Chính sách bảo mật

1. Phạm vi áp dụng

Chính sách này áp dụng cho ứng dụng Vihotel trên điện thoại, website https://vihotel.io.vn và mọi dịch vụ liên quan.

Chính sách áp dụng cho ba nhóm người dùng: khách đặt phòng, chủ khách sạn và nhân viên lễ tân được chủ khách sạn cấp quyền.

Vihotel là nền tảng kết nối. Khi bạn đặt phòng, khách sạn cũng nhận được một phần thông tin của bạn và tự chịu trách nhiệm với dữ liệu đó theo quy định pháp luật.

2. Dữ liệu cá nhân chúng tôi thu thập

Chỉ những dữ liệu dưới đây được thu thập, và chỉ khi bạn dùng đến tính năng tương ứng:

Thông tin tài khoản — Họ tên, email, số điện thoại, ảnh đại diện. Nếu bạn đăng nhập bằng Google hoặc Apple, chúng tôi nhận tên và email từ nhà cung cấp đó; chúng tôi không bao giờ nhận mật khẩu của bạn.

Thông tin đặt phòng — Khách sạn, loại phòng, số phòng, ngày giờ nhận/trả phòng, yêu cầu riêng (ví dụ phòng không hút thuốc), ghi chú của bạn và lịch sử trạng thái đơn.

Thông tin thanh toán — Mã giao dịch, số tiền, thời điểm và nội dung chuyển khoản do đối tác thanh toán SePay báo về. Vihotel KHÔNG lưu số thẻ ngân hàng, mã CVV hay mật khẩu ngân hàng của bạn.

Tài khoản nhận tiền (chỉ với chủ khách sạn) — Tên ngân hàng, số tài khoản và tên chủ tài khoản, dùng để chi trả doanh thu.

Giấy tờ tuỳ thân (chỉ khi bạn chủ động xác minh) — Ảnh CCCD/CMND, giấy phép lái xe hoặc ảnh chân dung. Các tệp này được lưu ở khu vực riêng, không truy cập được công khai qua đường dẫn, và chỉ quản trị viên xét duyệt mới xem được.

Vị trí — Toạ độ thiết bị, chỉ khi bạn bấm “Tìm khách sạn gần đây” hoặc khi chủ khách sạn dùng “Dùng vị trí hiện tại” để điền địa chỉ. Vị trí không được theo dõi trong nền và không được lưu lại thành lịch sử di chuyển.

Ảnh — Ảnh bạn chọn từ thư viện hoặc chụp để đăng khách sạn, đăng phòng hoặc xác minh danh tính. Ứng dụng không đọc toàn bộ thư viện ảnh của bạn.

Tin nhắn — Nội dung trao đổi giữa khách và khách sạn trong ứng dụng.

Đánh giá — Số sao, nhận xét và nhãn bạn để lại sau khi hoàn thành chuyến đi.

Dữ liệu kỹ thuật — Mã thiết bị nhận thông báo đẩy, loại thiết bị (iOS/Android), địa chỉ IP và nhật ký lỗi phục vụ vận hành và chống lạm dụng.

Chúng tôi không thu thập dữ liệu về sức khoẻ, tôn giáo, quan điểm chính trị, nguồn gốc chủng tộc hay đời sống tình dục.

3. Mục đích và căn cứ xử lý

Mỗi loại dữ liệu chỉ được dùng cho mục đích đã nêu:

• Thực hiện hợp đồng: tạo tài khoản, xử lý đơn đặt phòng, thu tiền cọc, chi trả doanh thu cho chủ khách sạn, gửi email và thông báo về đơn của bạn.
• Nghĩa vụ pháp luật: lưu chứng từ giao dịch, xác minh danh tính khi có yêu cầu, phối hợp với cơ quan nhà nước có thẩm quyền.
• Lợi ích hợp pháp: chống gian lận, chống đặt phòng ảo, xử lý khiếu nại, bảo đảm an toàn hệ thống.
• Sự đồng ý của bạn: truy cập vị trí, truy cập ảnh, gửi thông báo đẩy. Bạn có thể rút lại từng quyền này bất kỳ lúc nào trong cài đặt của điện thoại mà không mất tài khoản.

Chúng tôi không bán dữ liệu cá nhân của bạn cho bất kỳ bên nào, và không dùng dữ liệu của bạn để quảng cáo cho bên thứ ba.

4. Chia sẻ dữ liệu với ai

Khách sạn bạn đặt phòng — Nhận họ tên, số điện thoại, thông tin đơn và yêu cầu riêng của bạn — đủ để nhận phòng. Khách sạn không nhận được thông tin thanh toán của bạn.

SePay — Đối tác xử lý thanh toán chuyển khoản. Nhận mã giao dịch và số tiền để đối soát. Bạn chuyển khoản trực tiếp qua ngân hàng của mình; Vihotel không đứng giữa dòng tiền đó.

Google (Firebase Cloud Messaging) — Gửi thông báo đẩy tới thiết bị của bạn. Nhận mã thiết bị và nội dung thông báo.

Google, Apple — Chỉ khi bạn chọn đăng nhập bằng tài khoản của họ, để xác thực danh tính.

Dịch vụ bản đồ — Khi bạn tra cứu địa chỉ, toạ độ được gửi qua máy chủ của chúng tôi tới dịch vụ tra cứu địa danh. Yêu cầu không kèm theo danh tính của bạn.

Cơ quan nhà nước có thẩm quyền — Khi có yêu cầu hợp pháp bằng văn bản.

Ngoài các trường hợp trên, chúng tôi không chuyển dữ liệu của bạn cho bên thứ ba nào khác.

5. Thời gian lưu trữ

• Dữ liệu tài khoản: lưu trong suốt thời gian tài khoản còn hoạt động.
• Sau khi bạn yêu cầu xoá tài khoản: có 15 ngày ân hạn. Đăng nhập lại trong 15 ngày đó thì yêu cầu tự huỷ và không có gì bị xoá.
• Hết 15 ngày: họ tên, email, số điện thoại, ảnh đại diện, địa chỉ, liên kết Google/Apple và mật khẩu bị xoá khỏi hệ thống; mã thiết bị nhận thông báo bị xoá; khách sạn bạn đã đăng bị gỡ cùng ảnh và số điện thoại liên hệ.
• Hồ sơ đơn đặt phòng và giao dịch được giữ lại theo quy định về chứng từ kế toán, nhưng không còn gắn với tên bạn — tài khoản hiển thị là “Người dùng đã xoá”.
• Ảnh giấy tờ tuỳ thân: xoá khi hồ sơ xác minh được xử lý xong hoặc khi bạn xoá tài khoản.

6. Quyền của bạn

Theo Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, bạn có quyền:

• Được biết dữ liệu nào của bạn đang được xử lý và vì mục đích gì.
• Xem và yêu cầu bản sao dữ liệu của mình.
• Sửa dữ liệu sai — phần lớn sửa được ngay trong mục “Tài khoản” của ứng dụng.
• Rút lại sự đồng ý đã cho (vị trí, ảnh, thông báo) bất kỳ lúc nào.
• Yêu cầu xoá tài khoản và dữ liệu cá nhân.
• Phản đối hoặc hạn chế việc xử lý dữ liệu.
• Khiếu nại tới chúng tôi hoặc tới cơ quan nhà nước có thẩm quyền.

Để thực hiện các quyền trên, liên hệ [CẦN ĐIỀN: đầu mối phụ trách dữ liệu cá nhân — họ tên và email]. Chúng tôi phản hồi trong vòng 72 giờ làm việc kể từ khi nhận được yêu cầu hợp lệ.

7. Biện pháp bảo vệ

• Toàn bộ kết nối giữa ứng dụng/website và máy chủ được mã hoá bằng HTTPS.
• Mật khẩu được lưu dưới dạng băm một chiều — kể cả quản trị viên cũng không đọc được mật khẩu của bạn.
• Ảnh giấy tờ tuỳ thân lưu ở khu vực riêng, không truy cập được bằng đường dẫn công khai.
• Tài khoản bị tạm khoá sau nhiều lần đăng nhập sai liên tiếp.
• Thay đổi tài khoản ngân hàng nhận tiền sẽ tạm khoá rút tiền trong một khoảng thời gian, để một phiên đăng nhập bị chiếm không thể rút sạch số dư ngay.

Không hệ thống nào an toàn tuyệt đối. Nếu xảy ra sự cố lộ lọt dữ liệu cá nhân, chúng tôi sẽ thông báo cho bạn và cho cơ quan có thẩm quyền theo thời hạn luật định.

8. Trẻ em

Vihotel không dành cho người dưới 16 tuổi và không cố ý thu thập dữ liệu của trẻ em. Nếu phát hiện đã thu thập dữ liệu của người dưới 16 tuổi mà không có sự đồng ý của cha mẹ hoặc người giám hộ, chúng tôi sẽ xoá ngay khi được thông báo.

9. Thay đổi chính sách

Khi chính sách này thay đổi ở nội dung quan trọng, chúng tôi sẽ thông báo trong ứng dụng hoặc qua email trước khi áp dụng. Ngày áp dụng luôn được ghi ở đầu trang.

10. Liên hệ

Đơn vị vận hành: [CẦN ĐIỀN: tên đầy đủ của doanh nghiệp/hộ kinh doanh vận hành Vihotel]

Địa chỉ: [CẦN ĐIỀN: địa chỉ trụ sở đăng ký]

Email: [CẦN ĐIỀN: email hỗ trợ @vihotel.io.vn] — Điện thoại: [CẦN ĐIỀN: số điện thoại hỗ trợ]

Đầu mối về dữ liệu cá nhân: [CẦN ĐIỀN: đầu mối phụ trách dữ liệu cá nhân — họ tên và email]