Chính sách bảo mật MONA Pay

1. MONA Pay là gì và ai chịu trách nhiệm

MONA Pay là cổng thanh toán và API ngân hàng của The MONA Group, giúp doanh nghiệp Việt Nam nhận và xác nhận tiền chuyển khoản theo thời gian thực qua tài khoản ảo (VA), VietQR, webhook và Telegram — thiết kế để cả lập trình viên lẫn AI agent tích hợp trong vài phút. Đơn vị vận hành là The MONA Group (từ năm 2016), liên hệ qua 1900 636 648 hoặc [email protected].

2. Dữ liệu tụi em thu thập

• Thông tin tài khoản MONA Pay: tên đăng nhập, mật khẩu (lưu dạng băm, không đọc lại được), tên hiển thị, thông tin liên hệ anh chị tự nhập.
• Thông tin nối ngân hàng: số tài khoản, tên chủ tài khoản, số điện thoại nhận OTP, đầu số tài khoản ảo, mã yêu cầu đăng ký do ngân hàng trả về. Mã OTP chỉ đi qua để xác thực với ngân hàng, không lưu.
• Thông báo giao dịch: số tiền, thời gian, nội dung chuyển khoản, số tài khoản/tài khoản ảo nhận, mã giao dịch, tên người chuyển nếu ngân hàng gửi kèm. Đây là dữ liệu cần để khớp đơn và báo cho anh chị.
• Cấu hình anh chị tự đặt: địa chỉ webhook, khoá ký HMAC, nhóm Telegram, mẫu tin nhắn, API key (lưu dạng băm).
• Nhật ký kỹ thuật: lịch sử gửi webhook (mã HTTP, thời gian phản hồi, nhãn lỗi), địa chỉ IP và trình duyệt khi đăng nhập, để hỗ trợ và chống lạm dụng.

3. Dữ liệu tụi em không có

MONA Pay không giữ tiền của anh chị hay của khách anh chị, không thực hiện lệnh chuyển tiền, không truy cập số dư hay sao kê ngoài các thông báo giao dịch đến tài khoản đã nối. Mã OTP, mật khẩu ngân hàng, thông tin thẻ không đi qua và không lưu ở MONA Pay.

4. Mục đích sử dụng

• Nhận thông báo từ ngân hàng, khớp với tài khoản ảo hoặc mã QR của anh chị, bắn webhook và tin Telegram theo cấu hình.
• Hiển thị giao dịch, lịch sử gửi, thống kê trên dashboard để anh chị đối soát.
• Hỗ trợ kỹ thuật qua tổng đài 1900 636 648 khi anh chị yêu cầu.
• Phát hiện và chặn hành vi bất thường (bắn API dồn dập, tạo tài khoản hàng loạt) theo giới hạn fair-use.

Tụi em không bán, không cho thuê, không dùng dữ liệu giao dịch của anh chị để quảng cáo hay chia sẻ cho bên thứ ba ngoài các bên nêu ở mục 5.

5. Bên thứ ba có tiếp xúc dữ liệu

• Các ngân hàng anh chị nối (danh sách tại trang ngân hàng hỗ trợ): nguồn phát thông báo giao dịch, xử lý theo quy định của từng ngân hàng.
• Telegram: khi anh chị bật thông báo Telegram, nội dung tin (số tiền, nội dung, thời gian) được gửi tới nhóm anh chị chỉ định qua máy chủ Telegram.
• Máy chủ nhận webhook của anh chị: tụi em gửi dữ liệu giao dịch tới địa chỉ anh chị cấu hình; bảo mật phía đó do anh chị quản lý (tụi em ký HMAC-SHA256 để anh chị xác minh).
• Hạ tầng của MONA: máy chủ đặt tại Việt Nam do The MONA Group vận hành, kết nối mã hoá HTTPS.

6. Thời gian lưu

Dữ liệu giao dịch và nhật ký webhook lưu trong suốt thời gian tài khoản còn hoạt động để anh chị đối soát và gửi lại khi cần. Khi anh chị yêu cầu đóng tài khoản, tụi em ngắt kết nối ngân hàng, xoá cấu hình webhook, Telegram, API key và xoá dữ liệu giao dịch trong vòng 30 ngày, trừ phần phải giữ theo yêu cầu của pháp luật hoặc để xử lý tranh chấp đang mở.

7. Quyền của anh chị

• Xem, tải xuống (CSV) và đối chiếu toàn bộ giao dịch trên dashboard.
• Sửa thông tin tài khoản, đổi mật khẩu, bật xác thực 2 lớp, thu hồi API key bất kỳ lúc nào.
• Ngắt kết nối ngân hàng, xoá cấu hình, hoặc yêu cầu đóng tài khoản và xoá dữ liệu bằng cách gọi 1900 636 648 hoặc gửi email từ địa chỉ đã đăng ký tới [email protected].

8. Bảo mật kỹ thuật

Mật khẩu và API key lưu dạng băm. Webhook ký HMAC-SHA256 kèm dấu thời gian, từ chối yêu cầu lệch quá 5 phút để chống phát lại. Toàn bộ kết nối qua HTTPS. Máy chủ chạy dịch vụ bằng tài khoản không đặc quyền, tường lửa chỉ mở cổng cần thiết. Khi phát hiện sự cố ảnh hưởng dữ liệu của anh chị, tụi em thông báo qua email đã đăng ký và hotline.

9. Thay đổi chính sách

Khi chính sách đổi, tụi em cập nhật ngày ở đầu trang và thông báo trên dashboard trước khi áp dụng với các thay đổi ảnh hưởng tới quyền của anh chị.

10. Liên hệ

The MONA Group · Tổng đài 1900 636 648 (giờ hành chính) · [email protected] · Trang liên hệ.