Chính sách bảo mật

TT01 cam kết bảo vệ dữ liệu cá nhân và workflow của bạn. Chính sách này mô tả chúng tôi thu thập, sử dụng và bảo vệ dữ liệu như thế nào.

1. Dữ liệu chúng tôi thu thập

1.1 Dữ liệu bạn cung cấp trực tiếp

• Đăng ký tài khoản: họ tên, email, mật khẩu (đã hash với bcrypt), tên công ty (tuỳ chọn).
• Test cases & workflows: JSON workflow bạn tạo qua builder.
• Test run logs: kết quả chạy test, log ADB, screenshot (nếu bật).
• Thanh toán: giao dịch PayOS (số tiền, plan, thời gian). Chúng tôi KHÔNG lưu thông tin thẻ — PayOS xử lý trực tiếp.

1.2 Dữ liệu tự động thu thập

• Log truy cập: IP, User-Agent, timestamp các request — phục vụ debug, security audit, abuse detection.
• Cookies: session cookie (xác thực) + remember-me cookie (tuỳ chọn khi user check "Ghi nhớ").
• Telemetry tổng hợp: số test cases, số runs/tháng — để tính quota và stats. Dạng aggregate, không tracking hành vi cá nhân.

Chúng tôi KHÔNG dùng analytics bên thứ ba (Google Analytics, Facebook Pixel, v.v.) trên CMS sau khi đăng nhập.

2. Cách chúng tôi sử dụng dữ liệu

• Cung cấp dịch vụ: lưu trữ test case, chạy test qua API, hiển thị run history.
• Xác thực: kiểm tra email/mật khẩu khi đăng nhập, sinh remember-me token.
• Thanh toán: gửi giao dịch tới PayOS, kích hoạt plan sau khi thanh toán thành công.
• Hỗ trợ: trả lời email/ticket support khi bạn liên hệ.
• Bảo mật: phát hiện bất thường, chặn brute-force, audit log.

3. Chúng tôi KHÔNG làm

• KHÔNG bán dữ liệu của bạn cho bất kỳ bên thứ ba nào.
• KHÔNG đọc test case của user một cách tự động hoá — workspace cô lập.
• KHÔNG training AI trên test workflow / log của bạn.
• KHÔNG track hành vi cá nhân (mouse movements, click heatmaps) trên CMS.
• KHÔNG gửi email marketing nếu bạn không opt-in.

4. Chia sẻ với bên thứ ba

Chúng tôi chỉ chia sẻ dữ liệu trong các trường hợp sau:

• PayOS: orderCode, amount, email/tên người mua (chỉ khi thanh toán) — phục vụ thanh toán.
• Hostinger: hạ tầng lưu trữ — Hostinger là data processor, không truy cập dữ liệu ứng dụng.
• Theo yêu cầu pháp luật: khi có lệnh từ cơ quan có thẩm quyền tại Việt Nam.

5. Bảo mật kỹ thuật

• HTTPS mọi trang — TLS 1.3.
• Mật khẩu hash với bcrypt cost factor 10.
• Cookie httpOnly, secure, sameSite=lax.
• CSRF protection cho mọi form POST.
• Per-user isolation ở tầng query — admin nền tảng cũng không bypass.
• Backup DB hàng ngày, lưu 30 ngày.
• Audit log mọi truy cập admin tới DB (giới hạn nội bộ).

6. Cookies

TT01 dùng cookies tối thiểu:

• autotest_tt01_session — session cookie xác thực user đang đăng nhập. Hết hạn khi đóng browser hoặc sau 120 phút.
• XSRF-TOKEN — chống CSRF.
• remember_* — chỉ set khi bạn check "Ghi nhớ đăng nhập". Hết hạn 5 năm.

Chúng tôi KHÔNG dùng cookies tracking bên thứ ba.

7. Quyền của bạn

Theo Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân tại Việt Nam, bạn có quyền:

• Xem dữ liệu của mình — yêu cầu export.
• Sửa dữ liệu sai — qua trang Settings hoặc support.
• Xoá tài khoản — dữ liệu xoá vĩnh viễn sau 30 ngày grace period.
• Phản đối xử lý dữ liệu cho mục đích cụ thể.
• Khiếu nại với cơ quan bảo vệ dữ liệu.

Gửi yêu cầu: privacy@goseedup.com

8. Thời gian lưu trữ

Loại dữ liệu	Thời gian lưu
Tài khoản & workspace	Đến khi user xoá + 30 ngày grace
Test cases & workflow	Giữ song song với account
Run logs (Solo plan)	90 ngày
Run logs (Team/Business)	1 năm — không giới hạn
Subscription/payment records	Vĩnh viễn (yêu cầu kế toán)
Server access log	30 ngày
Laravel error log	7 ngày

9. Trẻ em dưới 16 tuổi

TT01 không nhằm phục vụ trẻ em dưới 16 tuổi. Chúng tôi không cố ý thu thập dữ liệu của trẻ em. Nếu phụ huynh phát hiện con em mình đã đăng ký, vui lòng liên hệ chúng tôi để xoá account.

10. Thay đổi chính sách

Chính sách có thể được cập nhật. Thay đổi quan trọng (ảnh hưởng cách xử lý dữ liệu) sẽ được thông báo qua email ít nhất 14 ngày trước khi có hiệu lực.

11. Liên hệ

Câu hỏi về bảo mật: privacy@goseedup.com
Báo cáo lỗ hổng bảo mật: security@goseedup.com