỳ |
| PayPal; payOS và ngân hàng | Thanh toán | Hoa Kỳ / Việt Nam |
Nhà đăng ký tên miền .vn | Đăng ký tên miền | Việt Nam |
| Kế toán, đơn vị hóa đơn điện tử | Hóa đơn, thuế | Việt Nam |
| Cơ quan nhà nước có thẩm quyền | Khi có yêu cầu hợp pháp | Việt Nam hoặc nơi có thẩm quyền |
3. Chuyển dữ liệu ra nước ngoài. Chủ nhà đồng ý việc chuyển dữ liệu tới các bên trên. Stayloom chỉ dùng nhà cung cấp có thỏa thuận xử lý dữ liệu và cam kết bảo mật, với dữ liệu từ EU, Anh là Điều khoản hợp đồng mẫu (SCC). Stayloom lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới theo pháp luật Việt Nam khi thuộc diện phải lập.
4. Thời gian lưu trữ
- Dữ liệu tài khoản và Nội dung chủ nhà: trong thời gian hợp đồng và 30 ngày sau chấm dứt, rồi xóa.
- Chứng từ kế toán, hóa đơn, chứng từ khấu trừ thuế: theo thời hạn Luật Kế toán quy định.
- Nhật ký kỹ thuật: tối đa 12 tháng.
- Bằng chứng chấp thuận: trong thời hạn khởi kiện theo luật, tối thiểu 3 năm sau chấm dứt hợp đồng.
5. Quyền của chủ nhà. Chủ nhà có quyền được biết, đồng ý hoặc rút lại đồng ý, truy cập, chỉnh sửa, yêu cầu xóa, hạn chế xử lý, nhận bản sao dữ liệu, phản đối xử lý, khiếu nại và yêu cầu bồi thường. Gửi yêu cầu tới stayloom.net@gmail.com; Stayloom phản hồi trong thời hạn luật định. Rút lại đồng ý không ảnh hưởng tới việc xử lý đã thực hiện, và có thể khiến Stayloom không tiếp tục cung cấp được Dịch vụ.
6. Bảo mật. Mã hóa đường truyền (HTTPS), phân quyền truy cập, xác thực hai lớp cho tài khoản quản trị, kiểm soát truy cập riêng cho hệ thống quản trị, sao lưu định kỳ.
7. Sự cố dữ liệu. Khi phát hiện vi phạm dữ liệu cá nhân, Stayloom thông báo cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong 72 giờ và thông báo chủ nhà bị ảnh hưởng trong thời hạn luật định.
8. Người dưới 18 tuổi. Dịch vụ dành cho người từ 18 tuổi, có năng lực ký hợp đồng.
9. Liên hệ và khiếu nại. Đầu mối bảo vệ dữ liệu: Doan Thi My Linh, stayloom.net@gmail.com. Chủ nhà có thể khiếu nại tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân của Bộ Công an, hoặc cơ quan giám sát dữ liệu nơi mình cư trú tại EU, Anh.
F2. Thỏa thuận xử lý dữ liệu (dữ liệu khách truy cập Website)
1. Phạm vi. Áp dụng cho dữ liệu cá nhân của khách truy cập và khách gửi form trên Website: họ tên, email, số điện thoại, ngày lưu trú, nội dung tin nhắn, dữ liệu truy cập và click. Chủ nhà là bên kiểm soát; Stayloom là bên xử lý.
2. Nghĩa vụ của chủ nhà
- Có cơ sở hợp pháp để xử lý dữ liệu khách, và duyệt Thông báo bảo mật cho khách do Stayloom soạn sẵn trên Website.
- Không yêu cầu thu thập dữ liệu nhạy cảm hay giấy tờ tùy thân qua Website.
- Tự xử lý dữ liệu khách theo pháp luật khi nhận được qua email hoặc bảng điều khiển.
3. Nghĩa vụ của Stayloom
- Chỉ xử lý theo hướng dẫn của chủ nhà thể hiện trong bộ văn bản này và cấu hình Website; không dùng dữ liệu khách cho mục đích riêng.
- Bảo đảm người được tiếp cận dữ liệu có nghĩa vụ bảo mật.
- Áp dụng biện pháp bảo mật tại mục F1.6.
- Dùng bên xử lý phụ đã liệt kê tại F1.2. Báo trước 30 ngày khi thêm bên xử lý phụ mới; chủ nhà được phản đối và chấm dứt nếu không đồng ý.
- Hỗ trợ chủ nhà trả lời yêu cầu của khách về quyền dữ liệu.
- Thông báo cho chủ nhà trong 48 giờ khi phát hiện sự cố liên quan dữ liệu khách của Website.
- Khi chấm dứt, trả lại (qua gói xuất dữ liệu) và xóa dữ liệu khách trong 30 ngày, trừ khi luật yêu cầu lưu.
- Cung cấp tài liệu cần thiết để chứng minh tuân thủ khi chủ nhà yêu cầu hợp lý, tối đa một lần mỗi năm.
4. Dữ liệu từ EU, Anh. Khi chủ nhà ở EU, Anh, hai bên áp dụng SCC của Ủy ban châu Âu (Module 2, bên kiểm soát sang bên xử lý) và phụ lục Anh tương ứng; SCC được ưu tiên nếu có khác biệt.
5. Cookie và tiếp thị liên kết. Website mặc định không dùng cookie theo dõi và không tải script phân tích hay script theo dõi tiếp thị liên kết. Lượt click vào link tiếp thị liên kết chỉ được đếm theo ngày, không gắn với người bấm. Khi khách bấm link, khách được chuyển sang trang của đối tác; cookie (nếu có) do đối tác đặt trên trang của họ, và đối tác là bên kiểm soát độc lập theo chính sách của họ. Nếu chủ nhà yêu cầu bật công cụ đo lường, Website hiển thị banner cookie (Phần H) và chỉ tải công cụ đó sau khi khách đồng ý.