Chính sách bảo mật

1. Thông tin chúng tôi thu thập

1.1 Thông tin bạn cung cấp trực tiếp

• Đăng ký tài khoản: email, tên hiển thị, mật khẩu (đã mã hoá bcrypt — chúng tôi không bao giờ thấy mật khẩu gốc).
• Hồ sơ: ảnh đại diện, mô tả ngắn (nếu bạn chọn điền).
• Nội dung đăng tải: công thức, nhận xét, ảnh cooksnap, đánh giá.

1.2 Thông tin tự động thu thập

• Thiết bị & trình duyệt: loại, hệ điều hành, kích thước màn hình.
• Hoạt động: trang đã xem, công thức favorite, từ khoá tìm kiếm, thời gian truy cập.
• Địa chỉ IP: được dùng để phòng chống lạm dụng và phân tích thống kê tổng hợp.
• Cookie: xem chi tiết tại Chính sách cookie.

1.3 Thông tin từ bên thứ ba

Nếu bạn đăng nhập qua Google / Facebook / Zalo (khi tính năng này được kích hoạt), chúng tôi nhận tên, email và avatar từ dịch vụ đó — không nhận mật khẩu hay danh bạ của bạn.

2. Cách chúng tôi sử dụng thông tin

• Cung cấp dịch vụ: hiển thị nội dung, lưu favorite, gửi thông báo.
• Cá nhân hoá: gợi ý công thức dựa trên ẩm thực bạn xem nhiều, lọc món theo dietary preferences.
• Cải thiện sản phẩm: phân tích thống kê tổng hợp (qua Google Analytics) để biết tính năng nào được dùng nhiều, lỗi ở đâu.
• Bảo mật: phát hiện và ngăn chặn spam, gian lận, vi phạm điều khoản.
• Liên lạc: gửi email xác nhận, thông báo công thức được duyệt, hoặc newsletter (chỉ khi bạn đồng ý).
• Tuân thủ pháp luật khi cơ quan chức năng yêu cầu hợp pháp.

3. Chia sẻ thông tin với bên thứ ba

Chúng tôi KHÔNG bán thông tin cá nhân của bạn. Dữ liệu chỉ được chia sẻ trong các trường hợp sau:

• Nhà cung cấp dịch vụ: server hosting (VPS), analytics (Google Analytics 4), email transactional (SendGrid), gateway thanh toán (VNPay/MoMo). Các bên này ràng buộc bằng hợp đồng bảo mật.
• Công khai theo lựa chọn của bạn: công thức, nhận xét bạn đăng là công khai. Tên hiển thị xuất hiện cùng nội dung đó.
• Yêu cầu pháp lý: khi có lệnh của toà án hoặc cơ quan có thẩm quyền tại Việt Nam.
• Chuyển nhượng doanh nghiệp: trong trường hợp sáp nhập, mua bán công ty — bạn sẽ được thông báo trước.

4. Lưu trữ & bảo mật dữ liệu

• Dữ liệu được lưu trên server đặt tại Việt Nam (hoặc Singapore, tuỳ cấu hình hạ tầng).
• Mật khẩu được hash với bcrypt — không lưu plaintext.
• Kết nối HTTPS toàn site (TLS 1.2+). Token xác thực có thời hạn ngắn (15 phút) + refresh token có thể revoke.
• Backup tự động hàng ngày, được mã hoá. Truy cập backup giới hạn chỉ admin cấp cao.
• Trong trường hợp có sự cố rò rỉ dữ liệu, chúng tôi sẽ thông báo cho người dùng bị ảnh hưởng và Bộ Công an trong vòng 72 giờ theo Nghị định 13/2023.

5. Thời gian lưu trữ

• Tài khoản đang hoạt động: lưu suốt thời gian sử dụng dịch vụ.
• Tài khoản bị xoá: thông tin cá nhân (email, tên, avatar) bị xoá trong 30 ngày.
• Log truy cập: lưu 12 tháng cho mục đích bảo mật, sau đó xoá tự động.
• Dữ liệu thanh toán (nếu có): theo quy định kế toán Việt Nam, lưu tối thiểu 10 năm.

6. Quyền của bạn

Theo Nghị định 13/2023/NĐ-CP, bạn có quyền:

• Truy cập: xem dữ liệu cá nhân chúng tôi đang lưu về bạn.
• Chỉnh sửa: cập nhật thông tin tại trang hồ sơ.
• Xoá: yêu cầu xoá hoàn toàn dữ liệu (xem mục 5 của Điều khoản).
• Hạn chế xử lý: yêu cầu chúng tôi ngừng dùng dữ liệu cho mục đích cụ thể (vd marketing).
• Khả chuyển dữ liệu: yêu cầu export dữ liệu cá nhân dưới dạng file JSON/CSV.
• Phản đối: phản đối việc xử lý dữ liệu cho mục đích quảng cáo.
• Rút lại đồng ý bất kỳ lúc nào với các xử lý dựa trên cơ sở đồng ý.

Để thực hiện các quyền trên, gửi email tới privacy@viquenha.com kèm bằng chứng định danh. Chúng tôi phản hồi trong vòng 72 giờ.

7. Trẻ em

Dịch vụ dành cho người từ 13 tuổi trở lên. Chúng tôi không cố ý thu thập dữ liệu của trẻ dưới 13. Nếu phát hiện, dữ liệu đó sẽ bị xoá ngay. Phụ huynh có thể yêu cầu xoá bằng cách email privacy@viquenha.com.

8. Marketing & email

Chúng tôi chỉ gửi email marketing/newsletter cho người đã chủ động đăng ký. Mỗi email đều có link "Huỷ đăng ký" để bạn ngừng nhận bất kỳ lúc nào. Email giao dịch (xác nhận đăng ký, công thức được duyệt) sẽ vẫn được gửi vì cần thiết cho dịch vụ.

9. Chuyển dữ liệu ra nước ngoài

Một số nhà cung cấp dịch vụ (như Google Analytics) lưu dữ liệu trên server tại nước ngoài. Việc chuyển dữ liệu này tuân thủ các điều khoản tiêu chuẩn (SCC) và quy định của Nghị định 13/2023.

10. Thay đổi chính sách

Chính sách này có thể được cập nhật. Khi có thay đổi quan trọng, chúng tôi sẽ thông báo qua email và hiển thị banner trên web ít nhất 30 ngày trước khi áp dụng.

11. Liên hệ về quyền riêng tư

• Cán bộ bảo vệ dữ liệu (DPO): dpo@viquenha.com
• Email chung: privacy@viquenha.com
• Cơ quan giám sát: Cục An toàn thông tin — Bộ Thông tin và Truyền thông (nếu bạn muốn khiếu nại).