Zebrary · Văn bản công khai
Chính sách quyền riêng tư
1. Phạm vi và nguyên tắc
Chính sách này áp dụng cho tài khoản và hoạt động sử dụng Zebrary trên ứng dụng, PWA và website, bao gồm Thêm sách/Quét, Tủ sách, Tạp chí, Chợ sách, nội dung đọc, cộng đồng, Z/Z+, tính năng người sáng tạo và hỗ trợ khách hàng khi các tính năng đó được vận hành. Một số chức năng có thể chưa triển khai; Zebrary chỉ xử lý những dữ liệu thực sự cần cho chức năng người dùng sử dụng.
Chúng tôi cam kết giới hạn mục đích, chỉ lấy dữ liệu cần thiết, bảo vệ bằng biện pháp phù hợp và không bán dữ liệu cá nhân của người dùng. Việc quảng cáo cá nhân hóa hoặc dùng dữ liệu cho mục đích tiếp thị đòi hỏi thông báo và cơ chế đồng ý/phản đối riêng nếu pháp luật yêu cầu; đăng nhập không đồng nghĩa với đồng ý nhận quảng cáo.
2. Những nhóm dữ liệu có thể xử lý
| Nhóm | Ví dụ | Khi nào phát sinh |
|---|---|---|
| Danh tính và tài khoản | Clerk user ID, Zebrary internal user ID, email đã xác minh, tên hiển thị, username, avatar | Đăng ký/đăng nhập, chỉnh sửa hồ sơ |
| Dữ liệu xác thực | Trạng thái phiên, phương thức đăng nhập, tín hiệu chống gian lận, thời gian truy cập | OTP, Google/Apple OAuth; mã OTP được nhà xác thực xử lý, Zebrary không lưu OTP plaintext vào cơ sở dữ liệu nghiệp vụ |
| Tủ sách | ISBN, sách/tập đã thêm, ảnh bìa người dùng tải lên, ngày thêm, ghi chú | Quét, nhập tay, đồng bộ tủ sách |
| Đọc và sở thích | Tiến độ chương/trang, bookmark, Star, follow, lịch sử đọc, lựa chọn giao diện đọc | Khi mở và dùng các tính năng đọc |
| Chợ sách và cộng đồng | Tin đăng, ảnh, giá, tình trạng, gian hàng, bình luận, báo cáo, chat, thông tin giao nhận mà các bên tự cung cấp | Khi đăng bán, trao đổi, gửi tin |
| Giao dịch và quyền truy cập | Z+, gói nội dung, biên nhận, entitlement, ledger Z, phần thưởng, hoàn tiền, hỗ trợ giao dịch | Khi sử dụng tính năng tương ứng |
| Creator và đối soát | Tác phẩm, quyền khai báo, thông tin nhận thanh toán/thuế nếu bắt buộc, lịch sử thỏa thuận phiên bản | Khi xuất bản hoặc nhận doanh thu |
| Thiết bị và an toàn | IP, user agent, mã phiên, sự kiện lỗi, thời gian truy cập, log bảo mật; vị trí gần đúng suy ra từ IP | Bảo vệ tài khoản, vận hành hệ thống |
| Hỗ trợ và yêu cầu quyền | Email liên hệ, nội dung phản ánh, bằng chứng quyền, yêu cầu xóa/cung cấp dữ liệu | Khi liên hệ Zebrary |
Không mặc định yêu cầu: căn cước, số điện thoại, vị trí GPS chính xác, danh bạ, camera/microphone ngoài phạm vi tính năng. Truy cập camera để quét chỉ được xin khi người dùng chủ động sử dụng chức năng và có thể nhập ISBN bằng tay. Khi triển khai xác thực người bán theo pháp luật, Zebrary phải thông báo riêng về loại dữ liệu định danh thu thập, nhà cung cấp xác minh, thời hạn giữ và biện pháp bảo vệ; không được mặc nhiên dùng ảnh giấy tờ cho marketing hoặc huấn luyện AI.
Ảnh người dùng cung cấp có thể chứa thông tin trong nền ảnh hoặc EXIF. Zebrary cần loại bỏ metadata không cần thiết trước khi công khai ảnh tin đăng; ảnh tải lên không mặc nhiên là dữ liệu công khai nếu thuộc Tủ sách riêng tư.
3. Mục đích và căn cứ xử lý
Dữ liệu được xử lý để (a) tạo và bảo vệ tài khoản, xác thực phiên và kiểm soát truy cập; (b) cung cấp Tủ sách, đồng bộ sách, reader, gợi ý và bookmark; (c) vận hành chợ sách, chat, báo cáo và kiểm duyệt; (d) thực hiện giao dịch hợp lệ, quyền nội dung số, hóa đơn, thanh toán và đối soát; (e) phòng chống gian lận, xử lý lỗi và bảo vệ hệ thống; (f) tiếp nhận quyền của chủ thể dữ liệu và yêu cầu từ cơ quan có thẩm quyền; (g) phân tích hiệu năng bằng dữ liệu tối thiểu hoặc tổng hợp; (h) gửi thông báo tùy chọn khi người dùng đã đăng ký.
Tùy hoạt động, căn cứ xử lý có thể bao gồm sự đồng ý hợp lệ; việc cung cấp dịch vụ/hợp đồng theo quy định cho phép; nghĩa vụ pháp lý; hoặc những trường hợp khác được luật cho phép. Không áp dụng một căn cứ duy nhất cho tất cả loại dữ liệu. Các mục đích tùy chọn như quảng cáo cá nhân hóa, nhận tin khuyến mãi, dùng ảnh/tác phẩm để huấn luyện mô hình AI phải có giải thích, quyền lựa chọn và bản ghi chấp thuận độc lập khi cần.
4. Đăng nhập Clerk, Google và Apple
Zebrary sử dụng hoặc đang tích hợp Clerk cho xác thực tài khoản bằng email OTP và kết nối Google/Apple. Nhà cung cấp xác thực có thể xử lý email, session, IP, tín hiệu bảo mật và thông tin đăng nhập phù hợp với chức năng. Zebrary không yêu cầu người dùng cung cấp mật khẩu tài khoản Google/Apple cho Zebrary hoặc bot Telegram.
Google/Apple có thể chia sẻ với Clerk/Zebrary các thông tin đã được người dùng cho phép và được provider hỗ trợ; Apple có thể cung cấp email chuyển tiếp riêng tư. Zebrary sử dụng một mã định danh tài khoản nội bộ ổn định để liên kết dữ liệu người dùng; không tự gộp hai tài khoản chỉ dựa vào tên giống nhau hoặc email chưa được xác minh.
Nhà cung cấp, nơi lưu và luồng quốc tế phải được rà soát bằng cấu hình sản xuất thật và hợp đồng xử lý dữ liệu. Việc tồn tại Clerk/Google/Apple/Cloudflare không tự chứng minh rằng mọi dữ liệu được lưu ở Việt Nam. Nếu có chuyển dữ liệu xuyên biên giới, Zebrary thực hiện nghĩa vụ đánh giá, hồ sơ và biện pháp bảo vệ theo luật áp dụng trước khi vận hành tương ứng.
5. Công khai và chia sẻ dữ liệu
Hồ sơ, username/avatar, bình luận, tác phẩm Creator và tin đăng có thể hiển thị cho người khác theo tính năng, trạng thái xuất bản và cài đặt được người dùng lựa chọn. Danh sách sách cá nhân và lịch sử đọc riêng tư mặc định không hiển thị công khai. Người bán hiểu rằng thông tin họ tự đưa vào tin đăng hoặc trao đổi với người mua sẽ được người nhận xem; không đăng căn cước, địa chỉ nhà, số điện thoại cá nhân công khai nếu không cần thiết.
Dữ liệu có thể được cung cấp giới hạn cho nhà cung cấp dịch vụ được ủy quyền (xác thực, lưu trữ, CDN/chống bot, phân tích kỹ thuật, thanh toán nếu triển khai, xử lý hỗ trợ); bên giao dịch khi cần giao nhận; cơ quan có thẩm quyền theo yêu cầu hợp pháp; và bên nhận chuyển giao doanh nghiệp phù hợp pháp luật, có thông báo khi bắt buộc. Zebrary không bán hồ sơ cá nhân, danh bạ hoặc tủ sách của người dùng cho các bên môi giới dữ liệu.
Liên kết ra nhà bán lẻ, nội dung tài trợ/affiliate và website bên ngoài chịu chính sách riêng của bên được chuyển đến. Zebrary sẽ phân biệt nội dung quảng cáo với nội dung biên tập và không tự gửi dữ liệu định danh sang bên thứ ba chỉ vì người dùng xem một bài viết.
6. Dữ liệu trẻ em và độ tuổi
Nếu sản phẩm phục vụ trẻ em, Zebrary cần cơ chế kiểm soát độ tuổi và sự đồng ý của cha mẹ/người giám hộ theo quy định; không suy đoán mọi người dùng tự khai đã đủ tuổi. Tính năng đăng bán, thanh toán hoặc nhận thu nhập có thể yêu cầu năng lực hành vi và xác minh riêng. Trong khi chưa hoàn tất các biện pháp dành cho trẻ em, Zebrary không chủ đích cung cấp tính năng thương mại/Creator trả phí cho người chưa đủ điều kiện.
7. Cookies, phân tích và thông báo
Ứng dụng có thể sử dụng cookie/thiết bị lưu phiên đăng nhập, bảo mật và tùy chọn hiển thị; cookie phân tích/marketing không thiết yếu chỉ triển khai theo cơ chế thông báo/chấp thuận phù hợp. Thông báo email, push hoặc trong ứng dụng phục vụ bảo mật/giao dịch có thể khác với tin quảng cáo tự chọn. Người dùng có thể tắt thông báo marketing; việc tắt không ngăn thư liên quan đến bảo mật hoặc nghĩa vụ giao dịch hợp pháp.
Zebrary có thể đo lượt quét, lượt đọc, lỗi, hiệu suất và hành vi sử dụng bằng thống kê tối thiểu để cải thiện sản phẩm. Dữ liệu tổng hợp đã thực sự ẩn danh có thể được lưu lại; dữ liệu vẫn có thể gắn với tài khoản sẽ tiếp tục được bảo vệ như dữ liệu cá nhân.
8. Thời hạn lưu dữ liệu
Zebrary chỉ lưu dữ liệu cá nhân trong thời gian cần thiết cho mục đích đã thông báo hoặc nghĩa vụ pháp lý. Quy tắc chi tiết, ngoại lệ và lịch xóa được nêu tại Chính sách xóa tài khoản và lưu giữ dữ liệu. Các mốc 90 ngày log bảo mật, 30 ngày vòng đời backup, 12 tháng ticket hỗ trợ... là mốc vận hành đề xuất của Zebrary, chỉ có hiệu lực khi đã cấu hình hệ thống tương ứng và được phê duyệt, không phải thời hạn bắt buộc chung do luật ấn định.
Những chứng từ, sổ sách kế toán hoặc thông tin giao dịch tối thiểu có thể phải giữ lâu hơn theo quy định (ví dụ nhóm chứng từ kế toán thuộc diện lưu tối thiểu 5 năm hoặc 10 năm tùy loại). Zebrary không giữ lại toàn bộ chat, ảnh và lịch sử đọc chỉ vì cần giữ một chứng từ tài chính.
9. Quyền của bạn
Tùy trường hợp và giới hạn pháp luật, bạn có thể yêu cầu: được biết; cung cấp thông tin về xử lý; đồng ý, từ chối hoặc rút lại đồng ý; xem, sửa và nhận bản dữ liệu; xóa; hạn chế hoặc phản đối xử lý; khiếu nại và thực hiện những quyền khác theo quy định.
Kênh gửi yêu cầu: trong Tôi → Cài đặt → Quyền riêng tư hoặc gửi hello@zebrary.net. Zebrary phải xác minh người yêu cầu là chủ tài khoản bằng cách tương xứng, tránh yêu cầu giấy tờ không cần thiết. Nếu người dùng mất quyền truy cập, có quy trình khôi phục/xác minh thay thế và bảo vệ khỏi yêu cầu giả mạo.
Đối với yêu cầu xóa hợp lệ, Zebrary phản hồi về thủ tục trong 2 ngày làm việc và thực hiện theo thời hạn 20 ngày; khi cần phối hợp bên xử lý/bên thứ ba áp dụng mốc 30 ngày theo quy định. Gia hạn chỉ khi được pháp luật cho phép, có lý do và thông báo cho người dùng; không dùng một khoảng chờ hoàn tác tùy ý để kéo dài thời hạn. Những loại yêu cầu quyền khác được xử lý theo thời hạn và ngoại lệ tương ứng tại Nghị định 356/2025/NĐ-CP.
10. Bảo mật, sự cố và lưu trữ dự phòng
Zebrary thực hiện phân quyền theo vai trò, giới hạn truy cập, mã hóa truyền tải, bảo vệ khóa, ghi log truy cập nhạy cảm, kiểm soát nhà cung cấp và sao lưu có kiểm thử phục hồi. Không hệ thống nào đảm bảo an toàn tuyệt đối. Khi xảy ra sự cố dữ liệu cá nhân, Zebrary cần ghi nhận, đánh giá, khắc phục và thực hiện nghĩa vụ thông báo/báo cáo theo pháp luật; không cố tình che giấu sự cố.
Khi xóa tài khoản, bản backup được kiểm soát truy cập và có cơ chế không khôi phục lại dữ liệu đã bị xóa khi phục hồi hệ thống. Chính sách xử lý backup phải tuân thủ quyền xóa dữ liệu và được mô tả rõ trong văn bản xóa tài khoản.
11. Thay đổi chính sách và liên hệ
Nếu thay đổi mục đích xử lý, danh mục bên nhận dữ liệu hoặc những điều khoản quan trọng, Zebrary sẽ công bố bản mới trước khi áp dụng theo pháp luật; xin chấp thuận lại đối với mục đích cần sự đồng ý. Phiên bản cũ, ngày hiệu lực và nội dung chấp thuận phải được quản lý, không ghi đè lịch sử mà không lưu vết.
Chủ thể kiểm soát dữ liệu: Zebrary (tên dịch vụ)
Đầu mối quyền riêng tư: hello@zebrary.net
Ngày hiệu lực: Ngày công bố chính thức
Phiên bản: 1.0