CHÍNH SÁCH QUYỀN RIÊNG TƯ
Brik – dịch vụ hỗ trợ quyết định đầu tư bất động sản
Phiên bản: v4.10 · Có hiệu lực: từ ngày 6 tháng 11 năm 2026 cho đến khi bị rút lại hoặc sửa đổi
1. THÔNG TIN BÊN KIỂM SOÁT DỮ LIỆU
| Tên bên kiểm soát dữ liệu | Nguyen Nam Tuan – doanh nghiệp tư nhân |
| Trụ sở đăng ký | 1134 Budapest, Lőportár utca 20/A |
| Số đăng ký | 59517986 |
| Mã số thuế | 90335040-1-41 |
| info@brik.hu | |
| Trang web | https://brik.hu |
Trong Chính sách quyền riêng tư này, Bên kiểm soát dữ liệu (sau đây gọi là: Brik hoặc Bên kiểm soát dữ liệu) thông báo cho Người dùng về cách xử lý dữ liệu cá nhân, cơ sở pháp lý, mục đích, thời hạn xử lý và quyền của chủ thể dữ liệu.
Nhân viên bảo vệ dữ liệu (DPO): Theo GDPR Điều 37, hoạt động của Bên kiểm soát dữ liệu không bắt buộc chỉ định nhân viên bảo vệ dữ liệu. Về các vấn đề bảo vệ dữ liệu, liên hệ info@brik.hu.
2. VĂN BẢN PHÁP LUẬT ÁP DỤNG
Chính sách quyền riêng tư này dựa trên các quy định của văn bản pháp luật sau:
- GDPR: Quy định (EU) 2016/679 của Nghị viện Châu Âu và Hội đồng về bảo vệ dữ liệu cá nhân;
- Infotv. (2011. évi CXII. törvény – Luật Thông tin Hungary 2011/CXII): về quyền tự quyết thông tin và tự do thông tin;
- Eker. tv. (2001. évi CVIII. törvény – Luật Thương mại điện tử Hungary 2001/CVIII): về một số vấn đề dịch vụ thương mại điện tử;
- Grtv. (2008. évi XLVIII. törvény – Luật Quảng cáo Hungary 2008/XLVIII): về điều kiện cơ bản của hoạt động quảng cáo thương mại;
- Sztv. (2000. évi C. törvény – Luật Kế toán Hungary 2000/C): về kế toán;
- Eht. (2003. évi C. törvény – Luật C năm 2003 về truyền thông điện tử): về truyền thông điện tử;
- Ptk. (2013. évi V. törvény – Bộ luật Dân sự Hungary 2013/V): về Bộ luật Dân sự.
3. NGUYÊN TẮC XỬ LÝ DỮ LIỆU
Khi xử lý dữ liệu cá nhân, Brik tuân thủ các nguyên tắc sau (GDPR Điều 5):
- Hợp pháp, công bằng, minh bạch: xử lý luôn dựa trên cơ sở pháp lý cụ thể và được thông báo minh bạch.
- Giới hạn mục đích: chỉ xử lý dữ liệu cho mục đích hợp pháp được chỉ định rõ ràng.
- Giảm thiểu dữ liệu: chỉ thu thập và xử lý dữ liệu tối thiểu cần thiết.
- Chính xác: cố gắng lưu trữ dữ liệu chính xác và cập nhật; chỉnh sửa theo yêu cầu của Người dùng.
- Giới hạn lưu trữ: chỉ giữ dữ liệu trong thời gian cần thiết.
- Toàn vẹn và bảo mật: bảo vệ dữ liệu bằng biện pháp an ninh phù hợp.
- Trách nhiệm giải trình: ghi chép mọi hoạt động xử lý dữ liệu.
4. MỤC ĐÍCH, CƠ SỞ PHÁP LÝ VÀ DỮ LIỆU ĐƯỢC XỬ LÝ
Brik xử lý dữ liệu cá nhân cho các mục đích sau:
4.0. Khách truy cập chưa đăng ký – form nhập máy tính
| Mục đích | Hiển thị form nhập máy tính; lưu tạm dữ liệu đã nhập để quay lại sau đăng ký |
| Cơ sở pháp lý | Lợi ích hợp pháp – GDPR Điều 6(1)(f) |
| Dữ liệu xử lý | Mã định danh phiên (session cookie), địa chỉ IP, loại trình duyệt, dấu thời gian. Dữ liệu bất động sản nhập vào máy tính (giá mua, tiền thuê, tham số vay, tăng giá dự kiến) chỉ lưu trong phiên trên thiết bị Người dùng (sessionStorage) – không chạy tính toán nếu chưa đăng ký. |
| Thời gian lưu giữ | Dữ liệu máy tính riêng lẻ chỉ được xử lý trong thời gian phiên trên thiết bị – xóa khi đóng trình duyệt; KHÔNG lưu trên máy chủ dưới dạng riêng lẻ hoặc có thể liên kết với cá nhân |
| Bên thứ ba | Dữ liệu riêng lẻ không chuyển giao cho bên thứ ba (xem Mục 4.10 về thống kê tổng hợp ẩn danh) |
Khách chưa đăng ký có thể xem form nhập máy tính, nhưng không chạy được tính toán. Dữ liệu họ nhập chỉ ở trên thiết bị, cấp phiên (ví dụ để sau đăng ký tính toán chạy với cùng dữ liệu). Máy chủ Brik KHÔNG lưu lâu dài dữ liệu riêng lẻ này và KHÔNG liên kết với cá nhân. Thống kê thị trường ẩn danh, tổng hợp chỉ từ tính toán của người dùng đã đăng nhập – xem Mục 4.10. Cần đăng ký miễn phí để dùng máy tính.
4.1. Đăng ký và quản lý tài khoản
| Mục đích | Cung cấp dịch vụ Brik, tạo tài khoản người dùng, đăng nhập |
| Cơ sở pháp lý | Thực hiện hợp đồng – GDPR Điều 6(1)(b) |
| Dữ liệu xử lý | Địa chỉ e-mail; đăng ký email/mật khẩu: mật khẩu (băm bcrypt), tên (tùy chọn); đăng nhập Google: Google LLC (bên xử lý dữ liệu xác thực) chia sẻ dữ liệu cần thiết để đăng nhập (e-mail, tên) với Brik – Brik dùng để tạo tài khoản và xác thực; ngày đăng ký; địa chỉ IP |
| Thời gian lưu giữ | Trong thời gian tài khoản tồn tại + 30 ngày kể từ khi xóa tài khoản (để khôi phục), sau đó xóa ngay |
4.2. Đăng ký Brik Pro và thanh toán
| Mục đích | Quản lý đăng ký Brik Pro, trừ phí, duy trì trạng thái đăng ký |
| Cơ sở pháp lý | Thực hiện hợp đồng – GDPR Điều 6(1)(b) |
| Dữ liệu xử lý | Stripe Customer ID, trạng thái đăng ký, ngày bắt đầu và hết hạn, siêu dữ liệu phương thức thanh toán (4 chữ số cuối, loại thẻ), mã giao dịch. Chúng tôi KHÔNG xử lý dữ liệu thẻ ngân hàng đầy đủ; Stripe lưu trữ riêng theo tuân thủ PCI DSS Level 1. |
| Thời gian lưu giữ | Trong thời gian đăng ký + 8 năm (nghĩa vụ kế toán, Sztv. Điều 169) |
4.3. Lập hóa đơn
| Mục đích | Phát hành hóa đơn, báo cáo dữ liệu NAV Online Invoice, tuân thủ kế toán |
| Cơ sở pháp lý | Nghĩa vụ pháp lý – GDPR Điều 6(1)(c) và Sztv. Điều 169 |
| Dữ liệu xử lý | Dữ liệu trên hóa đơn: họ tên đầy đủ, địa chỉ thanh toán (quốc gia, mã bưu điện, thành phố, đường/số nhà), e-mail, mã số thuế (chỉ khách hàng doanh nghiệp nếu cung cấp), số tiền hóa đơn, ngày thực hiện |
| Thời gian lưu giữ | 8 năm kể từ cuối năm dương lịch (Sztv. Điều 169(1)) |
Cách thu thập dữ liệu: Người dùng cung cấp dữ liệu thanh toán trên giao diện Stripe Checkout. Dữ liệu được Stripe Payments Europe Limited lưu trữ và xử lý, sau đó chuyển vào hệ thống hóa đơn của Brik (Billingo) qua cơ chế webhook của Stripe. Brik chỉ xử lý dữ liệu này để phát hành hóa đơn theo nghĩa vụ pháp lý.
4.4. Tính toán của người dùng
| Mục đích | Lưu, truy xuất và so sánh các phép tính đầu tư bất động sản do Người dùng thực hiện |
| Cơ sở pháp lý | Thực hiện hợp đồng – GDPR Điều 6(1)(b) |
| Dữ liệu xử lý | Dữ liệu bất động sản (địa chỉ, giá mua, thuế chuyển nhượng, chi phí mua khác, tiền thuê, phí chung hàng tháng, tiện ích hàng tháng, tham số vay, v.v.) liên kết với tài khoản người dùng. Dữ liệu bất động sản bản thân không phải dữ liệu cá nhân, nhưng được liên kết với ID Người dùng. |
| Thời gian lưu giữ | Trong thời gian tài khoản + xóa ngay khi xóa tài khoản |
Sử dụng dữ liệu tham chiếu thị trường
Máy tính Brik so sánh dữ liệu bất động sản bạn cung cấp với dữ liệu tham chiếu thị trường công khai. Dữ liệu tham chiếu đến từ các nguồn sau:
- ÁKK (Cơ quan Quản lý Nợ Chính phủ Hungary) – lợi suất trái phiếu chính phủ
- BAMOSZ (Hiệp hội Quỹ Đầu tư và Quản lý Tài sản Hungary) – lợi nhuận trung bình của các quỹ đầu tư
- BÉT (Sở Giao dịch Chứng khoán Budapest) – dữ liệu BUX
- S&P Global – dữ liệu lịch sử chỉ số S&P 500
- MSCI – dữ liệu lịch sử chỉ số MSCI World
- KSH STADAT – thống kê giá nhà ở (dữ liệu tham chiếu theo vị trí)
Máy tính cũng có thể hiển thị dữ liệu tham chiếu thị trường theo vị trí (giá/m² trung bình, tiền thuê và xu hướng tăng giá 5 năm của quận hoặc thành phố đã chọn). Dữ liệu này cũng đến từ nguồn công khai, không phải dữ liệu cá nhân.
Dữ liệu này không chứa thông tin cá nhân và chỉ được sử dụng cho mục đích so sánh thông tin. So sánh này không cấu thành tư vấn đầu tư.
Số dòng tham chiếu hiển thị trong bảng so sánh đầu tư phụ thuộc trạng thái đăng ký và gói thuê bao của Người dùng; điều này không dẫn đến xử lý dữ liệu cá nhân mới, chỉ giới hạn phạm vi hiển thị.
Dữ liệu được cập nhật thủ công hàng tháng. Tăng giá và lợi nhuận quá khứ là ước tính, không đảm bảo hiệu suất tương lai. Hàng «Bất động sản này» trong bảng so sánh hiển thị tổng lợi nhuận dự kiến (lợi suất cho thuê + tăng giá ước tính).
4.5. Quan hệ khách hàng và hỗ trợ kỹ thuật
| Mục đích | Trả lời câu hỏi, xử lý khiếu nại, hỗ trợ kỹ thuật |
| Cơ sở pháp lý | Thực hiện hợp đồng hoặc lợi ích hợp pháp – GDPR Điều 6(1)(b) hoặc (f) |
| Dữ liệu xử lý | Nội dung e-mail, tệp đính kèm, thời điểm phản hồi, mã liên hệ |
| Thời gian lưu giữ | 5 năm sau liên hệ (thời hạn khởi kiện Ptk. Điều 6:22) |
4.6. Bản tin và marketing (chỉ khi có đồng ý)
| Mục đích | Gửi bản tin, tin sản phẩm, khuyến mãi và nội dung liên quan qua Klaviyo, Inc. |
| Cơ sở pháp lý | Đồng ý – GDPR Điều 6(1)(a) và Grtv. Điều 6(1) |
| Dữ liệu xử lý | E-mail, tên, ngày đăng ký, IP opt-in, thời điểm opt-in, ngày hủy đăng ký, mở/nhấp e-mail (engagement) |
| Thời gian lưu giữ | Đến khi hủy đăng ký + 5 năm (để chứng minh theo Grtv. Điều 6(5)); dữ liệu đã hủy vẫn ở "suppression list" dạng hash e-mail để tránh liên hệ lại |
Đăng ký bản tin có thể rút lại bất cứ lúc nào, miễn phí bằng cách nhấp "Hủy đăng ký" trong bản tin hoặc gửi e-mail tới info@brik.hu.
4.7. Phòng chống gian lận và nhật ký bảo mật
| Mục đích | Duy trì an ninh dịch vụ, ngăn lạm dụng, giám sát đăng nhập thất bại |
| Cơ sở pháp lý | Lợi ích hợp pháp – GDPR Điều 6(1)(f) |
| Dữ liệu xử lý | Nhật ký đăng nhập (IP, trình duyệt, dấu thời gian), lần xác thực thất bại |
| Thời gian lưu giữ | 90 ngày, trừ khi điều tra sự cố bảo mật đang diễn ra cần lưu lâu hơn |
4.8. Cookie
Thông tin chi tiết về cookie xem tại Chính sách Cookie.
| Cơ sở pháp lý (cookie tuyệt đối cần thiết) | Thực hiện hợp đồng / lợi ích hợp pháp – GDPR Điều 6(1)(b)/(f), Eht. Điều 155(4) |
| Cơ sở pháp lý (cookie phân tích, marketing) | Đồng ý – GDPR Điều 6(1)(a), Eht. Điều 155(4) |
4.9. Lưu lượng truy cập website (Vercel Web Analytics – chỉ khi có đồng ý)
| Mục đích | Đo lường lưu lượng truy cập ẩn danh, tổng hợp trên website Brik (trang nào được xem, khách đến từ đâu, loại thiết bị) để cải thiện dịch vụ |
| Cơ sở pháp lý | Đồng ý – GDPR Điều 6(1)(a) |
| Bên xử lý dữ liệu | Vercel, Inc. (xem Mục 5.1) |
| Dữ liệu xử lý | Lượt xem trang (URL), referrer, dấu thời gian sự kiện, vị trí địa lý gần đúng (quốc gia/khu vực), hệ điều hành và loại thiết bị (di động/máy tính/máy tính bảng), loại trình duyệt – dạng ẩn danh, tổng hợp; không xử lý tên, email, ID tài khoản hoặc địa chỉ IP làm định danh lâu dài |
| Cookie | Vercel Web Analytics không đặt cookie phân tích |
| Nhận diện khách | Hash ẩn danh hàng ngày từ yêu cầu; hash tự động bị xóa sau 24 giờ (tài liệu Vercel) |
| Thời gian lưu trữ | Hash phiên khách: tối đa 24 giờ. Thống kê tổng hợp trên bảng điều khiển Vercel theo reporting window của Vercel (gói Hobby: 1 tháng; gói Pro: 12 tháng; chi tiết: https://vercel.com/docs/analytics/limits-and-pricing) |
| Kích hoạt | Chỉ sau khi Người dùng đồng ý phân tích qua banner cookie |
Chính sách quyền riêng tư của Vercel: https://vercel.com/legal/privacy-policy. Chi tiết kỹ thuật: https://vercel.com/docs/analytics/privacy-policy
4.10. Thống kê thị trường ẩn danh, tổng hợp
| Mục đích | Tạo thống kê ẩn danh, tổng hợp về mức độ quan tâm thị trường khi sử dụng máy tính để cải thiện dịch vụ và phân tích thị trường |
| Cơ sở pháp lý | Lợi ích hợp pháp – GDPR Điều 6(1)(f). Vì dữ liệu ẩn danh, nó không cấu thành dữ liệu cá nhân theo GDPR. |
| Dữ liệu xử lý | Dữ liệu tổng hợp, phân theo khoảng. Máy tính đầu tư: vị trí (thành phố/quận), khoảng giá, khoảng tiền thuê, khoảng lợi suất, cờ khoản vay, cờ dòng tiền hàng tháng dương/âm, và – đếm riêng từng chiều – khoảng giá/m², khoảng tiền thuê/m², khoảng diện tích, khoảng tăng giá kỳ vọng, khoảng lãi suất, khoảng tỷ lệ vay/giá mua, phương thức thuế, người trả phí chung cư, khoảng thời gian nắm giữ dự kiến. Máy tính Wekerle Plusz: loại và tình trạng bất động sản (mới/cũ), khoảng giá, giá/m², diện tích, tỷ lệ vốn tự có và khoản trả hàng tháng, đủ điều kiện (có/không) và loại điều kiện không đáp ứng (không có tuổi, vị trí hay giá trị chính xác). Cho cả hai: tháng. Các chiều không được kết hợp với nhau, và chỉ được chia sẻ với bên thứ ba các số liệu tổng hợp gồm ít nhất 10 lượt tính. Không lưu trữ: tên, email, địa chỉ IP, mã định danh người dùng, bản ghi có thể nhận diện riêng lẻ, giá trị chính xác (ví dụ giá mua cụ thể hoặc số tiền dòng tiền chính xác) – chỉ các nhóm giá trị và danh mục (có/không). |
| Thời gian lưu giữ | Theo tháng, trong thời gian thống kê còn phù hợp với mục đích |
| Bên thứ ba | Brik có thể trong tương lai chia sẻ hoặc bán các thống kê tổng hợp, ẩn danh này cho bên thứ ba (ví dụ các bên tham gia thị trường bất động sản hoặc tài chính) chỉ dưới dạng tổng hợp, ẩn danh |
Khi sử dụng máy tính, Brik tạo thống kê ẩn danh, tổng hợp về mức độ quan tâm thị trường (ví dụ thành phố/quận nào, nhóm giá và tiền thuê nào, nhóm lợi suất kỳ vọng nào, có vay hay Otthon Start hay không, và dòng tiền hàng tháng tính được là dương hay âm). Dữ liệu này được lưu trữ chỉ dưới dạng tổng hợp, phân nhóm và không chứa dữ liệu cá nhân: không có tên, email, địa chỉ IP hay bản ghi có thể nhận diện riêng lẻ. Các giá trị chính xác (ví dụ giá mua cụ thể) không được lưu – chỉ các nhóm giá trị. Không thể nhận diện bất kỳ người dùng nào từ dữ liệu này.
Cơ sở pháp lý xử lý là lợi ích hợp pháp của Brik [GDPR Điều 6(1)(f)] trong việc cải thiện dịch vụ và phân tích thị trường. Vì dữ liệu ẩn danh, nó không cấu thành dữ liệu cá nhân theo GDPR.
Brik có thể trong tương lai chia sẻ hoặc bán các thống kê tổng hợp, ẩn danh này cho bên thứ ba (ví dụ các bên tham gia thị trường bất động sản hoặc tài chính) chỉ dưới dạng tổng hợp, ẩn danh.
Cookie: Thống kê thị trường ẩn danh không sử dụng cookie và không yêu cầu đồng ý qua banner cookie; xử lý dựa trên lợi ích hợp pháp nêu trên.
4.11. Nguồn đăng ký (bạn biết đến Brik từ đâu)
| Mục đích | Đo lường người dùng đã đăng ký biết đến Brik qua kênh nào (ví dụ TikTok, Instagram, Facebook, Google, người quen) – nhằm đánh giá và cải thiện hoạt động marketing |
| Dữ liệu – tự khai báo | Câu trả lời cho câu hỏi "Bạn biết đến Brik từ đâu?" (một trong các danh mục có sẵn hoặc "Tôi không muốn trả lời") và thời điểm trả lời. Việc trả lời là tự nguyện, có thể đóng câu hỏi |
| Dữ liệu – nguồn chiến dịch | Các tham số chiến dịch trong liên kết của lần truy cập đầu tiên (utm_source, utm_medium, utm_campaign), tên miền trang giới thiệu (ví dụ instagram.com) và thời điểm ghi nhận. Brik chỉ lưu các dữ liệu này trong trình duyệt (brik-attribution, localStorage) khi có sự đồng ý về phân tích, và gắn vào tài khoản một lần sau khi đăng nhập |
| Cơ sở pháp lý | Câu trả lời tự khai báo: lợi ích hợp pháp – GDPR Điều 6(1)(f) (tự nguyện, có thể xóa bất cứ lúc nào). Nguồn chiến dịch: đồng ý – GDPR Điều 6(1)(a) |
| Thời hạn lưu trữ | Cho đến khi tài khoản bị xóa. Sau khi rút lại sự đồng ý, dữ liệu nguồn chiến dịch mới sẽ không được ghi nhận và giá trị lưu trong trình duyệt sẽ bị xóa |
| Bên xử lý dữ liệu | Supabase, Inc. (xem Mục 5.2) |
| Bên thứ ba | Không chia sẻ với bên thứ ba; Brik chỉ sử dụng ở dạng tổng hợp (ví dụ "40% lượt đăng ký tuần này đến từ TikTok") |
5. BÊN XỬ LÝ DỮ LIỆU – AI CÓ QUYỀN TRUY CẬP DỮ LIỆU?
Để vận hành Dịch vụ, Brik sử dụng dịch vụ của các bên thứ ba sau (bên xử lý dữ liệu). Thỏa thuận xử lý dữ liệu (DPA) hợp lệ có với mọi bên xử lý dữ liệu.
5.1. Vercel, Inc. (hosting frontend và phân tích web)
| Trụ sở | 440 N Barranca Avenue #4133, Covina, CA 91723, USA |
| Nơi lưu trữ dữ liệu | Vùng EU: Frankfurt (Đức) |
| Hoạt động | Phục vụ trang web và ứng dụng web Brik; Vercel Web Analytics đo lường lưu lượng ẩn danh (chỉ khi có đồng ý, xem Mục 4.9) |
| Dữ liệu xử lý | Hosting: IP, dữ liệu trình duyệt, nhật ký yêu cầu. Phân tích (opt-in): lượt xem trang, referrer, khu vực gần đúng, loại thiết bị và trình duyệt (ẩn danh, tổng hợp) |
| Cơ chế chuyển giao | EU-USA Data Privacy Framework (DPF) – thành viên được chứng nhận (từ 04.06.2024), và Điều khoản Hợp đồng Tiêu chuẩn EU (SCC) |
| Thông tin thêm | https://vercel.com/legal/privacy-policy |
5.2. Supabase, Inc. (cơ sở dữ liệu và xác thực)
| Trụ sở (pháp nhân) | Supabase, Inc., Delaware, USA |
| Nơi lưu trữ dữ liệu | Vùng EU: eu-west-1 (Ireland, AWS) |
| Hoạt động | Lưu tài khoản, hash mật khẩu, tính toán và dữ liệu khác trong PostgreSQL, xác thực |
| Dữ liệu xử lý | Dữ liệu tài khoản, tính toán, dữ liệu phiên |
| Cơ chế chuyển giao | SCC Module 2 + UK ICO Addendum (DPA: 14.03.2025) – Supabase KHÔNG phải thành viên DPF |
| Ghi chú | Dù dữ liệu lưu vật lý tại EU (Ireland), Supabase, Inc. là pháp nhân Mỹ nên CLOUD Act có thể áp dụng về lý thuyết. Brik lưu trữ dữ liệu cùng Transfer Impact Assessment (TIA) do Supabase cung cấp. |
| Thông tin thêm | https://supabase.com/legal/dpa |
5.3. Stripe Payments Europe, Limited (thanh toán)
| Trụ sở | The One Building, 1 Grand Canal Street Lower, Dublin 2, Ireland |
| Nơi lưu trữ dữ liệu | EU |
| Hoạt động | Xử lý thanh toán thẻ, trừ phí định kỳ (subscription), Stripe Customer Portal |
| Dữ liệu xử lý | Dữ liệu thẻ (Brik KHÔNG truy cập), giao dịch, Customer ID, siêu dữ liệu phương thức thanh toán |
| Cơ chế chuyển giao | Trong EU; khi cần, theo SCC EU |
| Ghi chú | Stripe cũng là bên kiểm soát dữ liệu độc lập đối với Brik (do nghĩa vụ AML, chống gian lận và PSD2 riêng). |
| Thông tin thêm | https://stripe.com/legal/privacy-center |
5.4. Billingo Zrt. (hóa đơn)
| Đơn vị vận hành | Octonull Korlátolt Felelősségű Társaság |
| Trụ sở | 1133 Budapest, Árbóc utca 6. |
| Mã số thuế | 23153268-2-41 |
| Nơi lưu trữ dữ liệu | Hungary (Liên minh Châu Âu) |
| Hoạt động | Phát hành hóa đơn điện tử, báo cáo NAV Online Invoice, lưu trữ hóa đơn |
| Dữ liệu xử lý | Dữ liệu hóa đơn: tên, địa chỉ, mã số thuế (doanh nghiệp), e-mail, số tiền |
| Cơ chế chuyển giao | Xử lý trong EU, theo GDPR |
| Chuyển giao cho NAV | Billingo báo cáo dữ liệu vào hệ thống NAV Online Invoice thay mặt Brik theo nghĩa vụ pháp lý (Áfa tv.) |
| Thông tin thêm | https://www.billingo.hu/adatkezelesi-tajekoztato |
5.5. Zoho Corporation B.V. (hosting e-mail – info@brik.hu)
| Trụ sở | Beneluxlaan 4B, 3527 HT Utrecht, Netherlands |
| Nơi lưu trữ dữ liệu | Vùng EU: Amsterdam (Hà Lan) và Dublin (Ireland) – trung tâm dữ liệu zoho.eu |
| Hoạt động | Gửi và nhận e-mail từ địa chỉ @brik.hu |
| Dữ liệu xử lý | Nội dung e-mail, tệp đính kèm, dữ liệu người gửi/nhận |
| Cơ chế chuyển giao | Chủ yếu trong EU; trong một số trường hợp (hỗ trợ kỹ thuật) có thể truy cập từ Ấn Độ, theo SCC EU |
| Ghi chú | Zoho KHÔNG phải thành viên DPF; chuyển giao xuyên biên giới chỉ theo SCC. |
| Thông tin thêm | https://www.zoho.com/privacy.html |
5.6. Klaviyo, Inc. (e-mail marketing – chỉ khi có đồng ý)
| Trụ sở | 125 Summer St, Floor 6, Boston, MA 02110, USA |
| Nơi lưu trữ dữ liệu | USA (AWS) |
| Hoạt động | Gửi bản tin marketing và chiến dịch e-mail tự động – chỉ khi Người dùng đồng ý rõ ràng |
| Dữ liệu xử lý | E-mail, tên, IP opt-in, thời điểm opt-in, engagement e-mail |
| Cơ chế chuyển giao | EU-USA Data Privacy Framework (DPF) – thành viên chứng nhận (#6149), cùng UK Extension và Swiss-US DPF |
| Thông tin thêm | https://www.klaviyo.com/legal/privacy-policy |
5.7. Bảng tóm tắt bên xử lý dữ liệu
| Bên xử lý dữ liệu | Vai trò | Vị trí dữ liệu | Cơ chế |
|---|---|---|---|
| Vercel, Inc. | Hosting frontend + Web Analytics (opt-in) | Frankfurt, EU | DPF + SCC |
| Supabase, Inc. | Cơ sở dữ liệu, auth | Ireland, EU | SCC + UK Addendum |
| Stripe Payments Europe | Thanh toán | EU | Trong EU + SCC |
| Billingo / Octonull Kft. | Hóa đơn | Hungary | GDPR (EU) |
| Zoho Corporation B.V. | Hosting e-mail | Hà Lan + Ireland | Trong EU + SCC |
| Klaviyo, Inc. | E-mail marketing (opt-in) | USA | DPF + SCC |
6. CHUYỂN GIAO DỮ LIỆU RA NƯỚC THỨ BA
Một phần bên xử lý dữ liệu ở Mục 5 có trụ sở tại Mỹ (Vercel, Supabase, Klaviyo). Chuyển giao dữ liệu dựa trên một trong các cơ chế sau:
-
EU-USA Data Privacy Framework (DPF) – Vercel và Klaviyo là thành viên tích cực; bảo vệ đầy đủ theo quyết định đủ điều kiện của Ủy ban Châu Âu (2023/1795/EU).
-
Điều khoản Hợp đồng Tiêu chuẩn (SCC) – áp dụng cho Supabase và Zoho; bảo đảm hợp đồng theo Quyết định Thực thi 2021/914/EU.
-
UK ICO Addendum – khi dữ liệu cũng đi qua Vương quốc Anh.
Brik dựa trên thông tin mới nhất trên trang chính thức của bên xử lý dữ liệu về cơ chế chuyển giao, và sẽ điều chỉnh thực hành xử lý dữ liệu khi cần – ví dụ thay đổi pháp luật (như vô hiệu hóa DPF).
7. QUYỀN CỦA CHỦ THỂ DỮ LIỆU
Người dùng có các quyền sau theo Chương III GDPR:
7.1. Quyền truy cập (GDPR Điều 15)
Người dùng có thể yêu cầu Brik thông báo dữ liệu cá nhân đang xử lý, mục đích, nguồn, thời gian lưu trữ và bên nhận chuyển giao.
7.2. Quyền chỉnh sửa (GDPR Điều 16)
Người dùng có thể yêu cầu Brik sửa dữ liệu cá nhân không chính xác và bổ sung dữ liệu thiếu.
7.3. Quyền xóa / "quyền được quên" (GDPR Điều 17)
Người dùng có thể yêu cầu xóa dữ liệu cá nhân. Chúng tôi có nghĩa vụ thực hiện, trừ khi:
- nghĩa vụ pháp lý (ví dụ Sztv. Điều 169 – lưu hóa đơn 8 năm) mâu thuẫn,
- cần thiết để thiết lập, thực hiện hoặc bảo vệ yêu cầu pháp lý,
- tự do biểu đạt và thông tin điện tử đòi hỏi giữ lại.
7.4. Quyền hạn chế xử lý (GDPR Điều 18)
Người dùng có thể yêu cầu hạn chế xử lý nếu tranh chấp độ chính xác, hoặc xử lý bất hợp pháp nhưng không yêu cầu xóa.
7.5. Quyền di chuyển dữ liệu (GDPR Điều 20)
Người dùng có thể yêu cầu dữ liệu xử lý tự động trên cơ sở đồng ý hoặc hợp đồng ở định dạng có cấu trúc, phổ biến, máy đọc được (ví dụ JSON, CSV), hoặc chuyển cho bên kiểm soát khác.
7.6. Quyền phản đối (GDPR Điều 21)
Người dùng có thể phản đối xử lý dựa trên lợi ích hợp pháp, và bất cứ lúc nào, không cần lý do phản đối xử lý cho marketing trực tiếp.
7.7. Quyền liên quan quyết định tự động (GDPR Điều 22)
Brik không đưa ra quyết định chỉ dựa trên xử lý tự động đối với Người dùng. Máy tính Brik là công cụ hỗ trợ quyết định: quyết định cuối cùng luôn do Người dùng đưa ra.
7.8. Rút lại đồng ý
Nếu xử lý dựa trên đồng ý (ví dụ bản tin, cookie marketing), Người dùng có thể rút lại bất cứ lúc nào, miễn phí tại info@brik.hu hoặc qua giao diện phù hợp (banner cookie, liên kết hủy đăng ký bản tin).
Rút lại đồng ý không ảnh hưởng tính hợp pháp của xử lý dựa trên đồng ý trước khi rút.
7.9. Cách thực hiện các quyền này?
Người dùng có thể thực hiện quyền như sau:
- E-mail: info@brik.hu
- Địa chỉ bưu điện: 1134 Budapest, Lőportár utca 20/A
Brik trả lời bằng văn bản chậm nhất trong 1 tháng kể từ khi nhận yêu cầu. Với yêu cầu phức tạp hoặc số lượng lớn, thời hạn có thể gia hạn thêm 2 tháng; Brik thông báo trong 1 tháng kể từ yêu cầu.
Brik thực hiện yêu cầu miễn phí, trừ yêu cầu không có cơ sở hoặc quá mức (ví dụ lặp lại cùng yêu cầu).
8. BIỆN PHÁP AN NINH DỮ LIỆU
Để bảo vệ dữ liệu, Brik áp dụng các biện pháp sau (GDPR Điều 32):
Biện pháp kỹ thuật:
- Mã hóa HTTPS / TLS 1.3 cho mọi truyền dữ liệu;
- Băm mật khẩu bcrypt (qua Supabase Auth);
- Row-Level Security (RLS) trong cơ sở dữ liệu Supabase, đảm bảo mỗi Người dùng chỉ truy cập dữ liệu của mình;
- Cập nhật bảo mật định kỳ cho phụ thuộc (tự động qua Vercel, Supabase);
- Sao lưu tự động hàng ngày (Supabase);
- Xác thực đa yếu tố (MFA) cho truy cập quản trị;
- Tuân thủ PCI DSS Level 1 của Stripe cho dữ liệu thanh toán.
Biện pháp tổ chức:
- Quy trình xử lý sự cố rò rỉ dữ liệu (xem Mục 9);
- Nguyên tắc "least privilege": chỉ cấp quyền tối thiểu cần thiết;
- Thỏa thuận bên xử lý dữ liệu (DPA) với mọi bên xử lý;
- Rà soát định kỳ thực hành xử lý dữ liệu.
9. SỰ CỐ BẢO VỆ DỮ LIỆU
Sự cố bảo vệ dữ liệu là sự kiện theo GDPR Điều 4(12) dẫn đến phá hủy, mất, thay đổi, tiết lộ hoặc truy cập trái phép dữ liệu cá nhân được truyền, lưu trữ hoặc xử lý khác.
Nghĩa vụ thông báo:
- Khi có sự cố, Brik phải báo cáo NAIH trong vòng 72 giờ kể từ khi biết (GDPR Điều 33).
- Nếu sự cố rủi ro cao đối với quyền Người dùng, Brik cũng trực tiếp thông báo Người dùng bị ảnh hưởng (GDPR Điều 34).
Brik ghi sự cố trong sổ đăng ký sự cố, gồm bản chất sự cố, phạm vi người bị ảnh hưởng, hậu quả có thể và biện pháp khắc phục.
10. DỮ LIỆU TRẺ EM
Dịch vụ Brik dành cho người tự nhiên đủ 16 tuổi (Infotv. và GDPR Điều 8).
Khi đăng ký, Người dùng tuyên bố rõ đã đủ 16 tuổi. Nếu Brik biết Người dùng chưa đủ 16 tuổi, sẽ xóa ngay dữ liệu cá nhân liên quan.
11. QUYẾT ĐỊNH TỰ ĐỘNG, LẬP HỒ SƠ
Brik không áp dụng quyết định tự động hoặc lập hồ sơ có hiệu lực pháp lý hoặc ảnh hưởng đáng kể tương tự đối với Người dùng (GDPR Điều 22).
Mô hình tính toán của Brik (tổng lợi nhuận, cap rate, dòng tiền, điểm đầu tư, v.v.) là công cụ hỗ trợ quyết định, không thay quyết định của Người dùng.
12. SỬA ĐỔI CHÍNH SÁCH QUYỀN RIÊNG TƯ
Brik bảo lưu quyền sửa đổi một phía Chính sách này khi thay đổi pháp luật, tính năng mới hoặc hoàn cảnh hợp lý khác yêu cầu.
Brik thông báo cho Người dùng ít nhất 15 ngày trước khi có hiệu lực qua e-mail đăng ký hoặc giao diện Dịch vụ. Chính sách sửa đổi có hiệu lực từ ngày áp dụng.
13. BIỆN PHÁP KHIẾU NẠI, CƠ QUAN GIÁM SÁT
13.1. Khiếu nại với Brik
Về bảo vệ dữ liệu, Người dùng nên liên hệ trước với người phụ trách bảo vệ dữ liệu của Brik:
- E-mail: info@brik.hu
- Địa chỉ bưu điện: 1134 Budapest, Lőportár utca 20/A
Brik trả lời bằng văn bản tối đa trong 30 ngày kể từ khi nhận.
13.2. Quyền khiếu nại với cơ quan giám sát
Người dùng có thể khiếu nại trực tiếp với cơ quan giám sát bảo vệ dữ liệu Hungary, Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) (Cơ quan Bảo vệ Dữ liệu Hungary):
Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) (Cơ quan Bảo vệ Dữ liệu Hungary) Địa chỉ: 1055 Budapest, Falk Miksa utca 9-11. Địa chỉ bưu điện: 1363 Budapest, Pf. 9. Điện thoại: +36 (1) 391-1400 Fax: +36 (1) 391-1410 E-mail: ugyfelszolgalat@naih.hu Web: https://www.naih.hu
13.3. Biện pháp tư pháp
Người dùng cũng có thể đưa yêu cầu về xử lý dữ liệu ra tòa. Tòa có thẩm quyền – theo lựa chọn Người dùng – là tòa tại nơi cư trú hoặc tạm trú của Người dùng.
14. ĐIỀU KHOẢN CUỐI
Chính sách quyền riêng tư này được giải thích theo luật Hungary. Tranh chấp thuộc thẩm quyền tòa án Hungary.
Vấn đề không quy định trong Chính sách này áp dụng GDPR, Infotv. và pháp luật Hungary hiện hành.
Chính sách quyền riêng tư này luôn có thể truy cập và tải xuống tại /privacy.
Lập ngày: 8 tháng 6 năm 2026