Chính sách bảo mật

Điều 1. Bên Kiểm soát dữ liệu cá nhân

1. Bên Kiểm soát dữ liệu cá nhân là Nguyen Huu Trong, địa chỉ Block C1 - Q7 Saigon Riverside Complex Apartment, 04 Dao Tri st, Phu Thuan ward, TP.HCM (sau đây gọi là “Chúng tôi”).
2. Mọi yêu cầu, khiếu nại liên quan đến dữ liệu cá nhân được tiếp nhận qua địa chỉ thư điện tử nguyenhuutrong2901@gmail.com.

Điều 2. Phạm vi áp dụng

1. Chính sách này áp dụng đối với toàn bộ dữ liệu cá nhân được xử lý thông qua Ứng dụng trên các nền tảng iOS và Android.
2. Chính sách này cũng áp dụng đối với hai trang web vernest.net và wealth.vernest.net (sau đây gọi chung là “Trang web”), trong phạm vi dữ liệu kỹ thuật phát sinh khi Bạn xem Trang web. Trang web không yêu cầu đăng nhập và không có ô nhập dữ liệu.
3. Chính sách này không áp dụng đối với dịch vụ, trang thông tin điện tử hoặc ứng dụng của bên thứ ba mà Bạn truy cập từ thiết bị của mình.

Điều 3. Dữ liệu cá nhân được xử lý

Chúng tôi chỉ xử lý những dữ liệu do chính Bạn cung cấp hoặc phát sinh trong quá trình Bạn sử dụng Ứng dụng, bao gồm:

1. Dữ liệu định danh tài khoản: địa chỉ thư điện tử và mật khẩu đã được mã hoá một chiều.
2. Dữ liệu hồ sơ do Bạn tự nhập: họ tên và ảnh đại diện. Ứng dụng KHÔNG thu thập ngày sinh, số điện thoại, tình trạng hôn nhân hay số người phụ thuộc của Bạn.
3. Dữ liệu tài chính do Bạn tự nhập: danh mục tài sản, khoản nợ, dòng tiền thu chi, mục tiêu tài chính và các ghi chú kèm theo.
4. Địa chỉ thư điện tử của người Bạn mời vào gia đình. Khi Bạn gửi lời mời, Chúng tôi lưu địa chỉ đó để đối chiếu lúc người được mời đăng nhập. Lời mời chưa được chấp nhận sẽ hết hiệu lực và bị xoá; Bạn cũng có thể thu hồi bất kỳ lúc nào trong Ứng dụng.
5. Dữ liệu kỹ thuật tối thiểu phục vụ vận hành: nhật ký lỗi và thời điểm truy cập hệ thống.
6. Khi Bạn xem Trang web: địa chỉ IP, thông tin trình duyệt và thời điểm truy cập, do nhà cung cấp hạ tầng Trang web ghi nhận tự động để phục vụ trang và chống tấn công. Trang web chỉ ghi nhớ ngôn ngữ Bạn chọn ngay trên trình duyệt của Bạn, và không đặt cookie theo dõi hay quảng cáo nào.
7. Chúng tôi KHÔNG kết nối tới tài khoản ngân hàng của Bạn, KHÔNG thu thập dữ liệu vị trí, danh bạ, tin nhắn hay lịch sử duyệt web, và KHÔNG thu thập dữ liệu nào ngoài phạm vi Bạn tự nhập vào Ứng dụng.

Điều 4. Mục đích xử lý dữ liệu cá nhân

Dữ liệu cá nhân được xử lý cho các mục đích sau và chỉ trong phạm vi các mục đích đó:

1. Tạo lập, xác thực và quản lý tài khoản của Bạn.
2. Tính toán và hiển thị lại cho Bạn các chỉ số tài chính từ chính dữ liệu Bạn đã nhập.
3. Cho phép các thành viên trong cùng một gia đình do Bạn thiết lập cùng xem và cập nhật dữ liệu chung.
4. Bảo đảm an toàn hệ thống, phát hiện và xử lý sự cố kỹ thuật.
5. Thực hiện nghĩa vụ theo quy định của pháp luật khi có yêu cầu hợp pháp từ cơ quan nhà nước có thẩm quyền.
6. Chúng tôi KHÔNG sử dụng dữ liệu của Bạn cho mục đích quảng cáo, tiếp thị, chấm điểm tín dụng hay phân tích hành vi thương mại.

Điều 5. Cơ sở pháp lý của việc xử lý

1. Việc xử lý dữ liệu cá nhân được thực hiện trên cơ sở sự đồng ý của Bạn theo Điều 9 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.
2. Sự đồng ý được lấy TÁCH RIÊNG theo từng mục đích, không tick sẵn, và không kèm điều kiện buộc phải đồng ý với mục đích khác — đúng khoản 4 Điều 9 của Luật. Ứng dụng lưu nhật ký từng lượt đồng ý kèm phiên bản chính sách tại thời điểm đó.
3. Bạn có quyền rút lại sự đồng ý tại bất kỳ thời điểm nào theo Điều 10 của Luật. Ứng dụng chỉ xin đồng ý cho mục đích cốt lõi nêu tại Điều "Mục đích xử lý dữ liệu cá nhân", nên việc rút lại đồng nghĩa chấm dứt dịch vụ và xoá tài khoản (thực hiện ngay trong mục Hồ sơ), vì Ứng dụng không thể vận hành nếu không xử lý dữ liệu Bạn nhập.
4. Việc rút lại sự đồng ý không áp dụng đối với hoạt động xử lý đã thực hiện TRƯỚC thời điểm Bạn yêu cầu, theo khoản 4 Điều 10 của Luật.

Điều 6. Chia sẻ dữ liệu cá nhân

1. Chúng tôi KHÔNG bán, KHÔNG cho thuê, KHÔNG trao đổi dữ liệu cá nhân của Bạn cho bất kỳ bên thứ ba nào vì mục đích thương mại.
2. Dữ liệu của Bạn được chia sẻ với các thành viên khác trong gia đình mà chính Bạn đã mời hoặc chấp thuận, trong phạm vi dữ liệu chung của gia đình đó.
3. Chúng tôi sử dụng dịch vụ hạ tầng lưu trữ và xác thực của Supabase Inc. với tư cách Bên Xử lý dữ liệu, trên cơ sở điều khoản xử lý dữ liệu trong hợp đồng dịch vụ giữa hai bên. Bên Xử lý dữ liệu chỉ được phép xử lý dữ liệu theo chỉ dẫn của Chúng tôi và có nghĩa vụ bảo mật tương đương.
4. Bạn có thể đọc cam kết bảo vệ dữ liệu của Bên Xử lý tại https://supabase.com/privacy và điều khoản xử lý dữ liệu tại https://supabase.com/legal/dpa.
5. Chúng tôi sử dụng dịch vụ gửi thư điện tử của Resend (Plus Five Five, Inc., Hoa Kỳ) với tư cách Bên Xử lý dữ liệu, chỉ để gửi cho Bạn các thư giao dịch do chính Bạn kích hoạt, như thư chứa mã đặt lại mật khẩu. Dữ liệu chuyển cho bên này CHỈ gồm địa chỉ thư điện tử của Bạn và nội dung thư đó; KHÔNG bao gồm bất kỳ dữ liệu tài chính nào.
6. Chúng tôi KHÔNG dùng dịch vụ này để gửi thư quảng cáo hay tiếp thị. Cam kết bảo vệ dữ liệu và điều khoản xử lý dữ liệu của Bên Xử lý này được công bố tại resend.com.
7. Trang web được đặt trên hạ tầng của Cloudflare, Inc. (Hoa Kỳ) với tư cách Bên Xử lý dữ liệu. Khi Bạn xem Trang web, Cloudflare nhận địa chỉ IP và thông tin trình duyệt của Bạn CHỈ để phục vụ trang và bảo vệ trang khỏi tấn công; Trang web KHÔNG chuyển cho bên này bất kỳ dữ liệu tài khoản hay dữ liệu tài chính nào. Cam kết bảo vệ dữ liệu và điều khoản xử lý dữ liệu của Bên Xử lý này được công bố tại cloudflare.com.
8. Chúng tôi chỉ cung cấp dữ liệu cho cơ quan nhà nước có thẩm quyền khi có văn bản yêu cầu hợp pháp theo quy định của pháp luật Việt Nam.

Điều 7. Chuyển dữ liệu cá nhân ra nước ngoài

1. Dữ liệu của Bạn được lưu trên máy chủ đặt tại SINGAPORE. Do đó, việc xử lý dữ liệu cá nhân của Bạn bao gồm hoạt động chuyển dữ liệu cá nhân xuyên biên giới theo Điều 20 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.
2. Ngoài ra, khi Ứng dụng gửi cho Bạn một thư giao dịch (như thư chứa mã đặt lại mật khẩu), địa chỉ thư điện tử của Bạn được chuyển tới máy chủ của nhà cung cấp dịch vụ gửi thư đặt tại HOA KỲ. Đây cũng là hoạt động chuyển dữ liệu cá nhân xuyên biên giới. Phạm vi dữ liệu chuyển đi giới hạn ở địa chỉ thư điện tử và nội dung thư giao dịch; dữ liệu tài chính của Bạn KHÔNG rời khỏi hạ tầng lưu trữ nêu trên.
3. Khi Bạn xem Trang web, địa chỉ IP và thông tin trình duyệt của Bạn được xử lý trên mạng máy chủ của nhà cung cấp hạ tầng Trang web, có trụ sở tại HOA KỲ. Đây cũng là hoạt động chuyển dữ liệu cá nhân xuyên biên giới, giới hạn ở dữ liệu kỹ thuật nêu tại Điều “Dữ liệu cá nhân được xử lý”.
4. Chúng tôi thực hiện đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và lập hồ sơ gửi cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong các trường hợp pháp luật yêu cầu, và cung cấp hồ sơ cho cơ quan có thẩm quyền khi được yêu cầu.
5. Việc chuyển dữ liệu khi Bạn dùng Ứng dụng nằm trong sự đồng ý Bạn đã đánh dấu với Chính sách này; Chúng tôi không coi việc Bạn chỉ mở Ứng dụng là đồng ý.

Điều 8. Thời gian lưu trữ dữ liệu

1. Dữ liệu cá nhân được lưu trữ trong suốt thời gian tài khoản của Bạn còn hoạt động.
2. Nếu Bạn là CHỦ GIA ĐÌNH và xoá tài khoản mà không chuyển quyền chủ gia đình cho người khác trước, toàn bộ dữ liệu của gia đình đó — tài sản, khoản nợ, giao dịch, mục tiêu, kỳ chốt sổ, hồ sơ và ảnh của mọi thành viên, kể cả ảnh do thành viên khác tải lên — bị xoá vĩnh viễn khỏi hệ thống và KHÔNG THỂ khôi phục. Các thành viên khác mất quyền truy cập gia đình đó; tài khoản của họ vẫn còn.
3. Nếu Bạn là THÀNH VIÊN (không phải chủ gia đình) và xoá tài khoản, Chúng tôi xoá tài khoản đăng nhập, địa chỉ thư điện tử và ảnh đại diện của Bạn. Dữ liệu chung của gia đình (tài sản, giao dịch, mục tiêu và ảnh của chúng) thuộc về gia đình nên được giữ lại, cùng hồ sơ thành viên mang tên hiển thị của Bạn — không còn gắn tài khoản nào, dùng ảnh mặc định — để những khoản đóng góp đã ghi vẫn gắn đúng người. Chủ gia đình có thể xoá hồ sơ đó, trừ khi nó có đóng góp nằm trong kỳ đã chốt sổ.
4. Bản sao lưu kỹ thuật (nếu có) được xoá theo chu kỳ sao lưu, tối đa không quá 30 ngày kể từ thời điểm xoá tài khoản.
5. Nhật ký hoạt động (ghi lại việc ai đã xoá dữ liệu nào trong gia đình, ai đã mời, nhận lời mời hay bị gỡ khỏi gia đình, kèm tên người thực hiện và — với lời mời — địa chỉ thư điện tử được mời) chỉ được lưu giữ trong 24 tháng gần nhất. Sau thời hạn này, các bản ghi cũ hơn bị xoá tự động và không còn truy cập được.

Điều 9. Biện pháp bảo vệ dữ liệu cá nhân

1. Toàn bộ dữ liệu được mã hoá trên đường truyền bằng giao thức HTTPS/TLS và được mã hoá khi lưu trữ tại máy chủ.
2. Mật khẩu được lưu dưới dạng băm một chiều; Chúng tôi không lưu và không thể đọc được mật khẩu gốc của Bạn.
3. Hệ thống áp dụng cơ chế phân quyền ở tầng cơ sở dữ liệu (Row-Level Security) bảo đảm mỗi gia đình chỉ truy cập được dữ liệu của chính gia đình mình.
4. Chúng tôi thực hiện các biện pháp kỹ thuật và tổ chức hợp lý nhằm phòng ngừa truy cập trái phép, tuy nhiên không một hệ thống nào có thể bảo đảm an toàn tuyệt đối.

Điều 10. Quyền của chủ thể dữ liệu

Theo Điều 4 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Bạn có các quyền sau đối với dữ liệu cá nhân của mình:

1. Quyền được biết về hoạt động xử lý dữ liệu cá nhân của mình.
2. Quyền đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân của mình.
3. Quyền truy cập để xem, chỉnh sửa dữ liệu cá nhân của mình; Ứng dụng cung cấp sẵn chức năng này trong mục Hồ sơ.
4. Quyền rút lại sự đồng ý.
5. Quyền xoá dữ liệu; Ứng dụng cung cấp sẵn chức năng xoá tài khoản, với phạm vi dữ liệu bị xoá nêu tại điều Thời gian lưu trữ dữ liệu.
6. Quyền yêu cầu cung cấp dữ liệu, hạn chế xử lý dữ liệu, và gửi yêu cầu phản đối việc xử lý dữ liệu cá nhân của mình.
7. Quyền khiếu nại, tố cáo, khởi kiện và quyền yêu cầu bồi thường thiệt hại theo quy định của pháp luật.
8. Quyền yêu cầu cơ quan có thẩm quyền hoặc bên liên quan áp dụng các biện pháp bảo vệ dữ liệu cá nhân của mình.
9. Để thực hiện các quyền nêu trên, Bạn gửi yêu cầu tới nguyenhuutrong2901@gmail.com. Chúng tôi tiếp nhận và thực hiện trong thời hạn pháp luật quy định.

Điều 11. Dữ liệu cá nhân của trẻ em

1. Ứng dụng được thiết kế cho người sử dụng từ đủ 16 tuổi trở lên. Chúng tôi không chủ động thu thập dữ liệu cá nhân của trẻ em dưới 16 tuổi.
2. Trường hợp Bạn nhập thông tin về người phụ thuộc là trẻ em trong hồ sơ gia đình, Bạn xác nhận mình là người đại diện theo pháp luật của trẻ và thực hiện quyền của chủ thể dữ liệu thay cho trẻ theo Điều 24 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. Với trẻ em từ đủ 07 tuổi trở lên, việc công bố hoặc tiết lộ thông tin về đời sống riêng tư của trẻ còn phải có sự đồng ý của chính trẻ em đó.
3. Nếu phát hiện dữ liệu của trẻ em được cung cấp không đúng quy định, Bạn vui lòng thông báo tới nguyenhuutrong2901@gmail.com để Chúng tôi xoá bỏ.

Điều 12. Thông báo vi phạm dữ liệu cá nhân

1. Trường hợp phát hiện vi phạm quy định bảo vệ dữ liệu cá nhân, Chúng tôi thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân theo quy định của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, đồng thời ngăn chặn hành vi vi phạm và khắc phục hậu quả.
2. Chúng tôi đồng thời thông báo cho Bạn qua địa chỉ thư điện tử đã đăng ký khi vi phạm có khả năng ảnh hưởng tới quyền và lợi ích của Bạn.

Điều 13. Sửa đổi Chính sách

1. Chúng tôi có thể sửa đổi Chính sách này để phù hợp với thay đổi của pháp luật hoặc của Ứng dụng.
2. Bản sửa đổi được công bố ngay trong Ứng dụng kèm ngày hiệu lực mới. Trước khi Bạn tiếp tục sử dụng, Ứng dụng hỏi lại sự đồng ý của Bạn với bản sửa đổi; Chúng tôi không coi việc Bạn im lặng hay tiếp tục mở Ứng dụng là đồng ý.
3. Nếu không đồng ý, ngay tại bước hỏi đó Bạn có thể đăng xuất, hoặc xoá tài khoản (và xuất dữ liệu của mình trước khi xoá).

Điều 14. Liên hệ

1. Mọi thắc mắc, yêu cầu hoặc khiếu nại liên quan đến Chính sách này xin gửi về: Nguyen Huu Trong, Block C1 - Q7 Saigon Riverside Complex Apartment, 04 Dao Tri st, Phu Thuan ward, TP.HCM, thư điện tử nguyenhuutrong2901@gmail.com.