Chính sách bảo mật

FitCV.cloud (“FitCV”, “chúng tôi”) là nền tảng AI viết CV vận hành bởi cá nhân Nguyễn Hữu Thuật tại Hà Nội, Việt Nam. Liên hệ DPO: hello@fitcv.cloud.

• Thông tin tài khoản: email, tên, avatar khi bạn đăng nhập qua Google OAuth.
• Nội dung CV & JD: profile bạn nhập, JD bạn paste, CV được AI sinh ra — lưu để phục vụ lịch sử và cải thiện dịch vụ.
• Usage log: thời gian, token tiêu thụ, model dùng, thành công/thất bại — dùng để tính cost và debug.
• Cookie: session cookie NextAuth (`__Secure-authjs.session-token`), CSRF token. Không dùng tracking cookie bên thứ 3.
• IP + user agent: ghi trong nginx access log tối đa 30 ngày để debug + chống abuse.

Chúng tôi KHÔNG thu thập: CMND/CCCD, số tài khoản ngân hàng (payment xử lý trực tiếp bởi MoMo/VNPAY/PayOS), biometric data.

• Cung cấp dịch vụ AI CV (generate, review, export).
• Quản lý tài khoản + quota free/paid.
• Liên hệ hỗ trợ qua email khi bạn yêu cầu.
• Gửi thông báo giao dịch (receipt, renewal) — không spam marketing.
• Thống kê aggregated (không định danh) để cải thiện product.

• Nhà cung cấp AI (đặt tại Việt Nam): nội dung CV/JD gửi đến để xử lý ngôn ngữ tự nhiên. Nhà cung cấp có DPA không lưu log dài hạn.
• Google: OAuth authentication (email + profile scope).
• MoMo / VNPAY / PayOS: xử lý thanh toán. Chúng tôi chỉ chia sẻ orderId + số tiền, KHÔNG chia sẻ nội dung CV.
• Nhà tuyển dụng: chỉ khi BẠN chủ động apply vào job của họ. Email/phone thật chỉ reveal khi bạn approve Contact Request.
• KHÔNG bán / trao đổi data với bên quảng cáo hay data broker.

Dữ liệu lưu trên server VPS tại Việt Nam, không transfer ra ngoài lãnh thổ VN trừ khi có basis pháp lý rõ ràng (ví dụ: API call đến nhà cung cấp AI đặt trong lãnh thổ VN).

Thời hạn lưu trữ: CV / Review giữ đến khi bạn xoá hoặc hạ cấp về Free; usage log giữ 10 năm cho mục đích thuế (theo luật VN); session cookie hết hạn sau 30 ngày không hoạt động.

Bạn có quyền:

• Truy cập dữ liệu của mình (request qua email).
• Chỉnh sửa dữ liệu (trực tiếp trong Settings).
• Xoá account + toàn bộ data (irreversible).
• Yêu cầu export dữ liệu dạng JSON.
• Rút consent bất kỳ lúc nào.
• Khiếu nại lên Cục An toàn thông tin (Bộ TTTT) nếu có vi phạm.

Thực hiện quyền: gửi email hello@fitcv.cloud — chúng tôi phản hồi trong 30 ngày.

• TLS 1.2+ bắt buộc (HTTPS).
• Password hash bcrypt (qua NextAuth), session cookie httpOnly + secure.
• Rate limit per-IP chống abuse.
• WAF qua Cloudflare (đang triển khai).
• Backup daily, encrypted at rest.
• Access log kiểm toán hàng tuần.

Dịch vụ không dành cho người dưới 16. Nếu chúng tôi phát hiện user dưới 16, sẽ khoá tài khoản và xoá data trong 7 ngày.

Khi có thay đổi vật chất, chúng tôi sẽ thông báo qua email + banner trên trang chủ ít nhất 15 ngày trước khi áp dụng. Bạn có thể xoá account nếu không đồng ý.