Chính sách quyền riêng tư ComicStation

BẢN NHÁP – CẦN LUẬT SƯ REVIEW. Các mục đánh dấu [CẦN XÁC NHẬN] chưa được xác nhận.

1. Bên kiểm soát dữ liệu và liên hệ

ComicStation (comicstation.store) do [CẦN XÁC NHẬN: tên pháp nhân, mã số doanh nghiệp], địa chỉ [CẦN XÁC NHẬN: địa chỉ trụ sở] vận hành ("chúng tôi").

• Liên hệ về dữ liệu cá nhân: privacy@comicstation.store
• Hỗ trợ chung: support@comicstation.store
• Người/bộ phận phụ trách bảo vệ dữ liệu cá nhân (DPO): [CẦN XÁC NHẬN]

Chính sách này áp dụng theo Nghị định 13/2023/NĐ-CP, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ([CẦN XÁC NHẬN: hiệu lực và điều khoản áp dụng]), GDPR (EU) với người dùng tại EU, và các luật bảo vệ người tiêu dùng nơi bạn sống nếu có.

2. Dữ liệu chúng tôi thu thập

• Tài khoản: email, tên và ảnh đại diện từ Google khi bạn đăng nhập bằng Google, mã định danh tài khoản.
• Hồ sơ: tên hiển thị, tên người dùng (@handle), tiểu sử, ảnh đại diện và ảnh bìa bạn tự nhập.
• Nội dung bạn tạo: truyện, chương, bài đăng, bình luận, cảm xúc, danh sách, báo cáo vi phạm.
• Quan hệ xã hội: theo dõi, kết nối, chặn, tắt tiếng, hạn chế, tạm ẩn.
• Tin nhắn: nội dung tin nhắn, tệp đính kèm, cảm xúc, lịch sử chỉnh sửa, trạng thái đã đọc, thời điểm hoạt động gần nhất (nếu bạn không tắt "hiển thị đang hoạt động").
• Ví và thanh toán: lịch sử nạp Xu (số tiền, nhà cung cấp, trạng thái), sổ cái Xu, tài trợ, thu nhập bản quyền. Chúng tôi không lưu số thẻ.
• Tác giả nhận tiền: họ tên, địa chỉ, ngày sinh, email nhận tiền, thông tin tài khoản ngân hàng/PayPal/Payoneer khi bạn đăng ký rút tiền.
• Bằng chứng hợp đồng: phiên bản, mã SHA-256 văn bản, thời điểm, IP, trình duyệt khi bạn chấp nhận Hợp đồng Tác giả hoặc Điều khoản Nhà tài trợ.
• Bảo mật: phiên đăng nhập, địa chỉ IP, trình duyệt/thiết bị, lịch sử đăng nhập, xác thực hai lớp.
• Thiết bị: đăng ký thông báo đẩy (endpoint và khóa của trình duyệt).
• Cài đặt: ngôn ngữ, múi giờ, tiền tệ, nội dung 18+, bộ lọc cảnh báo, quyền riêng tư, thông báo.
• Hoạt động sử dụng: lịch sử đọc, lượt xem hồ sơ, tổng hợp hoạt động theo ngày và nhóm sở thích để gợi ý nội dung.

Chúng tôi không dùng cookie quảng cáo hay công cụ phân tích của bên thứ ba, và không cố ý thu thập dữ liệu nhạy cảm. Đừng gửi dữ liệu nhạy cảm (sức khỏe, tôn giáo, giấy tờ tùy thân…) qua tin nhắn hay bài đăng.

3. Mục đích và cơ sở pháp lý

• Cung cấp dịch vụ (tài khoản, đọc, đăng truyện, nhắn tin, thông báo, ví Xu): thực hiện hợp đồng với bạn (GDPR Điều 6.1.b); sự đồng ý của bạn theo Nghị định 13.
• Thanh toán, chia doanh thu, rút tiền, kế toán, thuế: thực hiện hợp đồng và nghĩa vụ pháp lý.
• Bảo mật, chống gian lận, chống spam, kiểm tra mã độc tệp đính kèm: lợi ích hợp pháp và nghĩa vụ pháp lý.
• Kiểm duyệt, xử lý báo cáo và khiếu nại bản quyền: lợi ích hợp pháp và nghĩa vụ pháp lý.
• Cá nhân hóa gợi ý: sự đồng ý (bạn tắt được bất cứ lúc nào trong Tài khoản › Quyền riêng tư).
• Dịch truyện bằng AI: thực hiện hợp đồng với tác giả và nhà tài trợ.

Hiện chúng tôi không gửi email tiếp thị. Nếu sau này có, chúng tôi sẽ xin đồng ý riêng và có nút từ chối.

4. Bên xử lý và nhà cung cấp

• Supabase: cơ sở dữ liệu, xác thực, lưu trữ, hàm máy chủ. Khu vực máy chủ: [CẦN XÁC NHẬN].
• Cloudflare: lưu trữ trang web (Workers), lưu trữ tệp (R2), CDN, chống bot (Turnstile), AI (Workers AI).
• Google: đăng nhập Google, máy chủ API và quét virus (Cloud Run), dịch và xử lý AI (Vertex AI/Gemini). Khu vực: [CẦN XÁC NHẬN].
• Bunny.net: phát video.
• Resend: gửi email hệ thống.
• RunPod, Modal: máy tính GPU xử lý trang truyện để dịch (chỉ nội dung truyện).
• Dịch vụ thông báo đẩy của trình duyệt (Google, Apple, Mozilla, Microsoft): chuyển thông báo đến thiết bị của bạn.
• Ngân hàng tại Việt Nam, PayPal, Payoneer: chi trả cho tác giả.
• Cổng thanh toán nạp Xu: [CẦN XÁC NHẬN tên nhà cung cấp].

Các bên này chỉ xử lý dữ liệu theo chỉ dẫn của chúng tôi. Chúng tôi không bán dữ liệu cá nhân.

5. Chuyển dữ liệu ra nước ngoài

Phần lớn nhà cung cấp trên đặt máy chủ ngoài Việt Nam và có thể ngoài EU. Chúng tôi chuyển dữ liệu ra nước ngoài trên cơ sở sự đồng ý của bạn và hồ sơ đánh giá tác động chuyển dữ liệu theo Nghị định 13 ([CẦN XÁC NHẬN: đã lập và nộp hồ sơ cho Bộ Công an (A05) chưa]). Với người dùng tại EU, chúng tôi dựa trên Điều khoản hợp đồng mẫu (SCC) của nhà cung cấp ([CẦN XÁC NHẬN]).

6. Tin nhắn riêng

• Tin nhắn không được mã hóa đầu cuối. Tin nhắn được mã hóa khi truyền (HTTPS) và lưu trên hạ tầng của nhà cung cấp.
• Nhân viên chỉ xem tin nhắn khi xử lý báo cáo, sự cố an toàn hoặc yêu cầu pháp lý. Mọi lần xem đều được ghi nhật ký (ai, khi nào, cuộc trò chuyện nào).
• Tệp đính kèm được kiểm tra: chặn tệp thực thi, tệp có macro, PDF có nội dung chạy được, tệp nén chứa tệp thực thi, và quét virus.
• Bạn có thể bật Ẩn nội dung xem trước để thông báo đẩy chỉ hiện người gửi, không hiện nội dung.
• Người lạ nhắn tin sẽ vào mục Tin nhắn chờ. Bạn có thể chặn, hạn chế, tắt tiếng hoặc báo cáo.
• Khi bạn thu hồi tin nhắn, nội dung, lịch sử chỉnh sửa và cảm xúc bị xóa trong lượt dọn dữ liệu hằng ngày.

7. Thời gian lưu trữ

• Tài khoản và nội dung: đến khi bạn xóa tài khoản.
• Xóa tài khoản: có 30 ngày để hủy. Sau đó hệ thống ẩn danh hóa tài khoản trong lượt chạy hằng ngày: xóa email, tên, @handle, nội dung bài đăng và bình luận, theo dõi, đăng ký thông báo đẩy, phiên đăng nhập, liên kết Google, tin nhắn của bạn (người khác thấy "đã thu hồi"), địa chỉ/ngày sinh/email nhận tiền.
• Hồ sơ tài chính (sổ cái Xu, nạp tiền, bản quyền, chi trả, bằng chứng hợp đồng): giữ dưới mã ẩn danh trong thời hạn pháp luật kế toán, thuế yêu cầu ([CẦN XÁC NHẬN số năm]).
• Thông báo: đã đọc xóa sau 30 ngày, mọi thông báo xóa sau 90 ngày, nhật ký gửi đẩy 3 ngày.
• Hoạt động đọc theo ngày: 180 ngày.
• Thời điểm hoạt động trong tin nhắn: 30 ngày.
• Tệp đính kèm chưa gửi: 1 ngày. Tệp của tin nhắn đã thu hồi được xóa khỏi kho lưu trữ trong vòng vài giờ.
• Phiên đăng nhập, lịch sử đăng nhập, nhật ký kiểm tra: trong thời gian tài khoản tồn tại ([CẦN XÁC NHẬN thời hạn tối đa]).

8. Quyền của bạn và cách thực hiện

• Truy cập và mang dữ liệu đi: Tài khoản › Dữ liệu và tài khoản › Tải dữ liệu (tệp JSON, gồm cả tin nhắn và liên kết tải tệp đính kèm; tối đa 3 lần/24 giờ).
• Chỉnh sửa: Tài khoản › Hồ sơ, Bảo mật và đăng nhập.
• Xóa: Tài khoản › Dữ liệu và tài khoản › Xóa tài khoản.
• Rút lại đồng ý, phản đối: tắt cá nhân hóa, ẩn khỏi tìm kiếm, tắt thông báo đẩy trong Tài khoản; hoặc xóa tài khoản.
• Hạn chế xử lý: tạm vô hiệu hóa tài khoản trong Tài khoản › Dữ liệu và tài khoản, hoặc email privacy@comicstation.store.
• Khiếu nại: liên hệ chúng tôi trước; bạn cũng có quyền khiếu nại tới Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05, Bộ Công an) hoặc cơ quan bảo vệ dữ liệu nơi bạn sống.

Thời hạn phản hồi: chúng tôi trả lời yêu cầu gửi qua email trong thời hạn luật áp dụng yêu cầu, không quá 30 ngày; với yêu cầu theo pháp luật Việt Nam, chúng tôi đặt mục tiêu 72 giờ ([CẦN XÁC NHẬN với luật sư]). Chúng tôi có thể cần xác minh danh tính trước khi xử lý.

9. Bảo mật và thông báo vi phạm

Chúng tôi dùng HTTPS bắt buộc (HSTS), phân quyền dữ liệu theo dòng (RLS), xác thực hai lớp tùy chọn, ghi nhật ký truy cập quản trị và giới hạn tần suất. Nếu xảy ra sự cố lộ dữ liệu, chúng tôi sẽ thông báo cho cơ quan có thẩm quyền trong vòng 72 giờ kể từ khi phát hiện theo quy định áp dụng, và báo cho bạn không chậm trễ nếu sự cố có thể gây rủi ro cho bạn ([CẦN XÁC NHẬN quy trình nội bộ]).

10. Trẻ em và độ tuổi tối thiểu

• Bạn phải từ đủ 13 tuổi để tạo tài khoản.
• Nếu bạn dưới 16 tuổi (hoặc dưới tuổi mà luật nơi bạn sống yêu cầu), cha mẹ hoặc người giám hộ phải đồng ý việc xử lý dữ liệu của bạn ([CẦN XÁC NHẬN: yêu cầu riêng với trẻ từ 7 tuổi theo Nghị định 13]).
• Nội dung 18+ chỉ hiện khi bạn xác nhận đủ 18 tuổi.
• Nếu biết tài khoản thuộc về trẻ dưới 13 tuổi, chúng tôi sẽ xóa tài khoản đó. Cha mẹ có thể liên hệ privacy@comicstation.store.

11. Người dùng tại California (CCPA)

Chúng tôi không bán và không chia sẻ thông tin cá nhân cho quảng cáo hành vi. Bạn có quyền biết, xóa, sửa dữ liệu và không bị phân biệt đối xử khi thực hiện quyền. Gửi yêu cầu qua công cụ trong Tài khoản hoặc privacy@comicstation.store.

12. Cookie

Xem Thông báo cookie.

13. Thay đổi

Khi thay đổi quan trọng, chúng tôi sẽ thông báo trên trang web trước khi áp dụng. Phiên bản: 2026-10-15.