Chính sách bảo vệ dữ liệu cá nhân

Chính sách này được xây dựng tuân theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (có hiệu lực từ 01/01/2026) và Nghị định 356/2025/NĐ-CP hướng dẫn thi hành, cùng các quy định pháp luật Việt Nam có liên quan. Bằng việc đăng ký và sử dụng VTCG Market, bạn xác nhận đã đọc, hiểu và đồng ý với chính sách này.

1. Dữ liệu cá nhân chúng tôi thu thập

Dữ liệu cá nhân cơ bản:

• Email, tên hiển thị, mật khẩu (được mã hoá)
• Thông tin shop: tên, mô tả, số điện thoại, Zalo
• Địa chỉ, số điện thoại, tên người nhận khi đặt hàng
• Lịch sử đơn hàng, đánh giá, tin nhắn, lượt đấu giá
• Ảnh sản phẩm và ảnh proof do bạn tải lên

Dữ liệu cá nhân nhạy cảm (theo Điều 2 Luật 91/2025/QH15) — chỉ thu thập khi Seller yêu cầu rút tiền hoa hồng:

• Thông tin tài khoản ngân hàng (tên, số tài khoản, ngân hàng)

Với dữ liệu nhạy cảm, chúng tôi xin sự đồng ý riêng, rõ ràng và thông báo rõ mục đích trước khi thu thập.

2. Mục đích & căn cứ xử lý

• Vận hành nền tảng, kết nối người mua – người bán
• Xử lý yêu cầu rút tiền hoa hồng, xử lý báo cáo vi phạm, chống gian lận
• Xử lý đơn hàng, giao nhận, giải quyết tranh chấp, khiếu nại
• Gửi thông báo liên quan đến tài khoản và giao dịch

Căn cứ xử lý chính là sự đồng ý của bạn; ngoài ra là để thực hiện hợp đồng/giao dịch bạn yêu cầu và để tuân thủ nghĩa vụ pháp lý.

3. Đồng ý & rút lại đồng ý

Việc đồng ý là tự nguyện. Bạn có quyền rút lại đồng ý bất kỳ lúc nào. Khi rút đồng ý, một số chức năng có thể không tiếp tục sử dụng được. Việc rút đồng ý không ảnh hưởng tới tính hợp pháp của hoạt động xử lý đã thực hiện trước đó.

4. Chia sẻ & chuyển giao dữ liệu

Chúng tôi không mua bán dữ liệu cá nhân. Dữ liệu chỉ được chia sẻ khi:

• Cần thiết để hoàn tất giao dịch (vd: cung cấp tên/SĐT/địa chỉ giao hàng cho Seller của đơn đó, hoặc cho đơn vị vận chuyển)
• Sử dụng nhà cung cấp hạ tầng (Supabase) để lưu trữ và vận hành
• Sử dụng cổng thanh toán bên thứ ba (PayOS) để tạo mã QR và đối soát giao dịch — dữ liệu chuyển đi giới hạn ở thông tin cần thiết cho khoản thanh toán (mã đơn, số tiền, nội dung chuyển khoản)
• Sử dụng dịch vụ phân tích truy cập (Google Analytics 4) ở mức dữ liệu tổng hợp, không kèm thông tin định danh cá nhân
• Có yêu cầu hợp pháp từ cơ quan nhà nước có thẩm quyền

5. Lưu trữ & thời gian lưu

Dữ liệu được lưu trên hạ tầng Supabase (PostgreSQL + Storage). Chúng tôi lưu trữ trong thời gian tài khoản còn hoạt động và trong thời hạn cần thiết theo quy định pháp luật (vd hoá đơn, chứng từ giao dịch). Sau khi bạn yêu cầu xoá tài khoản, dữ liệu cá nhân sẽ được xoá hoặc ẩn danh, trừ phần buộc phải lưu theo luật.

6. Bảo mật dữ liệu

Truyền tải qua kết nối mã hoá SSL/TLS. Mật khẩu được băm (hash) an toàn, không lưu dạng thường. Áp dụng phân quyền truy cập theo dòng (RLS) để mỗi người chỉ truy cập được dữ liệu của mình; dữ liệu nhạy cảm (tài khoản ngân hàng) chỉ Admin được duyệt xem.

7. Quyền của chủ thể dữ liệu

Theo Luật 91/2025/QH15, bạn có các quyền:

• Quyền được biết về việc xử lý dữ liệu của mình
• Quyền đồng ý / không đồng ý
• Quyền truy cập, xem, chỉnh sửa dữ liệu
• Quyền yêu cầu xoá dữ liệu
• Quyền rút lại đồng ý, hạn chế hoặc phản đối xử lý
• Quyền yêu cầu cung cấp, khiếu nại, tố cáo, khởi kiện theo quy định

Gửi yêu cầu về: supportpokecardmarket@gmail.com. Chúng tôi xử lý trong thời hạn luật định (trong vòng 72 giờ kể từ khi nhận yêu cầu, trừ trường hợp pháp luật quy định khác).

8. Cookie & lưu trữ cục bộ

Chúng tôi dùng cookie để duy trì phiên đăng nhập và localStorageđể lưu giỏ hàng & thông tin giao hàng ngay trên trình duyệt của bạn.

Cookie phân tích của bên thứ ba: website có sử dụng Google Analytics 4 để thống kê lượt truy cập và hành vi duyệt trang ở mức tổng hợp (số lượt xem, trang được xem, thiết bị, khu vực ước lượng). Công cụ này đặt cookie của Google trên trình duyệt của bạn. Chúng tôi dùng dữ liệu này để cải thiện sản phẩm, không dùng để định danh cá nhân và không bán cho bên thứ ba. Bạn có thể chặn bằng cách tắt cookie trong trình duyệt hoặc cài tiện ích từ chối Google Analytics.

Chúng tôi không sử dụng cookie quảng cáo hay cookie theo dõi phục vụ tiếp thị lại (retargeting).

9. Dữ liệu của người chưa thành niên

Dịch vụ hướng tới người từ đủ 16 tuổi trở lên. Việc xử lý dữ liệu của người chưa thành niên tuân theo quy định riêng của Luật 91/2025/QH15; nếu phát hiện thu thập nhầm, chúng tôi sẽ xoá theo yêu cầu.

10. Thay đổi chính sách

Chính sách có thể được cập nhật để phù hợp quy định pháp luật. Thay đổi quan trọng sẽ được thông báo trên website trước khi áp dụng.

Lưu ý: Tài liệu này mang tính tham khảo, được soạn theo pháp luật Việt Nam hiện hành. Trước khi vận hành thương mại chính thức, nên để luật sư rà soát và đăng ký/thông báo website với Bộ Công Thương theo quy định về thương mại điện tử.