1. Phạm vi và căn cứ pháp lý
Chính sách này áp dụng cho mọi dữ liệu cá nhân được xử lý khi bạn sử dụng BestBeat, và được xây dựng theo Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, Luật An toàn thông tin mạng 2015, Luật An ninh mạng 2018 và Nghị định 53/2022/NĐ-CP, Luật Giao dịch điện tử 2023, Luật Bảo vệ quyền lợi người tiêu dùng 2023 và Nghị định 91/2020/NĐ-CP.
BestBeat là Bên Kiểm soát dữ liệu cá nhân đối với dữ liệu tài khoản, giao dịch và vận hành nền tảng. Đối với dữ liệu do Producer tự thu thập ngoài nền tảng, Producer là bên kiểm soát độc lập và tự chịu trách nhiệm.
Chủ thể dữ liệu là bạn: người dùng, người mua hoặc Producer. Chính sách này được thông báo trước khi xử lý dữ liệu, theo Điều 13 Nghị định 13/2023/NĐ-CP.
2. Dữ liệu chúng tôi xử lý
- Dữ liệu cơ bản: họ tên, email, số điện thoại, ảnh đại diện, tên hiển thị/handle, ngôn ngữ hiển thị.
- Dữ liệu giao dịch: đơn hàng, gói giấy phép, mã giao dịch, thời điểm thanh toán. Chúng tôi không lưu số thẻ đầy đủ hay mã bảo mật thẻ.
- Dữ liệu sử dụng và kỹ thuật: lượt phát, beat đã thích, lịch sử tìm kiếm, địa chỉ IP, thiết bị, trình duyệt, nhật ký truy cập phục vụ bảo mật.
- Dữ liệu Producer: thông tin tài khoản nhận tiền, mã số thuế, giấy tờ định danh khi thực hiện eKYC phục vụ nghĩa vụ thuế và phòng chống rửa tiền.
- Dữ liệu bảo mật tài khoản: trạng thái xác thực hai lớp, danh sách phiên đăng nhập (thiết bị, trình duyệt, thời điểm, IP và vị trí gần đúng suy ra từ IP), thiết bị tin cậy, mã dự phòng đã dùng, câu hỏi bảo mật ở dạng băm.
- Chúng tôi không chủ động thu thập dữ liệu cá nhân nhạy cảm (quan điểm chính trị, tôn giáo, sức khoẻ, dữ liệu sinh trắc học…) trừ trường hợp bạn tự cung cấp trong quá trình eKYC theo yêu cầu pháp luật; khi đó chúng tôi xin sự đồng ý riêng và rõ ràng.
- Trẻ em dưới 16 tuổi: nền tảng không hướng tới người dùng dưới 16 tuổi. Nếu phát hiện, chúng tôi ngừng xử lý và xoá dữ liệu, trừ khi có sự đồng ý của cha mẹ/người giám hộ theo Điều 20 Nghị định 13/2023/NĐ-CP.
3. Mục đích xử lý
- Vận hành tài khoản, giỏ hàng, thanh toán, phát hành giấy phép và giao file.
- Phòng chống gian lận, lạm dụng, thao túng bảng xếp hạng và bảo vệ an toàn hệ thống.
- Cá nhân hoá gợi ý beat theo gu nghe bạn khai báo, thể loại, BPM, beat đã thích và lịch sử nghe (bạn có thể tắt hoặc đặt lại cá nhân hoá trong cài đặt).
- Bảo vệ bản quyền: tạo và đối chiếu vân tay âm nhạc, lập hồ sơ vi phạm, cấp mã ISRC và phát hành hợp đồng/chứng nhận PDF có mã xác minh.
- Bảo vệ tài khoản: xác thực hai lớp bắt buộc cho các thao tác nhạy cảm (đổi mật khẩu, thay đổi phương thức nhận tiền), phát hiện đăng nhập bất thường và cho phép bạn đăng xuất mọi phiên.
- Thực hiện nghĩa vụ kế toán, hoá đơn, thuế và lưu trữ hồ sơ theo pháp luật.
- Gửi thông báo giao dịch; email tiếp thị chỉ gửi khi bạn đồng ý trước và luôn có nút huỷ đăng ký (Nghị định 91/2020/NĐ-CP).
- Giải quyết khiếu nại, tranh chấp và phối hợp với cơ quan nhà nước có thẩm quyền khi có yêu cầu hợp pháp bằng văn bản.
4. Cơ sở xử lý và sự đồng ý
Chúng tôi xử lý dữ liệu trên các cơ sở được Nghị định 13/2023/NĐ-CP cho phép: (i) để thực hiện hợp đồng với bạn; (ii) để thực hiện nghĩa vụ pháp lý về kế toán, thuế, an ninh mạng; (iii) để bảo vệ tính mạng, sức khoẻ hoặc ngăn chặn hành vi vi phạm pháp luật; và (iv) theo sự đồng ý của bạn đối với tiếp thị, cookie không thiết yếu và cá nhân hoá nâng cao.
Sự đồng ý được thể hiện rõ ràng bằng hành động khẳng định (tích chọn, bật công tắc), có thể rút lại bất kỳ lúc nào. Việc rút lại không ảnh hưởng tới tính hợp pháp của hoạt động xử lý trước đó và không làm mất hiệu lực các giao dịch đã hoàn tất.
6. Chuyển dữ liệu ra nước ngoài
Một số nhà cung cấp hạ tầng có máy chủ đặt ngoài lãnh thổ Việt Nam. Khi phát sinh chuyển dữ liệu ra nước ngoài, BestBeat lập và lưu Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài, gửi Bộ Công an theo Điều 25 Nghị định 13/2023/NĐ-CP, đồng thời ràng buộc bên nhận bằng cam kết bảo mật tương đương. BestBeat lưu trữ dữ liệu người dùng tại Việt Nam trong các trường hợp pháp luật an ninh mạng yêu cầu.
8. Thời gian lưu trữ
- Dữ liệu tài khoản: lưu trong suốt thời gian tài khoản hoạt động.
- Chứng từ kế toán, hoá đơn, hồ sơ giao dịch: lưu tối thiểu 10 năm theo Luật Kế toán 2015.
- Nhật ký hệ thống, nhật ký bảo mật: lưu tối thiểu 12 tháng phục vụ điều tra sự cố và tuân thủ pháp luật an ninh mạng.
- Sau khi bạn xoá tài khoản, dữ liệu không thuộc diện phải lưu theo luật sẽ được xoá hoặc ẩn danh không thể phục hồi trong vòng 90 ngày.
9. Quyền của chủ thể dữ liệu
Theo Điều 9 Nghị định 13/2023/NĐ-CP, bạn có các quyền sau và BestBeat cam kết đáp ứng trong 72 giờ kể từ khi nhận yêu cầu hợp lệ (trường hợp phức tạp sẽ được thông báo và gia hạn hợp lý):
- Được biết về hoạt động xử lý dữ liệu của mình.
- Đồng ý, không đồng ý hoặc rút lại sự đồng ý.
- Truy cập, xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu.
- Yêu cầu cung cấp bản sao dữ liệu ở định dạng máy đọc được.
- Yêu cầu xoá dữ liệu hoặc hạn chế xử lý.
- Phản đối xử lý nhằm mục đích tiếp thị hoặc quảng cáo.
- Khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định.
- Gửi yêu cầu tới privacy@bestbeat.vn kèm thông tin xác minh danh tính để tránh lộ dữ liệu cho người mạo danh.
10. Biện pháp bảo vệ
- Mã hoá dữ liệu truyền tải bằng TLS; băm mật khẩu bằng thuật toán một chiều có muối; hỗ trợ xác thực hai lớp (2FA).
- Phân quyền truy cập nội bộ theo nguyên tắc tối thiểu, ghi nhật ký mọi truy cập tới dữ liệu thanh toán và dữ liệu định danh.
- File nhạc gốc, preview và ảnh được lưu trong kho riêng tư, chỉ truy cập qua liên kết ký số có thời hạn.
- Sao lưu định kỳ, kiểm thử khôi phục và rà soát lỗ hổng bảo mật theo chu kỳ.
11. Xử lý sự cố lộ, mất dữ liệu
Khi phát hiện vi phạm quy định bảo vệ dữ liệu cá nhân, BestBeat thông báo cho Bộ Công an (Cục A05) theo Mẫu quy định trong vòng 72 giờ kể từ khi phát hiện, đồng thời thông báo cho chủ thể dữ liệu bị ảnh hưởng bằng email khi sự cố có khả năng gây rủi ro cao, kèm hướng dẫn khắc phục.
11a. Đồng bộ gu nghe từ nền tảng khác (Taste Sync)
Taste Sync là tính năng hoàn toàn tự nguyện, mặc định TẮT. Chỉ khi bạn tự tạo mã kết nối trong phần Cài đặt thì BestBeat mới nhận dữ liệu từ nguồn bên ngoài do bạn chỉ định.
- Chỉ nhận dữ liệu tổng hợp: trọng số theo thể loại nhạc (ví dụ Trap 0.4 · Lo-fi 0.3). Không nhận lịch sử duyệt web, URL, tiêu đề trang, cookie hay danh tính của bạn ở nền tảng khác.
- Cơ sở xử lý là sự đồng ý của bạn theo Nghị định 13/2023/NĐ-CP; bạn có thể tạm dừng, ngắt kết nối hoặc xoá dữ liệu bất kỳ lúc nào, hiệu lực tức thì.
- Mã kết nối chỉ được lưu ở dạng băm một chiều; mọi lần kết nối, đồng bộ, tạm dừng và xoá đều được ghi nhật ký để bạn tự kiểm tra.
- Dữ liệu này chỉ dùng để sắp xếp gợi ý nhạc cho chính bạn, không dùng cho quảng cáo, không bán và không chia sẻ cho bên thứ ba.
- Khi bạn ngắt kết nối một nguồn, toàn bộ véc-tơ gu nghe từ nguồn đó bị xoá khỏi hệ thống ngay lập tức.
12. Đầu mối liên hệ
Bộ phận Bảo vệ dữ liệu cá nhân: privacy@bestbeat.vn: Tầng 6, 27 Nguyễn Thị Diệu, Phường Võ Thị Sáu, Quận 3, TP. Hồ Chí Minh. Bạn cũng có quyền khiếu nại tới Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an.
Chính sách có thể được cập nhật; thay đổi quan trọng sẽ được thông báo trước ít nhất 07 ngày và, khi pháp luật yêu cầu, chỉ áp dụng sau khi bạn đồng ý lại.
13. Áp dụng Luật Bảo vệ dữ liệu cá nhân 2025
Từ ngày 01/01/2026, việc xử lý dữ liệu cá nhân của BestBeat tuân thủ Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và các văn bản hướng dẫn, bên cạnh các quy định đã nêu tại Mục 1.
- Lập và lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) và Hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài (TIA); nộp cho cơ quan chuyên trách bảo vệ dữ liệu theo thời hạn luật định và cập nhật khi thay đổi mục đích xử lý.
- Chỉ định nhân sự phụ trách bảo vệ dữ liệu cá nhân, đầu mối privacy@bestbeat.vn.
- Nghiêm cấm mua, bán dữ liệu cá nhân dưới mọi hình thức; BestBeat không trao đổi dữ liệu cá nhân để lấy lợi ích thương mại.
- Dữ liệu cá nhân nhạy cảm (dữ liệu định danh sinh trắc, giấy tờ tuỳ thân dùng cho eKYC, dữ liệu tài chính) chỉ được xử lý khi có sự đồng ý riêng, tách bạch, và được mã hoá khi lưu trữ.
- Người dưới 16 tuổi: BestBeat không mở tài khoản bán hàng; nếu phát hiện dữ liệu của trẻ em được cung cấp không có sự đồng ý của cha, mẹ hoặc người giám hộ, dữ liệu sẽ bị xoá trong 72 giờ.
- Bên xử lý dữ liệu (nhà cung cấp hạ tầng, thanh toán, phân tích) chỉ hành động theo hợp đồng xử lý dữ liệu bằng văn bản, có điều khoản bảo mật, giới hạn mục đích và nghĩa vụ xoá dữ liệu khi kết thúc.
14. Quyết định tự động, hồ sơ hoá và quyền phản đối
BestBeat sử dụng phân tích hành vi để gợi ý beat, phát hiện gian lận, chấm điểm rủi ro đơn hàng và đề xuất giá. Đây là các quyết định hỗ trợ; những quyết định có ảnh hưởng pháp lý hoặc bất lợi đáng kể (khoá tài khoản, chặn thanh toán, gỡ nội dung) luôn có bước rà soát của con người trước khi có hiệu lực cuối cùng.
Bạn có quyền: được giải thích logic cơ bản của quyết định; phản đối việc hồ sơ hoá phục vụ tiếp thị; yêu cầu con người xem xét lại; và rút lại sự đồng ý cho từng nhóm dữ liệu đo lường tại trang “Dữ liệu đo lường”.
Việc rút lại sự đồng ý không ảnh hưởng tới tính hợp pháp của hoạt động xử lý đã thực hiện trước đó và không làm mất hiệu lực các giao dịch đã hoàn tất.
15. Tiếp thị, dữ liệu đối tác và cam kết không bán dữ liệu
- Email và tin nhắn quảng cáo chỉ gửi khi bạn đăng ký nhận, có nút huỷ đăng ký trong mọi thư, theo Nghị định 91/2020/NĐ-CP về chống thư rác.
- Dữ liệu của Producer dùng cho mục đích thuế, đối soát và phòng chống rửa tiền chỉ chia sẻ với cơ quan nhà nước có thẩm quyền hoặc tổ chức thanh toán liên quan.
- BestBeat không bán, cho thuê hoặc trao đổi dữ liệu cá nhân với bên thứ ba vì mục đích quảng cáo.
- Khi chấm dứt hợp đồng với một bên xử lý dữ liệu, BestBeat yêu cầu xoá hoặc trả lại toàn bộ dữ liệu trong 30 ngày và lưu biên bản xác nhận.
Bản tiếng Việt là bản có giá trị pháp lý cao nhất. Bản tiếng Anh chỉ mang tính tham khảo.