Tổng quan
FreeBillGen là dịch vụ lập hóa đơn được lưu trữ miễn phí tại freebillgen.com. Chính sách này giải thích dữ liệu cá nhân chúng tôi thu thập, lý do thu thập, ai khác có thể xem, thời gian lưu giữ và các quyền bạn có theo luật EU.
Chính sách được soạn thảo để tuân thủ Điều 13 và 14 của Quy định Bảo vệ Dữ liệu Chung của EU (Regulation (EU) 2016/679, "GDPR") và Luật Bảo vệ Pháp lý Dữ liệu Cá nhân của Cộng hòa Lithuania. Phần tiếp theo xác định bên kiểm soát dữ liệu; phần còn lại của trang đề cập từng chủ đề theo thứ tự.
Ai là bên kiểm soát dữ liệu
Dịch vụ được vận hành bởi MB Libranet, một công ty nhỏ có trụ sở tại Vilnius, Lithuania, là bên kiểm soát dữ liệu duy nhất theo Điều 4(7) GDPR. Để gửi yêu cầu về quyền riêng tư, vui lòng viết thư tới [email protected]. Thông tin đầy đủ về pháp nhân, bao gồm mã đăng ký và mã số thuế VAT, được đăng tải trên trang thông tin công ty.
Chúng tôi không bổ nhiệm Cán bộ Bảo vệ Dữ liệu vì hoạt động xử lý của chúng tôi không đáp ứng các ngưỡng quy định tại Điều 37 GDPR. Người chịu trách nhiệm về bảo vệ dữ liệu có thể được liên hệ qua địa chỉ email nêu trên.
Dữ liệu chúng tôi xử lý
Chúng tôi xử lý các danh mục dữ liệu cá nhân hạn chế sau đây, trên cơ sở pháp lý được liệt kê:
- Dữ liệu tài khoản. Họ tên, địa chỉ email và mật khẩu được mã hóa bcrypt (hoặc khóa công khai passkey) của bạn. Cơ sở pháp lý: Thực hiện hợp đồng - Điều 6(1)(b) GDPR.
- Dữ liệu hóa đơn và khách hàng do bạn tạo. Chỉ dữ liệu bạn chọn nhập: tên khách hàng, địa chỉ, mã số thuế VAT, danh mục hàng hóa/dịch vụ, tổng tiền, trạng thái thanh toán. Cơ sở pháp lý: Thực hiện hợp đồng - Điều 6(1)(b) GDPR.
- Received invoices (Inbox). E-invoices you receive into your Inbox, either by uploading a file or by directing them to your personal inbox address. We parse the supplier, totals and tax breakdown into readable fields and keep the original file for audit. We operate a mail receiver only for that dedicated subdomain; it is processed automatically and not read by us. Cơ sở pháp lý: Performance of contract - Art. 6(1)(b) GDPR.
- Cookie phiên và bảo mật. Một cookie phiên đã ký và một cookie token CSRF được sử dụng để duy trì đăng nhập và ngăn chặn các yêu cầu giả mạo. Cơ sở pháp lý: Cần thiết tuyệt đối - Điều 6(1)(f), lợi ích hợp pháp.
- Nhật ký máy chủ. Địa chỉ IP, chuỗi user-agent và siêu dữ liệu yêu cầu, được lưu giữ trong thời gian ngắn để phòng chống lạm dụng và gỡ lỗi. Cơ sở pháp lý: Lợi ích hợp pháp - Điều 6(1)(f) GDPR.
- Nhật ký kiểm toán VIES. Khi bạn xác minh mã số thuế VAT của người mua EU, chúng tôi lưu trữ mã định danh yêu cầu, quốc gia và số được truy vấn, cùng phản hồi, làm bằng chứng theo Điều 31 Quy định Hội đồng (EU) 904/2010. Cơ sở pháp lý: Nghĩa vụ pháp lý - Điều 6(1)(c) GDPR.
Một phần dữ liệu này không phải của bạn mà thuộc về khách hàng nhận hóa đơn của bạn (Điều 14 GDPR). Nguồn gốc là bạn - chúng tôi nhận được chỉ vì bạn nhập vào hóa đơn. Chúng tôi xử lý dữ liệu đó trên cơ sở pháp lý là hợp đồng với bạn và lợi ích hợp pháp của bạn với tư cách là nhà điều hành doanh nghiệp trong việc duy trì hồ sơ hóa đơn tuân thủ thuế.
Chúng tôi không bao giờ bán dữ liệu của bạn. Chúng tôi không chia sẻ dữ liệu với nhà quảng cáo, môi giới hay mạng lưới phân tích, và chúng tôi không thực hiện bất kỳ hoạt động theo dõi, lập hồ sơ hay nhắm mục tiêu hành vi nào.
Bên xử lý phụ
Chúng tôi sử dụng một tập hợp bên xử lý phụ được lựa chọn kỹ lưỡng và có quy mô nhỏ. Không bên nào là mạng quảng cáo hay phân tích. Mỗi bên đều bị ràng buộc bởi Phụ lục Xử lý Dữ liệu và chỉ xử lý dữ liệu tối thiểu cần thiết cho chức năng của mình.
SMTP2GO (email giao dịch)
Khi bạn gửi hóa đơn qua email hoặc nhận thông báo hệ thống, tin nhắn được gửi qua SMTP2GO thông qua vùng EU của họ (mail-eu.smtp2go.com). Dữ liệu được chia sẻ: người gửi, địa chỉ người nhận, tiêu đề, nội dung và bất kỳ tệp PDF đính kèm nào. SMTP2GO Inc. được thành lập tại New Zealand với cơ sở hạ tầng EU; việc chuyển dữ liệu được bảo đảm bởi Điều khoản Hợp đồng Tiêu chuẩn.
Cloudflare Turnstile (bảo vệ chống bot)
Các biểu mẫu /login và /register hiển thị thử thách Cloudflare Turnstile để ngăn chặn lạm dụng tự động. Widget được tải từ challenges.cloudflare.com và trao đổi token có thời hạn ngắn với điểm cuối siteverify của Cloudflare. Dữ liệu được chia sẻ: địa chỉ IP, user-agent và token thử thách dùng một lần. Turnstile không đặt cookie theo dõi và không được dùng cho quảng cáo. Cloudflare, Inc. có trụ sở tại Hoa Kỳ; việc chuyển dữ liệu được bảo đảm bởi Khung Bảo mật Dữ liệu EU-Hoa Kỳ và Điều khoản Hợp đồng Tiêu chuẩn.
bunny.net (CDN phông chữ)
Trang web tải hai phông chữ web từ fonts.bunny.net, một CDN phông chữ thân thiện với quyền riêng tư do BunnyWay d.o.o. vận hành (Slovenia, EU). Dữ liệu được chia sẻ: địa chỉ IP và user-agent của bạn trong thời gian tải phông chữ. Xem tuyên bố quyền riêng tư của họ.
VIES Ủy ban Châu Âu (xác minh VAT)
Khi bạn xác minh mã số thuế VAT của người mua, mã quốc gia và số VAT bạn nhập sẽ được gửi đến Hệ thống Trao đổi Thông tin VAT (VIES) của Ủy ban Châu Âu tại ec.europa.eu. Bên nhận là một cơ quan EU; việc xử lý được điều chỉnh bởi Quy định (EU) 2018/1725.
Lưu trữ và kết xuất PDF (nội bộ)
Ứng dụng chạy trên cơ sở hạ tầng riêng trong Liên minh Châu Âu. Tệp PDF hóa đơn được kết xuất nội bộ bằng mPDF trên máy chủ của chúng tôi. Không có dịch vụ PDF bên thứ ba hay nhà cung cấp lưu trữ trung gian nào tham gia.
Không sử dụng dịch vụ Google. Không có pixel Meta hoặc Facebook. Không có SDK phân tích. Không có dịch vụ báo cáo lỗi bên thứ ba.
Lưu giữ dữ liệu
Dữ liệu tài khoản và hóa đơn được lưu giữ trong thời gian tài khoản của bạn còn hoạt động. Khi xóa tài khoản, tất cả dữ liệu cá nhân thông thường sẽ được xóa trong vòng 30 ngày, trừ trường hợp luật kế toán Lithuania (quy định thời hạn lưu giữ 10 năm đối với hồ sơ hóa đơn) yêu cầu chúng tôi giữ lại các tài liệu cụ thể lâu hơn - trong trường hợp đó, các hồ sơ đó sẽ được chuyển sang kho lưu trữ hạn chế truy cập và chỉ được lưu giữ trong thời gian pháp luật yêu cầu.
Nhật ký máy chủ được lưu giữ tối đa 30 ngày trừ khi cần thiết lâu hơn cho một cuộc điều tra bảo mật đang diễn ra. Các bản ghi nhật ký kiểm toán VIES được lưu giữ ít nhất 10 năm để đáp ứng yêu cầu bằng chứng của Quy định Hội đồng (EU) 904/2010.
Quyền của bạn theo GDPR
Theo GDPR, bạn có các quyền: quyền truy cập (Điều 15), quyền chỉnh sửa (Điều 16), quyền xóa (Điều 17), quyền hạn chế xử lý (Điều 18), quyền chuyển dữ liệu (Điều 20) và quyền phản đối (Điều 21). Trong trường hợp việc xử lý dựa trên sự đồng ý, bạn có thể rút lại sự đồng ý đó bất cứ lúc nào (Điều 7(3)).
Bạn cũng có quyền theo Điều 77 GDPR nộp khiếu nại lên cơ quan giám sát - thông thường là cơ quan tại quốc gia EU/EEA nơi bạn sinh sống, làm việc hoặc nơi xảy ra hành vi vi phạm bị cáo buộc. Vì bên điều hành có trụ sở tại Lithuania, cơ quan chủ trì là Thanh tra Bảo vệ Dữ liệu Nhà nước (State Data Protection Inspectorate of Lithuania, VDAI).
Để có hướng dẫn từng bước về cách thực hiện từng quyền, bao gồm thời hạn và nội dung cần đưa vào yêu cầu, hãy xem trang quyền GDPR chuyên biệt.
Ra quyết định tự động
FreeBillGen không sử dụng ra quyết định tự động hay lập hồ sơ trong phạm vi Điều 22 GDPR. Không có quyết định nào tạo ra hệ quả pháp lý hoặc hệ quả có tác động tương tự đối với bạn được đưa ra chỉ bằng phương tiện tự động. Chúng tôi không chấm điểm, xếp hạng hay lập hồ sơ người dùng phục vụ quảng cáo, tín dụng, gian lận hay bất kỳ mục đích nào khác.
Bảo mật dữ liệu
Các biện pháp kỹ thuật và tổ chức (Điều 32 GDPR):
- Mật khẩu được lưu trữ dưới dạng băm bcrypt; hỗ trợ passkey (WebAuthn).
- Xác thực hai yếu tố TOTP tùy chọn qua bất kỳ ứng dụng xác thực tương thích TOTP nào.
- Token CSRF trên mọi yêu cầu thay đổi trạng thái.
- Sử dụng truy vấn tham số hóa xuyên suốt - không nối chuỗi SQL.
- HTTPS/TLS trong quá trình truyền tải; HTTP Strict Transport Security được kích hoạt.
- Chính sách Bảo mật Nội dung và các header bảo mật khác.
- Nhật ký kiểm toán cấp ứng dụng cho các hành động nhạy cảm về bảo mật.
- Sao lưu cơ sở dữ liệu được mã hóa với quyền truy cập hạn chế.
Chuyển dữ liệu quốc tế
Dữ liệu cá nhân được xử lý trong Liên minh Châu Âu theo mặc định. Hai trong số các bên xử lý phụ được đề cập trong Phần 04 có thể liên quan đến việc chuyển dữ liệu sang nước thứ ba:
- Cloudflare Turnstile - chuyển dữ liệu sang Hoa Kỳ, được bảo đảm bởi Khung Bảo mật Dữ liệu EU-Hoa Kỳ và Điều khoản Hợp đồng Tiêu chuẩn của Ủy ban Châu Âu.
- SMTP2GO - công ty vận hành được thành lập tại New Zealand (quốc gia có quyết định đầy đủ của Ủy ban Châu Âu) và sử dụng cơ sở hạ tầng vùng EU để phân phối. Trong trường hợp có chuyển dữ liệu, chúng được bảo đảm bởi Điều khoản Hợp đồng Tiêu chuẩn.
Không có chuyển dữ liệu nào khác sang nước thứ ba. Nếu điều này thay đổi, chúng tôi sẽ dựa vào cơ chế chuyển dữ liệu phù hợp theo Chương V GDPR và cập nhật chính sách này trước khi việc chuyển dữ liệu mới bắt đầu.
Trẻ em
FreeBillGen là công cụ kinh doanh và không hướng đến trẻ em dưới 16 tuổi. Chúng tôi không cố ý thu thập dữ liệu cá nhân từ trẻ em.
Thay đổi chính sách này
Nếu chúng tôi thực hiện các thay đổi quan trọng, chúng tôi sẽ đăng văn bản cập nhật trên trang này với ngày "cập nhật lần cuối" mới và thông báo cho các tài khoản đang hoạt động qua email. Phiên bản hiện tại được xác định bởi ngày ở đầu trang.
Liên hệ
Câu hỏi về quyền riêng tư và yêu cầu thực hiện quyền: [email protected]. Địa chỉ bưu chính và thông tin đầy đủ về pháp nhân được đăng tải trên trang thông tin công ty.