Chính sách quyền riêng tư

1. Giới thiệu và phạm vi áp dụng

Lavix là nền tảng vận hành doanh nghiệp bằng AI, giúp cửa hàng quản lý hội thoại bán hàng, đơn hàng, sản phẩm, kho, vận chuyển, marketing, tài chính và nhân sự AI. Lavix được vận hành bởi HC Group Sole Co., Ltd, doanh nghiệp đăng ký tại Cộng hoà Dân chủ Nhân dân Lào ("Lavix", "chúng tôi").

Chính sách này áp dụng cho website lavix.io, ứng dụng Lavix và mọi dịch vụ liên quan. Chính sách mô tả hai vai trò khác nhau của Lavix:

Với dữ liệu tài khoản của bạn (tên, email, thông tin đăng nhập, ví): Lavix là bên quyết định mục đích và cách thức xử lý.
Với dữ liệu khách hàng của cửa hàng (người nhắn tin vào Page, người mua hàng): Lavix xử lý thay mặt và theo chỉ dẫn của cửa hàng. Cửa hàng chịu trách nhiệm có cơ sở hợp pháp để thu thập và sử dụng dữ liệu khách hàng của mình, và cung cấp thông tin quyền riêng tư phù hợp cho khách hàng của họ.

Khi sử dụng Lavix, bạn xác nhận đã đọc và hiểu chính sách này. Chính sách này là một phần của Điều khoản sử dụng.

2. Dữ liệu chúng tôi thu thập

2.1. Dữ liệu tài khoản. Tên hiển thị, email, mật khẩu (chỉ lưu dưới dạng đã băm, chúng tôi không đọc được mật khẩu gốc), mã Lavix, tên cửa hàng, vai trò và quyền của bạn trong cửa hàng.

2.2. Dữ liệu khi đăng nhập bằng Google. Khi bạn chọn "Tiếp tục với Google", Lavix chỉ yêu cầu các quyền openid, email và profile, và chỉ lưu: mã định danh tài khoản Google, địa chỉ email, trạng thái xác minh email và tên hiển thị. Lavix không truy cập Gmail, Google Drive, Danh bạ, Lịch hay bất kỳ dữ liệu Google nào khác, và không lưu ảnh đại diện Google của bạn.

2.3. Dữ liệu từ Meta (Facebook, Instagram, Messenger). Chỉ khi bạn chủ động kết nối và chỉ trong phạm vi quyền bạn cấp, Lavix có thể xử lý:

Thông tin Page và tài khoản Instagram doanh nghiệp bạn quản lý (tên, mã định danh, trạng thái kết nối).
Hội thoại, tin nhắn, tệp đính kèm và bình luận mà khách hàng gửi tới Page của bạn, cùng tên và ảnh đại diện công khai của người gửi.
Tài khoản quảng cáo, chiến dịch, chi phí và chỉ số hiệu quả quảng cáo.
Sự kiện chuyển đổi (ví dụ đơn hàng được tạo) mà cửa hàng chọn gửi về Meta qua Conversions API.

2.4. Dữ liệu vận hành cửa hàng. Đơn hàng, thông tin người nhận (tên, số điện thoại, địa chỉ giao hàng), sản phẩm, tồn kho, phiếu thu chi, báo cáo tài chính, cấu hình bán hàng, kịch bản trả lời và các dữ liệu khác mà cửa hàng tạo hoặc nhập vào Lavix.

2.5. Dữ liệu ví và thanh toán. Lịch sử nạp, trừ phí, hoa hồng, tiền thu hộ COD, yêu cầu hoàn tiền và thông tin tài khoản nhận tiền hoàn (tên chủ tài khoản, ngân hàng, số tài khoản) mà bạn cung cấp để được hoàn tiền.

2.6. Dữ liệu kết nối đối tác. Thông tin kết nối tới các dịch vụ bạn chọn (Meta, POS, đơn vị vận chuyển, Telegram...), bao gồm khoá truy cập (token) do nền tảng cấp. Các khoá này chỉ được dùng để thực hiện kết nối bạn đã bật, và luôn được mã hoá khi lưu trữ (xem mục 10).

2.7. Dữ liệu kỹ thuật. Địa chỉ IP, loại trình duyệt, thời điểm truy cập, nhật ký lỗi và nhật ký bảo mật, và nhật ký thay đổi cài đặt trong cửa hàng.

2.8. Dữ liệu khi bạn liên hệ hỗ trợ. Khi gửi yêu cầu qua form hỗ trợ hoặc email, chúng tôi nhận họ tên, email, số điện thoại (nếu bạn cung cấp), tên cửa hàng hoặc mã Lavix, chủ đề và nội dung yêu cầu, kèm địa chỉ IP và thông tin trình duyệt để chống spam. Dữ liệu này chỉ dùng để phản hồi và xử lý yêu cầu của bạn.

2.9. Dữ liệu chúng tôi không chủ động thu thập. Lavix không yêu cầu và không chủ động thu thập dữ liệu nhạy cảm như tình trạng sức khoẻ, dữ liệu sinh trắc học, tôn giáo, quan điểm chính trị, tiền án tiền sự, hay số thẻ thanh toán. Nếu khách hàng tự gửi các thông tin này trong tin nhắn, dữ liệu đó chỉ được xử lý như một phần nội dung hội thoại của cửa hàng.

3. Mục đích sử dụng dữ liệu

Tạo và quản lý tài khoản, xác thực đăng nhập, quản lý thành viên và phân quyền trong cửa hàng.
Cung cấp các tính năng bạn sử dụng: hộp thư hội thoại, trả lời khách hàng, tạo và theo dõi đơn hàng, đồng bộ POS, vận chuyển và đối soát, báo cáo, quảng cáo và nhân sự AI.
Tính phí, quản lý ví, xử lý hoa hồng, thu hộ và hoàn tiền.
Xác thực địa chỉ email của bạn, gửi mã đặt lại mật khẩu khi bạn yêu cầu.
Gửi thông báo vận hành, thông báo bảo mật và phản hồi yêu cầu hỗ trợ.
Bảo mật hệ thống, phát hiện và ngăn chặn gian lận, lạm dụng và truy cập trái phép.
Tuân thủ nghĩa vụ pháp lý, kế toán và yêu cầu hợp lệ của cơ quan nhà nước có thẩm quyền.

Chúng tôi không bán dữ liệu cá nhân và không dùng dữ liệu của bạn hay của khách hàng cửa hàng để quảng cáo cho bên thứ ba.

4. Xử lý dữ liệu bằng trí tuệ nhân tạo (AI)

Một số tính năng của Lavix dùng mô hình AI của nhà cung cấp bên thứ ba để hỗ trợ cửa hàng, ví dụ: gợi ý hoặc soạn câu trả lời cho khách hàng, nhận diện đơn hàng từ hội thoại, dịch tin nhắn, phân tích sản phẩm, quảng cáo và tình hình kinh doanh.

Dữ liệu có thể được gửi tới AI: nội dung hội thoại và tin nhắn, thông tin đơn hàng, sản phẩm, số liệu kinh doanh và quảng cáo, chỉ trong phạm vi cần thiết cho tính năng đang được sử dụng.
Dữ liệu không bao giờ được gửi tới AI: dữ liệu nhận được từ Google khi đăng nhập (mục 2.2), mật khẩu, khoá truy cập và thông tin tài khoản nhận tiền hoàn.
Quyền kiểm soát: cửa hàng có thể bật hoặc tắt các tính năng AI. Các hành động quan trọng do AI đề xuất có thể được cấu hình để cần con người phê duyệt.
Không huấn luyện mô hình chung: Lavix không dùng dữ liệu của cửa hàng để huấn luyện mô hình AI dùng chung cho khách hàng khác. Khi nhà cung cấp AI cho phép lựa chọn, chúng tôi chọn chế độ không cho phép nhà cung cấp dùng dữ liệu gửi qua API để huấn luyện mô hình của họ.
Độ chính xác: nội dung do AI tạo ra có thể không chính xác. Cửa hàng chịu trách nhiệm kiểm tra trước khi sử dụng cho các quyết định quan trọng.
Danh sách nhà cung cấp AI và quốc gia xử lý được công bố tại Danh sách bên xử lý dữ liệu.

5. Dữ liệu nhận từ Google API

Việc Lavix sử dụng và chuyển giao sang bất kỳ ứng dụng nào khác thông tin nhận được từ Google API sẽ tuân thủ Chính sách dữ liệu người dùng của Dịch vụ Google API, bao gồm các yêu cầu về Sử dụng hạn chế (Limited Use).

Lavix's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Cụ thể, dữ liệu Google chỉ được dùng để đăng nhập và nhận diện tài khoản của bạn trong Lavix. Dữ liệu này không được bán, không được chuyển cho bên quảng cáo hay môi giới dữ liệu, không được dùng để quảng cáo, không được dùng để huấn luyện mô hình AI, và nhân viên Lavix không đọc dữ liệu này trừ khi bạn đồng ý, khi cần để điều tra sự cố bảo mật, hoặc khi pháp luật yêu cầu.

Bạn có thể thu hồi quyền truy cập của Lavix bất kỳ lúc nào tại trang quyền truy cập tài khoản Google.

6. Dữ liệu nhận từ Meta

Lavix xử lý dữ liệu từ Meta theo Điều khoản nền tảng Meta và chỉ để cung cấp các tính năng mà cửa hàng sử dụng trong Lavix. Chúng tôi không bán dữ liệu Meta, không dùng dữ liệu này để xây dựng hồ sơ quảng cáo ngoài phạm vi dịch vụ, và không chia sẻ cho bên thứ ba ngoài các bên xử lý cần thiết nêu trong chính sách này.

Khi cửa hàng ngắt kết nối Page hoặc tài khoản quảng cáo, Lavix ngừng thu thập dữ liệu mới từ tài sản đó. Dữ liệu đã thu thập được xử lý theo mục 9 và trang Hướng dẫn xoá dữ liệu.

7. Chia sẻ dữ liệu

Chúng tôi chỉ chia sẻ dữ liệu trong các trường hợp sau:

Bên xử lý dữ liệu cung cấp hạ tầng, bảo mật, AI và gửi thông báo cho Lavix, theo hợp đồng hoặc điều khoản bảo mật phù hợp. Danh sách được công bố tại Danh sách bên xử lý dữ liệu.
Đối tác do cửa hàng tự kết nối, ví dụ nền tảng mạng xã hội, POS hoặc đơn vị vận chuyển. Dữ liệu được gửi theo chỉ dẫn của cửa hàng để thực hiện đơn hàng hoặc đồng bộ dữ liệu.
Thành viên trong cùng cửa hàng, theo vai trò và quyền mà chủ cửa hàng thiết lập.
Nhân viên hỗ trợ của Lavix, chỉ khi cần để hỗ trợ kỹ thuật hoặc xử lý sự cố. Mỗi lần truy cập hỗ trợ được giới hạn thời gian và ghi vào nhật ký thay đổi của cửa hàng.
Theo yêu cầu của pháp luật hoặc cơ quan nhà nước có thẩm quyền, hoặc khi cần để bảo vệ quyền, tài sản và an toàn của Lavix, người dùng hoặc công chúng.
Khi tái cấu trúc doanh nghiệp (sáp nhập, chuyển nhượng). Bên nhận phải tiếp tục tuân thủ chính sách này, và bạn sẽ được thông báo trước.

8. Nơi lưu trữ và chuyển dữ liệu ra nước ngoài

Dữ liệu Lavix được lưu trữ và xử lý trên máy chủ đặt tại Lào và Việt Nam, và có thể trên máy chủ ảo (VPS) của nhà cung cấp hạ tầng khi cần mở rộng. Lưu lượng truy cập đi qua mạng của Cloudflare để bảo mật và phân tải.

Khi sử dụng các tính năng AI và dịch vụ đối tác, dữ liệu có thể được xử lý tại quốc gia nơi nhà cung cấp đặt hạ tầng, bao gồm Hoa Kỳ và Trung Quốc. Chúng tôi chỉ chuyển phần dữ liệu cần thiết cho tính năng và áp dụng các biện pháp bảo vệ nêu trong chính sách này.

9. Thời hạn lưu trữ

Loại dữ liệu	Thời hạn
Dữ liệu cửa hàng và tài khoản đang sử dụng	Trong suốt thời gian bạn sử dụng dịch vụ
Sau khi ngừng dịch vụ hoặc xoá cửa hàng	Giữ tối đa 90 ngày để bạn có thể khôi phục, sau đó xoá
Yêu cầu xoá dữ liệu đã được xác minh	Xử lý trong vòng 30 ngày
Bản sao lưu hệ thống	Tự ghi đè trong vòng 90 ngày
Dữ liệu nhận từ Google khi đăng nhập	Xoá khi bạn xoá tài khoản hoặc gỡ liên kết Google
Yêu cầu hỗ trợ	Tối đa 24 tháng kể từ khi yêu cầu được xử lý xong, để tra cứu khi bạn liên hệ lại; bạn có thể yêu cầu xoá sớm hơn
Mã xác thực email và mã đặt lại mật khẩu	Chỉ lưu dạng mã hoá một chiều; hết hiệu lực sau 30 phút, xoá hẳn sau 7 ngày
Nhật ký gửi email hệ thống (người nhận, loại email, trạng thái gửi)	90 ngày
Chứng từ thanh toán, hoá đơn và giao dịch ví	Theo thời hạn bắt buộc của pháp luật về kế toán và thuế
Nhật ký bảo mật và chống gian lận	Trong thời gian cần thiết để điều tra và phòng ngừa

10. Bảo mật dữ liệu

Dữ liệu của mỗi cửa hàng được lưu tách biệt. Người dùng chỉ truy cập được cửa hàng mà mình là thành viên, trong phạm vi quyền được cấp.
Kết nối tới Lavix được mã hoá bằng HTTPS/TLS.
Mật khẩu được băm bằng thuật toán scrypt. Mọi khoá truy cập của nền tảng và đối tác (Meta Page, Messenger, quảng cáo, Conversions API, Pancake, POS, đơn vị vận chuyển, Telegram, nhà cung cấp AI) được mã hoá AES-256-GCM khi lưu trữ. Khoá giải mã được quản lý tách biệt khỏi cơ sở dữ liệu.
Bản sao lưu cửa hàng được mã hoá AES-256-GCM bằng mật khẩu do chính bạn đặt.
Phân quyền theo vai trò trong cửa hàng, và ghi nhật ký các thay đổi cài đặt, thành viên và quyền.
Đăng nhập bằng Google và kết nối Facebook dùng giao thức OAuth 2.0 với mã chống giả mạo (state) dùng một lần; Google có thêm PKCE, mọi lệnh gọi Facebook có thêm chữ ký appsecret_proof. Lavix không lưu mã truy cập Google, và không lưu mã truy cập tài khoản Facebook — chỉ lưu (đã mã hoá) mã truy cập của những Page bạn chọn kết nối.

Không có hệ thống nào an toàn tuyệt đối. Nếu xảy ra sự cố bảo mật ảnh hưởng tới dữ liệu của bạn, chúng tôi sẽ thông báo cho cửa hàng bị ảnh hưởng và cơ quan có thẩm quyền theo quy định của pháp luật, trong thời gian sớm nhất có thể.

11. Quyền của bạn

Tuỳ theo pháp luật áp dụng, bạn có quyền: truy cập dữ liệu của mình, chỉnh sửa dữ liệu không chính xác, xoá dữ liệu, nhận bản sao dữ liệu (xuất dữ liệu hoặc sao lưu cửa hàng), phản đối hoặc hạn chế một số hoạt động xử lý, và rút lại sự đồng ý bằng cách ngắt kết nối nền tảng.

Nhiều quyền có thể tự thực hiện trong Lavix (Cài đặt → Tài khoản & Sao lưu, Cài đặt → Kết nối dữ liệu). Với các yêu cầu khác, hãy gửi email tới [email protected]. Chúng tôi có thể yêu cầu xác minh bạn là chủ tài khoản hoặc chủ cửa hàng trước khi xử lý, và sẽ phản hồi trong vòng 30 ngày.

Nếu bạn là khách hàng của một cửa hàng dùng Lavix (ví dụ bạn nhắn tin cho Page của cửa hàng), hãy liên hệ trực tiếp với cửa hàng đó, vì cửa hàng quyết định cách dùng dữ liệu của bạn. Bạn cũng có thể liên hệ Lavix, và chúng tôi sẽ chuyển yêu cầu tới cửa hàng và hỗ trợ trong phạm vi của mình.

13. Độ tuổi sử dụng

Lavix là công cụ dành cho doanh nghiệp và không dành cho người dưới 18 tuổi. Chúng tôi không cố ý thu thập dữ liệu tài khoản của người dưới 18 tuổi. Nếu phát hiện trường hợp này, chúng tôi sẽ xoá tài khoản liên quan.

14. Thay đổi chính sách

Chúng tôi có thể cập nhật chính sách này khi dịch vụ hoặc pháp luật thay đổi. Với thay đổi quan trọng, chúng tôi thông báo qua email hoặc trong ứng dụng ít nhất 30 ngày trước khi có hiệu lực. Ngày hiệu lực và số phiên bản luôn được ghi ở đầu trang.

15. Liên hệ

Mọi câu hỏi về quyền riêng tư và dữ liệu, vui lòng liên hệ:

Đơn vị vận hành: HC Group Sole Co., Ltd (ບໍລິສັດ ເຮັດຊີ ກຣຸບ ຈຳກັດຜູ້ດຽວ)
Giấy chứng nhận đăng ký doanh nghiệp số: 1464/ຈທວ, cấp ngày 31/07/2024 tại Nakhonluang Vientiane
Mã số doanh nghiệp / mã số thuế: 886836352-000
Địa chỉ: Ban KhamHuang (Unit 03), Muong Xaythany, Vientiane Capital, Lao PDR
Email: [email protected]