Chính sách Bảo mật

1. Giới thiệu

QuickSlot là ứng dụng quản lý buổi chơi cầu lông, kết nối người chơi và chủ nhóm tại Việt Nam. Chúng tôi tôn trọng quyền riêng tư và cam kết bảo vệ thông tin cá nhân theo Luật An toàn thông tin mạng Việt Nam 2015, Nghị định 13/2023/NĐ-CP về Bảo vệ Dữ liệu Cá nhân, Apple App Store Review Guidelines và Google Play Developer Policy.

2. Thông tin chúng tôi thu thập

2.1 Bạn cung cấp trực tiếp

Loại	Mục đích	Bắt buộc?
Tên đăng nhập	Định danh tài khoản	✅
Mật khẩu	Xác thực (bcrypt hash)	✅
Email	Khôi phục mật khẩu, thông báo	✅
Họ tên đầy đủ	Hiển thị trong buổi chơi, nhóm	Tuỳ chọn
Avatar	Cá nhân hoá giao diện	Tuỳ chọn
Apple/Google ID (nếu dùng Sign-In)	Đăng nhập nhanh	Tuỳ chọn

2.2 Tự động thu thập

Loại	Mục đích	Tắt được?
Vị trí	Gợi ý sân gần bạn	✅ trong Cài đặt
Số dư & giao dịch	Quản lý đăng ký buổi chơi	Cần thiết
Lịch sử thi đấu	Tính ELO, ranking	Cốt lõi
Expo Push Token	Push notification	✅ trong Cài đặt
Log hệ thống	Debug, bảo mật	Cần thiết

2.3 KHÔNG thu thập

Số điện thoại (chỉ khi bạn tự nhập)
Danh bạ điện thoại
Microphone, camera (chỉ truy cập khi bạn chọn ảnh, tự cho phép từng lần)
Lịch sử duyệt web ngoài app
Ad tracking ID (không có ads trong app)
Dữ liệu sinh trắc học

3. Cách chúng tôi sử dụng

Chỉ dùng cho: vận hành tính năng cốt lõi, gửi thông báo (bạn đồng ý), bảo mật chống lạm dụng, cải thiện UX qua dữ liệu ẩn danh, hỗ trợ khi bạn liên hệ.

KHÔNG dùng để bán cho bên thứ ba, quảng cáo nhắm mục tiêu, scoring tín dụng, hoặc huấn luyện AI ngoài phạm vi QuickSlot.

4. Lưu trữ & Bảo mật

Hạ tầng: Backend Railway (AWS Singapore), Database MongoDB Atlas (AWS Singapore), Ảnh trên Cloudinary CDN.

Bảo mật: HTTPS/TLS 1.3, bcrypt 12 rounds cho mật khẩu, JWT HS256, mã hoá at-rest AES-256 trên Atlas, IP whitelist database, không log mật khẩu/token.

Lưu giữ: dữ liệu hoạt động lưu trong thời gian dùng app. Sau khi xoá tài khoản, xoá vĩnh viễn trong 30 ngày. Log hệ thống tự xoá sau 90 ngày. Backup 2 ngày rolling.

5. Chia sẻ với bên thứ ba

Chỉ chia sẻ với các nhà cung cấp dịch vụ chuẩn quốc tế (SOC 2/ISO 27001):

Nhà cung cấp	Mục đích
Railway.com	Hosting backend
MongoDB Atlas	Database
Cloudinary	Lưu ảnh avatar
Expo	Push notifications
Apple/Google	Sign-In (nếu bạn dùng)
Mapbox	Bản đồ sân

Chỉ cung cấp dữ liệu cho cơ quan có thẩm quyền khi có lệnh chính thức và sẽ thông báo cho bạn nếu luật cho phép. Cam kết không bán, không cho thuê, không trao đổi dữ liệu của bạn.

6. Quyền của bạn (Nghị định 13/2023)

Truy cập dữ liệu: Profile → Thông tin cá nhân
Sửa thông tin sai: in-app
Xoá tài khoản: gửi email tới [email protected]
Hạn chế xử lý: tắt push/location trong Cài đặt
Trích xuất dữ liệu: gửi email, chúng tôi xuất file JSON trong 30 ngày
Khiếu nại: Cục An toàn thông tin (Bộ TT&TT) — ais.gov.vn

Liên hệ: [email protected]

7. Người dùng dưới 13 tuổi

QuickSlot KHÔNG dành cho người dưới 13 tuổi. Nếu phát hiện, chúng tôi xoá ngay và thông báo phụ huynh. Người dùng 13-16 tuổi cần đồng ý của người giám hộ.

8. Chuyển dữ liệu xuyên biên giới

Hạ tầng đặt tại Singapore và Mỹ. Chúng tôi áp dụng Standard Contractual Clauses (SCCs) đảm bảo nhà cung cấp tuân thủ chuẩn tương đương Nghị định 13/2023.

9. Cookies

QuickSlot là native app, không dùng cookies HTTP. Dùng AsyncStorage (local thiết bị) cho JWT token và preferences, Expo SecureStore (mã hoá) cho refresh token. Không có web tracker thứ ba.

10. Thay đổi Chính sách

Khi cập nhật, chúng tôi sẽ thông báo trong app + email nếu ảnh hưởng quyền của bạn. Yêu cầu đồng ý lại nếu thay đổi vật chất.

11. Liên hệ

Mục đích	Email
Câu hỏi về Chính sách	[email protected]
Yêu cầu xoá tài khoản	[email protected]
Hỗ trợ kỹ thuật	[email protected]
Thông tin chung	[email protected]

Người chịu trách nhiệm bảo vệ dữ liệu (DPO): QuickSlot Team — Thành phố Hồ Chí Minh, Việt Nam.

Bằng việc tạo tài khoản và sử dụng QuickSlot, bạn xác nhận đã đọc, hiểu và đồng ý với Chính sách Bảo mật này.