Tổng quan về Bảo mật

Mục lục

1. 1. Tóm tắt
2. 2. Nơi lưu giữ dữ liệu của bạn
3. 3. Mã hóa
4. 4. Tách biệt dữ liệu của từng doanh nghiệp
5. 5. Bảo vệ đăng nhập
6. 6. Nhật ký kiểm toán và phát hiện can thiệp
7. 7. Bản Sao Lưu và khôi phục
8. 8. Thanh toán và tiền
9. 9. Trí tuệ nhân tạo
10. 10. Quyền truy cập của đội ngũ chúng tôi
11. 11. Giám sát và ứng phó sự cố
12. 12. Chứng nhận
13. 13. Những gì bạn có thể làm
14. 14. Báo cáo lỗ hổng bảo mật

Phiên Bản: 1.2 · Công bố: 16 tháng 10 năm 2026 · Có hiệu lực: khi chấp nhận đối với các Không Gian Làm Việc mới; đối với các Không Gian Làm Việc đã chấp nhận một Phiên Bản trước đó, vào ngày STAK nêu trong thông báo theo khoản 20 của Điều Khoản Dịch Vụ dành cho Khách Hàng · Văn bản có giá trị quyết định: Tiếng Anh (khoản 23.9 của Điều Khoản Dịch Vụ dành cho Khách Hàng)

Phát hành bởi: STAK Global, LLC, một công ty trách nhiệm hữu hạn được thành lập tại Tiểu bang Delaware, Hợp chúng quốc Hoa Kỳ (số hồ sơ 10798493), là chủ sở hữu của STAK (ستاك) và Dịch Vụ. Liên hệ: [email protected].

Tổng quan về Bảo mật này giải thích bằng ngôn ngữ dễ hiểu cách chúng tôi bảo vệ dữ liệu của doanh nghiệp bạn và lưu giữ các bản sao của dữ liệu đó, theo tình hình tại Ngày Có Hiệu Lực của Phiên Bản này. Chúng tôi cập nhật tài liệu này khi tình hình thay đổi. Tài liệu này chỉ nhằm mục đích thông tin. Các cam kết hợp đồng của chúng tôi nằm trong Thỏa Thuận Xử Lý Dữ Liệu. Các thuật ngữ được định nghĩa trong Điều Khoản Dịch Vụ dành cho Khách Hàng của STAK có cùng nghĩa trong Tổng quan về Bảo mật này.

1. Tóm tắt

• Dữ liệu của bạn được mã hóa khi được truyền đi và khi được lưu trữ trong hệ thống của chúng tôi.
• Dữ liệu của mỗi doanh nghiệp được tách biệt khỏi tất cả các doanh nghiệp khác ngay trong chính cơ sở dữ liệu.
• Chúng tôi tạo các Bản Sao Lưu liên tục, và lưu giữ các bản sao hằng ngày và hằng tháng ở một quốc gia khác, được bảo vệ chống xóa sớm.
• Chúng tôi không lưu trữ số thẻ, và chúng tôi không bao giờ nhận hoặc giữ tiền của bạn.
• Mọi thay đổi quan trọng đều được ghi vào nhật ký kiểm toán mà không Người Dùng nào có thể sửa đổi.
• Hiện tại chúng tôi không có chứng nhận ISO 27001 hoặc báo cáo SOC 2. Chúng tôi sẽ nêu rõ tại đây khi đạt được các chứng nhận đó.

2. Nơi lưu giữ dữ liệu của bạn

2.1 Dịch Vụ chạy trên hạ tầng đám mây Amazon Web Services tại khu vực Frankfurt, thuộc Cộng hòa Liên bang Đức. Các Bản Sao Lưu được sao chép sang một khu vực Amazon Web Services riêng biệt tại Cộng hòa Ireland. Sự tách biệt này có nghĩa là một bản sao dữ liệu của bạn có thể được giữ lại ngay cả khi toàn bộ khu vực lưu trữ chính gặp sự cố.

2.2 Trong tương lai chúng tôi có thể chuyển khu vực lưu trữ sang một khu vực khác. Chúng tôi sẽ thông báo cho bạn trước ít nhất 30 ngày. Việc tạm thời vận hành Dịch Vụ từ các Bản Sao Lưu tại Cộng hòa Ireland sau khi mất khu vực lưu trữ chính không phải là việc chuyển, và chúng tôi sẽ cho bạn biết về việc đó không chậm trễ.

2.3 STAK được cung cấp bởi STAK Global, LLC, một công ty được thành lập tại Hợp chúng quốc Hoa Kỳ. Nhà cung cấp dịch vụ lưu trữ của chúng tôi và một số nhà cung cấp dịch vụ khác của chúng tôi cũng chịu sự điều chỉnh của pháp luật Hoa Kỳ. Chúng tôi bảo vệ dữ liệu của bạn trước việc truy cập trái pháp luật của bất kỳ chính phủ nào như quy định tại khoản 13 của Thỏa Thuận Xử Lý Dữ Liệu: chúng tôi chỉ tiết lộ dữ liệu khi có yêu cầu mang tính ràng buộc, thông báo cho bạn trừ khi pháp luật cấm, giới hạn việc tiết lộ ở mức tối thiểu, và phản đối các yêu cầu mà chúng tôi cho là trái pháp luật một cách hợp lý. Dữ liệu của bạn được mã hóa khi được lưu trữ và khi được truyền đi.

3. Mã hóa

3.1 Mọi kết nối đến Dịch Vụ đều được mã hóa bằng TLS phiên bản 1.2 trở lên, và ứng dụng xác minh danh tính của máy chủ cơ sở dữ liệu trong mọi kết nối.

3.2 Cơ sở dữ liệu, ổ đĩa, tệp, Bản Sao Lưu và kho lưu trữ bí mật được mã hóa khi lưu trữ bằng AES-256, sử dụng các khóa được quản lý thông qua dịch vụ quản lý khóa của Amazon hoặc bởi nhà cung cấp dịch vụ lưu trữ.

3.3 Hồ sơ nhân viên và hồ sơ lâm sàng của bạn được mã hóa bổ sung trong ứng dụng bằng các khóa riêng, và các khóa để kết nối với Nhà Cung Cấp Dịch Vụ Thanh Toán và các nhà cung cấp khác được lưu giữ trong một kho lưu trữ bí mật riêng được mã hóa bằng một khóa riêng.

4. Tách biệt dữ liệu của từng doanh nghiệp

4.1 Mỗi bản ghi dữ liệu của một doanh nghiệp trong cơ sở dữ liệu đều mang mã định danh của Doanh Nghiệp mà bản ghi đó thuộc về. Bản thân cơ sở dữ liệu thực thi các quy tắc bảo mật cấp hàng ngăn ứng dụng đọc hoặc ghi các bản ghi của Doanh Nghiệp khác. Đây là một lớp bảo vệ độc lập nằm bên dưới các kiểm tra của chính ứng dụng.

4.2 Tài khoản cơ sở dữ liệu mà ứng dụng sử dụng không có quyền bỏ qua các quy tắc này.

5. Bảo vệ đăng nhập

5.1 Bạn có thể đăng nhập bằng:

• mã xác minh được gửi qua WhatsApp đến một số điện thoại đã xác minh;
• khóa truy cập, sử dụng nhận diện khuôn mặt hoặc vân tay;
• tài khoản Google, Apple hoặc Microsoft.

Có thể dùng ứng dụng xác thực làm bước thứ hai sau khi đăng nhập. Chúng tôi không sử dụng mật khẩu.

5.2 Bạn có thể yêu cầu đăng nhập hai bước đối với các vai trò cụ thể, và các Chủ Sở Hữu và Quản Trị Viên được cảnh báo khi bất kỳ ai thay đổi các phương thức xác minh của họ. Mỗi người được cảnh báo khi Tài Khoản của chính họ được sử dụng từ một thiết bị mới. Trên các Gói có bao gồm chúng, bạn cũng có thể đặt thời gian chờ phiên không hoạt động, và các Chủ Sở Hữu được cảnh báo khi có người đăng nhập từ một thiết bị mới.

5.3 Mỗi Nhân Viên được cấp một vai trò và quyền hạn xác định, và quyền truy cập của họ có thể được giới hạn ở các Chi Nhánh cụ thể. Nhân viên trên các Thiết Bị dùng chung sử dụng mã số nhận dạng cá nhân (PIN) gồm sáu chữ số, và việc đăng nhập bằng mã này bị khóa sau năm lần nhập sai.

6. Nhật ký kiểm toán và phát hiện can thiệp

6.1 Mọi thay đổi quan trọng đều được ghi vào nhật ký kiểm toán, kèm thông tin ai thực hiện, khi nào, từ đâu và từ địa chỉ IP nào. Không Người Dùng nào có thể sửa đổi hoặc xóa nhật ký này, ngoại trừ việc thực hiện yêu cầu xóa dữ liệu của một Khách Hàng Cuối sẽ gỡ danh tính của người đó khỏi các mục trong nhật ký đồng thời vẫn giữ lại những gì đã được thực hiện, bởi ai và khi nào. Nhật ký này bị xóa cùng Dữ Liệu Khách Hàng khi chấm dứt theo Điều Khoản.

6.2 Các bút toán kế toán được liên kết thành một chuỗi giúp phát hiện mọi thay đổi sau đó đối với chúng, và bạn có thể kiểm tra tính toàn vẹn của chúng từ trang Bảo mật.

7. Bản Sao Lưu và khôi phục

7.1 Chúng tôi tạo các Bản Sao Lưu liên tục của cơ sở dữ liệu, cho phép khôi phục chúng về bất kỳ thời điểm nào trong 35 ngày gần nhất. Chúng tôi cũng tạo:

• các Bản Sao Lưu hằng ngày, được lưu giữ 35 ngày;
• các Bản Sao Lưu hằng tháng, được lưu giữ 12 tháng;
• một Bản Sao Lưu logic của cơ sở dữ liệu (bản kết xuất cơ sở dữ liệu) mỗi đêm, được lưu giữ 35 ngày trong bộ nhớ có khóa.

7.2 Các Bản Sao Lưu hằng ngày và hằng tháng được sao chép sang Ireland. Chính sách của các kho sao lưu tại Frankfurt và Ireland ngăn không cho bất kỳ ai, kể cả đội ngũ của chúng tôi, xóa Bản Sao Lưu trước khi hết thời hạn lưu giữ hoặc thay đổi thời hạn đó. Các kho này cũng được khóa ở chế độ tuân thủ của nhà cung cấp dịch vụ lưu trữ, được thiết kế để không ai, kể cả người có thể chiếm quyền một trong các tài khoản của chúng tôi tại nhà cung cấp dịch vụ lưu trữ, có thể xóa Bản Sao Lưu trong 35 ngày đầu tiên.

7.3 Mỗi tháng chúng tôi kiểm tra việc khôi phục cơ sở dữ liệu từ Bản Sao Lưu. Chúng tôi đặt mục tiêu mất không quá 15 phút dữ liệu nếu cơ sở dữ liệu gặp sự cố, và không quá 24 giờ nếu toàn bộ khu vực lưu trữ bị mất, phù hợp với các mục tiêu khôi phục trong Thỏa Thuận Mức Dịch Vụ.

7.4 Chúng tôi lưu giữ Bản Sao Lưu để khôi phục dịch vụ, không phải làm kho lưu trữ cho bạn. Vì vậy, hãy xuất dữ liệu của bạn thường xuyên từ trang Gói và thanh toán hoặc từ từng Ứng Dụng.

8. Thanh toán và tiền

8.1 Dịch Vụ được thiết kế để số thẻ không đi qua hoặc không được lưu trong hệ thống của chúng tôi: việc thanh toán diễn ra trên các trang riêng của Nhà Cung Cấp Dịch Vụ Thanh Toán hoặc trên các thiết bị đầu cuối và ứng dụng chấp nhận thẻ đã được chứng nhận của họ. Các màn hình của Dịch Vụ không có trường nhập số thẻ hoặc mã bảo mật của thẻ, và bạn có thể yêu cầu, từ trang Bảo mật, quét các trường văn bản để tìm số thẻ bị nhập nhầm.

8.2 Tiền của bạn được quyết toán trực tiếp từ Nhà Cung Cấp Dịch Vụ Thanh Toán vào tài khoản ngân hàng của bạn. Chúng tôi không bao giờ nhận hoặc giữ tiền đó.

8.3 Việc thay đổi tài khoản ngân hàng đã đăng ký trong STAK để nhận tiền quyết toán cần thêm một bước xác minh và chỉ có hiệu lực sau 48 giờ. Các Chủ Sở Hữu được cảnh báo ngay lập tức để họ có thể hủy thay đổi đó.

9. Trí tuệ nhân tạo

9.1 Dữ liệu chỉ được gửi cho nhà cung cấp AI khi Người Dùng yêu cầu một Tính Năng AI, tải lên một tài liệu để Tính Năng AI đọc, chẳng hạn như biên lai, hoặc khi một quy trình tự động hóa do Người Dùng thiết lập chạy một bước AI, và chỉ dữ liệu cần thiết cho yêu cầu hoặc bước đó mới được gửi.

9.2 Dữ liệu của bạn không được sử dụng để huấn luyện các mô hình trí tuệ nhân tạo. Tính Năng AI chỉ thay đổi một bản ghi sau khi bạn xác nhận rõ ràng, hoặc theo một quy trình tự động hóa do Người Dùng được ủy quyền thiết lập và bật.

10. Quyền truy cập của đội ngũ chúng tôi

Quyền truy cập vào Môi Trường Sản Xuất bị hạn chế đối với một số lượng giới hạn nhân viên được chỉ định đích danh và yêu cầu xác thực đa yếu tố, và thời điểm bắt đầu của mỗi phiên truy cập đều được ghi nhật ký. Quyền truy cập quản trị vào máy chủ chỉ thông qua dịch vụ quản lý hệ thống của Amazon, không có đăng nhập trực tiếp vào máy chủ.

Chúng tôi chỉ xem dữ liệu của bạn trong các trường hợp sau:

• để cung cấp hỗ trợ mà bạn yêu cầu;
• để vận hành, duy trì và khôi phục Dịch Vụ;
• để điều tra Sự Cố An Ninh hoặc nghi ngờ vi phạm Chính Sách Sử Dụng Chấp Nhận Được;
• khi pháp luật yêu cầu.

11. Giám sát và ứng phó sự cố

11.1 Chúng tôi giám sát hạ tầng đám mây tự động suốt ngày đêm, với cảnh báo tức thì gửi đến đội ngũ của chúng tôi. Mọi hành động quản trị trên hạ tầng đám mây đều được ghi nhật ký, và các mối đe dọa cũng như quyền hạn dư thừa được phát hiện tự động.

11.2 Nếu một Vi Phạm Dữ Liệu Cá Nhân ảnh hưởng đến dữ liệu của bạn, chúng tôi thông báo cho bạn không chậm trễ không cần thiết: trong vòng 24 giờ kể từ khi biết về vi phạm nếu khả thi, và trong mọi trường hợp trong vòng 48 giờ. Chúng tôi cho bạn biết điều gì đã xảy ra và chúng tôi đã làm gì để xử lý.

12. Chứng nhận

Hiện tại chúng tôi không có chứng nhận ISO 27001 hoặc báo cáo SOC 2. Chúng tôi cũng không có chứng nhận PCI DSS, vì Dịch Vụ được thiết kế để dữ liệu thẻ không đi qua hệ thống của chúng tôi: dữ liệu đó được xử lý trên các trang riêng của Nhà Cung Cấp Dịch Vụ Thanh Toán hoặc trên các thiết bị đầu cuối và ứng dụng đã được chứng nhận của họ. Các Nhà Cung Cấp Dịch Vụ Thanh Toán mà bạn kết nối với Dịch Vụ có các chứng nhận riêng của họ. Chúng tôi sẽ liệt kê tại đây mọi chứng nhận mà chúng tôi đạt được trong tương lai.

Nếu bạn nhận thanh toán bằng thẻ thông qua các trang STAK của bạn, người mua được chuyển đến trang riêng của Nhà Cung Cấp Dịch Vụ Thanh Toán của bạn, hoặc bạn sử dụng các thiết bị đầu cuối và ứng dụng đã được chứng nhận của nhà cung cấp đó, nên các trang của STAK không bao giờ thu thập dữ liệu thẻ. Hãy kiểm tra các nghĩa vụ PCI DSS của riêng bạn với Nhà Cung Cấp Dịch Vụ Thanh Toán của bạn; một doanh nghiệp sử dụng hình thức chuyển hướng như vậy thường hoàn thành bảng tự đánh giá ngắn nhất (SAQ A). STAK không tuyên bố đã được chứng nhận PCI DSS.

13. Những gì bạn có thể làm

• Hãy bật đăng nhập hai bước cho các Chủ Sở Hữu và Quản Trị Viên.
• Chỉ cấp cho mỗi Nhân Viên những quyền mà công việc của họ cần, và thu hồi quyền truy cập của bất kỳ ai rời đi ngay lập tức.
• Hãy xuất dữ liệu của bạn thường xuyên, ít nhất mỗi tháng một lần.
• Hãy giữ kết nối các Thiết Bị điểm bán hàng cho đến khi các giao dịch bán hàng được ghi nhận ngoại tuyến hoàn tất đồng bộ hóa, trước khi xóa dữ liệu hoặc đăng xuất khỏi bất kỳ Thiết Bị nào.
• Hãy luôn cập nhật hệ điều hành và trình duyệt trên thiết bị của bạn.
• Hãy báo ngay cho chúng tôi về bất kỳ hoạt động đáng ngờ nào.

14. Báo cáo lỗ hổng bảo mật

Nếu bạn phát hiện một lỗ hổng bảo mật, hãy gửi email cho chúng tôi tại [email protected]. Chúng tôi xử lý các báo cáo một cách bảo mật. Chúng tôi cho phép kiểm thử bảo mật thiện chí trong các giới hạn nêu tại khoản 10 của Chính Sách Sử Dụng Chấp Nhận Được, và chúng tôi không khiếu nại hay yêu cầu bồi thường đối với bất kỳ ai tuân thủ các giới hạn đó và báo cáo lỗ hổng cho chúng tôi không chậm trễ.