Chính sách Bảo mật — Ứng dụng Quản Lý SPM

Phiên bản / Version: 1.0 Ngày hiệu lực / Effective Date: 5/7/2026 Cập nhật lần cuối / Last Updated: 2026-05-31

⚠️ Tài liệu này cần được luật sư chuyên ngành rà soát trước khi công bố chính thức.

Điều 1 — Giới thiệu

1.1. Chính sách Bảo mật này ("Chính sách") được ban hành bởi NTKTech ("Chúng tôi", "SPM", hoặc "Công ty"), đơn vị phát triển và vận hành Ứng dụng Quản Lý SPM ("Ứng dụng") — nền tảng quản lý sân thể thao dành cho chủ cơ sở, quản lý và nhân viên vận hành.

1.2. SPM được xây dựng trên nguyên tắc "Privacy-First" (Quyền riêng tư là trên hết). Nguyên tắc cốt lõi của chúng tôi là: "Hệ thống không biết bất cứ thông tin riêng tư nào." Điều này có nghĩa là dữ liệu cá nhân và ghi chú nhạy cảm được lưu trong vault mã hóa đầu-cuối (End-to-End Encryption — E2EE), còn số liệu tài chính/nghiệp vụ cần máy chủ tính toán được lưu dưới dạng đã che giấu theo từng Tenant (tenant numeric masking).

1.3. Chính sách này giải thích rõ ràng và minh bạch các nội dung sau:

• (a) Chúng tôi thu thập những dữ liệu gì từ bạn;
• (b) Dữ liệu được xử lý và bảo vệ như thế nào;
• (c) Ai có quyền truy cập vào từng loại dữ liệu;
• (d) Quyền của bạn đối với dữ liệu cá nhân và dữ liệu tổ chức.

1.4. Bằng việc sử dụng Ứng dụng, bạn xác nhận đã đọc, hiểu và đồng ý với các điều khoản trong Chính sách này. Nếu bạn không đồng ý với bất kỳ điều khoản nào, vui lòng ngừng sử dụng Ứng dụng.

Điều 2 — Dữ liệu thu thập

SPM phân loại dữ liệu thành bốn nhóm rõ ràng, mỗi nhóm có cơ chế bảo vệ và mục đích sử dụng riêng biệt.

2.1. Dữ liệu tài khoản (Account Data)

Khi bạn đăng ký và sử dụng Ứng dụng, chúng tôi thu thập và lưu trữ các thông tin tài khoản sau:

• Tên đăng nhập (username): Định danh duy nhất để xác thực tài khoản của bạn trên hệ thống.
• Mật khẩu (password): Được mã hóa một chiều bằng thuật toán bcrypt trước khi lưu trữ. Chúng tôi không lưu trữ mật khẩu gốc dưới bất kỳ hình thức nào và không có khả năng khôi phục mật khẩu gốc từ dữ liệu đã mã hóa.
• Tên hiển thị (display name): Tên hiển thị công khai trong Ứng dụng, do bạn tự cung cấp.
• Cấu hình doanh nghiệp (business configuration): Các thiết lập liên quan đến cơ sở thể thao của bạn, bao gồm tên cơ sở, danh sách chi nhánh, sân bãi và cấu hình vận hành.

Dữ liệu tài khoản được lưu trữ dưới dạng văn bản thuần (plaintext) trên máy chủ, ngoại trừ mật khẩu đã được mã hóa bcrypt.

2.2. Dữ liệu vận hành (Operational Data) — Không mã hóa E2EE

Dữ liệu vận hành là các thông tin cần thiết cho hoạt động hàng ngày của hệ thống, không chứa thông tin có thể định danh cá nhân hoặc thông tin tài chính nhạy cảm. Dữ liệu này được lưu trữ dưới dạng văn bản thuần (plaintext) để hệ thống có thể truy vấn, lọc và sắp xếp. Cụ thể bao gồm:

• Thời gian đặt sân: Giờ bắt đầu (start_time), giờ kết thúc (end_time), ngày (date).
• Trạng thái: Trạng thái đơn đặt (status: đã xác nhận, đang chờ, đã hủy) và trạng thái thanh toán (payment_status: đã thanh toán, chưa thanh toán, đặt cọc).
• Loại đặt sân: Phân loại theo hình thức (booking_type: đặt ngày, đặt tháng, khách vãng lai).
• Định danh hệ thống: Mã sân (field_id), mã chi nhánh (branch_id) và các mã định danh kỹ thuật khác.
• Cấu hình hệ thống: Khung giờ hoạt động, cài đặt chi nhánh và các thông số vận hành không chứa số liệu tài chính.

Dữ liệu vận hành không chứa bất kỳ thông tin nào có thể dùng để xác định danh tính một cá nhân cụ thể.

2.3. Dữ liệu cá nhân (Personal Data) — Customer Vault, mã hóa E2EE

Dữ liệu cá nhân là bất kỳ thông tin nào có thể được sử dụng để định danh hoặc liên hệ một cá nhân cụ thể. Toàn bộ dữ liệu cá nhân được mã hóa đầu-cuối (E2EE) bằng thuật toán AES-256-GCM trên thiết bị của bạn (phía client) trước khi gửi lên máy chủ. Máy chủ SPM chỉ nhận và lưu trữ dữ liệu đã mã hóa (encrypted blob) mà không có khả năng giải mã.

Các trường dữ liệu thuộc Customer Vault bao gồm:

• Tên gọi (display_name): Tên gọi của khách hàng, do người dùng tự nhập.
• Thông tin liên hệ (contact_info): Thông tin liên hệ tổng quát của khách hàng (không giới hạn hình thức: số điện thoại, email, hoặc bất kỳ thông tin liên hệ nào).
• Ghi chú riêng (private_note): Ghi chú nội bộ về khách hàng.
• Ghi chú đơn hàng (booking_note): Ghi chú gắn liền với một đơn đặt sân cụ thể.

Hệ thống thiết kế UI với nhãn trung tính (ví dụ: "Tên gọi" thay vì "Họ và tên", "Liên hệ" thay vì "Số điện thoại") và không áp dụng bất kỳ quy tắc kiểm tra định dạng (format validation) nào, nhằm bảo vệ quyền tự quyết của người dùng về loại thông tin họ muốn lưu trữ.

2.4. Dữ liệu tài chính/số liệu nghiệp vụ — Tenant numeric masking

Dữ liệu tài chính và số liệu nghiệp vụ liên quan đến hoạt động kinh doanh của tổ chức. Các số liệu này cần máy chủ tính toán để tạo đơn, tính tiền, thống kê, báo cáo và kiểm tra tồn kho, nên không được lưu trong E2EE vault core. Thay vào đó, máy chủ lưu raw database bằng cơ chế tenant numeric masking: API vẫn gửi/nhận số thật, còn giá trị lưu trong DB được che giấu bằng công thức riêng theo từng Tenant.

Các trường dữ liệu được bảo vệ bằng tenant numeric masking bao gồm:

• Giá slot (slot_price): Đơn giá cho mỗi khung giờ thuê sân.
• Tổng tiền (total_amount): Tổng giá trị của một đơn đặt sân.
• Đã thanh toán (paid_amount): Số tiền khách hàng đã thanh toán.
• Giảm giá (discount): Mức giảm giá áp dụng cho đơn hàng.
• Doanh thu (revenue): Doanh thu tổng hợp theo ngày hoặc theo tháng.
• Lợi nhuận (profit): Lợi nhuận ròng của cơ sở kinh doanh.
• Số lượng/tồn kho (quantity, stock): Số lượng sản phẩm, dịch vụ, tồn kho và số buổi.

Tenant numeric masking là cơ chế che giấu/obfuscation có giữ thứ tự, không phải mã hóa đầu-cuối mạnh. Ghi chú tài chính tự do hoặc mô tả nội bộ nhạy cảm vẫn được lưu trong vault_blob E2EE.

Điều 3 — Kiến trúc mã hóa đầu-cuối (E2EE)

3.1. Master Key và SecureStore. Khi bạn đăng ký tài khoản trên Ứng dụng, hệ thống sẽ tạo một Master Key (khóa chính) trực tiếp trên thiết bị của bạn. Master Key này được lưu trữ an toàn trong SecureStore — một kho lưu trữ được hỗ trợ bởi phần cứng bảo mật của thiết bị (hardware-backed secure storage). Master Key không bao giờ được gửi lên máy chủ SPM dưới bất kỳ hình thức nào, kể cả dạng mã hóa.

3.2. Quy trình mã hóa (Encrypt). Khi bạn nhập dữ liệu cá nhân hoặc ghi chú nhạy cảm cần lưu trong vault, quy trình mã hóa diễn ra hoàn toàn trên thiết bị của bạn theo các bước sau:

• (a) Ứng dụng tạo một đối tượng vault chứa dữ liệu cần bảo vệ;
• (b) Đối tượng vault được mã hóa bằng Master Key sử dụng thuật toán AES-256-GCM;
• (c) Dữ liệu đã mã hóa (encrypted blob) được gửi lên máy chủ;
• (d) Máy chủ lưu trữ encrypted blob mà không có khả năng đọc nội dung.

3.3. Quy trình giải mã (Decrypt). Khi bạn cần xem dữ liệu, quy trình giải mã diễn ra theo chiều ngược lại:

• (a) Ứng dụng tải encrypted blob từ máy chủ về thiết bị;
• (b) Master Key trong SecureStore được sử dụng để giải mã dữ liệu;
• (c) Dữ liệu gốc được hiển thị trên màn hình Ứng dụng.

3.4. Giới hạn truy cập của SPM. Do kiến trúc E2EE, SPM không có khả năng vật lý để giải mã dữ liệu trong vault — ngay cả khi bị yêu cầu bởi cơ quan chức năng, tòa án, hoặc bên thứ ba. Chúng tôi chỉ có thể cung cấp dữ liệu đã mã hóa (encrypted blob) mà không ai có thể đọc được nếu không sở hữu Master Key trên thiết bị của tổ chức bạn. Đây là cam kết bảo mật mạnh nhất mà kiến trúc kỹ thuật cho phép.

Điều 4 — Seed Phrase và Khôi phục Master Key

4.1. Seed Phrase là gì. Seed Phrase là một chuỗi gồm 12 hoặc 24 từ tiếng Anh được tạo theo chuẩn BIP39. Seed Phrase cho phép bạn khôi phục Master Key trong trường hợp mất thiết bị hoặc cần chuyển tài khoản sang thiết bị mới. Seed Phrase được tạo một lần duy nhất tại thời điểm đăng ký tài khoản và hiển thị cho bạn để sao lưu.

4.2. SPM không lưu trữ Seed Phrase. SPM không lưu trữ Seed Phrase của bạn trên máy chủ, trong cơ sở dữ liệu, hoặc ở bất kỳ đâu trong hệ thống. Bạn là người duy nhất nắm giữ Seed Phrase và chịu trách nhiệm bảo quản nó.

4.3. Cảnh báo quan trọng về mất dữ liệu vĩnh viễn.

⚠️ CẢNH BÁO: Nếu bạn mất thiết bị VÀ mất Seed Phrase cùng lúc, toàn bộ dữ liệu trong vault (bao gồm dữ liệu cá nhân khách hàng và ghi chú nhạy cảm đã mã hóa) sẽ bị MẤT VĨNH VIỄN và không thể khôi phục bằng bất kỳ cách nào. SPM không có khả năng kỹ thuật để hỗ trợ khôi phục dữ liệu vault trong trường hợp này.

4.4. Khuyến nghị bảo quản Seed Phrase. Chúng tôi khuyến nghị bạn:

• (a) Ghi lại Seed Phrase trên giấy và cất giữ ở nơi an toàn, tránh xa thiết bị điện tử;
• (b) Không chụp ảnh, gửi qua tin nhắn, hoặc lưu Seed Phrase trên dịch vụ đám mây;
• (c) Cân nhắc lưu trữ nhiều bản sao ở các vị trí khác nhau;
• (d) Không chia sẻ Seed Phrase cho bất kỳ ai, kể cả nhân viên SPM.

Điều 5 — Chia sẻ dữ liệu với bên thứ ba

5.1. Cam kết không bán, không chia sẻ. SPM cam kết không bao giờ bán, cho thuê, trao đổi, hoặc chia sẻ dữ liệu của bạn với bất kỳ bên thứ ba nào vì mục đích thương mại, tiếp thị, hoặc quảng cáo.

5.2. Ngoại lệ: Yêu cầu từ cơ quan chức năng. Trong trường hợp bị yêu cầu bởi cơ quan pháp luật có thẩm quyền theo quy định của pháp luật Việt Nam, SPM chỉ có thể cung cấp:

• (a) Dữ liệu tài khoản: Tên đăng nhập, tên hiển thị, thời điểm đăng ký và đăng nhập gần nhất.
• (b) Dữ liệu vận hành: Thời gian đặt sân, trạng thái đơn hàng, mã chi nhánh, mã sân, loại đặt sân.

5.3. Dữ liệu vault không thể cung cấp ở dạng đọc được. Do kiến trúc E2EE, dữ liệu trong Customer Vault và các vault_blob nhạy cảm vẫn ở trạng thái mã hóa và SPM không có khả năng giải mã. Ngay cả khi bị buộc phải giao nộp dữ liệu vault, dữ liệu đó sẽ ở dạng encrypted blob — hoàn toàn vô nghĩa nếu không có Master Key do tổ chức của bạn nắm giữ. Riêng số liệu tài chính/nghiệp vụ core được máy chủ xử lý để vận hành dịch vụ và được bảo vệ at rest bằng tenant numeric masking.

Điều 6 — Phân quyền truy cập dữ liệu

6.1. Tổng quan hệ thống phân quyền. SPM áp dụng hệ thống phân quyền ba cấp (role-based access control) trong mỗi tổ chức, đảm bảo mỗi người dùng chỉ truy cập được dữ liệu cần thiết cho công việc của mình.

6.2. Quyền truy cập theo vai trò.

Chi tiết cụ thể:

• (a) Admin có toàn quyền truy cập mọi dữ liệu trong hệ thống, bao gồm giá slot, doanh thu ngày/tháng, và lợi nhuận ròng.
• (b) Manager có thể xem dữ liệu cá nhân khách hàng, giá slot, tổng tiền, đã thanh toán, giảm giá và doanh thu ngày. Manager không có quyền xem doanh thu tháng tổng hợp và lợi nhuận ròng.
• (c) Staff có thể xem dữ liệu cá nhân khách hàng (tên gọi, liên hệ, ghi chú) và giá slot cơ bản (để phục vụ báo giá cho khách), nhưng không có quyền truy cập vào các báo cáo tài chính tổng hợp như doanh thu và lợi nhuận.

6.3. Cơ chế thực thi phân quyền. Phân quyền được thực thi đồng thời ở hai tầng:

• (a) Phía client (Ứng dụng): Giao diện người dùng chỉ hiển thị và cho phép thao tác với dữ liệu phù hợp với vai trò.
• (b) Phía server (API): Mỗi yêu cầu API đều được kiểm tra quyền truy cập dựa trên vai trò của người dùng. Nếu không đủ quyền, yêu cầu sẽ bị từ chối.

Điều 7 — Lưu trữ và Bảo mật

7.1. Bảo mật truyền tải dữ liệu. Toàn bộ giao tiếp giữa Ứng dụng và máy chủ SPM được mã hóa bằng giao thức HTTPS/TLS, đảm bảo dữ liệu không thể bị đánh cắp hoặc thay đổi trong quá trình truyền tải.

7.2. Xác thực và phiên làm việc. Hệ thống sử dụng Laravel Sanctum token để xác thực người dùng. Mỗi token có thời hạn 24 giờ. Sau khi hết hạn, bạn cần đăng nhập lại để nhận token mới. Cơ chế này giảm thiểu rủi ro trong trường hợp token bị lộ.

7.3. Bảo mật mật khẩu. Mật khẩu được mã hóa bằng thuật toán bcrypt trước khi lưu trữ. Bcrypt là hàm băm một chiều (one-way hash), nghĩa là không thể khôi phục mật khẩu gốc từ giá trị đã mã hóa — ngay cả đối với đội ngũ kỹ thuật SPM.

7.4. Bảo mật vault và số liệu nghiệp vụ. Dữ liệu trong Customer Vault và các vault_blob nhạy cảm được mã hóa bằng thuật toán AES-256-GCM. Master Key được lưu trữ trong SecureStore trên thiết bị, tận dụng lớp bảo mật phần cứng (hardware-backed keystore) của hệ điều hành. Các số liệu tài chính/nghiệp vụ core được bảo vệ at rest bằng tenant numeric masking để raw database không hiển thị trực tiếp số thật nhưng máy chủ vẫn có thể tính toán phục vụ nghiệp vụ.

7.5. Bảo mật máy chủ. Máy chủ SPM được bảo vệ bằng các biện pháp bảo mật chuẩn công nghiệp, bao gồm nhưng không giới hạn: tường lửa, cập nhật bảo mật định kỳ, và giám sát hệ thống liên tục.

Điều 8 — Quyền của người dùng

8.1. Quyền xem dữ liệu. Bạn có quyền xem toàn bộ dữ liệu mà hệ thống lưu trữ liên quan đến tài khoản của bạn, bao gồm dữ liệu tài khoản, dữ liệu vận hành, và dữ liệu trong vault (sau khi giải mã trên thiết bị).

8.2. Quyền xuất dữ liệu. Bạn có quyền xuất (export) dữ liệu của mình. Lưu ý rằng đối với dữ liệu trong vault, bạn cần có Master Key trên thiết bị để giải mã trước khi xuất. Dữ liệu xuất ra sẽ ở dạng văn bản thuần, và bạn chịu trách nhiệm bảo mật dữ liệu sau khi xuất.

8.3. Quyền chỉnh sửa. Bạn có quyền chỉnh sửa dữ liệu tài khoản và dữ liệu trong vault bất kỳ lúc nào thông qua Ứng dụng.

8.4. Quyền xóa tài khoản. Bạn có quyền yêu cầu xóa tài khoản của mình. Quy trình xóa được mô tả chi tiết tại Điều 10.

8.5. Dữ liệu vault — Tổ chức tự quản lý. Đối với dữ liệu trong Customer Vault và các vault_blob nhạy cảm, tổ chức của bạn là bên duy nhất có toàn quyền quản lý, bao gồm tạo, sửa, xóa và sao lưu. SPM không can thiệp và không có khả năng can thiệp vào nội dung vault.

Điều 9 — Dữ liệu thiết bị

9.1. Expo Push Token. Khi bạn cho phép nhận thông báo đẩy (push notification), Ứng dụng sẽ thu thập Expo Push Token từ thiết bị của bạn. Token này chỉ được sử dụng để gửi thông báo liên quan đến hoạt động vận hành (ví dụ: đơn đặt mới, nhắc lịch). SPM không sử dụng Push Token để theo dõi vị trí, hành vi, hoặc bất kỳ mục đích nào khác ngoài việc gửi thông báo.

9.2. Xác thực sinh trắc học (Biometric). Nếu bạn bật tính năng mở khóa bằng vân tay hoặc khuôn mặt, toàn bộ quá trình xác thực sinh trắc học được xử lý 100% trên thiết bị thông qua thư viện expo-local-authentication. Dữ liệu sinh trắc học (vân tay, khuôn mặt) không bao giờ được gửi lên máy chủ SPM hoặc bất kỳ máy chủ nào khác. SPM chỉ nhận kết quả xác thực (thành công/thất bại), không nhận dữ liệu sinh trắc học.

9.3. Thông tin thiết bị cơ bản. Ứng dụng có thể thu thập thông tin cơ bản về thiết bị, bao gồm phiên bản hệ điều hành và phiên bản Ứng dụng. Thông tin này chỉ được sử dụng cho mục đích hỗ trợ kỹ thuật khi bạn liên hệ với chúng tôi và để đảm bảo khả năng tương thích của Ứng dụng.

Điều 10 — Lưu giữ và Xóa dữ liệu

10.1. Thời gian lưu giữ khi tài khoản hoạt động. Trong suốt thời gian tài khoản của bạn ở trạng thái hoạt động (active), toàn bộ dữ liệu (bao gồm dữ liệu tài khoản, dữ liệu vận hành, và dữ liệu vault đã mã hóa) được lưu trữ vô thời hạn trên máy chủ SPM để phục vụ hoạt động kinh doanh của bạn.

10.2. Quy trình xóa tài khoản. Khi bạn yêu cầu xóa tài khoản, SPM sẽ thực hiện xóa trong vòng 30 ngày kể từ ngày nhận yêu cầu. Các dữ liệu bị xóa bao gồm:

• (a) Dữ liệu tài khoản (username, display name, cấu hình doanh nghiệp);
• (b) Dữ liệu vận hành (đơn đặt sân, trạng thái, lịch sử);
• (c) Dữ liệu vault đã mã hóa (vault_blob);
• (d) Expo Push Token và thông tin thiết bị.

10.3. Dữ liệu trong bản sao lưu hệ thống. Dữ liệu vault đã mã hóa có thể tồn tại trong các bản sao lưu hệ thống (system backups) tối đa 90 ngày sau khi tài khoản bị xóa. Tuy nhiên, dữ liệu này vẫn ở trạng thái mã hóa AES-256-GCM và không thể giải mã nếu không có Master Key — thứ đã bị xóa khỏi hệ thống cùng với tài khoản. Do đó, dữ liệu vault trong bản sao lưu về bản chất là vô nghĩa và không thể khai thác.

Điều 11 — Cookie và Theo dõi

11.1. Không sử dụng cookie. Ứng dụng Quản Lý SPM là ứng dụng di động gốc (native mobile application) và không sử dụng cookie dưới bất kỳ hình thức nào.

11.2. Không sử dụng công cụ phân tích bên thứ ba. Trong phiên bản hiện tại (MVP), SPM không tích hợp bất kỳ công cụ phân tích (analytics) của bên thứ ba nào, bao gồm nhưng không giới hạn: Google Analytics, Firebase Analytics, Mixpanel, Amplitude, hoặc các dịch vụ tương tự.

11.3. Không theo dõi quảng cáo. SPM không thu thập dữ liệu cho mục đích quảng cáo, không sử dụng advertising ID, và không chia sẻ dữ liệu với bất kỳ mạng quảng cáo nào.

11.4. Phân tích ẩn danh trong tương lai. Trong các phiên bản tương lai, SPM có thể bổ sung tính năng phân tích ẩn danh (anonymous analytics) để cải thiện trải nghiệm sử dụng. Trong trường hợp đó, chúng tôi sẽ cập nhật Chính sách này và thông báo cho bạn theo quy định tại Điều 12 trước khi triển khai.

Điều 12 — Thay đổi Chính sách Bảo mật

12.1. Quyền sửa đổi. SPM có quyền sửa đổi, bổ sung hoặc cập nhật Chính sách Bảo mật này vào bất kỳ thời điểm nào để phản ánh các thay đổi trong hoạt động kinh doanh, công nghệ, hoặc quy định pháp luật.

12.2. Thông báo trước 30 ngày. Trong trường hợp có thay đổi quan trọng đối với Chính sách, chúng tôi sẽ thông báo cho bạn ít nhất 30 ngày trước khi thay đổi có hiệu lực. Thông báo sẽ được gửi thông qua:

• (a) Thông báo đẩy (push notification) trên Ứng dụng;
• (b) Thông báo nội bộ trong Ứng dụng (in-app notification).

12.3. Chấp nhận thay đổi. Việc bạn tiếp tục sử dụng Ứng dụng sau ngày Chính sách mới có hiệu lực được xem là bạn đã đọc, hiểu và đồng ý với các thay đổi. Nếu bạn không đồng ý, bạn có quyền ngừng sử dụng Ứng dụng và yêu cầu xóa tài khoản theo quy định tại Điều 10.

Điều 13 — Liên hệ

13.1. Nếu bạn có bất kỳ câu hỏi, yêu cầu, hoặc khiếu nại nào liên quan đến Chính sách Bảo mật này hoặc cách chúng tôi xử lý dữ liệu của bạn, vui lòng liên hệ:

• Công ty: NTKTech
• Địa chỉ: Hanoi, Vietnam
• Email: [email protected]

13.2. Chúng tôi cam kết phản hồi mọi yêu cầu liên quan đến bảo mật dữ liệu trong thời gian sớm nhất có thể, không quá 30 ngày làm việc kể từ ngày nhận được yêu cầu.

Chính sách này có hiệu lực kể từ ngày 5/7/2026.

© 2026 NTKTech. Bảo lưu mọi quyền.