1. Đơn vị xử lý dữ liệu
Đơn vị thu thập và xử lý dữ liệu cá nhân của bạn (bên kiểm soát dữ liệu — Data Controller theo GDPR) là Floway Studio. Thông tin liên hệ:
- Tên thương mại: Floway Studio
- Địa chỉ liên hệ: __TODO__ (sẽ cập nhật khi hoàn tất đăng ký kinh doanh)
- Email phụ trách dữ liệu cá nhân (DPO): privacy@flowaystudio.com
- Trang web chính thức: https://flowaystudio.com
1.1 Phạm vi áp dụng
Chính sách này áp dụng cho tất cả người dùng truy cập trang web flowaystudio.com, sử dụng phần mềm desktop Floway và VAM, hoặc tương tác với chúng tôi qua các kênh hỗ trợ khách hàng. Chính sách không áp dụng cho các website hoặc dịch vụ của bên thứ ba được liên kết từ sản phẩm của chúng tôi — bạn cần tham khảo chính sách của các bên đó.
2. Dữ liệu cá nhân chúng tôi thu thập
Chúng tôi chỉ thu thập dữ liệu tối thiểu cần thiết để cung cấp dịch vụ (nguyên tắc tối thiểu hóa dữ liệu — GDPR Điều 5(1)(c)). Cụ thể:
2.1 Khi bạn đăng ký tài khoản
- Địa chỉ email (bắt buộc) — định danh tài khoản, liên lạc về dịch vụ
- Mật khẩu (bắt buộc, lưu dưới dạng hash PBKDF2-SHA256 + salt, không bao giờ lưu plaintext)
- Tên hiển thị (bắt buộc) — hiển thị trong giao diện sản phẩm
- Số điện thoại (tùy chọn, định dạng quốc tế E.164) — nếu bạn muốn nhận hỗ trợ qua Zalo/SMS
- Ngôn ngữ ưu tiên (tự động phát hiện qua Accept-Language header, có thể chỉnh sửa)
- Mã quốc gia (tự động phát hiện qua dịch vụ Cloudflare CF-IPCountry, ISO 3166-1 alpha-2)
- Tùy chọn nhận email tiếp thị (mặc định KHÔNG đồng ý, opt-in tự nguyện)
2.2 Khi bạn đăng nhập bằng Google
Nếu bạn chọn đăng nhập bằng tài khoản Google, chúng tôi nhận các trường sau qua giao thức OAuth 2.0 + OpenID Connect chuẩn từ Google:
- Google User ID (định danh duy nhất, không phải email)
- Địa chỉ email đã xác minh
- Tên hiển thị
- URL ảnh đại diện công khai (nếu bạn đã đặt ở tài khoản Google)
- Tùy chọn ngôn ngữ và quốc gia
2.3 Khi bạn mua dịch vụ
Chúng tôi sử dụng Stripe (thẻ tín dụng/Apple Pay/Google Pay) hoặc chuyển khoản ngân hàng Việt Nam cho các giao dịch. Chúng tôi KHÔNG bao giờ trực tiếp lưu trữ số thẻ tín dụng — Stripe đảm nhiệm hoàn toàn việc xử lý thanh toán theo chuẩn PCI-DSS.
- Stripe customer ID (định danh khách hàng tại Stripe, không phải số thẻ)
- Số tiền, tiền tệ, gói đăng ký, ngày giao dịch
- Đối với chuyển khoản VND: ảnh chụp biên lai (bạn tự upload, lưu base64 trong cơ sở dữ liệu, kích thước tối đa ~750KB)
- Ghi chú giao dịch và mã tham chiếu ngân hàng (nếu áp dụng)
2.4 Khi bạn sử dụng dịch vụ
Để vận hành dịch vụ, đảm bảo bảo mật và tuân thủ điều khoản sử dụng, chúng tôi tự động thu thập:
- Địa chỉ IP của bạn (tự động ẩn 30 ngày sau ngày truy cập gần nhất — octet cuối IPv4 hoặc 80 bit cuối IPv6 được đặt về 0)
- User-Agent của trình duyệt hoặc thiết bị
- Hardware fingerprint (đối với phần mềm desktop): hash SHA-256 của CPU ID, motherboard UUID, ổ đĩa — dùng để giới hạn số máy hoạt động đồng thời theo gói
- Lịch sử đăng nhập, đăng xuất, đổi mật khẩu (lưu tối đa 90 ngày)
- Số lần đăng nhập sai, trạng thái khóa tài khoản (xóa tự động sau khi hết hạn khóa)
2.5 Dữ liệu chúng tôi KHÔNG thu thập
Chúng tôi chủ động tránh thu thập các loại dữ liệu sau để giảm thiểu rủi ro quyền riêng tư:
- Nội dung video/hình ảnh bạn xử lý trong VAM — toàn bộ pipeline AI chạy 100% trên máy của bạn (local-first), không upload lên máy chủ của chúng tôi
- Nội dung kịch bản, prompt, dự án Floway — cũng chạy local, không gửi lên máy chủ
- Số thẻ tín dụng — Stripe xử lý trực tiếp, chúng tôi chỉ nhận token đại diện
- Vị trí địa lý chính xác (GPS) — chỉ ước lượng cấp quốc gia qua IP
- Dữ liệu nhạy cảm theo GDPR Điều 9 (sức khỏe, sinh trắc học, định hướng tình dục, tôn giáo, chính trị) — chúng tôi không yêu cầu hoặc xử lý các loại này
3. Mục đích sử dụng
Mỗi loại dữ liệu được thu thập với mục đích cụ thể, không sử dụng cho mục đích khác (nguyên tắc giới hạn mục đích — GDPR Điều 5(1)(b)):
- Cung cấp dịch vụ: xác thực tài khoản, cấp quyền sử dụng phần mềm theo gói đăng ký, đồng bộ cài đặt giữa các thiết bị
- Bảo mật: phát hiện và ngăn chặn truy cập trái phép (rate-limit, lockout, theo dõi địa chỉ IP đăng nhập)
- Thanh toán và xuất hóa đơn: xử lý giao dịch, gửi biên lai, hỗ trợ tranh chấp thanh toán
- Liên lạc giao dịch: gửi email xác nhận đăng ký, đặt lại mật khẩu, thông báo hết hạn gói
- Cải thiện sản phẩm: phân tích sự cố (crash reports), tính năng được dùng nhiều — TUYỆT ĐỐI không bao gồm nội dung công việc của bạn
- Tiếp thị (CHỈ khi bạn đã đồng ý): gửi tin tức sản phẩm và ưu đãi qua email — bạn có thể hủy đăng ký bất cứ lúc nào
- Tuân thủ pháp luật: hỗ trợ điều tra theo yêu cầu hợp pháp của cơ quan có thẩm quyền
4. Cơ sở pháp lý xử lý dữ liệu
Theo GDPR Điều 6, chúng tôi cần một trong các cơ sở pháp lý sau cho mỗi mục đích xử lý:
- Thực hiện hợp đồng (Art. 6(1)(b)) — cung cấp dịch vụ bạn đã mua, xác thực tài khoản, gửi email giao dịch
- Sự đồng ý của bạn (Art. 6(1)(a)) — tiếp thị qua email, lưu cookie phi thiết yếu, gửi thông báo tiếp thị
- Lợi ích chính đáng (Art. 6(1)(f)) — bảo mật (rate-limit, phát hiện gian lận), cải thiện sản phẩm dựa trên dữ liệu tổng hợp
- Tuân thủ nghĩa vụ pháp lý (Art. 6(1)(c)) — lưu hóa đơn theo Luật Kế toán Việt Nam (5-10 năm), phản hồi yêu cầu hợp pháp của cơ quan có thẩm quyền
4.1 Rút lại sự đồng ý
Khi cơ sở xử lý là sự đồng ý của bạn, bạn có quyền rút lại bất cứ lúc nào mà không ảnh hưởng đến tính hợp pháp của việc xử lý trước đó. Để rút lại: vào trang Hồ sơ → tắt tùy chọn "Nhận tin tức sản phẩm" cho email tiếp thị, hoặc liên hệ privacy@flowaystudio.com cho các loại đồng ý khác.
6. Thời gian lưu trữ
Chúng tôi lưu trữ dữ liệu chỉ trong thời gian cần thiết để đạt được mục đích thu thập (nguyên tắc giới hạn lưu trữ — GDPR Điều 5(1)(e)):
- Thông tin tài khoản: trong suốt thời gian tài khoản hoạt động + 30 ngày sau khi bạn xóa tài khoản (cửa sổ khôi phục)
- Địa chỉ IP đầy đủ: tối đa 30 ngày, sau đó tự động ẩn (đặt octet cuối về 0)
- Lịch sử phiên đăng nhập (sessions): tối đa 90 ngày, sau đó tự động xóa
- Token đặt lại mật khẩu: hết hạn sau 60 phút, xóa hoàn toàn 7 ngày sau khi dùng hoặc hết hạn
- Lịch sử thanh toán và hóa đơn: tối thiểu 10 năm theo Điều 41 Luật Kế toán Việt Nam 2015 (PII liên kết sẽ được ẩn danh hóa nếu bạn yêu cầu xóa tài khoản — chỉ giữ lại số tiền, ngày giao dịch, mã giao dịch để đối chiếu khi cần)
- Báo cáo lỗi (Sentry): tối đa 90 ngày theo cài đặt mặc định của Sentry
7. Truyền dữ liệu xuyên biên giới
Hạ tầng của chúng tôi sử dụng mạng máy chủ toàn cầu Cloudflare. Điều này có nghĩa là dữ liệu của bạn có thể được xử lý tại các trung tâm dữ liệu Cloudflare ở Hoa Kỳ, Châu Âu, Châu Á và các khu vực khác tùy thuộc vào vị trí gần nhất với bạn. Cloudflare đã được Ủy ban Châu Âu công nhận có khả năng cung cấp mức độ bảo vệ tương đương qua các Điều khoản Hợp đồng Chuẩn (Standard Contractual Clauses — SCC).
Stripe và Resend đặt trụ sở chính tại Hoa Kỳ. Các đối tác này đã ký SCC với chúng tôi và tuân thủ các yêu cầu của Khung Bảo vệ Dữ liệu EU-US (Data Privacy Framework) khi áp dụng.
Đối với người dùng tại Việt Nam: dữ liệu cá nhân của bạn có thể được xử lý ngoài lãnh thổ Việt Nam theo quy định Nghị định 13/2023/NĐ-CP về việc chuyển dữ liệu xuyên biên giới. Chúng tôi đảm bảo điều kiện bảo vệ dữ liệu của bạn tại nước ngoài tương đương với quy định pháp luật Việt Nam.
8. Quyền của bạn
Theo GDPR (EU), CCPA (California) và PDPD (Việt Nam), bạn có các quyền sau đối với dữ liệu cá nhân của mình. Để thực hiện bất kỳ quyền nào, vào /account/profile hoặc gửi email tới privacy@flowaystudio.com. Chúng tôi sẽ phản hồi trong vòng 30 ngày (có thể gia hạn 60 ngày trong trường hợp phức tạp, có thông báo trước).
8.1 Quyền truy cập dữ liệu (GDPR Art. 15, CCPA §1798.110)
Bạn có quyền yêu cầu một bản sao tất cả dữ liệu cá nhân chúng tôi đang lưu trữ về bạn. Vào /account/privacy và bấm "Tải xuống file JSON" để nhận file ngay lập tức.
8.2 Quyền chỉnh sửa (GDPR Art. 16)
Bạn có thể cập nhật thông tin tài khoản (tên hiển thị, số điện thoại, ngôn ngữ, tùy chọn nhận tin) bất cứ lúc nào tại /account/profile.
8.3 Quyền xóa dữ liệu — "Quyền được lãng quên" (GDPR Art. 17)
Bạn có thể yêu cầu xóa tài khoản tại /account/privacy. Sau khi yêu cầu: tài khoản ngay lập tức bị khóa truy cập, có thời gian 30 ngày để bạn đổi ý và khôi phục. Hết thời gian này, chúng tôi tự động ẩn danh hóa thông tin cá nhân (tên, email, số điện thoại, ảnh đại diện, IP) — chỉ giữ hồ sơ thanh toán theo nghĩa vụ pháp lý.
8.4 Quyền hạn chế xử lý (GDPR Art. 18)
Bạn có thể yêu cầu chúng tôi tạm dừng xử lý dữ liệu của bạn trong khi tranh chấp tính chính xác hoặc tính hợp pháp của việc xử lý. Liên hệ privacy@flowaystudio.com.
8.5 Quyền chuyển dữ liệu (GDPR Art. 20)
Bạn có thể xuất dữ liệu của mình ở định dạng máy đọc được (JSON) và chuyển sang dịch vụ khác. Cùng đường dẫn với quyền truy cập tại /account/privacy.
8.6 Quyền phản đối (GDPR Art. 21)
Bạn có quyền phản đối việc chúng tôi xử lý dữ liệu của bạn dựa trên cơ sở lợi ích chính đáng hoặc cho mục đích tiếp thị trực tiếp. Đối với tiếp thị email, dùng nút "Hủy đăng ký" trong email hoặc tắt tại /account/profile.
8.7 CCPA — Quyền không bán dữ liệu
Người dùng California: chúng tôi KHÔNG bán dữ liệu cá nhân cho bên thứ ba cho mục đích thương mại. Nếu chính sách này thay đổi, chúng tôi sẽ cung cấp tùy chọn "Do Not Sell My Personal Information" và thông báo trước.
8.8 Quyền khiếu nại tới cơ quan quản lý
Nếu cho rằng việc xử lý của chúng tôi vi phạm luật, bạn có quyền khiếu nại tới cơ quan quản lý: (a) tại EU — cơ quan bảo vệ dữ liệu của quốc gia bạn (xem danh sách tại edpb.europa.eu), (b) tại California — Văn phòng Tổng chưởng lý California, (c) tại Việt Nam — Bộ Thông tin và Truyền thông hoặc Bộ Công an theo Nghị định 13/2023.
9. Biện pháp bảo mật
Chúng tôi áp dụng các biện pháp kỹ thuật và tổ chức phù hợp để bảo vệ dữ liệu của bạn theo GDPR Điều 32:
- Mã hóa khi truyền: HTTPS/TLS 1.3 trên toàn bộ kết nối
- Mã hóa khi lưu trữ: AES-256 ở cấp cơ sở dữ liệu (Cloudflare D1)
- Mật khẩu: hash PBKDF2-SHA256 + salt UUID, không bao giờ lưu plaintext
- Token xác thực: JWT ký RS256, xoay khi đổi mật khẩu hoặc admin thu hồi
- Token đặt lại mật khẩu: lưu hash SHA-256, single-use, hết hạn 60 phút
- Giới hạn truy cập: chỉ nhân sự được ủy quyền có quyền truy cập cơ sở dữ liệu sản xuất, đăng nhập 2FA bắt buộc
- Theo dõi truy cập: log tất cả thao tác admin, lưu 90 ngày để điều tra sự cố
- Brute-force defense: rate-limit theo IP + email, khóa tài khoản 15 phút sau 5 lần sai mật khẩu
11. Quyền riêng tư của trẻ em
Dịch vụ của chúng tôi không dành cho trẻ em dưới 16 tuổi (EU/UK) hoặc dưới 13 tuổi (Hoa Kỳ theo COPPA). Chúng tôi không cố ý thu thập dữ liệu của trẻ em. Nếu bạn là phụ huynh phát hiện con mình đã đăng ký, vui lòng liên hệ chúng tôi để chúng tôi xóa tài khoản.
12. Thông báo sự cố dữ liệu
Trong trường hợp xảy ra sự cố làm rò rỉ dữ liệu cá nhân của bạn, chúng tôi sẽ thông báo cho cơ quan quản lý có thẩm quyền trong vòng 72 giờ và thông báo trực tiếp cho bạn không quá 5 ngày làm việc nếu sự cố có nguy cơ cao đối với quyền và lợi ích của bạn (GDPR Art. 33-34, PDPD Điều 22).
13. Thay đổi chính sách
Chúng tôi có thể cập nhật chính sách này định kỳ để phản ánh thay đổi trong dịch vụ hoặc yêu cầu pháp lý. Ngày sửa đổi gần nhất được ghi ở đầu trang. Đối với thay đổi quan trọng (mở rộng phạm vi thu thập, thêm sub-processor, thay đổi cơ sở pháp lý), chúng tôi sẽ thông báo qua email trước khi áp dụng tối thiểu 14 ngày.
14. Liên hệ
Mọi câu hỏi hoặc yêu cầu liên quan đến chính sách này, vui lòng liên hệ:
- Email phụ trách dữ liệu (DPO): privacy@flowaystudio.com
- Hỗ trợ chung: hello@flowaystudio.com
- Trang quản lý quyền của bạn: /account/privacy
Nếu có bất kỳ thắc mắc nào về chính sách này, vui lòng liên hệ chúng tôi qua địa chỉ email ở trên. Chúng tôi sẽ phản hồi trong vòng 30 ngày.