Chính sách bảo mật dữ liệu cá nhân
Phiên bản 1.0 · Cập nhật ngày 02/11/2026
Chính sách này giải thích cách Norvix xử lý dữ liệu cá nhân theo Luật Bảo vệ dữ liệu cá nhân 2025 (Luật số 91/2025/QH15) và văn bản hướng dẫn. Có hai nhóm người liên quan, và vai trò của Norvix với mỗi nhóm khác nhau.
| Nhóm | Ví dụ | Vai trò của Norvix |
|---|---|---|
| Khách hàng của Norvix | Chủ shop, nhân viên được cấp quyền | Bên kiểm soát dữ liệu |
| Khách của shop | Người nhắn tin với Fanpage dùng Norvix Autobot | Bên xử lý dữ liệu cho shop, theo Thỏa thuận xử lý dữ liệu. Shop là bên kiểm soát. |
1. Dữ liệu thu thập
Của khách hàng Norvix
- Tài khoản: họ tên, tên shop, email, số điện thoại, mật khẩu (chỉ lưu dạng băm Argon2), mã 2FA (mã hóa).
- Thanh toán và hóa đơn: mã giao dịch, số tiền, ngân hàng và nội dung chuyển khoản do SePay gửi về; tên, mã số thuế, địa chỉ, email nhận hóa đơn.
- Kết nối: mã Fanpage, mã truy cập Fanpage (mã hóa AES-256), mã chat Telegram.
- Kỹ thuật: địa chỉ IP, trình duyệt, thời điểm đăng nhập, nhật ký lỗi.
Của khách của shop (xử lý thay shop)
- Mã định danh Messenger theo Fanpage do Meta cấp, nội dung tin nhắn gửi Fanpage.
- Thông tin khách tự cung cấp khi đặt hàng: họ tên, số điện thoại, địa chỉ nhận hàng, sản phẩm.
Norvix không thu thập danh sách bạn bè, bài đăng, ảnh cá nhân hay dữ liệu Facebook nào khác. Norvix không chủ động thu thập dữ liệu cá nhân nhạy cảm; bot được cấu hình không hỏi thông tin sức khỏe, tài chính, số căn cước.
2. Mục đích và căn cứ xử lý
- Cung cấp Dịch vụ theo hợp đồng: tạo tài khoản, chạy chatbot, tạo đơn, xác nhận thanh toán, gửi thông báo.
- Thực hiện nghĩa vụ pháp luật: xuất hóa đơn, lưu chứng từ kế toán, phối hợp với cơ quan có thẩm quyền khi có yêu cầu hợp lệ.
- Bảo mật và chống gian lận: phát hiện đăng nhập bất thường, chống tấn công.
- Gửi tin khuyến mãi của Norvix chỉ khi bạn đồng ý riêng; có thể rút lại bất cứ lúc nào.
Norvix không bán dữ liệu cá nhân, không dùng hội thoại của khách của shop để quảng cáo hay để huấn luyện mô hình AI.
3. Bên nhận và chuyển dữ liệu ra nước ngoài
| Bên | Việc | Dữ liệu | Nơi xử lý |
|---|---|---|---|
| Anthropic PBC | Mô hình Claude soạn câu trả lời | Tin nhắn gần nhất, dữ liệu shop | Hoa Kỳ |
| OpenAI | Tạo ảnh đăng bài | Mô tả ảnh do chủ shop nhập (không gồm dữ liệu khách của shop) | Hoa Kỳ |
| Meta Platforms | Nhận và gửi tin nhắn Messenger, đăng bài | Tin nhắn, bài đăng | Hoa Kỳ, Ireland |
| SePay | Báo giao dịch chuyển khoản | Số tiền, nội dung chuyển khoản | Việt Nam |
| Telegram | Gửi thông báo cho chủ shop | Mã đơn, tên khách, số tiền | Ngoài Việt Nam |
| Vietnix (Việt Nam) | Máy chủ lưu trữ | Toàn bộ dữ liệu Dịch vụ | Việt Nam |
Theo điều khoản thương mại của Anthropic và OpenAI, dữ liệu gửi qua API không được dùng để huấn luyện mô hình. Việc chuyển dữ liệu ra nước ngoài được Norvix lập hồ sơ đánh giá tác động theo Luật Bảo vệ dữ liệu cá nhân và chỉ gửi phần dữ liệu cần cho từng việc. Norvix cung cấp dữ liệu cho cơ quan nhà nước khi có yêu cầu bằng văn bản đúng thẩm quyền.
4. Thời gian lưu
| Dữ liệu | Thời gian lưu |
|---|---|
| Hội thoại Messenger | 12 tháng kể từ tin nhắn, sau đó tự xóa |
| Đơn hàng | Trong thời gian dùng Dịch vụ; xóa khi shop xóa hoặc xóa tài khoản |
| Tài khoản | Trong thời gian dùng Dịch vụ; xóa trong 30 ngày sau khi yêu cầu xóa tài khoản |
| Chứng từ thanh toán, hóa đơn | 10 năm theo Luật Kế toán |
| Phiên đăng nhập | 30 ngày |
| Nhật ký kỹ thuật, bản sao lưu | 14 đến 90 ngày |
5. Bảo vệ dữ liệu
- Kết nối HTTPS; mật khẩu băm Argon2; mã Fanpage, khóa SePay, khóa 2FA mã hóa AES-256-GCM.
- Xác thực 2 lớp, khóa tạm khi nhập sai mật khẩu nhiều lần, giới hạn tần suất truy cập.
- Webhook SePay và Facebook được kiểm khóa và chữ ký trước khi xử lý.
- Chỉ nhân sự được phân công mới truy cập máy chủ, có ghi nhật ký; sao lưu hằng đêm.
- Khi có sự cố lộ lọt, Norvix thông báo cơ quan chuyên trách trong 72 giờ, báo shop bị ảnh hưởng trong 24 giờ kể từ khi phát hiện và báo người bị ảnh hưởng khi có rủi ro với họ.
6. Quyền của bạn
Bạn có quyền được biết, đồng ý hoặc không đồng ý, rút lại đồng ý, xem, chỉnh sửa, yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu, phản đối xử lý, khiếu nại, khởi kiện và yêu cầu bồi thường theo quy định.
- Chủ shop tự xem, sửa trong mục Cài đặt; xóa tài khoản trong Cài đặt hoặc gửi email.
- Khách của shop gửi yêu cầu cho shop, hoặc nhắn
XÓA DỮ LIỆUvào Fanpage, hoặc email cho Norvix. Xem Hướng dẫn xóa dữ liệu. - Norvix xác nhận đã nhận yêu cầu trong 72 giờ và hoàn tất trong tối đa 15 ngày, trừ dữ liệu luật buộc phải lưu.
7. Cookie
Website chỉ dùng một cookie cần thiết nvx_sid để giữ đăng nhập (30 ngày, không đọc được bằng JavaScript). Không dùng cookie quảng cáo hay theo dõi bên thứ ba. Phông chữ tải từ Google Fonts nên Google nhận địa chỉ IP của trình duyệt khi tải trang.
8. Trẻ em
Dịch vụ dành cho người kinh doanh từ 18 tuổi. Shop bán hàng cho trẻ em dưới 16 tuổi phải tự bảo đảm có sự đồng ý của cha mẹ hoặc người giám hộ theo luật.
9. Liên hệ về dữ liệu cá nhân
Bộ phận bảo vệ dữ liệu cá nhân: ông Ôn Mạnh Dũng (Giám đốc), email norvixgroup2026@gmail.com, điện thoại 0333 453 444. Chính sách thay đổi sẽ được báo trước 15 ngày qua email và dashboard.