Chính sách bảo mật

1. Dữ liệu chúng tôi thu thập

• Dữ liệu tài khoản: email, tên, mật khẩu đã mã hóa (hash), thông tin thanh toán/hóa đơn.
• Dữ liệu sử dụng: số ký tự TTS, giây ASR, endpoints, nhật ký truy cập kỹ thuật (IP, thời gian).
• Dữ liệu xử lý: văn bản người dùng nhập cho TTS; file âm thanh tải lên cho ASR — chỉ dùng để thực hiện yêu cầu, không lưu trữ.
• Dữ liệu sinh trắc học: "dấu vân tay giọng nói" (voiceprint) khi bạn dùng tính năng Xác thực giọng nói (Voice ID).

⚖️ Theo Nghị định 13/2023/NĐ-CP (Điều 2.4) và GDPR (Điều 9), giọng nói/dữ liệu sinh trắc học là dữ liệu nhạy cảm — được xử lý riêng biệt và chỉ khi có sự đồng ý rõ ràng của bạn.

2. Mục đích & căn cứ xử lý

Chúng tôi xử lý dữ liệu của bạn nhằm: (1) cung cấp dịch vụ TTS/ASR/avatar bạn yêu cầu; (2) quản lý tài khoản, credit, hóa đơn; (3) chống lạm dụng, gian lận; (4) tuân thủ nghĩa vụ pháp lý; (5) cải thiện chất lượng dịch vụ (dữ liệu đã ẩn danh).

Căn cứ pháp lý: sự đồng ý của bạn, hợp đồng sử dụng dịch vụ, nghĩa vụ pháp lý và lợi ích hợp pháp của Nền tảng. Bạn có thể rút lại sự đồng ý bất cứ lúc nào mà không ảnh hưởng đến tính hợp pháp của việc xử lý trước đó.

3. Bảo mật & thời gian lưu trữ

3.1. File âm thanh (ASR): mã hóa khi truyền tải (TLS), xóa vĩnh viễn ngay sau khi xử lý xong. Không lưu trữ, không dùng cho mục đích khác.

3.2. Văn bản (TTS): chỉ dùng để sinh giọng nói theo yêu cầu, không lưu trữ nội dung lâu dài.

3.3. Dữ liệu tài khoản: lưu trữ tối đa 24 tháng sau lần hoạt động cuối, trừ khi pháp luật yêu cầu lâu hơn (hóa đơn, kế toán, thuế).

3.4. Voiceprint: mã hóa, chỉ lưu khi bạn chủ động đăng ký, xóa khi bạn yêu cầu hoặc khi tài khoản đóng.

⚖️ Kỹ thuật: mật khẩu dùng thuật toán băm an toàn, dữ liệu sinh trắc học lưu dạng vector mã hóa, toàn bộ kết nối HTTPS. Nếu xảy ra vi phạm dữ liệu, chúng tôi thông báo cho bạn và cơ quan chức năng trong vòng 72 giờ (NĐ13 Điều 25, GDPR Điều 33).

4. Chia sẻ dữ liệu

Chúng tôi KHÔNG bán, cho thuê hoặc trao đổi dữ liệu cá nhân của bạn. Chỉ chia sẻ khi: (1) bạn đồng ý; (2) nhà cung cấp hạ tầng xử lý thay mặt chúng tôi (có thỏa thuận bảo mật); (3) cơ quan nhà nước có thẩm quyền yêu cầu theo pháp luật. Dữ liệu được lưu trữ chủ yếu tại Việt Nam trên hạ tầng riêng của công ty.

5. Quyền của bạn (chủ thể dữ liệu)

Theo Nghị định 13/2023/NĐ-CP và GDPR, bạn có quyền:

✅ Biết và truy cập dữ liệu của mình
✅ Sửa, bổ sung thông tin sai lệch
✅ Xóa dữ liệu / rút lại sự đồng ý bất cứ lúc nào
✅ Hạn chế xử lý, phản đối xử lý dữ liệu
✅ Xuất dữ liệu (portability) sang nền tảng khác
✅ Khiếu nại với cơ quan bảo vệ dữ liệu có thẩm quyền

Thực hiện quyền: vào Dashboard → Cài đặt hoặc gửi yêu cầu tới privacy@hnm.vn. Chúng tôi phản hồi trong vòng 72 giờ.

6. Dữ liệu trẻ em

Dịch vụ không dành cho người dưới 16 tuổi. Nếu bạn dưới 16 tuổi, vui lòng không sử dụng Nền tảng hoặc chỉ sử dụng khi có sự đồng ý của cha mẹ/người giám hộ (GDPR Điều 8).

7. Chứng thực nội dung (C2PA)

Một số file đầu ra được gắn chứng thực nguồn gốc C2PA (chuẩn quốc tế xác minh nội dung do AI tạo ra) nhằm minh bạch nguồn gốc và chống lạm dụng deepfake. Điều này không ảnh hưởng tới quyền sử dụng file đầu ra của bạn.

8. Cookie & phân tích

Chúng tôi chỉ dùng cookie kỹ thuật (duy trì phiên đăng nhập), không dùng cookie quảng cáo bên thứ ba. Dữ liệu phân tích được ẩn danh hóa.