Văn bản này mô tả các biện pháp bảo mật XNK24 đang áp dụng cho website xnk24.com và ứng dụng XNK24 Pro, phần việc của bạn, và cách báo lỗ hổng bảo mật. Cách XNK24 xử lý dữ liệu cá nhân được nói ở Chính sách quyền riêng tư.
Phiên bản 1.1, có hiệu lực từ ngày 28/10/2026.
Chương I. Biện pháp bảo mật
Điều 1. Nguyên tắc: dữ liệu khách hàng không lên mạng
Biện pháp bảo mật mạnh nhất của XNK24 Pro là thiết kế: chứng từ, tờ khai, mã HS và thông tin đối tác của bạn được trợ lý AI xử lý ngay trên máy bạn và không được gửi về XNK24. Vì không giữ dữ liệu này, máy chủ XNK24 không thể làm lộ nó.
Điều 2. Trong ứng dụng XNK24 Pro
- Giao diện ứng dụng không có quyền truy cập Internet. Mọi kết nối mạng do phần lõi của ứng dụng thực hiện, chỉ tới các địa chỉ cố định đã định sẵn.
- Trợ lý AI chạy ngoại tuyến và không có công cụ tìm kiếm web.
- Bản cập nhật ứng dụng, gói dữ liệu và giấy phép đều được ký số. Ứng dụng kiểm tra chữ ký và từ chối bản không khớp.
- Máy được nhận diện bằng mã băm có muối; mã máy gốc không rời khỏi máy.
- Mã đăng nhập được giữ trong phần lõi của ứng dụng, không đưa vào phần giao diện.
- Báo cáo sự cố, số liệu sử dụng và đo hiệu năng chỉ gửi khi bạn bật, và bạn xem trước được đúng nội dung sẽ gửi.
Điều 3. Trên máy chủ XNK24
- Mọi kết nối tới xnk24.com dùng HTTPS (TLS 1.2 trở lên) và đi thẳng tới máy chủ tại Việt Nam.
- Các dịch vụ ứng dụng không mở trực tiếp ra Internet; tường lửa chặn mọi kết nối vào theo mặc định. Quản trị máy chủ chỉ qua SSH bằng khoá, không dùng mật khẩu; trang quản trị cơ sở dữ liệu không truy cập được từ Internet.
- Mật khẩu tài khoản chỉ được lưu dạng băm. Email thành viên không xuất hiện trong dữ liệu trả về công khai.
- Dữ liệu nhạy cảm về vận hành, như tín hiệu toàn vẹn, chỉ truy cập được bằng khoá dịch vụ của máy chủ.
- Thông báo thanh toán từ SePay phải có chữ ký hợp lệ mới được ghi nhận. Nhật ký không ghi nội dung chuyển khoản.
- Tải mô hình AI bị giới hạn tần suất; thành viên mới trong Hỏi đáp có hạn mức bài mỗi ngày.
- Cơ sở dữ liệu tài khoản được sao lưu hằng ngày.
- Chỉ nhân sự được giao việc mới truy cập máy chủ và dữ liệu cá nhân.
Điều 4. Bảo vệ dữ liệu trên máy bạn: phần của mỗi bên
- Phần của XNK24: giữ an toàn cho phần mềm XNK24 Pro theo Điều 2, sửa lỗ hổng theo Chương II, ký số mọi bản cập nhật và không gửi chứng từ của bạn ra khỏi máy.
- Điều bạn cần biết: dữ liệu trong XNK24 Pro không được ứng dụng mã hoá riêng. Cuộc trò chuyện, tài liệu đã đọc, báo giá, bảng làm việc tờ khai và Sổ tay nằm trong các tệp cơ sở dữ liệu thông thường trên máy bạn. Ai mở được ổ đĩa của máy là đọc được các tệp này.
- Phần của bạn: máy tính, tài khoản hệ điều hành và người được dùng máy do bạn hoặc tổ chức của bạn kiểm soát, nên những việc bảo vệ sau do bạn thực hiện. Chúng tôi khuyên:
- bật mã hoá toàn bộ ổ đĩa: FileVault trên macOS, BitLocker hoặc Device Encryption trên Windows;
- đặt mật khẩu đăng nhập máy, khoá màn hình khi rời máy, không dùng chung tài khoản máy tính;
- cập nhật hệ điều hành và XNK24 Pro thường xuyên; chỉ tải XNK24 Pro từ xnk24.com;
- dùng mật khẩu XNK24 riêng, không dùng lại ở dịch vụ khác; không chia sẻ tài khoản;
- khi bán, cho mượn hay thanh lý máy, dùng Cài đặt → Dữ liệu → "Xóa toàn bộ dữ liệu…" rồi xoá sạch ổ đĩa theo hướng dẫn của hệ điều hành;
- không gửi chứng từ hay dữ liệu khách hàng qua Hỗ trợ hay Hỏi đáp.
- Thấy dấu hiệu tài khoản bị người khác dùng (ví dụ ứng dụng báo tài khoản đang hoạt động trên một máy bạn không dùng), hãy đổi mật khẩu và báo ngay cho cto@xnk24.com.
Chương II. Báo lỗ hổng bảo mật
Điều 5. Phạm vi
- Trong phạm vi:
- website xnk24.com và các đường dẫn API của nó (/api, /pb);
- ứng dụng XNK24 Pro phiên bản mới nhất tải từ xnk24.com, trên Windows và macOS;
- tệp tải về từ xnk24.com: bản cài, gói dữ liệu, mô hình AI.
- Ưu tiên các lỗi có thể làm lộ, sửa hoặc xoá dữ liệu của thành viên khác; chiếm quyền tài khoản; thực thi mã từ xa; vượt qua kiểm tra chữ ký của bản cập nhật hay gói dữ liệu; hoặc làm dữ liệu trên máy người dùng bị gửi ra ngoài.
- Ngoài phạm vi:
- hệ thống của Cloudflare, SePay, VietQR, ngân hàng, nhà cung cấp email và các trang web bên thứ ba;
- tấn công từ chối dịch vụ, gửi thư rác, lừa đảo qua mạng xã hội hoặc tiếp cận vật lý;
- kết quả quét tự động không kèm cách tái hiện, hoặc thiếu tiêu đề bảo mật không gây tác động thực tế;
- vấn đề chỉ khai thác được khi kẻ tấn công đã kiểm soát máy của nạn nhân.
- Cách vượt giấy phép, bỏ qua thanh toán hay thay đổi ứng dụng để dùng tính năng trả phí: bạn có thể báo theo Chính sách này, nhưng không được dùng, chia sẻ hay công bố cách làm đó. Việc dịch ngược ứng dụng ngoài mức cần thiết để xác nhận lỗ hổng không thuộc phạm vi được phép (Điều khoản sử dụng).
Điều 6. Cách báo
- Gửi email tới cto@xnk24.com, tiêu đề bắt đầu bằng "[Bảo mật]". Thông tin liên hệ này cũng có tại /.well-known/security.txt.
- Mô tả: lỗi ở đâu (đường dẫn, phiên bản ứng dụng, hệ điều hành), các bước tái hiện, tác động bạn thấy, và cách liên hệ lại với bạn. Ảnh chụp hoặc đoạn mã minh hoạ giúp chúng tôi xử lý nhanh hơn.
- Không gửi kèm dữ liệu cá nhân của người khác mà bạn đã thấy. Chỉ mô tả loại dữ liệu và số lượng.
Điều 7. Khi nghiên cứu, xin bạn
- chỉ dùng tài khoản của chính bạn, hoặc tài khoản thử nghiệm bạn tự tạo;
- dừng ngay khi đã chứng minh được lỗ hổng; không truy cập, tải về, sửa hay xoá dữ liệu của người khác quá mức tối thiểu cần để chứng minh;
- không làm gián đoạn dịch vụ, không chạy công cụ tạo tải lớn, không cài cửa hậu hay giữ quyền truy cập;
- không công bố lỗ hổng trước khi XNK24 sửa xong, hoặc trước 90 ngày kể từ khi báo nếu hai bên chưa thống nhất mốc khác;
- không đòi tiền hay điều kiện để đổi lấy việc không công bố;
- tuân thủ pháp luật Việt Nam.
Điều 8. Cam kết của XNK24 với người báo cáo
- Thời hạn phản hồi: xác nhận đã nhận trong 02 ngày làm việc; đánh giá ban đầu và mức độ nghiêm trọng trong 07 ngày làm việc; cập nhật tiến độ cho bạn ít nhất mỗi 14 ngày cho tới khi sửa xong.
- Sửa lỗi: lỗi nghiêm trọng được ưu tiên sửa trước mọi việc khác; chúng tôi báo cho bạn khi bản sửa được phát hành.
- Ghi nhận: nếu bạn muốn, chúng tôi ghi tên bạn trong phần cảm ơn khi công bố bản sửa.
- Không truy cứu: nếu bạn nghiên cứu thiện chí và tuân thủ Điều 5 và Điều 7, XNK24 coi hoạt động đó là được phép theo Chính sách này, sẽ không khởi kiện hay yêu cầu xử lý bạn vì hoạt động đó, và không khoá tài khoản của bạn vì hoạt động đó. Nếu bên thứ ba khởi kiện vì hoạt động phù hợp Chính sách này, chúng tôi sẽ cho biết bạn đã hành động theo Chính sách.
- Hiện XNK24 chưa có chương trình trả thưởng bằng tiền cho báo cáo lỗ hổng.
Chương III. Xử lý sự cố
Điều 9. Khi có sự cố an ninh
- Khi có sự cố an ninh, XNK24 thực hiện các bước: phát hiện và ghi nhận; khoanh vùng (ví dụ thu hồi khoá, chặn truy cập, tạm dừng dịch vụ bị ảnh hưởng); đánh giá dữ liệu và người dùng bị ảnh hưởng; khắc phục; lập biên bản; rút kinh nghiệm.
- Thông báo:
- cơ quan quản lý nhà nước có thẩm quyền trong 24 giờ kể từ khi phát hiện hệ thống lưu thông tin khách hàng bị tấn công (Luật Bảo vệ quyền lợi người tiêu dùng 2023);
- cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an chậm nhất 72 giờ kể từ khi phát hiện vi phạm dữ liệu cá nhân (Luật Bảo vệ dữ liệu cá nhân 2025);
- lực lượng chuyên trách bảo vệ an ninh mạng theo quy định của Luật An ninh mạng;
- thành viên bị ảnh hưởng, qua email và trong ứng dụng, ngay khi xác định được, kèm hướng dẫn những gì bạn nên làm.
- Khi cần tạm dừng dịch vụ để xử lý sự cố khẩn cấp, chúng tôi thông báo trên xnk24.com và trong ứng dụng ngay khi có thể. Bảo trì có kế hoạch được báo trước theo Điều khoản sử dụng.
Điều 10. Liên hệ
- Báo lỗ hổng và sự cố bảo mật: cto@xnk24.com
- Điện thoại: 0941 221 183
- CÔNG TY TNHH GIẢI PHÁP VIETFLOW, Tầng 6 Tòa nhà Việt Á, số 9 Phố Duy Tân, Phường Cầu Giấy, Thành phố Hà Nội, Việt Nam