Chính sách bảo mật

1. Bên kiểm soát dữ liệu

odau.vn — Dự án khởi nghiệp cá nhân của Ngô Chí Tâm
Địa chỉ: Tỉnh Vĩnh Long mới (vùng Bến Tre), Việt Nam
Email liên hệ bảo mật: privacy@odau.vn

2. Dữ liệu chúng tôi thu thập

Chúng tôi không thu thập CCCD, hộ chiếu, dữ liệu sinh trắc học hay thông tin thẻ ngân hàng.

3. Mục đích sử dụng dữ liệu

• Xác minh danh tính và bảo mật tài khoản
• Cung cấp và cải thiện dịch vụ khám phá địa điểm
• Tính điểm tin cậy dựa trên hành vi (thuật toán xác định)
• Gửi thông báo về đánh giá, liên hệ và hoạt động liên quan
• Phát hiện và ngăn chặn gian lận, spam
• Tuân thủ nghĩa vụ pháp lý

4. Chia sẻ dữ liệu

odau.vn KHÔNG bán hoặc chia sẻ dữ liệu cá nhân cho bên thứ ba.

Dữ liệu có thể được chia sẻ với:

• Nhà cung cấp dịch vụ kỹ thuật: Supabase (database/auth), Vercel (hosting), Upstash (cache) — trong khuôn khổ hợp đồng bảo mật
• Cơ quan nhà nước: khi có yêu cầu hợp pháp theo quy định pháp luật

4a. Vị trí lưu trữ dữ liệu

Dữ liệu của bạn được lưu trữ tại Singapore bởi Supabase (nhà cung cấp hạ tầng). Supabase tuân thủ SOC 2 Type II và cam kết bảo vệ dữ liệu theo tiêu chuẩn quốc tế.

Khi chuyển dữ liệu ra khỏi Việt Nam, chúng tôi tuân thủ Điều 25-26 Nghị định 13/2023/NĐ-CP về chuyển dữ liệu cá nhân xuyên biên giới, bao gồm đánh giá tác động và biện pháp bảo vệ phù hợp.

5. Lưu trữ dữ liệu

• Dữ liệu tài khoản: lưu trong suốt thời gian tài khoản tồn tại
• Sau khi xóa tài khoản: dữ liệu cá nhân được ẩn danh hóa trong 30 ngày rồi xóa
• Logs kỹ thuật: tối đa 90 ngày
• Dữ liệu vị trí: không lưu trữ — chỉ dùng trong phiên tìm kiếm

6. Quyền của bạn (theo PDPL)

• Quyền truy cập: xem dữ liệu cá nhân của bạn trong phần Cài đặt tài khoản
• Quyền chỉnh sửa: cập nhật thông tin trong phần Hồ sơ cá nhân
• Quyền xóa: bạn có quyền yêu cầu xóa tài khoản và dữ liệu cá nhân. Bạn có thể xóa tài khoản trực tiếp trong phần Cài đặt hoặc gửi yêu cầu qua email privacy@odau.vn. Sau khi yêu cầu xóa, tài khoản sẽ bị lưu trữ tạm (archived) trong 30 ngày — bạn có thể khôi phục trong thời gian này. Sau 30 ngày, dữ liệu sẽ bị xóa vĩnh viễn và không thể khôi phục. Các đánh giá và bài đăng của bạn sẽ được ẩn danh hóa (hiển thị là “Người dùng đã xóa”).
• Quyền phản đối: opt-out khỏi thông báo không quan trọng trong Cài đặt
• Quyền di chuyển dữ liệu: yêu cầu xuất dữ liệu của bạn (xử lý trong 30 ngày)

7. Bảo mật dữ liệu

• HTTPS cho toàn bộ kết nối
• Mật khẩu không được lưu trữ — chỉ xác minh qua OTP SMS
• JWT token với thời hạn ngắn (access token 15 phút, refresh token 30 ngày)
• Row-level security trên database

8. Cookie và localStorage

• Cookie HttpOnly: lưu access token và refresh token (bảo mật, cần thiết)
• localStorage: lưu lịch sử tìm kiếm gần đây và địa điểm đã xem (chỉ trên thiết bị của bạn, không gửi lên server)

Chúng tôi không dùng cookie theo dõi quảng cáo của bên thứ ba.

9. Liên hệ về bảo mật

Mọi yêu cầu liên quan đến quyền dữ liệu cá nhân: privacy@odau.vn
Thời gian phản hồi tối đa: 30 ngày làm việc theo quy định PDPL.