Chính sách bảo mật

1. Phạm vi và căn cứ

Chính sách này giải thích BuffXin thu thập những dữ liệu cá nhân nào, dùng vào việc gì, chia sẻ với ai, lưu ở đâu và trong bao lâu, cùng các quyền của bạn khi sử dụng website và ứng dụng BuffXin.

Chính sách được xây dựng theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP quy định chi tiết Luật này. BuffXin là Bên Kiểm soát dữ liệu cá nhân theo Luật Bảo vệ dữ liệu cá nhân: bên quyết định mục đích và phương tiện xử lý dữ liệu cá nhân của bạn trong phạm vi chính sách này.

2. Dữ liệu chúng tôi thu thập

2.1. Dữ liệu tài khoản

Họ tên, email và mật khẩu (chỉ lưu dạng đã băm một chiều, không ai đọc được, kể cả nhân viên BuffXin).

2.2. Dữ liệu nguồn truy cập

Tham số chiến dịch (UTM), mã nhấp quảng cáo (gclid, fbclid), trang giới thiệu (referrer), trang bạn truy cập đầu tiên và mã giới thiệu (nếu có).
Địa chỉ IP, quốc gia xác định từ địa chỉ IP và thông tin trình duyệt (user agent: loại trình duyệt, hệ điều hành, thiết bị).

Các dữ liệu này được ghi khi bạn truy cập và gắn với tài khoản khi bạn đăng ký, để biết bạn đến từ kênh nào và để phòng chống gian lận.

2.3. Dữ liệu đơn hàng và hỗ trợ

Link công khai của hồ sơ, trang hoặc bài viết bạn đặt dịch vụ, loại dịch vụ, số lượng, trạng thái và lịch sử đơn.
Nội dung yêu cầu hỗ trợ, khiếu nại và tệp đính kèm bạn gửi.

2.4. Dữ liệu thanh toán

Thông tin giao dịch nạp tiền do ngân hàng gửi về (số tiền, nội dung chuyển khoản, mã giao dịch, thời gian), lịch sử số dư, đơn hàng và hoàn tiền.
Số tài khoản và tên chủ tài khoản ngân hàng: do ngân hàng gửi kèm mỗi giao dịch nạp tiền, và do bạn cung cấp khi yêu cầu hoàn số dư.
BuffXin không thu thập và không lưu thông tin thẻ (thẻ tín dụng, thẻ ATM).

2.5. Dữ liệu phân tích

Google Analytics 4 ghi nhận cách bạn sử dụng trang: trang đã xem, lượt nhấp, thời gian truy cập, loại thiết bị và trình duyệt. Bạn có thể chặn các cookie này bằng cài đặt trình duyệt mà không ảnh hưởng đến việc sử dụng dịch vụ.

2.6. Dữ liệu chúng tôi không thu thập

Mật khẩu tài khoản mạng xã hội. Chúng tôi chỉ cần link công khai.
Dữ liệu cá nhân nhạy cảm như sức khỏe, sinh trắc học, tôn giáo, quan điểm chính trị.

3. Mục đích xử lý

Tạo và quản lý tài khoản, xác thực đăng nhập, bảo vệ tài khoản.
Xử lý đơn hàng, bảo hành (bù số lượng) và hoàn tiền.
Ghi nhận nạp tiền, đối soát số dư, hoàn số dư theo yêu cầu.
Trả lời yêu cầu hỗ trợ, giải quyết khiếu nại, gửi email về đơn hàng, giao dịch và bảo mật tài khoản.
Phòng chống gian lận, lạm dụng khuyến mãi và truy cập trái phép.
Đo lường kênh đưa người dùng đến BuffXin (dưới dạng số liệu tổng hợp).
Phân tích cách sử dụng để cải thiện sản phẩm (mục 2.5).
Gửi email giới thiệu, khuyến mãi, chỉ khi bạn chủ động đăng ký và có thể hủy bất kỳ lúc nào.
Thực hiện nghĩa vụ theo quy định pháp luật về thuế, kế toán, thương mại điện tử và yêu cầu hợp pháp của cơ quan có thẩm quyền.

Chúng tôi không dùng dữ liệu cho mục đích khác với mục đích đã nêu nếu chưa thông báo và chưa có sự đồng ý của bạn khi pháp luật yêu cầu.

4. Cơ sở xử lý và sự đồng ý

Thực hiện hợp đồng dịch vụ giữa bạn và BuffXin: dữ liệu tài khoản, đơn hàng, thanh toán, hỗ trợ.
Thực hiện nghĩa vụ pháp luật: lưu chứng từ giao dịch, trả lời yêu cầu của cơ quan có thẩm quyền.
Sự đồng ý của bạn, được hỏi riêng cho từng mục đích, ví dụ email giới thiệu. Sự đồng ý không được mặc định; im lặng hoặc không thao tác không được coi là đồng ý.

Bạn có thể rút lại sự đồng ý bất kỳ lúc nào (xem mục 8 và mục 9). Việc rút lại không ảnh hưởng đến việc xử lý đã thực hiện trước đó.

5. Chia sẻ dữ liệu và bên xử lý

BuffXin không mua bán dữ liệu cá nhân. Dữ liệu chỉ được chia sẻ ở mức cần thiết với các bên sau:

Máy chủ AWS, khu vực Singapore: vận hành hệ thống, cơ sở dữ liệu, bản sao lưu, gửi email và lưu trữ tệp.
Cloudflare: phân phối nội dung, phân giải tên miền và chống tấn công. Lưu lượng truy cập, bao gồm địa chỉ IP, đi qua mạng máy chủ của Cloudflare.
Google Analytics 4 (Google): phân tích truy cập.
Sentry: giám sát lỗi kỹ thuật (thông báo lỗi, trình duyệt, trang xảy ra lỗi), được cấu hình để không gửi kèm địa chỉ IP, cookie hay thông tin đăng nhập.
Ngân hàng và đơn vị đối soát chuyển khoản tại Việt Nam: xác nhận giao dịch nạp tiền và thực hiện hoàn tiền.
Nhà cung cấp dịch vụ bên thứ ba thực hiện đơn hàng, trong nước và nước ngoài: chỉ nhận link, số lượng và tùy chọn dịch vụ; không nhận họ tên, email hay thông tin thanh toán của bạn. Lưu ý link hồ sơ cá nhân tự nó có thể giúp nhận biết bạn.
Cơ quan nhà nước có thẩm quyền khi có yêu cầu hợp pháp.

Nếu bạn liên hệ qua Messenger hoặc Telegram, nội dung trao đổi cũng được các nền tảng đó xử lý theo chính sách riêng của họ.

6. Nơi lưu trữ và chuyển dữ liệu ra nước ngoài

Dữ liệu của BuffXin được lưu trữ trên máy chủ AWS tại Singapore. Điều này có nghĩa dữ liệu cá nhân của bạn được chuyển ra ngoài lãnh thổ Việt Nam. Dữ liệu phân tích và nhật ký lỗi cũng được xử lý trên máy chủ ngoài Việt Nam của các bên nêu tại mục 5.

Việc chuyển dữ liệu được bảo vệ bằng kết nối mã hóa, phân quyền truy cập và điều khoản xử lý dữ liệu của từng nhà cung cấp.

7. Thời gian lưu trữ

Dữ liệu tài khoản: trong thời gian tài khoản còn hoạt động và 2 năm sau khi tài khoản bị đóng.
Địa chỉ IP và dữ liệu nguồn truy cập (UTM, gclid, fbclid, referrer, quốc gia, user agent): 12 tháng kể từ khi thu thập.
Đơn hàng, giao dịch nạp tiền và hoàn tiền: theo thời hạn pháp luật về thuế, kế toán và thương mại điện tử yêu cầu, tối thiểu từ 1 đến 5 năm tùy loại hồ sơ.
Yêu cầu hỗ trợ và khiếu nại: cùng thời hạn với đơn hàng hoặc giao dịch liên quan.
Nhật ký lỗi kỹ thuật: theo thời hạn lưu trữ của dịch vụ giám sát lỗi, tối đa 90 ngày.
Cookie phân tích: theo thời hạn của từng cookie, tối đa 2 năm; bạn có thể xóa bất kỳ lúc nào trong trình duyệt.

Hết thời hạn, dữ liệu được xóa hoặc ẩn danh hóa. Bản sao lưu được lưu tối đa 12 tháng rồi ghi đè.

8. Quyền của bạn

Theo Luật Bảo vệ dữ liệu cá nhân, bạn có quyền:

Được biết về hoạt động xử lý dữ liệu của mình.
Đồng ý hoặc không đồng ý, và rút lại sự đồng ý bất kỳ lúc nào.
Xem, truy cập và yêu cầu cung cấp bản sao dữ liệu của mình.
Chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu.
Yêu cầu xóa dữ liệu, trừ dữ liệu pháp luật yêu cầu lưu giữ.
Yêu cầu hạn chế xử lý dữ liệu.
Phản đối việc xử lý, bao gồm xử lý cho mục đích quảng cáo, giới thiệu sản phẩm.
Khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định pháp luật.

Cách thực hiện

Bạn có thể tự sửa họ tên tại Cài đặt. Với các yêu cầu khác, hãy gửi yêu cầu hỗ trợ trong tài khoản hoặc email tới support@buffxin.com từ địa chỉ email đã đăng ký, ghi rõ yêu cầu. Chúng tôi có thể đề nghị xác minh để bảo đảm người yêu cầu đúng là chủ tài khoản.

Chúng tôi xác nhận đã nhận yêu cầu trong vòng 24 giờ và thực hiện trong vòng 7 ngày làm việc kể từ khi xác minh xong, trừ khi pháp luật quy định thời hạn ngắn hơn. Nếu yêu cầu cần thêm thời gian (ví dụ xóa khỏi bản sao lưu), chúng tôi báo lý do và thời điểm dự kiến hoàn tất. Trước khi xóa tài khoản, số dư chưa sử dụng được hoàn theo Điều khoản sử dụng.

9. Cookie và công nghệ tương tự

Cần thiết: duy trì đăng nhập (lưu trong bộ nhớ trình duyệt), ghi nhớ ngôn ngữ và giao diện. Nhóm này luôn bật vì trang không hoạt động được nếu thiếu.
Ghi nhận nguồn truy cập: cookie buffxin_attr lưu nguồn chiến dịch và trang giới thiệu (mục 2.2) trong 180 ngày.
Phân tích (Google Analytics 4): đo lượt truy cập và cách trang được sử dụng.

Bạn có thể xoá hoặc chặn cookie qua cài đặt trình duyệt. Việc này không ảnh hưởng đến việc đặt đơn hay sử dụng dịch vụ.

10. Bảo mật và thông báo sự cố

Mã hóa kết nối HTTPS/TLS trên toàn bộ nền tảng.
Mật khẩu được băm một chiều, không lưu dạng đọc được.
Phân quyền truy cập nội bộ theo nguyên tắc tối thiểu.
Sao lưu định kỳ và phương án khôi phục.

Không hệ thống nào an toàn tuyệt đối. Khi phát hiện vi phạm quy định bảo vệ dữ liệu cá nhân (như dữ liệu bị lộ, mất hoặc truy cập trái phép), BuffXin thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Bộ Công an) trong vòng 72 giờ kể từ khi phát hiện, và thông báo cho người dùng bị ảnh hưởng khi sự cố có thể gây hại cho quyền và lợi ích của họ.

11. Người dưới 18 tuổi

BuffXin không hướng đến người dưới 18 tuổi. Nếu phát hiện đã thu thập dữ liệu của trẻ em mà không có sự đồng ý theo quy định, chúng tôi sẽ xóa dữ liệu đó. Phụ huynh có thể liên hệ qua email bên dưới.

12. Thay đổi chính sách

Phiên bản mới được công bố trên trang này kèm ngày hiệu lực. Với thay đổi quan trọng, chúng tôi thông báo trong ứng dụng hoặc qua email. Nếu thay đổi mục đích xử lý cần sự đồng ý, chúng tôi sẽ hỏi lại bạn.

13. Liên hệ

Mọi câu hỏi và yêu cầu về dữ liệu cá nhân, vui lòng gửi qua:

Yêu cầu hỗ trợ trong tài khoản
Email: support@buffxin.com

Khiếu nại về xử lý dữ liệu được giải quyết theo Chính sách tiếp nhận và xử lý khiếu nại.