Quy chế xử lý dữ liệu cá nhân

1. Căn cứ và phạm vi

Quy chế này là một phần của Điều khoản sử dụng, áp dụng cho dữ liệu cá nhân của khách và nhân viên mà cơ sở đưa vào nền tảng do ông Lê Anh Tuấn (cá nhân) vận hành. Căn cứ: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Nghị định 13/2023/NĐ-CP.

2. Vai trò

• Cơ sở là Bên Kiểm soát dữ liệu: quyết định mục đích và cách xử lý dữ liệu khách của mình.
• HostBooking là Bên Xử lý dữ liệu: chỉ xử lý theo chỉ dẫn của cơ sở, thể hiện qua cấu hình và thao tác trên nền tảng.
• Với dữ liệu tài khoản của chính chủ cơ sở, HostBooking là bên kiểm soát theo Chính sách bảo mật.

3. Dữ liệu và mục đích

• Dữ liệu cơ bản của khách: họ tên, số điện thoại, email, quốc gia, ngày ở, số khách, ghi chú, thông tin xuất hoá đơn, lịch sử đặt phòng và thanh toán, đánh giá.
• Dữ liệu nhân viên: họ tên, email, số điện thoại, vai trò, nhật ký thao tác.
• Mục đích: nhận và quản lý đặt phòng, thanh toán, gửi xác nhận và nhắc lịch, chăm sóc khách, báo cáo, bảo mật hệ thống.
• Không xử lý dữ liệu cá nhân nhạy cảm (sức khoẻ, sinh trắc học, tôn giáo…). Cơ sở không nhập các dữ liệu này vào ô ghi chú.

4. Nghĩa vụ của cơ sở

• Thông báo cho khách về việc xử lý dữ liệu (trang đặt phòng đã có chính sách bảo mật mẫu ở chân trang; cơ sở chịu trách nhiệm về nội dung đó).
• Có căn cứ hợp pháp để xử lý: thực hiện hợp đồng đặt phòng, sự đồng ý của khách, hoặc nghĩa vụ pháp lý.
• Lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân khi pháp luật yêu cầu.
• Tiếp nhận và trả lời yêu cầu của khách (truy cập, sửa, xoá…); HostBooking hỗ trợ kỹ thuật khi cần.
• Chỉ cấp quyền xem thông tin khách cho nhân viên cần dùng.

5. Nghĩa vụ của HostBooking

• Chỉ xử lý dữ liệu để cung cấp dịch vụ cho cơ sở; không dùng dữ liệu khách của cơ sở cho mục đích riêng, không bán.
• Áp dụng biện pháp bảo vệ nêu tại Chính sách bảo mật: cách ly dữ liệu theo cơ sở, mã hoá bí mật, phân quyền, nhật ký.
• Người của HostBooking chỉ truy cập dữ liệu cơ sở khi hỗ trợ hoặc xử lý sự cố; mọi lần truy cập được ghi vào nhật ký mà cơ sở xem được.
• Báo cho cơ sở trong vòng 72 giờ khi phát hiện sự cố ảnh hưởng tới dữ liệu của cơ sở.
• Hỗ trợ cơ sở trả lời yêu cầu của chủ thể dữ liệu và cơ quan có thẩm quyền.

6. Bên xử lý phụ

Cơ sở đồng ý để HostBooking dùng các bên xử lý phụ sau; khi thêm bên mới, HostBooking cập nhật quy chế này và nâng phiên bản:

• Nhà cung cấp VPS tại Việt Nam — lưu trữ và vận hành.
• Cloudflare — phân phối nội dung, tường lửa, chống bot.
• SePay — đối soát chuyển khoản; các cổng thanh toán do cơ sở tự kết nối.
• Zalo (VNG), Google (Gmail, Firebase) — gửi thông báo, đăng nhập.
• Google Gemini, Groq, OpenRouter — xử lý AI theo yêu cầu của người dùng.

7. Chuyển dữ liệu ra nước ngoài

Một số bên xử lý phụ đặt máy chủ ngoài Việt Nam. HostBooking lập và lưu hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài, và chỉ chuyển phần dữ liệu cần thiết cho từng tác vụ.

8. Khi chấm dứt

Sau khi chấm dứt dịch vụ, cơ sở có 30 ngày để xuất dữ liệu. Sau thời hạn đó HostBooking xoá dữ liệu khách và nhân viên của cơ sở khỏi hệ thống đang chạy; bản sao lưu tự hết hạn theo vòng sao lưu.

9. Liên hệ

Đầu mối về dữ liệu cá nhân: email, điện thoại hoặc Zalo ở cuối trang.