Chính sách quyền riêng tư

1. Bên kiểm soát dữ liệu

Bên kiểm soát dữ liệu cá nhân là Quyen Nguyen, doanh nghiệp tư nhân (toiminimi) tại Phần Lan, Y-tunnus 3592700-9, địa chỉ Puistokatu 6 A 369, 90120 Oulu, Finland. Mọi câu hỏi về dữ liệu cá nhân, xin gửi tới hi@9uyen.com.

2. Khi bạn xem trang web

• Bộ đếm lượt xem hồ sơ, tin và lượt bấm nút liên hệ trên trang: để chống đếm trùng, chúng tôi lưu mã băm (HMAC) của địa chỉ IP cùng hồ sơ hoặc tin và ngày, tối đa 36 giờ. Sau đó chỉ còn lại số đếm theo ngày, không gắn với người truy cập. Số liệu này chỉ hiển thị riêng cho chủ sở hữu hồ sơ hoặc người đăng tin.
• Giới hạn tần suất theo địa chỉ IP: để chống lạm dụng, các yêu cầu gửi link đăng nhập được giới hạn theo email và theo IP. Chúng tôi lưu mã băm của email và IP trong 1 giờ.
• Khi bạn truy cập trang, nhà cung cấp hạ tầng của chúng tôi (Cloudflare) tự động ghi nhật ký kỹ thuật (địa chỉ IP, thời điểm, trang được yêu cầu, loại trình duyệt) để vận hành trang và bảo mật hệ thống. Cơ sở pháp lý: lợi ích chính đáng của chúng tôi trong việc vận hành an toàn (Điều 6(1)(f) GDPR).

Cơ sở pháp lý cho các mục đếm ở trên: lợi ích chính đáng của chúng tôi trong việc vận hành, đo lường và bảo vệ dịch vụ (Điều 6(1)(f) GDPR). Số liệu thống kê là số đếm do chính máy chủ của chúng tôi ghi lại. Chúng tôi không dùng công cụ quảng cáo của bên thứ ba.

4. Khi bạn tạo hồ sơ hoặc đăng tin

• Khi tạo hồ sơ: IČO, tên và địa chỉ doanh nghiệp từ sổ đăng ký ARES, thành phố, danh mục và email đăng nhập. Khi lưu thông tin hồ sơ, bạn cần nhập số điện thoại hoặc Zalo. Số điện thoại và Zalo được hiển thị công khai để khách hàng liên hệ với doanh nghiệp (Điều 6(1)(b) và 6(1)(f) GDPR). Chúng tôi chỉ tạo hồ sơ khi doanh nghiệp đồng ý.
• Khi đăng tin: email, số điện thoại công khai (bắt buộc), thành phố, nội dung tin, ảnh, và việc bạn đã đồng ý với quy định đăng tin. Số điện thoại được hiển thị công khai để khách hàng liên hệ với người đăng (Điều 6(1)(b) và 6(1)(f) GDPR).
• Khi chúng tôi tạo hồ sơ hoặc tin giúp bạn: những thông tin bạn gửi cho chúng tôi qua email hoặc Zalo. Bạn xác nhận nội dung cuối cùng trước khi đăng. Bản ghi yêu cầu của bạn được lưu trong thời gian nội dung còn tồn tại và thêm 6 tháng.
• Đăng nhập: link đăng nhập có hiệu lực 15 phút, phiên đăng nhập 30 ngày; với link đăng nhập, chúng tôi chỉ lưu mã băm. Email đăng nhập và các email thông báo (duyệt, từ chối, sắp hết hạn tin) được gửi qua Resend.
• Nội dung hồ sơ và tin bạn nhập (mô tả, dịch vụ, ảnh, email, số điện thoại, Zalo, địa chỉ, mạng xã hội, website, giờ mở cửa, logo) được hiển thị công khai khi hồ sơ hoặc tin hiển thị. Nếu bạn là người kinh doanh cá thể (OSVČ), đây có thể là dữ liệu cá nhân của bạn. Tin sang nhượng chỉ hiển thị thành phố, không hiển thị địa chỉ chính xác.
• Khi quản trị viên duyệt, từ chối, ẩn hoặc xóa nội dung, thao tác được ghi vào nhật ký cùng email của người liên quan và lý do.
• Khi bạn báo cáo nội dung: đường link chính xác của hồ sơ hoặc tin, lý do, lời nhắn nếu có, họ tên, email, lời xác nhận rằng thông tin đúng và đầy đủ, kết quả xử lý (giữ nguyên, ẩn, gỡ, chuyển giao hoặc hẹn gỡ), và mã băm địa chỉ IP của bạn, chỉ dùng để giới hạn số báo cáo gửi đi.
• Khi bạn gửi gợi ý về một doanh nghiệp chưa có trong danh bạ (không cần đăng nhập): tên doanh nghiệp, thành phố, và nếu bạn điền thì số điện thoại hoặc Zalo, IČO, ghi chú và email của bạn. Nếu doanh nghiệp là người kinh doanh cá thể (OSVČ), đây có thể là dữ liệu cá nhân của người khác. Mục đích duy nhất là để người vận hành liên hệ hỏi doanh nghiệp có muốn tạo hồ sơ không. Gợi ý chỉ người vận hành đọc được, không hiển thị công khai và không bao giờ tự tạo hồ sơ. Cơ sở pháp lý: lợi ích chính đáng của chúng tôi trong việc giúp doanh nghiệp biết đến dịch vụ (Điều 6(1)(f) GDPR). Để chống lạm dụng, chúng tôi giới hạn số gợi ý theo địa chỉ IP bằng mã băm của địa chỉ đó.
• Số lượt xem và lượt liên hệ chỉ hiển thị cho chủ sở hữu hoặc người đăng tin.

Cơ sở pháp lý: thực hiện yêu cầu của bạn khi bạn nhờ chúng tôi tạo hồ sơ hoặc đăng tin (Điều 6(1)(b) GDPR); lợi ích chính đáng về chống lạm dụng, duyệt tin và tuân thủ pháp luật về nội dung (Điều 6(1)(f)); nghĩa vụ pháp lý khi pháp luật yêu cầu (Điều 6(1)(c)).

Dữ liệu người báo cáo (email, lời nhắn, kết quả) được xử lý để thực hiện nghĩa vụ thông báo và hành động theo DSA (Điều 6(1)(c) GDPR) và vì lợi ích chính đáng trong việc xử lý báo cáo và chống lạm dụng (Điều 6(1)(f) GDPR).

Thông tin doanh nghiệp (IČO, tên, địa chỉ) được lấy từ sổ đăng ký công khai ARES. Bạn cần cung cấp email để tạo tài khoản và quản lý hồ sơ hay tin, số điện thoại để đăng tin, và số điện thoại hoặc Zalo để lưu thông tin hồ sơ; thiếu các thông tin này, chúng tôi không thể tạo tài khoản, lưu hồ sơ hoặc đăng tin cho bạn. Các thông tin khác là không bắt buộc. Chúng tôi không thực hiện việc ra quyết định tự động có hệ quả pháp lý; việc duyệt tin do con người thực hiện, và thứ tự hồ sơ chỉ phụ thuộc vào Điểm hoàn thiện hồ sơ.

5. Cookie và bộ nhớ trình duyệt

• vs_session: phiên đăng nhập của chủ sở hữu hoặc người đăng tin, 30 ngày, chỉ khi bạn đăng nhập.
• vs_admin: phiên của quản trị viên, 8 giờ.
• localStorage “theme”: giao diện sáng hoặc tối.

Các cookie và bộ nhớ khác đều cần thiết cho chức năng bạn yêu cầu. Chúng tôi không dùng cookie quảng cáo.

6. Bên nhận dữ liệu

Chúng tôi dùng các nhà cung cấp sau. Họ xử lý dữ liệu theo chỉ dẫn của chúng tôi:

• Cloudflare, Inc. (Hoa Kỳ): vận hành trang web (Cloudflare Workers), lưu ảnh và logo (Cloudflare R2), kết nối tới cơ sở dữ liệu, và nhật ký kỹ thuật (mục 2);
• Neon Inc. (Hoa Kỳ): cơ sở dữ liệu; dữ liệu được lưu tại EU, tại trung tâm dữ liệu AWS eu-central-1 (Frankfurt, Đức);
• Resend Inc. (Hoa Kỳ): gửi email đăng nhập và thông báo;
• Bộ Tài chính Séc (ARES): tra cứu IČO;
• cơ quan có thẩm quyền khi pháp luật yêu cầu.

Chúng tôi đã ký hợp đồng xử lý dữ liệu (Điều 28 GDPR) với Cloudflare, Neon và Resend. Cloudflare, Neon và Resend là các công ty Hoa Kỳ hoặc thuộc tập đoàn Hoa Kỳ, nên dữ liệu có thể được truy cập từ Hoa Kỳ, kể cả khi được lưu tại EU. Với công ty đã được chứng nhận theo Khung bảo mật dữ liệu EU–Hoa Kỳ (Data Privacy Framework), việc chuyển dữ liệu dựa trên quyết định đánh giá đầy đủ của Ủy ban châu Âu (Điều 45 GDPR); trong các trường hợp khác, dựa trên các điều khoản hợp đồng mẫu của Ủy ban châu Âu (Điều 46(2)(c) GDPR). Cloudflare, Inc. tham gia Khung bảo vệ dữ liệu EU–Hoa Kỳ (EU–US Data Privacy Framework). Bạn có thể yêu cầu thông tin về cơ sở chuyển dữ liệu của từng nhà cung cấp và bản sao các điều khoản này qua hi@9uyen.com.

7. Thời gian lưu trữ

• Mã băm chống đếm trùng lượt liên hệ: tối đa 36 giờ. Giới hạn yêu cầu đăng nhập: 1 giờ.
• Gợi ý về doanh nghiệp: xóa ngay khi người vận hành xử lý xong (đã liên hệ xong hoặc từ chối), và chậm nhất 90 ngày sau khi được gửi.
• Link đăng nhập: 15 phút. Phiên đăng nhập: 30 ngày.
• Nhật ký kiểm duyệt: với tin được duyệt bình thường, đến 6 tháng sau khi tin bị xóa; với quyết định từ chối, ẩn, gỡ, chuyển giao, báo cáo và khiếu nại, 3 năm kể từ quyết định (thời hiệu khởi kiện); lâu hơn nếu đang có tranh chấp hoặc yêu cầu của cơ quan có thẩm quyền. Sau đó chúng tôi xóa thông tin liên hệ trong nhật ký.
• Báo cáo (email người báo cáo, lời nhắn, kết quả): theo dòng “Nhật ký kiểm duyệt” cho báo cáo và khiếu nại, tức 3 năm kể từ quyết định; lâu hơn nếu đang có tranh chấp hoặc yêu cầu của cơ quan có thẩm quyền. Sau đó chúng tôi xóa thông tin liên hệ.
• Dữ liệu của chủ sở hữu và người đăng tin: trong thời gian hồ sơ hoặc tin còn tồn tại và 3 năm sau khi bị xóa (thời hiệu khởi kiện).
• Nếu bạn không đăng nhập trong 12 tháng, chúng tôi xóa tài khoản và hồ sơ của bạn.
• Nhật ký kỹ thuật của Cloudflare: chỉ trong thời gian ngắn cần thiết để vận hành và bảo mật trang, theo thời hạn lưu trữ của Cloudflare; sau đó tự động bị xóa. Chúng tôi không dùng các nhật ký này để nhận diện người truy cập, trừ khi cần để điều tra sự cố bảo mật hoặc lạm dụng.

8. Quyền của bạn

Bạn có quyền yêu cầu truy cập, chỉnh sửa, xóa dữ liệu, hạn chế xử lý, phản đối việc xử lý dựa trên lợi ích chính đáng, nhận dữ liệu ở dạng có thể chuyển giao, và rút lại sự đồng ý bất cứ lúc nào. Hãy gửi yêu cầu tới hi@9uyen.com.

Bạn cũng có quyền khiếu nại tới cơ quan bảo vệ dữ liệu: Văn phòng Thanh tra Bảo vệ Dữ liệu Phần Lan (Tietosuojavaltuutetun toimisto, tietosuoja.fi) hoặc Văn phòng Bảo vệ Dữ liệu Cá nhân Séc (ÚOOÚ, uoou.gov.cz).

9. Thay đổi

Chúng tôi sẽ cập nhật chính sách này khi cách xử lý dữ liệu thay đổi. Ngày cập nhật được ghi ở đầu trang.