OUR SECURITY PROMISE
Điều quan trọng nhất, nói trước: chúng tôi không bao giờ xin mật khẩu của quý vị. Chúng tôi chỉ xin được mời làm Quản trị viên (Manager) trên từng kênh. Quý vị vẫn là chủ sở hữu, và gỡ quyền chúng tôi bất cứ lúc nào — không cần báo trước, không cần lý do.
1. Ba cam kết
Your accounts are stored in an encrypted vault; only one assigned person can use them — never shared.
We never change your passwords, never remove your access, never delete old posts; we publish only what you approve and never message customers as you.
Revoke our access at any time, no notice needed. At the end of the contract we hand everything back and delete every credential within 7 days.
2. Chúng tôi bảo vệ bằng cách nào
Nói bằng lời thường, đây là những gì đang chạy trong hệ thống:
| Việc | Cách làm |
|---|---|
| Đường truyền | Mọi trang đều dùng HTTPS. Trình duyệt chỉ được phép tải nội dung từ máy chủ của chúng tôi — có chính sách chặn mã lạ ở mức trình duyệt. |
| Thông tin đăng nhập các kênh của doanh nghiệp | Cất trong két mã hoá AES-256-GCM, khoá nằm ngoài cơ sở dữ liệu. Người xem phải có quyền riêng, và mỗi lần mở két đều bị ghi lại (ai, lúc nào, để làm gì). |
| Đăng nhập ADMIN | Mật khẩu băm bằng bcrypt. Sai 5 lần khoá tài khoản 15 phút. Có đăng nhập 2 lớp bằng mã 6 số đổi mỗi 30 giây, kèm 10 mã dự phòng dùng một lần. |
| Cổng chủ doanh nghiệp | Không dùng mật khẩu. Mỗi lần vào, hệ thống gửi mã 6 số tới số điện thoại hoặc email đã đăng ký. Mã hết hạn sau 10 phút. |
| Ảnh và video quý vị gửi | Hệ thống dựng lại ảnh và xoá sạch dữ liệu ẩn — kể cả toạ độ GPS mà điện thoại tự gắn vào ảnh. Đăng ảnh lên mạng mà quên bước này là vô tình công bố chỗ ở của quý vị. |
| Tệp tải lên | Kiểm tra đuôi tệp, kiểm tra vài byte đầu để chắc đúng loại, quét mã độc khi máy chủ có sẵn công cụ quét, và cất ngoài thư mục web — không ai gọi thẳng tệp của doanh nghiệp khác được. |
| Sao lưu | Tự động nhiều lần mỗi ngày, có mã kiểm tra để biết tệp còn nguyên vẹn. Phục hồi phải gõ chữ xác nhận, và hệ thống tự lưu lại trạng thái cũ trước khi ghi đè. |
| Cách ly với các trang khác cùng máy chủ | Amatay chạy trong tiến trình riêng, chỉ đọc ghi được trong thư mục của mình. Trang khác trên cùng máy chủ có bị chiếm quyền cũng không đọc được dữ liệu của quý vị. |
3. Khi hết hợp đồng
Chúng tôi bàn giao lại đầy đủ và xoá sạch mọi thông tin đăng nhập trong vòng 7 ngày. Hệ thống có ghi sẵn ngày phải xoá cho từng mục trong két, nên việc này không phụ thuộc vào trí nhớ của ai.
4. Nếu có sự cố
Nếu xảy ra việc dữ liệu bị lộ, chúng tôi báo cho quý vị trong vòng 72 giờ kể từ khi phát hiện, nói rõ chuyện gì đã xảy ra, ảnh hưởng tới gì, và chúng tôi đang làm gì. Chúng tôi sẽ không giấu.
5. Báo lỗi bảo mật
Nếu quý vị — hoặc bất kỳ ai — phát hiện lỗ hổng, xin báo về security@amatay.com. Chúng tôi trả lời trong 2 ngày làm việc và không kiện người báo lỗi có thiện chí.