Chính sách bảo mật dữ liệu cá nhân — Habify
Cập nhật lần cuối: 12/10/2026 · Phiên bản 2026-10-12
Chính sách này giải thích cách Habify thu thập, sử dụng, lưu trữ, chia sẻ và bảo vệ dữ liệu cá nhân khi bạn truy cập website, liên hệ với chúng tôi, sử dụng dịch vụ hoặc sử dụng Tài khoản Habify, cũng như các quyền của bạn đối với dữ liệu đó. Chính sách được xây dựng theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Nghị định 356/2025/NĐ-CP hướng dẫn thi hành, Luật An toàn thông tin mạng, Luật An ninh mạng và các quy định pháp luật Việt Nam liên quan.
1. Bên Kiểm soát dữ liệu cá nhân
CÔNG TY TNHH HABIFY (mã số doanh nghiệp 0319523808) là Bên Kiểm soát và xử lý dữ liệu cá nhân đối với dữ liệu bạn cung cấp trên website Habify, trong các dịch vụ và trong Tài khoản Habify của bạn. • Địa chỉ trụ sở: 251D/4 Lưu Hữu Phước, Phường Phú Định, Thành phố Hồ Chí Minh, Việt Nam • Điện thoại: 0367 465 952 • Email: contact@habifyhub.com Mọi yêu cầu liên quan tới quyền của bạn đối với dữ liệu cá nhân đều được tiếp nhận qua các kênh trên.
2. Phạm vi áp dụng
Chính sách này áp dụng cho dữ liệu cá nhân chúng tôi xử lý của: • Người truy cập website habifyhub.com, bao gồm người gửi tin nhắn cho chúng tôi qua biểu mẫu liên hệ; • Khách hàng và khách hàng tiềm năng của các dịch vụ phát triển phần mềm, tư vấn sức khỏe & dinh dưỡng và nền tảng số & marketing; • Người tạo hoặc sử dụng Tài khoản Habify — dữ liệu dùng để tạo, xác thực, quản lý tài khoản và được chia sẻ khi bạn đăng nhập vào các ứng dụng liên kết. Dữ liệu phát sinh khi bạn dùng các tính năng bên trong ứng dụng do đối tác vận hành (ví dụ xem hồ sơ, lịch sử giao dịch, nội dung bạn tạo) do ứng dụng đó thu thập và xử lý theo chính sách bảo mật riêng của họ. Hãy đọc chính sách của từng ứng dụng bạn sử dụng.
3. Dữ liệu cá nhân chúng tôi thu thập
a) Dữ liệu bạn cung cấp • Thông tin tài khoản: họ tên, địa chỉ email, mật khẩu (chỉ lưu dưới dạng băm — chúng tôi không biết mật khẩu gốc của bạn). • Thông tin hồ sơ tùy chọn: số điện thoại, ảnh đại diện, ngôn ngữ, múi giờ, quốc gia. • Thiết lập tài khoản: tùy chọn thông báo, cảnh báo bảo mật, trạng thái và khóa xác thực hai lớp. • Biểu mẫu liên hệ và yêu cầu tư vấn: họ tên, địa chỉ email, số điện thoại, dịch vụ bạn quan tâm và nội dung tin nhắn. • Khách hàng của dịch vụ: thông tin công ty và liên hệ, thông tin dự án, và thông tin thanh toán/xuất hóa đơn (tên công ty, mã số thuế, địa chỉ, email) cần để thực hiện Hợp đồng. • Tư vấn sức khỏe & dinh dưỡng: thông tin bạn chọn chia sẻ để nhận tư vấn cá nhân hóa, như tuổi, chiều cao, cân nặng, thói quen ăn uống, mục tiêu sức khỏe và, nếu bạn cung cấp, tình trạng bệnh lý. Đây là dữ liệu cá nhân nhạy cảm — xem Mục 5. • Nội dung bạn gửi khi liên hệ hỗ trợ hoặc thực hiện quyền đối với dữ liệu. b) Dữ liệu thu thập tự động • Thông tin thiết bị và phiên: mã thiết bị, tên và loại thiết bị, trình duyệt, hệ điều hành, phiên bản ứng dụng, mã nhận thông báo đẩy (nếu dùng ứng dụng di động), thời điểm hoạt động gần nhất. • Nhật ký bảo mật: thời gian đăng nhập, địa chỉ IP, user agent của trình duyệt, kết quả đăng nhập và ứng dụng liên kết bạn đã đăng nhập. Địa chỉ IP khi gửi biểu mẫu liên hệ cũng được ghi lại để chống spam và lạm dụng. • Vị trí tương đối ở cấp quốc gia suy ra từ địa chỉ IP, chỉ dùng để gợi ý quốc gia và múi giờ mặc định. Chúng tôi không thu thập vị trí GPS. c) Dữ liệu từ bên thứ ba • Khi bạn đăng nhập bằng Google, Facebook hoặc Apple: mã định danh tài khoản của bạn tại nhà cung cấp đó, địa chỉ email, tên hiển thị và ảnh đại diện theo phạm vi nhà cung cấp chia sẻ khi bạn cho phép. Chúng tôi không nhận mật khẩu của bạn tại các nhà cung cấp này. • Khi bạn dùng tài khoản khách trong một ứng dụng liên kết: mã định danh ẩn danh do ứng dụng đó cấp. • Khi bạn thanh toán qua nhà cung cấp thanh toán: kết quả và mã tham chiếu giao dịch, nhưng không bao giờ là số thẻ đầy đủ hay thông tin đăng nhập ngân hàng của bạn. d) Dữ liệu chúng tôi KHÔNG thu thập Chúng tôi không thu thập số thẻ thanh toán hay thông tin đăng nhập ngân hàng, và không thu thập dữ liệu cá nhân nhạy cảm khác (như tôn giáo, quan điểm chính trị, dữ liệu sinh trắc học). Chúng tôi chỉ xử lý thông tin sức khỏe trong dịch vụ tư vấn sức khỏe & dinh dưỡng và chỉ khi có sự đồng ý rõ ràng của bạn.
4. Mục đích xử lý dữ liệu
Chúng tôi chỉ xử lý dữ liệu cá nhân của bạn để: • Phản hồi tin nhắn, yêu cầu của bạn, và cung cấp, thực hiện, hỗ trợ các dịch vụ bạn yêu cầu hoặc ký Hợp đồng. • Tạo và quản lý Tài khoản Habify, xác thực đăng nhập và khôi phục quyền truy cập. • Cho phép bạn dùng một tài khoản để đăng nhập các ứng dụng liên kết, và chia sẻ với từng ứng dụng thông tin bạn đã cho phép. • Quản lý thiết bị, phiên đăng nhập, giúp bạn xem và đăng xuất từ xa các thiết bị. • Xử lý thanh toán, xuất hóa đơn và thực hiện nghĩa vụ kế toán, thuế. • Gửi email và thông báo vận hành: xác minh email, đặt lại mật khẩu, cảnh báo đăng nhập mới, cảnh báo đổi mật khẩu, cảnh báo hoạt động bất thường. • Gửi thông tin về sản phẩm, dịch vụ của chúng tôi, chỉ khi có sự đồng ý của bạn. • Phát hiện và ngăn chặn truy cập trái phép, dò mật khẩu, tạo tài khoản hàng loạt, spam và các hành vi lạm dụng khác. • Giải quyết khiếu nại và các yêu cầu thực hiện quyền về dữ liệu. • Tạo thống kê tổng hợp, không định danh để cải thiện độ ổn định và chất lượng của Website và dịch vụ. • Tuân thủ nghĩa vụ pháp lý và yêu cầu hợp pháp của cơ quan có thẩm quyền. Chúng tôi KHÔNG bán dữ liệu cá nhân, KHÔNG dùng dữ liệu tài khoản để quảng cáo nhắm mục tiêu và KHÔNG dùng dữ liệu tài khoản để huấn luyện mô hình trí tuệ nhân tạo.
5. Cơ sở pháp lý của việc xử lý
Cơ sở pháp lý chủ yếu để xử lý dữ liệu cá nhân của bạn là SỰ ĐỒNG Ý của bạn — được thể hiện rõ ràng bằng việc tích vào ô đồng ý khi đăng ký hoặc chuyển đổi tài khoản, gửi biểu mẫu liên hệ, cho phép truy cập khi đăng nhập vào ứng dụng liên kết, và, với thông tin sức khỏe, bằng một sự đồng ý riêng, rõ ràng trước khi bạn chia sẻ. Trong một số trường hợp, chúng tôi xử lý dữ liệu không cần sự đồng ý theo quy định của Luật Bảo vệ dữ liệu cá nhân: • Để thực hiện hợp đồng hoặc dịch vụ giữa bạn và chúng tôi (ví dụ xác thực bạn khi đăng nhập, hoặc cung cấp dịch vụ bạn đã ký); • Để thực hiện nghĩa vụ pháp lý (ví dụ kế toán, thuế); • Để bảo vệ tính mạng, sức khỏe hoặc tài sản của bạn hoặc người khác trong tình huống khẩn cấp, bao gồm ngăn chặn chiếm đoạt tài khoản; • Theo yêu cầu của cơ quan có thẩm quyền theo đúng trình tự pháp luật. Bạn có thể rút lại sự đồng ý bất cứ lúc nào — xem Mục 12 và 13.
6. Chia sẻ dữ liệu với ứng dụng liên kết
Khi bạn đăng nhập vào một ứng dụng liên kết, chúng tôi chỉ chia sẻ những thông tin thuộc phạm vi bạn đã cho phép, thường gồm: • Mã định danh Tài khoản Habify (không đổi, dùng để ứng dụng nhận ra bạn); • Họ tên và ảnh đại diện (phạm vi “hồ sơ”); • Địa chỉ email và trạng thái xác minh email (phạm vi “email”). Chúng tôi không bao giờ chia sẻ mật khẩu, khóa xác thực hai lớp, nhật ký bảo mật hay danh sách các ứng dụng khác bạn sử dụng cho một ứng dụng liên kết. Ứng dụng liên kết chỉ được dùng dữ liệu nhận được cho mục đích cung cấp dịch vụ của mình và phải tuân thủ pháp luật về bảo vệ dữ liệu cá nhân. Sau khi nhận, việc xử lý dữ liệu tại ứng dụng chịu sự điều chỉnh của chính sách bảo mật của ứng dụng đó.
7. Chia sẻ dữ liệu với các bên thứ ba khác
Chúng tôi KHÔNG bán, trao đổi hay cho thuê dữ liệu cá nhân của bạn. Chúng tôi chỉ chia sẻ lượng dữ liệu tối thiểu cần thiết cho các bên xử lý dữ liệu sau, chỉ để họ thực hiện đúng chức năng của mình: • Nhà cung cấp hạ tầng: các nhà cung cấp máy chủ/điện toán đám mây vận hành dịch vụ (máy chủ chính đặt tại Singapore) và một nhà cung cấp máy chủ tại Việt Nam lưu bản sao cơ sở dữ liệu và bản sao lưu. • Gửi email: Amazon Web Services (Amazon SES) — địa chỉ email của bạn và nội dung email vận hành (xác minh, đặt lại mật khẩu, cảnh báo bảo mật). • Thông báo đẩy: Google Firebase Cloud Messaging — mã nhận thông báo của thiết bị và nội dung thông báo, khi bạn dùng ứng dụng di động. • Nhà cung cấp đăng nhập (Google, Facebook, Apple): chỉ khi bạn chọn đăng nhập bằng họ, để xác thực bạn. • Nhà cung cấp thanh toán và hóa đơn điện tử (ví dụ VNPay, MoMo, ZaloPay, PayOS, PayPal và Viettel S-Invoice): thông tin cần thiết để xử lý khoản thanh toán bạn thực hiện và xuất hóa đơn, chỉ khi bạn trả phí cho dịch vụ. • Nhà cung cấp mô hình AI (ví dụ OpenAI, Alibaba Cloud và Anthropic): chỉ với các tính năng có dùng trí tuệ nhân tạo, và chỉ phần đầu vào cần cho tính năng đó; họ không được dùng dữ liệu này để huấn luyện mô hình cho bên khác. • Dịch vụ định vị theo IP: địa chỉ IP của bạn, để suy ra quốc gia tương đối. Chúng tôi cũng có thể cung cấp dữ liệu khi có yêu cầu bằng văn bản của cơ quan có thẩm quyền theo đúng trình tự pháp luật, hoặc khi cần thiết để bảo vệ quyền lợi, tài sản và an toàn của Habify, của bạn hoặc của người khác. Mỗi bên xử lý dữ liệu đều chịu ràng buộc về bảo mật và chỉ được xử lý dữ liệu theo chỉ dẫn của chúng tôi.
8. Chuyển dữ liệu cá nhân ra nước ngoài
Máy chủ vận hành chính của Habify đặt tại Singapore; dịch vụ gửi email (Amazon SES), thông báo đẩy (Firebase), thanh toán, AI và nhà cung cấp đăng nhập có máy chủ ngoài lãnh thổ Việt Nam. Vì vậy dữ liệu cá nhân của bạn được chuyển ra nước ngoài trong phạm vi cần thiết để vận hành dịch vụ. Chúng tôi cam kết: • Chỉ chuyển ra nước ngoài dữ liệu cần thiết cho từng chức năng nêu tại Mục 7; • Lập và lưu giữ Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài, gửi tới Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) — Bộ Công an theo quy định của Luật Bảo vệ dữ liệu cá nhân và Nghị định 356/2025/NĐ-CP; • Yêu cầu bên nhận dữ liệu áp dụng biện pháp bảo vệ tương đương. Toàn bộ cơ sở dữ liệu được sao chép liên tục và sao lưu hằng ngày về máy chủ đặt tại Việt Nam, theo quy định về lưu trữ dữ liệu tại Việt Nam của pháp luật an ninh mạng.
9. Bảo mật dữ liệu
Chúng tôi áp dụng các biện pháp kỹ thuật và tổ chức phù hợp để bảo vệ dữ liệu cá nhân của bạn, bao gồm: • Mã hóa toàn bộ kết nối giữa trình duyệt, ứng dụng và máy chủ bằng HTTPS/TLS. • Lưu mật khẩu dưới dạng băm một chiều có muối (bcrypt) — không thể khôi phục về mật khẩu gốc. • Mã hóa khóa xác thực hai lớp và khóa bí mật của ứng dụng liên kết khi lưu trữ. • Mã đăng nhập (token) có thời hạn ngắn, có thể thu hồi; giới hạn số lần đăng nhập sai để chống dò mật khẩu. • Ứng dụng liên kết chỉ được đăng ký với địa chỉ chuyển hướng cố định đã kiểm duyệt, chống đánh cắp mã đăng nhập. • Phân quyền truy cập nội bộ theo vai trò, chỉ nhân sự có nhiệm vụ mới được tiếp cận dữ liệu và thao tác quản trị được ghi nhật ký. • Sao lưu định kỳ và kiểm soát truy cập vào bản sao lưu. Tuy nhiên, không có hệ thống nào an toàn tuyệt đối. Bạn cũng cần tự bảo vệ mình bằng cách đặt mật khẩu mạnh, không dùng chung mật khẩu với dịch vụ khác, bật xác thực hai lớp và không chia sẻ tài khoản.
10. Thời gian lưu trữ dữ liệu
Chúng tôi chỉ lưu dữ liệu cá nhân trong thời gian cần thiết cho các mục đích đã nêu: • Dữ liệu tài khoản và hồ sơ: trong suốt thời gian tài khoản còn hoạt động. • Thông tin thiết bị: đến khi bạn đăng xuất hoặc gỡ thiết bị khỏi tài khoản, hoặc tài khoản bị xóa. • Nhật ký bảo mật (đăng nhập, địa chỉ IP): tối đa 12 tháng để phát hiện, điều tra truy cập trái phép, sau đó xóa hoặc ẩn danh hóa. • Tin nhắn và yêu cầu qua biểu mẫu liên hệ: đến khi yêu cầu được xử lý xong và tối đa 24 tháng kể từ lần liên hệ cuối, trừ khi bạn trở thành khách hàng. • Hồ sơ khách hàng, hợp đồng và hóa đơn: trong thời hạn pháp luật về kế toán, thuế yêu cầu. • Thông tin tư vấn sức khỏe & dinh dưỡng: trong thời gian thực hiện tư vấn, sau đó xóa hoặc ẩn danh hóa trong vòng 12 tháng kể từ khi kết thúc, hoặc sớm hơn khi bạn rút lại sự đồng ý và yêu cầu xóa. • Tài khoản không hoạt động liên tục 24 tháng (kể cả tài khoản khách): bị xóa sau các email nhắc trước 30 ngày, 7 ngày và 1 ngày (đối với tài khoản có email). • Khi bạn xóa tài khoản hoặc tài khoản bị xóa do không hoạt động: tài khoản được giữ ở trạng thái vô hiệu hóa 15 ngày để bạn có thể khôi phục bằng cách đăng nhập lại, sau đó dữ liệu tài khoản, thiết bị, liên kết đăng nhập bên thứ ba và nhật ký bảo mật bị xóa vĩnh viễn; bản sao lưu được ghi đè theo chu kỳ sao lưu thông thường. • Hồ sơ chứng minh sự đồng ý, việc rút lại đồng ý và việc xử lý yêu cầu của bạn: trong thời gian cần thiết để chứng minh việc tuân thủ pháp luật. Hết thời hạn lưu trữ, dữ liệu được xóa vĩnh viễn hoặc ẩn danh hóa không thể khôi phục.
11. Dữ liệu cá nhân của trẻ em
Dịch vụ của chúng tôi không dành cho trẻ em dưới 7 tuổi, và các dịch vụ tư vấn, hợp đồng dành cho người trưởng thành. Người từ đủ 7 tuổi đến dưới 15 tuổi chỉ được tạo tài khoản khi có sự đồng ý của cha, mẹ hoặc người giám hộ hợp pháp. Nếu chúng tôi phát hiện đã thu thập dữ liệu của trẻ em mà không có căn cứ hợp pháp, chúng tôi sẽ xóa dữ liệu đó ngay khi biết. Cha, mẹ hoặc người giám hộ có thể yêu cầu xem, chỉnh sửa hoặc xóa dữ liệu của trẻ bằng cách liên hệ contact@habifyhub.com.
12. Quyền của bạn đối với dữ liệu cá nhân
Theo Luật Bảo vệ dữ liệu cá nhân, bạn có đầy đủ các quyền sau: 1. Quyền được biết — biết về hoạt động xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. 2. Quyền đồng ý — đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân của mình. 3. Quyền truy cập — xem, chỉnh sửa dữ liệu cá nhân của mình. 4. Quyền rút lại sự đồng ý — rút lại sự đồng ý đã cấp, kể cả khi việc đó làm chấm dứt dịch vụ. 5. Quyền xóa dữ liệu — yêu cầu xóa dữ liệu cá nhân của mình. 6. Quyền hạn chế xử lý — yêu cầu hạn chế việc xử lý dữ liệu cá nhân của mình. 7. Quyền cung cấp dữ liệu — yêu cầu cung cấp cho mình bản sao dữ liệu cá nhân của mình. 8. Quyền phản đối xử lý — phản đối việc xử lý dữ liệu nhằm ngăn chặn hoặc hạn chế tiết lộ dữ liệu, hoặc sử dụng cho mục đích quảng cáo, tiếp thị. 9. Quyền khiếu nại, tố cáo, khởi kiện — theo quy định của pháp luật. 10. Quyền yêu cầu bồi thường thiệt hại — khi có vi phạm quy định về bảo vệ dữ liệu cá nhân của mình. 11. Quyền tự bảo vệ — áp dụng các biện pháp tự bảo vệ theo quy định của pháp luật, hoặc yêu cầu cơ quan, tổ chức có thẩm quyền bảo vệ quyền dân sự của mình.
13. Cách thực hiện quyền của bạn
• Xem và chỉnh sửa hồ sơ: đăng nhập Habify và mở mục Hồ sơ. • Đổi mật khẩu: mở mục Mật khẩu. • Xem và đăng xuất các thiết bị, kể cả đăng xuất ở mọi nơi: mở mục Thiết bị. • Xóa tài khoản (đồng thời rút lại sự đồng ý): mở Hồ sơ → Xóa tài khoản. Tài khoản bị vô hiệu hóa 15 ngày; đăng nhập lại trong thời gian này để khôi phục. • Rút lại sự đồng ý, xóa dữ liệu (bao gồm tin nhắn qua biểu mẫu liên hệ và thông tin sức khỏe), yêu cầu bản sao dữ liệu, hạn chế hoặc phản đối việc xử lý, hoặc thu hồi quyền đã cấp cho một ứng dụng liên kết: gửi email tới contact@habifyhub.com (với yêu cầu về tài khoản, hãy gửi từ địa chỉ email của tài khoản). Chúng tôi xác nhận đã nhận yêu cầu trong vòng 72 giờ và xử lý trong thời hạn pháp luật về bảo vệ dữ liệu cá nhân quy định. Nếu yêu cầu phức tạp cần xác minh thêm, chúng tôi sẽ cho bạn biết lý do và thời điểm dự kiến phản hồi. Việc thực hiện các quyền này là miễn phí. Chúng tôi có thể cần xác minh danh tính của bạn trước để tránh bị người khác mạo danh.
14. Cookie và công nghệ tương tự
Habify chỉ sử dụng cookie và bộ nhớ trình duyệt cần thiết để website và dịch vụ hoạt động: • Cookie phiên — giữ trạng thái đăng nhập, ghi nhớ ứng dụng liên kết bạn đang đăng nhập để tiếp tục tới, ngôn ngữ và giao diện sáng/tối bạn chọn. • Cookie chống giả mạo yêu cầu (CSRF) — bảo vệ các biểu mẫu đăng nhập, đăng ký, liên hệ và đổi mật khẩu. • Bộ nhớ cục bộ của trình duyệt trên website — ghi nhớ lựa chọn ngôn ngữ và giao diện sáng/tối trên thiết bị của bạn. Chúng tôi không dùng cookie quảng cáo, cookie phân tích hay theo dõi liên trang, và không dùng pixel mạng xã hội. Bạn có thể chặn hoặc xóa cookie trong cài đặt trình duyệt, nhưng khi đó việc đăng nhập và biểu mẫu liên hệ sẽ không hoạt động.
15. Xử lý sự cố vi phạm dữ liệu cá nhân
Nếu xảy ra sự cố làm lộ, mất hoặc truy cập trái phép dữ liệu cá nhân, chúng tôi sẽ: • Khắc phục sự cố và hạn chế thiệt hại ngay khi phát hiện, bao gồm thu hồi phiên đăng nhập và yêu cầu đặt lại mật khẩu khi cần; • Thông báo tới Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) — Bộ Công an trong vòng 72 giờ kể từ khi phát hiện, theo quy định của pháp luật về bảo vệ dữ liệu cá nhân; • Thông báo trực tiếp tới bạn qua email nếu sự cố có khả năng ảnh hưởng tới quyền và lợi ích hợp pháp của bạn, kèm hướng dẫn các bước bạn nên thực hiện; • Phối hợp với các ứng dụng liên kết bị ảnh hưởng; • Lập và lưu hồ sơ về sự cố cùng biện pháp khắc phục.
16. Thay đổi chính sách bảo mật
Chúng tôi có thể cập nhật Chính sách bảo mật này khi tính năng, quy định pháp luật hoặc đối tác xử lý dữ liệu thay đổi. Ngày cập nhật và phiên bản luôn được ghi ở đầu trang. Với thay đổi trọng yếu về mục đích xử lý, phạm vi dữ liệu thu thập hoặc bên thứ ba nhận dữ liệu, chúng tôi sẽ thông báo trước và có thể yêu cầu bạn xác nhận đồng ý lại trước khi tiếp tục sử dụng dịch vụ.
17. Liên hệ và khiếu nại
Mọi câu hỏi, yêu cầu hoặc khiếu nại về dữ liệu cá nhân, vui lòng liên hệ: • Email: contact@habifyhub.com • Điện thoại: 0367 465 952 Nếu bạn cho rằng quyền của mình đối với dữ liệu cá nhân bị xâm phạm và chúng tôi chưa giải quyết thỏa đáng, bạn có quyền khiếu nại, tố cáo tới Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) — Bộ Công an, hoặc khởi kiện tại Tòa án nhân dân có thẩm quyền theo quy định pháp luật.