Pháp lý

Bảo mật

Các biện pháp kỹ thuật và tổ chức Kicko áp dụng để bảo vệ dữ liệu của bạn. Cập nhật lần cuối: 30/03/2026

Cập nhật lần cuối: 30 tháng 3, 2026

Cam kết Bảo mật của Chúng tôi

Kicko là nền tảng quản lý bán hàng và kinh doanh xử lý dữ liệu nhạy cảm mỗi ngày — giao dịch bán hàng, thông tin thanh toán, hồ sơ kho hàng, thông tin nhân viên và hồ sơ khách hàng. Chúng tôi nhận thức rằng sự tin tưởng của bạn phụ thuộc vào khả năng bảo vệ dữ liệu này, và chúng tôi coi bảo mật là một nguyên tắc kỹ thuật nền tảng, không phải giải pháp bổ sung. Chương trình bảo mật của chúng tôi được xây dựng trên các nguyên tắc phòng thủ theo chiều sâu, quyền hạn tối thiểu và cải tiến liên tục, được dẫn dắt bởi văn hóa kỹ thuật ưu tiên bảo mật xuyên suốt mọi đội ngũ tại Kicko.

Bảo mật Hạ tầng & Mạng

Kicko được lưu trữ trên hạ tầng đám mây cấp doanh nghiệp trong khu vực Việt Nam, đảm bảo tuân thủ yêu cầu bản địa hóa dữ liệu của Việt Nam. Bảo mật hạ tầng của chúng tôi bao gồm:

Phân đoạn mạng: Các môi trường sản xuất, dàn dựng và phát triển được cách ly nghiêm ngặt. Các dịch vụ nội bộ giao tiếp qua mạng riêng với quy tắc tường lửa được phạm vi chặt chẽ.
Bảo vệ DDoS: Giảm thiểu tấn công từ chối dịch vụ phân tán đa lớp bảo vệ nền tảng ở cả lớp mạng và ứng dụng.
Tường lửa ứng dụng web (WAF): Tất cả lưu lượng đến được kiểm tra bởi WAF được cấu hình để phát hiện và chặn các mẫu tấn công phổ biến, bao gồm SQL injection, cross-site scripting và request smuggling.
Kiểm tra xâm nhập: Chúng tôi tiến hành kiểm tra xâm nhập định kỳ — cả nội bộ và thông qua các công ty bảo mật bên thứ ba có chuyên môn — để xác định và khắc phục lỗ hổng trước khi chúng có thể bị khai thác.

Mã hóa

Chúng tôi áp dụng mã hóa mạnh xuyên suốt vòng đời dữ liệu để bảo vệ thông tin của bạn ở mọi giai đoạn:

Khi truyền tải: Tất cả giao tiếp giữa trình duyệt hoặc thiết bị của bạn và nền tảng Kicko được mã hóa bằng TLS 1.3 với tính bảo mật chuyển tiếp. Giao tiếp nội bộ giữa các dịch vụ cũng được mã hóa.
Khi lưu trữ: Tất cả dữ liệu lưu trữ trên máy chủ — bao gồm cơ sở dữ liệu, bộ lưu trữ tệp và bản sao lưu — được mã hóa bằng AES-256, một thuật toán mã hóa đối xứng tiêu chuẩn ngành.
Quản lý khóa: Khóa mã hóa được quản lý thông qua hệ thống quản lý khóa chuyên dụng với xoay vòng khóa tự động, kiểm soát truy cập nghiêm ngặt và ghi nhật ký kiểm toán. Khóa không bao giờ được lưu trữ cùng với dữ liệu mà chúng bảo vệ.
Dữ liệu thanh toán: Kicko không lưu trữ số thẻ thanh toán thô trên máy chủ. Dữ liệu thẻ được mã hóa thành token và chỉ được xử lý thông qua các đơn vị xử lý thanh toán tuân thủ PCI DSS.

Quản lý Định danh & Truy cập

Chúng tôi thực thi các kiểm soát truy cập nghiêm ngặt trên toàn nền tảng và hoạt động nội bộ:

Kiểm soát truy cập dựa trên vai trò (RBAC): Cả trong nền tảng Kicko (cho nhóm của bạn) và nội bộ (cho nhân viên Kicko), quyền truy cập được cấp dựa trên vai trò đã xác định với quyền hạn tối thiểu cần thiết để thực hiện mỗi chức năng.
Xác thực đa yếu tố (MFA): MFA là bắt buộc cho tất cả nhân viên Kicko truy cập hệ thống sản xuất. Chúng tôi cũng cung cấp và khuyến nghị MFA cho tài khoản doanh nghiệp Kicko.
Nguyên tắc quyền hạn tối thiểu: Quyền truy cập vào hệ thống, cơ sở dữ liệu và hạ tầng chỉ được cấp cho những cá nhân cần thiết cho trách nhiệm cụ thể của họ, và được rà soát định kỳ.
Ghi nhật ký kiểm toán toàn diện: Tất cả truy cập vào hệ thống và dữ liệu nhạy cảm được ghi nhận với danh tính người dùng, dấu thời gian, hành động thực hiện và kết quả. Nhật ký được lưu trữ an toàn và giữ lại trong 2 năm.
Thu hồi quyền tự động: Khi nhân viên rời Kicko hoặc thay đổi vai trò, quyền truy cập vào tất cả hệ thống được thu hồi hoặc điều chỉnh tự động thông qua hệ thống quản lý định danh.

Bảo mật Ứng dụng

Bảo mật được tích hợp vào mọi giai đoạn trong vòng đời phát triển phần mềm (SDLC) của chúng tôi:

Phát triển an toàn: Tất cả mã nguồn được phát triển theo hướng dẫn lập trình an toàn và trải qua quy trình đánh giá bắt buộc bởi đồng nghiệp trước khi được hợp nhất vào nhánh sản xuất.
Quét phụ thuộc tự động: Pipeline CI/CD của chúng tôi bao gồm quét tự động tất cả các thư viện bên thứ ba để phát hiện lỗ hổng đã biết, với cảnh báo được kích hoạt cho bất kỳ phát hiện mức nghiêm trọng hoặc cao nào.
Xác thực đầu vào & mã hóa đầu ra: Tất cả đầu vào từ người dùng được xác thực và làm sạch ở cả phía máy khách và máy chủ. Đầu ra được mã hóa đúng cách để ngăn chặn các cuộc tấn công injection.
Bao phủ OWASP Top 10: Chương trình kiểm tra bảo mật của chúng tôi được thiết kế để xử lý 10 rủi ro bảo mật ứng dụng web hàng đầu của OWASP, bao gồm kiểm soát truy cập hỏng, lỗi mật mã, injection và cấu hình bảo mật sai.
Thiết kế API an toàn: Tất cả API sử dụng token xác thực, giới hạn tốc độ và xác thực yêu cầu. Khóa API và bí mật được quản lý thông qua hệ thống quản lý bí mật chuyên dụng và không bao giờ được commit vào mã nguồn.

Bảo mật Thanh toán

Là nền tảng POS, bảo mật thanh toán có tầm quan trọng đặc biệt đối với Kicko:

Tuân thủ PCI DSS: Các hoạt động xử lý thanh toán của chúng tôi phù hợp với Tiêu chuẩn Bảo mật Dữ liệu Ngành Thẻ Thanh toán (PCI DSS). Chúng tôi chỉ làm việc với các đơn vị xử lý thanh toán được chứng nhận PCI DSS Level 1 cho giao dịch thẻ.
Mã hóa token: Dữ liệu thẻ thanh toán được mã hóa thành token tại điểm nhập. Hệ thống Kicko không bao giờ lưu trữ, xử lý hoặc truyền số thẻ thô — chỉ có token không rõ ràng không có ý nghĩa bên ngoài môi trường của đơn vị xử lý thanh toán.
Không lưu trữ văn bản thuần: Trong mọi trường hợp, dữ liệu thẻ thanh toán không được lưu trữ dưới dạng văn bản thuần trên bất kỳ hệ thống, cơ sở dữ liệu, tệp nhật ký hoặc bản sao lưu nào của Kicko.
Đối tác xử lý thanh toán: Chúng tôi hợp tác với các đơn vị xử lý thanh toán uy tín, được quản lý theo pháp luật địa phương (bao gồm VNPAY, Momo và ZaloPay) duy trì chương trình bảo mật và tuân thủ nghiêm ngặt riêng.

Giám sát & Phát hiện Mối đe dọa

Chúng tôi duy trì khả năng quan sát liên tục vào hệ thống để phát hiện và phản ứng với các mối đe dọa kịp thời:

Giám sát 24/7: Hệ thống hạ tầng và ứng dụng được giám sát liên tục suốt ngày đêm để phát hiện bất thường hiệu năng, đột biến lỗi và sự kiện bảo mật.
Phát hiện bất thường: Phát hiện bất thường dựa trên học máy nhận diện các mẫu bất thường trong sử dụng API, các lần xác thực và truy cập dữ liệu có thể chỉ ra mối đe dọa bảo mật.
Phát hiện xâm nhập: Hệ thống phát hiện xâm nhập mạng và máy chủ (IDS) giám sát hoạt động đáng ngờ, bao gồm các lần truy cập trái phép và di chuyển ngang.
Ghi nhật ký tập trung: Tất cả nhật ký hệ thống, ứng dụng và bảo mật được tổng hợp trong nền tảng ghi nhật ký tập trung, chống giả mạo để phân tích thời gian thực và điều tra lịch sử.

Ứng phó Sự cố

Chúng tôi duy trì kế hoạch ứng phó sự cố có tài liệu hóa, được kiểm tra và cập nhật định kỳ:

Kế hoạch IR xác định: Kế hoạch ứng phó sự cố của chúng tôi xác định rõ vai trò, trách nhiệm, quy trình leo thang và thủ tục truyền thông cho sự cố bảo mật ở mọi mức độ nghiêm trọng.
Phân loại mức độ nghiêm trọng: Sự cố được phân loại theo mức độ nghiêm trọng (Nghiêm trọng, Cao, Trung bình, Thấp) dựa trên tác động tiềm ẩn đến tính bảo mật, toàn vẹn và khả dụng của dữ liệu, với mục tiêu thời gian phản hồi cho mỗi mức.
Thông báo vi phạm: Trong trường hợp vi phạm dữ liệu được xác nhận, chúng tôi sẽ thông báo cho Cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Bộ Công an) trong vòng 72 giờ kể từ khi phát hiện, theo yêu cầu của Điều 23 Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, và kịp thời thông báo cho người dùng bị ảnh hưởng với chi tiết về vi phạm, tác động và các bước khắc phục của chúng tôi.
Rà soát sau sự cố: Mọi sự cố bảo mật đều được theo sau bằng rà soát sau sự cố kỹ lưỡng (phân tích nguyên nhân không đổ lỗi) nhằm xác định nguyên nhân gốc rễ, đánh giá hiệu quả phản hồi và đưa ra các cải tiến khả thi để ngăn ngừa tái phát.

Liên tục Kinh doanh & Khôi phục Thảm họa

Chúng tôi thiết kế hệ thống và quy trình để đảm bảo dữ liệu kinh doanh của bạn luôn khả dụng và có thể khôi phục, ngay cả trong trường hợp gián đoạn nghiêm trọng:

Sao lưu định kỳ: Tất cả dữ liệu quan trọng được sao lưu tự động hàng ngày, với khả năng khôi phục theo thời điểm. Bản sao lưu được mã hóa và lưu trữ tại vị trí địa lý tách biệt với dữ liệu chính.
Dự phòng địa lý: Các dịch vụ cốt lõi được triển khai với dự phòng trên nhiều vùng khả dụng trong Việt Nam, đảm bảo một sự cố hạ tầng đơn lẻ không gây mất dịch vụ.
Mục tiêu khôi phục: Chương trình khôi phục thảm họa của chúng tôi nhắm đến Mục tiêu Thời gian Khôi phục (RTO) 4 giờ và Mục tiêu Điểm Khôi phục (RPO) 1 giờ cho tất cả dịch vụ quan trọng.
Kiểm tra DR hàng năm: Chúng tôi tiến hành kiểm tra khôi phục thảm họa chính thức ít nhất một lần mỗi năm, mô phỏng các kịch bản sự cố thực tế để xác thực quy trình khôi phục và xác định các lĩnh vực cần cải thiện.

Bảo mật Nhân sự

Con người là phần không thể thiếu trong thế trận bảo mật của chúng tôi. Chúng tôi đầu tư để đảm bảo mọi thành viên nhóm hiểu và thực hiện trách nhiệm bảo mật của mình:

Kiểm tra lý lịch: Tất cả nhân viên Kicko đều trải qua xác minh lý lịch trước khi tuyển dụng, tương xứng với vai trò và mức độ truy cập vào hệ thống nhạy cảm.
Đào tạo nhận thức bảo mật: Mọi nhân viên hoàn thành đào tạo nhận thức bảo mật khi gia nhập và theo chu kỳ định kỳ sau đó. Đào tạo bao gồm các chủ đề như nhận diện phishing, xử lý dữ liệu an toàn, vệ sinh mật khẩu và báo cáo sự cố.
Thỏa thuận bảo mật thông tin: Tất cả nhân viên và nhà thầu ký thỏa thuận bảo mật thông tin (NDA) bao phủ dữ liệu kinh doanh bí mật và thông tin khách hàng.
Cấp và thu hồi quyền truy cập: Quyền truy cập hệ thống được cấp dựa trên yêu cầu vai trò và được rà soát theo quý. Khi chấm dứt hợp đồng hoặc thay đổi vai trò, quyền truy cập được thu hồi hoặc điều chỉnh trong vòng 24 giờ thông qua quy trình tự động.

Tuân thủ Quy định

Kicko cam kết tuân thủ tất cả các quy định hiện hành của Việt Nam về bảo vệ dữ liệu, an ninh mạng và xử lý dữ liệu tài chính:

Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15: Chúng tôi tuân thủ tất cả yêu cầu liên quan đến thu thập, xử lý, lưu trữ và chuyển dữ liệu cá nhân, bao gồm 7 quyền chủ thể dữ liệu (Điều 4), thông báo vi phạm trong 72 giờ (Điều 23), đánh giá tác động xử lý dữ liệu (DPIA), và các biện pháp bảo vệ chuyển dữ liệu xuyên biên giới (Điều 20).
Nghị định 356/2025/NĐ-CP: Chúng tôi triển khai các biện pháp kỹ thuật và tổ chức theo yêu cầu của nghị định hướng dẫn, bao gồm nộp hồ sơ DPIA trong vòng 60 ngày kể từ khi bắt đầu xử lý, bổ nhiệm nhân sự phụ trách bảo vệ dữ liệu (DPO), và thiết lập quy trình phản hồi nhanh cho vi phạm dữ liệu.
Luật An ninh mạng (Luật số 24/2018/QH14) và Nghị định 53/2022/NĐ-CP: Chúng tôi tuân thủ yêu cầu bản địa hóa dữ liệu tại Việt Nam (Khoản 3 Điều 26), lưu trữ dữ liệu người dùng Việt Nam trên máy chủ trong nước, duy trì các biện pháp an ninh mạng phù hợp và phối hợp với cơ quan có thẩm quyền theo yêu cầu của pháp luật.
Giám sát tuân thủ liên tục: Tình trạng tuân thủ của chúng tôi được rà soát liên tục thông qua kiểm toán nội bộ, rà soát chính sách và theo dõi các diễn biến pháp lý. Chúng tôi cập nhật kịp thời các hoạt động để đáp ứng yêu cầu pháp lý hoặc hướng dẫn mới.

Chương trình Công bố Lỗ hổng

Chúng tôi đánh giá cao cộng đồng nghiên cứu bảo mật và hoan nghênh việc công bố có trách nhiệm các lỗ hổng trong nền tảng Kicko. Nếu bạn phát hiện vấn đề bảo mật tiềm ẩn, vui lòng báo cáo cho chúng tôi theo các hướng dẫn sau:

Cách báo cáo: Gửi mô tả chi tiết về lỗ hổng đến contact@kicko.com. Bao gồm các bước tái tạo, tác động tiềm ẩn và bất kỳ bằng chứng hỗ trợ nào (ảnh chụp màn hình, mã proof-of-concept).
Xác nhận: Chúng tôi sẽ xác nhận nhận được báo cáo của bạn trong vòng 24 giờ và cung cấp đánh giá ban đầu trong vòng 5 ngày làm việc.
Công bố có trách nhiệm: Chúng tôi yêu cầu bạn không công khai lỗ hổng cho đến khi chúng tôi có cơ hội hợp lý để điều tra và khắc phục. Chúng tôi nhắm đến việc giải quyết các lỗ hổng đã xác nhận trong vòng 30 ngày kể từ khi xác minh, tùy thuộc vào mức độ nghiêm trọng và độ phức tạp.
Ghi nhận: Với sự cho phép của bạn, chúng tôi sẽ ghi nhận công khai đóng góp của bạn cho bảo mật của Kicko. Chúng tôi không theo đuổi hành động pháp lý đối với các nhà nghiên cứu báo cáo lỗ hổng với thiện chí và tuân thủ các hướng dẫn này.

Liên hệ

Đối với các câu hỏi, lo ngại về bảo mật hoặc báo cáo lỗ hổng, vui lòng liên hệ:

Email hỗ trợ: contact@kicko.com
Hotline: +84 879-4904
Đơn vị chịu trách nhiệm: Kicko

Chúng tôi cam kết phản hồi mọi yêu cầu liên quan đến bảo mật trong vòng 24 giờ.

Last updated: March 30, 2026

Our Security Commitment

Kicko is a sales and business management platform that handles sensitive data every day — sales transactions, payment information, inventory records, staff information and customer records. We recognize that your trust depends on our ability to protect this data, and we treat security as a foundational engineering principle, not an add-on. Our security program is built on the principles of defense in depth, least privilege and continuous improvement, driven by a security-first engineering culture across every team at Kicko.

Infrastructure & Network Security

Kicko is hosted on enterprise-grade cloud infrastructure in the Vietnam region, ensuring compliance with Vietnam's data-localization requirements. Our infrastructure security includes:

Network segmentation: Production, staging and development environments are strictly isolated. Internal services communicate over a private network with tightly scoped firewall rules.
DDoS protection: Multi-layered distributed denial-of-service mitigation protects the platform at both the network and application layers.
Web application firewall (WAF): All incoming traffic is inspected by a WAF configured to detect and block common attack patterns, including SQL injection, cross-site scripting and request smuggling.
Penetration testing: We conduct regular penetration testing — both internally and through specialized third-party security firms — to identify and remediate vulnerabilities before they can be exploited.

Encryption

We apply strong encryption across the data lifecycle to protect your information at every stage:

In transit: All communication between your browser or device and the Kicko platform is encrypted with TLS 1.3 with forward secrecy. Internal service-to-service communication is also encrypted.
At rest: All data stored on servers — including databases, file storage and backups — is encrypted with AES-256, an industry-standard symmetric encryption algorithm.
Key management: Encryption keys are managed through a dedicated key-management system with automatic key rotation, strict access control and audit logging. Keys are never stored alongside the data they protect.
Payment data: Kicko does not store raw payment-card numbers on its servers. Card data is tokenized and processed only through PCI DSS-compliant payment processors.

Identity & Access Management

We enforce strict access controls across the platform and internal operations:

Role-based access control (RBAC): Both within the Kicko platform (for your team) and internally (for Kicko staff), access is granted based on defined roles with the minimum privileges needed to perform each function.
Multi-factor authentication (MFA): MFA is mandatory for all Kicko staff accessing production systems. We also offer and recommend MFA for Kicko business accounts.
Principle of least privilege: Access to systems, databases and infrastructure is granted only to individuals who need it for their specific responsibilities, and is reviewed periodically.
Comprehensive audit logging: All access to systems and sensitive data is logged with the user's identity, timestamp, action taken and result. Logs are stored securely and retained for 2 years.
Automatic access revocation: When a staff member leaves Kicko or changes role, access to all systems is revoked or adjusted automatically through the identity-management system.

Application Security

Security is built into every stage of our software development lifecycle (SDLC):

Secure development: All source code is developed following secure-coding guidelines and undergoes a mandatory peer-review process before being merged into the production branch.
Automated dependency scanning: Our CI/CD pipeline includes automated scanning of all third-party libraries for known vulnerabilities, with alerts triggered for any critical or high-severity findings.
Input validation & output encoding: All user input is validated and sanitized on both the client and server side. Output is properly encoded to prevent injection attacks.
OWASP Top 10 coverage: Our security-testing program is designed to address the OWASP Top 10 web application security risks, including broken access control, cryptographic failures, injection and security misconfiguration.
Secure API design: All APIs use authentication tokens, rate limiting and request validation. API keys and secrets are managed through a dedicated secrets-management system and are never committed to source code.

Payment Security

As a POS platform, payment security is of particular importance to Kicko:

PCI DSS compliance: Our payment-processing operations align with the Payment Card Industry Data Security Standard (PCI DSS). We work only with PCI DSS Level 1-certified payment processors for card transactions.
Tokenization: Payment-card data is tokenized at the point of entry. Kicko systems never store, process or transmit raw card numbers — only opaque tokens that have no meaning outside the payment processor's environment.
No plaintext storage: Under no circumstances is payment-card data stored in plaintext on any Kicko system, database, log file or backup.
Payment-processing partners: We partner with reputable, locally regulated payment processors (including VNPAY, Momo and ZaloPay) that maintain their own rigorous security and compliance programs.

Monitoring & Threat Detection

We maintain continuous observability into our systems to detect and respond to threats promptly:

24/7 monitoring: Infrastructure and application systems are monitored continuously around the clock for performance anomalies, error spikes and security events.
Anomaly detection: Machine-learning-based anomaly detection identifies unusual patterns in API usage, authentication attempts and data access that may indicate a security threat.
Intrusion detection: Network and host intrusion detection systems (IDS) monitor for suspicious activity, including unauthorized access attempts and lateral movement.
Centralized logging: All system, application and security logs are aggregated in a centralized, tamper-resistant logging platform for real-time analysis and historical investigation.

Incident Response

We maintain a documented incident-response plan that is tested and updated periodically:

Defined IR plan: Our incident-response plan clearly defines roles, responsibilities, escalation processes and communication procedures for security incidents at every severity level.
Severity classification: Incidents are classified by severity (Critical, High, Medium, Low) based on their potential impact on data confidentiality, integrity and availability, with a target response time for each level.
Breach notification: In the event of a confirmed data breach, we will notify the specialized personal-data-protection authority (Ministry of Public Security) within 72 hours of discovery, as required by Article 23 of the Personal Data Protection Law No. 91/2025/QH15 and Decree 356/2025/ND-CP, and promptly notify affected users with details of the breach, its impact and our remedial steps.
Post-incident review: Every security incident is followed by a thorough post-incident review (blameless root-cause analysis) to identify the root cause, assess response effectiveness and produce actionable improvements to prevent recurrence.

Business Continuity & Disaster Recovery

We design our systems and processes to ensure your business data remains available and recoverable, even in the event of a major disruption:

Regular backups: All critical data is backed up automatically every day, with point-in-time recovery capability. Backups are encrypted and stored in a geographic location separate from the primary data.
Geographic redundancy: Core services are deployed with redundancy across multiple availability zones within Vietnam, ensuring that a single infrastructure failure does not cause service loss.
Recovery targets: Our disaster-recovery program targets a Recovery Time Objective (RTO) of 4 hours and a Recovery Point Objective (RPO) of 1 hour for all critical services.
Annual DR testing: We conduct formal disaster-recovery testing at least once a year, simulating real-world incident scenarios to validate recovery procedures and identify areas for improvement.

Personnel Security

People are an integral part of our security posture. We invest to ensure every team member understands and carries out their security responsibilities:

Background checks: All Kicko staff undergo pre-employment background verification, commensurate with their role and level of access to sensitive systems.
Security-awareness training: Every staff member completes security-awareness training on joining and on a recurring basis thereafter. Training covers topics such as phishing recognition, safe data handling, password hygiene and incident reporting.
Confidentiality agreements: All staff and contractors sign a non-disclosure agreement (NDA) covering confidential business data and customer information.
Access provisioning and revocation: System access is granted based on role requirements and reviewed quarterly. On termination or role change, access is revoked or adjusted within 24 hours through an automated process.

Regulatory Compliance

Kicko is committed to complying with all applicable Vietnamese regulations on data protection, cybersecurity and financial-data handling:

Personal Data Protection Law No. 91/2025/QH15: We comply with all requirements relating to the collection, processing, storage and transfer of personal data, including the 7 data-subject rights (Article 4), 72-hour breach notification (Article 23), data protection impact assessments (DPIA), and cross-border transfer safeguards (Article 20).
Decree 356/2025/ND-CP: We implement the technical and organizational measures required by the guiding decree, including submitting a DPIA dossier within 60 days of starting processing, appointing personnel responsible for data protection (DPO), and establishing a rapid-response process for data breaches.
Cybersecurity Law (Law No. 24/2018/QH14) and Decree 53/2022/ND-CP: We comply with Vietnam's data-localization requirement (Clause 3, Article 26), storing Vietnamese users' data on in-country servers, maintaining appropriate cybersecurity measures and cooperating with competent authorities as required by law.
Continuous compliance monitoring: Our compliance status is reviewed continuously through internal audits, policy reviews and monitoring of legal developments. We update our practices promptly to meet new legal requirements or guidance.

Vulnerability Disclosure Program

We value the security research community and welcome responsible disclosure of vulnerabilities in the Kicko platform. If you discover a potential security issue, please report it to us following these guidelines:

How to report: Send a detailed description of the vulnerability to contact@kicko.com. Include reproduction steps, potential impact and any supporting evidence (screenshots, proof-of-concept code).
Acknowledgment: We will acknowledge receipt of your report within 24 hours and provide an initial assessment within 5 business days.
Responsible disclosure: We ask that you not publicly disclose the vulnerability until we have had a reasonable opportunity to investigate and remediate it. We aim to resolve confirmed vulnerabilities within 30 days of verification, depending on severity and complexity.
Recognition: With your permission, we will publicly acknowledge your contribution to Kicko's security. We do not pursue legal action against researchers who report vulnerabilities in good faith and comply with these guidelines.

Contact

For questions, security concerns or vulnerability reports, please contact:

Support email: contact@kicko.com
Hotline: +84 879-4904
Responsible entity: Kicko

We are committed to responding to all security-related requests within 24 hours.