PHÁP LÝ & TUÂN THỦ
Chính sách Quyền riêng tư & Bảo vệ Dữ liệu Amazon SP-API
Cam kết tuân thủ Amazon SP-API: SunCroix là nền tảng phần mềm đa khách thuê (Multi-Tenant) độc lập, kết nối chính thức qua Amazon Selling Partner API (SP-API). Chúng tôi tuân thủ nghiêm ngặt Chính sách Bảo vệ Dữ liệu (DPP) và Chính sách Sử dụng Hợp lý (AUP) của Amazon. Toàn bộ hệ thống được xây dựng trên triết lý Non-PII (Tuyệt đối không lưu trữ thông tin nhận diện cá nhân của người mua hàng).
1. Giới thiệu & Phạm vi áp dụng
Chính sách này giải thích chi tiết cách thức SunCroix thu thập, lưu trữ, xử lý và bảo vệ dữ liệu khi các Nhà bán hàng Amazon (Selling Partners) cấp quyền kết nối tài khoản. Chính sách áp dụng cho mọi đối tác sử dụng nền tảng, bao gồm các thương hiệu FBA quy mô lớn, doanh nghiệp sản xuất xuất khẩu và tổ chức thương mại điện tử đa thực thể trên toàn cầu.
2. Dữ liệu Amazon được tiếp cận & thu thập
Tuân theo nguyên tắc quyền tối thiểu (Least Privilege), SunCroix chỉ trích xuất đúng các trường dữ liệu phục vụ đối soát tài chính và rà soát kho FBA:
- Định danh cửa hàng: Mã người bán (Merchant ID), mã thị trường (Marketplace IDs), tên hiển thị của gian hàng và chứng thư xác thực OAuth 2.0.
- Dữ liệu tài chính & đối soát (Settlement Data): Tệp báo cáo quyết toán định kỳ (Settlement Reports), các danh mục biểu phí sàn, phí lưu kho và hoàn tất FBA, chi phí quảng cáo PPC phân bổ, và các giao dịch hoàn tiền.
- Dữ liệu kho vận FBA: Lịch sử luân chuyển nhập kho, số lượng hàng phát sinh hư hại hoặc thất lạc tại trung tâm hoàn tất đơn hàng, và danh sách sản phẩm hoàn về chưa được ghi nhận bồi hoàn.
Cam kết tuyệt đối không thu thập PII: SunCroix KHÔNG thu thập, KHÔNG yêu cầu và KHÔNG lưu trữ thông tin cá nhân của người mua hàng Amazon (như họ tên khách hàng, số điện thoại, địa chỉ nhà hay thẻ thanh toán). Mọi báo cáo tài chính đều được xử lý ẩn danh dựa trên mã đơn hàng Amazon.
3. Mục đích xử lý & Cách ly dữ liệu đa khách thuê (Tenant Isolation)
Dữ liệu chỉ được dùng cho mục đích duy nhất là phân tích lãi ròng và tạo báo cáo thu hồi tiền hoàn FBA theo yêu cầu của Seller.
Tuyệt đối không gộp hoặc chia sẻ chéo dữ liệu giữa các doanh nghiệp: Tuân thủ Amazon AUP, SunCroix áp dụng cơ chế phân quyền bảo mật cấp dòng (Row-Level Security - RLS). Dữ liệu của từng doanh nghiệp được phân vùng cách ly độc lập tuyệt đối và không bao giờ bị sử dụng để so sánh đối chuẩn cạnh tranh, thuật toán tối ưu giá hay phục vụ phân tích cho bất kỳ bên thứ ba nào. Mỗi tài khoản là một không gian dữ liệu khép kín.
4. Tiêu chuẩn An toàn thông tin (Amazon DPP)
- Mã hóa lưu trữ (At-Rest): Toàn bộ cơ sở dữ liệu và bản sao lưu được mã hóa theo tiêu chuẩn AES-256 với khóa KMS độc lập.
- Mã hóa truyền tải (In-Transit): Bắt buộc giao thức TLS 1.2+ và TLS 1.3 cho toàn bộ luồng API và kết nối người dùng.
- Bảo vệ Token bằng Vault: Mã xác thực Refresh Token được mã hóa đa tầng theo chuẩn Envelope Encryption và quản trị riêng biệt bằng HashiCorp Vault. Không bao giờ xuất hiện trong log hệ thống.
- Xác thực đa yếu tố (MFA): Bắt buộc áp dụng cho toàn bộ nhân sự kỹ thuật và quản trị hạ tầng hệ thống SunCroix.
5. Chính sách tiêu hủy dữ liệu trong vòng 30 ngày (Amazon 30-Day Mandate)
Khi nhà bán hàng thu hồi ủy quyền trong Seller Central hoặc yêu cầu ngắt kết nối, SunCroix tự động kích hoạt quy trình xóa dữ liệu. Trong vòng 30 ngày dương lịch, toàn bộ thông tin tài khoản Amazon, báo cáo tài chính và dữ liệu tạm sẽ bị xóa vĩnh viễn khỏi toàn bộ hệ thống cơ sở dữ liệu và bản sao lưu.
6. Cam kết không thương mại hóa dữ liệu
SunCroix cam kết KHÔNG BAO GIỜ bán, cho thuê, thương mại hóa hay cung cấp số liệu bán hàng của đối tác cho bất kỳ đơn vị quảng cáo, môi giới dữ liệu hay bên thứ ba nào khác.
7. Liên hệ Bộ phận Tuân thủ & An toàn Dữ liệu
Mọi thắc mắc hoặc yêu cầu kiểm toán dữ liệu, vui lòng liên hệ trực tiếp:
- Email bảo mật: security@suncroix.com / support@suncroix.com
- Cam kết phản hồi: Trong vòng 24 giờ làm việc.