Chính sách Bảo mật COSMATE

2. Dữ liệu chúng tôi thu thập

Chúng tôi chỉ thu thập dữ liệu tối thiểu cần thiết để cung cấp dịch vụ:

• Thông tin tài khoản: email, họ tên, ảnh đại diện
• Thông tin workspace: tên công ty, website URL, ngành nghề, brand voice
• Nội dung do AI tạo: bài viết, hình ảnh, dữ liệu SEO, atomized content cho social
• Kết nối blog: URL blog và thông tin đăng nhập ứng dụng (ví dụ WordPress Application Password) — lưu trong hạ tầng bảo mật của chúng tôi với quyền truy cập giới hạn, và không hiển thị lại sau khi bạn đã lưu
• Google Search Console: OAuth token (mã hóa AES-256-GCM) và dữ liệu hiệu suất tìm kiếm chúng tôi đồng bộ về: từ khóa, lượt hiển thị, lượt click, vị trí trung bình
• Kênh social: định danh kênh và token Zalo OA (mã hóa AES-256-GCM). Với các kênh đăng qua Upload-Post, thông tin đăng nhập do Upload-Post giữ — COSMATE chỉ lưu định danh kênh
• Dữ liệu đăng bài: bản nội dung đã đăng, trạng thái tiến trình đăng, mã bài viết trên nền tảng đích
• Dữ liệu GEO Tracker: tên thương hiệu và tên đối thủ bạn khai báo, câu hỏi được sinh tự động từ đó, và câu trả lời thu về từ các nguồn AI được theo dõi
• Cảnh báo và thông báo: cảnh báo nội dung suy giảm hiệu suất, thông báo nội dung chờ duyệt (hiển thị trong ứng dụng và gửi email cho chủ sở hữu / quản trị workspace)
• Dữ liệu sử dụng: số bài viết tạo, chi phí AI, thời gian xử lý, log pipeline
• Dữ liệu thanh toán: thông tin giao dịch SePay (chúng tôi KHÔNG lưu số tài khoản ngân hàng)

3. Mục đích sử dụng dữ liệu

• Cung cấp, duy trì và cải thiện dịch vụ COSMATE
• Theo dõi quota sử dụng, tính phí và hỗ trợ thanh toán
• Đo hiệu suất nội dung và hiện diện thương hiệu trên các nguồn AI, cảnh báo khi nội dung suy giảm
• Đăng nội dung lên blog và các kênh social bạn đã kết nối, theo yêu cầu của bạn
• Gửi thông báo về dịch vụ và nội dung chờ duyệt qua email — muốn dừng nhận, gửi yêu cầu tới hello@bizmatehub.com
• Phòng chống gian lận, lạm dụng API, đảm bảo an toàn hệ thống
• KHÔNG bán dữ liệu cá nhân cho bên thứ ba
• KHÔNG dùng nội dung bạn tạo để huấn luyện mô hình AI

4. Lưu trữ và bảo mật dữ liệu

• Database: Supabase (PostgreSQL 16, AWS Singapore) — mã hóa khi lưu trữ và truyền tải
• OAuth token và token kênh social: mã hóa AES-256-GCM trước khi lưu vào database
• Thông tin đăng nhập blog: lưu trong hạ tầng bảo mật với quyền truy cập giới hạn — chỉ dịch vụ nội bộ đọc khi cần đăng bài lên blog của bạn, không hiển thị lại trên giao diện
• Truyền tải: HTTPS/TLS 1.3 cho tất cả kết nối
• Row Level Security (RLS): dữ liệu mỗi workspace hoàn toàn tách biệt ở tầng database
• Backup: daily snapshot, retention 7 ngày

5. Chuyển dữ liệu cá nhân ra nước ngoài

Dữ liệu của bạn được lưu trữ trên hạ tầng Supabase (AWS, khu vực Singapore) và được xử lý bởi một số nhà cung cấp dịch vụ có máy chủ đặt ngoài lãnh thổ Việt Nam (danh sách đầy đủ tại Mục 6). Theo Nghị định 13/2023/NĐ-CP, đây là hoạt động chuyển dữ liệu cá nhân ra nước ngoài.

BizMate áp dụng các biện pháp bảo vệ khi chuyển dữ liệu: mã hóa khi truyền tải và khi lưu trữ, ràng buộc hợp đồng xử lý dữ liệu với nhà cung cấp, và giới hạn dữ liệu chia sẻ ở mức tối thiểu cần thiết cho từng dịch vụ. BizMate thực hiện các nghĩa vụ liên quan theo quy định của Nghị định 13/2023/NĐ-CP.

Nếu bạn cần thông tin chi tiết về nơi lưu trữ và việc chuyển dữ liệu của mình, liên hệ hello@bizmatehub.com.

6. Dịch vụ bên thứ ba

Để cung cấp dịch vụ, COSMATE chia sẻ một phần dữ liệu cần thiết với các nhà cung cấp sau. Mỗi nhà cung cấp có chính sách bảo mật riêng; ở những nhà cung cấp cho phép cấu hình, chúng tôi chọn cấu hình không dùng dữ liệu của bạn để huấn luyện mô hình.

Nội dung bạn tạo được gửi tới các dịch vụ AI nêu trên để xử lý. Thời gian lưu trữ phía họ tuân theo chính sách của từng nhà cung cấp.

7. Thời gian lưu trữ dữ liệu

• Dữ liệu tài khoản & nội dung: lưu trữ trong thời gian bạn duy trì tài khoản, tối đa 24 tháng kể từ lần đăng nhập cuối nếu tài khoản không hoạt động
• Log thanh toán: lưu tối thiểu 5 năm theo quy định kế toán Việt Nam
• Dữ liệu Google Search Console đồng bộ về: 180 ngày
• Log hệ thống & Sentry: 30 ngày
• Khi bạn yêu cầu xóa tài khoản: dữ liệu cá nhân được xóa trong vòng 30 ngày, trừ phần buộc phải lưu theo luật

8. Quyền của người dùng (theo Nghị định 13/2023/NĐ-CP)

Theo quy định bảo vệ dữ liệu cá nhân tại Việt Nam (PDPD), bạn có các quyền sau:

• Quyền được biết: được thông báo về việc xử lý dữ liệu cá nhân của mình
• Quyền truy cập: xem toàn bộ dữ liệu của bạn trong dashboard COSMATE
• Quyền chỉnh sửa: cập nhật, sửa đổi thông tin cá nhân bất kỳ lúc nào
• Quyền xóa: yêu cầu xóa toàn bộ tài khoản và dữ liệu — gửi email tới hello@bizmatehub.com
• Quyền hạn chế xử lý: yêu cầu tạm dừng xử lý một phần dữ liệu
• Quyền chuyển dữ liệu: bạn xem và sao chép được nội dung từng bài trong ứng dụng; Topic Cluster có chức năng xuất CSV. Nếu cần bản xuất toàn bộ workspace, gửi yêu cầu tới hello@bizmatehub.com
• Quyền phản đối: muốn dừng nhận email từ COSMATE, gửi yêu cầu tới hello@bizmatehub.com
• Quyền khiếu nại: liên hệ Cục An toàn Thông tin nếu cho rằng quyền bị xâm phạm

9. Dữ liệu người liên hệ tư vấn (chưa là khách hàng)

Khi bạn điền form liên hệ tư vấn trên website, chúng tôi thu thập và xử lý riêng nhóm dữ liệu này — không gắn với tài khoản COSMATE nào:

• Dữ liệu thu thập: họ tên, email (bắt buộc); tên công ty, số điện thoại, nội dung tin nhắn (tùy chọn)
• Mục đích: liên hệ tư vấn theo yêu cầu của bạn — không dùng cho quảng cáo bên thứ ba, không chia sẻ cho bên thứ ba
• Cơ sở xử lý: sự đồng ý của bạn, ghi nhận tại thời điểm bạn gửi form
• Chống spam: địa chỉ IP của lần gửi được ghi lại để chặn gửi hàng loạt, lưu tối đa 90 ngày
• Thời gian lưu: tối đa 12 tháng nếu bạn không trở thành khách hàng
• Rút lại đồng ý / yêu cầu xóa: gửi email tới hello@bizmatehub.com — chúng tôi xóa trong vòng 30 ngày

10. Cookie & công nghệ theo dõi

COSMATE sử dụng cookie thiết yếu để duy trì phiên đăng nhập (cookie-based SSR qua Supabase). Chúng tôi cũng dùng Vercel Analytics để đo lường hiệu năng web và PostHog để phân tích hành vi sử dụng sản phẩm (định danh bằng UUID ngẫu nhiên, không gắn với nội dung bạn tạo). Chúng tôi không dùng cookie quảng cáo bên thứ ba.

11. Người dùng dưới 16 tuổi

COSMATE không chủ định cung cấp dịch vụ cho người dưới 16 tuổi. Nếu phát hiện tài khoản thuộc về người dưới 16, chúng tôi sẽ xóa tài khoản và dữ liệu liên quan.

12. Thay đổi chính sách

BizMate có quyền cập nhật chính sách này. Thay đổi quan trọng sẽ được thông báo qua email ít nhất 14 ngày trước khi có hiệu lực. Phiên bản mới nhất luôn được đăng tại trang này kèm ngày hiệu lực.