Chính sách bảo mật MONA Pay

MONA Pay là API ngân hàng và dịch vụ xác nhận thanh toán tự động của The MONA Group, giúp doanh nghiệp Việt Nam nhận và xác nhận tiền chuyển khoản theo thời gian thực qua tài khoản ảo (VA), VietQR, webhook và Telegram, thiết kế để cả lập trình viên lẫn AI agent tích hợp trong vài phút. Đơn vị vận hành là The MONA Group (từ năm 2016), liên hệ qua 1900 636 648 hoặc [email protected].

2. Dữ liệu đội MONA thu thập

• Thông tin tài khoản MONA Pay: tên đăng nhập, mật khẩu (lưu dạng băm, không đọc lại được), tên hiển thị, thông tin liên hệ bạn tự nhập.
• Thông tin nối ngân hàng: số tài khoản, tên chủ tài khoản, số điện thoại nhận OTP, đầu số tài khoản ảo, mã yêu cầu đăng ký do ngân hàng trả về. Mã OTP chỉ đi qua để xác thực với ngân hàng, không lưu.
• Thông báo giao dịch: số tiền, thời gian, nội dung chuyển khoản, số tài khoản/tài khoản ảo nhận, mã giao dịch, tên người chuyển nếu ngân hàng gửi kèm. Đây là dữ liệu cần để khớp đơn và báo cho bạn.
• Cấu hình bạn tự đặt: địa chỉ webhook, khoá ký HMAC, nhóm Telegram, mẫu tin nhắn, API key (lưu dạng băm).
• Nhật ký kỹ thuật: lịch sử gửi webhook (mã HTTP, thời gian phản hồi, nhãn lỗi), địa chỉ IP và trình duyệt khi đăng nhập, để hỗ trợ và chống lạm dụng.

3. Dữ liệu đội MONA không có

MONA Pay không giữ tiền của bạn hay của khách bạn, không thực hiện lệnh chuyển tiền, không truy cập số dư hay sao kê ngoài các thông báo giao dịch đến tài khoản đã nối. Mã OTP, mật khẩu ngân hàng, thông tin thẻ không đi qua và không lưu ở MONA Pay.

4. Mục đích sử dụng

• Nhận thông báo từ ngân hàng, khớp với tài khoản ảo hoặc mã QR của bạn, bắn webhook và tin Telegram theo cấu hình.
• Hiển thị giao dịch, lịch sử gửi, thống kê trên dashboard để bạn đối soát.
• Hỗ trợ kỹ thuật qua tổng đài 1900 636 648 khi bạn yêu cầu.
• Phát hiện và chặn hành vi bất thường (bắn API dồn dập, tạo tài khoản hàng loạt) theo giới hạn fair-use.

Đội MONA không bán, không cho thuê, không dùng dữ liệu giao dịch của bạn để quảng cáo hay chia sẻ cho bên thứ ba ngoài các bên nêu ở mục 5.

5. Bên thứ ba có tiếp xúc dữ liệu

• Các ngân hàng bạn nối (danh sách tại trang ngân hàng hỗ trợ): nguồn phát thông báo giao dịch, xử lý theo quy định của từng ngân hàng.
• Telegram: khi bạn bật thông báo Telegram, nội dung tin (số tiền, nội dung, thời gian) được gửi tới nhóm bạn chỉ định qua máy chủ Telegram.
• Máy chủ nhận webhook của bạn: đội MONA gửi dữ liệu giao dịch tới địa chỉ bạn cấu hình; bảo mật phía đó do bạn quản lý (đội MONA ký HMAC-SHA256 để bạn xác minh).
• Hạ tầng của MONA: máy chủ đặt tại Việt Nam do The MONA Group vận hành, kết nối mã hoá HTTPS.

6. Thời gian lưu

Dữ liệu giao dịch và nhật ký webhook lưu trong suốt thời gian tài khoản còn hoạt động để bạn đối soát và gửi lại khi cần. Khi bạn yêu cầu đóng tài khoản, đội MONA ngắt kết nối ngân hàng, xoá cấu hình webhook, Telegram, API key và xoá dữ liệu giao dịch trong vòng 30 ngày, trừ phần phải giữ theo yêu cầu của pháp luật hoặc để xử lý tranh chấp đang mở.

7. Quyền của bạn

• Xem, tải xuống (CSV) và đối chiếu toàn bộ giao dịch trên dashboard.
• Sửa thông tin tài khoản, đổi mật khẩu, bật xác thực 2 lớp, thu hồi API key bất kỳ lúc nào.
• Ngắt kết nối ngân hàng, xoá cấu hình, hoặc yêu cầu đóng tài khoản và xoá dữ liệu bằng cách gọi 1900 636 648 hoặc gửi email từ địa chỉ đã đăng ký tới [email protected].

8. Bảo mật kỹ thuật

Mật khẩu và API key lưu dạng băm. Webhook ký HMAC-SHA256 kèm dấu thời gian, từ chối yêu cầu lệch quá 5 phút để chống phát lại. Toàn bộ kết nối qua HTTPS. Máy chủ chạy dịch vụ bằng tài khoản không đặc quyền, tường lửa chỉ mở cổng cần thiết. Khi phát hiện sự cố ảnh hưởng dữ liệu của bạn, đội MONA thông báo qua email đã đăng ký và hotline.

9. Thay đổi chính sách

Khi chính sách đổi, đội MONA cập nhật ngày ở đầu trang và thông báo trên dashboard trước khi áp dụng với các thay đổi ảnh hưởng tới quyền của bạn.

10. Liên hệ

The MONA Group · Tổng đài 1900 636 648 (giờ hành chính) · [email protected] · Trang liên hệ.