Chính sách sử dụng Hubz API

Áp dụng từ: 06/11/2026 · Phiên bản 1.0

Hubz API giúp doanh nghiệp nối các cuộc trò chuyện Zalo với CRM, ERP và các phần mềm vận hành khác: Odoo, phần mềm bán hàng, hệ thống chăm sóc khách hàng. Hubz là nơi đội ngũ của bạn trò chuyện với khách hàng thật, nên API được thiết kế cho việc đồng bộ và chăm sóc, không dành cho marketing hàng loạt.

Khi tạo khóa tích hợp và gọi Hubz API, bạn đồng ý với chính sách này, cùng với Điều khoản sử dụng của Hubz.

1. API dùng để làm gì

Được phép, và chúng tôi khuyến khích:

• Đồng bộ khách hàng, hội thoại và lịch sử tin nhắn giữa Hubz và CRM, ERP của bạn.
• Nhận webhook khi có tin nhắn mới, để tạo cơ hội bán hàng, phiếu hỗ trợ hay nhắc việc trong hệ thống của bạn.
• Nhúng khung chat Hubz vào phần mềm nội bộ, để nhân viên trả lời khách ngay trên hồ sơ khách hàng.
• Gửi tin nhắn do nhân viên soạn hoặc duyệt, trả lời khách hàng đã liên hệ hoặc đã đồng ý nhận tin từ doanh nghiệp bạn.
• Gửi tin giao dịch cho từng khách cụ thể, ví dụ xác nhận đơn hàng hay lịch hẹn, khi khách đã chủ động trao đổi với bạn qua Zalo.

2. Những việc không được làm

Không được dùng Hubz API, kể cả gián tiếp qua phần mềm của bên thứ ba, để:

1. Gửi tin nhắn hàng loạt, tin quảng cáo, khuyến mãi tới danh sách người nhận chưa từng trao đổi hoặc chưa đồng ý nhận tin.
2. Tự động kết bạn, mời vào nhóm, hay quét và tìm tài khoản Zalo từ danh sách số điện thoại.
3. Thu thập dữ liệu người dùng Zalo (scraping): hồ sơ, danh bạ, thành viên nhóm, vượt ngoài các hội thoại của chính doanh nghiệp bạn.
4. Nuôi nick, chạy tài khoản ảo, hoặc dùng nhiều tài khoản để lách giới hạn của Zalo.
5. Gửi nội dung lừa đảo, giả mạo, vi phạm pháp luật Việt Nam, hoặc nội dung quấy rối.
6. Giả làm Hubz, BMS hay Zalo, hoặc bán lại, cho thuê quyền truy cập API mà không có thỏa thuận bằng văn bản với BMS.
7. Thử vượt qua giới hạn tốc độ, cơ chế xác thực, hay quyền truy cập dữ liệu giữa các doanh nghiệp.

3. Rủi ro với số Zalo của bạn

Hubz kết nối tài khoản Zalo cá nhân không qua API chính thức của Zalo. Hubz không phải sản phẩm của Zalo hay VNG. Zalo có thể hạn chế hoặc khóa số có hành vi bất thường, ví dụ gửi dồn dập, nội dung lặp lại, hay bị nhiều người báo cáo.

• Tin gửi qua API được tính như tin do chính số Zalo đó gửi.
• Hubz áp dụng giới hạn tốc độ để giảm rủi ro, nhưng không thể bảo đảm số Zalo không bị hạn chế.
• Doanh nghiệp tự chịu trách nhiệm về nội dung và nhịp gửi tin từ hệ thống của mình.

4. Khóa tích hợp và bảo mật

• Chỉ Chủ doanh nghiệp tạo được khóa tích hợp. Việc tạo, thu hồi khóa và mọi thao tác thay đổi dữ liệu qua API (gửi tin, liên kết khách, đăng ký webhook) đều được ghi nhật ký.
• Gửi khóa trong header Authorization: Bearer hbz_live_…. Muốn thao tác dưới tên một nhân viên, thêm header X-Hubz-User là email của người đó.
• Giữ khóa như mật khẩu: không đưa lên mã nguồn công khai, không gửi qua chat.
• Luôn kiểm tra chữ ký X-Hubz-Signature của webhook trước khi xử lý.
• Khi nghi lộ khóa, thu hồi ngay trong mục Tích hợp và tạo khóa mới.

5. Dữ liệu cá nhân

Dữ liệu đi qua API là dữ liệu cá nhân của khách hàng của bạn. Bạn chịu trách nhiệm có cơ sở hợp pháp để xử lý dữ liệu đó, chỉ dùng đúng mục đích chăm sóc và giao dịch, và tuân thủ quy định pháp luật Việt Nam về bảo vệ dữ liệu cá nhân.

6. Giới hạn và thay đổi

• API có giới hạn tốc độ theo khóa, hiện khoảng 300 request mỗi phút. Vượt giới hạn, API trả mã 429 kèm Retry-After. Mức này có thể điều chỉnh, nhất là trong giai đoạn beta.
• Thay đổi phá vỡ tương thích sẽ được báo trước trong Nhật ký thay đổi của tài liệu API.

7. Khi vi phạm

Tùy mức độ, Hubz có thể nhắc nhở, giảm giới hạn tốc độ, tạm khóa hoặc thu hồi khóa tích hợp, và tạm dừng tài khoản Hubz. Với vi phạm nghiêm trọng như spam, lừa đảo hay thu thập dữ liệu, Hubz thu hồi khóa ngay, không cần báo trước.

Báo cáo lạm dụng hoặc hỏi về chính sách: cs@bmstech.com.vn.