Bỏ qua đến nội dung chính

Chính sách bảo mật

Phiên bản 3.2, cập nhật 06/09/2026

HuHa cam kết bảo vệ dữ liệu cá nhân của bạn. Chính sách này tuân thủ Nghị định 13/2023/NĐ-CP của Việt Nam và GDPR của EU.

1. Phạm vi áp dụng

Chính sách áp dụng cho toàn bộ dịch vụ HuHa: ứng dụng di động, website huha.online, API và các dịch vụ liên quan. Khi bạn tạo tài khoản là đã đồng ý với chính sách này.

2. Dữ liệu chúng tôi thu thập

  • Định danh

    Ví dụ
    Tên, email, userId HUxxxxx, avatar
    Cơ sở pháp lý
    Thực hiện hợp đồng

  • Xác thực

    Ví dụ
    Mật khẩu đã băm một chiều, mã xác thực Google, mã phiên đăng nhập
    Cơ sở pháp lý
    Lợi ích hợp pháp: bảo mật

  • Hoạt động

    Ví dụ
    Công việc đã tạo, lần cuối trực tuyến, địa chỉ IP khi đăng nhập
    Cơ sở pháp lý
    Lợi ích hợp pháp: chống spam

  • Kỹ thuật

    Ví dụ
    Mã thiết bị, hệ điều hành, trình duyệt, múi giờ
    Cơ sở pháp lý
    Tuân thủ pháp luật: lưu nhật ký 2 năm

  • Thanh toán

    Ví dụ
    Mã giao dịch, không lưu số thẻ
    Cơ sở pháp lý
    Thực hiện hợp đồng
KHÔNG thu thập: CMND/CCCD, danh bạ máy, SMS, ảnh/video trong máy, sinh trắc học, vị trí GPS chính xác. Số điện thoại xác thực (nếu bạn đồng ý 2 bước) chỉ lưu sha256(số) và 4 số cuối — không lưu số trần.

3. Mục đích sử dụng

  • Cung cấp dịch vụ: Đăng nhập, tạo công việc, sync đa thiết bị, thông báo
  • Bảo mật: Phát hiện đăng nhập lạ, chống DDOS, rate limit 60s/email
  • Cải thiện sản phẩm: Phân tích ẩn danh để tối ưu UX, không định danh cá nhân
  • Thanh toán VIP: Mã giao dịch, gói đã mua, thời hạn — chỉ để kích hoạt quyền lợi và hỗ trợ hoàn tiền
  • Pháp lý: Lưu nhật ký theo NĐ 72/2013, cung cấp cho cơ quan nhà nước khi có lệnh

4. Chia sẻ dữ liệu

Google Firebase (Singapore)
Lưu trữ, xác thực, push notification. Tuân thủ GDPR, ISO 27001, SOC 2.
Vercel (Mỹ/EU)
Hosting website. DPA ký theo SCC của EU.
Đối tác thanh toán (VN)
Xử lý giao dịch VIP qua cổng thanh toán được cấp phép. HuHa không lưu số thẻ đầy đủ.
Cơ quan nhà nước
Chỉ khi có văn bản hợp pháp từ Bộ TTTT, Bộ Công an.
CAM KẾT: Không bán, không cho thuê, không chia sẻ dữ liệu cho bên quảng cáo. Không dùng Facebook Pixel, Google Analytics.

5. Bảo mật kỹ thuật

  • Mã hóa khi truyền và khi lưu trữ theo chuẩn hiện hành
  • Mật khẩu được băm một chiều, không thể giải ngược
  • Xác thực hai lớp tùy chọn. Phiên đăng nhập hết hạn sau 7 ngày
  • Giới hạn thử: sai 3 lần trong 30 giây sẽ khóa tạm, mỗi email cách nhau 60 giây
  • Sao lưu mã hóa hằng ngày tại Singapore, khôi phục trong 4 giờ
  • Kiểm thử bảo mật định kỳ 6 tháng, nhận báo lỗi bảo mật qua email DPO

6. Thời gian lưu trữ

Tài khoản hoạt độngĐến khi bạn xóa
Sau khi xóa tài khoảnẨn ngay, xóa bản sao lưu sau 30 ngày
Log bảo mật2 năm theo NĐ 72/2013
Tài khoản không hoạt động2 năm → mail nhắc → xóa sau 30 ngày

7. Quyền của bạn theo NĐ 13/2023

Quyền truy cập & sao chép: Vào Cài đặt → Quyền riêng tư để tải bản sao dữ liệu. Thông tin nhạy cảm được ẩn trong bản sao.
Quyền chỉnh sửa: Sửa tên, ảnh đại diện trực tiếp trong ứng dụng
Quyền xóa: Cài đặt → Quyền riêng tư → Xóa tài khoản. Danh bạ đã đồng bộ và số điện thoại được xóa, hồ sơ được ẩn danh.Đăng xuất mọi nơi: Đăng xuất khỏi mọi thiết bị, thu hồi mã đăng nhập và xóa danh bạ đã đồng bộ.
Quyền hạn chế xử lý: Tắt "Cho phép phân tích ẩn danh" trong Cài đặt
Quyền khiếu nại: Gửi Cục An toàn thông tin, Bộ TTTT nếu HuHa vi phạm

8. Cookie và bộ nhớ trình duyệt

HuHa chỉ dùng:

  • Cookie bắt buộc: để duy trì đăng nhập. Không có cookie quảng cáo
  • Bộ nhớ trình duyệt: email gần nhất, giao diện, ghi nhớ đăng nhập để dùng mượt hơn
  • Không dùng: Google Analytics, Facebook Pixel, TikTok Pixel

9. Chuyển dữ liệu quốc tế

Server chính đặt tại Singapore (Firebase). Khi bạn truy cập từ VN, dữ liệu đi qua đường truyền quốc tế được mã hóa. Chúng tôi ký SCC với Google theo quyết định của Ủy ban EU, đảm bảo mức bảo vệ tương đương GDPR.

10. Trẻ em

Bạn phải từ 18 tuổi trở lên. HuHa không phục vụ người dưới 18. Nếu phát hiện tài khoản dưới 18, chúng tôi thu hồi phiên và xóa trong 24 giờ khi phụ huynh/DPO yêu cầu.

11. Liên hệ DPO - Kiểm soát viên dữ liệu

Đơn vị kiểm soát: Nguyễn Quốc Mạnh, HuHa

Hotline: 0359872122 (8h-22h)

Email DPO: admin@huha.online

Địa chỉ: TP. Hồ Chí Minh, Việt Nam

Thời gian phản hồi: 72h làm việc cho yêu cầu xóa/sửa. 30 ngày cho yêu cầu phức tạp theo NĐ 13.

Thay đổi chính sách: Khi cập nhật, chúng tôi thông báo qua email + banner trong ứng dụng 30 ngày trước khi áp dụng. Tiếp tục dùng HuHa nghĩa là đồng ý phiên bản mới.

Hiệu lực: Từ 06/09/2026. Thay thế mọi phiên bản trước.

Chính sách bảo mật | HuHa