Chính sách quyền riêng tư

Phiên bản 2.0 — ngày 7 tháng 7 năm 2026 (thay thế Phiên bản 1.0 — tháng 5 năm 2026)

1. Chúng tôi là ai

TidyBox là dịch vụ nhãn lưu trữ QR thông minh. Dịch vụ giúp cá nhân và doanh nghiệp dán nhãn hộp, thùng chứa, kệ và các không gian lưu trữ khác, sau đó xem và quản lý nội dung bên trong thông qua https://tidybox.eu.

Bên kiểm soát dữ liệu đối với dữ liệu cá nhân được xử lý thông qua TidyBox là RMX Tek Ltd (4 Sv. Ivan, A27, Bansko, Bulgaria 2770), một công ty đăng ký tại Bulgaria ("chúng tôi", "của chúng tôi"). Bạn có thể liên hệ với chúng tôi về bất kỳ nội dung nào trong chính sách này qua privacy@tidybox.eu.

Chúng tôi hoạt động tại Liên minh Châu Âu và xử lý dữ liệu cá nhân theo Quy định (EU) 2016/679 (Quy định chung về bảo vệ dữ liệu của EU, "GDPR") và pháp luật bảo vệ dữ liệu hiện hành của Bulgaria.

2. Dữ liệu chúng tôi thu thập

• Dữ liệu tài khoản: Địa chỉ email, mật khẩu đã được băm an toàn (chúng tôi không bao giờ lưu mật khẩu dưới dạng văn bản thuần), tên hiển thị, ngôn ngữ ưa thích, gói dịch vụ và trạng thái thuê bao. Nếu bạn đăng nhập bằng Google, chúng tôi nhận tên, địa chỉ email và mã định danh tài khoản Google của bạn từ Google.
• Nội dung bạn tải lên: Ảnh chụp hộp, kệ và đồ vật được lưu trữ, tên hộp và tên đồ vật, mô tả, ghi chú, vị trí và thông tin kiểm kê liên quan, được lưu trên máy chủ của chúng tôi.
• Mã định danh người quét ẩn danh: Một mã định danh ngẫu nhiên (cookie tidybox_guest_id) liên kết các đóng góp của khách truy cập quét mã QR mà không có tài khoản, dùng để duy trì tính liên tục khi chỉnh sửa và ngăn chặn lạm dụng.
• Dữ liệu kỹ thuật: Địa chỉ IP và thông tin trình duyệt/thiết bị (user agent), dùng cho bảo mật, giới hạn tần suất, kiểm soát chống phá hoại và ngăn chặn lạm dụng.
• Cookie: Xem bảng cookie ở cuối trang này để có danh sách đầy đủ.
• Dữ liệu thanh toán: Các khoản thanh toán được xử lý bởi Stripe. Chúng tôi không bao giờ xem hoặc lưu số thẻ đầy đủ của bạn. Chúng tôi chỉ lưu gói dịch vụ, trạng thái thuê bao và siêu dữ liệu hóa đơn/giao dịch của bạn.
• Mã định danh thông báo: Địa chỉ email, ID chat Telegram và/hoặc token đăng ký thông báo đẩy của trình duyệt — chỉ đối với các kênh thông báo bạn bật.
• Token API: Nếu bạn sử dụng API TidyBox hoặc tích hợp MCP, chúng tôi lưu các token bạn tạo và nhật ký sử dụng cơ bản.
• Hồ sơ chấp thuận: Lựa chọn chấp thuận cookie của bạn, cùng với dấu thời gian, mã định danh phiên và địa chỉ IP, được lưu giữ làm bằng chứng chấp thuận theo yêu cầu pháp luật.
• Liên lạc hỗ trợ: Các tin nhắn bạn gửi cho chúng tôi và thông tin liên hệ bạn cung cấp kèm theo.

3. Mục đích và cơ sở pháp lý (Điều 6 GDPR)

• Cung cấp dịch vụ — lưu trữ và hiển thị các hộp, ảnh và danh sách đồ vật của bạn cho bạn và những người bạn cho phép: thực hiện hợp đồng, Điều 6(1)(b).
• Nhận diện ảnh bằng AI — chỉ chạy khi bạn yêu cầu rõ ràng cho một bức ảnh: thực hiện hợp đồng theo yêu cầu của bạn, Điều 6(1)(b). Xem mục 4.
• Thanh toán, xuất hóa đơn và hồ sơ thuế: thực hiện hợp đồng, Điều 6(1)(b), và tuân thủ nghĩa vụ pháp lý, Điều 6(1)(c).
• Thông báo mà bạn bật (email, thông báo đẩy, Telegram): thực hiện hợp đồng, Điều 6(1)(b); bạn có thể tắt bất cứ lúc nào.
• Bảo mật, giới hạn tần suất, ngăn chặn lạm dụng và kiểm duyệt nội dung: lợi ích chính đáng của chúng tôi trong việc giữ cho dịch vụ an toàn và hợp pháp, Điều 6(1)(f).
• Cookie phân tích và tiếp thị (xem mục 8): sự chấp thuận của bạn, Điều 6(1)(a), mà bạn có thể rút lại bất cứ lúc nào qua "Cài đặt cookie" ở chân trang.
• Lưu giữ hồ sơ chấp thuận: tuân thủ nghĩa vụ pháp lý, Điều 6(1)(c) và Điều 7(1) GDPR.

4. Nhận diện ảnh có hỗ trợ AI

TidyBox có thể gợi ý tên đồ vật từ một bức ảnh. Điều này chỉ xảy ra khi bạn chủ động nhấn nút nhận diện cho một bức ảnh cụ thể — chúng tôi không chạy phân tích AI trên ảnh của bạn ở chế độ nền.

• Bức ảnh được truyền tới Google Gemini API (Google) để nhận diện; nếu thất bại, tới Anthropic Claude API (Anthropic) như phương án dự phòng.
• Nội dung văn bản có thể được sàng lọc bằng OpenAI Moderation API, và hình ảnh có thể được sàng lọc bằng Google Gemini, để phát hiện nội dung vi phạm Điều khoản sử dụng của chúng tôi.
• Theo các điều khoản API thương mại của các nhà cung cấp này đang có hiệu lực tại ngày ban hành chính sách này, nội dung gửi qua API của họ không được sử dụng để huấn luyện các mô hình của họ.
• Kết quả AI chỉ là gợi ý. Bạn xem xét, chỉnh sửa và phê duyệt nội dung cuối cùng. TidyBox không đưa ra quyết định tự động nào tạo ra hiệu lực pháp lý hoặc ảnh hưởng đáng kể tương tự đối với bạn (Điều 22 GDPR).
• Vui lòng không chụp ảnh người, khuôn mặt, giấy tờ hoặc các tài liệu nhạy cảm khác để nhận diện — tính năng này chỉ được thiết kế cho đồ dùng gia đình và doanh nghiệp.

5. Bên xử lý và bên nhận dữ liệu

Chúng tôi chỉ chia sẻ dữ liệu cá nhân với các bên xử lý cần thiết để vận hành các phần cụ thể của dịch vụ, theo các thỏa thuận xử lý dữ liệu, và chỉ cho các mục đích được liệt kê:

• Nhà cung cấp dịch vụ lưu trữ (EU): Hạ tầng máy chủ nơi dữ liệu tài khoản, nội dung và ảnh của bạn được lưu trữ.
• Google (Google Ireland Ltd / Google LLC, Hoa Kỳ): Nhận diện ảnh bằng AI (Gemini API), tùy chọn đăng nhập bằng Google, và — chỉ khi bạn chấp thuận — Google Analytics (xem mục 8).
• Anthropic PBC (Hoa Kỳ): Phương án dự phòng cho nhận diện ảnh bằng AI.
• OpenAI LLC (Hoa Kỳ): Kiểm duyệt nội dung văn bản.
• Stripe (Stripe Payments Europe Ltd, Ireland / Stripe Inc., Hoa Kỳ): Xử lý thanh toán và xuất hóa đơn.
• Resend (Resend Inc., Hoa Kỳ): Gửi email giao dịch.
• Telegram (Telegram FZ-LLC, UAE): Thông báo qua bot — chỉ khi bạn tự liên kết Telegram.
• Meta Platforms Ireland Ltd: Đo lường quảng cáo (Meta Pixel) — chỉ khi được bật và chỉ khi bạn chấp thuận cookie tiếp thị (xem mục 8).

Chúng tôi không bán dữ liệu cá nhân và không chia sẻ dữ liệu đó với bên thứ ba cho hoạt động tiếp thị độc lập của riêng họ.

6. Chuyển dữ liệu quốc tế

Một số bên xử lý nêu trên đặt trụ sở tại, hoặc có thể chuyển dữ liệu tới, các quốc gia ngoài Khu vực Kinh tế Châu Âu, đặc biệt là Hoa Kỳ. Khi điều này xảy ra, chúng tôi dựa vào:

• khuôn khổ Data Privacy Framework EU–Hoa Kỳ đối với các nhà cung cấp được chứng nhận theo khuôn khổ này (hiện bao gồm Google, Anthropic, OpenAI, Stripe và Meta), và/hoặc
• các Điều khoản Hợp đồng Tiêu chuẩn của Ủy ban Châu Âu, kèm theo các biện pháp bổ sung khi cần thiết.

Thông báo qua Telegram chỉ được gửi qua hạ tầng của Telegram nếu bạn chủ động liên kết tài khoản Telegram; dữ liệu được chuyển chỉ giới hạn ở ID chat của bạn và nội dung thông báo, và việc chuyển này là cần thiết để thực hiện dịch vụ thông báo mà bạn yêu cầu (Điều 49(1)(b) GDPR khi không có biện pháp bảo đảm nào khác được áp dụng).

7. Cookie và các công nghệ tương tự

Chúng tôi sử dụng một số ít cookie thiết yếu để vận hành dịch vụ, cùng với — chỉ khi bạn chấp thuận — cookie phân tích và tiếp thị. Bảng đầy đủ và cập nhật về các cookie chúng tôi đặt, mục đích, loại và thời hạn của chúng được hiển thị ở cuối trang này.

Cookie thiết yếu (phiên làm việc, ngôn ngữ, mã định danh khách, lựa chọn chấp thuận) là thực sự cần thiết và không yêu cầu sự chấp thuận. Cookie phân tích và tiếp thị chỉ được đặt sau khi bạn chủ động đồng ý qua banner chấp thuận. Bạn có thể thay đổi hoặc rút lại lựa chọn của mình bất cứ lúc nào qua liên kết "Cài đặt cookie" ở chân trang; việc rút lại dễ dàng như việc chấp thuận.

8. Công cụ phân tích và quảng cáo

Google Analytics 4 (Google Ireland Ltd): Khi được bật trên trang web, Google Analytics chỉ chạy sau khi bạn chấp thuận cookie phân tích. Chúng tôi cấu hình Google Consent Mode v2 sao cho mọi lưu trữ phân tích và quảng cáo bị từ chối theo mặc định và chỉ được bật theo lựa chọn của bạn. Google Analytics sử dụng cookie (ví dụ _ga) và thu thập số liệu thống kê sử dụng dưới dạng bút danh; dữ liệu có thể được chuyển tới Hoa Kỳ theo Data Privacy Framework.

Meta Pixel (Meta Platforms Ireland Ltd): Khi được bật trên trang web, Meta Pixel chỉ chạy sau khi bạn chấp thuận cookie tiếp thị. Công cụ này giúp chúng tôi đo lường hiệu quả của các chiến dịch quảng cáo. Đối với dữ liệu được thu thập qua Pixel, Meta và chúng tôi có thể là các bên đồng kiểm soát đối với việc thu thập và truyền dữ liệu sự kiện; việc xử lý của Meta được mô tả trong chính sách quyền riêng tư của chính Meta.

Nếu bạn không chấp thuận, các công cụ này hoàn toàn không được tải, và không có cookie phân tích hay quảng cáo nào được đặt. Ngoài ra, chúng tôi có thể sử dụng số liệu thống kê tổng hợp thân thiện với quyền riêng tư, không sử dụng cookie và không nhận dạng bạn.

9. Lưu ý về mô hình mã mở

Trước khi một mã TidyBox được người dùng đã đăng ký xác nhận sở hữu, bất kỳ ai quét mã đều có thể xem, thêm hoặc chỉnh sửa nội dung của mã đó. Đây là tính năng thiết kế có chủ đích, đã được ghi nhận rõ, cho phép sử dụng mà không cần tài khoản. Điều này cũng có nghĩa là:

• Không lưu trữ thông tin cá nhân hoặc nhạy cảm trong các hộp chưa được xác nhận sở hữu.
• Các đóng góp từ người quét ẩn danh được liên kết với một mã định danh khách ngẫu nhiên và địa chỉ IP, chỉ nhằm duy trì tính liên tục khi chỉnh sửa và ngăn chặn lạm dụng.
• Sau khi một mã được xác nhận sở hữu, quyền truy cập do chủ sở hữu kiểm soát thông qua các cài đặt quyền riêng tư và chia sẻ.

10. Lưu giữ dữ liệu

• Ảnh và nội dung: Được lưu giữ cho đến khi bạn xóa chúng hoặc đặt lại hộp/mã.
• Dữ liệu tài khoản: Được lưu giữ trong thời gian tài khoản của bạn tồn tại; sau khi có yêu cầu xóa, sẽ được gỡ bỏ trong vòng 30 ngày, trừ khi pháp luật yêu cầu lưu giữ lâu hơn.
• Bộ đếm giới hạn tần suất: Được lưu giữ trong 24 giờ.
• Nhật ký bảo mật và vận hành: Được lưu giữ tối đa 30 ngày.
• Hồ sơ chấp thuận: Được lưu giữ 3 năm làm bằng chứng chấp thuận (nghĩa vụ pháp lý).
• Hồ sơ thanh toán và hóa đơn: Được lưu giữ trong thời hạn theo quy định của pháp luật thuế và kế toán (tối đa 10 năm tại Bulgaria).
• Bản sao lưu: Dữ liệu đã xóa sẽ biến mất khỏi các bản sao lưu luân phiên chậm nhất trong vòng 35 ngày.

11. Bảo mật

Chúng tôi bảo vệ dữ liệu cá nhân bằng các biện pháp kỹ thuật và tổ chức phù hợp với mức độ rủi ro, bao gồm mã hóa TLS trong quá trình truyền, băm mật khẩu, kiểm soát truy cập, sàng lọc nội dung tải lên và ghi nhật ký kiểm toán. Không dịch vụ trực tuyến nào có thể bảo đảm an toàn tuyệt đối, nhưng trong trường hợp xảy ra vi phạm dữ liệu cá nhân có khả năng gây rủi ro cho các quyền của bạn, chúng tôi sẽ thông báo cho cơ quan giám sát trong vòng 72 giờ và, khi rủi ro ở mức cao, thông báo trực tiếp cho bạn, theo yêu cầu của Điều 33 và Điều 34 GDPR.

12. Các quyền của bạn (GDPR)

Bạn có thể thực hiện bất kỳ quyền nào trong số này bằng cách viết thư tới privacy@tidybox.eu. Chúng tôi phản hồi trong vòng một tháng.

• Truy cập — nhận bản sao dữ liệu cá nhân mà chúng tôi lưu giữ về bạn (Điều 15).
• Cải chính — yêu cầu sửa dữ liệu không chính xác (Điều 16).
• Xóa — yêu cầu xóa dữ liệu của bạn ("quyền được lãng quên", Điều 17). Bạn cũng có thể xóa tài khoản và nội dung của mình trực tiếp trong ứng dụng.
• Hạn chế — hạn chế việc xử lý trong các trường hợp quy định tại Điều 18.
• Di chuyển dữ liệu — nhận dữ liệu của bạn ở định dạng có cấu trúc, thông dụng và máy có thể đọc được (Điều 20).
• Phản đối — phản đối việc xử lý dựa trên lợi ích chính đáng (Điều 21).
• Rút lại sự chấp thuận — bất cứ lúc nào, không ảnh hưởng đến việc xử lý đã diễn ra trước đó (Điều 7(3)); đối với cookie, sử dụng "Cài đặt cookie" ở chân trang.
• Khiếu nại — tới Ủy ban Bảo vệ Dữ liệu Cá nhân của Bulgaria (CPDP, www.cpdp.bg) hoặc cơ quan giám sát tại quốc gia EU nơi bạn cư trú (Điều 77).

13. Trẻ em

TidyBox không hướng đến trẻ em và dành cho người dùng từ 16 tuổi trở lên. Chúng tôi không cố ý thu thập dữ liệu cá nhân từ trẻ em dưới 16 tuổi. Nếu bạn cho rằng một trẻ em đã cung cấp dữ liệu cá nhân cho chúng tôi, hãy liên hệ với chúng tôi và chúng tôi sẽ xóa dữ liệu đó.

14. Thay đổi đối với chính sách này

Chúng tôi sẽ thông báo cho người dùng đã đăng ký về các thay đổi quan trọng qua email trước khi chúng có hiệu lực. Phiên bản và ngày hiện hành được ghi ở đầu trang này. Các phiên bản trước đó có sẵn theo yêu cầu.

15. Liên hệ

RMX Tek Ltd, Bulgaria

Yêu cầu về quyền riêng tư: privacy@tidybox.eu · Thông báo pháp lý: legal@tidybox.eu · Báo cáo lạm dụng: abuse@tidybox.eu

Địa chỉ đăng ký: Số 4 phố Sveti Ivan, A-27, 2770 Bansko, Bulgaria

Cookie

Trang web này sử dụng các cookie sau:

Tên cookie	Mục đích	Kiểu	Khoảng thời gian
PHPSESSID	Xác thực người dùng	Thiết yếu	Phiên trình duyệt
lang	Ngôn ngữ giao diện	Thiết yếu	1 năm
tidybox_guest_id	Nhận dạng ẩn danh khách quét mã và chỉnh sửa các hộp chưa được xác nhận sở hữu	Thiết yếu	1 năm
consent_choice	Lưu trữ lựa chọn đồng ý cookie của bạn	Thiết yếu	1 năm
_ga, _ga_*	Google Analytics — thống kê sử dụng ẩn danh (chỉ khi bạn chấp thuận)	Phân tích (cần chấp thuận)	2 năm
_fbp	Meta Pixel — đo lường quảng cáo (chỉ khi bạn chấp thuận)	Tiếp thị (cần chấp thuận)	3 tháng