CHÍNH SÁCH BẢO MẬT DỮ LIỆU CÁ NHÂN (PRIVACY POLICY)

1. Mục đích và Phạm vi áp dụng

Chính sách này khẳng định sự tuân thủ tuyệt đối của Xổ Số Đại Phát đối với Nghị định 13/2023/NĐ-CP và tiêu chuẩn GDPR. Chúng tôi áp dụng chiến lược "Tối thiểu hóa dữ liệu" (Data Minimization) , cam kết chỉ thu thập những thông tin thiết yếu nhất để phục vụ vận hành kỹ thuật và cải thiện trải nghiệm người dùng.

2. Giải thích từ ngữ và Phân loại dữ liệu

Theo quy định tại Nghị định 13, dữ liệu được xử lý tại hệ thống bao gồm:

Dữ liệu cá nhân vận hành tối thiểu: Chỉ bao gồm 04 trường thông tin thu thập qua Google SSO: (1) Địa chỉ Email, (2) Google Provider ID, (3) Tên hiển thị, (4) Ảnh đại diện.
Dữ liệu kỹ thuật: Địa chỉ IP, loại thiết bị, hệ điều hành, trình duyệt và lịch sử tương tác kỹ thuật.
Cam kết loại bỏ dữ liệu nhạy cảm: Tuân thủ nguyên tắc tối thiểu hóa, chúng tôi tuyệt đối không thu thập các thông tin nhạy cảm như: Số Căn cước công dân (CCCD), tình trạng sức khỏe, quan điểm tôn giáo, đặc điểm di truyền hay dữ liệu vị trí chi tiết.

3. Cơ chế đăng nhập Single Sign-On (SSO) qua Google

Việc sử dụng phương thức "Tiếp tục bằng Google" dựa trên cơ sở pháp lý là Sự đồng ý tự nguyện của chủ thể dữ liệu (Điều 11 Nghị định 13) và sự cần thiết để thực hiện thỏa thuận cung cấp dịch vụ.

Phạm vi truy cập (Scopes): Chúng tôi chỉ yêu cầu 03 quyền cơ bản là openid, email, và profile.
Nguyên tắc Marketing: Email từ SSO chỉ được dùng để xác thực và hỗ trợ kỹ thuật. Chúng tôi không sử dụng email này cho mục đích tiếp thị trừ khi Người dùng chủ động chọn tham gia (Marketing Opt-in).

4. Quyền của Chủ thể Dữ liệu và Cơ chế Tự phục vụ (Self-service)

Chúng tôi trao quyền kiểm soát dữ liệu tuyệt đối cho Người dùng thông qua các tính năng tự động:

Tính năng Self-service: Người dùng có thể tự hủy liên kết Google SSO và yêu cầu xóa vĩnh viễn tài khoản ngay trong phần cài đặt tài khoản.
Cam kết thời gian: Khi Người dùng thực hiện quyền Rút lại sự đồng ý hoặc yêu cầu xóa dữ liệu, chúng tôi cam kết thực hiện việc xóa hoặc đóng băng dữ liệu trong vòng tối đa 72 giờ theo đúng quy định pháp luật.
Quyền GDPR: Người dùng có các quyền tương ứng về truy cập, chỉnh sửa và tính di động của dữ liệu theo tiêu chuẩn quốc tế.

5. Cam kết Bảo mật Kỹ thuật

Xổ Số Đại Phát áp dụng các tiêu chuẩn bảo mật hiện đại nhất để bảo vệ dữ liệu:

Bảo mật đường truyền: Sử dụng giao thức HTTPS (TLS 1.2+) cho toàn bộ luồng trao đổi dữ liệu.
Mã hóa lưu trữ: Toàn bộ Email trong cơ sở dữ liệu được mã hóa bằng tiêu chuẩn AES-256 .
Xử lý Token: Access Token và Refresh Token được mã hóa/hash và lưu trữ tại Server-side (Session/Redis). Đặc biệt, Refresh Tokens được bảo vệ bằng một lớp mã hóa bổ sung để ngăn chặn các truy cập trái phép cấp độ cao.
Nguyên tắc Nhân sự: Áp dụng quyền truy cập tối thiểu (Least Privilege), chỉ nhân sự kỹ thuật được ủy quyền mới có quyền tiếp cận hệ thống dữ liệu.

6. Chuyển tiếp

Các biện pháp bảo mật kỹ thuật trên cũng được áp dụng đồng bộ cho các công nghệ theo dõi hành vi tự động, được quy định minh bạch tại Chính sách Cookies.