Chính sách quyền riêng tư

Đơn vị kiểm soát (vận hành) dữ liệu cá nhân của bạn là đơn vị vận hành nền tảng Picosu — cá nhân kinh doanh hoặc pháp nhân được đăng ký theo pháp luật Ukraina. Đơn vị kiểm soát xác định mục đích và phương thức xử lý dữ liệu cá nhân được thực hiện qua Nền tảng.

Để liên hệ với đơn vị kiểm soát dữ liệu hoặc thực hiện các quyền về dữ liệu cá nhân, vui lòng gửi thư đến [email protected]. Chúng tôi phản hồi yêu cầu về dữ liệu cá nhân trong vòng 30 ngày theo lịch kể từ khi nhận được.

Trong trường hợp Picosu xử lý dữ liệu cá nhân thay mặt nhiếp ảnh gia (ví dụ: dữ liệu của khách hàng xem thư viện), Picosu đóng vai trò đơn vị xử lý dữ liệu, còn nhiếp ảnh gia là đơn vị kiểm soát dữ liệu. Khi đó, nhiếp ảnh gia chịu trách nhiệm về tính hợp pháp của việc xử lý và việc lấy sự đồng ý của chủ thể dữ liệu.

Chính sách này áp dụng cho mọi dữ liệu cá nhân chúng tôi thu thập qua: trang web picosu.com và tất cả tên miền phụ; ứng dụng di động Picosu (nếu có); API Picosu; email và các kênh liên lạc khác; cùng bất kỳ nền tảng hoặc dịch vụ nào khác có dẫn chiếu đến Chính sách này.

Chính sách này không áp dụng cho trang web hoặc dịch vụ của bên thứ ba được liên kết từ Nền tảng. Chúng tôi khuyến nghị bạn xem chính sách quyền riêng tư của các bên đó trước khi cung cấp thông tin. Picosu không chịu trách nhiệm về phương thức xử lý dữ liệu của bên thứ ba.

Trong quá trình cung cấp Dịch vụ, chúng tôi có thể thu thập và xử lý các loại dữ liệu cá nhân sau:

• Dữ liệu nhận dạng: tên, họ, tên studio, tên người dùng, ảnh đại diện.
• Dữ liệu liên hệ: địa chỉ email, số điện thoại (nếu được cung cấp), liên kết mạng xã hội.
• Dữ liệu xác thực: mật khẩu đã băm, mã OAuth (Google), mã phiên và địa chỉ IP khi đăng nhập.
• Dữ liệu thanh toán: tên trên thẻ, loại thẻ, 4 chữ số cuối của thẻ (chúng tôi KHÔNG lưu toàn bộ số thẻ — Hutko đảm nhận việc xử lý), lịch sử giao dịch và gói đã chọn.
• Nội dung của người dùng: ảnh, tên thư viện, mô tả, cài đặt hình mờ, văn bản portfolio, bảng giá và logo.
• Dữ liệu kỹ thuật: địa chỉ IP, loại và phiên bản trình duyệt, hệ điều hành, ngôn ngữ trình duyệt, độ phân giải màn hình, nguồn giới thiệu, dữ liệu thiết bị (user agent), cookie và công nghệ theo dõi tương tự.
• Dữ liệu sử dụng: ngày giờ truy cập, các trang đã xem, số lượng và tần suất xem thư viện, ảnh đã tải xuống, vị trí lượt xem (cấp quốc gia/thành phố dựa trên địa chỉ IP) và thao tác trên giao diện (tạo thư viện, thay đổi cài đặt).

Chúng tôi không thu thập dữ liệu cá nhân “nhạy cảm” (nguồn gốc chủng tộc hoặc sắc tộc, quan điểm chính trị, tín ngưỡng tôn giáo, dữ liệu sức khỏe, dữ liệu sinh trắc học và các dữ liệu tương tự). Nếu bạn vô tình cung cấp dữ liệu như vậy, chúng tôi sẽ xóa ngay khi phát hiện.

Chúng tôi nhận dữ liệu cá nhân của bạn từ các nguồn sau:

• Trực tiếp từ bạn — khi đăng ký, hoàn thiện hồ sơ, tải nội dung lên, thanh toán gói đăng ký hoặc liên hệ hỗ trợ.
• Tự động — qua cookie, web beacon và công nghệ tương tự trong quá trình bạn sử dụng Dịch vụ.
• Từ dịch vụ bên thứ ba — khi xác thực qua Google OAuth, chúng tôi nhận tên, địa chỉ email và URL ảnh đại diện từ tài khoản Google của bạn.
• Từ nhà xử lý thanh toán — Hutko cung cấp xác nhận thanh toán, trạng thái giao dịch và một lượng dữ liệu thanh toán hạn chế (không bao gồm toàn bộ số thẻ).

• Tạo và quản lý tài khoản, xác thực và cấp quyền truy cập các tính năng của Dịch vụ.
• Cung cấp chức năng cốt lõi của Dịch vụ: lưu trữ ảnh trên đám mây, tạo và hiển thị thư viện, tạo trang portfolio.
• Xử lý thanh toán, quản lý gói đăng ký, lập hóa đơn và hạch toán giao dịch tài chính.
• Cung cấp thống kê và phân tích: lượt xem thư viện, vị trí khách truy cập, nguồn truy cập và số lượt tải xuống.
• Bảo đảm an toàn cho Dịch vụ: phát hiện và ngăn chặn gian lận, lạm dụng, truy cập trái phép cùng các mối đe dọa khác.
• Hỗ trợ kỹ thuật: xử lý yêu cầu, chẩn đoán sự cố và cải thiện chất lượng dịch vụ.
• Cải thiện Dịch vụ: phân tích cách sử dụng, thử nghiệm tính năng mới, tối ưu hiệu suất và giao diện.
• Liên lạc: gửi thông báo dịch vụ (xác nhận đăng ký, đặt lại mật khẩu, thông báo đổi gói) và nội dung tiếp thị (khi có sự đồng ý của bạn).

Chúng tôi xử lý dữ liệu cá nhân dựa trên một hoặc nhiều cơ sở pháp lý sau, phù hợp với Luật Bảo vệ dữ liệu cá nhân Ukraina và GDPR (đối với người dùng tại EU):

Cơ sở pháp lý cụ thể cho từng loại xử lý:

• Thực hiện hợp đồng (Điều 6(1)(b) GDPR): việc xử lý là cần thiết để cung cấp Dịch vụ, quản lý tài khoản, xử lý thanh toán và thực hiện nghĩa vụ với bạn.
• Sự đồng ý (Điều 6(1)(a) GDPR): áp dụng cho việc gửi nội dung tiếp thị, sử dụng cookie không bắt buộc và công cụ phân tích. Bạn có thể rút lại sự đồng ý bất cứ lúc nào.
• Lợi ích hợp pháp (Điều 6(1)(f) GDPR): áp dụng cho việc bảo đảm an toàn Dịch vụ, phòng chống gian lận, cải thiện Dịch vụ và phân tích sử dụng.
• Nghĩa vụ pháp lý (Điều 6(1)(c) GDPR): áp dụng để tuân thủ yêu cầu pháp luật, bao gồm kế toán, báo cáo thuế và phản hồi yêu cầu hợp pháp từ cơ quan thực thi pháp luật.

Khi việc xử lý dựa trên sự đồng ý, bạn có quyền rút lại bất cứ lúc nào bằng cách gửi thư đến [email protected] hoặc thay đổi cài đặt trong tài khoản. Việc rút lại không ảnh hưởng đến tính hợp pháp của hoạt động xử lý đã thực hiện trước thời điểm đó.

Picosu sử dụng cookie và công nghệ tương tự để bảo đảm Dịch vụ hoạt động, cải thiện trải nghiệm người dùng và thu thập dữ liệu phân tích. Cookie là các tệp văn bản nhỏ được lưu trên thiết bị. Chúng tôi sử dụng: (1) Cookie thiết yếu — cần cho hoạt động của Dịch vụ (xác thực, cài đặt phiên, tùy chọn ngôn ngữ, chế độ tối/sáng) và không thể tắt; (2) Cookie phân tích — giúp chúng tôi hiểu cách người dùng tương tác với Dịch vụ (số lượt truy cập, trang phổ biến, nguồn truy cập). Chúng tôi có thể sử dụng Google Analytics hoặc công cụ tương tự.

Bạn có thể quản lý cookie trong cài đặt trình duyệt. Tuy nhiên, việc tắt cookie thiết yếu có thể khiến một số tính năng của Dịch vụ không sử dụng được. Chúng tôi cũng dùng localStorage của trình duyệt để lưu mã xác thực và cài đặt giao diện.

Các thư viện bạn tạo và chia sẻ có thể thu thập một lượng thông tin phân tích hạn chế về khách truy cập (địa chỉ IP để xác định vị trí ở cấp quốc gia/thành phố, user agent để xác định loại thiết bị). Dữ liệu này được dùng cho thống kê thư viện và không được chia sẻ với bên thứ ba.

Chúng tôi không bán, cho thuê hoặc trao đổi dữ liệu cá nhân của bạn. Chúng tôi chỉ có thể chia sẻ dữ liệu với bên thứ ba trong các trường hợp sau:

• Nhà xử lý thanh toán (Hutko): để xử lý khoản thanh toán gói đăng ký. Chúng tôi chỉ truyền dữ liệu tối thiểu cần thiết để hoàn tất giao dịch.
• Nhà cung cấp đám mây (AWS S3, Google Cloud Storage, Hetzner): để lưu trữ ảnh và dữ liệu Dịch vụ. Dữ liệu được lưu dưới dạng mã hóa.
• Dịch vụ xác thực (Google OAuth): để cho phép đăng nhập bằng tài khoản Google.
• Dịch vụ phân tích (Google Analytics): để thu thập thống kê tổng hợp về việc sử dụng Dịch vụ (khi có sự đồng ý của bạn).
• Cơ quan thực thi pháp luật và cơ quan nhà nước: khi pháp luật hiện hành, lệnh của tòa án hoặc yêu cầu hợp pháp của cơ quan thực thi pháp luật quy định.
• Bên kế nhiệm: trong trường hợp Picosu sáp nhập, được mua lại, tái tổ chức hoặc bán tài sản, dữ liệu của bạn có thể được chuyển cho bên kế nhiệm và bạn sẽ được thông báo trước.
• Cố vấn chuyên môn: luật sư, kiểm toán viên và chuyên gia tư vấn khác trong phạm vi cần thiết để bảo vệ lợi ích hợp pháp của Picosu.

Mọi bên thứ ba được truy cập dữ liệu của bạn phải tuân thủ các yêu cầu hiện hành về bảo mật và an toàn. Chúng tôi ký kết thỏa thuận xử lý dữ liệu (DPA) phù hợp với họ theo yêu cầu của GDPR.

Dữ liệu của bạn có thể được xử lý và lưu trữ trên máy chủ nằm ngoài quốc gia nơi bạn cư trú, đặc biệt tại Liên minh châu Âu, Hoa Kỳ hoặc những quốc gia khác nơi nhà cung cấp đám mây đặt cơ sở. Khi chuyển dữ liệu ra ngoài EU/EEA, chúng tôi bảo đảm mức bảo vệ phù hợp thông qua Điều khoản hợp đồng tiêu chuẩn (SCC) được Ủy ban châu Âu phê duyệt, quyết định về mức độ bảo vệ tương đương hoặc cơ chế pháp lý phù hợp khác.

Bạn có thể nhận bản sao Điều khoản hợp đồng tiêu chuẩn hoặc thông tin về cơ chế pháp lý cụ thể áp dụng cho việc chuyển dữ liệu bằng cách liên hệ [email protected].

Chúng tôi lưu dữ liệu cá nhân trong thời gian cần thiết để đạt được các mục đích nêu trong Chính sách này, hoặc lâu hơn nếu pháp luật hiện hành yêu cầu. Thời hạn cụ thể:

• Dữ liệu tài khoản (tên, email, hồ sơ): trong thời gian tài khoản tồn tại và 30 ngày sau khi xóa.
• Nội dung (ảnh, thư viện): trong thời gian tài khoản tồn tại và tối đa 90 ngày trong bản sao lưu sau khi xóa.
• Thông tin thanh toán và hồ sơ tài chính: theo yêu cầu của pháp luật thuế — thông thường là 7 năm.
• Nhật ký kỹ thuật và dữ liệu sử dụng: tối đa 12 tháng kể từ ngày thu thập.

Sau khi hết thời hạn lưu giữ, dữ liệu sẽ bị xóa hoặc ẩn danh để không thể liên kết với một cá nhân cụ thể. Một số dữ liệu tổng hợp và ẩn danh có thể được lưu vô thời hạn nhằm phục vụ phân tích và cải thiện Dịch vụ.

Theo Luật Bảo vệ dữ liệu cá nhân Ukraina (số 2297-VI ngày 01.06.2010), với tư cách chủ thể dữ liệu cá nhân, bạn có các quyền sau:

• Quyền biết nguồn thu thập, nơi lưu dữ liệu cá nhân, mục đích xử lý và địa điểm hoặc nơi cư trú của đơn vị kiểm soát hay xử lý dữ liệu.
• Quyền nhận thông tin về điều kiện truy cập dữ liệu cá nhân, bao gồm thông tin về bên thứ ba được chuyển dữ liệu cá nhân của bạn.
• Quyền truy cập dữ liệu cá nhân — nhận xác nhận về việc xử lý và một bản sao dữ liệu.
• Quyền gửi yêu cầu có căn cứ để bất kỳ đơn vị kiểm soát hoặc xử lý dữ liệu nào sửa đổi hay hủy dữ liệu cá nhân của bạn.
• Quyền bảo vệ dữ liệu cá nhân khỏi việc xử lý trái pháp luật và mất mát, phá hủy hoặc hư hỏng do sự cố.
• Quyền khiếu nại về việc xử lý dữ liệu cá nhân với Ủy viên Nhân quyền Quốc hội Ukraina hoặc tòa án.
• Quyền áp dụng biện pháp pháp lý khi pháp luật về bảo vệ dữ liệu cá nhân bị vi phạm.
• Quyền nêu bảo lưu về các hạn chế đối với quyền xử lý dữ liệu cá nhân của bạn khi bạn đồng ý cho phép xử lý.

Để thực hiện bất kỳ quyền nào nêu trên, hãy liên hệ [email protected]. Chúng tôi sẽ xem xét yêu cầu trong vòng 30 ngày theo lịch.

Nếu cư trú tại Liên minh châu Âu hoặc Khu vực kinh tế châu Âu, theo Quy định chung về bảo vệ dữ liệu (GDPR), bạn có thêm các quyền sau:

• Quyền truy cập (Điều 15 GDPR): quyền nhận xác nhận về việc xử lý và bản sao dữ liệu cá nhân, cùng thông tin về mục đích xử lý, loại dữ liệu và bên nhận dữ liệu.
• Quyền chỉnh sửa (Điều 16 GDPR): quyền yêu cầu sửa dữ liệu cá nhân không chính xác hoặc bổ sung dữ liệu chưa đầy đủ.
• Quyền xóa / “quyền được lãng quên” (Điều 17 GDPR): quyền yêu cầu xóa dữ liệu cá nhân trong một số điều kiện nhất định.
• Quyền hạn chế xử lý (Điều 18 GDPR): quyền yêu cầu hạn chế xử lý dữ liệu của bạn trong một số trường hợp nhất định.
• Quyền di chuyển dữ liệu (Điều 20 GDPR): quyền nhận dữ liệu ở định dạng có cấu trúc, thông dụng và máy có thể đọc được, đồng thời chuyển dữ liệu cho đơn vị kiểm soát khác.
• Quyền phản đối (Điều 21 GDPR): quyền phản đối việc xử lý dữ liệu dựa trên lợi ích hợp pháp hoặc cho mục đích tiếp thị trực tiếp.
• Quyền không phải chịu quyết định tự động (Điều 22 GDPR): quyền không phải chịu quyết định chỉ dựa trên xử lý tự động, bao gồm lập hồ sơ.
• Quyền khiếu nại với cơ quan giám sát: bạn có quyền gửi khiếu nại đến cơ quan giám sát bảo vệ dữ liệu có thẩm quyền tại quốc gia của mình.

Để thực hiện bất kỳ quyền nào nêu trên, hãy liên hệ [email protected]. Chúng tôi sẽ phản hồi trong vòng 30 ngày hoặc sớm hơn nếu pháp luật yêu cầu. Trong trường hợp ngoại lệ, thời hạn có thể kéo dài đến 60 ngày và bạn sẽ được thông báo. Việc thực hiện các quyền là miễn phí, ngoại trừ yêu cầu rõ ràng là không có căn cứ hoặc quá mức.

Chúng tôi triển khai các biện pháp kỹ thuật và tổ chức phù hợp để bảo vệ dữ liệu cá nhân khỏi truy cập, thay đổi, tiết lộ hoặc phá hủy trái phép. Các biện pháp bao gồm nhưng không giới hạn ở mã hóa dữ liệu khi truyền (TLS/SSL) và khi lưu trữ (AES-256); băm mật khẩu bằng PBKDF2 với salt riêng; sao lưu dữ liệu thường xuyên; giới hạn quyền truy cập của nhân sự theo nguyên tắc đặc quyền tối thiểu; giám sát an ninh và ghi nhật ký truy cập.

Dù đã áp dụng các biện pháp bảo vệ, không có phương thức truyền dữ liệu qua Internet hoặc lưu trữ điện tử nào an toàn tuyệt đối. Chúng tôi không thể bảo đảm dữ liệu hoàn toàn an toàn. Nếu xảy ra vi phạm dữ liệu hoặc sự cố bảo mật, chúng tôi sẽ thông báo cho bạn và cơ quan giám sát có thẩm quyền theo pháp luật hiện hành (trong vòng 72 giờ đối với GDPR).

Picosu không dành cho người dưới 18 tuổi. Chúng tôi không cố ý thu thập dữ liệu cá nhân của trẻ em. Nếu bạn là cha mẹ hoặc người giám hộ và biết rằng con mình đã cung cấp dữ liệu cá nhân cho chúng tôi mà chưa có sự đồng ý của bạn, hãy liên hệ [email protected]; chúng tôi sẽ ngay lập tức thực hiện các bước để xóa dữ liệu đó.

Chúng tôi có quyền cập nhật Chính sách quyền riêng tư này vào bất kỳ lúc nào. Khi có thay đổi quan trọng, chúng tôi sẽ thông báo qua email hoặc giao diện Nền tảng. Phiên bản cập nhật có hiệu lực ngay khi được công bố, trừ khi có quy định khác.

Chúng tôi khuyến nghị bạn thường xuyên xem lại Chính sách để nắm được phiên bản hiện hành. Việc tiếp tục sử dụng Dịch vụ sau khi Chính sách cập nhật có hiệu lực đồng nghĩa với việc bạn chấp nhận các thay đổi.

Nếu có câu hỏi, đề xuất hoặc khiếu nại liên quan đến Chính sách quyền riêng tư này hay việc xử lý dữ liệu cá nhân, vui lòng liên hệ với chúng tôi qua email: [email protected]. Chúng tôi phản hồi mọi yêu cầu trong vòng 30 ngày theo lịch.

Nếu cho rằng quyền bảo vệ dữ liệu của mình bị vi phạm, bạn có quyền khiếu nại với: Ủy viên Nhân quyền Quốc hội Ukraina (đối với công dân Ukraina); cơ quan giám sát bảo vệ dữ liệu có thẩm quyền tại quốc gia của bạn (đối với công dân EU/EEA); hoặc tòa án theo pháp luật hiện hành.