Chính sách Quyền riêng tư
Cập nhật lần cuối 11/11/2026 · phiên bản 1.6
Đây là bản dịch tiếng Việt để bạn tiện đọc. Nếu bản dịch và bản tiếng Anh có chỗ khác nhau, bản tiếng Anh được ưu tiên áp dụng.
POP STUDIO một thương hiệu của CWP Studio
Chính sách Quyền riêng tư
Tóm tắt
- Chúng tôi chỉ thu thập những gì cần thiết để vận hành Dịch vụ, giữ an toàn cho Dịch vụ và đáp ứng các nghĩa vụ pháp lý.
- Creem xử lý việc thanh toán; chúng tôi không bao giờ nhận hay lưu thông tin thẻ của bạn.
- Chúng tôi không bán dữ liệu của bạn, không dùng công cụ theo dõi quảng cáo và không gửi email tiếp thị — chỉ gửi email giao dịch.
- Bạn có thể truy cập, chỉnh sửa hoặc xóa dữ liệu của mình bất cứ lúc nào qua pop@cinderwords.com.
1. Về chúng tôi và phạm vi áp dụng
CINDERWORDS CO.,LTD, kinh doanh dưới tên POP Studio (một thương hiệu của CWP Studio), Phu Nhuan Ward, Ho Chi Minh City, Vietnam ("POP Studio", "chúng tôi"), là bên kiểm soát dữ liệu đối với dữ liệu cá nhân được xử lý thông qua ibepop.com, tài khoản, giao dịch mua, Gói Thành viên POP (POP Membership), lượt tải xuống, email và hỗ trợ (gọi chung là "Dịch vụ"). Creem (Armitage Labs OÜ, Estonia), Đơn vị bán hàng chính thức (Merchant of Record) của chúng tôi, là bên kiểm soát dữ liệu riêng đối với dữ liệu thanh toán khi thanh toán (mục 5). Các trang web bên thứ ba được liên kết (ví dụ Google, Discord, mạng xã hội) có chính sách riêng của họ. Mã số thuế 0319595986. Liên hệ về quyền riêng tư: pop@cinderwords.com (tiêu đề "Privacy").
2. Dữ liệu chúng tôi thu thập
| Loại | Chi tiết |
|---|---|
| Tài khoản | Email, tên hiển thị và mật khẩu (tùy chọn) — chỉ được lưu dưới dạng mã băm scrypt có salt. |
| Hỗ trợ và liên lạc | Tên, email, tiêu đề, nội dung tin nhắn, số đơn hàng (tùy chọn) và các phản hồi của chúng tôi. |
| Google (chỉ khi dùng "Đăng nhập bằng Google") | ID tài khoản Google, email, trạng thái xác minh email, tên, URL ảnh hồ sơ (mục 4). |
| Đơn hàng và Gói Thành viên (từ Creem) | Chi tiết đơn hàng (ID, sản phẩm, giá, giảm giá, thuế, tổng tiền, đơn vị tiền tệ), trạng thái thanh toán và Gói Thành viên, kỳ thanh toán và quốc gia, cờ đánh dấu mua hàng cho doanh nghiệp, các khoản phí thanh toán khi được báo cáo. Không bao giờ có thông tin thẻ hay ngân hàng. |
| IP và quốc gia | Chỉ quốc gia, không bao giờ là thành phố hay vị trí chính xác — lấy từ header của Cloudflare hoặc từ cơ sở dữ liệu MaxMind GeoLite2 tự lưu trữ (không gửi gì đến MaxMind); được ghi lại ở lần đăng nhập đầu tiên và khi thanh toán. |
| Phiên và lượt tải xuống | Theo từng thiết bị: user-agent, IP, thời điểm tạo/hoạt động gần nhất. Theo từng lượt tải xuống: tệp, ngày/giờ, IP, trình duyệt/thiết bị. |
| Nhật ký bảo mật | Các sự kiện giới hạn tần suất và tường lửa của Cloudflare. |
| Hoạt động tài khoản | Thư viện và mã giấy phép, lượt thích, sản phẩm đã lưu, lịch sử đơn hàng, phiếu hỗ trợ. |
| Tùy chọn và thống kê | Cookie múi giờ; số lượt xem sản phẩm hằng ngày được tổng hợp và không liên kết với bạn. |
Không thu thập. Không cố ý thu thập dữ liệu nhạy cảm (ví dụ sức khỏe, tôn giáo, sinh trắc học); không có cookie quảng cáo, phân tích của bên thứ ba hay pixel mạng xã hội; phông chữ và hình ảnh được tự lưu trữ.
3. Cách chúng tôi sử dụng dữ liệu của bạn
| Mục đích | Cơ sở pháp lý (GDPR của EU/Vương quốc Anh) |
|---|---|
| Tài khoản và đăng nhập (mật khẩu, liên kết email, Google); đơn hàng, giao tệp, thư viện và giấy phép; Gói Thành viên (kích hoạt, gia hạn, thời gian ân hạn, hủy) | Thực hiện hợp đồng |
| Email giao dịch (liên kết đăng nhập, biên nhận, thông báo về Gói Thành viên và đổi mật khẩu, phản hồi hỗ trợ); hỗ trợ khách hàng | Thực hiện hợp đồng; lợi ích hợp pháp |
| Bảo mật: giới hạn thiết bị và lượt tải xuống, phòng chống gian lận và lạm dụng, điều tra việc chia sẻ tệp trái phép | Lợi ích hợp pháp (bảo mật, bảo vệ sở hữu trí tuệ của chúng tôi); nghĩa vụ pháp lý |
| Kế toán, thuế và tuân thủ pháp luật | Nghĩa vụ pháp lý |
| Báo cáo tổng hợp về doanh số, quốc gia và lượt xem; yêu cầu pháp lý và thực thi Điều khoản của chúng tôi; hiển thị múi giờ của bạn | Lợi ích hợp pháp |
- Không có quyết định tự động nào tạo ra hệ quả pháp lý hoặc ảnh hưởng đáng kể tương tự, và không có hồ sơ quảng cáo.
- Email chỉ là email giao dịch; bất kỳ bản tin nào trong tương lai sẽ cần sự đồng ý của bạn và có liên kết hủy đăng ký.
- Mã giấy phép (liên kết với tài khoản của bạn, có thể được nhúng trong tệp) và hồ sơ tải xuống chỉ được dùng để ngăn chặn và điều tra việc phân phối trái phép, theo như Thỏa thuận Cấp phép cho phép.
4. Dữ liệu người dùng Google
- Truy cập: chỉ các phạm vi openid, email và profile (dữ liệu nêu ở mục 2) — không bao giờ truy cập Gmail, Drive, Danh bạ, Lịch hay dữ liệu Google khác.
- Sử dụng: chỉ để tạo tài khoản hoặc đăng nhập vào tài khoản có cùng email đã xác minh, cho phép đăng nhập một lần bấm, xác nhận quyền sở hữu email và hiển thị tên và ảnh của bạn.
- Lưu trữ: trên máy chủ DigitalOcean (mục 8) cho đến khi tài khoản của bạn bị xóa; không lưu mật khẩu Google, và không giữ token truy cập/làm mới của Google sau khi đăng nhập.
- Chia sẻ: không bao giờ bán, cho thuê hoặc chia sẻ, trừ với các nhà cung cấp lưu trữ của chúng tôi (theo chỉ dẫn của chúng tôi), khi pháp luật yêu cầu, hoặc khi có sự đồng ý rõ ràng của bạn. Không bao giờ dùng cho quảng cáo hoặc để phát triển, cải thiện hay huấn luyện các mô hình AI/học máy; con người chỉ đọc dữ liệu này vì mục đích bảo mật, tuân thủ pháp luật hoặc hỗ trợ mà bạn yêu cầu.
- Sử dụng Hạn chế (Limited Use): Việc POP Studio sử dụng và chuyển giao cho bất kỳ ứng dụng nào khác các thông tin nhận được từ Google APIs sẽ tuân thủ Chính sách Dữ liệu Người dùng của Google API Services (Google API Services User Data Policy), bao gồm các yêu cầu về Sử dụng Hạn chế.
- Kiểm soát: thu hồi quyền truy cập tại myaccount.google.com/connections (tài khoản POP Studio của bạn vẫn còn; đăng nhập bằng liên kết email hoặc mật khẩu). Để xóa tài khoản và dữ liệu Google của nó, hãy gửi email đến pop@cinderwords.com.
5. Thanh toán và cookie
Creem. Khi thanh toán, bạn được chuyển sang trang thanh toán do Creem lưu trữ; những gì bạn nhập ở đó (email, họ tên, địa chỉ và quốc gia thanh toán, thông tin thanh toán và, với doanh nghiệp, thông tin công ty) được Creem xử lý theo Thông báo Quyền riêng tư của chính Creem (creem.io/privacy). Để thực hiện quyền đối với dữ liệu thanh toán, hãy liên hệ Creem tại support@creem.io. Chúng tôi chuyển cho Creem email tài khoản, ID người dùng POP Studio và ID đơn hàng của bạn, và chỉ nhận lại dữ liệu đơn hàng nêu ở mục 2. Điều khoản thanh toán: Chính sách Thanh toán.
Cookie. Chúng tôi chỉ dùng cookie và bộ nhớ cục bộ thật sự cần thiết (ví dụ đăng nhập, giỏ hàng) cùng một cookie tùy chọn múi giờ — xem Chính sách Cookie.
6. Chúng tôi chia sẻ dữ liệu với ai
Chúng tôi không bao giờ bán dữ liệu cá nhân và chỉ chia sẻ với:
| Bên nhận | Vai trò | Mục đích |
|---|---|---|
| Creem (Armitage Labs OÜ, Estonia) | Đơn vị bán hàng chính thức (Merchant of Record) — bên kiểm soát dữ liệu thanh toán | Thanh toán, chi trả, thuế, hóa đơn, lập hóa đơn thanh toán, hoàn tiền, phòng chống gian lận |
| DigitalOcean, LLC | Bên xử lý | Lưu trữ, máy chủ, cơ sở dữ liệu, sao lưu |
| Cloudflare, Inc. | Bên xử lý | DNS, phân phối nội dung, tường lửa và chống bot, lưu trữ tệp và phương tiện (Cloudflare R2) |
| Zoho Corporation (ZeptoMail) | Bên xử lý | Gửi email giao dịch |
| Google LLC | Bên kiểm soát độc lập (chỉ với Đăng nhập bằng Google) | Xác thực |
| Cố vấn chuyên môn | Bị ràng buộc bởi nghĩa vụ bảo mật | Kế toán viên, luật sư, kiểm toán viên khi cần |
| Cơ quan nhà nước | Theo yêu cầu của pháp luật | Cung cấp thông tin theo pháp luật (thuế, tòa án, cơ quan quản lý, cảnh sát) hoặc để bảo vệ quyền của chúng tôi |
| Doanh nghiệp kế thừa | Bên kiểm soát | Nếu POP Studio được thành lập thành công ty, bị bán hoặc tái cơ cấu; chủ sở hữu mới phải tuân thủ chính sách này |
Quản trị viên của chúng tôi chỉ truy cập dữ liệu trong phạm vi vai trò của họ yêu cầu, theo nghĩa vụ bảo mật, và các thao tác đều được ghi nhật ký.
7. Chuyển dữ liệu quốc tế
Chúng tôi đặt trụ sở tại Việt Nam; máy chủ đặt tại DigitalOcean Frankfurt, Đức (FRA1); Cloudflare hoạt động toàn cầu; Creem (Estonia) xử lý dữ liệu theo Thông báo Quyền riêng tư của họ, dùng các biện pháp bảo vệ như điều khoản hợp đồng chuẩn khi chuyển dữ liệu ra ngoài EU/EEA. Khi cần thiết, chúng tôi dựa vào Các Điều khoản Hợp đồng Chuẩn của Ủy ban Châu Âu (và Phụ lục của Vương quốc Anh), các quyết định về mức độ bảo vệ tương xứng hoặc các thỏa thuận xử lý dữ liệu của nhà cung cấp, và tuân thủ các quy định về chuyển dữ liệu xuyên biên giới của Luật Bảo vệ dữ liệu cá nhân của Việt Nam.
8. Lưu giữ và bảo mật
| Dữ liệu | Thời gian lưu giữ |
|---|---|
| Dữ liệu tài khoản (email, tên, mã băm mật khẩu, ID Google được liên kết) | Trong khi tài khoản còn mở; bị xóa hoặc ẩn danh hóa trong vòng 30 ngày kể từ khi đóng tài khoản (trừ các hồ sơ nêu bên dưới) |
| Đơn hàng, thanh toán, hóa đơn, các khoản thanh toán Gói Thành viên, thông báo từ Creem | Theo yêu cầu của pháp luật về thuế và kế toán — tối đa 10 năm sau giao dịch |
| Hồ sơ thư viện và giấy phép | Trong khi tài khoản còn mở; sau đó được giữ cùng hồ sơ giao dịch |
| Hồ sơ phiên và lượt tải xuống (gồm IP) | 24 tháng, sau đó bị xóa hoặc ẩn danh hóa |
| Liên kết đăng nhập / kích hoạt | Có hiệu lực 15 phút / 24 giờ; hồ sơ token bị xóa trong vòng 30 ngày |
| Yêu cầu hỗ trợ | 3 năm sau khi đóng yêu cầu |
| Cookie múi giờ | Tối đa 1 năm |
| Bản sao lưu | Được ghi đè theo chu kỳ luân phiên trong vòng 90 ngày |
Chúng tôi có thể giữ dữ liệu lâu hơn để giải quyết tranh chấp, thực thi Điều khoản của chúng tôi hoặc đáp ứng một nghĩa vụ pháp lý.
Bảo mật. HTTPS/TLS; mật khẩu scrypt có salt; liên kết đăng nhập và token phiên được băm; cookie Secure, HttpOnly với token truy cập 15 phút và token làm mới luân phiên; tối đa ba thiết bị đăng nhập; kiểm tra nguồn gốc CSRF; giới hạn tần suất và tường lửa; lưu trữ tệp riêng tư với liên kết có chữ ký ngắn hạn; quyền quản trị theo vai trò kèm nhật ký kiểm toán; sao lưu định kỳ. Không có phương thức truyền tải hay lưu trữ nào an toàn tuyệt đối, nhưng chúng tôi nỗ lực bảo vệ dữ liệu của bạn và sẽ thông báo cho bạn và các cơ quan có thẩm quyền về vụ vi phạm dữ liệu cá nhân khi pháp luật yêu cầu.
9. Quyền của bạn
Tùy theo nơi bạn sinh sống, bạn có thể:
- truy cập dữ liệu của mình và nhận một bản sao; chỉnh sửa; xóa dữ liệu ("quyền được lãng quên");
- hạn chế hoặc phản đối việc xử lý, kể cả việc xử lý dựa trên lợi ích hợp pháp;
- nhận dữ liệu của bạn ở định dạng có cấu trúc, máy có thể đọc được (khả năng di chuyển dữ liệu); rút lại sự đồng ý bất cứ lúc nào khi chúng tôi dựa vào sự đồng ý đó;
- khiếu nại với cơ quan bảo vệ dữ liệu — ví dụ tại quốc gia EU/EEA của bạn, Văn phòng Ủy viên Thông tin của Vương quốc Anh (Information Commissioner's Office), hoặc cơ quan có thẩm quyền tại Việt Nam.
Việt Nam và Hoa Kỳ. Luật Bảo vệ dữ liệu cá nhân của Việt Nam bổ sung các quyền được biết, đồng ý và rút lại sự đồng ý, truy cập, chỉnh sửa, xóa, hạn chế, phản đối và khiếu nại. Cư dân Hoa Kỳ (ví dụ California) có thể biết, xóa và chỉnh sửa dữ liệu của mình mà không bị phân biệt đối xử; chúng tôi không bán dữ liệu cá nhân hay "chia sẻ" dữ liệu đó cho mục đích quảng cáo hành vi xuyên ngữ cảnh.
Cách thực hiện các quyền này. Chỉnh sửa tên và mật khẩu của bạn và đăng xuất các thiết bị tại Tài khoản → Cài đặt tài khoản (Account → Account settings). Với bất kỳ việc nào khác, bao gồm xóa tài khoản, hãy gửi email đến pop@cinderwords.com từ email tài khoản của bạn. Chúng tôi có thể xác minh danh tính của bạn và sẽ phản hồi trong thời hạn pháp luật quy định (ví dụ một tháng theo GDPR).
10. Trẻ em
Dịch vụ không dành cho trẻ em dưới 16 tuổi; chúng tôi không cố ý thu thập dữ liệu của các em và sẽ xóa bất kỳ dữ liệu nào chúng tôi biết được — chỉ cần liên hệ với chúng tôi.
11. Thay đổi và liên hệ
Các thay đổi được thực hiện như mô tả trong Điều khoản Dịch vụ; đối với các thay đổi quan trọng, chúng tôi thông báo cho người dùng đã đăng ký qua email hoặc trên Trang web trước khi các thay đổi có hiệu lực. Liên hệ: pop@cinderwords.com (tiêu đề "Privacy") · https://ibepop.com.