Chính sách bảo mật thông tin

1. Phạm vi

Chính sách này áp dụng cho hostbooking.vn, các trang đặt phòng chạy trên nền tảng và khu quản trị, do ông Lê Anh Tuấn (cá nhân) vận hành. Căn cứ: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 13/2023/NĐ-CP.

Với dữ liệu của khách đặt phòng tại một cơ sở, cơ sở đó là bên kiểm soát dữ liệu, HostBooking là bên xử lý thay mặt cơ sở. Mỗi trang đặt phòng có chính sách bảo mật riêng của cơ sở ở chân trang.

2. Dữ liệu được thu thập

• Chủ cơ sở và nhân viên: họ tên, email, số điện thoại, mật khẩu (chỉ lưu dạng băm), thông tin cơ sở, tài khoản ngân hàng nhận tiền, mã số thuế nếu có.
• Khách đặt phòng: họ tên, số điện thoại, email, quốc gia, ngày ở, số khách, ghi chú, thông tin xuất hoá đơn nếu khách yêu cầu, lịch sử đặt phòng và thanh toán, đánh giá.
• Kỹ thuật: địa chỉ IP, trình duyệt, thiết bị, thời gian truy cập, trang đã xem, nhật ký thao tác trong khu quản trị.
• Ghi phiên thao tác: xem mục 3.

HostBooking không thu thập dữ liệu sinh trắc học, dữ liệu sức khoẻ hay số thẻ ngân hàng. Thanh toán thẻ (nếu cơ sở bật) diễn ra trên trang của cổng thanh toán.

3. Ghi lại phiên thao tác (session replay)

Để tìm lỗi và cải thiện giao diện, nền tảng có thể ghi lại thao tác trên trang (chuột, cuộn, bấm, nội dung hiển thị và nội dung gõ vào ô nhập) và phát lại dưới dạng video.

• Ô mật khẩu, mã OTP và số thẻ luôn bị che, không bao giờ được ghi.
• Chỉ quản trị viên nền tảng HostBooking xem được bản ghi; chủ cơ sở và người khác không xem được.
• Bản ghi lưu tối đa 31 ngày trên máy chủ, không đưa vào bản sao lưu, rồi tự xoá.
• Không dùng bản ghi để quảng cáo, không bán hay chia sẻ cho bên thứ ba.

4. Mục đích sử dụng

• Cung cấp dịch vụ: tạo trang, nhận đặt phòng, xác nhận, thanh toán, gửi thông báo qua email, Zalo.
• Bảo mật: đăng nhập, phát hiện truy cập bất thường, chống lạm dụng, ghi nhật ký.
• Hỗ trợ và sửa lỗi, cải thiện sản phẩm.
• Gửi thông tin về gói cước, hoá đơn và hướng dẫn sử dụng cho chủ cơ sở. Thư giới thiệu tính năng có link huỷ nhận.
• Tuân thủ nghĩa vụ pháp lý (kế toán, yêu cầu của cơ quan có thẩm quyền).

5. Biện pháp bảo vệ

• Kết nối mã hoá HTTPS; tường lửa và chống tấn công qua Cloudflare.
• Dữ liệu mỗi cơ sở được cách ly ở tầng cơ sở dữ liệu (row-level security): cơ sở này không đọc được dữ liệu cơ sở khác.
• Mật khẩu băm một chiều; khoá API cổng thanh toán và các bí mật khác được mã hoá khi lưu.
• Phân quyền theo vai trò; nhật ký ghi ai đã thay đổi gì và lúc nào.
• Sao lưu hằng ngày, giữ bản sao tại Việt Nam.

Không biện pháp nào an toàn tuyệt đối. Nếu máy chủ bị chiếm quyền, dữ liệu có thể bị lộ dù đã mã hoá một phần; HostBooking sẽ thông báo như ở mục 9.

6. Chia sẻ với bên thứ ba

HostBooking không bán dữ liệu. Dữ liệu chỉ được chuyển cho các nhà cung cấp cần thiết để vận hành dịch vụ:

• Máy chủ và cơ sở dữ liệu: nhà cung cấp VPS tại Việt Nam.
• Mạng phân phối, tường lửa, chống bot: Cloudflare (Hoa Kỳ).
• Đối soát chuyển khoản: SePay; cổng thanh toán mà cơ sở tự chọn (VNPay, MoMo, ZaloPay, Stripe).
• Gửi thông báo: Zalo (VNG), Google Gmail; Firebase của Google cho đăng nhập bằng Google hoặc số điện thoại.
• Trợ lý AI và dịch: Google Gemini, Groq, OpenRouter (Hoa Kỳ) — chỉ phần nội dung cần xử lý.
• Quản lý quan hệ với chủ cơ sở: dịch vụ email marketing do HostBooking vận hành.
• Cơ quan nhà nước khi có yêu cầu hợp pháp.

Một số nhà cung cấp đặt máy chủ ở nước ngoài. HostBooking lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài theo quy định và chỉ chọn nhà cung cấp có cam kết bảo mật.

7. Cookie

Nền tảng dùng cookie cần thiết cho đăng nhập và ngôn ngữ. Cơ sở có thể bật Google Analytics hoặc Meta Pixel trên trang của mình; khi đó cookie của các bên này áp dụng theo chính sách của họ.

8. Thời gian lưu

• Tài khoản và dữ liệu cơ sở: trong thời gian dùng dịch vụ và 30 ngày sau khi chấm dứt.
• Đặt phòng và thanh toán: theo thời gian cơ sở dùng dịch vụ; chứng từ gói cước lưu theo Luật Kế toán.
• Nhật ký thao tác trong khu quản trị: trong thời gian cơ sở dùng dịch vụ. Bản ghi phiên: 31 ngày.

9. Quyền của bạn

Bạn có quyền được biết, đồng ý hoặc rút lại đồng ý, truy cập, chỉnh sửa, yêu cầu xoá, hạn chế xử lý, nhận bản sao dữ liệu, phản đối và khiếu nại. Khách của một cơ sở gửi yêu cầu cho cơ sở đó; chủ cơ sở gửi cho HostBooking qua kênh liên hệ ở cuối trang. Yêu cầu được trả lời trong 72 giờ và xử lý trong thời hạn luật định.

Khi có sự cố lộ lọt dữ liệu, HostBooking thông báo cho cơ quan có thẩm quyền và cơ sở bị ảnh hưởng trong vòng 72 giờ kể từ khi phát hiện.

10. Liên hệ

Mọi câu hỏi về dữ liệu cá nhân: gửi tới email, số điện thoại hoặc Zalo ở cuối trang này.