Chính sách quyền riêng tư

Agoda YCS & Portal - Hiện Giá & Số Phòng

Cập nhật lần cuối: 8 tháng 8, 2026

Đây là tiện ích độc lập, không do Agoda phát hành, bảo trợ hoặc liên kết chính thức. Tiện ích chỉ dành cho người dùng có quyền truy cập hợp lệ vào tài khoản Agoda Partner/YCS của chính họ và không vượt qua cơ chế đăng nhập hay kiểm soát truy cập.

Mục đích duy nhất

Tiện ích giúp người dùng đã đăng nhập xem số phòng và giá ngay trên danh sách đặt phòng Agoda, sao chép một dòng sang Excel, xuất danh sách đang hiển thị thành Word và nhận thông báo cục bộ khi có booking mới trong ngày. Từ bản 1.6.0, tiện ích còn có thời gian dùng thử 7 ngày, tạo đơn thanh toán bên ngoài qua SePay/QR TPBank và kiểm tra giấy phép cho lượt cài đặt hiện tại.

Dữ liệu Agoda được xử lý cục bộ

Trong phạm vi hai đường dẫn danh sách đặt phòng chính xác trên ycs.agoda.com và portal.agoda.com, tiện ích có thể xử lý:

• Nội dung website Agoda đang hiển thị, gồm tên khách, mã booking, ngày ở, số đêm, số lượng và loại phòng.
• Thông tin tài chính/đặt phòng, gồm giá tham chiếu, giá dự kiến cơ sở lưu trú nhận, giá khách trả và mô hình thanh toán.
• Thông tin xác thực kỹ thuật do Agoda cấp cho phiên đang đăng nhập, gồm bookingToken và mã chống giả mạo request CSRF/XSRF.
• Mã property và các trường kỹ thuật cần thiết để ghép đúng dữ liệu với đúng dòng.

Tiện ích không đọc mật khẩu, số điện thoại, email khách, cookie đăng nhập hoặc nội dung bộ nhớ tạm đang có.

Các dữ liệu trong mục này chỉ được xử lý trong trình duyệt hoặc truyền trực tiếp giữa trình duyệt và chính origin Agoda. Chúng không được gửi đến máy chủ thanh toán/giấy phép, SePay hoặc nhà phát triển.

Dữ liệu đơn hàng và giấy phép

Để tạo đơn, xác nhận thanh toán, kích hoạt và khôi phục giấy phép, hệ thống xử lý bộ dữ liệu tối thiểu sau:

• Mã cài đặt ngẫu nhiên do tiện ích tạo (không phải fingerprint phần cứng).
• installationSecret ngẫu nhiên; máy chủ chỉ lưu HMAC của mã cài đặt và secret, không lưu hai giá trị dạng rõ.
• Mã/khóa giấy phép, entitlement JWT có chữ ký và trạng thái giấy phép trả phí.
• Mã đơn hàng, mã thanh toán SePay, số tiền, đơn vị tiền tệ, trạng thái giao dịch và các mốc thời gian tạo/xác nhận/kích hoạt.
• Trong lúc đơn đang chờ, tiện ích lưu cục bộ dạng rõ orderToken bí mật và URL checkout để tiếp tục kiểm tra sau khi popup đóng; máy chủ chỉ lưu hash một chiều của orderToken.
• Ngày bắt đầu và lần gần nhất của thời gian dùng thử 7 ngày được lưu cục bộ để kiểm soát thời hạn; quyền legacy miễn phí được lưu cục bộ và trong Chrome Sync, không gửi tới máy chủ giấy phép.
• Nếu quyền legacy bị mất ở cả local và Chrome Sync, hỗ trợ có thể cấp voucher AYL1 dùng một lần. Khi người dùng chủ động nhập voucher, tiện ích gửi voucher, mã cài đặt và installationSecret tới máy chủ. Máy chủ chỉ lưu SHA-256 của voucher, mã tham chiếu hồ sơ dạng LEGACY-..., mã nhân viên hỗ trợ, trạng thái và thời hạn; mã tham chiếu không chứa nội dung bằng chứng hay dữ liệu Agoda. License được cấp ghi LEGACY_SUPPORT và số tiền đã trả bằng 0.

Tiện ích không gửi tên khách Agoda, mã booking, mã property, ngày ở, loại phòng, giá phòng, mô hình thanh toán, nội dung Word/Excel, bookingToken, CSRF/XSRF, cookie hoặc thông tin tài khoản Agoda vào bất kỳ API thanh toán/giấy phép nào.

Ứng dụng không yêu cầu tên, số điện thoại hoặc email người mua trong tiện ích. SePay và ngân hàng có thể xử lý thông tin người chuyển tiền theo chính sách riêng. Webhook SePay có thể chứa thông tin xác nhận giao dịch; máy chủ chỉ sử dụng nội dung cần để xác minh khoản thanh toán và không lưu trường tài khoản ngân hàng/người chuyển tiền trong cơ sở dữ liệu giấy phép.

Cách xử lý và truyền dữ liệu

• Tiện ích quan sát phản hồi danh sách do chính trang Agoda tải, rồi gọi pricebreakdown cùng nguồn Agoda chỉ để truy xuất giá, không tạo hoặc sửa booking.
• Khi tính năng thông báo được bật và tab danh sách vẫn mở, tiện ích gửi request POST đến endpoint danh sách cùng nguồn Agoda khoảng mỗi 2 phút để phát hiện booking mới trong ngày. Request dùng mã CSRF/XSRF của phiên hiện tại và không sao chép cookie ra khỏi Agoda.
• bookingToken, CSRF/XSRF, giá và chi tiết booking chỉ nằm trong bộ nhớ tạm của tab; chúng không được ghi vào storage của tiện ích và tự mất khi tải lại hoặc đóng tab.
• Relay thông báo chỉ cho phép mã booking, mã property, số phòng, mô hình thanh toán và tên khách nếu có. Relay từ chối mọi trường ngoài danh sách và mọi khóa có chữ token.
• Chrome storage chỉ lưu trạng thái bật/tắt và dấu vết chống báo trùng gồm ngày, mã property, mã booking và thời điểm đã báo. Dấu vết được xóa sau tối đa 48 giờ và giới hạn 5.000 mục.
• Thông báo hệ thống có thể chứa tên khách, mã booking, số phòng và mô hình thanh toán; thời gian lưu trong Notification Center do người dùng và hệ điều hành kiểm soát.
• Khi người dùng bấm Chép Excel, tiện ích ghi đúng 9 trường của dòng được chọn vào bộ nhớ tạm. Tiện ích không đọc dữ liệu đã có trong bộ nhớ tạm.
• Khi người dùng bấm Sao chép mã khôi phục, mã bản quyền đầy đủ được ghi vào clipboard của hệ điều hành. Ứng dụng khác có quyền đọc clipboard có thể thấy mã cho tới khi người dùng ghi đè hoặc xóa clipboard.
• Khi người dùng bấm Tải Word, tiện ích tạo file DOCX ngay trong trình duyệt từ các dòng đang hiển thị. Việc lưu, chia sẻ và xóa file sau khi tải thuộc quyền kiểm soát của người dùng.
• Khi người dùng chủ động bấm Mua hoặc Kích hoạt, Chrome hỏi quyền kết nối đúng hostname máy chủ giấy phép. Chỉ sau khi đồng ý, tiện ích gửi mã cài đặt, installationSecret và mã sản phẩm tới máy chủ HTTPS. Bí mật webhook SePay không nằm trong tiện ích.
• Kích hoạt chỉ được xác nhận sau khi máy chủ nhận webhook SePay hợp lệ. Tiện ích chỉ nhận trạng thái giấy phép cần thiết, không nhận hoặc lưu thông tin ngân hàng.
• Máy chủ có thể kiểm tra định kỳ mã cài đặt/giấy phép để ngăn một giấy phép hoạt động đồng thời trên nhiều lượt cài.
• Entitlement do máy chủ ký có hiệu lực 6 giờ và tiện ích làm mới trước khi hết hạn. Nếu máy chủ tạm thời không tới được, entitlement đã xác minh có thể tiếp tục dùng ngoại tuyến tối đa 24 giờ kể từ lần xác minh thành công gần nhất. Thu hồi, hoàn tiền hoặc chuyển máy có hiệu lực khi lượt cài cũ xác minh lại; độ trễ có thể kéo dài tối đa thời gian ngoại tuyến này.
• Người dùng legacy không cần cấp quyền máy chủ. Nếu Chrome Sync được bật, Google có thể xử lý bản ghi quyền legacy tối thiểu; bản ghi không chứa dữ liệu Agoda hoặc thanh toán.

Mọi request dữ liệu booking đều đi trực tiếp giữa trình duyệt của người dùng và origin Agoda đang mở. Máy chủ thanh toán/giấy phép tách biệt chỉ nhận dữ liệu tối thiểu được liệt kê ở mục Dữ liệu đơn hàng và giấy phép. Tiện ích không có mã theo dõi, quảng cáo hoặc thư viện phân tích; không bán, cho thuê hay chuyển dữ liệu booking cho nhà phát triển hoặc bên thứ ba.

Bên xử lý thanh toán và hạ tầng

• SePay và ngân hàng TPBank liên kết xử lý giao dịch theo chính sách riêng. Nhà phát triển là người bán; Google không xử lý khoản thanh toán.
• Cloudflare Workers và D1 vận hành API. Cloudflare có thể xử lý IP, User-Agent và request tạm thời cho truyền dẫn/bảo mật; ứng dụng không ghi IP/User-Agent vào bảng giấy phép. Xem Chính sách Cloudflare.
• Google Chrome Sync chỉ xử lý bản ghi quyền legacy tối thiểu khi người dùng bật đồng bộ; giấy phép trả phí, installationSecret và dữ liệu Agoda không ghi vào sync.
• Webhook SePay có thể tạm chứa dữ liệu tài khoản đối ứng để kiểm tra chữ ký HMAC. D1 không lưu các trường này; chỉ giữ reference giới hạn, hash payload/chữ ký, outcome và dữ liệu đơn tối thiểu.

Lưu giữ và bảo mật

• Mã cài đặt, khóa và trạng thái giấy phép được giữ trong thời gian giấy phép còn hiệu lực để duy trì kích hoạt và hỗ trợ khôi phục.
• Trên thiết bị, mã cài đặt, installationSecret, mã bản quyền đầy đủ, entitlement, trạng thái và mốc xác minh nằm trong chrome.storage.local. Mã đơn, orderToken và URL checkout chỉ cần trong luồng đơn chờ và được gỡ khỏi trạng thái hoạt động khi đơn hoàn tất/hết hạn.
• Đơn chưa thanh toán/đã hủy/hết hạn không gắn giấy phép được xóa sau 90 ngày; hash audit webhook được xóa sau 180 ngày.
• Voucher legacy chưa dùng hết hạn sau tối đa 90 ngày; metadata voucher hết hạn/thu hồi không gắn license được xóa sau 180 ngày. Voucher đã dùng được giữ cùng hồ sơ license để chống cấp trùng và hỗ trợ.
• Hồ sơ đơn đã thanh toán và tham chiếu giao dịch được giữ 10 năm kể từ khi kết thúc năm phát sinh giao dịch, hoặc lâu hơn nếu pháp luật/cơ quan có thẩm quyền yêu cầu. Hash mã bản quyền, trạng thái và lịch sử kích hoạt được giữ trong suốt thời gian giấy phép trọn đời còn được hỗ trợ. Nếu người dùng yêu cầu xóa hoặc dịch vụ chấm dứt vĩnh viễn, dữ liệu vận hành license được xóa trong 12 tháng, trừ hồ sơ giao dịch phải tiếp tục giữ theo thời hạn 10 năm.
• Dấu vết booking chống báo trùng trong Chrome storage tự xóa sau tối đa 48 giờ; token và chi tiết giá trong tab mất khi tải lại hoặc đóng tab.
• Giao tiếp thanh toán/giấy phép phải dùng HTTPS; bí mật webhook SePay chỉ được giữ phía máy chủ và webhook phải được xác minh chữ ký.

Quyền của Chrome

• storage: lưu cài đặt, dấu vết chống thông báo trùng trong thời gian giới hạn, mã cài đặt ngẫu nhiên và trạng thái giấy phép.
• notifications: hiển thị thông báo booking mới trên máy tính.
• alarms: đánh thức service worker theo lịch để kiểm tra đơn đang chờ và làm mới trạng thái giấy phép.
• Quyền host máy chủ giấy phép là tùy chọn và chỉ được Chrome hỏi khi người dùng bấm Mua/Kích hoạt; quyền này không cho máy chủ đọc tab Agoda.

Tiện ích không yêu cầu activeTab, lịch sử duyệt web hoặc quyền truy cập website ngoài hai đường dẫn Agoda đã khai báo trong manifest.

Cam kết sử dụng giới hạn

Việc sử dụng dữ liệu chỉ giới hạn trong mục đích duy nhất được mô tả ở trên. Dữ liệu không được dùng cho quảng cáo, đánh giá tín dụng, bán lại dữ liệu hoặc mục đích không liên quan. Cách sử dụng dữ liệu tuân theo chính sách Limited Use của Chrome Web Store.

Lựa chọn và xóa dữ liệu

Người dùng có thể tắt thông báo, đóng tab Agoda, xóa dữ liệu cục bộ hoặc gỡ tiện ích. Người mua khôi phục bằng mã bản quyền đầy đủ; mã đơn chỉ dùng đối chiếu. Người dùng legacy nhận lại quyền qua Chrome Sync hoặc được hỗ trợ cấp lại miễn phí sau xác minh hợp lý mà không cần dữ liệu Agoda. Dữ liệu đơn hàng vẫn có thể được giữ nếu pháp luật yêu cầu.

Liên hệ

Đơn vị kiểm soát dữ liệu/người bán: Nguyễn Toàn Tuấn; mã số thuế: 049093007081. Địa chỉ: 93 Khúc Hạo, phường An Hải, Đà Nẵng, Việt Nam; điện thoại: 0705739379. Xem Điều khoản bán hàng. Liên hệ: xamtro@gmail.com.