Chính sách bảo mật và xử lý dữ liệu cá nhân

Tài liệu mô tả dữ liệu CorealX thu thập, mục đích xử lý và quyền của chủ thể dữ liệu.

1. Dữ liệu được xử lý

CorealX có thể xử lý: họ tên, số điện thoại, email; thông tin đơn hàng và URL chiến dịch; nội dung thanh toán, mã giao dịch, số tiền và trạng thái đối soát; lịch sử hỗ trợ/khiếu nại; địa chỉ IP, user-agent, thời điểm và nhật ký bảo mật; thông tin hóa đơn do khách hàng chủ động cung cấp.

CorealX không yêu cầu khách hàng cung cấp mật khẩu ngân hàng, mã OTP hoặc dữ liệu cá nhân nhạy cảm không cần thiết cho dịch vụ.

2. Mục đích xử lý

• Tạo, xác minh, thực hiện và quản lý đơn hàng;
• Đối soát thanh toán, hoàn tiền, xuất hóa đơn/chứng từ;
• Vận hành, bảo mật, chống gian lận và lưu bằng chứng giao dịch;
• Hỗ trợ khách hàng, giải quyết khiếu nại và tranh chấp;
• Thực hiện nghĩa vụ pháp lý, kế toán, thuế và yêu cầu hợp pháp của cơ quan có thẩm quyền;
• Gửi nội dung tiếp thị chỉ khi khách hàng có lựa chọn đồng ý riêng và có thể rút lại.

3. Cơ sở và cách thức đồng ý

Sự đồng ý xử lý dữ liệu để thực hiện đơn hàng được thể hiện bằng ô tích riêng, không gộp với đồng ý tiếp thị. Khách hàng có thể không đồng ý nhận tiếp thị mà vẫn sử dụng dịch vụ. Việc rút lại đồng ý không làm ảnh hưởng tính hợp pháp của hoạt động xử lý đã thực hiện trước đó hoặc dữ liệu CorealX phải lưu theo nghĩa vụ pháp luật.

4. Bên nhận dữ liệu

Dữ liệu có thể được chia sẻ trong phạm vi cần thiết với ngân hàng/cổng đối soát, đơn vị hóa đơn điện tử, nhà cung cấp hosting, email/SMS, bảo mật, kế toán, tư vấn chuyên môn và cơ quan nhà nước có thẩm quyền. CorealX yêu cầu bên xử lý tuân thủ mục đích, bảo mật và giới hạn truy cập phù hợp.

5. Thời gian lưu giữ

Dữ liệu được lưu trong thời gian cần thiết để thực hiện dịch vụ, bảo hành/đối soát, giải quyết tranh chấp và đáp ứng nghĩa vụ kế toán, thuế, giao dịch điện tử hoặc nghĩa vụ pháp lý khác. Dữ liệu không còn cần thiết sẽ được xóa, ẩn danh hoặc hạn chế xử lý theo quy trình nội bộ, trừ trường hợp pháp luật yêu cầu tiếp tục lưu.

6. Quyền của chủ thể dữ liệu

Trong phạm vi pháp luật, khách hàng có quyền được biết; đồng ý hoặc rút lại đồng ý; truy cập, xem, chỉnh sửa; yêu cầu hạn chế, phản đối, xóa dữ liệu; yêu cầu cung cấp dữ liệu; khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường khi quyền bị xâm phạm. Một số yêu cầu có thể bị giới hạn nếu dữ liệu phải được lưu để thực hiện nghĩa vụ pháp lý hoặc bảo vệ quyền hợp pháp của các bên.

7. Bảo mật và sự cố

CorealX áp dụng phân quyền, nhật ký truy cập, bảo vệ webhook, sao lưu và các biện pháp kỹ thuật/tổ chức phù hợp. Không hệ thống nào an toàn tuyệt đối; khi phát hiện sự cố, CorealX thực hiện cô lập, đánh giá, khắc phục và thông báo theo yêu cầu pháp luật.

8. Liên hệ về dữ liệu cá nhân

Yêu cầu liên quan dữ liệu cá nhân gửi đến info@hiba.vn. CorealX có thể yêu cầu xác minh danh tính hợp lý trước khi xử lý để tránh tiết lộ dữ liệu cho người không có quyền.

Ngày áp dụng: 28/07/2026. Tài liệu này được áp dụng cùng pháp luật Việt Nam hiện hành. Trường hợp một điều khoản không còn phù hợp pháp luật, phần còn lại vẫn được áp dụng trong phạm vi pháp luật cho phép.