Chính sách Bảo mật

1. Thông tin chúng tôi thu thập

Chúng tôi thu thập thông tin bạn cung cấp trực tiếp, bao gồm tên, địa chỉ email, số điện thoại, thông tin thanh toán và bất kỳ tin nhắn nào bạn gửi. Khi bạn đăng ký bằng Google OAuth, chúng tôi nhận tên và email của bạn từ Google. Chúng tôi cũng tự động thu thập dữ liệu sử dụng như các trang được truy cập, các tính năng được sử dụng, địa chỉ IP, loại trình duyệt và thông tin thiết bị.

2. Cách chúng tôi sử dụng thông tin của bạn

• Để tạo và quản lý tài khoản của bạn
• Để cung cấp các dịch vụ bạn đã mua hoặc yêu cầu
• Để xử lý thanh toán và gửi biên lai và hóa đơn
• Để gửi email giao dịch (xác nhận đơn hàng, nhắc nhở gia hạn, phản hồi hỗ trợ)
• Để cải thiện và phát triển nền tảng và dịch vụ của chúng tôi
• Để tuân thủ các nghĩa vụ pháp lý

3. Xử lý thanh toán

Tất cả các giao dịch thanh toán được xử lý bởi Stripe, Inc. (stripe.com), nhà cung cấp dịch vụ thanh toán tuân thủ PCI-DSS. Winvestour LLC không lưu trữ, truy cập hoặc xử lý trực tiếp các số thẻ tín dụng. Bằng cách hoàn thành một lần mua hàng, bạn cũng đồng ý với Điều khoản Dịch vụ và Chính sách Bảo mật của Stripe. Chúng tôi lưu giữ hồ sơ giao dịch bao gồm số tiền, ngày tháng và tham chiếu hóa đơn cho mục đích kế toán và tuân thủ pháp lý.

4. Lưu trữ dữ liệu & Bảo mật

Dữ liệu cá nhân của bạn được lưu trữ trên Neon PostgreSQL, cơ sở dữ liệu đám mây được lưu trữ tại Hoa Kỳ. Chúng tôi sử dụng mã hóa theo tiêu chuẩn ngành cho dữ liệu trong quá trình truyền (HTTPS/TLS) và khi lưu trữ. Mật khẩu được băm bằng bcrypt và không bao giờ được lưu trữ dưới dạng văn bản thuần túy. Chúng tôi triển khai các biện pháp bảo mật hợp lý để bảo vệ chống lại truy cập trái phép, tiết lộ hoặc phá hủy dữ liệu của bạn. Không có truyền tải internet nào là 100% an toàn.

5. Dịch vụ của bên thứ ba

Chúng tôi làm việc với các nhà cung cấp sau, mỗi nhà chịu sự tuân thủ chính sách bảo mật riêng của họ:

• Google OAuth – Xác thực tài khoản
• Stripe – Xử lý thanh toán
• Resend – Gửi email giao dịch
• Vercel – Nền tảng hosting và CDN
• Neon – Hosting cơ sở dữ liệu

6. Bảo vệ Quyền riêng tư của Trẻ em (COPPA)

Dịch vụ của chúng tôi không được cung cấp cho trẻ em dưới 13 tuổi. Chúng tôi không cố ý thu thập thông tin cá nhân từ trẻ em dưới 13 tuổi. Nếu bạn tin rằng chúng tôi đã vô tình thu thập những thông tin như vậy, vui lòng liên hệ với chúng tôi tại support@winvestour.com và chúng tôi sẽ xóa nó ngay lập tức.

7. Lưu giữ Dữ liệu

Chúng tôi lưu giữ dữ liệu cá nhân của bạn miễn là tài khoản của bạn vẫn hoạt động hoặc khi cần thiết để cung cấp dịch vụ của chúng tôi. Sau khi xóa tài khoản, chúng tôi lưu giữ các bản ghi nhất định trong tối đa 7 năm để tuân thủ kế toán, thuế và pháp lý. Hồ sơ giao dịch thanh toán có thể được lưu giữ lâu hơn như luật pháp yêu cầu.

8. Quyền của Bạn

Tùy thuộc vào vị trí của bạn, bạn có thể có các quyền sau đây liên quan đến dữ liệu cá nhân của bạn:

• Quyền truy cập: Yêu cầu bản sao dữ liệu cá nhân mà chúng tôi giữ về bạn
• Quyền sửa chữa: Yêu cầu sửa dữ liệu không chính xác hoặc không đầy đủ
• Quyền xóa: Yêu cầu xóa dữ liệu cá nhân của bạn (tuỳ theo yêu cầu lưu giữ theo pháp luật)
• Quyền tính di động: Yêu cầu dữ liệu của bạn ở định dạng có thể chuyển cấp
• Cư dân California (CCPA): Bạn có quyền biết thông tin cá nhân nào được thu thập, yêu cầu xóa và từ chối bán thông tin cá nhân (chúng tôi không bán dữ liệu của bạn)
• Để thực hiện các quyền này, vui lòng liên hệ với chúng tôi tại: support@winvestour.com

9. Cookie

Chúng tôi chỉ sử dụng các cookie phiên quan trọng cần thiết để xác thực và chức năng nền tảng. Chúng tôi không sử dụng cookie theo dõi, cookie quảng cáo hoặc cookie phân tích của bên thứ ba.

10. Người dùng Quốc tế

Winvestour LLC được vận hành từ Hoa Kỳ. Nếu bạn truy cập dịch vụ của chúng tôi từ bên ngoài Hoa Kỳ, dữ liệu của bạn sẽ được chuyển đến và xử lý tại Hoa Kỳ. Bằng cách sử dụng dịch vụ của chúng tôi, bạn đồng ý với việc chuyển này.

11. Luật Điều chỉnh & Thẩm quyền

Chính sách Bảo vệ Quyền riêng tư này được điều chỉnh bởi luật pháp của Bang Wyoming, Hoa Kỳ, không xem xét các quy định về xung đột pháp luật của nó. Mọi tranh chấp phát sinh từ chính sách này sẽ phải chịu thẩm quyền độc quyền của tòa án Quận Sheridan, Wyoming.

12. Thay đổi đối với Chính sách Này

Chúng tôi bảo lưu quyền cập nhật Chính sách Bảo vệ Quyền riêng tư này bất kỳ lúc nào. Khi chúng tôi thực hiện các thay đổi lớn, chúng tôi sẽ cập nhật ngày "Cập nhật lần cuối" và, khi được yêu cầu, thông báo cho bạn qua email. Việc bạn tiếp tục sử dụng dịch vụ của chúng tôi sau bất kỳ thay đổi nào cấu thành chấp nhận chính sách đã sửa đổi.

13. Liên hệ

Nếu có câu hỏi về Chính sách Bảo vệ Quyền riêng tư này hoặc để thực hiện quyền dữ liệu của bạn: support@winvestour.com | Winvestour LLC, Wyoming, Hoa Kỳ

14. Cơ sở pháp lý của việc xử lý (Điều 6 GDPR)

Khi GDPR của EU/EEA hoặc Vương quốc Anh, luật KVKK của Thổ Nhĩ Kỳ hoặc các luật tương tự được áp dụng, chúng tôi chỉ xử lý dữ liệu cá nhân của bạn khi có cơ sở pháp lý: (a) thực hiện hợp đồng — tạo tài khoản và cung cấp các sản phẩm, dịch vụ bạn đã mua (Điều 6(1)(b)); (b) nghĩa vụ pháp lý — hồ sơ kế toán và thuế (c); (c) lợi ích hợp pháp của chúng tôi — bảo vệ nền tảng, ngăn chặn gian lận và lạm dụng, duy trì nhật ký kiểm toán chống giả mạo và cải thiện dịch vụ, luôn được cân nhắc với quyền của bạn (f); và (d) sự đồng ý của bạn — cho cookie phân tích, tiếp thị và các thông tin tiếp thị, có thể rút lại bất cứ lúc nào với hiệu lực về sau (a; Điều 7(3)).

15. Quyền của bạn theo GDPR / KVKK

Tùy theo các điều kiện và ngoại lệ của luật áp dụng, bạn có quyền:

• Truy cập — xác nhận việc xử lý dữ liệu và nhận bản sao (Điều 15). Có công cụ tự xuất dữ liệu trong cài đặt tài khoản.
• Chỉnh sửa dữ liệu không chính xác và bổ sung dữ liệu chưa đầy đủ (Điều 16). Hầu hết dữ liệu hồ sơ có thể sửa trực tiếp trong cài đặt.
• Xóa ("quyền được lãng quên") — (Điều 17). Khi xóa tài khoản, các trường cá nhân sẽ được ẩn danh vĩnh viễn sau thời gian an toàn 90 ngày; hồ sơ giao dịch mà pháp luật buộc chúng tôi lưu giữ sẽ được giữ ở dạng ẩn danh.
• Hạn chế xử lý (Điều 18) và phản đối việc xử lý dựa trên lợi ích hợp pháp, bao gồm tiếp thị trực tiếp (Điều 21).
• Chuyển dữ liệu — nhận dữ liệu bạn đã cung cấp ở định dạng có cấu trúc, thông dụng, máy đọc được (Điều 20); công cụ tự xuất đáp ứng điều này.
• Rút lại sự đồng ý bất cứ lúc nào mà không ảnh hưởng đến tính hợp pháp của việc xử lý trước đó (Điều 7(3)).
• Khiếu nại lên cơ quan giám sát — tại EU/EEA là cơ quan nơi bạn cư trú hoặc làm việc; tại Thổ Nhĩ Kỳ là Hội đồng KVKK.
• Để thực hiện các quyền này, liên hệ privacy@winvestour.com. Chúng tôi trả lời trong vòng một tháng (có thể gia hạn thêm hai tháng với yêu cầu phức tạp và sẽ thông báo). Chúng tôi có thể cần xác minh danh tính trước khi xử lý.

16. Lịch lưu giữ dữ liệu

Chúng tôi không giữ dữ liệu cá nhân lâu hơn mức cần thiết. Cụ thể: dữ liệu tài khoản được giữ trong suốt vòng đời tài khoản và được ẩn danh vĩnh viễn 90 ngày sau khi xóa; hồ sơ đồng ý cookie được giữ 3 năm làm bằng chứng; mã xác minh hết hạn được xóa tự động; hồ sơ tài chính và đơn hàng được giữ trong thời hạn kế toán luật định (các trường cá nhân được ẩn danh khi xóa); tài liệu xác minh danh tính (KYC) chỉ được giữ trong thời gian quan hệ kinh doanh cộng với thời gian tranh chấp, sau đó xóa. Một tác vụ tự động hằng ngày thực thi các thời hạn này.

17. Chuyển dữ liệu quốc tế

Winvestour LLC được thành lập tại Hoa Kỳ và các bên xử lý phụ của chúng tôi chủ yếu xử lý dữ liệu tại Mỹ. Khi dữ liệu của cá nhân tại EU/EEA, Anh, Thụy Sĩ hoặc Thổ Nhĩ Kỳ được chuyển quốc tế, chúng tôi dựa vào các biện pháp bảo vệ của bên xử lý phụ — đặc biệt là Điều khoản Hợp đồng Chuẩn (SCC) của Ủy ban châu Âu và các cơ chế tương đương — cùng các biện pháp kỹ thuật, tổ chức như mã hóa TLS khi truyền, mã hóa khi lưu trữ và mã hóa cấp ứng dụng cho các trường nhạy cảm cao. Danh sách cập nhật các bên xử lý phụ và vị trí được công bố trên trang Subprocessors của chúng tôi.

18. Bên xử lý phụ

Chúng tôi sử dụng một số nhà cung cấp đã thẩm định để vận hành nền tảng, mỗi bên đều bị ràng buộc bởi thỏa thuận xử lý dữ liệu: Anthropic (tính năng AI), Stripe (thanh toán — dữ liệu thẻ không bao giờ chạm đến máy chủ của chúng tôi), Vercel (lưu trữ web và tệp), Neon (cơ sở dữ liệu), Resend (email), Google (đăng nhập), Twilio (SMS), NameSilo (đăng ký tên miền) và Upstash (giới hạn tốc độ). Sổ đăng ký chính thức, luôn cập nhật — kèm mục đích và vị trí — có tại winvestour.com/subprocessors. Chúng tôi sẽ cập nhật trang đó trước khi thêm bên xử lý phụ mới.

19. Quyết định tự động và AI

Một số tính năng của nền tảng sử dụng trí tuệ nhân tạo (Anthropic Claude) — ví dụ tạo nội dung và thiết kế trang, trợ lý trong ứng dụng, và đánh giá sơ bộ hồ sơ influencer, giấy tờ tùy thân và nội dung chiến dịch. Các kết quả AI này hỗ trợ và tăng tốc quyết định; chúng không tạo ra hệ quả pháp lý đối với bạn nếu không có sự giám sát của con người: quản trị viên có thể hủy bỏ mọi đánh giá tự động, và bạn có thể khiếu nại kết quả tự động qua privacy@winvestour.com. Nội dung bạn gửi tới các tính năng AI được Anthropic xử lý với tư cách bên xử lý phụ theo thỏa thuận xử lý dữ liệu và không được dùng để xây dựng hồ sơ quảng cáo.

20. Sự đồng ý chứng minh được và hồ sơ cookie

Khi chúng tôi dựa vào sự đồng ý của bạn (cookie phân tích hoặc tiếp thị, thông tin tiếp thị), chúng tôi lưu bản ghi phía máy chủ về quyết định đồng ý — các lựa chọn, phiên bản chính sách hiển thị, dấu thời gian và siêu dữ liệu kỹ thuật — để có thể chứng minh sự đồng ý theo Điều 7(1) GDPR. Bạn có thể thay đổi hoặc rút lại lựa chọn cookie bất cứ lúc nào từ banner hoặc cài đặt; việc rút lại có hiệu lực ngay cho tương lai.

21. Liên hệ bảo vệ dữ liệu

Về mọi vấn đề quyền riêng tư và bảo vệ dữ liệu (bao gồm thực hiện các quyền tại Mục 14–20): privacy@winvestour.com, hoặc qua bưu điện: Winvestour LLC, Sheridan, Wyoming, United States. Nếu chúng tôi bổ nhiệm Nhân viên Bảo vệ Dữ liệu hoặc đại diện EU/UK, thông tin liên hệ sẽ được công bố trong chính sách này.