Chính sách quyền riêng tư
1. Dữ liệu tài khoản
Khi đăng ký, hệ thống xử lý email, mật khẩu thông qua Supabase Auth, mã OTP xác minh, mã định danh người dùng, thời điểm tạo tài khoản, trạng thái xác minh, gói tài khoản và các biên nhận đồng ý Điều khoản/Quyền riêng tư.
2. Đăng ký email trước khi xác minh tài khoản
Khi người dùng để lại email tại biểu mẫu đăng ký email trên website, StockRadar lưu email, loại email được chọn, phiên bản chấp thuận và trạng thái chờ xác minh. Để biết nguồn nào tạo ra đăng ký, hệ thống có thể lưu tối thiểu trang nguồn đầu/cuối, UTM source/campaign đầu/cuối và tên miền giới thiệu; không cần lưu toàn bộ URL giới thiệu. Yêu cầu chờ xác minh không tự tạo quyền nhận báo cáo hoặc cảnh báo và không thay thế bước xác minh email, consent theo tài khoản hoặc quyền Premium. Yêu cầu chưa xác minh được giữ tối đa 30 ngày, sau đó có thể được xóa tự động.
3. Mật khẩu và OTP
Mật khẩu không được lưu dạng rõ trong mã website hoặc analytics. Mã OTP chỉ dùng cho xác minh/xác thực tài khoản StockRadar. Không nhập OTP ngân hàng, OTP môi giới hoặc mã giao dịch vào StockRadar.
4. Dữ liệu kỹ thuật, đo funnel và chống lạm dụng
Website có thể lưu phiên đăng nhập, mã phiên kỹ thuật, mã đã tra gần đây, trạng thái đã để lại email và thông tin chiến dịch truy cập như UTM để duy trì trải nghiệm và đo lường hiệu quả sản phẩm. Email vừa nhập có thể được giữ tạm trong sessionStorage để điền sẵn ở bước tạo tài khoản trong cùng phiên; StockRadar không cần đưa email đó vào URL chuyển trang. Để đo các bước như tra mã, xem Premium, mở bảng giá, bắt đầu đăng ký và tới checkout, StockRadar có thể ghi sự kiện conversion tối thiểu gồm tên sự kiện, đường dẫn trang không chứa query, mã cổ phiếu nếu có, gói quan tâm, UTM/referrer ở mức tên miền và mã phiên ẩn danh dạng băm. Sự kiện conversion này không ghi email, mật khẩu, OTP, NAV, số tài khoản môi giới hoặc lệnh giao dịch; StockRadar không lưu địa chỉ IP thô trong dữ liệu funnel. Với các endpoint công khai, hệ thống có thể tạo dấu vân tay kỹ thuật dạng băm theo ngày từ thông tin kết nối để giới hạn tần suất và chống spam.
5. Nhật ký vận hành API
Đối với yêu cầu động sau khi người dùng đã được xác thực, StockRadar có thể ghi tối thiểu mã người dùng, quyền gói tại thời điểm gọi, mã cổ phiếu/khung đầu tư hợp lệ, kết quả xử lý, mã trạng thái HTTP, độ trễ và quota còn lại để phát hiện lỗi, lạm dụng và vận hành hệ thống. Nhật ký vận hành này không lưu JWT/Authorization token, địa chỉ IP, email, user-agent hoặc toàn bộ payload nội dung. Lịch sử hội thoại AI được lưu riêng theo mục 6 bên dưới.
6. Lịch sử hội thoại StockRadar AI
Đối với người dùng đã đăng nhập, StockRadar lưu các cuộc trò chuyện AI theo tài khoản để người dùng có thể hỏi nối tiếp, tải lại trang hoặc quay lại sau mà vẫn giữ được ngữ cảnh tra cứu. Dữ liệu có thể gồm nội dung câu hỏi và câu trả lời, mã cổ phiếu/khung đầu tư liên quan, phiên bản bộ quy tắc StockRadar được dùng, thời điểm tạo và trạng thái kỹ thuật của mô hình. Các bảng hội thoại không được trình duyệt truy cập trực tiếp; chúng chỉ được xử lý qua backend có xác thực. Lịch sử này được gắn với tài khoản và được xóa theo tài khoản khi người dùng thực hiện xóa tài khoản, trừ dữ liệu phải giữ riêng vì nghĩa vụ pháp lý hoặc đối soát mà không cần nội dung hội thoại.
7. Mục đích sử dụng
- Tạo, xác minh và bảo vệ tài khoản.
- Duy trì hội thoại AI liên tục và hiểu câu hỏi nối tiếp trong cùng quá trình tra cứu.
- Ghi nhận yêu cầu đăng ký báo cáo/cảnh báo và quản lý consent.
- Đo nguồn tạo đăng ký và các bước conversion để tối ưu trải nghiệm, nội dung và chiến dịch.
- Duy trì phiên đăng nhập và hỗ trợ khôi phục mật khẩu.
- Cung cấp watchlist, cá nhân hóa và quyền theo gói.
- Nếu người dùng tự nguyện nhập, lưu giá vốn và tỷ trọng danh mục ước tính cho mã được đánh dấu đang sở hữu để StockRadar AI cá nhân hóa góc nhìn vị thế; hai trường này là dữ liệu tự khai báo, không phải dữ liệu lấy từ công ty chứng khoán.
- Phát hiện lỗi, lạm dụng và cải thiện sản phẩm.
- Lưu biên nhận đồng ý và dữ liệu đối soát cần thiết cho mục đích kiểm toán nội bộ.
8. Hạ tầng xử lý và mô hình AI
Website tĩnh được phân phối qua GitHub Pages. Xác thực, lịch sử hội thoại, hàng đợi đăng ký email, đo funnel tối thiểu, nhật ký vận hành và dữ liệu tài khoản được xử lý trên Supabase. Khi cần tạo câu trả lời bằng mô hình AI, StockRadar có thể gửi câu hỏi cùng phần ngữ cảnh cần thiết tới OpenAI API. Ứng dụng gọi API với tùy chọn store:false, tức StockRadar không yêu cầu lưu response như một đối tượng hội thoại của API; nhà cung cấp vẫn xử lý dữ liệu theo điều khoản và chính sách dịch vụ áp dụng cho API. StockRadar không gửi mật khẩu, OTP hoặc thông tin đăng nhập tài khoản môi giới vào prompt AI.
9. Dữ liệu StockRadar không thu thập trong đăng ký
Không thu thập mật khẩu chứng khoán, OTP môi giới, OTP ngân hàng, token giao dịch, khóa API giao dịch, lệnh mua/bán, NAV, số lượng cổ phiếu hoặc thông tin cho phép truy cập tài khoản môi giới. Giá vốn và tỷ trọng chỉ được lưu nếu chính người dùng chủ động nhập cho một mã đang sở hữu; StockRadar không tự kết nối tài khoản môi giới để lấy các dữ liệu này.
10. Quyền truy cập và chỉnh sửa
Người dùng đăng nhập chỉ được đọc hồ sơ, watchlist và dữ liệu vị thế tự khai báo của chính mình qua cơ chế kiểm soát truy cập. Lịch sử AI của tài khoản được trả về qua backend xác thực thay vì mở quyền đọc trực tiếp các bảng hội thoại cho trình duyệt. Gói và trạng thái tài khoản không thể tự ý nâng cấp bằng cách sửa dữ liệu trong trình duyệt. Hàng đợi email chờ xác minh, dữ liệu conversion và các bảng vận hành riêng không được trình duyệt truy cập trực tiếp.
11. Xóa tài khoản
Trang Tài khoản cung cấp chức năng xóa tài khoản tự phục vụ và yêu cầu xác thực lại gần thời điểm xóa. Khi hoàn tất, Auth user cùng hồ sơ, tùy chọn, watchlist, lịch sử hội thoại AI và các dữ liệu tài khoản có quan hệ xóa theo người dùng sẽ được loại bỏ. Các bản ghi thanh toán, cấp quyền hoặc đối soát cần giữ cho kế toán, xử lý hoàn tiền/tranh chấp, kiểm toán hoặc nghĩa vụ pháp lý có thể được giữ lại nhưng liên kết trực tiếp tới tài khoản bị xóa được tách khỏi bản ghi vận hành. Hành động xóa tài khoản không thể hoàn tác.
12. Bảo mật
StockRadar dùng xác thực quản lý, OTP, HTTPS, Row Level Security, giới hạn quyền client, kiểm soát nguồn gọi, giới hạn tần suất, xác thực lại cho thao tác nhạy cảm và chức năng backend để giảm rủi ro truy cập trái phép. Các bảng knowledge/hội thoại AI không cấp quyền trực tiếp cho vai trò anon hoặc authenticated của trình duyệt. Không có biện pháp kỹ thuật nào loại bỏ hoàn toàn mọi rủi ro.
13. Thay đổi chính sách
Khi chính sách thay đổi đáng kể, StockRadar phát hành phiên bản mới. Phiên bản chấp thuận tại thời điểm đăng ký hoặc đăng ký email được ghi nhận cùng yêu cầu hoặc tài khoản; consent cũ không được tự động coi là consent cho phiên bản mới.