1. Bên kiểm soát dữ liệu
AtomicHabitLife
Bên Kiểm soát dữ liệu cá nhân (Data Controller)
Nghị định 13/2023/NĐ-CP · Luật ATTTM 2015
2. Dữ liệu chúng tôi thu thập
Chúng tôi thu thập các loại dữ liệu sau đây theo định nghĩa của Nghị định 13/2023/NĐ-CP:
| Loại dữ liệu | Ví dụ | Mục đích |
|---|---|---|
| Thông tin danh tính | Họ tên, ảnh đại diện | Hiển thị hồ sơ |
| Thông tin liên hệ | Địa chỉ email | Xác thực, thông báo |
| Dữ liệu sử dụng | Check-in, streak, thói quen | Cung cấp dịch vụ |
| Nội dung cá nhân | Nhật ký, ghi chú, tầm nhìn | Lưu trữ theo yêu cầu |
| Dữ liệu kỹ thuật | IP, múi giờ, thiết bị | Bảo mật, phân tích |
3. Mục đích và cơ sở xử lý dữ liệu
Theo Điều 17 Nghị định 13/2023/NĐ-CP, chúng tôi xử lý dữ liệu của bạn dựa trên các cơ sở pháp lý sau:
Bạn đã đồng ý khi đăng ký tài khoản. Bạn có thể rút đồng ý bất kỳ lúc nào.
- •Gửi email thông báo tuỳ chỉnh
- •Phân tích hành vi sử dụng để cải thiện sản phẩm
- •Gợi ý thói quen bằng AI dựa trên dữ liệu của bạn
Cần thiết để cung cấp dịch vụ bạn đã đăng ký.
- •Tạo và quản lý tài khoản
- •Lưu trữ và đồng bộ thói quen, nhật ký
- •Xác thực danh tính và bảo mật
Khi pháp luật yêu cầu lưu trữ hoặc cung cấp dữ liệu.
- •Tuân thủ yêu cầu của cơ quan nhà nước có thẩm quyền
- •Phòng ngừa và xử lý hành vi gian lận, vi phạm pháp luật
4. Chia sẻ và chuyển giao dữ liệu
Chúng tôi không bán dữ liệu cá nhân của bạn cho bên thứ ba. Dữ liệu chỉ được chia sẻ trong các trường hợp sau:
Google LLC
Bên xử lý dữ liệu (Data Processor)
Xác thực Google OAuth, lưu trữ ảnh đại diện, AI Gemini Flash API (gợi ý thói quen). Dữ liệu được xử lý tại Hoa Kỳ.
Nhà cung cấp hạ tầng (Cloud)
Bên xử lý dữ liệu
Dịch vụ lưu trữ server, cơ sở dữ liệu PostgreSQL. Hợp đồng xử lý dữ liệu (DPA) được ký kết với tất cả nhà cung cấp.
Chuyển dữ liệu xuyên biên giới: Một số dịch vụ của chúng tôi (Google OAuth, Gemini AI) xử lý dữ liệu tại Hoa Kỳ. Việc chuyển giao này được thực hiện với các biện pháp bảo vệ thích hợp theo Điều 25 Nghị định 13/2023/NĐ-CP và tuân thủ cơ chế SCCs (Standard Contractual Clauses).
5. Thời gian lưu trữ dữ liệu
| Loại dữ liệu | Thời gian lưu trữ | Lý do |
|---|---|---|
| Dữ liệu tài khoản | Cho đến khi xóa tài khoản | Cần thiết để cung cấp dịch vụ |
| Nhật ký & thói quen | Cho đến khi bạn xóa | Dữ liệu thuộc quyền sở hữu của bạn |
| Nhật ký truy cập (logs) | 90 ngày | Bảo mật và phát hiện xâm nhập |
| Dữ liệu sau khi xóa tài khoản | 30 ngày (ẩn danh sau đó) | Khôi phục nếu có yêu cầu |
6. Quyền của chủ thể dữ liệu
Theo Chương III Nghị định 13/2023/NĐ-CP, bạn có đầy đủ các quyền sau đây:
Quyền được biết (Điều 9)
Biết hoạt động xử lý dữ liệu cá nhân của mình
Quyền đồng ý (Điều 9)
Đồng ý hoặc không đồng ý với việc xử lý dữ liệu
Quyền truy cập (Điều 9)
Truy cập vào toàn bộ dữ liệu của bạn bất kỳ lúc nào
Quyền chỉnh sửa (Điều 9)
Yêu cầu chỉnh sửa dữ liệu không chính xác
Quyền xóa dữ liệu (Điều 9)
Yêu cầu xóa toàn bộ dữ liệu cá nhân của bạn
Quyền hạn chế xử lý (Điều 9)
Yêu cầu tạm dừng việc xử lý dữ liệu trong thời gian xem xét
Quyền cung cấp dữ liệu (Điều 9)
Yêu cầu xuất và nhận một bản sao dữ liệu của bạn (Data Portability)
Quyền phản đối (Điều 9)
Phản đối việc xử lý dữ liệu hoặc rút lại sự đồng ý bất kỳ lúc nào
Quyền khiếu nại (Điều 9)
Khiếu nại với Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05)
7. Bảo mật dữ liệu
Chúng tôi áp dụng các biện pháp kỹ thuật và tổ chức phù hợp để bảo vệ dữ liệu cá nhân của bạn:
Mã hóa truyền tải
HTTPS/TLS 1.3 cho mọi kết nối
Mã hóa mật khẩu
bcrypt với salt rounds ≥ 12
Kiểm soát truy cập
RBAC (phân quyền theo vai trò), JWT với thời hạn ngắn
Mã hóa lưu trữ
Dữ liệu nhạy cảm được mã hóa tại rest
Giám sát bất thường
Phát hiện xâm nhập và nhật ký kiểm toán
Thông báo vi phạm
Báo cáo cơ quan thẩm quyền trong 72 giờ (Điều 23 NĐ 13/2023)
8. Cookie và công nghệ theo dõi
Chúng tôi sử dụng cookie phiên để duy trì đăng nhập. Chúng tôi không sử dụng cookie theo dõi quảng cáo của bên thứ ba. Cookie kỹ thuật cần thiết không thể tắt vì chúng là điều kiện để Dịch vụ hoạt động.
9. Người dùng dưới 16 tuổi
Dịch vụ không dành cho người dưới 13 tuổi. Nếu bạn từ 13 đến 15 tuổi, bạn cần có sự đồng ý của cha mẹ hoặc người giám hộ hợp pháp để sử dụng. Chúng tôi không cố ý thu thập dữ liệu của trẻ em dưới 13 tuổi.
10. Thay đổi chính sách bảo mật
Khi cập nhật Chính sách bảo mật, chúng tôi sẽ thông báo qua email đã đăng ký và hiển thị thông báo trong ứng dụng ít nhất 7 ngày trước khi có hiệu lực. Đối với thay đổi quan trọng ảnh hưởng đến quyền của bạn, chúng tôi sẽ yêu cầu bạn xác nhận lại sự đồng ý.
Liên hệ & Khiếu nại
Để thực hiện quyền của bạn hoặc có câu hỏi về chính sách này:
Liên hệ chúng tôi
Email: privacy@atomichabitlife.com
Thời gian phản hồi: tối đa 72 giờ làm việc
Khiếu nại với Cơ quan Nhà nước
Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an
Theo Điều 9, Khoản 1 NĐ 13/2023/NĐ-CP