Chính sách bảo mật

HoanTien365 (“chúng tôi”, “của chúng tôi”) cam kết bảo vệ quyền riêng tư của bạn. Chính sách này mô tả cách chúng tôi thu thập, sử dụng, lưu trữ và chia sẻ thông tin cá nhân khi bạn sử dụng website HoanTien365 và ứng dụng di động HoanTien365 trên iOS / Android (gọi chung là “Dịch vụ”).

Chính sách này tuân thủ Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân của Việt Nam, Apple App Store Review Guidelines, Google Play Developer Program Policies, và các thông lệ quốc tế về quyền riêng tư (GDPR, CCPA) trong phạm vi áp dụng.

Bằng việc tạo tài khoản hoặc sử dụng Dịch vụ, bạn đồng ý với các điều khoản trong Chính sách này. Nếu bạn không đồng ý, vui lòng ngừng sử dụng Dịch vụ.

Đơn vị chịu trách nhiệm thu thập, xử lý và bảo vệ dữ liệu cá nhân theo Chính sách này là:

• Tên doanh nghiệp: CÔNG TY TNHH ĐẦU TƯ FHT
• Tên quốc tế: FHT INVESTMENT CO., LTD
• Mã số doanh nghiệp / MST: 0319577881
• D-U-N-S Number: 66-547-1858
• Ngày cấp ĐKKD: 02/06/2026, do Sở Kế hoạch và Đầu tư TP. Hồ Chí Minh cấp
• Địa chỉ trụ sở: 52/41/22/49 Đường số 8, Phường Bình Hưng Hòa, TP. Hồ Chí Minh, Việt Nam
• Người đại diện pháp luật: Hứa Mạnh Hùng (Giám đốc)
• Email liên hệ: hotrohoantien365@gmail.com
• Website: https://hoantien365.com

Chúng tôi chỉ thu thập dữ liệu cần thiết để cung cấp và cải thiện Dịch vụ:

1.1. Thông tin tài khoản

• Họ tên, địa chỉ email, số điện thoại
• Ảnh đại diện (nếu đăng nhập bằng Google)
• Mật khẩu (lưu dưới dạng mã hoá một chiều, chúng tôi không thể đọc được)
• Mã giới thiệu (referral code) bạn sử dụng hoặc được cấp

1.2. Thông tin tài chính (để hoàn tiền)

• Số tài khoản ngân hàng / ví điện tử (MoMo, ZaloPay, v.v.) khi bạn yêu cầu rút hoàn tiền
• Lịch sử giao dịch hoàn tiền của bạn trong hệ thống của chúng tôi
• Chúng tôi KHÔNG lưu trữ mật khẩu ngân hàng, mã PIN, mã OTP hay thông tin thẻ tín dụng của bạn.

1.3. Thông tin sử dụng Dịch vụ

• Lịch sử nhấp vào liên kết sản phẩm (để xác định giao dịch hợp lệ với đối tác hoàn tiền)
• Sản phẩm bạn xem, tìm kiếm, lưu vào yêu thích
• Đơn hàng phát sinh hoàn tiền và trạng thái xử lý

1.4. Thông tin thiết bị và kỹ thuật

• Loại thiết bị, hệ điều hành (iOS/Android), phiên bản ứng dụng
• Định danh thiết bị (Device ID), ngôn ngữ, múi giờ
• Địa chỉ IP, thông tin nhà mạng
• Token thông báo đẩy (push notification token) của Apple/Google/Expo
• Nhật ký lỗi và sự cố ứng dụng (crash logs) — không chứa thông tin nhạy cảm

1.5. Thông tin chúng tôi KHÔNG thu thập

• Vị trí địa lý chính xác (GPS)
• Danh bạ, lịch, ảnh trong thiết bị (trừ khi bạn chủ động chọn để upload ảnh đại diện)
• Microphone, camera (trừ khi bạn chủ động chụp/quay)
• Lịch sử duyệt web ngoài Dịch vụ

Chúng tôi sử dụng thông tin của bạn cho các mục đích sau đây và không cho mục đích nào khác:

• Cung cấp Dịch vụ: tạo tài khoản, xác thực, hiển thị hoàn tiền, xử lý yêu cầu rút tiền, gợi ý sản phẩm phù hợp.
• Liên hệ và hỗ trợ: phản hồi yêu cầu hỗ trợ, gửi email xác nhận giao dịch, thông báo về trạng thái hoàn tiền.
• Cải thiện sản phẩm: phân tích cách người dùng sử dụng ứng dụng để khắc phục lỗi và cải thiện trải nghiệm. Dữ liệu phân tích được tổng hợp và ẩn danh khi có thể.
• Bảo mật và chống gian lận: phát hiện và ngăn chặn hành vi gian lận hoàn tiền, lạm dụng dịch vụ, vi phạm điều khoản.
• Tuân thủ pháp luật: tuân thủ các nghĩa vụ thuế, kế toán, và yêu cầu hợp pháp từ cơ quan nhà nước.
• Marketing có sự đồng ý: gửi thông báo về chương trình khuyến mãi, ưu đãi mới — chỉ khi bạn đã bật nhận thông báo và bạn có thể tắt bất cứ lúc nào.

Chúng tôi không bán dữ liệu cá nhân của bạn cho bất kỳ bên thứ ba nào. Chúng tôi chỉ chia sẻ dữ liệu trong các trường hợp sau:

3.1. Nhà cung cấp dịch vụ kỹ thuật (Data Processors)

Các đối tác xử lý dữ liệu thay mặt chúng tôi, theo các thoả thuận bảo mật nghiêm ngặt:

• Supabase Inc. — lưu trữ cơ sở dữ liệu và xác thực (máy chủ tại Singapore/EU)
• Cloudflare Inc. — CDN và bảo vệ chống DDoS
• Apple Push Notification Service & Firebase Cloud Messaging — gửi thông báo đẩy
• Expo (Expo.io) — dịch vụ push notification và build ứng dụng
• Google Cloud / OAuth — đăng nhập bằng tài khoản Google
• Sentry / dịch vụ giám sát lỗi — ghi nhận crash log để khắc phục sự cố (nếu bật)

3.2. Đối tác hoàn tiền (Affiliate networks)

Khi bạn nhấp vào liên kết sản phẩm trong Dịch vụ và mua hàng tại các sàn thương mại điện tử (Shopee, Lazada, TikTok Shop, v.v.), chúng tôi có thể chia sẻ định danh ẩn danh (sub_id) với các mạng lưới affiliate (AccessTrade, Shopee Affiliate, TikTok Affiliate, v.v.) để xác nhận đơn hàng hợp lệ và nhận hoa hồng. Chúng tôi không chia sẻ tên, email, số điện thoại của bạn với các mạng lưới này.

3.3. Đối tác thanh toán

Khi bạn rút hoàn tiền, chúng tôi cung cấp thông tin tài khoản nhận tiền cho ngân hàng/ví điện tử mà bạn chỉ định.

3.4. Yêu cầu pháp lý

Chúng tôi có thể tiết lộ thông tin nếu pháp luật yêu cầu (lệnh của toà án, cơ quan thuế, công an), hoặc để bảo vệ quyền và an toàn của người dùng và của chúng tôi.

3.5. Tuân thủ Google API Services User Data Policy

Việc sử dụng và chuyển giao thông tin nhận được từ Google API tuân thủ Google API Services User Data Policy, bao gồm yêu cầu Limited Use. Chúng tôi chỉ sử dụng dữ liệu Google (tên, email, ảnh đại diện) cho mục đích đăng nhập và hiển thị hồ sơ trong ứng dụng, không sử dụng cho quảng cáo, không bán, không chia sẻ với AI/ML không liên quan đến tính năng người dùng nhìn thấy.

Ứng dụng di động chỉ yêu cầu các quyền tối thiểu cần thiết:

• Thông báo đẩy (Notifications): để gửi cập nhật về trạng thái hoàn tiền, khuyến mãi (bạn có thể tắt bất cứ lúc nào trong cài đặt thiết bị).
• Internet: để kết nối với máy chủ, hiển thị sản phẩm và xử lý giao dịch.
• Bộ nhớ / Photo library (chỉ Android, tuỳ chọn): để chọn ảnh đại diện khi bạn cập nhật hồ sơ.

Chúng tôi không yêu cầu quyền truy cập vị trí GPS, danh bạ, microphone, camera, hoặc lịch của bạn.

Chúng tôi áp dụng các biện pháp kỹ thuật và tổ chức để bảo vệ dữ liệu của bạn:

• Mã hoá đường truyền HTTPS/TLS cho toàn bộ giao tiếp giữa ứng dụng và máy chủ.
• Mật khẩu được hash bằng thuật toán một chiều (bcrypt/argon2) — chúng tôi không lưu mật khẩu rõ.
• Phân quyền truy cập nội bộ theo nguyên tắc tối thiểu (least-privilege).
• Sao lưu định kỳ và giám sát truy cập bất thường 24/7.
• Token xác thực được lưu an toàn trên thiết bị (iOS Keychain / Android EncryptedSharedPreferences).

Mặc dù đã áp dụng các biện pháp tiêu chuẩn ngành, không có hệ thống nào tuyệt đối an toàn. Trong trường hợp xảy ra sự cố ảnh hưởng đến dữ liệu cá nhân của bạn, chúng tôi sẽ thông báo trong vòng 72 giờ kể từ khi phát hiện, theo Nghị định 13/2023/NĐ-CP.

Bạn có các quyền sau theo Nghị định 13/2023/NĐ-CP và GDPR (nếu áp dụng):

• Quyền truy cập: xem các dữ liệu chúng tôi đang lưu về bạn (ngay trong ứng dụng, mục Tài khoản).
• Quyền chỉnh sửa: cập nhật thông tin không chính xác (trong mục Tài khoản hoặc liên hệ chúng tôi).
• Quyền xoá: yêu cầu xoá tài khoản và toàn bộ dữ liệu (xem Mục 7).
• Quyền hạn chế xử lý: yêu cầu chúng tôi tạm dừng sử dụng dữ liệu của bạn.
• Quyền rút lại sự đồng ý: bất cứ lúc nào, qua cài đặt hoặc liên hệ với chúng tôi.
• Quyền chuyển dữ liệu (data portability): yêu cầu xuất dữ liệu cá nhân của bạn ở định dạng máy đọc được (JSON/CSV).
• Quyền khiếu nại: tới Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) — Bộ Công an Việt Nam.

Để thực hiện các quyền này, vui lòng gửi yêu cầu đến email hotrohoantien365@gmail.com. Chúng tôi sẽ phản hồi trong vòng 72 giờ và xử lý hoàn tất trong vòng 30 ngày.

Bạn có thể xoá tài khoản theo một trong ba cách sau:

• Trong ứng dụng di động: Tài khoản → Cài đặt → Xoá tài khoản.
• Trên website: đăng nhập tại HoanTien365 → Hồ sơ → Xoá tài khoản.
• Qua email: gửi yêu cầu đến hotrohoantien365@gmail.com từ địa chỉ email đã đăng ký.

Sau khi xoá tài khoản, dữ liệu cá nhân của bạn sẽ được xoá vĩnh viễn khỏi hệ thống trong vòng 30 ngày, ngoại trừ các dữ liệu chúng tôi bắt buộc phải lưu theo pháp luật (chứng từ thuế, hồ sơ kế toán giữ trong 10 năm theo Luật Kế toán Việt Nam).

• Dữ liệu tài khoản và hồ sơ: trong suốt thời gian tài khoản tồn tại + 30 ngày sau khi xoá.
• Lịch sử giao dịch hoàn tiền: 5 năm theo quy định lưu trữ chứng từ tài chính.
• Crash logs và logs kỹ thuật: 90 ngày.
• Dữ liệu marketing (email, push): cho đến khi bạn rút lại sự đồng ý.

Dịch vụ không hướng đến và không được thiết kế cho trẻ em dưới 13 tuổi (theo COPPA, Hoa Kỳ) hoặc dưới 16 tuổi (theo GDPR và Luật Trẻ em Việt Nam). Chúng tôi không cố ý thu thập dữ liệu của trẻ em ở các độ tuổi này.

Nếu chúng tôi phát hiện đã vô tình thu thập dữ liệu của trẻ em chưa đủ tuổi mà không có sự đồng ý xác minh được của cha mẹ/người giám hộ, chúng tôi sẽ xoá dữ liệu đó ngay lập tức. Phụ huynh có thể liên hệ hotrohoantien365@gmail.com để yêu cầu xoá.

Trên website, chúng tôi sử dụng các loại cookie sau:

• Cookie thiết yếu: đăng nhập, giỏ hàng, bảo mật phiên — không thể tắt.
• Cookie chức năng: ghi nhớ ngôn ngữ, chủ đề giao diện.
• Cookie phân tích: đo lường lưu lượng truy cập (ẩn danh hoặc tổng hợp).
• Cookie affiliate: ghi nhận nguồn truy cập sản phẩm để tính hoàn tiền (sub_id ngắn hạn, không định danh cá nhân).

Trên ứng dụng di động, chúng tôi không sử dụng cookie và không tham gia tracking cross-app theo định nghĩa của Apple App Tracking Transparency (ATT). Do đó ứng dụng không hiện hộp thoại “Allow Tracking”.

Khi bạn cho phép, ứng dụng gửi thông báo đẩy về trạng thái hoàn tiền, đơn hàng và khuyến mãi. Token thông báo được lưu trên máy chủ của chúng tôi và Expo Push Service. Bạn có thể tắt thông báo bất cứ lúc nào trong cài đặt thiết bị (iOS Settings → Notifications, hoặc Android Settings → Apps → Notifications).

Một số nhà cung cấp dịch vụ kỹ thuật (Supabase, Cloudflare, Google) có máy chủ đặt ngoài Việt Nam (Singapore, Mỹ, EU). Việc chuyển dữ liệu này tuân thủ Nghị định 13/2023/NĐ-CP. Chúng tôi đảm bảo các đối tác này áp dụng tiêu chuẩn bảo vệ dữ liệu tương đương hoặc cao hơn quy định Việt Nam.

Chúng tôi có thể cập nhật Chính sách này theo thời gian. Khi có thay đổi quan trọng (ví dụ: thêm bên thứ ba mới, thay đổi mục đích sử dụng dữ liệu), chúng tôi sẽ thông báo qua email hoặc thông báo trong ứng dụng ít nhất 30 ngày trước khi áp dụng. Việc bạn tiếp tục sử dụng Dịch vụ sau khi cập nhật có hiệu lực được coi là chấp nhận chính sách mới.

Lịch sử cập nhật được hiển thị tại trang này (xem dòng “Cập nhật lần cuối” ở đầu trang).