Chính sách bảo vệ dữ liệu cá nhân

1. Bên kiểm soát và xử lý dữ liệu

đơn vị vận hành InvoHub là bên kiểm soát và xử lý dữ liệu cá nhân đối với dữ liệu tài khoản của bạn. Với dữ liệu cá nhân nằm trong hoá đơn mà bạn đồng bộ (VD người mua là cá nhân), doanh nghiệp của bạn là bên kiểm soát dữ liệu và chúng tôi là bên xử lý dữ liệu theo yêu cầu của doanh nghiệp.

Chính sách này được lập theo Luật Bảo vệ dữ liệu cá nhân và các văn bản hướng dẫn thi hành. Thông tin liên hệ ở mục cuối.

2. Dữ liệu chúng tôi thu thập

• Tài khoản: họ tên, email, số điện thoại (nếu bạn nhập), mật khẩu (chỉ lưu dạng băm), ảnh đại diện và mã định danh Google nếu bạn đăng nhập bằng Google.
• Doanh nghiệp: mã số thuế, tên, địa chỉ; tên đăng nhập và mật khẩu tài khoản tra cứu cổng hoá đơn điện tử (mật khẩu được mã hoá).
• Hoá đơn: dữ liệu và file gốc (XML, PDF) của hoá đơn đầu vào, đầu ra. Hoá đơn có thể chứa dữ liệu cá nhân của bên mua, bên bán là cá nhân như họ tên, địa chỉ, mã số thuế cá nhân, số tài khoản ngân hàng.
• Gói dịch vụ: gói đang dùng, thời hạn, số tiền và lịch sử gia hạn. Chúng tôi không lưu thông tin thẻ thanh toán.
• Kỹ thuật và bảo mật: địa chỉ IP, trình duyệt/thiết bị, thời điểm đăng nhập, các phiên đăng nhập, nhật ký thao tác và đồng bộ, lịch sử đồng ý điều khoản.
• Cookie và lưu trữ trên trình duyệt: xem Chính sách cookie.

3. Mục đích xử lý

• Tạo và quản lý tài khoản, xác thực đăng nhập (mật khẩu, mã OTP qua email, Google).
• Cung cấp Dịch vụ: đăng nhập cổng hoá đơn điện tử thay bạn, tải, lưu trữ, tra cứu, đối soát hoá đơn, xuất Excel/XML/PDF.
• Gửi thông báo cần thiết: mã OTP, đồng bộ lỗi, gói sắp hết hạn, thay đổi điều khoản.
• Bảo mật: phát hiện đăng nhập bất thường, tài khoản đáng nghi, ngăn chặn lạm dụng và truy cập trái phép.
• Quản lý gói dịch vụ, thanh toán, xuất hoá đơn và giải quyết khiếu nại.
• Tuân thủ nghĩa vụ pháp lý và yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền.
• Phân tích để cải thiện website — chỉ khi bạn đồng ý cookie phân tích.
• Gửi bản tin, ưu đãi — chỉ khi bạn tự bật trong Cài đặt thông báo (mặc định tắt).

4. Cách thức xử lý

• Dữ liệu được thu thập trực tiếp từ bạn, từ cổng hoá đơn điện tử bằng tài khoản bạn cung cấp, và từ trang tra cứu của tổ chức cung cấp dịch vụ hoá đơn khi tải file PDF gốc.
• Việc đồng bộ chạy tự động theo lịch bạn chọn. Chúng tôi không dùng dữ liệu để ra quyết định tự động gây ảnh hưởng pháp lý đến bạn.
• Chúng tôi không bán, cho thuê dữ liệu cá nhân và không dùng dữ liệu hoá đơn của bạn cho mục đích quảng cáo.

5. Chia sẻ dữ liệu

Dữ liệu chỉ được chia sẻ trong phạm vi cần thiết với:

• Nhà cung cấp hạ tầng máy chủ, cơ sở dữ liệu, dịch vụ gửi email — theo hợp đồng có điều khoản bảo vệ dữ liệu;
• Máy chủ trung gian (proxy) dùng để kết nối cổng hoá đơn điện tử;
• Google — khi bạn chọn đăng nhập bằng Google, hoặc khi bạn đồng ý cookie phân tích/tiếp thị (Google Analytics);
• Cơ quan nhà nước có thẩm quyền theo yêu cầu hợp pháp.

6. Nơi lưu trữ và chuyển dữ liệu ra nước ngoài

Dữ liệu được lưu trên máy chủ do chúng tôi quản lý. Một số dịch vụ bên thứ ba (VD Google) có thể xử lý dữ liệu bên ngoài lãnh thổ Việt Nam; khi đó chúng tôi thực hiện các thủ tục chuyển dữ liệu cá nhân ra nước ngoài theo quy định của pháp luật.

7. Thời gian lưu trữ

• Dữ liệu tài khoản: trong thời gian bạn sử dụng Dịch vụ, và được xoá trong vòng 30 ngày sau khi tài khoản bị xoá.
• Mã số thuế, hoá đơn, file gốc: đến khi bạn xoá mã số thuế đó hoặc xoá tài khoản.
• Nhật ký thao tác và đồng bộ: 180 ngày. Mã OTP: 10 phút. Phiên đăng nhập: tối đa 30 ngày kể từ khi đăng nhập.
• Lịch sử đồng ý và giao dịch thanh toán: lưu theo thời hạn pháp luật yêu cầu để chứng minh khi có tranh chấp.

8. Quyền của bạn

Là chủ thể dữ liệu, bạn có quyền:

• được biết về hoạt động xử lý dữ liệu; đồng ý hoặc không đồng ý, rút lại sự đồng ý;
• xem, chỉnh sửa, yêu cầu cung cấp bản sao dữ liệu của mình;
• yêu cầu xoá dữ liệu, hạn chế xử lý hoặc phản đối xử lý dữ liệu;
• khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định của pháp luật.

Bạn có thể tự sửa hồ sơ, đổi cài đặt thông báo, xoá mã số thuế, thay đổi lựa chọn cookie ngay trong ứng dụng; các yêu cầu khác (bản sao dữ liệu, xoá tài khoản, rút lại đồng ý) gửi qua email ở mục cuối. Chúng tôi xác minh danh tính người yêu cầu, xác nhận đã nhận và xử lý trong thời hạn pháp luật quy định.

Rút lại đồng ý không ảnh hưởng đến việc xử lý đã thực hiện trước đó. Vì Dịch vụ cần dữ liệu tài khoản và hoá đơn để hoạt động, rút lại đồng ý với các mục đích cung cấp Dịch vụ đồng nghĩa với việc ngừng sử dụng và xoá tài khoản.

9. Biện pháp bảo vệ dữ liệu

• Kết nối được mã hoá (HTTPS). Mật khẩu tài khoản băm bằng bcrypt; mật khẩu cổng hoá đơn mã hoá AES-256 và không hiển thị lại trên giao diện.
• Mã làm mới phiên và mã OTP chỉ lưu dạng băm; có giới hạn số lần thử, khoá tài khoản khi phát hiện bất thường.
• Phân quyền truy cập nội bộ theo nguyên tắc tối thiểu; ghi nhật ký các thao tác quản trị.
• Khi xảy ra sự cố lộ, mất dữ liệu, chúng tôi thông báo cho cơ quan chuyên trách và người bị ảnh hưởng theo thời hạn luật định.

10. Trẻ em

Dịch vụ dành cho tổ chức và người từ đủ 18 tuổi. Chúng tôi không chủ đích thu thập dữ liệu của trẻ em.

11. Thay đổi chính sách

Khi thay đổi Chính sách này, chúng tôi cập nhật ngày hiệu lực ở đầu trang và yêu cầu bạn đồng ý lại khi đăng nhập nếu thay đổi ảnh hưởng đến quyền của bạn hoặc thêm mục đích xử lý mới.

12. Liên hệ về dữ liệu cá nhân

Thông tin liên hệ đang được cập nhật.