CHÍNH SÁCH QUYỀN RIÊNG TƯ (PRIVACY POLICY)

1 Thông tin chung & Pháp nhân sở hữu

Chính sách quyền riêng tư này giải thích cách thức CÔNG TY TNHH CÔNG NGHỆ THƯƠNG MẠI ĐẦU TƯ PHÚC TIẾN (sau đây gọi là "Chúng tôi", "Phúc Tiến" hoặc "Summon Bae") thu thập, lưu trữ, sử dụng và bảo vệ thông tin cá nhân của bạn khi bạn tải xuống, cài đặt hoặc sử dụng ứng dụng di động Lệnh Triệu Hồi (Summon Bae) (mọi phiên bản) cũng như các dịch vụ trực tuyến liên quan.

Bằng việc đăng ký tài khoản hoặc sử dụng ứng dụng, bạn xác nhận rằng bạn đã đọc, hiểu và đồng ý với toàn bộ các điều khoản được quy định trong chính sách này. Đối với các dữ liệu cá nhân nhạy cảm (như vị trí địa lý), chúng tôi luôn yêu cầu sự đồng ý tường minh (Explicit Consent) thông qua giao diện riêng biệt trước khi xử lý.

2 Dữ liệu cá nhân chúng tôi thu thập

Chúng tôi chỉ thu thập các dữ liệu thực sự cần thiết nhằm phục vụ hoạt động kết nối tức thời giữa bạn và đối phương:

• Thông tin tài khoản & Xác thực: Mã tài khoản ẩn danh do Firebase tạo tự động khi bạn mở ứng dụng lần đầu; địa chỉ Email tài khoản Google (khi bạn liên kết / đăng nhập qua Google Sign-In); Biệt danh hiển thị (Nickname do bạn tự đặt), ảnh đại diện (linh vật bạn chọn, hoặc ảnh hồ sơ tài khoản Google nếu bạn đăng nhập bằng Google) và mã ghép đôi bí mật giữa 2 người.
• Mã định danh thiết bị (FCM Device Token): Mã định danh duy nhất của thiết bị được cấp bởi Google Firebase Cloud Messaging nhằm mục đích gửi nhận thông báo đẩy (Lệnh triệu hồi) tức thì.
• Ghi âm giọng nói (Dành riêng cho thành viên VIP): Tệp âm thanh do bạn chủ động tự thu âm trong ứng dụng để thiết lập làm âm chuông báo triệu hồi độc quyền cho đối phương nghe.
• Câu trả lời Thấu hiểu: Câu trả lời bằng chữ (tối đa 1.000 ký tự) và/hoặc ghi âm (tối đa 30 giây) bạn chủ động gửi cho câu hỏi mỗi ngày; cảm xúc và bình luận bạn để lại sau khi hai người cùng trả lời; số ngày liên tiếp hai bạn cùng hoàn thành và điểm trắc nghiệm "độ hiểu nhau". Câu trả lời của bạn được giữ kín với chính đối phương cho tới khi đối phương cũng trả lời — máy chủ chỉ cho biết đối phương đã trả lời lúc mấy giờ.
• Ảnh kỷ niệm (Sổ tay — tính năng đã ngừng): Các hình ảnh bạn từng chủ động đưa vào Sổ tay tình yêu ở phiên bản trước. Ứng dụng không thu thêm ảnh mới.
• Dữ liệu tương tác & Việc chung: Nhật ký lệnh triệu hồi (cấp độ, lý do bạn nhập, thời điểm, trạng thái phản hồi), danh sách việc cần làm chung (Todo List), ghi chú trạng thái và nội dung mật thư sáp đỏ niêm phong.
• Thông tin đơn hàng LoveMart: Khi đặt mua vật phẩm (như nút bấm Bluetooth, quà tặng 18+), chúng tôi thu thập: Họ tên người nhận, số điện thoại, địa chỉ nhận hàng, lựa chọn giao hàng kín đáo và lịch sử đơn hàng. Thông tin giao hàng chỉ dùng để giao đúng đơn đó: chúng tôi tự giao, hoặc thuê người giao hàng cho riêng đơn đó và chỉ cung cấp họ tên, số điện thoại, địa chỉ nhận hàng.
• Thông tin giao dịch & Đăng ký: Mã đơn hàng Google Play Billing, mã giao dịch VietQR, trạng thái gói VIP, số dư xu. (Chúng tôi tuyệt đối KHÔNG thu thập và KHÔNG lưu trữ thông tin thẻ ngân hàng/thẻ tín dụng của bạn; việc thanh toán do Google Play hoặc cổng thanh toán bảo mật đảm nhiệm).
• Mã định danh quảng cáo: Mã Google Advertising ID (AAID) do SDK Google AdMob thu thập để hiển thị quảng cáo không cá nhân hóa cho tài khoản dùng miễn phí (tài khoản VIP không tải quảng cáo).
• Thông tin kỹ thuật thiết bị: Nền tảng thiết bị (Android) gửi kèm mã thông báo đẩy để gửi thông báo đúng cách, và phiên bản ứng dụng được ghi kèm nhật ký đồng ý chia sẻ vị trí.
• Mức pin của thiết bị: Phần trăm pin của máy bạn được gửi lên máy chủ và hiển thị cho người đang ghép đôi (trên màn hình nhận Lệnh Triệu Hồi Cấp 3 và bản đồ vị trí trực tuyến) để người ấy biết máy bạn còn liên lạc được bao lâu. Chỉ lưu giá trị mới nhất, không lưu lịch sử.

3 Các quyền truy cập thiết bị & Mục đích sử dụng

Ứng dụng chỉ yêu cầu những quyền tối thiểu sau đây để các tính năng khẩn cấp hoạt động chính xác:

• Quyền Thông báo (POST_NOTIFICATIONS): Bắt buộc để thiết bị của bạn nhận được thông báo ngay lập tức khi đối phương phát lệnh triệu hồi.
• Quyền Còi hú & Báo thức khẩn cấp: Ứng dụng sử dụng thông báo ưu tiên cao toàn màn hình (Full-screen Intent), quyền hiển thị trên ứng dụng khác (Draw over other apps) và dịch vụ phát âm thanh ở nền trước để kích hoạt chuông còi hú và rung mạnh khi nhận lệnh triệu hồi, đặc biệt là Lệnh Triệu Hồi Cấp 3 - Báo Động Đỏ. Ứng dụng KHÔNG dùng quyền gọi điện hay đọc số điện thoại.
• Quyền Micro / Ghi âm (RECORD_AUDIO): Chỉ được kích hoạt khi bạn chủ động nhấn nút thu âm: (1) thu giọng nói làm chuông triệu hồi (thành viên VIP), hoặc (2) ghi âm câu trả lời Thấu hiểu (tối đa 30 giây, mọi tài khoản). Ứng dụng tuyệt đối KHÔNG ghi âm ngầm trong nền và không tự động bật micro khi không có sự tương tác trực tiếp của bạn. Tệp ghi âm được gửi thẳng lên máy chủ và chỉ phát được qua đường truyền có xác thực — không có đường dẫn công khai.
• Quyền Vị trí (Location - Tùy chọn): Tính năng vị trí mặc định TẮT. Ứng dụng chỉ dùng vị trí chính xác của bạn trong hai trường hợp, đều do BẠN chủ động:
  (1) Bạn gửi Lệnh Triệu Hồi Cấp 3 - Báo Động Đỏ khi đã bật công tắc "Gửi kèm vị trí" và đồng ý ở màn hình giải thích: ứng dụng gửi vị trí hiện tại (tọa độ, sai số, thời điểm và địa chỉ gần đúng do hệ điều hành tra cứu) cho người đang ghép đôi, rồi cập nhật trực tiếp (khoảng 5–25 giây một lần) trên bản đồ để người ấy thấy bạn — tối đa 3 giờ, cho tới khi một trong hai người bấm kết thúc / dừng chia sẻ.
  (2) Bạn nhận Báo Động Đỏ và bấm "Đến đó ngay" trên màn hình bản đồ: vị trí của bạn được chia sẻ cho người đã gửi lệnh trong đúng phiên đó (tối đa 3 giờ) để người ấy thấy bạn đang tới. Ứng dụng hỏi lại ở mỗi phiên; chọn "Để sau" thì bạn chỉ xem, không chia sẻ.
  Cơ chế bảo vệ vị trí nghiêm ngặt:
  • Chỉ người đang ghép đôi xem được, trong ứng dụng. Không ai có thể "yêu cầu" hay xem ngầm vị trí của bạn — mọi phiên chỉ bắt đầu từ Báo Động Đỏ do chính người chia sẻ phát ra (hoặc nút "Đến đó ngay" do chính người nhận bấm).
  • Vị trí chỉ được cập nhật khi ứng dụng đang mở. Ứng dụng KHÔNG lấy vị trí khi đã đóng và KHÔNG xin quyền vị trí chạy nền (Background location).
  • Vị trí trực tiếp bị xóa ngay khi kết thúc chia sẻ, khi hết 3 giờ, khi người nhận chưa phản hồi sau 30 phút, khi cả hai không cập nhật trong 15 phút, hoặc khi "Chia tay". Vị trí gửi kèm lệnh (một điểm) tự xóa sau tối đa 60 phút; bạn có thể bấm "Dừng chia sẻ" để thu hồi sớm. Không lưu lịch sử di chuyển.
  • Bản đồ do ứng dụng tự lưu trữ (dữ liệu © OpenStreetMap contributors); khi xem bản đồ, ứng dụng chỉ tải các ô bản đồ từ máy chủ của chúng tôi, không gửi vị trí cho bên thứ ba. Nút "Chỉ đường" / "Maps" mở tọa độ trong ứng dụng Google Maps trên máy bạn.
  • Chia sẻ vị trí không thay thế dịch vụ cứu hộ khẩn cấp. Gặp nguy hiểm thật, hãy gọi 113 / 114 / 115.
  • Chúng tôi lưu nhật ký thời điểm bạn đồng ý / rút lại đồng ý (bảng consentLedger, hoàn toàn không chứa tọa độ) làm bằng chứng tuân thủ pháp lý theo Luật BVDLCN.
• Ảnh (không xin quyền thư viện ảnh): Ứng dụng KHÔNG đọc thư viện ảnh và KHÔNG dùng camera. Khi lưu ảnh chứng nhận, ứng dụng chỉ ghi ảnh mới vào máy (Android 12 trở xuống sẽ hỏi quyền bộ nhớ).

4 Các bên thứ ba xử lý dữ liệu & Quảng cáo

Chúng tôi tuyệt đối KHÔNG bán, KHÔNG cho thuê và KHÔNG thương mại hóa dữ liệu cá nhân của bạn. Dữ liệu chỉ được chia sẻ cho các đối tác công nghệ thiết yếu sau:

• Google Firebase: Cung cấp dịch vụ xác thực (Firebase Auth), cơ sở dữ liệu thời gian thực (Firestore & RTDB), lưu trữ tệp (Cloud Storage), máy chủ serverless (Cloud Functions) và hạ tầng thông báo đẩy (Firebase Cloud Messaging - FCM).
• Expo (650 Industries, Inc. — Hoa Kỳ): Chỉ với thiết bị đang dùng phiên bản ứng dụng cũ chưa có mã thông báo FCM: dịch vụ đẩy của Expo chuyển tiếp thông báo (tên hiển thị của người gửi, cấp độ và lý do lệnh triệu hồi) tới máy bạn. Thiết bị dùng phiên bản mới nhận thông báo trực tiếp qua FCM, không qua Expo.
• Google AdMob: Mạng lưới hiển thị quảng cáo cho tài khoản miễn phí. Google AdMob có thể thu thập mã quảng cáo thiết bị (AAID) và dữ liệu chẩn đoán thiết bị theo chính sách bảo mật của Google (tham khảo tại: https://policies.google.com/technologies/partner-sites). Khi bạn chủ động xem quảng cáo có thưởng để nhận xu, mã tài khoản của bạn (không phải tên hay email) được gửi kèm để Google xác nhận lượt xem với máy chủ của chúng tôi trước khi cộng xu. Khi bạn đăng ký gói VIP, toàn bộ quảng cáo sẽ bị gỡ bỏ hoàn toàn.
• Google Play Billing: Cổng thanh toán xử lý các giao dịch nạp xu và mua gói hội viên VIP trên thiết bị Android theo tiêu chuẩn an toàn bảo mật PCI-DSS.
• Dịch vụ bản đồ & Địa lý: Dịch vụ đảo mã địa lý của hệ điều hành để chuyển đổi tọa độ thành địa chỉ dễ hiểu cho người ghép đôi. Bản đồ hiển thị trong ứng dụng dùng dữ liệu OpenStreetMap do chúng tôi tự lưu trữ trên Firebase Hosting (cùng nhà cung cấp hạ tầng ở trên) — không gửi vị trí cho nhà cung cấp bản đồ nào. Nút mở Google Maps chỉ chuyển tọa độ sang ứng dụng Google Maps trên máy bạn khi bạn bấm.

5 Chuyển dữ liệu ra nước ngoài & Bảo mật lưu trữ

Hệ thống cơ sở dữ liệu máy chủ đám mây của chúng tôi được lưu trữ an toàn tại trung tâm dữ liệu của Google Cloud ở khu vực asia-southeast1 (Singapore) và mạng lưới phân phối toàn cầu của Google.

Mọi dữ liệu truyền tải đều được bảo vệ nghiêm ngặt bằng giao thức mã hóa đường truyền tiêu chuẩn HTTPS / TLS. Việc chuyển dữ liệu ra nước ngoài được thực hiện theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP; chúng tôi lập và gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ chuyển dữ liệu cá nhân xuyên biên giới tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Bộ Công an) theo quy định.

6 Thời hạn lưu trữ dữ liệu

Chúng tôi áp dụng các thời hạn lưu trữ dữ liệu cụ thể và minh bạch như sau:

7 Quy định Xóa Tài khoản & Xóa Dữ liệu (User Data Deletion)

Bạn có toàn quyền chủ động yêu cầu xóa bỏ tài khoản và dữ liệu cá nhân của mình khỏi hệ thống thông qua 2 phương thức:

• Cách 1 (Trực tiếp trong App - Có thời gian chờ 7 ngày): Mở ứng dụng Lệnh Triệu Hồi -> Mở Tổ Ấm (chạm tên / ảnh đại diện ở góc trên bên trái) -> Chọn tab Cài Đặt -> Chọn "Xóa tài khoản vĩnh viễn". Hệ thống sẽ cung cấp thời gian chờ 7 ngày (Grace Period). Trong 7 ngày này, bạn có thể đăng nhập lại để hủy yêu cầu xóa nếu đổi ý. Hết thời hạn 7 ngày, tài khoản và dữ liệu cá nhân sẽ bị xóa vĩnh viễn không thể khôi phục, trừ dữ liệu phải lưu theo luật nêu tại Điều 6.
• Cách 2 (Gửi yêu cầu qua Email): Gửi email từ chính hòm thư bạn dùng để đăng ký đến địa chỉ: supportsummonbae@gmail.com với tiêu đề "Yêu cầu xóa tài khoản Summon Bae" kèm Biệt danh hoặc mã ghép đôi của bạn.

8 Quyền của chủ thể dữ liệu (Theo Luật Việt Nam)

Theo quy định của pháp luật Việt Nam về bảo vệ dữ liệu cá nhân, bạn có đầy đủ các quyền sau:

• Quyền được biết: Được thông báo rõ ràng về các hoạt động xử lý dữ liệu của chúng tôi thông qua văn bản chính sách này.
• Quyền đồng ý & Rút lại sự đồng ý: Bạn có quyền cấp hoặc rút lại sự đồng ý (ví dụ: tắt công tắc chia sẻ vị trí bất kỳ lúc nào).
• Quyền truy cập & Chỉnh sửa: Bạn có quyền xem và cập nhật thông tin hồ sơ của mình trực tiếp trên ứng dụng.
• Quyền yêu cầu xóa dữ liệu: Bạn có quyền yêu cầu xóa bỏ dữ liệu cá nhân của mình như đã nêu tại Điều 7.
• Quyền khiếu nại & Tố cáo: Bạn có quyền gửi khiếu nại tới chúng tôi qua email supportsummonbae@gmail.com hoặc cơ quan nhà nước có thẩm quyền nếu phát hiện vi phạm quyền riêng tư.

9 Giới hạn độ tuổi người dùng (Từ 18 tuổi trở lên)

Chúng tôi nghiêm cấm người dùng dưới 18 tuổi đăng ký hoặc sử dụng ứng dụng. Chúng tôi không cố ý thu thập thông tin của trẻ vị thành niên. Nếu phát hiện bất kỳ dữ liệu nào thuộc về người dưới 18 tuổi, chúng tôi sẽ ngay lập tức tiến hành xóa bỏ tài khoản đó khỏi hệ thống.

Chúng tôi duy trì cam kết tuyệt đối không khoan nhượng với mọi hành vi xâm hại hoặc bóc lột tình dục trẻ em. Xem chi tiết toàn văn tại Tiêu Chuẩn An Toàn Cho Trẻ Em (CSAE Standards).

10 Thông tin liên hệ & Tiếp nhận khiếu nại

Nếu bạn có bất kỳ câu hỏi, thắc mắc hoặc cần khiếu nại liên quan đến quyền riêng tư và bảo mật dữ liệu, xin vui lòng liên hệ trực tiếp với chúng tôi: