Chính sách bảo mật

1. Giới thiệu

BBVN ("chúng tôi") cam kết bảo vệ quyền riêng tư của bạn theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (PDPL 2025) và Nghị định 356/2025/NĐ-CP. Chính sách này mô tả cách chúng tôi thu thập, sử dụng, lưu trữ và bảo vệ thông tin cá nhân khi bạn sử dụng nền tảng đặt vé xe khách BBVN.

2. Thông tin chúng tôi thu thập

• Thông tin liên hệ đặt vé: Số điện thoại liên hệ (bắt buộc để đặt vé và nhận thông báo), họ tên, địa chỉ email (tùy chọn).
• Thông tin đặt vé: Tên hành khách, số điện thoại liên hệ, email liên hệ, điểm đón, chi tiết chuyến đi.
• Thông tin thanh toán: Trạng thái thanh toán, mã giao dịch ngân hàng. Chúng tôi không lưu trữ số thẻ ngân hàng hay thông tin đăng nhập ngân hàng.
• Dữ liệu kỹ thuật: Địa chỉ IP (dùng cho giới hạn truy cập), user agent trình duyệt, nhật ký truy cập.

3. Mục đích sử dụng

• Xử lý và xác nhận đặt vé xe khách.
• Gửi thông báo qua email (xác nhận vé, nhắc nhở chuyến đi).
• Hỗ trợ khách hàng và giải quyết tranh chấp.
• Cải thiện chất lượng dịch vụ và phát hiện gian lận.

4. Cơ sở pháp lý

Chúng tôi xử lý dữ liệu dựa trên: (a) sự đồng ý của bạn khi đặt vé; (b) thực hiện hợp đồng đặt vé; (c) nghĩa vụ pháp lý theo quy định kế toán và lưu trữ chứng từ.

5. Chia sẻ dữ liệu

Chúng tôi chỉ chia sẻ thông tin cá nhân với:

• Nhà xe: Tên hành khách, số điện thoại liên hệ và điểm đón — để phục vụ chuyến đi.
• Đối tác thanh toán: Xử lý giao dịch chuyển khoản ngân hàng (VietQR). Chúng tôi không lưu trữ số thẻ ngân hàng hay thông tin đăng nhập ngân hàng.
• Cơ quan nhà nước: Khi có yêu cầu theo quy định pháp luật Việt Nam.

6. Lưu trữ và bảo mật

Dữ liệu được lưu trữ trên máy chủ tại Singapore (Vercel, Neon, Upstash). Chúng tôi áp dụng mã hóa AES-256 cho thông tin nhạy cảm, mã hóa kết nối SSL/TLS, và kiểm soát truy cập nghiêm ngặt. Mật khẩu được băm (hash) một chiều, không lưu dạng rõ.

6a. Chuyển dữ liệu ra nước ngoài

Theo Điều 25 Luật PDPL 2025 và Nghị định 356/2025/NĐ-CP, chúng tôi thông báo rằng dữ liệu cá nhân của bạn được xử lý bởi các nhà cung cấp dịch vụ đám mây tại Singapore:

• Vercel: Máy chủ ứng dụng (compute) — khu vực Singapore (sin1).
• Neon: Cơ sở dữ liệu PostgreSQL — khu vực Singapore.
• Upstash: Bộ nhớ đệm Redis — khu vực Singapore.

Việc chuyển dữ liệu ra nước ngoài tuân thủ các yêu cầu về đánh giá tác động chuyển dữ liệu xuyên biên giới (CDTIA) theo quy định PDPL 2025.

7. Thời gian lưu trữ

• Thông tin liên hệ đặt vé: cho đến khi bạn yêu cầu xóa hoặc hết nghĩa vụ lưu trữ pháp lý.
• Lịch sử đặt vé và chứng từ thanh toán: tối thiểu 5 năm theo quy định kế toán.
• Nhật ký truy cập: 90 ngày.

8. Quyền của bạn

Theo Luật PDPL 2025, bạn có các quyền sau:

Để thực hiện các quyền này, vui lòng gửi email đến privacy@bbvn.vn.

Lưu ý: lịch sử đặt vé và chứng từ thanh toán vẫn được lưu theo nghĩa vụ pháp lý ngay cả sau khi xóa dữ liệu cá nhân.

8a. Thông báo vi phạm dữ liệu

Trong trường hợp vi phạm dữ liệu cá nhân, chúng tôi sẽ thông báo cho cơ quan chức năng trong vòng 72 giờ và trong vòng 24 giờ nếu liên quan đến tấn công mạng, theo quy định PDPL 2025.

9. Cookie và công nghệ theo dõi

Chúng tôi sử dụng cookie kỹ thuật (phiên đăng nhập, xác thực CSRF, giữ chỗ) cần thiết để vận hành dịch vụ. Chúng tôi không sử dụng cookie theo dõi quảng cáo hay cookie bên thứ ba.

10. Liên hệ

Phụ trách bảo vệ dữ liệu cá nhân — Email: privacy@bbvn.vn

Nếu bạn không hài lòng với cách xử lý khiếu nại, bạn có quyền liên hệ Cục Cạnh tranh và Bảo vệ người tiêu dùng (VCCA) hoặc cơ quan chức năng có thẩm quyền theo Chính sách giải quyết khiếu nại.