Chính sách bảo vệ dữ liệu cá nhân

1. Người thu thập, kiểm soát và xử lý dữ liệu

Bên kiểm soát và xử lý dữ liệu cá nhân là người vận hành CIA, một cá nhân. Họ tên, mã số thuế cá nhân, địa chỉ và điện thoại được công bố tại trang Thông tin người bán (liên kết ở cuối trang này).

• Email về dữ liệu cá nhân: [email protected]

2. Dịch vụ này làm gì và chính sách áp dụng cho ai

CIA giúp khách hàng phân tích dữ liệu công khai trên Internet. Chính sách áp dụng cho hai nhóm người:

• Nhóm A — khách hàng: người đăng ký và sử dụng CIA.
• Nhóm B — người và tổ chức xuất hiện trong dữ liệu công khai được phân tích: chủ tài khoản, kênh, trang; người viết bình luận hoặc review công khai; nhà quảng cáo; doanh nghiệp và người đăng tin.

3. Dữ liệu của khách hàng (nhóm A)

Chúng tôi thu thập:

• tài khoản: email, tên, ngôn ngữ, mật khẩu đã băm một chiều, tài khoản Google nếu bạn đăng nhập bằng Google;
• nội dung bạn tạo: tham số bạn nhập khi chạy công cụ (từ khoá, tên tài khoản, link) và báo cáo kết quả;
• giao dịch: số tiền, mã giao dịch, thời điểm. Chúng tôi KHÔNG lưu số thẻ, số tài khoản ngân hàng hay tên chủ tài khoản; PayOS và PayPal xử lý phần đó;
• kỹ thuật: địa chỉ IP, cookie phiên đăng nhập, nhật ký đăng nhập và nhật ký sử dụng công cụ;
• mã giới thiệu nếu bạn đăng ký qua link giới thiệu.

4. Dữ liệu công khai được phân tích (nhóm B)

Chúng tôi chỉ xử lý dữ liệu ĐÃ ĐƯỢC CÔNG KHAI tại thời điểm khách hàng chạy công cụ, theo từng loại:

• hồ sơ và bài đăng mạng xã hội: tên hiển thị, tên tài khoản, ảnh đại diện, tiểu sử, số liệu tương tác, nội dung bài đăng;
• bình luận công khai: tên tài khoản người bình luận và nội dung;
• review công khai trên Google Maps và các trang đánh giá: CHỈ tên hiển thị của người review và nội dung review; không lưu ảnh đại diện, link hồ sơ hay mã định danh người review;
• quảng cáo trong thư viện quảng cáo công khai: tên nhà quảng cáo, nội dung, trang đích, thời gian chạy;
• doanh nghiệp, sản phẩm, tin tuyển dụng, ứng dụng, website và bất động sản: thông tin công khai của tổ chức, gồm số điện thoại doanh nghiệp đăng công khai trên danh bạ địa điểm;
• người theo dõi (follower): chỉ lưu tỉ lệ tổng hợp (quốc gia, ngôn ngữ, tỉ lệ tài khoản trống), không lưu danh tính từng người.

5. Những gì chúng tôi không thu thập

Chúng tôi KHÔNG cung cấp email hay số điện thoại cá nhân: hệ thống tự xoá mọi trường email, che địa chỉ email lẫn trong văn bản, và xoá số điện thoại ở mọi nguồn trừ danh bạ doanh nghiệp. Chúng tôi không đăng nhập vào tài khoản của bất kỳ ai, không lấy dữ liệu riêng tư, và không có công cụ tra cứu người để liên hệ. Chúng tôi không chủ động thu thập hay phân tích dữ liệu cá nhân nhạy cảm; nếu nội dung công khai có chứa loại dữ liệu này, hệ thống không tách riêng, không phân loại và không suy luận từ đó.

6. Mục đích xử lý

Dữ liệu chỉ được dùng cho các mục đích sau:

• nhóm A: cung cấp dịch vụ, xử lý thanh toán, hỗ trợ khách hàng, bảo mật tài khoản (phát hiện đăng nhập bất thường), gửi email giao dịch;
• nhóm B: tạo báo cáo phân tích theo yêu cầu của khách hàng.

7. Căn cứ xử lý

Với nhóm A: sự đồng ý của bạn khi đăng ký và việc thực hiện hợp đồng dịch vụ. Với nhóm B: dữ liệu do chính chủ thể tự công khai; chúng tôi chỉ xử lý phần đã công khai, và chủ thể có quyền phản đối, yêu cầu xoá như nêu tại mục 14.

8. Cách thức xử lý

Dữ liệu công khai được lấy qua giao diện lập trình (API) của nhà cung cấp dữ liệu, xử lý tự động trên máy chủ, làm sạch theo mục 5 trước khi lưu, rồi lưu trong cơ sở dữ liệu có phân quyền. Chúng tôi không bán dữ liệu, không dùng dữ liệu của bạn để huấn luyện mô hình trí tuệ nhân tạo, và không gắn công cụ đo lường hay quảng cáo của bên thứ ba vào ứng dụng.

9. Bên nhận và bên xử lý khác

Dữ liệu có thể được chia sẻ với:

• PayOS (Việt Nam) và PayPal (quốc tế): xử lý thanh toán;
• nhà cung cấp máy chủ và dịch vụ gửi email;
• nhà cung cấp API dữ liệu (máy chủ ngoài Việt Nam): chỉ nhận tham số tra cứu của lượt chạy (từ khoá, tên tài khoản, link), không nhận thông tin tài khoản của bạn;
• Google LLC: khi bạn đăng nhập bằng Google;
• proxycheck.io (Vương quốc Anh): nhận địa chỉ IP khi bạn đăng nhập, để phát hiện VPN/proxy;
• cơ quan nhà nước có thẩm quyền khi pháp luật yêu cầu.

10. Chuyển dữ liệu ra nước ngoài

Một số bên ở mục 9 đặt máy chủ ngoài Việt Nam (PayPal, Google, proxycheck.io, nhà cung cấp API dữ liệu). Dữ liệu chuyển đi được giới hạn ở mức cần thiết cho từng mục đích. Chúng tôi lập và lưu hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo quy định.

11. Nơi lưu trữ và thời hạn lưu

Dữ liệu tài khoản, giao dịch và báo cáo được lưu trên máy chủ do chúng tôi thuê và quản lý, trong cơ sở dữ liệu có phân quyền; báo cáo của mỗi khách hàng chỉ chủ tài khoản đó xem được. Nhật ký đăng nhập và danh sách thiết bị đã biết — gồm địa chỉ IP — được xoá tự động sau 180 ngày; thiết bị lâu không dùng sẽ được hỏi mã xác minh lại như thiết bị mới.

12. Thời gian lưu

Chúng tôi lưu dữ liệu trong các thời hạn sau rồi xoá:

• tài khoản: đến khi bạn xoá tài khoản;
• lịch sử giao dịch (số tiền, mã giao dịch, thời điểm): tối đa 10 năm, để đối soát thanh toán và giải quyết khiếu nại, kể cả sau khi xoá tài khoản;
• nội dung báo cáo: 90 ngày kể từ ngày tạo, sau đó tự động xoá; thông tin về lượt chạy và credit vẫn được giữ;
• nhật ký kỹ thuật: tối đa 90 ngày;
• yêu cầu về dữ liệu (xoá, phản đối, bản quyền): email và nội dung của người gửi được xoá 12 tháng sau khi xử lý xong; tên tài khoản, loại yêu cầu và kết quả được giữ làm bằng chứng đã xử lý.

13. Biện pháp bảo vệ

Kết nối mã hoá HTTPS; mật khẩu băm một chiều; phân quyền quản trị; khoá truy cập theo IP và thiết bị cho khu vực quản trị; tự khoá tài khoản khi đăng nhập sai nhiều lần; xác minh qua email khi đăng nhập từ VPN/proxy hoặc từ thiết bị, mạng mới (nhận diện thiết bị bằng cookie riêng); không ghi nhật ký dữ liệu thanh toán thô; sao lưu định kỳ. Chúng tôi cam kết giữ bí mật dữ liệu cá nhân của khách hàng; không sử dụng, chuyển giao, cung cấp hay tiết lộ cho bên thứ ba khi chưa có sự đồng ý của bạn, trừ các bên xử lý nêu tại mục 9 và trường hợp cơ quan nhà nước có thẩm quyền yêu cầu theo pháp luật.

14. Quyền của chủ thể dữ liệu

Bạn có quyền: được biết; đồng ý; truy cập; rút lại sự đồng ý; xoá dữ liệu; hạn chế xử lý; yêu cầu cung cấp dữ liệu; phản đối xử lý; khiếu nại, tố cáo, khởi kiện; yêu cầu bồi thường thiệt hại; tự bảo vệ. Cách thực hiện:

• khách hàng (nhóm A): sửa thông tin và xoá tài khoản trong mục Cài đặt, xuất báo cáo bằng nút Xuất Excel, hoặc gửi email tới [email protected];
• người và tổ chức trong dữ liệu công khai (nhóm B): gửi yêu cầu tại trang Yêu cầu về dữ liệu. Khi yêu cầu được chấp nhận, chúng tôi xoá các báo cáo có chứa tài khoản hoặc tên hiển thị của bạn và chặn không cho phân tích nữa (với review Google Maps: review của bạn bị loại khỏi các báo cáo sau).

15. Thời hạn xử lý yêu cầu

Yêu cầu xoá dữ liệu được xử lý trong 72 giờ kể từ khi nhận yêu cầu hợp lệ. Các yêu cầu khác được phản hồi trong thời hạn pháp luật quy định. Để tránh bị lợi dụng, chúng tôi có thể xác minh bạn là chủ tài khoản, ví dụ đề nghị bạn đăng một mã xác nhận lên tiểu sử tài khoản.

16. Hậu quả, thiệt hại không mong muốn có thể xảy ra

Báo cáo tổng hợp dữ liệu công khai có thể bị khách hàng dùng sai mục đích, ví dụ để quấy rối một cá nhân hay người viết review. Chúng tôi giảm thiểu bằng cách: cấm các hành vi này trong Điều khoản sử dụng, không cung cấp email hay số điện thoại cá nhân, không lưu danh tính người theo dõi, chỉ lưu tên hiển thị của người review, tự xoá báo cáo sau thời hạn lưu, và khoá tài khoản vi phạm.

17. Xử lý sự cố

Khi phát hiện vi phạm dữ liệu cá nhân, chúng tôi thông báo cho cơ quan chức năng (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao — Bộ Công an) trong 72 giờ và thông báo cho người bị ảnh hưởng.

18. Cookie

Cookie của chúng tôi đều là cookie cần thiết: phiên đăng nhập, bảo vệ biểu mẫu (CSRF), ngôn ngữ, mã giới thiệu, nguồn truy cập lần đầu (để biết bạn đến từ tìm kiếm, quảng cáo hay người giới thiệu), nhận diện thiết bị đăng nhập (để hỏi mã xác minh khi bạn đăng nhập từ thiết bị mới) và thiết bị được phép truy cập khu vực quản trị. Ngoài ra, công cụ phân tích nêu ở mục 22 đặt thêm cookie của riêng nó; bạn chặn được bằng cách từ chối cookie phân tích trong trình duyệt.

19. Trẻ em

Dịch vụ dành cho người từ đủ 18 tuổi. Chúng tôi không cố ý xử lý dữ liệu của trẻ em. Nếu một tài khoản được phân tích thuộc về trẻ em, người đại diện hợp pháp có thể yêu cầu xoá tại trang Yêu cầu về dữ liệu.

20. Thay đổi chính sách

Khi chính sách thay đổi, chúng tôi cập nhật số phiên bản và ngày hiệu lực ở đầu trang, thông báo trong ứng dụng, và đề nghị bạn đồng ý lại ở lần sử dụng tiếp theo.

21. Tiếp nhận và giải quyết khiếu nại

Mọi câu hỏi, yêu cầu hay khiếu nại về dữ liệu cá nhân gửi tới [email protected] hoặc trang Yêu cầu về dữ liệu. Chúng tôi xác nhận đã nhận trong 24 giờ làm việc, trả lời trong tối đa 7 ngày làm việc (yêu cầu xoá dữ liệu: 72 giờ). Nếu không đồng ý với kết quả, bạn có quyền khiếu nại tới cơ quan có thẩm quyền hoặc khởi kiện theo pháp luật. Quy trình chi tiết nêu tại trang Giải quyết khiếu nại.

22. Đo lường và phân tích website

Chúng tôi dùng công cụ phân tích của bên thứ ba (Google Analytics của Google LLC và/hoặc Meta Pixel của Meta Platforms) trên trang công khai và trong ứng dụng sau khi đăng nhập, để biết người dùng tìm thấy CIA từ đâu và chỗ nào trong sản phẩm gây khó. Những gì được gửi đi và quyền của bạn:

• Dữ liệu gửi đi: địa chỉ IP, loại thiết bị và trình duyệt, trang bạn xem, thời điểm xem, và một mã nhận dạng ngẫu nhiên do công cụ đó đặt trong cookie. Chúng tôi KHÔNG gửi email, tên, số điện thoại hay nội dung báo cáo của bạn.
• Đây là chuyển dữ liệu ra nước ngoài theo mục 10: các công cụ này đặt máy chủ ngoài Việt Nam.
• Cơ sở xử lý là sự đồng ý của bạn. Bạn chặn được bằng cách từ chối cookie phân tích trong trình duyệt, dùng chế độ chặn theo dõi, hoặc gửi yêu cầu qua trang Yêu cầu về dữ liệu.
• Chúng tôi không dùng dữ liệu này để quyết định tự động điều gì về bạn, và không bán nó.