Chính sách bảo mật

Giới thiệu

Tại TJGuard, quyền riêng tư không phải là điều chúng tôi thêm vào sau — đó là lý do chúng tôi xây dựng sản phẩm này ngay từ đầu.

Chính sách này giải thích rõ dữ liệu nào chúng tôi thu thập, tại sao, cách sử dụng và cách bảo vệ. Chúng tôi cố gắng viết bằng ngôn ngữ thực sự có thể đọc được — không phải ngôn ngữ pháp lý khó hiểu.

Chính sách này áp dụng cho toàn bộ nền tảng TJGuard bao gồm ứng dụng web, tiện ích trình duyệt, ứng dụng di động và API. Nó được tích hợp bằng cách dẫn chiếu vào Điều khoản sử dụng của chúng tôi.

Dữ liệu chúng tôi thu thập

Chúng tôi chỉ thu thập những gì thực sự cần thiết để vận hành dịch vụ. Không hơn.

Dữ liệu tài khoản

Khi đăng ký, chúng tôi thu thập địa chỉ email và một giá trị băm dẫn xuất từ mật khẩu chính của bạn — không bao giờ là mật khẩu gốc. Nếu bạn đăng ký gói trả phí, thông tin thanh toán (tên, quốc gia, phương thức thanh toán) được xử lý trực tiếp qua PayOS và không được lưu trên máy chủ TJGuard dưới dạng thô.

Dữ liệu kỹ thuật

Để vận hành và cải thiện dịch vụ, chúng tôi thu thập một số thông tin kỹ thuật giới hạn:

• Địa chỉ IP — dùng để giới hạn tốc độ truy cập và phát hiện gian lận, không lưu dài hạn.
• Loại thiết bị, hệ điều hành và phiên bản trình duyệt.
• Phiên bản ứng dụng và số liệu sử dụng tính năng đã được ẩn danh hóa.
• Báo cáo lỗi và crash để chẩn đoán và xử lý sự cố.
• Thời gian đăng nhập và đồng bộ vault.

Dữ liệu này không bao giờ được liên kết với nội dung Vault và chỉ được xử lý phục vụ độ tin cậy và bảo mật của hệ thống.

Dữ liệu Vault

Mật khẩu, ghi chú bảo mật và thông tin đăng nhập bạn lưu trong Vault được mã hóa hoàn toàn trên thiết bị của bạn trước khi truyền lên máy chủ. Chúng tôi chỉ nhận và lưu bản mã hóa. Về mặt kỹ thuật, chúng tôi không có khả năng đọc, truy cập hoặc phân tích bất kỳ nội dung nào trong Vault — đây là nguyên tắc thiết kế cơ bản, không phải cam kết chính sách.

Nhật ký hoạt động

TJGuard ghi lại nhật ký chi tiết cho mọi thao tác trong tài khoản: xem, sao chép, chỉnh sửa, chia sẻ mật khẩu — kèm thời gian, địa chỉ IP và thiết bị thực hiện.

Nhật ký này thuộc về bạn và phục vụ trực tiếp cho bạn: giúp bạn phát hiện truy cập bất thường, kiểm tra lịch sử và kiểm soát tài khoản. Chúng tôi không dùng nhật ký này để phân tích hành vi người dùng, xây dựng hồ sơ hay phục vụ quảng cáo.

Cách chúng tôi sử dụng dữ liệu

• Cung cấp dịch vụ: Tạo và quản lý tài khoản, đồng bộ vault mã hóa qua các thiết bị và hỗ trợ khách hàng.
• Bảo mật: Phát hiện và ngăn chặn truy cập trái phép, hoạt động gian lận và lạm dụng dịch vụ.
• Cải thiện dịch vụ: Phân tích số liệu sử dụng đã ẩn danh, chẩn đoán sự cố kỹ thuật và phát triển tính năng mới.
• Liên lạc: Gửi email giao dịch như xác minh tài khoản, cảnh báo bảo mật và thông báo thanh toán. Chúng tôi không gửi email marketing nếu không có sự đồng ý rõ ràng của bạn.
• Tuân thủ pháp luật: Đáp ứng các yêu cầu pháp lý hợp lệ và quy định hiện hành.

Kiến trúc Zero-Knowledge

TJGuard được xây dựng trên mô hình zero-knowledge. Toàn bộ quá trình mã hóa và giải mã diễn ra hoàn toàn trên thiết bị của bạn. Mật khẩu chính được dùng cục bộ để dẫn xuất khóa mã hóa thông qua Argon2id — thuật toán băm mật khẩu hiện đại được thiết kế để chống tấn công brute-force và GPU. Khóa này không bao giờ rời khỏi thiết bị của bạn.

Dữ liệu Vault được mã hóa bằng XChaCha20-Poly1305 trước khi truyền lên máy chủ. Những gì chúng tôi lưu trên server: bản mã hóa Vault, địa chỉ email và một số metadata như thời gian đồng bộ gần nhất. Không có khóa giải mã nào tồn tại phía server.

"Zero-knowledge có nghĩa là ngay cả khi máy chủ TJGuard bị tấn công, nội dung Vault của bạn vẫn không thể đọc được — kể cả với chúng tôi."

Nếu bạn mất mật khẩu chính, chúng tôi không thể khôi phục nó. Đây là giới hạn kỹ thuật có chủ đích — không phải thiếu sót. Chúng tôi cung cấp cơ chế Recovery Key để bạn tự chuẩn bị trước cho tình huống này.

Chia sẻ dữ liệu

Chúng tôi không bán, cho thuê hay trao đổi dữ liệu cá nhân của bạn. Chúng tôi chỉ chia sẻ dữ liệu trong các trường hợp giới hạn được mô tả dưới đây.

Nhà cung cấp bên thứ ba

Chúng tôi sử dụng một số nhà cung cấp bên thứ ba đáng tin cậy để hỗ trợ vận hành dịch vụ, bao gồm hạ tầng đám mây để lưu trữ Vault mã hóa, xử lý thanh toán qua PayOS và gửi email giao dịch. Các nhà cung cấp này bị ràng buộc hợp đồng không được dùng dữ liệu của bạn ngoài mục đích cung cấp dịch vụ cho TJGuard. Danh sách đầy đủ có thể cung cấp theo yêu cầu tại contact@tjguard.com.

Yêu cầu pháp lý

Chúng tôi có thể tiết lộ thông tin cá nhân giới hạn (như địa chỉ email và metadata tài khoản) nếu bắt buộc bởi pháp luật hoặc lệnh của cơ quan có thẩm quyền. Chúng tôi sẽ thông báo cho bạn khi pháp luật cho phép và sẽ phản đối các yêu cầu mà chúng tôi cho là quá rộng hoặc không hợp lệ. Vì chúng tôi không thể truy cập nội dung Vault, không có yêu cầu pháp lý nào có thể buộc chúng tôi tiết lộ mật khẩu của bạn — vì chúng tôi không có.

Thời gian lưu trữ dữ liệu

Chúng tôi lưu dữ liệu tài khoản trong suốt thời gian tài khoản còn hoạt động. Khi bạn xóa tài khoản, toàn bộ dữ liệu Vault mã hóa và thông tin cá nhân sẽ bị xóa vĩnh viễn khỏi hệ thống chính trong vòng 30 ngày và khỏi hệ thống sao lưu trong vòng 90 ngày.

Nhật ký hoạt động được giữ theo thời hạn gói dịch vụ: 14 ngày với gói Plus, không giới hạn với gói Pro. Một số số liệu thống kê ẩn danh và hồ sơ thanh toán có thể được lưu tối đa 7 năm theo yêu cầu pháp lý về tài chính.

Bạn có thể xuất toàn bộ dữ liệu tài khoản bất kỳ lúc nào trong phần cài đặt trước khi xóa tài khoản.

Biện pháp bảo mật

Chúng tôi triển khai các biện pháp kỹ thuật và tổ chức hàng đầu để bảo vệ dữ liệu của bạn:

• Mã hóa dữ liệu Vault phía client bằng XChaCha20-Poly1305.
• Băm mật khẩu chính bằng Argon2id với tham số chống brute-force.
• TLS 1.3 cho tất cả dữ liệu truyền qua mạng.
• Xác thực hai lớp (2FA) cho tất cả tài khoản.
• Nhật ký hoạt động chi tiết kèm địa chỉ IP và thiết bị.
• Kiểm toán bảo mật và kiểm thử xâm nhập định kỳ bởi bên thứ ba.
• Chương trình bug bounty để phát hiện và xử lý lỗ hổng có trách nhiệm.

Dù vậy, không có hệ thống nào hoàn toàn miễn nhiễm rủi ro. Chúng tôi khuyến nghị bạn dùng mật khẩu chính đủ mạnh, bật 2FA và lưu Recovery Key ở nơi an toàn.

Quyền của bạn

Bất kể bạn ở đâu, chúng tôi cam kết tôn trọng các quyền cơ bản sau của bạn đối với dữ liệu cá nhân:

• Quyền truy cập: Yêu cầu bản sao dữ liệu cá nhân chúng tôi đang lưu về bạn.
• Quyền chỉnh sửa: Yêu cầu sửa thông tin không chính xác hoặc chưa đầy đủ.
• Quyền xóa: Yêu cầu xóa dữ liệu cá nhân của bạn.
• Quyền di chuyển dữ liệu: Nhận dữ liệu của bạn ở định dạng có thể đọc được bằng máy.
• Quyền phản đối: Phản đối một số hoạt động xử lý dữ liệu nhất định.
• Quyền rút đồng ý: Rút lại đồng ý đã cho bất kỳ lúc nào đối với các xử lý dựa trên đồng ý.

Để thực hiện bất kỳ quyền nào, liên hệ contact@tjguard.com. Chúng tôi sẽ phản hồi trong vòng 30 ngày.

Cookie & Theo dõi

TJGuard chỉ sử dụng cookie và công nghệ tương tự ở mức tối thiểu cần thiết để vận hành dịch vụ, bao gồm quản lý phiên đăng nhập và token xác thực. Chúng tôi không sử dụng cookie quảng cáo của bên thứ ba hay công nghệ theo dõi hành vi.

Tiện ích trình duyệt của chúng tôi không chèn script theo dõi vào các trang bạn truy cập. Bạn có thể cấu hình trình duyệt để từ chối cookie, tuy nhiên điều này có thể ảnh hưởng đến một số tính năng của web vault.

Trẻ em

Dịch vụ không dành cho trẻ em dưới 16 tuổi. Chúng tôi không cố ý thu thập thông tin cá nhân từ trẻ em dưới 16 tuổi. Nếu phát hiện tài khoản thuộc về trẻ em dưới 16 tuổi, chúng tôi sẽ xóa thông tin đó ngay lập tức. Nếu bạn cho rằng có trẻ em đã cung cấp dữ liệu cho chúng tôi, vui lòng liên hệ contact@tjguard.com.

Thay đổi chính sách

Chúng tôi có thể cập nhật chính sách này theo thời gian để phản ánh thay đổi trong sản phẩm hoặc pháp luật. Khi có thay đổi quan trọng, chúng tôi sẽ thông báo qua email và hiển thị thông báo nổi bật trong ứng dụng ít nhất 14 ngày trước khi có hiệu lực. Ngày "cập nhật lần cuối" luôn phản ánh phiên bản mới nhất. Việc tiếp tục sử dụng dịch vụ sau ngày hiệu lực đồng nghĩa với việc bạn chấp nhận chính sách mới.

Liên hệ

Nếu bạn có câu hỏi, lo ngại hoặc yêu cầu liên quan đến chính sách này hoặc cách chúng tôi xử lý dữ liệu, hãy liên hệ đội ngũ bảo mật của chúng tôi:

• Email: contact@tjguard.com
• Thời gian phản hồi: Trong vòng 5 ngày làm việc.