Chính sách quyền riêng tư

1. Phạm vi áp dụng

Chính sách này áp dụng cho các tính năng số do Đầm Sen vận hành hoặc tích hợp để phục vụ khách hàng, gồm CRM 360, Đầm Sen Water+ trên Zalo Mini App, Student Pass, Water+ Rewards, voucher, vòng quay khuyến mại miễn phí, hồ sơ vé, check-in và các màn thử nghiệm được công bố chính thức.

Việc mua vé và thanh toán trên hệ thống đặt vé Nexpando/booking có thể đồng thời chịu chính sách và điều khoản riêng của kênh đặt vé.

2. Dữ liệu có thể được xử lý

• Thông tin nhận diện và liên hệ: họ tên, email, số điện thoại khi bạn chủ động cung cấp hoặc cho phép chia sẻ.
• Dữ liệu Zalo: mã người dùng theo ứng dụng, mã liên kết OA, trạng thái Quan tâm OA, tên/ảnh đại diện hoặc số điện thoại chỉ khi tính năng tương ứng được Zalo cấp quyền và bạn bấm cho phép.
• Student Pass: trường, mã sinh viên, email đã xác minh, trạng thái hồ sơ và kết quả rà soát. Với trường có domain email sinh viên tin cậy, email trường có thể là bằng chứng chính. Với trường chưa có domain tin cậy hoặc hồ sơ cần duyệt thủ công, hệ thống có thể yêu cầu ảnh thẻ sinh viên và selfie/ảnh thử thách để nhân viên kiểm tra.
• Tín hiệu chống trùng Student Pass: một số định danh như MSSV, email, số điện thoại hoặc Zalo UID được chuẩn hóa/băm HMAC trong lớp chống gian lận để phát hiện một định danh được dùng cho nhiều hồ sơ. Email cá nhân, SĐT, Zalo UID hoặc Quan tâm OA không tự chứng minh tư cách sinh viên.
• Giao dịch và sử dụng dịch vụ: mã đơn hàng, mã vé, loại vé, giá trị, trạng thái sử dụng/check-in, nguồn bán, lịch sử đổi voucher hoặc sử dụng quyền lợi.
• Water+ Rewards: điểm, lượt quay, nhiệm vụ, referral, quà sinh nhật, voucher, kết quả chương trình và lịch sử nhận thưởng.
• Dữ liệu kỹ thuật và an ninh: phiên đăng nhập, thời điểm truy cập, nhật ký lỗi, tín hiệu chống gian lận và dữ liệu cần thiết để bảo vệ tài khoản/hệ thống.

3. Mục đích xử lý

• Cung cấp vé, tài khoản, Student Pass, voucher, Rewards và hỗ trợ khách hàng.
• Liên kết đúng một khách hàng với đơn hàng, vé, check-in và quyền lợi của chính họ.
• Xác minh tình trạng sinh viên, áp dụng giới hạn ưu đãi và ngăn tạo nhiều Student Pass không hợp lệ.
• Cho phép nhân viên kiểm tra hồ sơ Student Pass khi không thể xác minh tự động bằng domain email sinh viên tin cậy.
• Vận hành chương trình khách hàng thân thiết, nhiệm vụ, referral, sinh nhật, khuyến mại và quay thưởng.
• Phát hiện lạm dụng, gian lận, truy cập trái phép và bảo vệ an toàn hệ thống.
• Đo lường hiệu quả dịch vụ, phân tích trải nghiệm và cải thiện sản phẩm trong phạm vi pháp luật cho phép.
• Thực hiện nghĩa vụ pháp lý, kế toán, kiểm toán hoặc yêu cầu hợp pháp của cơ quan có thẩm quyền.

4. Cơ sở xử lý và sự đồng ý

Đầm Sen xử lý dữ liệu ở mức cần thiết để cung cấp dịch vụ bạn yêu cầu, thực hiện nghĩa vụ pháp lý, bảo vệ hệ thống và theo sự đồng ý của bạn trong các trường hợp pháp luật yêu cầu.

Các tín hiệu Zalo, số điện thoại Zalo và Quan tâm OA là tùy chọn bổ sung. Việc không cung cấp các tín hiệu này không tự làm mất quyền đăng ký Student Pass. Nếu trường không có email sinh viên tin cậy, bạn có thể cần cung cấp thẻ sinh viên và selfie/ảnh thử thách để hoàn tất luồng duyệt thủ công; nếu không muốn cung cấp bằng chứng ảnh, hồ sơ có thể chưa đủ căn cứ để được duyệt.

Đối với Student Pass, hệ thống hiển thị thông báo và yêu cầu xác nhận Chính sách này/Điều khoản trước khi bắt đầu quy trình xác minh. Việc rút lại sự đồng ý không làm mất tính hợp pháp của hoạt động xử lý đã diễn ra trước thời điểm rút lại và có thể ảnh hưởng tới chức năng cần dữ liệu đó.

5. Chia sẻ dữ liệu và nhà cung cấp

Đầm Sen không bán dữ liệu cá nhân. Dữ liệu có thể được chia sẻ ở mức cần thiết với các bên hỗ trợ vận hành dịch vụ, ví dụ:

• Nexpando và hệ thống liên quan để phát hành/đối soát vé và mã ưu đãi.
• Zalo/VNG cho chức năng Mini App, quyền người dùng và OA.
• Nhà cung cấp hạ tầng đám mây, cơ sở dữ liệu, hosting, email và công cụ vận hành như Supabase/Vercel hoặc dịch vụ thay thế tương đương.
• Đơn vị thanh toán hoặc đối tác giao dịch khi bạn sử dụng kênh thanh toán; CRM Water+ không cần lưu toàn bộ thông tin thẻ thanh toán.
• Cơ quan nhà nước hoặc bên có thẩm quyền khi có yêu cầu hợp pháp.

Một số nhà cung cấp hạ tầng có thể xử lý dữ liệu tại hệ thống đặt ngoài Việt Nam. Đầm Sen thực hiện việc sử dụng nhà cung cấp và chuyển dữ liệu theo yêu cầu pháp luật hiện hành.

6. Thời gian lưu giữ

Dữ liệu được lưu trong thời gian cần thiết cho mục đích đã nêu, thời hạn vận hành dịch vụ, giải quyết khiếu nại, chống gian lận và nghĩa vụ lưu trữ theo pháp luật. Khi không còn cần thiết, dữ liệu sẽ được xóa, ẩn danh hoặc hạn chế xử lý theo quy trình vận hành phù hợp.

Ảnh thẻ sinh viên/selfie trong hồ sơ xác minh được gắn mốc lưu giữ mặc định 30 ngày kể từ khi nộp để phục vụ duyệt và rà soát. Ảnh không được dùng cho quảng cáo; trường hợp cần giải quyết khiếu nại, tranh chấp, gian lận hoặc nghĩa vụ pháp lý có thể cần giữ lâu hơn theo quy trình áp dụng.

7. Biện pháp bảo vệ

• Phân quyền nhân viên theo vai trò và giới hạn quyền truy cập dữ liệu.
• Ảnh xác minh Student Pass nằm trong vùng lưu trữ riêng; nhân viên được cấp URL ký có thời hạn ngắn khi cần xem hồ sơ.
• Áp dụng Row Level Security và kiểm tra quyền người dùng ở lớp cơ sở dữ liệu cho dữ liệu khách hàng.
• Token cấp quyền Zalo dùng để xác minh quyền không được lưu như dữ liệu hồ sơ khách hàng.
• CCCD/số định danh trong luồng CRM chuẩn hóa không được lưu dưới dạng số gốc để dùng làm khóa nhận diện; hệ thống dùng giá trị băm/HMAC và phần cuối khi cần đối soát.
• Nhật ký và các cơ chế server-side được dùng để phát hiện thao tác bất thường và bảo vệ chương trình khuyến mại.

Không hệ thống nào có thể bảo đảm an toàn tuyệt đối; Đầm Sen duy trì biện pháp phù hợp với rủi ro và sẽ xử lý sự cố theo quy định áp dụng.

8. Quyền của bạn

Tùy trường hợp và theo pháp luật áp dụng, bạn có thể yêu cầu được biết về việc xử lý, truy cập, chỉnh sửa, cập nhật, rút lại sự đồng ý, yêu cầu xóa/hạn chế xử lý, phản đối, khiếu nại hoặc thực hiện các quyền khác đối với dữ liệu cá nhân.

Để bảo vệ tài khoản, Đầm Sen có thể cần xác minh danh tính trước khi xử lý yêu cầu. Một số dữ liệu vẫn phải được giữ lại nếu pháp luật, nghĩa vụ kế toán, phòng chống gian lận hoặc tranh chấp yêu cầu.

9. Người chưa thành niên

Nếu người sử dụng là người chưa thành niên, việc cung cấp và xử lý dữ liệu phải có sự tham gia/đồng ý của cha mẹ hoặc người đại diện hợp pháp khi pháp luật yêu cầu. Các chương trình cụ thể có thể đặt thêm điều kiện độ tuổi.

10. Liên hệ về dữ liệu cá nhân

Gửi yêu cầu đến lienhe@damsenwaterpark.com.vn hoặc hotline 028 3858 8418. Khi gửi yêu cầu, vui lòng mô tả tài khoản/email/số điện thoại liên quan ở mức cần thiết để Đầm Sen xác minh đúng hồ sơ.

11. Cập nhật chính sách

Đầm Sen có thể cập nhật Chính sách khi tính năng, nhà cung cấp hoặc quy định pháp luật thay đổi. Phiên bản mới sẽ hiển thị ngày cập nhật. Với thay đổi quan trọng cần sự đồng ý mới, hệ thống sẽ yêu cầu xác nhận lại trước khi tiếp tục chức năng liên quan.