Chính sách bảo mật

Cập nhật lần cuối: 03/07/2026

Chính sách này giải thích cách Skinus ERP (“chúng tôi”) thu thập, sử dụng, lưu trữ và bảo vệ dữ liệu cá nhân của bạn khi bạn dùng phần mềm quản lý vận hành (kho, đơn hàng, tài chính, đối tác) cho ngành mỹ phẩm. Chúng tôi tuân thủ Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (có hiệu lực từ 01/01/2026) và Nghị định 356/2025/NĐ-CP hướng dẫn thi hành.

1. Chúng tôi thu thập dữ liệu gì

Khi bạn tạo tài khoản và sử dụng dịch vụ, chúng tôi có thể thu thập:

Dữ liệu tài khoản: email, mật khẩu (được mã hoá một chiều — chúng tôi không lưu và không xem được mật khẩu gốc của bạn), họ tên, số điện thoại, ảnh đại diện.
Dữ liệu vận hành bạn nhập vào: sản phẩm, tồn kho, phiếu nhập/xuất, đơn hàng và thông tin khách hàng của bạn (tên, số điện thoại, địa chỉ giao hàng), đối tác, công nợ, số liệu tài chính.
Dữ liệu kỹ thuật: thời điểm đăng nhập, nhật ký đồng bộ và thao tác trên hệ thống — chỉ nhằm vận hành và bảo mật.

2. Mục đích và cơ sở xử lý

Chúng tôi xử lý dữ liệu để:

Cung cấp, duy trì và vận hành dịch vụ theo thoả thuận sử dụng.
Bảo mật tài khoản, xác thực đăng nhập, phòng chống gian lận và lạm dụng.
Hỗ trợ, liên hệ và thông báo các thay đổi quan trọng.
Tuân thủ nghĩa vụ theo quy định của pháp luật.

Cơ sở xử lý gồm: sự đồng ý của bạn, việc thực hiện thoả thuận sử dụng, và nghĩa vụ pháp luật. Theo Điều 9 Luật 91/2025/QH15, sự đồng ý của bạn là tự nguyện, theo từng mục đích cụ thể, và bạn có quyền rút lại sự đồng ý bất cứ lúc nào.

3. Dữ liệu cá nhân nhạy cảm

Một số dữ liệu liên quan đến thanh toán, công nợ và lịch sử giao dịch có thể được pháp luật xếp vào nhóm dữ liệu cá nhân nhạy cảm (Điều 2). Với nhóm này, chúng tôi áp dụng biện pháp bảo vệ tăng cường và chỉ xử lý trong phạm vi cần thiết cho việc vận hành dịch vụ.

4. Chia sẻ dữ liệu và bên thứ ba

Chúng tôi không mua, bán dữ liệu cá nhân của bạn (hành vi này bị nghiêm cấm theo Điều 7). Chúng tôi chỉ chia sẻ dữ liệu với các nhà cung cấp dịch vụ cần thiết để vận hành, gồm:

Supabase — lưu trữ cơ sở dữ liệu và xác thực tài khoản.
Cloudflare — lưu trữ hình ảnh (ảnh sản phẩm, ảnh đại diện).
Pancake / Poscake — đồng bộ đơn hàng và khách hàng (khi bạn kết nối kênh bán hàng).
Meta (Facebook) — đồng bộ chi phí quảng cáo (khi bạn kết nối tài khoản quảng cáo).

Các bên này chỉ được xử lý dữ liệu theo chỉ dẫn của chúng tôi và trong phạm vi dịch vụ họ cung cấp. Ngoài ra, chúng tôi có thể tiết lộ dữ liệu khi có yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền.

5. Lưu trữ dữ liệu ở nước ngoài

Một số nhà cung cấp dịch vụ nêu trên (như Supabase, Cloudflare) đặt máy chủ ngoài lãnh thổ Việt Nam, nên dữ liệu của bạn có thể được lưu trữ hoặc xử lý ở nước ngoài. Khi chuyển dữ liệu ra nước ngoài, chúng tôi thực hiện theo yêu cầu tại Điều 20–22 Luật 91/2025/QH15, bảo đảm áp dụng biện pháp bảo vệ tương xứng.

6. Bảo mật dữ liệu

Chúng tôi áp dụng nhiều lớp biện pháp kỹ thuật để bảo vệ dữ liệu:

Mật khẩu được mã hoá một chiều (băm) — không lưu ở dạng gốc.
Tách biệt dữ liệu theo từng cửa hàng, chỉ người có quyền mới truy cập được phần dữ liệu của mình.
Mã hoá các thông tin đăng nhập nhạy cảm mà bạn lưu trong hệ thống.
Truyền dữ liệu qua kết nối được mã hoá (HTTPS).

Khi xảy ra sự cố xâm phạm dữ liệu có thể ảnh hưởng đến bạn, chúng tôi sẽ thông báo cho cơ quan chuyên trách và cho bạn theo thời hạn mà pháp luật quy định (trong vòng 72 giờ kể từ khi phát hiện).

7. Thời gian lưu trữ

Chúng tôi lưu dữ liệu trong thời gian bạn sử dụng dịch vụ và trong thời hạn cần thiết để hoàn thành mục đích xử lý hoặc theo quy định của pháp luật. Khi hết mục đích hoặc khi bạn yêu cầu, chúng tôi sẽ xoá hoặc ẩn danh dữ liệu, trừ trường hợp phải lưu giữ theo luật.

8. Quyền của bạn

Là chủ thể dữ liệu, bạn có các quyền sau theo Luật Bảo vệ dữ liệu cá nhân:

Được biết về việc dữ liệu của bạn được xử lý.
Đồng ý hoặc không đồng ý cho xử lý dữ liệu; rút lại sự đồng ý bất cứ lúc nào.
Truy cập, xem và sao chép dữ liệu cá nhân của mình.
Chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu chưa chính xác.
Xoá hoặc yêu cầu xoá dữ liệu cá nhân của mình.
Yêu cầu hạn chế việc xử lý dữ liệu.
Phản đối việc xử lý dữ liệu trong các trường hợp luật cho phép.
Được thông báo khi xảy ra vi phạm liên quan đến dữ liệu của bạn.
Yêu cầu bồi thường thiệt hại khi có vi phạm theo quy định.
Khiếu nại, tố cáo hoặc khởi kiện theo quy định của pháp luật.

Nhiều quyền có thể thực hiện trực tiếp trong ứng dụng (xem, sửa hồ sơ, đổi mật khẩu, xoá dữ liệu). Với các yêu cầu khác, vui lòng liên hệ chúng tôi theo mục 12.

9. Nghĩa vụ của bạn

Cung cấp thông tin đầy đủ, chính xác khi đồng ý cho xử lý dữ liệu.
Tự bảo mật thông tin đăng nhập (mật khẩu) của tài khoản.
Tôn trọng và bảo vệ dữ liệu cá nhân của người khác mà bạn nhập vào hệ thống (ví dụ khách hàng của bạn).
Tuân thủ pháp luật về bảo vệ dữ liệu cá nhân.

10. Dữ liệu của trẻ em

Dịch vụ hướng tới tổ chức, hộ kinh doanh và người trưởng thành. Chúng tôi không chủ đích thu thập dữ liệu của trẻ em dưới 16 tuổi. Trường hợp có xử lý dữ liệu của trẻ em, chúng tôi tuân thủ Điều 26 Luật 91/2025/QH15 — trong đó, với trẻ từ đủ 7 tuổi, việc xử lý phải có sự đồng ý của cả trẻ và người đại diện theo pháp luật.

11. Cookie

Chúng tôi chỉ dùng cookie cần thiết để giữ bạn ở trạng thái đăng nhập và duy trì phiên làm việc an toàn. Chúng tôi không dùng cookie cho mục đích quảng cáo.

12. Liên hệ

Nếu bạn có câu hỏi hoặc muốn thực hiện các quyền nêu trên, vui lòng liên hệ:

Email: hotro@skinus.vn

13. Thay đổi chính sách

Chúng tôi có thể cập nhật chính sách này theo thời gian. Khi có thay đổi quan trọng, chúng tôi sẽ thông báo trên ứng dụng. Việc bạn tiếp tục sử dụng dịch vụ sau khi chính sách được cập nhật đồng nghĩa với việc bạn đồng ý với nội dung mới.