Chính sách Bảo mật Thông tin — Đăng nhập SSO/SAML (Google Workspace)

Phiên bản có hiệu lực: 29/10/2025. Áp dụng cho miền chính groupcharming.com và các miền phụ liệt kê bên dưới.

1. Phạm vi & Miền áp dụng

Chính sách này áp dụng cho mọi dữ liệu người dùng liên quan đến việc xác thực, ủy quyền và lưu trữ thông tin khi sử dụng SSO/SAML thông qua Google Workspace cho các miền sau:

Miền chính: groupcharming.com
Miền phụ: phpmylicense.com, omni-channel.vn, istatic.io.vn, gstatic.io.vn, cloudns.io.vn, centermall.vn, taphoavia.com

Áp dụng cho mọi môi trường (sản xuất, staging, test) trừ khi được ghi rõ khác.

2. Cam kết tuân thủ & nguyên tắc tổng quát

Chúng tôi cam kết thực thi và duy trì hệ thống quản lý bảo mật nhằm đảm bảo:

Tuân thủ các chính sách của Google liên quan tới dữ liệu người dùng và SSO/SAML (ví dụ: Quy tắc bảo mật cho API, chính sách về việc lưu trữ, chia sẻ và xóa dữ liệu người dùng).
Tuân thủ quy định bảo vệ dữ liệu của Liên minh châu Âu (GDPR) khi dữ liệu liên quan đến công dân EU.
Tuân thủ các yêu cầu bảo vệ dữ liệu liên bang/tiểu bang của Hoa Kỳ khi áp dụng (ví dụ: CCPA/CPRA nơi phù hợp) và các tiêu chuẩn quốc tế liên quan.
Tuân thủ pháp luật của Nước Cộng Hòa Xã Hội Chủ Nghĩa Việt Nam về an ninh mạng, bảo vệ dữ liệu cá nhân và các quy định liên quan.
Bảo đảm quyền riêng tư, quyền truy cập, quyền hiệu chỉnh và quyền yêu cầu xóa của người dùng trong phạm vi pháp luật.

Ghi chú: Chúng tôi luôn thực hiện đánh giá pháp lý và kỹ thuật định kỳ để đảm bảo thực thi các cam kết nêu trên. Mặc dù mục tiêu là tuân thủ đầy đủ, các nghĩa vụ pháp lý cuối cùng phụ thuộc vào luật áp dụng và hành vi của bên thứ ba (ví dụ: nhà cung cấp dịch vụ đám mây, Google).

3. Dữ liệu thu thập & mục đích

Trong quá trình SSO/SAML bằng Google Workspace, hệ thống có thể thu thập các loại dữ liệu sau (tuỳ theo cấu hình SAML attribute mapping):

Bắt buộc: Email doanh nghiệp (userPrincipalName), unique user ID (sub / subject), tên hiển thị (displayName).
Tuỳ chọn (chỉ theo cấu hình): phoneNumber, department, group membership (nếu cần cho phân quyền).
Không tự động thu thập: mật khẩu Google (không được lưu/truy cập) hoặc token Google ngoài phạm vi SAML assertions hợp lệ.

Mục đích xử lý: xác thực danh tính, phân quyền truy cập, theo dõi bảo mật, lưu logs phục vụ audit và tuân thủ pháp luật.

4. Nguyên tắc lưu trữ & nơi lưu dữ liệu

Dữ liệu người dùng lưu trữ trên hạ tầng được mã hoá khi nghỉ (at rest) bằng chuẩn công nghiệp (ví dụ AES-256) và mã hoá trong truyền tải (TLS 1.2+).
Chúng tôi ưu tiên lưu trữ tại các vùng địa lý tuân thủ yêu cầu pháp lý tương ứng. Khu vực lưu trữ cụ thể sẽ được nêu rõ trong cấu hình dịch vụ hoặc hợp đồng với khách hàng.
Chúng tôi chỉ sử dụng nhà cung cấp đám mây / subprocessor đã có chính sách bảo mật phù hợp và có ký SLA/DPAs khi cần (ví dụ: lưu chuyển dữ liệu ra ngoài Việt Nam phải có đảm bảo pháp lý nếu áp dụng).
Retention (thời hạn lưu trữ): logs xác thực giữ tối thiểu X ngày và tối đa Y năm (tùy yêu cầu pháp lý và nội bộ). Người dùng/khách hàng có thể yêu cầu truy xuất/xóa theo quy định pháp luật và chính sách này.

5. SSO / SAML — Kiến trúc & bảo mật kỹ thuật

Sử dụng SAML 2.0 cho tích hợp Google Workspace (Google Identity Platform). Chỉ chấp nhận assertions từ issuer/identity provider đã ký và xác thực bằng certificate hợp lệ.
Chứng thực metadata SAML, public keys và signature validation luôn được kiểm tra; các certificate hết hạn phải được thay thế kịp thời.
Không lưu token dài hạn của Google; mọi token được lưu tạm thời theo chu kỳ cần thiết và mã hoá.
Áp dụng nguyên tắc least-privilege cho attribute mapping: chỉ lấy thuộc tính cần thiết cho hoạt động.
Hỗ trợ cấu hình MFA (Multi-Factor Authentication) bắt buộc tại IdP (Google Workspace) theo yêu cầu bảo mật cao.
Truy vết & logging: ghi lại events (login success/failure, assertion errors, admin changes) và bảo quản audit log để phục vụ điều tra sự cố.

6. Quyền người dùng & cơ chế thực hiện

Quyền truy cập: người dùng có quyền yêu cầu cung cấp bản sao dữ liệu cá nhân liên quan (subject access request).
Quyền hiệu chỉnh & xóa: nếu dữ liệu do chúng tôi quản lý, người dùng/khách hàng có thể yêu cầu chỉnh sửa hoặc xóa trong phạm vi pháp luật cho phép.
Quyền khiếu nại: cung cấp kênh liên hệ để khiếu nại về xử lý dữ liệu; chúng tôi sẽ phản hồi trong thời hạn hợp lý theo luật hiện hành (ví dụ GDPR: 1 tháng khi có yêu cầu hợp lệ).
Để thực hiện quyền: liên hệ email được nêu trong phần Liên hệ.

7. Chuyển giao dữ liệu quốc tế

Mọi chuyển giao dữ liệu ra/ vào lãnh thổ nước ngoài sẽ tuân thủ quy định luật pháp áp dụng (GDPR, CCPA, luật VN). Với dữ liệu công dân EU, chúng tôi áp dụng cơ chế chuyển giao hợp pháp (ví dụ: SCCs — Standard Contractual Clauses) khi cần thiết và duy trì biện pháp bảo vệ kỹ thuật phù hợp.

8. Bảo vệ & quản trị nội bộ

Chính sách quản trị truy cập: quyền admin chỉ cấp theo vai trò; audit trail cho mọi thay đổi cấu hình bảo mật.
Đánh giá rủi ro & kiểm toán: thực hiện kiểm toán định kỳ, pentest và reviews cho các thay đổi quan trọng.
Đào tạo nhân sự: nhân viên quản lý hệ thống phải trải qua đào tạo bảo mật và cam kết giữ bí mật.
Quản lý subprocessor: mọi nhà cung cấp bên thứ ba đều phải ký DPA/ghi nhận cam kết tuân thủ bảo mật và bảo vệ dữ liệu cá nhân.

9. Xử lý sự cố & thông báo vi phạm

Nếu phát hiện vi phạm bảo mật dẫn tới rủi ro cho dữ liệu cá nhân, chúng tôi sẽ:

Kích hoạt quy trình ứng phó sự cố (Incident Response).
Điều tra, hạn chế phạm vi, khắc phục và phục hồi hệ thống.
Thông báo tới các bên có liên quan (người dùng, khách hàng, cơ quan quản lý) trong thời hạn quy định của luật áp dụng (ví dụ GDPR: thông báo trong 72 giờ nếu cần).

10. Tuân thủ chính sách Google

Vì hệ thống sử dụng Google Workspace cho SSO/SAML, chúng tôi thực hiện các biện pháp sau để phù hợp với chính sách và quy định của Google:

Chỉ sử dụng scopes/attributes cần thiết; không khai thác hay lưu trữ dữ liệu ngoài phạm vi đã thông báo và được chấp thuận.
Tuân thủ việc hiển thị thông tin (consent screen) và cơ chế thu hồi quyền truy cập (revocation) theo yêu cầu Google.
Thực hiện cơ chế xóa dữ liệu theo yêu cầu và theo các cam kết DPA giữa chúng tôi và Google khi tồn tại.
Định kỳ rà soát tích hợp để đảm bảo không vi phạm chính sách Google liên quan đến bảo mật và quyền riêng tư.

Ghi chú: Chúng tôi cam kết tuân thủ chặt chẽ các yêu cầu chính sách của Google; các quy trình kỹ thuật và pháp lý được cập nhật khi Google điều chỉnh chính sách.

11. Cookie & tracking

Hệ thống có thể sử dụng cookie hoặc công nghệ tương tự cho mục đích phiên (session), bảo mật và phân tích. Cơ chế này được mô tả rõ trong tài liệu Cookies/Tracking riêng và tuân thủ yêu cầu consent nơi luật định yêu cầu.

12. Thông tin liên hệ

Nếu bạn có câu hỏi, yêu cầu về dữ liệu hoặc khiếu nại về bảo mật, vui lòng liên hệ:

Email: cmo@groupcharming.com
Địa chỉ: 44/4A, Nam Lân, Bà Điểm, TP. Hồ Chí Minh, Việt Nam — Liên hệ chính thức cho các yêu cầu pháp lý.

13. Thay đổi chính sách

Chúng tôi có thể cập nhật chính sách này để phản ánh thay đổi pháp lý, kỹ thuật hoặc vận hành. Mọi cập nhật quan trọng sẽ được thông báo công khai trên trang web và, nếu cần, thông báo trực tiếp tới người dùng/khách hàng.

Lưu ý cuối: văn bản trên là chính sách bảo mật thiết kế để đáp ứng nhiều khung pháp lý quan trọng (GDPR, CCPA, luật VN) và chính sách Google liên quan đến SSO/SAML. Để biến chính sách này thành tài liệu pháp lý ràng buộc và phù hợp 100% với hoàn cảnh triển khai (ví dụ: cấu hình lưu trữ, nhà cung cấp đám mây, SLA, các điều khoản hợp đồng khách hàng), khuyến nghị thực hiện đánh giá pháp lý bởi luật sư chuyên về bảo vệ dữ liệu và rà soát kỹ thuật trước khi công bố chính thức.