Chính sách bảo mật

NexLabs (“Dịch vụ”, sau đây gọi là “chúng tôi”) là nền tảng quản lý hội thoại bán hàng đa kênh, chạy tại nexlabs.vn và sale.nexlabs.vn. Dịch vụ do một đội ngũ xây dựng và vận hành.

Chính sách này áp dụng cho mọi người sử dụng Dịch vụ và cho dữ liệu của khách hàng cuối được xử lý qua Dịch vụ. Nếu bạn không đồng ý với chính sách này, xin đừng sử dụng Dịch vụ.

Mọi liên hệ về quyền riêng tư và dữ liệu cá nhân, xin gửi về [email protected].

1. Hai vai trò khác nhau — và vì sao bạn cần phân biệt

Dịch vụ xử lý hai loại dữ liệu hoàn toàn khác nhau về mặt trách nhiệm. Nhầm hai loại này là nguồn gốc của gần như mọi hiểu lầm về nghĩa vụ pháp lý, nên chúng tôi tách ngay từ đầu:

• Dữ liệu tài khoản của bạn. Email, tên đăng nhập, tên hiển thị, thông tin gói dịch vụ. Với dữ liệu này chúng tôi là bên quyết định mục đích và cách xử lý, và chịu trách nhiệm trực tiếp với bạn.
• Dữ liệu hội thoại và khách hàng cuối của bạn. Tin nhắn khách gửi cho bạn, số điện thoại, địa chỉ giao hàng, tệp đính kèm. Với dữ liệu này bạn là bên quyết định, còn chúng tôi chỉ xử lý theo yêu cầu của bạn để cung cấp Dịch vụ. Chúng tôi không tự ý dùng dữ liệu đó vào bất kỳ mục đích nào của riêng mình.

Hệ quả thực tế: nghĩa vụ thông báo và xin đồng ý của khách hàng cuối thuộc về bạn, không thuộc về chúng tôi. Xem thêm mục 11.

2. Dữ liệu chúng tôi thu thập

2.1. Dữ liệu tài khoản và đăng nhập

• Địa chỉ email, tên đăng nhập, tên hiển thị và ảnh đại diện (nếu bạn đặt).
• Mật khẩu ở dạng giá trị băm — chúng tôi không lưu và không có cách nào đọc được mật khẩu gốc của bạn.
• Nếu bạn đăng nhập bằng Google: mã định danh tài khoản Google, email, trạng thái đã xác minh email, tên hiển thị và ảnh đại diện do Google cung cấp.
• Thông tin tổ chức và không gian làm việc bạn tạo, danh sách thành viên, vai trò và quyền.

2.2. Dữ liệu hội thoại và khách hàng cuối

Đây là phần lớn nhất và nhạy cảm nhất. Khi bạn kết nối một kênh, chúng tôi nhận và lưu:

• Nội dung tin nhắn theo cả hai chiều, kèm thời điểm, người gửi và trạng thái gửi/nhận. Nội dung tin còn được đánh chỉ mục để phục vụ tìm kiếm trong hộp thư.
• Tệp đính kèm: ảnh, video, âm thanh và tài liệu khách gửi, kèm tên tệp gốc, kiểu tệp và dung lượng.
• Hồ sơ khách hàng: tên hiển thị, ảnh đại diện, số điện thoại, địa chỉ email, nhãn phân loại và ghi chú do đội của bạn viết.
• Danh tính theo từng kênh: mã định danh người dùng do nền tảng cấp (ví dụ PSID của Facebook, UID của Zalo) cùng thông tin hồ sơ công khai mà nền tảng trả về. Các mã này chỉ có nghĩa trong phạm vi một kết nối, không phải định danh dùng chung giữa các kênh.
• Đơn hàng bạn tạo trong hội thoại: danh sách sản phẩm, số tiền, và địa chỉ giao hàng nếu bạn nhập — gồm tên người nhận, số điện thoại, địa chỉ, phường/xã, quận/huyện, tỉnh/thành.
• Dữ liệu thô từ nền tảng: nội dung nguyên bản của mỗi lượt gọi mà nền tảng gửi tới, giữ lại để đối soát khi có nghi ngờ mất tin hoặc xử lý sai.

2.3. Dữ liệu kỹ thuật và nhật ký bảo mật

• Phiên đăng nhập: chuỗi mô tả trình duyệt/thiết bị, thời điểm tạo và lần hoạt động gần nhất, để bạn xem và thu hồi được phiên lạ.
• Sự kiện bảo mật: đăng nhập thất bại, phát hiện dùng lại token, phiên bị thu hồi, đặt lại mật khẩu.
• Trong hai loại trên, địa chỉ IP và email được lưu ở dạng băm có khoá, không bao giờ ở dạng nguyên bản. Chúng tôi so khớp được nhưng không đọc ngược ra được.
• Nhật ký thao tác trong không gian làm việc: ai đã làm gì, lúc nào, trên đối tượng nào. Nhật ký này không chứa nội dung tin nhắn.

2.4. Dữ liệu của kênh Zalo cá nhân

Nếu bạn bật kênh Zalo cá nhân, chúng tôi lưu thêm phiên đăng nhập của chính tài khoản Zalo đó ở dạng đã mã hoá, cùng danh sách bạn bè và thông tin nhóm mà tài khoản đó truy cập được. Đây là kênh không chính thức và mang rủi ro riêng — đọc kỹ mục 4 của điều khoản sử dụng trước khi bật.

2.5. Chúng tôi không thu thập

• Thông tin thẻ ngân hàng — Dịch vụ chưa có cổng thanh toán trực tuyến.
• Vị trí địa lý chính xác của bạn hoặc của khách hàng cuối.
• Dữ liệu nhạy cảm theo phân loại của pháp luật (quan điểm chính trị, tôn giáo, sức khoẻ, sinh trắc học…). Chúng tôi không hỏi và không có trường nào để lưu chúng. Nếu bạn hoặc khách của bạn tự nhập dữ liệu như vậy vào ô tin nhắn hay ô ghi chú thì nó nằm trong nội dung hội thoại, và trách nhiệm với dữ liệu đó thuộc về bạn.
• Hành vi duyệt web của bạn ở ngoài phạm vi Dịch vụ.

3. Chúng tôi dùng dữ liệu vào việc gì

• Cung cấp Dịch vụ: nhận tin nhắn về hộp thư, gửi trả lời đi, lưu trữ và hiển thị lịch sử hội thoại, quản lý hồ sơ khách và đơn hàng.
• Bảo mật tài khoản: xác thực, phát hiện đăng nhập bất thường, chặn dò mật khẩu, cho bạn xem và thu hồi phiên lạ.
• Vận hành và sửa lỗi: khi bạn báo sự cố, chúng tôi tra nhật ký kỹ thuật để tìm nguyên nhân.
• Tính hạn mức và thanh toán: đếm số không gian làm việc, số người dùng và số kênh của tổ chức bạn.
• Liên lạc với bạn: email xác minh tài khoản, đặt lại mật khẩu, lời mời thành viên, và thông báo về thay đổi quan trọng của Dịch vụ.

4. Chúng tôi cam kết KHÔNG làm

Bốn điều dưới đây là cam kết, không phải chính sách hiện hành có thể đổi lặng lẽ:

• Không bán, cho thuê hay trao đổi dữ liệu của bạn cho bất kỳ bên thứ ba nào.
• Không dùng nội dung tin nhắn hay thông tin liên hệ của khách hàng bạn để huấn luyện mô hình, làm phân tích ngoài phạm vi phục vụ chính bạn, hay làm quảng cáo.
• Không đọc hội thoại của bạn ngoài trường hợp bạn trực tiếp yêu cầu hỗ trợ và mô tả một sự cố cụ thể, hoặc khi buộc phải làm theo yêu cầu hợp pháp của cơ quan có thẩm quyền.
• Không dùng dữ liệu của một tổ chức để phục vụ tổ chức khác dưới bất kỳ hình thức nào, kể cả thống kê tổng hợp.

5. Bảo mật — những gì đã thực sự được cài đặt

Mục này chỉ liệt kê cơ chế đã có trong hệ thống và có kiểm thử tự động. Những gì chưa có nằm ở mục 6.

5.1. Cách ly dữ liệu giữa các tổ chức

• Mọi bảng nghiệp vụ đều gắn với một không gian làm việc, và cơ sở dữ liệu bật bảo vệ ở mức dòng dữ liệu ở chế độ cưỡng chế — nghĩa là một truy vấn không khai báo đúng không gian làm việc sẽ trả về không dòng nào, chứ không phải trả nhầm dữ liệu của tổ chức khác.
• Ứng dụng kết nối cơ sở dữ liệu bằng năm tài khoản riêng biệt theo từng loại công việc (xác thực, nghiệp vụ, xử lý nền, nhận webhook, vận hành nền tảng). Không tài khoản nào trong số đó có quyền bỏ qua lớp bảo vệ trên, và quyền của mỗi tài khoản được đặt lại đúng như khai báo trong mỗi lần triển khai.
• Tài khoản dùng cho các trang vận hành nền tảng không có quyền đọc nội dung tin nhắn, hồ sơ khách hay thông tin đăng nhập kênh.

5.2. Mật khẩu và phiên đăng nhập

• Mật khẩu băm bằng Argon2id với tham số theo khuyến nghị của OWASP, kèm một khoá bí mật phía máy chủ.
• Đăng nhập sai luôn tốn đúng một lượng thời gian như đăng nhập vào tài khoản có thật, để không lộ tài khoản nào tồn tại qua tốc độ phản hồi.
• Vé truy cập có hiệu lực 15 phút; vé làm mới lưu trong cookie chỉ máy chủ đọc được, hiệu lực 30 ngày, và xoay vòng sau mỗi lần dùng.
• Nếu một vé làm mới đã dùng bị đem dùng lại — dấu hiệu của việc bị đánh cắp — toàn bộ chuỗi phiên đó bị thu hồi và người dùng phải đăng nhập lại.
• Cơ sở dữ liệu chỉ lưu giá trị băm của vé làm mới, không lưu vé gốc.
• Đăng nhập, đăng ký và làm mới phiên đều bị giới hạn số lần trong mỗi phút, theo cả địa chỉ truy cập lẫn tài khoản.

5.3. Thông tin đăng nhập kênh

• Token và khoá của các nền tảng được mã hoá AES-256-GCM theo từng trường trước khi ghi xuống cơ sở dữ liệu, mỗi lần ghi dùng một số ngẫu nhiên riêng.
• Dữ liệu mã hoá được ràng buộc vào đúng tổ chức và đúng kết nối: nếu ai đó chép khối mã hoá sang một dòng khác, nó không giải mã được chứ không phải giải mã ra cho sai người.
• Khoá mã hoá có đánh số phiên bản, cho phép đổi khoá mà không phải giải mã lại toàn bộ trong một lần.
• Thiếu khoá thì hệ thống từ chối khởi động, thay vì chạy tiếp mà không mã hoá.

5.4. Tệp đính kèm

• Kho lưu tệp luôn ở chế độ riêng tư. Không có đường dẫn công khai nào tới tệp của bạn.
• Mỗi lần xem tệp, hệ thống cấp một đường dẫn tạm sống 60 giây, sau khi đã kiểm tra quyền của người yêu cầu. Đường dẫn tạm không được ghi vào nhật ký.
• Mọi từ chối đều trả về cùng một kết quả “không tìm thấy”, để không lộ ra rằng một tệp có tồn tại nhưng thuộc tổ chức khác.
• Tệp tải về từ nền tảng bị chặn ở 25 MiB, và kiểu tệp được xác định bằng chính nội dung tệp chứ không tin phần mở rộng hay khai báo của bên gửi. Ảnh, video, âm thanh và tài liệu văn phòng phổ biến được chấp nhận; tệp thực thi, tệp nén và SVG/HTML bị từ chối.
• Khi tải tệp về, hệ thống chặn các đường dẫn trỏ vào mạng nội bộ và ghim kết nối vào đúng địa chỉ đã kiểm tra, để một đường dẫn độc hại không lừa được máy chủ đi gọi vào hạ tầng bên trong.

5.5. Nhật ký

Nhật ký hệ thống không ghi nội dung tin nhắn, số điện thoại, email, địa chỉ, token hay mật khẩu. Các trường nhạy cảm bị che tự động trước khi ghi.

6. Những gì chúng tôi CHƯA có

Mục này tồn tại vì một chính sách bảo mật chỉ kể phần đã làm được là một chính sách gây hiểu lầm. Nếu một trong các điểm dưới đây là điều kiện bắt buộc với tổ chức của bạn, xin cân nhắc trước khi đưa dữ liệu thật vào Dịch vụ.

• Chưa có xác thực hai lớp. Bảo vệ tài khoản hiện dựa vào mật khẩu, giới hạn số lần thử và cơ chế thu hồi phiên.
• Chưa có cơ chế tự động xoá dữ liệu theo thời hạn. Dữ liệu hội thoại, khách hàng, đơn hàng và tệp đính kèm hiện được giữ cho tới khi bạn yêu cầu xoá. Chúng tôi cố ý không ghi một mốc thời gian ở đây, vì hệ thống chưa có gì thực thi mốc đó.
• Chưa có nút tự phục vụ để xuất hoặc xoá toàn bộ dữ liệu. Yêu cầu ở mục 9 hiện được chúng tôi xử lý thủ công.
• Chưa có quy trình sao lưu và khôi phục thảm hoạ đã được diễn tập. Chúng tôi không công bố mục tiêu thời gian khôi phục, vì công bố một con số chưa từng được kiểm chứng còn tệ hơn không công bố gì.
• Chưa có quét mã độc cho tệp đính kèm. Bù lại, danh sách kiểu tệp được chấp nhận cố tình giữ hẹp và tệp tài liệu luôn buộc tải xuống thay vì mở trong trình duyệt.
• Chưa có cam kết mức dịch vụ. Hệ thống hiện chưa có đủ công cụ đo để nói một con số về thời gian hoạt động, nên chúng tôi không đưa ra con số nào. Xem thêm mục 8 của điều khoản sử dụng.
• Số điện thoại và email trong hồ sơ khách hàng được lưu ở dạng thường, không mã hoá theo trường, vì hộp thư cần tìm kiếm theo chúng. Chúng được bảo vệ bằng lớp cách ly ở mục 5.1 và không bao giờ xuất hiện trong nhật ký.

7. Bên thứ ba tham gia xử lý dữ liệu

Để cung cấp Dịch vụ, dữ liệu của bạn đi qua một số bên thứ ba. Chúng tôi không dùng thêm bên nào ngoài danh sách này cho mục đích quảng cáo hay phân tích:

• Các nền tảng nhắn tin bạn chủ động kết nối — Facebook/Meta, Instagram, Zalo, Telegram, LINE, WhatsApp, Slack, và các sàn thương mại điện tử. Tin nhắn đi qua hạ tầng của họ và chịu chính sách riêng của họ; chúng tôi không thay đổi được điều đó.
• Cloudflare — nhận và chuyển tiếp truy cập tới Dịch vụ, và lưu trữ tệp đính kèm.
• Google — chỉ khi bạn chọn đăng nhập bằng tài khoản Google.
• Nhà cung cấp gửi email giao dịch — để gửi thư xác minh tài khoản, đặt lại mật khẩu và lời mời thành viên.
• Nhà cung cấp hạ tầng máy chủ và công cụ triển khai — nơi hệ thống chạy và nơi lưu mã nguồn cùng các bản dựng.

8. Nơi dữ liệu được lưu trữ

Hệ thống chạy trên hạ tầng máy chủ do chúng tôi tự vận hành, truy cập công khai đi qua Cloudflare, và tệp đính kèm nằm trong kho lưu trữ đối tượng riêng tư. Cơ sở dữ liệu không mở cổng ra Internet.

Một phần hạ tầng đặt ngoài lãnh thổ Việt Nam. Nếu tổ chức của bạn có yêu cầu cụ thể về vị trí lưu trữ dữ liệu, xin viết thư trước khi đưa dữ liệu thật vào Dịch vụ và chúng tôi sẽ trả lời chính xác về cấu hình hiện tại thay vì đưa một câu chung chung ở đây.

9. Thời gian lưu trữ

• Dữ liệu hội thoại, khách hàng, đơn hàng và tệp đính kèm: giữ trong suốt thời gian tài khoản của bạn còn hoạt động, và cho tới khi bạn yêu cầu xoá. Như đã nói ở mục 6, hiện chưa có cơ chế tự động xoá theo thời hạn.
• Vé làm mới phiên và token lời mời: chỉ lưu dạng băm, tự hết hạn theo thời gian đã đặt.
• Nội dung email đã gửi: xoá khỏi hàng đợi ngay sau khi gửi xong.
• Nhật ký thao tác và sự kiện bảo mật: giữ để phục vụ điều tra sự cố, không chứa nội dung tin nhắn.

Lưu ý về tin nhắn thu hồi: khi một tin bị thu hồi trên nền tảng gốc, Dịch vụ ẩn nội dung tin đó khỏi hộp thư, khỏi kết quả tìm kiếm và khỏi mọi đường dẫn tệp kèm theo. Nội dung vẫn còn trong cơ sở dữ liệu cho tới khi dữ liệu của bạn được xoá — chúng tôi nói rõ điều này thay vì để bạn hiểu rằng thu hồi là xoá vĩnh viễn.

10. Quyền của bạn và cách thực hiện

Theo pháp luật Việt Nam về bảo vệ dữ liệu cá nhân, bạn và khách hàng cuối của bạn có quyền được biết, truy cập, chỉnh sửa, xoá, hạn chế xử lý, phản đối xử lý và rút lại sự đồng ý.

Một số quyền bạn tự thực hiện được ngay trong ứng dụng:

• Xem và sửa hồ sơ khách hàng, ghi chú và nhãn.
• Xem danh sách phiên đăng nhập của mình và thu hồi phiên bạn không nhận ra.
• Ngắt kết nối một kênh bất cứ lúc nào.
• Xuất danh sách đơn hàng ra tệp CSV.

Các yêu cầu còn lại — xuất toàn bộ dữ liệu, xoá tài khoản, xoá dữ liệu của một khách hàng cụ thể — hiện được xử lý thủ công. Gửi thư về [email protected] và nói rõ bạn là chủ tài khoản hay là người được nhắn tin tới, cùng yêu cầu cụ thể. Chúng tôi xác minh danh tính trước khi thực hiện, để một yêu cầu xoá giả mạo không phá được dữ liệu của bạn.

Nếu bạn cho rằng chúng tôi xử lý dữ liệu không đúng, xin liên hệ trước để chúng tôi có cơ hội sửa. Bạn cũng có quyền khiếu nại tới cơ quan nhà nước có thẩm quyền về bảo vệ dữ liệu cá nhân.

11. Trách nhiệm của bạn với khách hàng cuối

Với tin nhắn và thông tin khách hàng của bạn, bạn là bên quyết định mục đích xử lý. Điều đó có nghĩa:

• Bạn chịu trách nhiệm thông báo cho khách hàng của mình về việc thu thập, xử lý dữ liệu và lấy sự đồng ý khi pháp luật yêu cầu.
• Bạn chịu trách nhiệm về nội dung mà đội của bạn nhập vào hệ thống, kể cả ghi chú nội bộ về khách hàng.
• Khi khách hàng của bạn yêu cầu xoá dữ liệu, yêu cầu đó tới bạn trước; chúng tôi hỗ trợ bạn thực hiện.
• Bạn chỉ nên cấp cho mỗi nhân viên phạm vi dữ liệu vừa đủ để làm việc. Hệ thống có sẵn công cụ giới hạn phạm vi này — dùng nó là việc của bạn.

12. Trẻ em

Dịch vụ dành cho hoạt động kinh doanh và không hướng tới người dưới 16 tuổi. Chúng tôi không chủ động thu thập dữ liệu của trẻ em. Nếu bạn phát hiện dữ liệu của trẻ em được đưa vào hệ thống mà không có sự đồng ý hợp lệ, xin báo cho chúng tôi để xử lý.

13. Sự cố dữ liệu

Nếu xảy ra sự cố làm lộ dữ liệu cá nhân, chúng tôi sẽ thông báo cho các tài khoản bị ảnh hưởng qua email đăng ký, mô tả phạm vi ảnh hưởng theo mức chúng tôi xác định được, và nói rõ việc bạn nên làm. Chúng tôi không hứa một khung thời gian cố định ở đây, vì thời gian điều tra phụ thuộc vào bản chất sự cố; điều chúng tôi cam kết là không im lặng.