Pháp lý
Phụ lục xử lý dữ liệu
Bản dự thảo — hiệu lực từ 8 tháng 10, 2026
Phụ lục này là một phần của Điều khoản dịch vụ giữa người bán ("bạn") và người vận hành Shopait ("chúng tôi"). Phụ lục áp dụng khi chúng tôi xử lý dữ liệu cá nhân thay bạn để vận hành cửa hàng — chủ yếu là dữ liệu về khách hàng và người xem cửa hàng. Bạn là bên kiểm soát dữ liệu đó; chúng tôi là bên xử lý. Phụ lục nhằm đáp ứng Điều 28 GDPR và quy định về bên xử lý của pháp luật Việt Nam về bảo vệ dữ liệu cá nhân.
Đây là bản dự thảo. Văn bản mô tả cách Shopait đang hoạt động, viết bằng lời đơn giản và chưa được luật sư rà soát. Văn bản sẽ được rà soát — và cập nhật có báo trước — trước khi Shopait thu phí khách hàng đầu tiên. Nếu có điểm nào chưa rõ hoặc có vẻ sai, hãy viết cho support@shopait.com.
Ai vận hành Shopait
Shopait do Do Xuan Truong, cá nhân, Việt Nam vận hành. Một công ty sẽ đảm nhận vai trò này khi được đăng ký; chúng tôi sẽ cập nhật trang này khi đó.
Mọi điều về trang này, hãy viết cho chúng tôi: support@shopait.com.
1. Hoạt động xử lý
| Đối tượng và thời hạn | Vận hành cửa hàng của bạn trên Shopait, trong thời gian bạn dùng Dịch vụ và cho tới khi dữ liệu bị xoá như mô tả dưới đây. |
| Tính chất và mục đích | Lưu trữ, hiển thị, gửi (email, tin nhắn), phân tích (báo cáo cửa hàng) và các xử lý khác cần để cung cấp Dịch vụ bạn dùng. |
| Chủ thể dữ liệu | Khách hàng và khách hàng tiềm năng, người xem cửa hàng, người nhận email và tin nhắn của bạn, và người có dữ liệu do bạn tải lên. |
| Loại dữ liệu | Họ tên, thông tin liên hệ, địa chỉ, thông tin đơn hàng và thanh toán (chỉ mã token — không bao giờ có số thẻ đầy đủ), thông tin đăng nhập của khách hàng, đồng ý nhận tiếp thị, dữ liệu phân tích và thiết bị, tin nhắn và đánh giá, và dữ liệu khác bạn chọn thu thập. |
| Dữ liệu nhạy cảm | Dịch vụ không cần. Đừng thu thập dữ liệu sức khoẻ, sinh trắc học hoặc tương tự qua cửa hàng trừ khi pháp luật cho phép và bạn đã đánh giá. |
2. Cam kết của chúng tôi
- Chỉ dẫn. Chúng tôi chỉ xử lý dữ liệu theo chỉ dẫn được ghi nhận của bạn: điều khoản này, cài đặt và thao tác của bạn trong trang quản trị, và việc bạn dùng API — trừ khi pháp luật yêu cầu khác, khi đó chúng tôi sẽ báo bạn (trừ khi pháp luật cấm).
- Bảo mật thông tin. Mọi người có quyền truy cập dữ liệu đều có nghĩa vụ giữ bí mật.
- An toàn. Chúng tôi áp dụng các biện pháp ở mục 6.
- Hỗ trợ yêu cầu. Chúng tôi cung cấp công cụ để bạn trả lời khách hàng: yêu cầu dữ liệu của một khách, và xoá một khách (thông tin cá nhân bị xoá 10 ngày sau yêu cầu, hoặc 6 tháng sau đơn hàng gần nhất nếu muộn hơn). Chúng tôi hỗ trợ thêm khi được yêu cầu.
- Hỗ trợ tuân thủ. Chúng tôi cung cấp thông tin bạn cần một cách hợp lý cho đánh giá tác động và làm việc với cơ quan có thẩm quyền.
- Sự cố. Chúng tôi báo cho bạn không chậm trễ sau khi biết có sự cố ảnh hưởng tới dữ liệu của bạn, kèm những gì đã biết, và cập nhật tiếp.
- Khi kết thúc Dịch vụ. Bạn có thể xuất dữ liệu bằng tính năng xuất trong trang quản trị hoặc Admin API. Khi bạn đóng cửa hàng và yêu cầu, chúng tôi xoá dữ liệu, trừ phần pháp luật buộc lưu; bản sao lưu hết hạn trong 14 ngày.
- Kiểm tra. Chúng tôi cung cấp thông tin cần thiết để chứng minh việc tuân thủ phụ lục này và trả lời bằng văn bản các câu hỏi hợp lý.
3. Bên xử lý phụ
Bạn đồng ý để chúng tôi dùng các bên xử lý phụ dưới đây. Nhiều bên chỉ được dùng khi tính năng được bật trên nền tảng hoặc trong cửa hàng của bạn. Chúng tôi sẽ cập nhật danh sách trước khi thêm hoặc thay một bên xử lý phụ và báo cho chủ tài khoản về thay đổi quan trọng; bạn có thể phản đối bằng cách viết cho support@shopait.com, và nếu chúng tôi không giải quyết được, bạn có thể đóng cửa hàng.
| Bên xử lý phụ | Dùng để | Ở đâu | Khi nào |
|---|---|---|---|
| Amazon Web Services (Lightsail, SES, S3, Secrets Manager) | Máy chủ, cơ sở dữ liệu, sao lưu, gửi email, lưu tệp, giữ bí mật | Singapore | Luôn luôn |
| Cloudflare | DNS, phân phối nội dung, chống tấn công; lưu tệp (R2) nếu dùng | Mạng toàn cầu | Luôn luôn; lưu tệp nếu bật |
| Stripe | Thanh toán thẻ, thẻ đã lưu, chi trả của cổng thẻ cửa hàng | Hoa Kỳ và nơi khác | Nếu bật |
| PayPal | Thanh toán PayPal | Hoa Kỳ và nơi khác | Nếu bật |
| VNPay | Thanh toán thẻ nội địa và QR tại Việt Nam | Việt Nam | Nếu bật |
| Anthropic, OpenAI, Google (Gemini, Cloud Translation) | Tính năng AI qua cổng AI của nền tảng; dịch máy | Hoa Kỳ | Nếu bật và được dùng |
| Twilio | Tin nhắn (SMS) | Hoa Kỳ | Nếu bật |
| hCaptcha (Intuition Machines) | Chống thư rác trên biểu mẫu | Hoa Kỳ | Nếu bật |
| Google Maps Platform, Mapbox hoặc OpenStreetMap (Nominatim) | Gợi ý địa chỉ và vị trí bản đồ khi thanh toán và trong trang quản trị | Hoa Kỳ / Liên minh châu Âu | Nếu bật |
| EasyPost | Nhãn vận chuyển mua qua nền tảng | Hoa Kỳ | Nếu bật |
| Apple (APNs), Google (Firebase Cloud Messaging) | Thông báo tới ứng dụng di động | Hoa Kỳ | Nếu dùng ứng dụng di động |
Ứng dụng, nhà cung cấp thanh toán và hãng vận chuyển mà bạn cài hoặc kết nối vào cửa hàng không phải bên xử lý phụ của chúng tôi: họ nhận dữ liệu vì bạn đã chọn họ, theo điều khoản riêng.
4. Chuyển dữ liệu ra nước ngoài
Dữ liệu được lưu tại Singapore và một số bên xử lý phụ xử lý ở nước khác (bảng trên). Khi pháp luật của nước khách hàng bạn yêu cầu một cơ chế chuyển dữ liệu, chúng tôi dựa vào các cam kết theo hợp đồng của bên xử lý phụ, như điều khoản hợp đồng mẫu của Uỷ ban châu Âu khi họ có. Chúng tôi đang cùng luật sư rà soát các yêu cầu này; cho tới khi bản dự thảo này hoàn tất, hãy viết cho support@shopait.com nếu bạn cần điều khoản đã ký.
5. Phần của bạn
- Có cơ sở hợp pháp cho dữ liệu bạn thu thập và cho khách hàng biết cách bạn dùng (chính sách quyền riêng tư của cửa hàng).
- Bật thông báo đồng ý khi pháp luật của khách hàng yêu cầu sự đồng ý cho phân tích hoặc tiếp thị (ví dụ EU hoặc Việt Nam).
- Chỉ tải lên dữ liệu bạn được phép xử lý, và trả lời yêu cầu của khách hàng.
6. Biện pháp bảo mật
- Mã hoá khi truyền (HTTPS, HSTS); bí mật lưu trong cơ sở dữ liệu được mã hoá AES-256-GCM.
- Mật khẩu băm bằng scrypt; xác minh hai bước và passkey; mã đăng nhập cho trình duyệt mới; giới hạn tần suất.
- Tách dữ liệu từng cửa hàng trong cơ sở dữ liệu; phân quyền nhân viên theo cửa hàng.
- Dữ liệu thẻ thanh toán được nhập vào trường của nhà cung cấp thanh toán — chúng tôi không bao giờ lưu.
- Sao lưu hằng ngày giữ 14 ngày; snapshot máy chủ; giám sát tình trạng hoạt động.
- Tệp tải lên được phục vụ từ một nguồn tách biệt; pixel theo dõi của ứng dụng chạy trong khung tách biệt.
- Quyền quản trị hệ thống production chỉ dành cho người vận hành; khoá và bí mật giữ trong trình quản lý bí mật.
7. Thứ tự ưu tiên
Nếu phụ lục này và Điều khoản dịch vụ mâu thuẫn về xử lý dữ liệu cá nhân, phụ lục này được ưu tiên. Trách nhiệm theo phụ lục tuân theo Điều khoản dịch vụ, trong phạm vi pháp luật cho phép.