Chính sách bảo mật
Có hiệu lực từ 28/09/2026 · Phiên bản 2.0
1. Chúng tôi là ai
Sanlucy Project Management (sau đây gọi là "Sanlucy", "chúng tôi") là ứng dụng quản lý dự án chạy trên trình duyệt tại sanlucy.com, do ông Phạm Hoàng Thái Dương (Việt Nam) phát triển và vận hành. Chính sách này giải thích chúng tôi thu thập gì, dùng vào việc gì, giữ trong bao lâu và bạn có những quyền nào. Chính sách được xây dựng theo Luật An toàn thông tin mạng, Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân của Việt Nam và các nguyên tắc của GDPR (EU) đối với người dùng ở nước ngoài.
Nguyên tắc cốt lõi của chúng tôi: dữ liệu dự án của bạn không nằm trên máy chủ của chúng tôi. Chúng tôi chỉ lưu thông tin tối thiểu để vận hành tài khoản, cấp giấy phép và xử lý thanh toán.
2. Dữ liệu chúng tôi thu thập
2.1 Khi bạn tạo tài khoản
- Email (bắt buộc) — dùng làm tên đăng nhập và gắn giấy phép.
- Họ tên, số điện thoại, quốc gia — để cấp giấy phép, hỗ trợ và đối chiếu thanh toán.
- Mật khẩu (nếu đăng ký bằng email) — chúng tôi chỉ lưu bản băm (PBKDF2, có muối), không lưu mật khẩu gốc và không thể đọc lại được.
- Nếu đăng nhập bằng Google hoặc Microsoft: chúng tôi nhận email, tên hiển thị và một mã định danh (sub/oid) từ nhà cung cấp đó. Chúng tôi không nhận và không lưu mật khẩu của bạn ở Google/Microsoft.
2.2 Khi bạn mua giấy phép
- Mã đơn hàng, số tiền, ngày, kênh thanh toán, trạng thái.
- Với chuyển khoản/QR: nội dung chuyển khoản và thông tin bạn khai để đối chiếu. Chúng tôi không nhìn thấy số tài khoản ngân hàng của bạn ngoài những gì ngân hàng gửi kèm giao dịch.
- Với thẻ/PayPal: toàn bộ thông tin thẻ được nhập trên trang của PayPal; chúng tôi chỉ nhận mã giao dịch, số tiền và email người thanh toán. Chúng tôi không bao giờ nhìn thấy hay lưu số thẻ.
2.3 Dữ liệu kỹ thuật thu tự động
- Địa chỉ IP, loại trình duyệt, thời điểm đăng nhập, quốc gia suy ra từ IP (để chọn ngôn ngữ và phương thức thanh toán mặc định).
- Nhật ký sự kiện tài khoản (đăng nhập, đăng xuất, tạo dự án, đụng giới hạn bản miễn phí) — dùng cho bảo mật và hỗ trợ.
- Số lượng dự án bạn đã tạo (chỉ con số, không phải nội dung).
2.4 Dữ liệu chúng tôi không thu thập
Chúng tôi không thu thập dữ liệu vị trí chính xác, danh bạ, ảnh, file trên thiết bị, và không dùng công cụ theo dõi quảng cáo của bên thứ ba.
3. Dữ liệu dự án của bạn
Nội dung dự án (sơ đồ, nhiệm vụ, ghi chú, tệp đính kèm, ảnh đại diện nốt) được lưu dưới dạng file .pm.json tại một trong hai nơi do bạn chọn:
- Google Drive của bạn — ứng dụng dùng quyền
drive.file, nghĩa là chỉ đọc/ghi được những file do chính ứng dụng tạo hoặc bạn chủ động chọn qua hộp thoại Google Picker; không đọc được các file khác trong Drive của bạn. - Máy tính của bạn — qua hộp thoại mở/lưu file của trình duyệt.
Mọi thao tác đọc/ghi diễn ra trực tiếp giữa trình duyệt của bạn và Google Drive (hoặc ổ đĩa). Nội dung dự án không đi qua và không được lưu trên máy chủ sanlucy.com. Chúng tôi không có khả năng kỹ thuật để đọc dự án của bạn, trừ khi bạn chủ động gửi file cho chúng tôi để được hỗ trợ.
Tệp đính kèm nhỏ được lưu trong bộ nhớ IndexedDB của trình duyệt bạn đang dùng, không đồng bộ lên đâu cả.
Việc bạn sử dụng Google Drive còn chịu Chính sách bảo mật của Google. Việc Sanlucy dùng dữ liệu nhận từ Google API tuân thủ Google API Services User Data Policy, bao gồm các yêu cầu về Giới hạn sử dụng (Limited Use).
4. Mục đích và căn cứ xử lý
| Mục đích | Dữ liệu | Căn cứ |
|---|
| Tạo và duy trì tài khoản, đăng nhập | Email, tên, mật khẩu băm, mã Google/Microsoft | Thực hiện hợp đồng (Điều khoản sử dụng) |
| Cấp và kiểm tra giấy phép (miễn phí, giáo dục, trả phí) | Email, tên miền email, đơn hàng | Thực hiện hợp đồng |
| Xử lý thanh toán, xuất chứng từ, chống gian lận | Đơn hàng, giao dịch, IP | Thực hiện hợp đồng; nghĩa vụ pháp lý (kế toán, thuế) |
| Gửi email giao dịch: xác nhận email, đặt lại mật khẩu, xác nhận thanh toán, nhắc hết hạn | Email, tên, đơn hàng | Thực hiện hợp đồng |
| Hỗ trợ khách hàng | Thông tin bạn cung cấp khi liên hệ | Lợi ích chính đáng; sự đồng ý |
| Bảo mật, phát hiện lạm dụng, giới hạn tốc độ | IP, nhật ký sự kiện | Lợi ích chính đáng |
| Thống kê sử dụng tổng hợp (không định danh) | Số liệu ẩn danh | Lợi ích chính đáng |
Chúng tôi không gửi email tiếp thị nếu bạn không đồng ý, và không bán dữ liệu cá nhân dưới bất kỳ hình thức nào.
5. Chia sẻ cho bên thứ ba
Chúng tôi chỉ chia sẻ dữ liệu với các đơn vị xử lý cần thiết để vận hành dịch vụ, theo hợp đồng và chỉ ở mức tối thiểu:
| Đơn vị | Vai trò | Dữ liệu |
|---|
| Google LLC | Đăng nhập Google, Google Drive | Email, tên; nội dung dự án lưu trong Drive của bạn |
| Microsoft Corporation | Đăng nhập Microsoft | Email, tên, mã định danh |
| PayPal | Thanh toán thẻ và PayPal | Số tiền, mã đơn, email thanh toán |
| Ngân hàng của bạn / VietQR | Chuyển khoản | Nội dung chuyển khoản |
| Brevo (Sendinblue SAS) | Gửi email giao dịch | Email, tên, nội dung email |
| Cloudflare, Inc. | CDN, bảo vệ DDoS, SSL | IP, dữ liệu truy cập kỹ thuật |
| Nhà cung cấp hosting tại Việt Nam | Máy chủ ứng dụng và cơ sở dữ liệu | Dữ liệu tài khoản, đơn hàng |
Ngoài ra chúng tôi có thể tiết lộ dữ liệu khi luật pháp yêu cầu (lệnh của cơ quan có thẩm quyền), để bảo vệ quyền lợi hợp pháp của chúng tôi hoặc an toàn của người khác, hoặc khi chuyển giao hoạt động kinh doanh (bạn sẽ được thông báo trước).
6. Cookie và lưu trữ trên trình duyệt
- Cookie phiên đăng nhập (
sl_auth): bắt buộc để giữ bạn đăng nhập; HttpOnly, Secure, hết hạn sau 30 ngày hoặc khi đăng xuất. - Cookie chống giả mạo yêu cầu cho trang quản trị.
- localStorage / sessionStorage: ngôn ngữ đã chọn, tour đã xem, file gần đây, mã Google tạm thời trong phiên — chỉ nằm trên trình duyệt của bạn.
- IndexedDB: tệp đính kèm dự án và bản nháp — chỉ trên trình duyệt của bạn.
Chúng tôi không dùng cookie quảng cáo hay cookie theo dõi chéo trang. Bạn có thể xoá dữ liệu trình duyệt bất cứ lúc nào; việc này không xoá tài khoản hay dự án trên Drive.
7. Lưu trữ và bảo mật
- Máy chủ và cơ sở dữ liệu đặt tại Việt Nam; kết nối luôn qua HTTPS (TLS 1.2+), có Cloudflare bảo vệ.
- Mật khẩu băm PBKDF2-SHA256 với muối ngẫu nhiên; mã xác nhận và đặt lại mật khẩu chỉ lưu bản băm SHA-256 và hết hạn sau 2 giờ.
- Khoá bí mật (Google, Microsoft, PayPal, SMTP) chỉ nằm ở máy chủ, không bao giờ gửi tới trình duyệt.
- Trang quản trị yêu cầu mật khẩu + mã xác thực gửi qua email, giới hạn địa chỉ IP, ghi nhật ký mọi thao tác.
- Giới hạn tốc độ đăng nhập/đăng ký để chống dò mật khẩu.
Không hệ thống nào an toàn tuyệt đối. Nếu xảy ra sự cố rò rỉ dữ liệu cá nhân, chúng tôi sẽ thông báo cho bạn qua email và cho cơ quan quản lý trong thời hạn luật định (72 giờ theo Nghị định 13/2023).
8. Thời hạn lưu giữ
| Dữ liệu | Thời hạn |
|---|
| Tài khoản | Cho tới khi bạn yêu cầu xoá hoặc 36 tháng không đăng nhập (chúng tôi email nhắc trước 30 ngày) |
| Đơn hàng, giao dịch | 10 năm theo quy định kế toán, thuế |
| Nhật ký sự kiện, IP | 12 tháng |
| Mã xác nhận, đặt lại mật khẩu | 2 giờ |
| Phiên đăng nhập | 30 ngày |
Khi xoá tài khoản, chúng tôi ẩn danh hoá (thay email, tên, điện thoại bằng giá trị vô nghĩa) thay vì xoá vật lý đơn hàng, để giữ đúng nghĩa vụ kế toán. Dự án của bạn trên Google Drive hoặc máy tính không bị ảnh hưởng — chúng nằm ngoài tầm kiểm soát của chúng tôi.
9. Quyền của bạn
Bạn có quyền: (a) truy cập và nhận bản sao dữ liệu cá nhân; (b) chỉnh sửa họ tên, điện thoại, quốc gia ngay trong ứng dụng; (c) xoá tài khoản; (d) rút lại sự đồng ý với các xử lý dựa trên sự đồng ý; (e) hạn chế hoặc phản đối xử lý dựa trên lợi ích chính đáng; (f) chuyển dữ liệu — dự án của bạn đã ở định dạng JSON mở, bạn giữ toàn quyền; (g) khiếu nại tới cơ quan bảo vệ dữ liệu có thẩm quyền.
Gửi yêu cầu tới email ở mục 13. Chúng tôi phản hồi trong 72 giờ và xử lý xong trong tối đa 30 ngày; có thể yêu cầu xác minh danh tính (đăng nhập hoặc trả lời từ đúng email tài khoản). Thu hồi quyền của Sanlucy trên Google Drive: myaccount.google.com/permissions; trên Microsoft: account.microsoft.com/privacy/app-access.
10. Trẻ em
Dịch vụ dành cho người từ 16 tuổi trở lên (13 tuổi trở lên nếu dùng qua tài khoản do trường học cấp và có sự giám sát). Chúng tôi không cố ý thu thập dữ liệu của trẻ em dưới độ tuổi này; nếu phát hiện, chúng tôi sẽ xoá.
11. Chuyển dữ liệu ra nước ngoài
Một số đơn vị xử lý ở mục 5 đặt máy chủ ngoài Việt Nam (Google, Microsoft, PayPal, Brevo, Cloudflare). Các đơn vị này cam kết mức bảo vệ tương đương qua điều khoản hợp đồng tiêu chuẩn và chứng nhận bảo mật của họ. Dữ liệu tài khoản và đơn hàng gốc vẫn lưu tại Việt Nam.
12. Thay đổi chính sách
Khi thay đổi đáng kể, chúng tôi cập nhật ngày hiệu lực ở đầu trang và thông báo qua email hoặc trong ứng dụng ít nhất 7 ngày trước khi áp dụng. Tiếp tục sử dụng sau ngày hiệu lực đồng nghĩa bạn chấp nhận phiên bản mới.
13. Liên hệ
Người kiểm soát dữ liệu: Phạm Hoàng Thái Dương — Sanlucy Project Management
Email: [email protected] · Website: sanlucy.com
Địa chỉ: Thành phố Hồ Chí Minh, Việt Nam.
Privacy Policy
Effective 28 September 2026 · Version 2.0
1. Who we are
Sanlucy Project Management ("Sanlucy", "we") is a browser-based project-management application at sanlucy.com, developed and operated by Pham Hoang Thai Duong (Vietnam). This policy explains what we collect, why, for how long, and the rights you have. It follows Vietnam's Decree 13/2023/ND-CP on personal data protection and the principles of the EU GDPR for users outside Vietnam.
Our core principle: your project data is not stored on our servers. We keep only the minimum needed to run your account, issue licenses and process payments.
2. Data we collect
2.1 When you create an account
- Email (required) — your sign-in name and the key your license is tied to.
- Full name, phone number, country — for licensing, support and payment reconciliation.
- Password (email sign-up only) — stored as a salted PBKDF2 hash; we never store or can recover the plain password.
- With Google or Microsoft sign-in we receive your email, display name and a provider identifier (sub/oid). We never receive or store your Google/Microsoft password.
2.2 When you buy a license
- Order code, amount, date, channel and status.
- Bank transfer/QR: the transfer reference and details you provide for reconciliation.
- Card/PayPal: all card details are entered on PayPal's own pages; we receive only a transaction id, amount and payer email. We never see or store card numbers.
2.3 Technical data collected automatically
- IP address, browser type, sign-in times, and the country inferred from your IP (to pick a default language and payment method).
- Account event logs (sign-in, sign-out, project created, free-plan limit reached) for security and support.
- The number of projects you have created (a count only, never the content).
2.4 What we do not collect
No precise location, contacts, photos or device files, and no third-party advertising trackers.
3. Your project data
Project content (mind map, tasks, notes, attachments, node avatars) is stored as a .pm.json file in one of two places you choose:
- Your Google Drive — the app uses the
drive.file scope, so it can only read/write files it created itself or that you explicitly pick through the Google Picker; it cannot see your other Drive files. - Your computer — through the browser's open/save dialogs.
All reads and writes happen directly between your browser and Google Drive (or your disk). Project content never passes through or is stored on sanlucy.com servers. We have no technical ability to read your projects unless you send us a file for support.
Small attachments are kept in your browser's IndexedDB and are not synchronised anywhere.
Your use of Google Drive is also governed by the Google Privacy Policy. Sanlucy's use of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements.
4. Purposes and legal bases
| Purpose | Data | Basis |
|---|
| Create and maintain your account, sign-in | Email, name, password hash, Google/Microsoft id | Performance of a contract (Terms of Service) |
| Issue and verify licenses (free, education, paid) | Email, email domain, orders | Contract |
| Process payments, issue receipts, prevent fraud | Orders, transactions, IP | Contract; legal obligation (accounting, tax) |
| Transactional email: verification, password reset, payment confirmation, expiry reminders | Email, name, orders | Contract |
| Customer support | What you send us | Legitimate interest; consent |
| Security, abuse detection, rate limiting | IP, event logs | Legitimate interest |
| Aggregate usage statistics (non-identifying) | Anonymous counts | Legitimate interest |
We do not send marketing email without your consent and never sell personal data.
5. Sharing with third parties
We share data only with processors required to run the service, under contract and to the minimum extent:
| Provider | Role | Data |
|---|
| Google LLC | Google sign-in, Google Drive | Email, name; project content stays in your Drive |
| Microsoft Corporation | Microsoft sign-in | Email, name, identifier |
| PayPal | Card and PayPal payments | Amount, order code, payer email |
| Your bank / VietQR | Bank transfers | Transfer reference |
| Brevo (Sendinblue SAS) | Transactional email | Email, name, message content |
| Cloudflare, Inc. | CDN, DDoS protection, TLS | IP, technical access data |
| Hosting provider in Vietnam | Application and database servers | Account and order data |
We may also disclose data when required by law, to protect our legal rights or others' safety, or in a business transfer (you will be notified in advance).
6. Cookies and browser storage
- Session cookie (
sl_auth): strictly necessary to keep you signed in; HttpOnly, Secure, expires after 30 days or on sign-out. - CSRF cookie for the admin area.
- localStorage / sessionStorage: chosen language, tour state, recent files, a short-lived Google token — on your browser only.
- IndexedDB: project attachments and drafts — on your browser only.
No advertising or cross-site tracking cookies. Clearing browser data does not delete your account or your Drive projects.
7. Storage and security
- Servers and database located in Vietnam; all connections over HTTPS (TLS 1.2+) behind Cloudflare.
- Passwords hashed with PBKDF2-SHA256 and random salts; verification and reset tokens stored only as SHA-256 hashes, expiring after 2 hours.
- Secrets (Google, Microsoft, PayPal, SMTP) live on the server only and are never sent to the browser.
- Admin area requires password + emailed one-time code, optional IP allow-list, and full audit logging.
- Rate limits on sign-in and sign-up against credential stuffing.
No system is perfectly secure. If a personal-data breach occurs we will notify affected users by email and the competent authority within the legally required period (72 hours under Decree 13/2023).
8. Retention
| Data | Period |
|---|
| Account | Until you request deletion, or after 36 months without sign-in (we email you 30 days before) |
| Orders and transactions | 10 years (accounting and tax law) |
| Event logs, IP addresses | 12 months |
| Verification / reset tokens | 2 hours |
| Sign-in sessions | 30 days |
On account deletion we anonymise (replace email, name and phone with meaningless values) rather than physically delete orders, to meet accounting obligations. Your projects on Google Drive or your computer are unaffected — they are outside our control.
9. Your rights
You may: (a) access and obtain a copy of your personal data; (b) correct your name, phone and country directly in the app; (c) delete your account; (d) withdraw consent where processing relies on it; (e) restrict or object to processing based on legitimate interest; (f) port your data — your projects are already in open JSON and fully yours; (g) complain to a competent data-protection authority.
Send requests to the address in section 13. We acknowledge within 72 hours and complete within 30 days; we may ask you to verify identity (sign in, or reply from the account email). Revoke Sanlucy's Google Drive access at myaccount.google.com/permissions and Microsoft access at account.microsoft.com/privacy/app-access.
10. Children
The service is for people aged 16 or over (13 or over when using a school-issued account under supervision). We do not knowingly collect data from younger children and will delete it if discovered.
11. International transfers
Some processors in section 5 operate outside Vietnam (Google, Microsoft, PayPal, Brevo, Cloudflare). They commit to equivalent protection through standard contractual clauses and their security certifications. Primary account and order data remain in Vietnam.
12. Changes
For material changes we update the effective date above and notify you by email or in-app at least 7 days before they apply. Continued use after the effective date means you accept the new version.
13. Contact
Data controller: Pham Hoang Thai Duong — Sanlucy Project Management
Email: [email protected] · Website: sanlucy.com
Address: Ho Chi Minh City, Vietnam.