Điều Khoản Dịch Vụ & Chính Sách Bảo Mật

Điều Khoản Sử Dụng này ("Điều khoản") điều chỉnh mối quan hệ giữa VigorLabs Technology Co., Ltd. ("Chúng tôi", "Công ty") và mọi cá nhân, tổ chức ("Người dùng", "Bạn") sử dụng nền tảng VigorLabs, bao gồm:

• Firmware thiết bị: Phần mềm cài đặt trên các dòng SoC camera IP (Hisilicon, Novatek, Ingenic, Ambarella và tương đương)
• Ứng dụng di động: Ứng dụng VigorLabs trên nền tảng iOS và Android
• Giao diện web: Cổng quản lý tại domain chính thức của VigorLabs
• API & SDK: Giao diện lập trình dành cho đối tác tích hợp
• Dịch vụ đám mây: Lưu trữ, phân tích hình ảnh/video trên hạ tầng cloud

Điều khoản này áp dụng cho toàn bộ người dùng trên lãnh thổ nước Cộng hòa Xã hội Chủ nghĩa Việt Nam. Đối với người dùng ngoài Việt Nam, có thể áp dụng bổ sung điều khoản riêng phù hợp pháp luật địa phương.

Để sử dụng dịch vụ VigorLabs, Người dùng phải đáp ứng đồng thời các điều kiện sau:

1. Đủ 18 tuổi trở lên theo quy định pháp luật Việt Nam, hoặc có sự đồng ý bằng văn bản của người giám hộ hợp pháp
2. Có đầy đủ năng lực hành vi dân sự theo Bộ luật Dân sự Việt Nam 2015
3. Sử dụng dịch vụ cho mục đích hợp pháp, không vi phạm quy định pháp luật hiện hành
4. Cung cấp thông tin đăng ký chính xác, đầy đủ và cập nhật khi có thay đổi
5. Đồng ý với Chính sách Bảo mật và các chính sách liên quan của VigorLabs

Người dùng tuyệt đối không được sử dụng dịch vụ VigorLabs vào các mục đích sau:

• Giám sát trái phép cá nhân mà không có sự đồng ý hoặc không có cơ sở pháp lý phù hợp
• Thu thập, ghi lại hình ảnh/âm thanh tại không gian riêng tư (phòng ngủ, phòng tắm, phòng thay đồ) của người khác
• Sử dụng dữ liệu hình ảnh, video cho mục đích tống tiền, đe dọa hoặc xâm phạm quyền nhân thân
• Chia sẻ, phân phối trái phép footage camera chứa thông tin cá nhân của người khác
• Thực hiện tấn công mạng, xâm nhập trái phép vào thiết bị camera của bên thứ ba
• Can thiệp, phá hoại hạ tầng kỹ thuật của hệ thống VigorLabs
• Sử dụng dịch vụ để thực hiện hoặc hỗ trợ các hoạt động khủng bố, an ninh quốc gia

Mỗi thiết bị camera và mỗi người dùng phải sử dụng thông tin xác thực riêng biệt. Nghiêm cấm việc chia sẻ tài khoản hoặc thông tin đăng nhập giữa nhiều người dùng không có thẩm quyền.

Phù hợp với yêu cầu kỹ thuật của QCVN 135:2024/BTTTT, hệ thống VigorLabs áp dụng các chính sách mật khẩu bắt buộc:

• Mật khẩu thiết bị: Duy nhất cho từng thiết bị, không trùng lặp với bất kỳ thiết bị nào khác cùng loại
• Độ phức tạp: Tối thiểu 8 ký tự, gồm chữ hoa, chữ thường, chữ số và ký tự đặc biệt
• Chống tấn công vét cạn: Khóa tài khoản tạm thời sau 5 lần đăng nhập sai liên tiếp
• Thay đổi mật khẩu: Bắt buộc thay đổi mật khẩu mặc định trước khi kết nối lần đầu
• Lưu trữ: Mật khẩu được mã hóa một chiều (hash) với thuật toán bcrypt hoặc Argon2

VigorLabs cam kết duy trì độ khả dụng dịch vụ đám mây tối thiểu 99.5% trong tháng, không tính thời gian bảo trì định kỳ được thông báo trước 48 giờ. Trong trường hợp sự cố ảnh hưởng dịch vụ, VigorLabs sẽ thông báo và xử lý trong vòng 4 giờ làm việc.

Người dùng sử dụng camera giám sát có nghĩa vụ:

1. Thông báo: Đặt biển thông báo rõ ràng tại khu vực lắp đặt camera theo quy định tại Điều 38 Bộ luật Dân sự 2015 về quyền về hình ảnh
2. Giới hạn phạm vi: Chỉ giám sát không gian thuộc quyền sở hữu, quản lý hợp pháp hoặc đã có sự đồng ý của chủ sở hữu
3. Bảo vệ trẻ em: Không sử dụng hệ thống để thu thập dữ liệu cá nhân của trẻ em dưới 16 tuổi mà không có sự đồng ý của cha mẹ/người giám hộ
4. Lưu trữ an toàn: Bảo đảm thiết bị lưu trữ cục bộ (NVR, thẻ nhớ) được bảo vệ vật lý và logic khỏi truy cập trái phép
5. Cập nhật firmware: Thực hiện cập nhật firmware theo thông báo từ VigorLabs để vá lỗ hổng bảo mật theo đúng yêu cầu tại mục 2.3 QCVN 135:2024

Đối với người dùng tổ chức (doanh nghiệp, cơ quan nhà nước), ngoài các nghĩa vụ trên, còn cần:

• Thực hiện đánh giá tác động bảo vệ dữ liệu cá nhân (DPIA) trước khi triển khai hệ thống camera quy mô lớn
• Xây dựng và duy trì quy trình nội bộ về quản lý dữ liệu hình ảnh/video
• Chỉ định người có trách nhiệm bảo vệ dữ liệu (DPO) trong trường hợp xử lý dữ liệu cá nhân quy mô lớn
• Tuân thủ Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân

• Sử dụng phần mềm, ứng dụng và dịch vụ cho mục đích cá nhân hoặc nội bộ tổ chức phù hợp với điều khoản
• Tích hợp API trong phạm vi giấy phép đối tác đã được cấp
• Lưu trữ tài liệu kỹ thuật để tham khảo nội bộ

• Sao chép, phân phối, bán lại phần mềm/firmware mà không có giấy phép
• Dịch ngược (reverse engineer), giải mã, hoặc tạo mã nguồn từ firmware
• Loại bỏ hoặc che giấu thông báo bản quyền, thương hiệu của VigorLabs
• Tạo sản phẩm phái sinh dựa trên tài sản trí tuệ của VigorLabs

• Phí dịch vụ được tính bằng đồng Việt Nam (VNĐ), bao gồm thuế VAT 10%
• Thanh toán qua các cổng thanh toán điện tử được cấp phép tại Việt Nam
• Gói thuê bao được gia hạn tự động trừ khi người dùng hủy trước 3 ngày gia hạn
• Hoàn tiền được hỗ trợ trong vòng 7 ngày kể từ ngày thanh toán nếu dịch vụ chưa được sử dụng
• VigorLabs không lưu trữ thông tin thẻ tín dụng; mọi giao dịch được xử lý qua cổng thanh toán bên thứ ba tuân thủ PCI DSS

• Thiệt hại phát sinh do người dùng vi phạm điều khoản sử dụng hoặc pháp luật
• Mất mát dữ liệu do sự cố mất điện, thiên tai, hoặc tấn công mạng vượt ngoài khả năng kiểm soát hợp lý
• Hành vi sử dụng trái phép tài khoản người dùng do lỗi bảo mật từ phía người dùng
• Chất lượng đường truyền Internet hoặc hạ tầng mạng viễn thông của bên thứ ba
• Thiệt hại gián tiếp, thiệt hại mang tính trừng phạt hoặc thiệt hại do mất lợi nhuận kinh doanh

Người dùng có thể chấm dứt việc sử dụng dịch vụ bất kỳ lúc nào bằng cách xóa tài khoản qua ứng dụng hoặc web. Sau khi xóa tài khoản, dữ liệu cá nhân sẽ được xóa trong vòng 30 ngày, trừ trường hợp pháp luật yêu cầu lưu giữ lâu hơn.

VigorLabs có quyền tạm ngưng hoặc chấm dứt tài khoản trong các trường hợp:

• Vi phạm nghiêm trọng Điều khoản Sử dụng (hiệu lực ngay lập tức, không báo trước)
• Không thanh toán phí dịch vụ sau 14 ngày quá hạn
• Tài khoản không hoạt động liên tục trong 24 tháng (cảnh báo trước 30 ngày)
• Theo yêu cầu của cơ quan nhà nước có thẩm quyền

Khi đăng ký và sử dụng dịch vụ, chúng tôi thu thập:

• Họ tên, địa chỉ email, số điện thoại liên hệ
• Thông tin xác thực (tên đăng nhập, mật khẩu được mã hóa)
• Thông tin thanh toán (qua cổng thanh toán — VigorLabs không lưu số thẻ)
• Thông tin tổ chức (đối với tài khoản doanh nghiệp)

• Định danh thiết bị: Serial number, MAC address, Model ID của camera
• Dữ liệu kỹ thuật: Địa chỉ IP, phiên bản firmware, trạng thái hoạt động
• Dữ liệu cảm biến: Hình ảnh, video luồng trực tiếp và bản ghi (theo cấu hình người dùng)
• Metadata: Thời gian, vị trí địa lý (nếu được kích hoạt), cảnh báo phát hiện chuyển động
• Telemetry: Nhật ký hoạt động firmware, báo cáo lỗi thiết bị (ẩn danh hóa)

• Loại thiết bị, hệ điều hành, phiên bản ứng dụng
• Địa chỉ IP, thông tin kết nối mạng
• Nhật ký truy cập, tính năng sử dụng, lịch sử phiên làm việc
• Cookie và dữ liệu phân tích hành vi người dùng (có thể từ chối)

Chúng tôi chỉ chia sẻ dữ liệu trong các trường hợp sau:

• Nhà cung cấp dịch vụ đám mây: Hạ tầng lưu trữ và xử lý tại Việt Nam, ký kết DPA (Data Processing Agreement)
• Cổng thanh toán: Chỉ chia sẻ thông tin cần thiết để xử lý giao dịch
• Hỗ trợ kỹ thuật: Dữ liệu được ẩn danh hóa tối đa trước khi chia sẻ với đội ngũ hỗ trợ
• Cơ quan nhà nước: Theo quyết định, yêu cầu hợp pháp của cơ quan có thẩm quyền
• Chuyển nhượng doanh nghiệp: Trong trường hợp mua bán, sáp nhập — người dùng được thông báo trước

Theo yêu cầu tại Điều 2.11.5 QCVN 135:2024/BTTTT và Điều 25 Nghị định 13/2023/NĐ-CP, dữ liệu người dùng Việt Nam được lưu trữ ưu tiên tại máy chủ đặt tại Việt Nam. Mọi chuyển dữ liệu ra nước ngoài đều tuân thủ quy định tại Chương V Nghị định 13/2023/NĐ-CP và phải được sự chấp thuận của Bộ Công an.

VigorLabs triển khai các biện pháp bảo mật theo tiêu chuẩn kỹ thuật tại QCVN 135:2024/BTTTT:

• Mã hóa truyền thông: TLS 1.3 cho toàn bộ kết nối giữa thiết bị, ứng dụng và server
• Mã hóa lưu trữ: AES-256 cho dữ liệu video, AES-128 tối thiểu cho dữ liệu tài khoản
• Xác thực mạnh: Hỗ trợ xác thực hai yếu tố (2FA) cho tài khoản quản trị
• Quản lý lỗ hổng: Công bố chính sách tiết lộ lỗ hổng, vá bảo mật trong 72 giờ với lỗ hổng nghiêm trọng
• Kiểm tra thâm nhập: Penetration testing định kỳ bởi bên thứ ba độc lập mỗi năm
• Phân vùng dữ liệu: Cách ly dữ liệu giữa các khách hàng tổ chức
• Giao diện gỡ lỗi: Tắt hoàn toàn giao diện debug (UART/JTAG) trên sản phẩm thương mại

1. Quyền được biết: Được thông tin đầy đủ về mục đích, cách thức xử lý dữ liệu cá nhân của mình
2. Quyền đồng ý: Đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân, trừ trường hợp pháp luật quy định khác
3. Quyền truy cập: Truy cập để xem, chỉnh sửa dữ liệu cá nhân của mình, trừ trường hợp pháp luật có quy định khác
4. Quyền rút lại đồng ý: Rút lại sự đồng ý đã cấp bất kỳ lúc nào; việc rút lại không ảnh hưởng đến tính hợp pháp của xử lý trước đó
5. Quyền xóa dữ liệu: Yêu cầu xóa dữ liệu cá nhân, trừ trường hợp pháp luật yêu cầu lưu giữ
6. Quyền hạn chế xử lý: Yêu cầu hạn chế xử lý dữ liệu trong các trường hợp cụ thể
7. Quyền di chuyển dữ liệu: Nhận dữ liệu cá nhân ở định dạng phổ biến, có thể đọc bằng máy
8. Quyền phản đối: Phản đối việc xử lý dữ liệu dựa trên lợi ích hợp pháp
9. Quyền khiếu nại: Khiếu nại, tố cáo, khởi kiện theo quy định pháp luật
10. Quyền bồi thường: Yêu cầu bồi thường thiệt hại khi dữ liệu bị xử lý vi phạm quy định

Gửi yêu cầu thực hiện quyền qua email vigorlabs.org@gmail.com với tiêu đề rõ ràng. VigorLabs sẽ xử lý trong vòng 72 giờ đối với xác nhận nhận yêu cầu và 30 ngày để hoàn thành, theo đúng thời hạn quy định tại Điều 9 Nghị định 13/2023/NĐ-CP.

• Chỉ lắp đặt camera tại không gian công cộng hoặc khu vực bạn có quyền quản lý hợp pháp
• Đặt thông báo cảnh báo camera tại vị trí dễ nhìn thấy, ghi rõ mục đích giám sát và tên tổ chức/cá nhân phụ trách
• Không hướng camera vào không gian sinh hoạt cá nhân của người khác (phòng ngủ, phòng tắm)
• Không phát tán, chia sẻ footage chứa hình ảnh cá nhân lên mạng xã hội hoặc cho bên thứ ba không có thẩm quyền
• Dữ liệu hình ảnh/video nhạy cảm được mã hóa theo yêu cầu tại Điều 2.7 QCVN 135:2024

• OTA (Over-the-Air) Update: Cập nhật tự động được ký số và kiểm tra tính toàn vẹn trước khi áp dụng
• Thời hạn hỗ trợ: Mỗi dòng sản phẩm được công bố rõ thời hạn hỗ trợ bảo mật tối thiểu (minimum 3 năm từ ngày sản xuất)
• Vá lỗ hổng khẩn cấp: Phát hành hotfix trong vòng 72 giờ với lỗ hổng mức Critical (CVSS ≥ 9.0)
• Thông báo EOL: Thông báo End-of-Life trước 12 tháng để người dùng có thời gian chuyển đổi

Firmware thu thập dữ liệu telemetry phục vụ cải thiện chất lượng và bảo mật, bao gồm:

• Nhật ký lỗi hệ thống (crash logs) — được ẩn danh hóa trước khi gửi
• Thống kê hiệu suất (CPU, memory) — tổng hợp theo nhóm thiết bị
• Trạng thái cập nhật firmware — phục vụ theo dõi mức độ triển khai bản vá

Người dùng có thể tắt thu thập telemetry qua cài đặt thiết bị mà không ảnh hưởng đến chức năng cốt lõi, theo Điều 2.11.3 QCVN 135:2024.

Theo Điều 2.9 QCVN 135:2024/BTTTT, chức năng khôi phục cài đặt gốc (factory reset) sẽ xóa toàn bộ dữ liệu người dùng trên thiết bị, bao gồm: thông tin cấu hình, thông tin xác thực, dữ liệu ghi hình cục bộ và thông tin mạng. Chức năng này có thể thực hiện qua ứng dụng di động hoặc nút reset vật lý trên thiết bị.

Người dùng có thể quản lý tùy chọn cookie qua banner đồng ý cookie khi truy cập lần đầu, hoặc qua trang cài đặt tài khoản bất kỳ lúc nào.

Nếu bạn không hài lòng với cách VigorLabs xử lý khiếu nại, bạn có quyền liên hệ cơ quan chức năng:

• Cục An toàn thông tin (ATTT): Bộ Thông tin và Truyền thông — ais.gov.vn
• Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05): Bộ Công an
• Cục Bảo vệ người tiêu dùng: Bộ Công Thương — bvntd.gov.vn