Chính sách bảo vệ dữ liệu cá nhân

Cập nhật lần cuối: 13/08/2026 · Hiệu lực từ: 13/08/2026

Trạm Sáng Tạo tôn trọng và bảo vệ dữ liệu cá nhân của bạn. Chính sách này giải thích chúng tôi thu thập dữ liệu gì, xử lý vì mục đích nào, chia sẻ với ai, lưu trong bao lâu và bạn có những quyền gì — theo Luật Bảo vệ dữ liệu cá nhân 2025 (Luật số 91/2025/QH15, hiệu lực 01/01/2026) và Nghị định 356/2025/NĐ-CP.

Trong Chính sách này, Trạm Sáng Tạo là Bên Kiểm soát dữ liệu cá nhân đối với dữ liệu tài khoản và dữ liệu sử dụng của bạn; bạn là Chủ thể dữ liệu.

1. Dữ liệu cá nhân chúng tôi xử lý

1.1. Dữ liệu cá nhân cơ bản

• Dữ liệu tài khoản: họ tên, địa chỉ email, ảnh đại diện, ID người dùng do Google cung cấp khi bạn đăng nhập qua Google OAuth.
• Dữ liệu liên hệ: số điện thoại, tài khoản Zalo/Telegram nếu bạn tự cung cấp khi cần hỗ trợ.
• Dữ liệu kỹ thuật: địa chỉ IP, loại thiết bị, trình duyệt, nhật ký truy cập, thời điểm truy cập.
• Dữ liệu sử dụng: lịch sử job, prompt, model đã dùng, tham số tạo nội dung, số credit, lịch sử giao dịch.
• Dữ liệu thanh toán: mã đơn hàng, số tiền, thời điểm, trạng thái giao dịch. Chúng tôi không thu thập và không lưu số thẻ hay thông tin xác thực ngân hàng của bạn — phần này do cổng thanh toán trung gian xử lý.

1.2. Dữ liệu cá nhân nhạy cảm

Khi bạn tải lên ảnh chân dung, video có mặt người, hoặc mẫu giọng nói để tạo nội dung, dữ liệu đó là dữ liệu sinh trắc học — thuộc nhóm dữ liệu cá nhân nhạy cảm theo pháp luật bảo vệ dữ liệu cá nhân. Với nhóm dữ liệu này:

• Chúng tôi chỉ xử lý khi bạn chủ động tải lên và chỉ để thực hiện đúng yêu cầu tạo nội dung của bạn.
• Chúng tôi giới hạn quyền truy cập nội bộ, áp dụng biện pháp bảo vệ khi lưu trữ và khi truyền dữ liệu.
• Chúng tôi không dùng dữ liệu sinh trắc học để nhận dạng, phân loại, lập hồ sơ (profiling) hay huấn luyện mô hình AI riêng.
• Bạn có trách nhiệm bảo đảm đã có sự đồng ý hợp pháp của người trong ảnh/video/giọng nói theo Chính sách nội dung.

2. Căn cứ xử lý và sự đồng ý

• Sự đồng ý của bạn: khi bạn tạo tài khoản và khi bạn tải đầu vào lên để tạo nội dung. Sự đồng ý là tự nguyện, rõ ràng và có thể rút lại.
• Thực hiện hợp đồng: xử lý dữ liệu cần thiết để cung cấp Dịch vụ mà bạn đã yêu cầu và thanh toán, theo Điều khoản sử dụng.
• Thực hiện nghĩa vụ pháp lý: lưu nhật ký, cung cấp thông tin cho cơ quan có thẩm quyền theo yêu cầu hợp pháp; nghĩa vụ về thuế, kế toán.
• Bảo vệ an toàn hệ thống: phát hiện gian lận, lạm dụng, tấn công mạng và bảo vệ quyền lợi của người dùng khác.

Việc bạn rút lại sự đồng ý không ảnh hưởng tới tính hợp pháp của hoạt động xử lý đã thực hiện trước đó, nhưng có thể khiến chúng tôi không thể tiếp tục cung cấp một phần hoặc toàn bộ Dịch vụ.

3. Mục đích xử lý

• Tạo, xác thực và quản lý tài khoản của bạn.
• Tiếp nhận và thực hiện yêu cầu tạo ảnh, video, âm thanh; trả kết quả về cho bạn.
• Xử lý thanh toán, quản lý credit, xuất chứng từ và giải quyết hoàn tiền.
• Hỗ trợ khách hàng, xử lý khiếu nại, tranh chấp.
• Bảo đảm an toàn, an ninh hệ thống; phát hiện và ngăn chặn hành vi lạm dụng, vi phạm Chính sách nội dung.
• Phân tích tổng hợp (ở dạng thống kê, không định danh) để cải thiện chất lượng dịch vụ.
• Gửi thông báo vận hành quan trọng: biến động credit, trạng thái job, thay đổi chính sách, cảnh báo bảo mật.

Chúng tôi không bán dữ liệu cá nhân của bạn. Chúng tôi không dùng dữ liệu của bạn để huấn luyện mô hình AI riêng.

4. Chia sẻ dữ liệu

Dữ liệu chỉ được chia sẻ trong phạm vi cần thiết, với các nhóm sau:

• Nhà cung cấp AI bên thứ ba: nhận prompt và tệp đầu vào của bạn để thực hiện yêu cầu tạo nội dung. Chúng tôi truyền ở mức tối thiểu cần thiết và không kèm theo dữ liệu tài khoản (tên, email) của bạn.
• Nhà cung cấp hạ tầng lưu trữ và CDN: lưu trữ tệp đầu vào, đầu ra và phân phối nội dung tới bạn.
• Cổng thanh toán: xử lý giao dịch mua credit.
• Đơn vị hỗ trợ vận hành: công cụ gửi email, chat hỗ trợ, phân tích truy cập — hoạt động theo hợp đồng, chỉ trong phạm vi mục đích đã nêu.
• Cơ quan nhà nước có thẩm quyền: khi có yêu cầu hợp pháp bằng văn bản theo Luật An ninh mạng 2025, Nghị định 147/2024/NĐ-CP và pháp luật tố tụng.

Các bên nhận dữ liệu để xử lý theo yêu cầu của chúng tôi là Bên Xử lý dữ liệu cá nhân, có nghĩa vụ bảo mật và chỉ được xử lý trong phạm vi được chỉ định.

5. Chuyển dữ liệu cá nhân ra nước ngoài

Một phần mô hình AI mà Dịch vụ kết nối tới được vận hành bởi tổ chức ở nước ngoài. Do đó, để thực hiện yêu cầu tạo nội dung của bạn, prompt và tệp đầu vào của bạn có thể được chuyển và xử lý ngoài lãnh thổ Việt Nam.

• Chúng tôi chỉ chuyển dữ liệu ở mức tối thiểu cần thiết cho việc xử lý yêu cầu, thông qua kết nối được mã hóa.
• Chúng tôi thực hiện lập và lưu Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo mẫu quy định tại Nghị định 356/2025/NĐ-CP, nộp cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân theo thời hạn pháp luật quy định, và cập nhật hồ sơ khi có thay đổi.
• Bằng việc sử dụng tính năng tạo nội dung, bạn đồng ý cho việc chuyển dữ liệu nêu trên. Nếu bạn không đồng ý, vui lòng không tải lên dữ liệu cá nhân và không sử dụng tính năng này.
• Bạn có quyền yêu cầu chúng tôi cung cấp thông tin về việc dữ liệu của bạn được chuyển tới đâu và phục vụ mục đích gì.

6. Thời hạn lưu trữ

Hết thời hạn, dữ liệu được xóa hoặc chuyển sang dạng không định danh, trừ trường hợp phải lưu theo yêu cầu của cơ quan có thẩm quyền hoặc để giải quyết tranh chấp đang diễn ra.

7. Quyền của bạn với tư cách Chủ thể dữ liệu

Theo Luật Bảo vệ dữ liệu cá nhân 2025, bạn có các quyền sau:

• Quyền được biết: biết dữ liệu của bạn được thu thập và xử lý như thế nào.
• Quyền đồng ý hoặc không đồng ý: với từng mục đích xử lý.
• Quyền truy cập: xem, yêu cầu cung cấp bản sao dữ liệu cá nhân của bạn.
• Quyền chỉnh sửa: yêu cầu sửa dữ liệu không chính xác.
• Quyền rút lại sự đồng ý bất cứ lúc nào.
• Quyền xóa dữ liệu: yêu cầu xóa dữ liệu cá nhân và hủy tài khoản.
• Quyền hạn chế xử lý và quyền phản đối xử lý dữ liệu.
• Quyền khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại khi quyền về dữ liệu của bạn bị xâm phạm.
• Quyền tự bảo vệ theo quy định pháp luật.

Cách thực hiện: gửi yêu cầu tới [email protected] từ email đã đăng ký tài khoản, nêu rõ quyền bạn muốn thực hiện. Chúng tôi phản hồi trong 72 giờ kể từ khi nhận được yêu cầu hợp lệ. Trường hợp phải xác minh thêm danh tính hoặc yêu cầu phức tạp, chúng tôi thông báo tiến độ cho bạn.

Một số yêu cầu có thể bị từ chối hoặc thực hiện một phần khi pháp luật quy định (ví dụ: dữ liệu phải lưu theo nghĩa vụ pháp lý, hoặc đang phục vụ điều tra của cơ quan có thẩm quyền). Chúng tôi sẽ nêu rõ lý do khi từ chối.

8. Bảo mật dữ liệu

• Kết nối tới nền tảng được mã hóa bằng TLS/HTTPS.
• Chúng tôi không lưu mật khẩu của bạn — việc xác thực do Google OAuth thực hiện.
• Áp dụng kiểm soát quyền truy cập nội bộ theo nguyên tắc tối thiểu cần thiết; chỉ nhân sự có nhiệm vụ mới truy cập được dữ liệu người dùng.
• Nhật ký truy cập được ghi lại để phát hiện truy cập bất thường.
• API key và thông tin xác thực được quản lý riêng, không hiển thị lại toàn bộ sau khi tạo.

Không có hệ thống nào an toàn tuyệt đối. Khi phát hiện sự cố xâm phạm dữ liệu cá nhân, chúng tôi thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và cho bạn theo thời hạn pháp luật quy định, kèm mô tả sự cố, hậu quả có thể xảy ra và biện pháp khắc phục.

9. Cookie và công nghệ tương tự

• Cookie bắt buộc: duy trì phiên đăng nhập, bảo vệ chống truy cập trái phép. Không thể tắt nếu muốn sử dụng Dịch vụ.
• Cookie chức năng: lưu tùy chọn giao diện, model đã chọn, lịch sử gần đây.
• Cookie phân tích/tiếp thị: đo lường hiệu quả truy cập và quảng cáo (nếu được bật cho nền tảng).

Bạn có thể xóa hoặc chặn cookie trong cài đặt trình duyệt; một số tính năng có thể không hoạt động bình thường sau khi chặn.

10. Dữ liệu của trẻ em

• Dịch vụ không dành cho người dưới 16 tuổi. Chúng tôi không chủ ý thu thập dữ liệu cá nhân của người dưới 16 tuổi.
• Việc xử lý dữ liệu cá nhân của người dưới 16 tuổi chỉ được thực hiện khi có sự đồng ý của cha, mẹ hoặc người đại diện theo pháp luật.
• Nếu bạn là cha, mẹ, người đại diện và phát hiện con mình đã cung cấp dữ liệu cho chúng tôi, vui lòng liên hệ để chúng tôi xóa dữ liệu và khóa tài khoản.

11. Đầu mối phụ trách bảo vệ dữ liệu cá nhân

Mọi câu hỏi, yêu cầu thực hiện quyền hoặc khiếu nại về dữ liệu cá nhân, vui lòng liên hệ: [email protected] · 0352143210

Nếu không đồng ý với cách chúng tôi xử lý yêu cầu, bạn có quyền khiếu nại, tố cáo tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Bộ Công an) hoặc khởi kiện tại Tòa án có thẩm quyền theo quy định pháp luật.

12. Cập nhật chính sách

Chính sách này có thể được cập nhật khi pháp luật hoặc hoạt động xử lý dữ liệu thay đổi. Thay đổi đáng kể sẽ được thông báo trước ít nhất 07 ngày qua email hoặc trên nền tảng. Bản đang hiển thị tại trang này là bản có hiệu lực.

Xem thêm: Điều khoản sử dụng · Chính sách nội dung & sử dụng hợp pháp · Chính sách hoàn tiền