Thỏa thuận này là một phần của Điều khoản sử dụng Spafy, được lập theo Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân (NĐ 13) giữa:
- Bên kiểm soát dữ liệu: chủ cửa hàng sử dụng Spafy ("Cửa hàng") — quyết định mục đích và phương tiện xử lý dữ liệu khách hàng của mình.
- Bên xử lý dữ liệu: Spafy ("Spafy") — xử lý dữ liệu thay mặt Cửa hàng, chỉ theo chỉ dẫn của Cửa hàng thể hiện qua cấu hình và thao tác trên phần mềm. Thông tin pháp nhân: TODO(legal).
Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực từ 01/01/2026; các điều dẫn chiếu NĐ 13 trong bản nháp này cần được luật sư cập nhật theo văn bản đang có hiệu lực.
1. Mục đích xử lý
- Nhận và quản lý lịch hẹn (đặt, xác nhận, huỷ, nhắc lịch), xếp giường và thợ.
- Quản lý hồ sơ khách và lịch sử dịch vụ để phục vụ khách quay lại.
- Ghi nhận doanh thu, thẻ liệu trình, báo cáo và sổ sách của Cửa hàng.
- Gửi thông báo lịch hẹn tới khách qua Zalo Official Account của Cửa hàng (nếu Cửa hàng kết nối) và thông báo nội bộ tới chủ/thợ qua Telegram.
Spafy không dùng dữ liệu khách của Cửa hàng cho mục đích riêng của Spafy, không quảng cáo, không bán hay chia sẻ cho bên thứ ba ngoài các bên xử lý phụ ở mục 5.
2. Loại dữ liệu và chủ thể dữ liệu
| Chủ thể | Dữ liệu (dữ liệu cá nhân cơ bản) |
|---|---|
| Khách hàng của Cửa hàng | Họ tên (và các tên đã dùng khi đặt), số điện thoại, mã người dùng Zalo (nếu đăng nhập Zalo), ngày sinh (tuỳ chọn), lịch hẹn, dịch vụ đã dùng, thẻ liệu trình, số tiền đã chi, số lần không đến/huỷ muộn, ghi chú sở thích dịch vụ, thời điểm đồng ý xử lý dữ liệu. |
| Thợ / nhân viên | Tên, tên hiển thị, mã Telegram, lịch làm, doanh thu và hoa hồng bán thẻ. |
| Chủ cửa hàng | Họ tên, email, số điện thoại, Zalo, mã Telegram. |
Phần mềm được thiết kế để không thu thập dữ liệu cá nhân nhạy cảm: ghi chú chỉ dành cho sở thích dịch vụ (lực massage, loại dầu), không ghi tình trạng sức khoẻ. Cửa hàng cam kết hướng dẫn nhân viên tuân thủ.
3. Phạm vi và cách thức xử lý
- Thu thập (qua form đặt lịch, đăng nhập Zalo, nhập tay trong CRM), lưu trữ, sắp xếp, hiển thị cho người có quyền, sửa, gộp/tách hồ sơ, xuất file theo yêu cầu của Cửa hàng, ẩn danh hoá và xoá.
- Thợ chỉ thấy lịch của mình và số điện thoại đã che; nhóm Telegram nội bộ chỉ nhận tên gọi khách + 3 số cuối điện thoại, không có số tiền.
- Nhân sự Spafy chỉ truy cập dữ liệu của Cửa hàng khi cần hỗ trợ/sửa lỗi, qua phiên "xem với tư cách cửa hàng" có giới hạn thời gian và được ghi nhật ký.
4. Nghĩa vụ của Spafy (bên xử lý)
- Chỉ xử lý dữ liệu theo chỉ dẫn của Cửa hàng và theo Thỏa thuận này.
- Bảo đảm người được phép truy cập dữ liệu có nghĩa vụ bảo mật.
- Áp dụng các biện pháp bảo vệ ở mục 6; hỗ trợ Cửa hàng lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (Điều 24 NĐ 13) trong phạm vi phần mềm.
- Hỗ trợ Cửa hàng đáp ứng yêu cầu của chủ thể dữ liệu (mục 8).
- Thông báo vi phạm theo mục 7; xoá/trả dữ liệu khi kết thúc theo mục 9.
- Không sử dụng bên xử lý phụ mới mà không thông báo trước cho Cửa hàng (mục 5).
5. Bên xử lý phụ (bên thứ ba tham gia xử lý)
| Bên | Vai trò | Dữ liệu liên quan | Vị trí |
|---|---|---|---|
| Cloudflare, Inc. | Chạy ứng dụng (Workers), kết nối cơ sở dữ liệu (Hyperdrive), chống spam (Turnstile), lưu bản sao lưu đã mã hoá (R2) | Mọi dữ liệu khi truyền qua; bản sao lưu đã mã hoá | Mạng toàn cầu; công ty tại Hoa Kỳ |
| Nhà cung cấp máy chủ (VPS) — TODO(legal): tên, quốc gia đặt máy chủ | Lưu trữ cơ sở dữ liệu và hệ thống đăng nhập (phần mềm Supabase do Spafy tự vận hành) | Toàn bộ dữ liệu ở mục 2 | TODO(legal) |
| Zalo (Công ty Cổ phần VNG) | Đăng nhập Zalo của khách; gửi tin ZNS qua OA của Cửa hàng | Mã người dùng Zalo, tên Zalo; số điện thoại, tên khách, mã lịch, giờ hẹn, dịch vụ trong tin ZNS | Việt Nam |
| Telegram (Telegram Messenger Inc.) | Thông báo nội bộ cho chủ và thợ | Tên gọi khách, 3 số cuối điện thoại, dịch vụ, giờ; số tiền chỉ trong tin riêng tới chủ/thợ liên quan | Ngoài Việt Nam |
| GitHub, Inc. | Chạy tác vụ sao lưu tự động (dữ liệu được mã hoá trước khi rời máy chạy) | Bản sao lưu khi đang mã hoá | Hoa Kỳ |
| Dịch vụ gửi email (TODO(legal): tên nhà cung cấp SMTP) | Gửi email mời/đặt lại mật khẩu cho chủ cửa hàng | Email, tên chủ cửa hàng, tên cửa hàng | TODO(legal) |
Spafy thông báo cho Cửa hàng trước ít nhất 15 ngày khi thêm hoặc thay bên xử lý phụ; Cửa hàng có quyền phản đối và chấm dứt sử dụng.
6. Biện pháp bảo vệ dữ liệu
- Tách dữ liệu từng cửa hàng ở tầng cơ sở dữ liệu (row-level security); phần mềm dùng các tài khoản cơ sở dữ liệu quyền tối thiểu.
- Kết nối mã hoá (TLS) giữa trình duyệt, ứng dụng và cơ sở dữ liệu; cơ sở dữ liệu chỉ nhận kết nối mã hoá từ các tài khoản ứng dụng.
- Đăng nhập chủ cửa hàng có xác thực hai lớp; phiên đăng nhập tự hết sau 60 phút không dùng; trang quản trị Spafy sau lớp xác thực Cloudflare Access.
- Không ghi tên, số điện thoại, nội dung ghi chú, token vào nhật ký kỹ thuật; nhật ký thao tác (audit) cho mọi thao tác ghi và xuất dữ liệu.
- Giới hạn số lần truy cập, chống spam; không có chức năng tra cứu khách theo số điện thoại cho người ngoài.
- Sao lưu hằng ngày; bản sao lưu ngoài máy chủ được mã hoá trước khi lưu.
- Bí mật hệ thống (mật khẩu, khoá) không lưu trong mã nguồn.
7. Thông báo vi phạm dữ liệu cá nhân
- Khi phát hiện vi phạm (lộ, mất, truy cập trái phép) liên quan dữ liệu của Cửa hàng, Spafy thông báo cho Cửa hàng nhanh nhất có thể và không muộn hơn 72 giờ kể từ khi phát hiện, kèm: mô tả sự việc, loại và số lượng dữ liệu ước tính, hậu quả có thể xảy ra, biện pháp đã và sẽ áp dụng, đầu mối liên hệ.
- Spafy hỗ trợ Cửa hàng thực hiện nghĩa vụ thông báo tới cơ quan chuyên trách (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao — Bộ Công an) trong thời hạn 72 giờ theo Điều 23 NĐ 13.
8. Quyền của chủ thể dữ liệu
Khách hàng có quyền được biết, đồng ý, truy cập, chỉnh sửa, xoá, hạn chế xử lý, phản đối xử lý và rút lại sự đồng ý. Khách gửi yêu cầu tới Cửa hàng (hotline trên trang web đặt lịch) hoặc qua trang tài khoản (nếu đăng nhập Zalo). Phần mềm hỗ trợ Cửa hàng xem, sửa, xuất và ẩn danh hoá dữ liệu của một khách. Spafy chuyển cho Cửa hàng mọi yêu cầu khách gửi nhầm tới Spafy trong 3 ngày làm việc.
9. Thời hạn lưu trữ, xoá dữ liệu khi kết thúc
- Khách không quay lại trong 24 tháng (Cửa hàng chỉnh được) được tự động ẩn danh hoá, trừ khách còn thẻ liệu trình đang hiệu lực.
- Khi Cửa hàng đóng: dữ liệu giữ 30 ngày để Cửa hàng xuất về, sau đó bị xoá vĩnh viễn khỏi cơ sở dữ liệu theo yêu cầu thực hiện của quản trị Spafy; bản sao lưu chứa dữ liệu này tự hết hạn theo chu kỳ lưu giữ (tối đa 30 ngày).
- Spafy không giữ lại bản sao nào khác sau thời hạn trên, trừ khi pháp luật yêu cầu.
10. Chuyển dữ liệu ra nước ngoài
Một số bên xử lý phụ ở mục 5 đặt máy chủ hoặc trụ sở ngoài Việt Nam (Cloudflare, Telegram, GitHub), nên việc xử lý có thể bao gồm chuyển dữ liệu cá nhân ra nước ngoài. Theo Điều 25 NĐ 13, bên chuyển dữ liệu phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và gửi Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao trong 60 ngày kể từ ngày xử lý. Spafy lập hồ sơ cho phần việc của mình và cung cấp thông tin để Cửa hàng hoàn thiện hồ sơ của Cửa hàng. TODO(legal): luật sư xác định bên nào nộp hồ sơ nào, mẫu hồ sơ, và nghĩa vụ theo Luật Bảo vệ dữ liệu cá nhân 2025.
11. Kiểm tra và hiệu lực
Cửa hàng có thể yêu cầu Spafy cung cấp thông tin chứng minh việc tuân thủ Thỏa thuận này (mô tả biện pháp bảo vệ, nhật ký truy cập của nhân sự Spafy vào dữ liệu Cửa hàng). Thỏa thuận có hiệu lực từ khi Cửa hàng bắt đầu sử dụng Spafy đến khi dữ liệu được xoá theo mục 9.