Chính sách quyền riêng tư - DailyCheck

1. Đơn vị vận hành và phạm vi áp dụng

Đơn vị vận hành: DailyCheck. Chính sách áp dụng cho website daily.gcrm.vn, PWA DailyCheck và các chức năng liên quan. Chính sách không thay thế thỏa thuận riêng giữa người dùng với đơn vị, tổ chức hoặc quản trị viên tài khoản của họ.

2. Dữ liệu chúng tôi xử lý

• Họ tên, email, thông tin tài khoản và trạng thái xác thực.
• Quan hệ liên kết do người dùng chọn, như Người thân hoặc Người hỗ trợ, cùng trạng thái lời mời.
• Lịch, giờ nhắc, nội dung nhiệm vụ, chuỗi chuyển tiếp, người nhận, tài liệu hoặc liên kết do người dùng nhập.
• Phản hồi, thời điểm xác nhận, trạng thái công việc và lịch sử hoạt động phục vụ nhật ký kiểm soát.
• Thông báo trong ứng dụng; Web Push subscription gồm endpoint thiết bị, khóa đăng ký, nền tảng và thời điểm thiết bị đăng ký gần nhất.
• Dữ liệu phiên đăng nhập, CSRF token, định danh cài đặt cục bộ và dữ liệu cache của service worker.
• Thông tin kỹ thuật mà máy chủ web/hạ tầng thực tế ghi nhận như thời điểm truy cập, địa chỉ IP, trình duyệt hoặc thiết bị, lỗi và sự kiện bảo mật.

3. Mục đích xử lý

Dữ liệu được dùng để xác thực tài khoản; tạo và vận hành lịch; giao hoặc chuyển nhiệm vụ; đồng bộ trạng thái; gửi thông báo; hiển thị lịch sử; hỗ trợ người dùng; phòng ngừa truy cập trái phép, xử lý lỗi và đáp ứng nghĩa vụ pháp luật.

4. Người có thể nhận dữ liệu

Dữ liệu có thể được hiển thị cho người dùng được chỉ định trong chuỗi xử lý, chủ lịch và quản trị viên theo đúng phân quyền. Nhà cung cấp máy chủ, mạng, email hoặc dịch vụ push chỉ nhận phần dữ liệu cần thiết để cung cấp dịch vụ. Dữ liệu cũng có thể được cung cấp khi pháp luật hoặc cơ quan có thẩm quyền yêu cầu.

5. PWA và Web Push

Quyền thông báo là tùy chọn. Người dùng chỉ đăng ký Web Push sau khi cài PWA hoặc sử dụng trình duyệt hỗ trợ, bấm biểu tượng chuông và cho phép thông báo. Có thể thu hồi trong phần Cài đặt thông báo của thiết bị. Đăng xuất chấm dứt phiên đăng nhập nhưng subscription có thể còn trên thiết bị cho đến khi bị thu hồi hoặc xóa; người dùng nên thu hồi quyền khi không còn sử dụng thiết bị.

Thông báo khóa màn hình chỉ dùng tiêu đề và tên nhiệm vụ ở mức tối thiểu; nội dung nhiệm vụ được bảo vệ không được đưa vào payload push.

6. Cookie, localStorage và service worker

DailyCheck sử dụng cookie phiên và CSRF để duy trì đăng nhập, bảo vệ yêu cầu; localStorage để lưu định danh thiết bị push và một số trạng thái giao diện; service worker/cache để cài PWA và tải tài nguyên nhanh hơn. Xóa dữ liệu website hoặc gỡ PWA có thể xóa dữ liệu cục bộ nhưng không tự động xóa dữ liệu tài khoản trên máy chủ.

7. Thời gian lưu giữ và xóa dữ liệu

Dữ liệu được giữ trong thời gian tài khoản, lịch hoặc nhiệm vụ còn cần cho mục đích vận hành, an toàn, giải quyết yêu cầu và nghĩa vụ pháp luật. DailyCheck không cam kết một mốc xóa cố định khi chưa có chính sách lưu giữ được phê duyệt. Khi có yêu cầu hợp lệ, dữ liệu sẽ được xóa, ẩn danh hoặc hạn chế xử lý trong phạm vi pháp luật và khả năng kỹ thuật; một số bản ghi kiểm soát hoặc sao lưu có thể được giữ lâu hơn nếu cần thiết.

8. Quyền của người dùng

Trong phạm vi pháp luật, người dùng có quyền được biết; đồng ý hoặc không đồng ý và rút lại sự đồng ý; truy cập, xem, sửa hoặc yêu cầu sửa; yêu cầu cung cấp, xóa, hạn chế hoặc phản đối xử lý; khiếu nại, tố cáo, khởi kiện và yêu cầu thực hiện biện pháp bảo vệ dữ liệu. DailyCheck có thể yêu cầu xác minh danh tính và quyền đối với tài khoản trước khi xử lý yêu cầu.

9. Biện pháp bảo mật đang áp dụng

Hệ thống sử dụng HTTPS, xác thực phiên, kiểm tra CSRF, phân quyền theo vai trò, giới hạn quyền xem/sửa theo chủ sở hữu và người được giao, kiểm tra chống truy cập chéo tài khoản (IDOR), nhật ký sự kiện và cơ chế chống thao tác lặp. Không hệ thống nào loại bỏ hoàn toàn rủi ro; người dùng cần bảo vệ mật khẩu và thiết bị của mình.

10. Trẻ em, người phụ thuộc và chuyển dữ liệu

Nếu người dùng nhập dữ liệu liên quan đến trẻ em hoặc người phụ thuộc, người nhập phải có thẩm quyền và chỉ cung cấp dữ liệu cần thiết. Khi hạ tầng, email hoặc nhà cung cấp push xử lý dữ liệu ngoài Việt Nam, dữ liệu có thể được chuyển xuyên biên giới trong phạm vi cần thiết và phải tuân thủ yêu cầu pháp luật áp dụng.

11. Cập nhật chính sách và liên hệ

Chính sách có thể được cập nhật khi tính năng, nhà cung cấp hoặc yêu cầu pháp luật thay đổi. Phiên bản và ngày cập nhật mới nhất luôn hiển thị ở đầu trang.