Cách viết điều khoản dịch vụ và chính sách bảo mật cho ứng dụng

Hướng dẫn này không phải là tư vấn pháp lý. Nó giải thích điều khoản dịch vụ và chính sách bảo mật thường bao gồm những gì và vì sao, để bạn chuẩn bị được một bản nháp hợp lý và có một cuộc trao đổi tốt hơn với luật sư. Các quy định áp dụng cho bạn phụ thuộc vào nơi doanh nghiệp của bạn đặt trụ sở, nơi người dùng của bạn ở, bạn thu thập loại dữ liệu nào và bạn bán gì. Với bất kỳ ứng dụng nào lớn hơn một ứng dụng nhỏ, rủi ro thấp, và tốt nhất là ngay cả với ứng dụng đó, hãy nhờ một luật sư có chuyên môn xem lại tài liệu của bạn.

Tóm lại: điều khoản dịch vụ đặt ra các quy tắc giữa bạn và người dùng. Chính sách bảo mật giải thích một cách trung thực bạn thu thập dữ liệu cá nhân nào và bạn làm gì với nó. Cả hai phải mô tả đúng những gì ứng dụng của bạn thực sự làm.

Vì sao các tài liệu này quan trọng

• Luật bảo vệ quyền riêng tư. Nhiều quốc gia và khu vực có luật yêu cầu bạn cho người dùng biết bạn thu thập dữ liệu cá nhân nào và vì sao. GDPR của EU là ví dụ nổi tiếng nhất (xem GDPR là gì).
• Bên thứ ba yêu cầu. Các cửa hàng ứng dụng, nhà cung cấp thanh toán, nền tảng quảng cáo và nhà cung cấp đăng nhập như “Đăng nhập bằng Google” thường yêu cầu một liên kết đến chính sách bảo mật của bạn, và đôi khi cả điều khoản.
• Tranh chấp. Các điều khoản rõ ràng về thanh toán, hoàn tiền và cách sử dụng chấp nhận được giúp các bất đồng dễ giải quyết hơn.
• Niềm tin. Khách hàng, đặc biệt là doanh nghiệp, đọc các trang này trước khi mua.

Trước khi viết: lập bản đồ dữ liệu và hoạt động kinh doanh

Bạn không thể mô tả điều bạn không biết. Hãy ghi lại:

1. Dữ liệu cá nhân bạn thu thập: tên, email, thông tin thanh toán (thường do nhà cung cấp thanh toán xử lý), địa chỉ IP, dữ liệu sử dụng, tệp tải lên, tin nhắn, vị trí.
2. Dữ liệu đến từ đâu: biểu mẫu, đăng ký, phân tích, cookie, tích hợp.
3. Vì sao bạn thu thập từng mục: để cung cấp dịch vụ, thanh toán, hỗ trợ, phân tích, tiếp thị.
4. Bạn chia sẻ với ai: lưu trữ, cơ sở dữ liệu, email, phân tích, nhà cung cấp thanh toán và AI (thường được gọi là bên xử lý phụ).
5. Dữ liệu được lưu và xử lý ở đâu: những quốc gia nào.
6. Bạn giữ dữ liệu bao lâu và cách bạn xóa nó.
7. Bạn tính phí thế nào: một lần, đăng ký thuê bao, dùng thử, hoàn tiền.
8. Người dùng của bạn là ai: người tiêu dùng hay doanh nghiệp, và trẻ em có thể dùng không.

Danh sách này cũng là thứ hữu ích nhất để mang đến gặp luật sư.

Điều khoản dịch vụ thường bao gồm những gì

Nhiều luật bảo vệ người tiêu dùng giới hạn những gì bạn có thể đưa vào điều khoản đối với người tiêu dùng, chẳng hạn bạn được loại trừ trách nhiệm đến mức nào, hoặc việc tự động gia hạn và hủy phải diễn ra ra sao. Một điều khoản bình thường trong hợp đồng kinh doanh có thể không đứng vững khi đối mặt với người tiêu dùng. Đó là lý do chính bạn cần tư vấn.

Nếu ứng dụng của bạn dùng AI

Nếu sản phẩm của bạn tạo nội dung bằng AI, hãy cân nhắc đề cập đến:

• Đầu ra có thể sai và người dùng nên kiểm tra lại
• Ai sở hữu đầu ra (trong phạm vi điều khoản của nhà cung cấp AI cho phép)
• Liệu đầu vào của người dùng có được gửi đến nhà cung cấp AI bên thứ ba hay không
• Quy tắc sử dụng hợp lệ đối với những gì người dùng yêu cầu AI tạo ra

Chính sách bảo mật thường bao gồm những gì

Quy tắc quan trọng nhất: nó phải đúng sự thật. Một chính sách nói bạn không chia sẻ dữ liệu trong khi ứng dụng gửi dữ liệu đến ba công cụ phân tích thì tệ hơn một chính sách ngắn nhưng trung thực. Hãy cập nhật chính sách mỗi khi bạn thêm một nhà cung cấp hoặc bắt đầu thu thập điều gì mới.

Về biểu ngữ cookie cụ thể, xem cookie là gì và cách thêm sự đồng ý dùng cookie.

Cách chuẩn bị bản nháp

1. Hoàn thành bản đồ dữ liệu và hoạt động kinh doanh ở trên.
2. Đọc điều khoản của các nhà cung cấp bạn dùng: lưu trữ, thanh toán, email, AI. Một số yêu cầu bạn phải chuyển tiếp những điều khoản hoặc thông báo nhất định.
3. Bắt đầu từ một mẫu hoặc công cụ tạo sẵn uy tín, không phải từ trang của công ty khác. Sao chép điều khoản của người khác là vi phạm bản quyền và mô tả sai doanh nghiệp.
4. Chỉnh sửa từng mục để khớp với những gì ứng dụng làm. Xóa những gì không áp dụng; thêm những gì còn thiếu.
5. Viết rõ ràng. Câu ngắn và tiêu đề giúp người dùng và giảm hiểu lầm.
6. Nhờ luật sư xem lại, đặc biệt nếu bạn xử lý dữ liệu nhạy cảm (sức khỏe, tài chính, trẻ em), bán cho người tiêu dùng ở nhiều quốc gia, hoặc ký hợp đồng với các doanh nghiệp lớn.
7. Công bố và liên kết chúng trong chân trang, khi đăng ký và khi thanh toán.
8. Ghi nhận việc chấp nhận: ví dụ một ô đánh dấu hoặc thông báo rõ ràng khi đăng ký, và ghi lại phiên bản nào mỗi người dùng đã chấp nhận.
9. Xem lại mỗi khi sản phẩm, nhà cung cấp hoặc giá của bạn thay đổi.

Những thứ không thuộc về trang pháp lý

• Những lời hứa bạn không thể giữ (“chúng tôi sẽ không bao giờ có thời gian ngừng hoạt động”).
• Tuyên bố tuân thủ mà bạn chưa kiểm tra (“tuân thủ GDPR hoàn toàn”).
• Các điều khoản ẩn mâu thuẫn với những gì trang giá của bạn nói.
• Các đoạn sao chép về tính năng bạn chưa có.

Danh sách kiểm tra thực tế

• Bản đồ dữ liệu đã được viết và khớp với ứng dụng
• Mọi nhà cung cấp bên thứ ba đều được liệt kê hoặc được đề cập
• Điều khoản về thanh toán, gia hạn, dùng thử và hoàn tiền khớp với trang giá
• Quy trình hủy được mô tả và dễ thực hiện
• Email liên hệ cho các câu hỏi pháp lý và quyền riêng tư hoạt động
• Yêu cầu xóa dữ liệu thực sự có thể được thực hiện
• Có liên kết ở chân trang, khi đăng ký và khi thanh toán
• Đã được luật sư xem lại
• Ngày “cập nhật lần cuối” đã được đặt

Thêm trang pháp lý vào ứng dụng xây dựng bằng Mythex

Mythex không viết tài liệu pháp lý cho bạn, và bạn không nên dựa vào bất kỳ công cụ AI nào cho văn bản pháp lý mà chưa được xem lại. Điều Mythex có thể làm là phần hạ tầng: yêu cầu agent thêm các trang /terms và /privacy với nội dung đã được xem lại của bạn, liên kết chúng ở chân trang và khi đăng ký, thêm một ô đánh dấu chấp nhận, và lưu phiên bản nào mỗi người dùng đã chấp nhận trong cơ sở dữ liệu của bạn. Một đánh giá bảo mật cũng đáng làm trước khi ra mắt, vì những lời hứa trong chính sách bảo mật về việc bảo vệ dữ liệu của bạn phải là thật.

Câu hỏi thường gặp