Chính sách quyền riêng tư

1. Đơn vị vận hành và phạm vi

SmartSpend là ứng dụng quản lý chi tiêu cá nhân thuộc hệ sinh thái Leonis, do Leo phát triển và vận hành tại Việt Nam. Chính sách này áp dụng cho ứng dụng SmartSpend và các dịch vụ trực tuyến liên quan trong giai đoạn internal testing.

Liên hệ về quyền riêng tư: support@leonishq.com.

2. Dữ liệu SmartSpend có thể xử lý

• Dữ liệu tài khoản: tên hiển thị, email, mật khẩu, số điện thoại nếu bạn cung cấp, cài đặt ngôn ngữ, tùy chọn ứng dụng (đơn vị tiền mặc định, bật/tắt nhận xét AI báo cáo, chụp hóa đơn tự động, nhập nhanh...) và thông tin phiên đăng nhập. Nếu bạn bật “nhớ đăng nhập”, email và mật khẩu được lưu trong kho lưu trữ bảo mật trên thiết bị của bạn.
• Dữ liệu tài chính do bạn nhập: ví, số dư, giao dịch, danh mục, ngân sách, khoản vay hoặc cho mượn, giao dịch định kỳ và ghi chú.
• Dữ liệu nhóm/chuyến đi và người liên quan: tên nhóm hoặc chuyến đi, thời gian bắt đầu/kết thúc, tên thành viên hoặc người vay/cho vay do bạn nhập, người thanh toán, phần chia chi phí và các khoản thanh toán giữa các bên liên quan.
• Nội dung tải lên: ảnh hóa đơn, ảnh chụp giao dịch và tài liệu sao kê mà bạn chủ động gửi để trích xuất dữ liệu, cùng thông tin về tệp như định dạng, mã băm dùng để phát hiện trùng lặp và số trang tài liệu.
• Dữ liệu được tạo ra khi bạn sử dụng dịch vụ: kết quả trích xuất từ hóa đơn/sao kê, tổng hợp thu chi, báo cáo, điểm đánh giá tài chính và lịch sử điểm, cùng các nhận xét do AI tạo ra từ dữ liệu tài chính của bạn.
• Dữ liệu thiết bị và thông báo: token thông báo, nền tảng thiết bị, tùy chọn thông báo và nội dung thông báo đẩy — nội dung này có thể chứa thông tin tài chính như tên danh mục, số dư, hạn mức ngân sách, tên đơn vị bán hàng hoặc số tiền, tùy loại thông báo. Tùy cài đặt thiết bị của bạn (ví dụ hiển thị bản xem trước thông báo trên màn hình khóa), nội dung này có thể hiển thị mà không cần mở khóa máy.
• Dữ liệu kỹ thuật: địa chỉ IP, mã yêu cầu, thời gian phản hồi, lỗi và log bảo mật có thể được xử lý để vận hành dịch vụ.

3. Mục đích sử dụng

SmartSpend xử lý dữ liệu để:

• Tạo và bảo vệ tài khoản Leonis của bạn.
• Lưu và hiển thị thông tin tài chính cá nhân do bạn cung cấp.
• Trích xuất dữ liệu từ hóa đơn hoặc sao kê theo yêu cầu của bạn.
• Tạo tổng hợp, báo cáo, insight và cảnh báo trong SmartSpend.
• Chuẩn hóa tên đơn vị bán hàng, phân loại và xây dựng danh mục gợi ý dùng chung cho người dùng SmartSpend.
• Gửi thông báo mà bạn đã cho phép.
• Phát hiện lỗi, chống lạm dụng và duy trì an toàn hệ thống.

4. Xử lý bằng AI

SmartSpend dùng dịch vụ AI Claude của Anthropic (qua Anthropic API) cho ba tính năng:

• Trích xuất hóa đơn/sao kê: khi bạn chủ động dùng tính năng này, ảnh hóa đơn, ảnh giao dịch hoặc tài liệu sao kê được gửi tới Claude kèm dữ liệu ngữ cảnh (danh sách ví và danh mục của bạn; riêng hóa đơn còn kèm tên đơn vị bán hàng gợi ý từ lịch sử giao dịch của bạn) để nhận dạng và trả về dữ liệu có cấu trúc. Kết quả AI chỉ là bản nháp; bạn cần xem lại và xác nhận trước khi SmartSpend tạo giao dịch.
• Nhận xét AI cho báo cáo tháng: tính năng này mặc định tắt. Khi bạn bật, SmartSpend hiển thị hộp thoại xác nhận mô tả rõ dữ liệu sẽ được gửi trước khi tính năng thực sự được bật; sau khi bạn đồng ý, SmartSpend gửi số liệu tổng hợp thu/chi, ngân sách và tên danh mục (tên danh mục bạn tự đặt được thay bằng nhãn chung trước khi gửi) tới Claude để tạo nhận xét cho báo cáo tháng của bạn. Tính năng này không gửi tên tài khoản hoặc ghi chú giao dịch của bạn, và bạn có thể tắt lại bất cứ lúc nào trong cài đặt ứng dụng để chỉ xem báo cáo số liệu thông thường, không có nhận xét AI.
• Phân loại và chuẩn hóa tên đơn vị bán hàng: SmartSpend chạy một tác vụ định kỳ để chuẩn hóa tên đơn vị bán hàng (merchant) xuất hiện trên giao dịch — kể cả tên bạn tự nhập tay — nhằm xây dựng danh mục gợi ý dùng chung cho mọi người dùng SmartSpend. Trước khi gửi cho AI, tên được lọc để loại các trường hợp có dấu hiệu chứa số điện thoại, email hoặc thông tin cá nhân khác; chỉ tên đơn vị bán hàng được gửi tới Claude, không kèm userId, số tiền, ngày giao dịch hay ghi chú. Tác vụ này chỉ xử lý giao dịch của bạn nếu bạn đã đồng ý cho mục đích này; nếu bạn chưa đồng ý hoặc từ chối, giao dịch của bạn không được đưa vào bước chuẩn hóa/AI này.

SmartSpend sử dụng gói API thương mại tiêu chuẩn của Anthropic. Theo điều khoản thương mại và trung tâm quyền riêng tư công khai của Anthropic (đối chiếu ngày 06/09/2026):

• Dữ liệu bạn gửi qua API không được dùng để huấn luyện mô hình theo mặc định.
• Anthropic tự động xóa dữ liệu đầu vào và đầu ra trong vòng 30 ngày kể từ khi nhận hoặc tạo ra.
• Ngoại lệ: nội dung bị hệ thống an toàn của Anthropic gắn cờ vi phạm chính sách sử dụng có thể được lưu tới 2 năm, hoặc lâu hơn nếu pháp luật yêu cầu.

Nguồn: Anthropic Commercial Terms of Service, Is my data used for model training?, How long do you store my data? (Anthropic Privacy Center).

Bạn có thể không sử dụng tính năng trích xuất và nhập giao dịch thủ công; việc này không tự động tắt tính năng nhận xét AI cho báo cáo tháng hoặc tính năng phân loại/chuẩn hóa tên đơn vị bán hàng, vốn có cơ chế bật/tắt và đồng ý riêng (xem mục 7).

5. Nhà cung cấp dịch vụ

Trong giai đoạn thử nghiệm nội bộ, SmartSpend sử dụng các nhà cung cấp dưới đây để vận hành dịch vụ và xử lý dữ liệu theo các mục đích được mô tả trong chính sách này:

• Google Cloud Run (khu vực asia-southeast1) để vận hành Leonis API.
• Google Cloud Logging để lưu log hạ tầng phục vụ vận hành và bảo mật (xem mục 6 về thời hạn lưu).
• Neon (khu vực Singapore) để lưu dữ liệu PostgreSQL.
• Cloudflare R2 để lưu nội dung tải lên; khu vực xử lý cụ thể đang được xác minh.
• Anthropic Claude để xử lý các yêu cầu trích xuất AI, tạo nhận xét báo cáo tháng, và phân loại/chuẩn hóa tên đơn vị bán hàng, theo tính năng bạn sử dụng hoặc bật.
• Upstash Redis (khu vực Singapore) để quản lý phiên đăng nhập.
• Firebase Cloud Messaging (FCM) để gửi thông báo tới thiết bị — FCM xử lý toàn bộ nội dung thông báo (tiêu đề và nội dung), không chỉ định tuyến token.
• Vercel để cung cấp website và các trang thông tin công khai.

Các nhà cung cấp có thể thay đổi khi SmartSpend điều chỉnh hạ tầng để đáp ứng nhu cầu vận hành. Chúng tôi sẽ cập nhật chính sách để phản ánh các thay đổi trước khi nhà cung cấp mới bắt đầu xử lý dữ liệu người dùng. Những thay đổi quan trọng sẽ được thông báo tới người dùng; chúng tôi sẽ yêu cầu sự đồng ý bổ sung khi cần thiết. Một số nhà cung cấp có thể xử lý dữ liệu ngoài Việt Nam.

6. Lưu giữ và xóa dữ liệu

Dữ liệu tài khoản và dữ liệu tài chính của bạn được lưu để cung cấp dịch vụ trong thời gian bạn duy trì tài khoản. Dữ liệu được tạo trong giai đoạn thử nghiệm sẽ tiếp tục được giữ khi SmartSpend phát hành chính thức, trừ khi bạn chủ động xóa dữ liệu hoặc yêu cầu xóa tài khoản.

Bạn có thể xóa tài khoản bằng chức năng Xóa tài khoản trong ứng dụng. Thao tác này xóa tài khoản Leonis, dữ liệu SmartSpend liên quan, ảnh hóa đơn và tài liệu sao kê bạn đã tải lên, cùng phiên đăng nhập và token thông báo trên các thiết bị của bạn. Trong một số trường hợp phát sinh lỗi kỹ thuật, việc xóa hoàn toàn có thể cần thêm thời gian xử lý.

Log hạ tầng (Google Cloud Logging) được giữ theo thời hạn mặc định 30 ngày kể từ thời điểm ghi, sau đó tự động hết hạn. Cơ sở dữ liệu (Neon) có cửa sổ phục hồi (point-in-time restore) 6 giờ gần nhất; ngoài cửa sổ này, dữ liệu cũ không còn được giữ lại để khôi phục.

Một số dữ liệu đã được tổng hợp và không gắn với tài khoản cụ thể (ví dụ: tên đơn vị bán hàng dùng để gợi ý khi quét hóa đơn) có thể được giữ lại phục vụ vận hành chung sau khi tài khoản bị xóa. Trước khi lưu, tên này được lọc để hạn chế thông tin cá nhân, nhưng bộ lọc có thể không phát hiện được mọi trường hợp; nếu bạn cho rằng tên đơn vị bán hàng của mình vô tình chứa thông tin cá nhân, hãy liên hệ support@leonishq.com để được kiểm tra và xóa. Thời hạn lưu giữ cụ thể cho dữ liệu này hiện chưa được xác định.

Nếu không truy cập được tài khoản, bạn có thể liên hệ support@leonishq.com để được hỗ trợ.

7. Quyền của bạn đối với dữ liệu cá nhân

Bạn có các quyền đối với dữ liệu cá nhân theo pháp luật Việt Nam hiện hành, bao gồm Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và các văn bản hướng dẫn thi hành.

Trong SmartSpend, bạn có thể:

• Xem và chỉnh sửa thông tin tài khoản; quản lý dữ liệu tài chính của mình.
• Không dùng trích xuất AI và nhập giao dịch thủ công; quản lý việc cho phép các tính năng AI khác (nhận xét báo cáo tháng, phân loại/chuẩn hóa tên đơn vị bán hàng) theo cài đặt tương ứng.
• Thay đổi tùy chọn thông báo hoặc thu hồi quyền thông báo trong cài đặt thiết bị.
• Yêu cầu xóa tài khoản Leonis và dữ liệu SmartSpend thông qua chức năng Xóa tài khoản trong ứng dụng.
• Liên hệ support@leonishq.com để yêu cầu hỗ trợ truy cập, cung cấp, chỉnh sửa, xóa dữ liệu; rút lại sự đồng ý; hạn chế hoặc phản đối việc xử lý dữ liệu theo quy định pháp luật.

Chúng tôi có thể yêu cầu thông tin cần thiết để xác minh bạn là chủ tài khoản trước khi xử lý yêu cầu. Không gửi mật khẩu, mã OTP hoặc token đăng nhập qua email.

Việc rút lại sự đồng ý có thể ảnh hưởng đến những tính năng cần xử lý dữ liệu tương ứng. Chúng tôi sẽ giải thích ảnh hưởng khi tiếp nhận yêu cầu. Bạn cũng có quyền khiếu nại, tố cáo hoặc khởi kiện theo quy định pháp luật.

8. Bảo mật

Leonis áp dụng các biện pháp kỹ thuật và tổ chức nhằm giới hạn truy cập, bảo vệ phiên đăng nhập và tránh đưa dữ liệu tài chính hoặc nội dung tải lên vào log không cần thiết. Mật khẩu được băm trước khi lưu trữ. Token làm mới (refresh token) được băm trước khi lưu ở máy chủ và có thời hạn sử dụng giới hạn; token truy cập (access token) không được lưu trữ ở máy chủ vì tự xác thực bằng chữ ký số. Trên thiết bị của bạn, các token được lưu trong kho lưu trữ bảo mật (secure storage) của hệ điều hành. Quyền đọc log hạ tầng hiện chỉ giới hạn ở tài khoản chủ dự án (owner); tài khoản dịch vụ hệ thống do nền tảng đám mây tự tạo cũng có quyền kỹ thuật tương đương nhưng không có người trực tiếp đăng nhập bằng tài khoản đó. Chúng tôi đang tiếp tục rà soát và thu hẹp phạm vi dữ liệu ghi trong log hệ thống. Không hệ thống nào có thể bảo đảm an toàn tuyệt đối.

9. Quảng cáo và theo dõi

SmartSpend hiện sử dụng Firebase Cloud Messaging (FCM) để gửi thông báo tới thiết bị theo cài đặt của bạn. Ứng dụng hiện không tích hợp công cụ phân tích hành vi sử dụng hoặc báo cáo lỗi như Firebase Analytics, Crashlytics hay Sentry. SmartSpend không bán dữ liệu cá nhân của bạn.

Nếu bổ sung công cụ phân tích, quảng cáo hoặc theo dõi, chúng tôi sẽ cập nhật chính sách và thực hiện thông báo, xin đồng ý khi cần thiết trước khi triển khai.

10. Thay đổi chính sách

Chính sách này có thể thay đổi trong quá trình thử nghiệm. Ngày cập nhật sẽ được hiển thị trên trang; thay đổi quan trọng sẽ được thông báo trong ứng dụng hoặc qua kênh liên hệ phù hợp trước khi áp dụng rộng rãi.

11. Liên hệ

Câu hỏi về quyền riêng tư có thể gửi tới support@leonishq.com. Không gửi mật khẩu, access token, ảnh hóa đơn hoặc sao kê đầy đủ qua email.

12. Lịch sử thay đổi

v1.0 · 06/09/2026

Ban hành chính sách đầu tiên cho giai đoạn internal testing.

Các thay đổi quan trọng trong tương lai sẽ được thêm vào đây kèm ngày áp dụng.