Ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 chính thức có hiệu lực. Cùng ngày đó, Nghị định 13/2023 — văn bản mà hầu hết chính sách quyền riêng tư ở Việt Nam đang trích dẫn suốt ba năm qua — hết hiệu lực.
Đây không phải thay đổi hình thức. Luật mới nâng mức phạt hành chính lên tối đa 3 tỷ đồng cho một lần vi phạm, và với hành vi mua bán dữ liệu cá nhân thì phạt tới mười lần khoản thu lợi.
Với một nền tảng lưu giữ hợp đồng thuê, số căn cước chủ nhà và số tài khoản ngân hàng như Rooland, đây là chuyện phải nói rõ ràng với người dùng, không phải giấu trong điều khoản dài mười trang.
PHẦN MỘT — DÀNH CHO MỌI NGƯỜI
Bảy quyền luật mới trao cho bạn
Luật áp dụng cho mọi tổ chức xử lý dữ liệu cá nhân của người Việt Nam, không phân biệt quy mô doanh nghiệp. Kể cả một trang web chỉ có ô nhập tên và số điện thoại cũng thuộc phạm vi điều chỉnh.
Điểm đáng chú ý nhất với người dùng bình thường là quyền rút lại sự đồng ý. Bạn từng đồng ý cho một nền tảng dùng dữ liệu của mình, sau đó đổi ý — luật cho phép bạn rút lại, và bên thu thập phải dừng.
Nguyên tắc của Rooland: riêng tư là mặc định
Điều này quan trọng hơn mọi thuật ngữ kỹ thuật, nên chúng tôi nói ngay từ đầu.
Bất động sản bạn thêm vào để quản lý không xuất hiện ở bất kỳ đâu trên sàn. Không ai tìm thấy, không ai xem được — kể cả người dùng khác. Nó chỉ ra ngoài khi chính bạn bấm tạo tin đăng, và ngay cả lúc đó bạn vẫn chọn được thông tin nào hiện, thông tin nào ẩn.
Hợp đồng thuê, thông tin người thuê, số điện nước, công nợ, số tài khoản chủ nhà — toàn bộ nằm trong tài khoản của bạn. Chúng tôi không bán dữ liệu và không dùng danh sách tài sản của bạn cho quảng cáo.
Sáu lớp bảo vệ đang chạy
Đây không phải kế hoạch cho tương lai. Sáu lớp này đã có trong hệ thống hôm nay.
Đáng nói nhất là lớp đầu tiên. Số căn cước và số tài khoản ngân hàng được mã hoá bằng AES-256-GCM trước khi ghi vào cơ sở dữ liệu. Nghĩa là ngay cả người có quyền đọc thẳng cơ sở dữ liệu — kỹ sư vận hành của chúng tôi chẳng hạn — cũng chỉ thấy một chuỗi ký tự vô nghĩa.
Mật khẩu thì không bao giờ được lưu ở dạng đọc được. Chúng tôi băm bằng bcrypt, một chiều, không có cách nào đảo ngược. Nếu bạn quên mật khẩu, chúng tôi không thể "tra giúp" — chỉ có thể giúp bạn đặt lại. Đó là dấu hiệu của một hệ thống làm đúng, không phải bất tiện.
Bạn muốn xem hoặc xoá dữ liệu của mình?
Luật cho bạn quyền yêu cầu xem, sửa và xoá dữ liệu cá nhân. Hiện tại, các yêu cầu này được tiếp nhận và xử lý qua bộ phận hỗ trợ của Rooland. Chúng tôi đang xây dựng thao tác tự phục vụ ngay trong trang quản lý để bạn tự làm mà không cần liên hệ ai — dự kiến hoàn thành trong quý tới, và sẽ có thông báo riêng khi xong.
Nói thẳng như vậy vì chúng tôi cho rằng hứa suông về quyền riêng tư còn tệ hơn không hứa gì.
PHẦN HAI — DÀNH CHO KHÁCH HÀNG DOANH NGHIỆP
Phần này dành cho các sàn môi giới và chủ đầu tư đang cân nhắc đưa dữ liệu khách hàng lên nền tảng. Nếu bạn chỉ dùng Rooland để quản lý vài căn nhà, có thể dừng đọc ở đây.
Rà soát theo chuẩn OWASP
OWASP Top 10 là danh sách mười nhóm lỗ hổng phổ biến nhất của ứng dụng web, do một tổ chức phi lợi nhuận quốc tế duy trì và cập nhật định kỳ. Đây là chuẩn tham chiếu mà hầu hết các bên kiểm định bảo mật đều dùng.
Chúng tôi rà soát toàn bộ mã nguồn đối chiếu với mười nhóm này, chứ không chỉ chạy một công cụ quét tự động rồi in báo cáo. Công cụ quét bắt được lỗi cấu hình; nó không bắt được lỗi logic phân quyền — vốn là loại lỗi nguy hiểm nhất với một nền tảng nhiều tổ chức dùng chung.
Mỗi phát hiện được chấm mức nghiêm trọng và có hạn định xử lý. Một mục chỉ được đóng khi chứng minh được lỗ hổng không còn khai thác được, không phải khi đã sửa xong mã.
Cách ly dữ liệu giữa các tổ chức
Với khách hàng doanh nghiệp, đây thường là câu hỏi đầu tiên: dữ liệu của chúng tôi có lẫn với công ty khác không?
Không. Mọi truy vấn dữ liệu nghiệp vụ đều đi qua một lớp giới hạn phạm vi ở tầng máy chủ, chốt theo chủ sở hữu dữ liệu. Đây là ràng buộc ở tầng truy vấn cơ sở dữ liệu chứ không phải kiểm tra ở giao diện — nghĩa là kể cả khi ai đó gọi thẳng vào giao diện lập trình và đoán đúng mã định danh của bản ghi thuộc tổ chức khác, truy vấn vẫn trả về rỗng.
Với tài khoản tổ chức, bạn phân quyền cho từng thành viên và gỡ quyền bất cứ lúc nào. Thành viên chỉ thấy phần dữ liệu được giao.
Nhật ký thao tác
Mọi thay đổi dữ liệu đều được ghi lại: ai làm, lúc nào, từ địa chỉ mạng nào, thay đổi những trường gì. Nhật ký này chỉ ghi thêm — trong toàn bộ mã nguồn không tồn tại một đường nào để sửa hay xoá bản ghi đã ghi.
Nhật ký cố ý không lưu giá trị của các trường bí mật. Khi một cấu hình chứa khoá bí mật bị thay đổi, hệ thống ghi lại việc đã có thay đổi nhưng không ghi giá trị cũ và mới.
Kiểm duyệt tin đăng
Phần này ít người biết nên chúng tôi nói rõ. Mỗi tấm ảnh tải lên đều được tính mã băm và đối chiếu với toàn bộ ảnh đã có trong hệ thống. Nếu một tấm ảnh xuất hiện ở hai bất động sản khác nhau, hệ thống đánh dấu và cảnh báo — đây là dấu hiệu điển hình của tin đăng sao chép.
Song song đó, mô hình AI chấm ba loại rủi ro cho mỗi tin: khả năng là tin giả, giá bất thường so với mặt bằng khu vực, và rủi ro pháp lý trong mô tả. Kết quả được lưu lại để đội kiểm duyệt xem xét.
Kênh báo lỗi bảo mật
Nếu bạn phát hiện lỗ hổng trong hệ thống của chúng tôi, hãy báo về hòm thư bảo mật thay vì công bố. Chúng tôi cam kết phản hồi trong 72 giờ và không truy cứu người báo lỗi có thiện chí.
Một hệ thống không có lỗi là chuyện không tồn tại. Điều phân biệt các nền tảng là họ xử lý lỗi nhanh và minh bạch tới đâu.
Tài liệu tham khảo: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Quốc hội thông qua ngày 26/6/2025) và Nghị định số 356/2025/NĐ-CP quy định chi tiết thi hành, cùng có hiệu lực từ 01/01/2026.