Chính sách Quyền riêng tư

1. Giới thiệu

TexAPI (texapi.dev) cam kết bảo vệ quyền riêng tư của bạn. Chính sách này mô tả cách chúng tôi thu thập, sử dụng, lưu trữ và bảo vệ thông tin cá nhân khi bạn sử dụng dịch vụ.

2. Thông tin chúng tôi thu thập

2.1. Thông tin bạn cung cấp trực tiếp

• Thông tin tài khoản: Tên hiển thị, địa chỉ email, mật khẩu (được lưu dưới dạng hash, không thể đọc ngược).
• Thông tin thanh toán: Tên người mua, email người mua (gửi đến PayOS để tạo giao dịch). Chúng tôi không lưu trữ thông tin thẻ ngân hàng hoặc tài khoản ngân hàng.
• Tài khoản OAuth (tùy chọn): Khi bạn liên kết Google, GitHub hoặc Discord, chúng tôi lưu mã định danh của nhà cung cấp, tên hiển thị và URL avatar.

2.2. Thông tin thu thập tự động

• Địa chỉ IP: Được lưu dưới dạng hash SHA-256 một chiều — không thể chuyển ngược thành IP gốc. Dùng để giới hạn tốc độ (rate limiting) và chống lạm dụng.
• User-Agent: Thông tin trình duyệt/ứng dụng gửi API request. Dùng cho mục đích ghi nhật ký và phân tích.
• Nhật ký API request: Endpoint, model, số token đầu vào/đầu ra, credit bị trừ, thời gian phản hồi, mã trạng thái. Bản xem trước nội dung request/response có thể được lưu cho mục đích audit.
• Cookie phiên: Cookie httpOnly, secure, sameSite: lax để duy trì phiên đăng nhập.

2.3. Thông tin thanh toán và giao dịch

• Lịch sử nạp tiền, đăng ký thuê bao, hóa đơn.
• Sổ cái credit (credit ledger): Loại giao dịch, số credit, số dư sau giao dịch, mô tả.
• Dữ liệu phản hồi từ PayOS (order code, payment link ID, trạng thái thanh toán).

3. Mục đích sử dụng thông tin

• Cung cấp dịch vụ: Xác thực, xử lý API request, tính phí credit.
• Bảo mật: Phát hiện gian lận, chống lạm dụng, giới hạn tốc độ truy cập.
• Thanh toán: Xử lý giao dịch nạp tiền và thuê bao qua PayOS.
• Hỗ trợ: Giải quyết vấn đề kỹ thuật, tranh chấp thanh toán.
• Cải thiện dịch vụ: Phân tích tổng hợp (aggregated analytics) để tối ưu hệ thống.
• Thông báo: Gửi cảnh báo sử dụng, thông tin bảo mật, xác minh email (nếu bật).

4. Bên thứ ba

Chúng tôi chia sẻ dữ liệu tối thiểu cần thiết với các bên thứ ba sau:

Chúng tôi không bán, cho thuê hoặc chia sẻ dữ liệu cá nhân của bạn cho bên thứ ba vì mục đích tiếp thị hoặc quảng cáo.

5. Bảo mật dữ liệu

Chúng tôi áp dụng các biện pháp bảo mật sau:

• Mật khẩu được hash bằng thuật toán mạnh (bcrypt/argon2) trước khi lưu trữ.
• API key được hash bằng HMAC-SHA256 với pepper bí mật riêng — không thể đọc ngược.
• Session cookie: httpOnly, secure (production), sameSite: lax.
• Giới hạn tốc độ (rate limiting) trên IP, email và API key để chống brute-force.
• Cloudflare Turnstile CAPTCHA bảo vệ form đăng ký.
• Kết nối database sử dụng SSL trong môi trường production.
• Các secret quan trọng (session secret, API key pepper, internal secret) bắt buộc phải được cấu hình trong production — thiếu sẽ từ chối khởi động.

6. Lưu trữ và xóa dữ liệu

• Dữ liệu tài khoản được lưu trữ cho đến khi bạn yêu cầu xóa tài khoản.
• Nhật ký API request và phân tích sử dụng được lưu trữ theo thời hạn phụ thuộc gói thuê bao (7 – 180 ngày).
• Dữ liệu giao dịch và hóa đơn được lưu trữ theo quy định pháp luật về kế toán (tối thiểu 5 năm).
• IP hash và dữ liệu rate limiting trên Redis sẽ tự động hết hạn sau thời gian ngắn (vài phút đến 24 giờ).

7. Quyền của bạn

Bạn có quyền:

• Truy cập: Xem thông tin cá nhân chúng tôi lưu trữ về bạn.
• Chỉnh sửa: Cập nhật tên hiển thị, username qua trang Cài đặt.
• Xóa tài khoản: Yêu cầu xóa tài khoản và dữ liệu cá nhân liên quan bằng cách liên hệ support@texapi.dev. Dữ liệu giao dịch có thể được giữ lại theo quy định pháp luật.
• Ngắt kết nối OAuth: Ngắt liên kết tài khoản Google, GitHub, Discord bất kỳ lúc nào.
• Quản lý thông báo: Tùy chỉnh loại thông báo nhận được qua trang Cài đặt.

8. Nội dung API request

Quan trọng: Nội dung bạn gửi qua API (prompt, tin nhắn) sẽ được chuyển tiếp đến nhà cung cấp AI gốc để xử lý. Bản xem trước ngắn gọn (preview) của request và response có thể được lưu trong nhật ký để phục vụ audit và debug.

• Không gửi thông tin cá nhân nhạy cảm (CCCD, số thẻ ngân hàng, mật khẩu) trong nội dung API request.
• TexAPI không sử dụng nội dung request của bạn để huấn luyện mô hình hoặc bất kỳ mục đích nào ngoài việc cung cấp dịch vụ.
• Việc nhà cung cấp AI gốc xử lý dữ liệu tuân theo chính sách riêng của họ.

9. Thay đổi chính sách

Chúng tôi có thể cập nhật Chính sách Quyền riêng tư này theo thời gian. Thay đổi quan trọng sẽ được thông báo qua email hoặc trên website. Ngày "Cập nhật lần cuối" ở đầu trang sẽ phản ánh phiên bản mới nhất.

10. Liên hệ

Nếu bạn có câu hỏi về Chính sách Quyền riêng tư hoặc muốn thực hiện quyền của mình, vui lòng liên hệ:

• Email: support@texapi.dev
• Website: texapi.dev