Chính sách bảo mật
SkyWeb (“chúng tôi”) là nền tảng chatbot AI bán hàng dành cho doanh nghiệp vừa và nhỏ tại Việt Nam. Chính sách này mô tả dữ liệu cá nhân chúng tôi thu thập, mục đích sử dụng, cách lưu trữ, bảo mật và quyền của người dùng theo Nghị định 13/2023/NĐ-CP và chuẩn quốc tế GDPR.
1. Đối tượng áp dụng
- Chủ cửa hàng (khách hàng của SkyWeb): người đăng ký tài khoản để dùng dịch vụ chatbot.
- Người dùng cuối: khách hàng nhắn tin vào Fanpage Facebook / OA Zalo / website có gắn widget SkyWeb.
2. Dữ liệu chúng tôi thu thập
2.1. Với chủ cửa hàng
- Email, tên, mật khẩu (hashed bcrypt).
- Thông tin Facebook khi đăng nhập bằng FB OAuth: ID Facebook, tên, email, ảnh đại diện công khai.
- Access Token của Fanpage / OA Zalo sau khi bạn chủ động kết nối. Token được mã hoá AES-256-GCM trước khi lưu.
- Thông tin doanh nghiệp: tên shop, địa chỉ, số điện thoại, ngành nghề, sản phẩm.
2.2. Với người dùng cuối (khách hàng của shop)
- ID người dùng trên Messenger/Zalo (PSID).
- Tên + ảnh đại diện công khai (khi Facebook/Zalo trả về).
- Nội dung tin nhắn trao đổi với chatbot.
- Khi khách tự cung cấp: số điện thoại, địa chỉ giao hàng, email (để tạo đơn hàng).
3. Mục đích sử dụng dữ liệu
- Vận hành chatbot: AI đọc tin nhắn và sinh câu trả lời gửi lại qua API Facebook/Zalo.
- Hiển thị trong Inbox của chủ shop: tên + avatar khách giúp nhân viên phân biệt và gọi tên đúng khi tiếp nhận.
- Lập hồ sơ CRM: gộp tin nhắn, đơn hàng, lịch sử tương tác theo số điện thoại.
- Cải tiến chất lượng tư vấn: thống kê ẩn danh (không chia sẻ ra ngoài).
4. Chia sẻ dữ liệu với bên thứ ba
Chúng tôi không bán dữ liệu cá nhân. Dữ liệu chỉ được chia sẻ với:
- OpenAI (API GPT-4o): để sinh câu trả lời AI. Nội dung tin nhắn gửi kèm theo lời yêu cầu, OpenAI không dùng để huấn luyện model (theo hợp đồng API).
- Facebook / Zalo: gửi/nhận tin nhắn qua API chính thức của nền tảng.
- Nhà cung cấp hạ tầng: máy chủ VPS tại Việt Nam (FPT/Viettel), Cloudflare cho CDN.
5. Lưu trữ & bảo mật
- Dữ liệu được lưu trên máy chủ đặt tại Việt Nam.
- Mật khẩu hashed bằng bcrypt (cost 12).
- Access token OAuth được mã hoá AES-256-GCM trước khi lưu.
- Kết nối HTTPS bắt buộc với TLS 1.2+.
- Phân quyền theo tenant (multi-tenant isolation): shop A không thể xem dữ liệu shop B.
- Backup hàng ngày, lưu 30 ngày.
6. Thời gian lưu trữ
- Tài khoản đang hoạt động: lưu suốt thời gian dùng dịch vụ.
- Tài khoản không hoạt động 12 tháng: gửi email cảnh báo → xoá sau 30 ngày.
- Hội thoại cũ hơn 90 ngày có thể được nén / xoá nếu shop bật tính năng dọn dẹp.
- Log hệ thống (phục vụ debug / bảo mật): 30 ngày.
7. Quyền của người dùng
Theo Nghị định 13/2023, bạn có quyền:
- Truy cập dữ liệu cá nhân bạn gửi cho chúng tôi.
- Sửa đổi / cập nhật dữ liệu không chính xác.
- Yêu cầu xoá dữ liệu.
- Rút lại sự đồng ý bất cứ lúc nào.
- Phản đối xử lý dữ liệu.
Gửi yêu cầu về: privacy@skyweb.io.vn. Chúng tôi phản hồi trong 7 ngày làm việc.
8. Xoá dữ liệu qua Facebook
Nếu bạn gỡ ứng dụng SkyWeb khỏi Facebook hoặc yêu cầu xoá dữ liệu qua Facebook, chúng tôi sẽ:
- Nhận signed_request từ Facebook qua endpoint Data Deletion Callback.
- Xác thực chữ ký HMAC-SHA256.
- Xoá tất cả hội thoại, tin nhắn và ẩn danh hồ sơ CRM liên quan đến FB user_id của bạn.
- Trả về mã xác nhận để bạn tra cứu tình trạng tại trang /data-deletion.
9. Cookie
Chúng tôi dùng cookie kỹ thuật (session, JWT, ngôn ngữ) — không dùng cookie quảng cáo bên thứ ba.
10. Thay đổi chính sách
Chúng tôi có thể cập nhật chính sách này. Khi thay đổi quan trọng, chúng tôi sẽ thông báo qua email ít nhất 7 ngày trước khi áp dụng.