Chính sách bảo mật dữ liệu cá nhân
Cam kết bảo vệ quyền riêng tư của bạn
Cập nhật lần cuối: 09/10/2026
1 Giới thiệu
BestMarathon.VN ("Chúng tôi", "của chúng tôi") cam kết bảo vệ quyền riêng tư và dữ liệu cá nhân của người dùng ("Bạn", "của bạn"). Chính sách này giải thích cách chúng tôi thu thập, sử dụng, lưu trữ và bảo vệ thông tin cá nhân của bạn khi sử dụng dịch vụ tại website my.bestmarathon.vn và ứng dụng di động Best Marathon trên Android và iOS (gọi chung là "Dịch vụ").
Bằng việc sử dụng dịch vụ của chúng tôi, bạn đồng ý với các điều khoản trong Chính sách bảo mật này.
2 Thông tin chúng tôi thu thập
2.1. Thông tin cá nhân cơ bản
- Họ và tên
- Số điện thoại
- Địa chỉ email
- Ngày sinh, giới tính
- Địa chỉ liên hệ
- Tên câu lạc bộ chạy bộ (nếu có)
2.2. Dữ liệu nhạy cảm (eKYC - Xác minh danh tính)
Khi bạn thực hiện xác minh danh tính (eKYC), chúng tôi thu thập:
- Ảnh giấy tờ tùy thân có ảnh - Mặt trước
- Ảnh selfie khuôn mặt của bạn
Việc cung cấp giấy tờ tùy thân là hoàn toàn tự nguyện và chỉ được thực hiện khi bạn đồng ý rõ ràng.
2.3. Dữ liệu từ Strava (kết nối tự nguyện)
Khi bạn chủ động kết nối tài khoản Strava, chúng tôi thu thập thông qua Strava API:
- Thông tin hồ sơ Strava: Tên, ảnh đại diện, thành phố
- Hoạt động chạy bộ: Quãng đường, thời gian, tốc độ, nhịp tim, tuyến đường (GPS polyline)
- Thống kê: Tổng km, số buổi chạy, kỷ lục cá nhân
Kết nối Strava là hoàn toàn tự nguyện và miễn phí. Bạn có thể ngắt kết nối bất kỳ lúc nào trong phần Cài đặt. Khi ngắt, chúng tôi thu hồi quyền truy cập ở phía Strava và xóa cả token lẫn toàn bộ hoạt động đã đồng bộ.
- Dữ liệu hoạt động thô của bạn (tên bài chạy, bản đồ GPS, pace, nhịp tim) chỉ hiển thị cho chính bạn. Người dùng khác không xem được.
- Trang kết quả công khai của giải chỉ hiện số liệu tổng hợp (quãng đường, thời gian hoàn thành) của những người đã tự nguyện đăng ký giải đó.
- Ban tổ chức chỉ xem bài chạy bạn nộp cho giải, và chỉ nhằm xác minh kết quả, chống gian lận.
- Chúng tôi không bán, không chia sẻ, không cấp phép dữ liệu Strava cho bên thứ ba, và không dùng để phân tích hay huấn luyện mô hình.
- Token truy cập Strava được mã hóa khi lưu trữ.
- Dữ liệu hoạt động gốc chỉ được giữ như một bộ nhớ đệm tối đa 7 ngày rồi tự động xóa. Chúng tôi chỉ giữ lại kết quả thi đấu do chính chúng tôi tính ra.
- Dữ liệu của bạn tại Strava vẫn thuộc về bạn và tuân theo Chính sách bảo mật của Strava. Bạn có thể xem và thu hồi quyền truy cập của chúng tôi bất kỳ lúc nào tại Cài đặt ứng dụng của Strava.
2.4. Dữ liệu từ Garmin Connect™ (kết nối tự nguyện)
Khi bạn chủ động kết nối tài khoản Garmin Connect™, Garmin gửi sang chúng tôi các buổi tập bạn ghi bằng thiết bị Garmin. Chúng tôi nhận:
- Số tổng hợp của buổi tập: môn, thời điểm, quãng đường, thời gian, tốc độ, độ cao, calo, nhịp tim trung bình
- Chi tiết theo từng điểm: toạ độ GPS, nhịp tim, guồng chân, độ cao, tốc độ
- Thông tin thiết bị: tên mẫu thiết bị Garmin đã ghi buổi tập
- Mã người dùng Garmin và mã truy cập do Garmin cấp (để nhận đúng buổi tập của bạn)
Chúng tôi dùng dữ liệu này để:
- Hiện lại lịch sử tập luyện và thống kê cho chính bạn.
- Ghi nhận kết quả vào giải chạy ảo mà bạn đã đăng ký.
- Xác minh kết quả trước khi trao huy chương: kiểm tra lộ trình, tốc độ, độ cao có hợp lý không.
Ai xem được, và chúng tôi KHÔNG làm gì:
- Dữ liệu chi tiết (bản đồ GPS, nhịp tim, tốc độ từng km) chỉ hiển thị cho chính bạn và ban tổ chức giải (chỉ để xác minh kết quả).
- Bảng kết quả giải chỉ hiện quãng đường và thời gian hoàn thành của người đã tự đăng ký giải đó, kèm ghi nguồn «Garmin [tên thiết bị]».
- Chúng tôi KHÔNG bán, KHÔNG cho thuê, KHÔNG cấp phép, KHÔNG chia sẻ dữ liệu Garmin cho bất kỳ bên thứ ba nào.
- Dữ liệu Garmin KHÔNG được xử lý bởi bất kỳ hệ thống trí tuệ nhân tạo (AI) nào, kể cả dịch vụ AI của bên thứ ba, và không dùng để huấn luyện, đánh giá hay vận hành mô hình AI. Trợ lý trò chuyện AI trên trang (mục 2.7) không truy cập dữ liệu Garmin.
- Không dùng dữ liệu Garmin để quảng cáo.
Lưu trữ và xử lý:
- Garmin chỉ gửi dữ liệu tới máy chủ do VBM sở hữu và quản lý, đặt tại Việt Nam. Dữ liệu chỉ được xử lý trên máy chủ này.
- Đường truyền đi qua mạng bảo mật Cloudflare (mã hoá HTTPS); Cloudflare chỉ chuyển tiếp, không sử dụng dữ liệu.
- Mã truy cập được mã hoá khi lưu.
- Bản tin gốc Garmin gửi sang: tự động xoá sau 30 ngày. Buổi tập và kết quả giải: giữ khi tài khoản còn hoạt động.
- Khi bạn ngắt kết nối, chúng tôi thu hồi quyền phía Garmin và ngừng nhận dữ liệu mới. Buổi tập đã nhận vẫn nằm trong lịch sử của bạn để giữ kết quả giải — bạn có thể yêu cầu xoá bất kỳ lúc nào qua mục Hỗ trợ.
- Khi bạn xoá tài khoản, toàn bộ dữ liệu Garmin bị xoá vĩnh viễn.
Bạn ngắt kết nối bất kỳ lúc nào tại mục «Kết nối dữ liệu», hoặc trong ứng dụng Garmin Connect™. Dữ liệu của bạn tại Garmin tuân theo Chính sách bảo mật Garmin Connect.
English summary — Garmin data
Collected (only after you connect Garmin Connect™): activity summaries and activity details (GPS points, heart rate, cadence, elevation, speed), the Garmin device model, your Garmin user ID and access tokens.
Used to show you your own training history, to record results in virtual races you have entered, and to verify those results before medals are awarded.
Shared with third parties: none. We do not sell, rent, license or disclose Garmin data to any third party. Garmin data is not processed by any artificial intelligence system, including third-party AI services, and is not used to train, evaluate or operate AI models.
Processed and stored only on servers owned and controlled by VBM in Vietnam. Traffic passes through Cloudflare (HTTPS) as a network provider only. Access tokens are encrypted at rest. Raw notifications are deleted after 30 days; activities and results are kept while your account is active.
Your control: when you disconnect Garmin we revoke our access and stop receiving new data; activities already received stay in your history (to preserve race results) until you ask us to delete them via Support. Deleting your account permanently deletes all Garmin data.
Displayed: detailed data is visible only to you (and race organisers for result verification); race results show distance and finish time with a "Garmin [device model]" attribution.
2.5. Dữ liệu từ Suunto và COROS (kết nối tự nguyện)
Áp dụng như mục 2.4: chúng tôi nhận buổi tập (số tổng hợp, lộ trình GPS, nhịp tim, tên thiết bị) khi bạn chủ động kết nối; dùng để hiện lịch sử tập cho chính bạn, ghi kết quả giải bạn đã đăng ký và xác minh kết quả. Không bán, không chia sẻ cho bên thứ ba, không dùng cho AI hay quảng cáo. Bản tin gốc xoá sau 30 ngày; ngắt kết nối là thu hồi quyền và ngừng nhận dữ liệu mới, xoá tài khoản là xoá toàn bộ.
2.6. Quyền truy cập thiết bị (Ứng dụng di động)
Ứng dụng Best Marathon trên Android/iOS có thể yêu cầu các quyền sau:
- Vị trí (Location): Hiển thị bản đồ câu lạc bộ chạy bộ gần bạn. Chúng tôi KHÔNG theo dõi vị trí nền.
- Camera: Chụp ảnh đại diện và ảnh xác minh danh tính (eKYC).
- Thư viện ảnh: Chọn ảnh đại diện từ thư viện.
- Internet: Kết nối máy chủ để đồng bộ dữ liệu.
- Thông báo đẩy (Push Notification): Gửi thông báo về streak, thử thách, cập nhật hệ thống.
Mọi quyền đều được hỏi xác nhận trước khi truy cập. Bạn có thể từ chối hoặc thu hồi quyền bất kỳ lúc nào trong Cài đặt thiết bị.
2.7. Dữ liệu trò chuyện AI (Chat AI)
- Tin nhắn bạn gửi trong tính năng Chat AI được xử lý bởi hệ thống trí tuệ nhân tạo.
- Nội dung trả lời là do AI tạo ra và có thể không chính xác.
- Lịch sử chat được lưu theo phiên đăng nhập, phục vụ cải thiện chất lượng trả lời.
- Bạn có thể xóa lịch sử chat bằng cách tạo cuộc trò chuyện mới.
3 Mục đích sử dụng dữ liệu
| Loại dữ liệu | Mục đích |
|---|---|
| Họ tên, email, SĐT | Tạo tài khoản, liên hệ, thông báo dịch vụ |
| Ngày sinh, giới tính | Xác minh thông tin VĐV, phân loại hạng tuổi |
| Địa chỉ | Gửi quà, chứng chỉ, sản phẩm đặt mua |
| Dữ liệu Strava (hoạt động, GPS) | Tính streak chạy bộ, xếp hạng, thống kê, tham gia thử thách |
| Vị trí thiết bị | Hiển thị bản đồ câu lạc bộ gần bạn (không theo dõi nền) |
| Ảnh giấy tờ tùy thân | Xác minh danh tính (eKYC) - Đảm bảo bạn là chủ sở hữu hợp pháp của hồ sơ VĐV, ngăn chặn gian lận và mạo danh thành tích |
| Ảnh selfie | So khớp khuôn mặt với giấy tờ tùy thân để xác nhận bạn là người thật |
4 Lưu trữ và bảo mật dữ liệu
Biện pháp bảo mật
- Mã hóa SSL/TLS cho mọi kết nối
- Mã hóa dữ liệu khi lưu trữ
- Phân quyền truy cập nghiêm ngặt
- Giám sát và ghi log truy cập
- Sao lưu định kỳ
Thời gian lưu trữ
- Thông tin cơ bản: Lưu trữ trong suốt thời gian tài khoản hoạt động
- Ảnh giấy tờ tùy thân: Lưu trữ tối đa 12 tháng sau khi xác minh thành công, sau đó tự động xóa
- Ảnh selfie: Xóa sau khi hoàn tất xác minh
- Dữ liệu Strava (bản gốc): Chỉ được lưu tạm tối đa 7 ngày, sau đó hệ thống tự động xóa hằng ngày, theo đúng Chính sách API của Strava. Chúng tôi không giữ kho lưu trữ lâu dài dữ liệu Strava của bạn
- Kết quả thi đấu của bạn: Quãng đường, thời gian hoàn thành, kết luận hợp lệ là hồ sơ do chúng tôi lập và được giữ lại như bằng chứng thành tích. Bản sao dữ liệu gốc từ Strava thì không được giữ
- Khi bạn xóa một hoạt động trên Strava: Chúng tôi xóa bản sao tương ứng ở phía chúng tôi trong vòng 48 giờ
- Khi bạn ngắt kết nối Strava: Toàn bộ hoạt động đã đồng bộ và token truy cập bị xóa ngay lập tức, đồng thời chúng tôi thu hồi quyền truy cập ở phía Strava
- Tài khoản Strava không hoạt động: Nếu bạn không ghi nhận hoạt động nào trong thời gian dài, chúng tôi tự động thu hồi quyền truy cập Strava và xóa dữ liệu đã đồng bộ. Bạn có thể kết nối lại bất kỳ lúc nào
- Dữ liệu xóa tài khoản: Khi bạn xóa tài khoản, toàn bộ dữ liệu cá nhân được xóa trong vòng 30 ngày
Lưu ý: Dữ liệu được lưu trữ trên máy chủ đặt tại Việt Nam, tuân thủ quy định pháp luật Việt Nam về bảo vệ dữ liệu cá nhân.
5 Chia sẻ dữ liệu với bên thứ ba
Chúng tôi KHÔNG bán, cho thuê hoặc chia sẻ dữ liệu cá nhân của bạn cho bên thứ ba vì mục đích thương mại.
Chúng tôi chỉ chia sẻ dữ liệu trong các trường hợp sau:
Strava API
Khi bạn kết nối Strava, chúng tôi truy cập dữ liệu hoạt động qua Strava API. Chúng tôi KHÔNG chia sẻ dữ liệu của bạn ngược lại cho Strava.
Google Maps
Hiển thị bản đồ câu lạc bộ. Google có thể thu thập dữ liệu theo Chính sách của Google.
Đối tác dịch vụ xác minh
Sử dụng dịch vụ so khớp khuôn mặt (Face Verification) để xác minh danh tính.
Ban Tổ Chức giải chạy
Khi bạn đăng ký dịch vụ liên quan đến giải chạy cụ thể.
Firebase Cloud Messaging (Google)
Gửi thông báo đẩy (push notification) về streak, thử thách, cập nhật. Google có thể xử lý mã token thiết bị theo Chính sách Firebase.
Google ML Kit
Nhận diện khuôn mặt xử lý ngay trên thiết bị của bạn. Ảnh không được gửi về Google.
Yêu cầu pháp lý
Khi có yêu cầu từ cơ quan có thẩm quyền theo quy định pháp luật.
6 Quyền của bạn
Theo quy định pháp luật về bảo vệ dữ liệu cá nhân, bạn có các quyền sau:
Quyền truy cập
Yêu cầu xem dữ liệu cá nhân chúng tôi đang lưu trữ về bạn.
Quyền chỉnh sửa
Yêu cầu cập nhật, sửa đổi thông tin không chính xác.
Quyền xóa
Yêu cầu xóa dữ liệu cá nhân (trong phạm vi cho phép).
Quyền rút lại đồng ý
Thu hồi sự đồng ý đã cấp trước đó về việc xử lý dữ liệu.
Quyền hạn chế xử lý
Yêu cầu giới hạn việc xử lý dữ liệu trong một số trường hợp.
Quyền khiếu nại
Khiếu nại đến cơ quan có thẩm quyền nếu quyền lợi bị vi phạm.
Quyền xóa tài khoản
Bạn có thể xóa tài khoản và toàn bộ dữ liệu cá nhân bằng một trong các cách sau:
- Trong ứng dụng: Cài đặt → Quản lý tài khoản → Xóa tài khoản vĩnh viễn
- Trên website: my.bestmarathon.vn/xoa-tai-khoan
- Gửi email yêu cầu tới [email protected]
Toàn bộ dữ liệu cá nhân, ảnh KYC, lịch sử hoạt động sẽ bị xóa vĩnh viễn.
Để thực hiện các quyền trên, vui lòng liên hệ: [email protected]
7 Cập nhật chính sách
Chúng tôi có thể cập nhật Chính sách bảo mật này theo thời gian. Mọi thay đổi quan trọng sẽ được thông báo qua email hoặc thông báo trên website. Việc tiếp tục sử dụng dịch vụ sau khi chính sách được cập nhật đồng nghĩa với việc bạn chấp nhận các thay đổi đó.
8 Liên hệ
Nếu bạn có bất kỳ câu hỏi nào về Chính sách bảo mật này, vui lòng liên hệ: