Chính sách bảo mật

Mepo là phần mềm local-first: dữ liệu của cửa hàng bạn (sản phẩm, đơn hàng, khách hàng, công nợ) được lưu trên thiết bị của bạn, không phải trên máy chủ của chúng tôi. Điều này khác với 95% phần mềm SaaS trên thị trường.

Hệ quả: nếu bạn dùng Mepo offline / không bật sync, dữ liệu shop không bao giờ rời thiết bị. Chúng tôi không có khả năng đọc, copy, hay phân tích dữ liệu kinh doanh của bạn.

• Tên doanh nghiệp: Mepo (đang đăng ký pháp nhân)
• Địa chỉ: Hà Nội, Việt Nam
• Email DPO: dpo@mepo.vn
• Email support: support@mepo.vn

3.1. Khi bạn đăng ký tài khoản

• Họ tên, số điện thoại, email — để liên hệ + xác thực
• Tên cửa hàng, ngành (điện thoại / thời trang / F&B…) — để hỗ trợ phù hợp
• Ngày sinh + giới tính (tự chọn, không bắt buộc) — để cá nhân hoá trải nghiệm

3.2. Khi bạn dùng app

• Telemetry kỹ thuật (anonymous): crash report, thời gian boot, route nào dùng nhiều — để cải thiện app. KHÔNG kèm tên/SĐT/email.
• Sync blob (chỉ khi bạn bật): bản sao mã hoá E2E của dữ liệu shop, lưu trên Cloudflare R2 để khôi phục khi đổi máy. Chỉ bạn có khoá giải mã.

3.3. Khi bạn liên hệ support

• Nội dung email, screenshot bạn gửi — lưu để xử lý ticket, xoá sau 90 ngày kể từ khi ticket đóng.

• Vận hành app, xác thực đăng nhập
• Sync dữ liệu giữa các thiết bị của cùng một bạn
• Liên hệ hỗ trợ, gửi thông báo bảo trì / cập nhật quan trọng
• Phân tích anonymous để fix bug + ưu tiên feature

Chúng tôi KHÔNG dùng dữ liệu của bạn để: bán quảng cáo, bán cho bên thứ ba, train AI public, profiling khách hàng của bạn.

• Sự đồng ý — bạn đánh dấu checkbox khi đăng ký
• Thực hiện hợp đồng — bạn dùng dịch vụ Mepo
• Lợi ích hợp pháp — bảo mật app, chống fraud, audit log
• Tuân thủ pháp luật — yêu cầu cơ quan nhà nước (tòa án, công an) có lệnh hợp lệ

Chúng tôi không bán dữ liệu. Chia sẻ chỉ trong các trường hợp:

• Nhà cung cấp hạ tầng: Cloudflare (lưu trữ + CDN), SePay (cổng thanh toán). Đã ký DPA, dữ liệu mã hoá khi truyền.
• Đối tác bạn chủ động kết nối: T-VAN (Misa/VNPT/Viettel/BKAV/FPT), sàn TMĐT (Shopee/Lazada/TikTok), ngân hàng. Chỉ chia sẻ field bạn cho phép qua màn hình kết nối — và chỉ khi bạn ấn “Kết nối”.
• Cơ quan nhà nước theo lệnh hợp lệ.

• Dữ liệu shop: do bạn lưu trên thiết bị. Bạn xoá là xoá.
• Sync blob: lưu 30 ngày kể từ khi bạn ngưng dùng app, sau đó xoá tự động.
• Tài khoản: bạn yêu cầu xoá → chúng tôi xoá trong 7 ngày + xác nhận qua email.
• Hoá đơn / log giao dịch Mepo (nếu mua gói trả phí): lưu 10 năm theo Luật Kế toán VN.

Bạn có 12 quyền sau, miễn phí, xử lý trong 72 giờ:

1. Quyền được biết — bạn đang đọc đây
2. Quyền đồng ý / từ chối
3. Quyền truy cập — yêu cầu xem dữ liệu chúng tôi có về bạn
4. Quyền rút lại sự đồng ý
5. Quyền xoá
6. Quyền hạn chế xử lý
7. Quyền cung cấp (data portability) — export JSON/CSV
8. Quyền phản đối xử lý tự động
9. Quyền khiếu nại lên cơ quan có thẩm quyền (Bộ Công An — Cục An ninh mạng)
10. Quyền yêu cầu bồi thường
11. Quyền tự bảo vệ (khi vi phạm xảy ra)
12. Quyền khác theo pháp luật

Để thực hiện: gửi email dpo@mepo.vn kèm SĐT đăng ký để xác thực.

• Mật khẩu hash bằng Argon2id, salt riêng mỗi user
• Sync blob mã hoá AES-256-GCM trên client — chúng tôi không có khoá
• HTTPS bắt buộc (HSTS preload)
• 2FA TOTP cho admin Mepo
• Audit log mọi thao tác admin truy cập dữ liệu khách (M0 Admin Console)

Xem chi tiết tại Chính sách Cookies.

Mepo không cung cấp dịch vụ cho người dưới 16 tuổi. Nếu phát hiện tài khoản dưới 16, chúng tôi xoá ngay.

Khi có thay đổi quan trọng, chúng tôi thông báo qua email + banner trong app trước 14 ngày. Bạn tiếp tục dùng = đồng ý với phiên bản mới.

Phiên bản 1.0 · 24/05/2026 — phát hành đầu tiên.