Chính sách bảo mật thông tin và dữ liệu cá nhân

Căn cứ áp dụng

Căn cứ tham chiếu: Luật Thương mại điện tử số 122/2025/QH15; Nghị định số 248/2026/NĐ-CP; Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15; Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15; Nghị định số 356/2025/NĐ-CP; Luật Du lịch số 09/2017/QH14 và các quy định pháp luật có liên quan.

1. Phạm vi áp dụng và bên kiểm soát dữ liệu

Chính sách áp dụng đối với dữ liệu được xử lý thông qua website, biểu mẫu liên hệ, tài khoản, giỏ hàng, yêu cầu đặt phòng, yêu cầu thuê xe, đơn mua quà lưu niệm, email, điện thoại và các kênh chính thức được liên kết từ website. Bên kiểm soát dữ liệu cá nhân là HỘ KINH DOANH THE HABITAT.

Hộ kinh doanh chỉ xử lý dữ liệu cho mục đích rõ ràng, hợp pháp và trong phạm vi cần thiết; không mua bán dữ liệu cá nhân. Giấy tờ nhận dạng, thông tin khách lưu trú hoặc giấy phép lái xe chỉ được thu thập khi cần để xác minh, cung cấp dịch vụ hoặc tuân thủ nghĩa vụ pháp lý.

2. Loại dữ liệu có thể được thu thập

• Thông tin nhận diện và liên hệ: họ tên, số điện thoại, email, địa chỉ, ngày sinh hoặc thông tin xác minh độ tuổi khi cần thiết.
• Thông tin đặt phòng/lưu trú: ngày nhận và trả phòng, số khách, yêu cầu đặc biệt, người đi cùng, giấy tờ nhận dạng, quốc tịch và thông tin khai báo lưu trú trong phạm vi pháp luật yêu cầu.
• Thông tin thuê xe: hình thức tự lái/có người lái, thời gian và địa điểm giao nhận, giấy tờ nhận dạng, giấy phép lái xe, người điều khiển, tình trạng bàn giao, tiền đặt cọc và thông tin sự cố.
• Thông tin mua hàng/giao nhận: sản phẩm, số lượng, giá trị, địa chỉ và người nhận, lịch sử đơn hàng, đổi trả và phản hồi.
• Thông tin thanh toán/hóa đơn: phương thức, trạng thái, chứng từ chuyển khoản và thông tin xuất hóa đơn. Website không yêu cầu mật khẩu ngân hàng, OTP, PIN hoặc toàn bộ thông tin thẻ qua biểu mẫu thông thường.
• Thông tin tài khoản, dữ liệu kỹ thuật, cookie, nhật ký bảo mật, nội dung trao đổi và tài liệu khách hàng tự nguyện cung cấp để hỗ trợ hoặc giải quyết sự cố.

3. Phương thức và mục đích thu thập

Dữ liệu được khách hàng trực tiếp cung cấp khi truy cập, tạo tài khoản, gửi biểu mẫu, đặt dịch vụ, mua hàng, thanh toán hoặc liên hệ; được hệ thống ghi nhận tự động để vận hành, bảo mật, duy trì giỏ hàng; hoặc được nhận từ ngân hàng, đơn vị vận chuyển, đơn vị công nghệ và cơ quan có thẩm quyền trong phạm vi cần thiết.

• Tiếp nhận, xác minh và phản hồi yêu cầu tư vấn, đặt phòng, thuê xe, mua hàng hoặc báo giá.
• Kiểm tra khả năng cung cấp; xác nhận và thực hiện giao dịch, giao nhận, lưu trú, thuê xe và giao hàng.
• Quản lý tài khoản, tiền đặt cọc, thanh toán, đối soát, hóa đơn, kế toán, thuế và nghĩa vụ pháp lý.
• Hỗ trợ hủy, đổi trả, hoàn tiền, phản ánh, khiếu nại, tai nạn, sự cố và tranh chấp.
• Bảo đảm an ninh, phòng chống gian lận và cải thiện chất lượng dịch vụ.
• Gửi quảng bá/khuyến mại chỉ khi khách hàng đồng ý riêng; khách hàng có thể rút lại bất kỳ lúc nào.

4. Căn cứ xử lý, chia sẻ và bên được tiếp cận

Dữ liệu được xử lý trên cơ sở sự đồng ý, yêu cầu thực hiện giao dịch/hợp đồng, bảo vệ quyền và lợi ích hợp pháp, nghĩa vụ pháp lý hoặc căn cứ hợp pháp khác. Sự đồng ý phải tự nguyện, rõ ràng, theo từng mục đích và có thể rút lại.

• Chủ hộ kinh doanh và nhân sự phụ trách lưu trú, giao nhận xe, bán hàng, kế toán, hỗ trợ đã được phân quyền.
• Đơn vị vận chuyển, ngân hàng, tổ chức thanh toán, hóa đơn, lưu trữ, máy chủ, bảo trì hoặc đối tác công nghệ thực hiện dịch vụ theo hợp đồng.
• Cơ quan nhà nước có thẩm quyền, bên bảo hiểm/cứu hộ hoặc tổ chức khác khi có căn cứ pháp luật hay sự đồng ý hợp lệ.

5. Thời gian lưu trữ

• Tài khoản: trong thời gian hoạt động và tối đa 24 tháng kể từ khi khóa/xóa, trừ dữ liệu phải lưu lâu hơn.
• Yêu cầu tư vấn chưa hình thành giao dịch: tối đa 24 tháng kể từ lần trao đổi cuối.
• Đặt phòng, thuê xe, đơn hàng và giao kết điện tử: ít nhất 03 năm hoặc lâu hơn theo pháp luật chuyên ngành.
• Phản ánh, khiếu nại, sự cố và tranh chấp: trong quá trình giải quyết và tối thiểu 03 năm từ ngày kết thúc.
• Dữ liệu kỹ thuật, cookie và nhật ký bảo mật: tối đa 12 tháng, có thể kéo dài để điều tra sự cố hoặc đáp ứng yêu cầu hợp pháp.
• Dữ liệu tiếp thị: đến khi khách hàng rút lại sự đồng ý hoặc chương trình chấm dứt.

6. Bảo vệ dữ liệu và quyền của chủ thể dữ liệu

• Áp dụng phân quyền, kiểm soát truy cập, xác thực, mã hóa khi truyền tải, sao lưu, tường lửa, phòng chống mã độc, nhật ký hệ thống và biện pháp hợp đồng phù hợp.
• Khách hàng có quyền được biết, đồng ý hoặc rút lại; truy cập, xem, sửa, xóa, hạn chế hoặc phản đối xử lý; ngừng nhận quảng cáo; yêu cầu bản sao/chuyển dữ liệu khi đáp ứng điều kiện; khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường.

7. Thực hiện quyền dữ liệu và khiếu nại bảo mật

Khách hàng gửi yêu cầu qua email, hotline hoặc địa chỉ của Hộ kinh doanh, nêu họ tên, thông tin liên hệ đã sử dụng, giao dịch liên quan, nội dung cần xem/sửa/xóa/hạn chế và thông tin xác minh phù hợp.

Hộ kinh doanh xác nhận tiếp nhận trong 03 ngày làm việc. Nếu pháp luật không quy định khác, thời gian xử lý dự kiến không quá 10 ngày làm việc kể từ khi nhận đủ thông tin hợp lệ. Khiếu nại bảo mật được phản hồi ban đầu trong 03 ngày làm việc và giải quyết thông thường trong 15 ngày làm việc; vụ việc phức tạp không quá 30 ngày và sẽ được thông báo lý do.

8. Cookie, người chưa thành niên và thay đổi chính sách

Website có thể dùng cookie cần thiết cho tài khoản, giỏ hàng, giao dịch và bảo mật. Cookie phân tích/tiếp thị chỉ được sử dụng theo cơ chế đồng ý áp dụng. Người chưa thành niên chỉ giao dịch khi có sự đồng ý hoặc đại diện phù hợp. Thay đổi đáng kể sẽ được công khai cùng phiên bản và ngày hiệu lực.