Chính sách bảo mật Trady360.

Định nghĩa và diễn giải

1. Trong chính sách bảo mật này, các định nghĩa sau được sử dụng:
   1. Dữ Liệu: Tất cả thông tin mà bạn cung cấp cho Trady360 qua Trang Web hoặc Ứng Dụng, bao gồm dữ liệu giao dịch được đồng bộ từ các sàn giao dịch đã kết nối. Định nghĩa này áp dụng theo Quy định bảo vệ dữ liệu chung 2018 của Liên minh châu Âu (GDPR) và Nghị định 13/2023/ND-CP về Bảo vệ dữ liệu cá nhân của Việt Nam khi liên quan.
   2. Ứng Dụng hoặc App: phần mềm tại app.trady360.com cung cấp dịch vụ audit hành vi giao dịch cho Người Dùng.
   3. Dữ liệu thẻ tín dụng & ghi nợ: Trady360 không lưu trữ thông tin thẻ trên Trang Web này và không chia sẻ thông tin tài chính của khách hàng với bất kỳ bên thứ ba nào. Toàn bộ xử lý thanh toán được thực hiện bởi Stripe (xem điều khoản 6).
   4. Cookies: Tệp văn bản nhỏ có thể được đặt trên máy tính hoặc thiết bị của bạn khi bạn truy cập một số phần của Trang Web hoặc sử dụng một số tính năng. Chi tiết các cookies sử dụng được nêu tại điều khoản 8 (Cookies).
   5. API sàn: các khóa API chỉ đọc do bạn cung cấp cho Trady360 để Ứng Dụng có thể truy xuất dữ liệu giao dịch lịch sử của bạn từ các sàn cryptocurrency được hỗ trợ, bao gồm nhưng không giới hạn ở Binance và Bybit.
   6. Trady360, chúng tôi: Trady360 Co., Ltd., công ty được đăng ký tại nước Cộng hòa Xã hội Chủ nghĩa Việt Nam, trụ sở đăng ký tại Thành phố Hồ Chí Minh.
   7. Người Dùng hoặc bạn: bất kỳ bên thứ ba nào truy cập Trang Web hoặc Ứng Dụng và không phải là (i) nhân viên của Trady360 Co., Ltd. đang thực hiện công việc của mình hoặc (ii) cố vấn/nhà cung cấp dịch vụ đang truy cập trong khuôn khổ cung cấp dịch vụ.
   8. Trang Web: www.trady360.com và mọi tên miền phụ trừ khi được loại trừ rõ ràng bởi điều khoản riêng.
2. Trong chính sách bảo mật này, trừ khi ngữ cảnh yêu cầu cách hiểu khác:
   1. số ít bao gồm số nhiều và ngược lại;
   2. các tham chiếu đến sub-clauses, clauses, schedules hoặc appendices là tới các sub-clauses, clauses, schedules hoặc appendices của chính sách này;
   3. tham chiếu đến một người bao gồm doanh nghiệp, công ty, tổ chức nhà nước, ủy thác và đối tác;
   4. "bao gồm" được hiểu là "bao gồm nhưng không giới hạn";
   5. tham chiếu đến điều khoản pháp lý bao gồm cả các sửa đổi/bổ sung;
   6. tiêu đề và tiêu đề phụ không phải là một phần của chính sách bảo mật này.

Phạm vi chính sách bảo mật

1. Chính sách bảo mật này chỉ áp dụng cho các hành động của Trady360 và Người Dùng đối với Trang Web và Ứng Dụng. Chính sách này không mở rộng tới các website có thể truy cập từ Trang Web hoặc Ứng Dụng, bao gồm các liên kết đến mạng xã hội, URL ngoài, hoặc website của các sàn giao dịch mà bạn kết nối API key.
2. Mặc dù Trady360 đọc dữ liệu giao dịch từ các sàn cryptocurrency mà bạn kết nối, Trady360 không kiểm soát, vận hành hay chịu trách nhiệm cho thực tiễn bảo mật của các sàn đó. Mỗi sàn hoạt động dưới chính sách bảo mật riêng và bạn nên xem xét các chính sách đó độc lập.

Dữ Liệu thu thập

1. Khi bạn tạo tài khoản hoặc sử dụng dịch vụ, chúng tôi có thể thu thập thông tin liên quan đến việc cung cấp dịch vụ audit, bao gồm:
   1. Thông tin tài khoản: địa chỉ email, hash mật khẩu đã mã hóa, ngày tạo tài khoản, thời điểm đăng nhập gần nhất, và gói đăng ký hiện tại.
   2. Dữ liệu giao dịch: lịch sử lệnh đã khớp (symbol, side, giá vào, giá ra, kích thước position, thời gian, phí), vị thế đang mở, và số dư tài khoản — tất cả được lấy tự động từ sàn cryptocurrency đã kết nối thông qua API key chỉ đọc do bạn cung cấp.
   3. Dữ liệu hành vi: các quy tắc bạn viết, check-in hằng ngày, reflection, đánh giá lệnh, tag cảm xúc, và mọi nội dung bạn tạo trong Ứng Dụng.
   4. Thông tin thanh toán: tên trên thẻ, quốc gia thanh toán, 4 số cuối thẻ, và lịch sử subscription. Số thẻ đầy đủ và mã CVV được Stripe (xem điều khoản 6) xử lý và lưu trữ độc quyền — không bao giờ truyền hay lưu tại Trady360.
   5. Thông tin sử dụng: page view ẩn danh, click event, error log, địa chỉ IP (giữ 30 ngày), loại thiết bị, trình duyệt, và kích thước màn hình.
2. Trady360 không cố ý thu thập hoặc yêu cầu các nhóm thông tin cá nhân nhạy cảm sau: số CMND/CCCD/hộ chiếu, dữ liệu sinh trắc học, vị trí địa lý chính xác, chủng tộc/dân tộc, tôn giáo, thông tin sức khỏe, hay khuynh hướng tình dục. Nếu vô tình nhận được dữ liệu như vậy, chúng tôi sẽ xóa khi phát hiện.

Truy cập API sàn

Vì truy cập API sàn là khía cạnh nhạy cảm bảo mật nhất khi sử dụng Trady360, điều khoản này mô tả thực tiễn của chúng tôi chi tiết.

1. Khi bạn kết nối tài khoản sàn với Trady360, bạn tự tạo API key trên sàn với chỉ quyền "Read". Trady360 hướng dẫn bạn không bật các quyền trading, futures trading, hay withdrawal trên API key đó.
2. Mã của Ứng Dụng không gọi và không được cấu hình để gọi đến bất kỳ endpoint nào liên quan đến đặt lệnh, hủy lệnh, rút tiền, chuyển nội bộ, hay quản lý sub-account của bất kỳ sàn nào. Kiến trúc Ứng Dụng đảm bảo điều này ở tầng code, không chỉ ở mức policy.
3. API key và secret của bạn được mã hóa bằng AES-256-GCM khi lưu. Khóa mã hóa được lưu trong Hardware Security Module (HSM) riêng biệt, không cùng vị trí với dữ liệu mã hóa.
4. Bạn có thể thu hồi API key đã kết nối bất cứ lúc nào bằng cách xóa key trực tiếp trên sàn. Không cần thao tác gì từ phía Trady360 — sàn sẽ từ chối mọi yêu cầu đọc tiếp theo ngay lập tức.
5. Trady360 hỗ trợ IP whitelist trên các API key đã kết nối. Bạn có thể giới hạn API key chỉ phản hồi yêu cầu từ địa chỉ IP server của Trady360, được công bố trong tài liệu bảo mật. Khuyến nghị nhưng không bắt buộc.

Cách chúng tôi sử dụng Dữ Liệu

1. Cho mục đích GDPR và Nghị định 13/2023/ND-CP của Việt Nam, Trady360 hoạt động với tư cách "đơn vị kiểm soát dữ liệu".
2. Chúng tôi sẽ giữ Dữ Liệu bạn cung cấp khi tài khoản của bạn còn hoạt động, trừ khi bạn yêu cầu xóa Dữ Liệu cụ thể (xem điều khoản 9).
3. Toàn bộ Dữ Liệu cá nhân được lưu trữ an toàn theo các luật bảo vệ dữ liệu áp dụng.
4. Dữ Liệu có thể được sử dụng cho các mục đích sau:
   1. lưu trữ hồ sơ nội bộ;
   2. cung cấp dịch vụ audit, phát hiện hành vi và theo dõi quy tắc;
   3. cải tiến sản phẩm và dịch vụ, bao gồm sửa lỗi và phát triển tính năng;
   4. quản lý billing và subscription;
   5. liên lạc với bạn về tài khoản, bao gồm báo cáo tuần và thông báo tài khoản;
   6. chống gian lận, phát hiện lạm dụng, và giám sát bảo mật;
   7. tuân thủ nghĩa vụ pháp lý, thuế và quy định.
5. Trady360 không thực hiện ra quyết định tự động (automated decision-making) tạo ra hệ quả pháp lý lên bạn. Phát hiện pattern hành vi và check tuân thủ quy tắc được trình bày như các quan sát; quyết định hành động dựa trên các quan sát đó hoàn toàn thuộc về bạn.
6. Trady360 không bán, cho thuê, hay trao đổi Dữ Liệu cá nhân của bạn với bên thứ ba để lấy tiền hoặc các giá trị khác. Trady360 không chia sẻ dữ liệu giao dịch cá nhân của bạn với hedge fund, công ty trading, nhà cung cấp tín hiệu, dịch vụ coaching, hay các nhà nghiên cứu học thuật.
7. Trady360 có thể công bố thống kê tổng hợp, đã ẩn danh dựa trên dữ liệu user (ví dụ: "X% các lỗ được audit có liên quan đến lệnh FOMO"), nhưng chỉ khi thống kê đó không thể truy ngược về bất kỳ tài khoản cá nhân nào. Bạn có thể từ chối tham gia tổng hợp này trong cài đặt tài khoản.

Dịch vụ bên thứ ba

1. Trady360 đôi khi sử dụng dịch vụ của các bên khác để xử lý các quy trình cần thiết cho việc vận hành Trang Web và Ứng Dụng. Các nhà cung cấp dịch vụ này có quyền truy cập giới hạn vào Dữ Liệu cá nhân chỉ ở mức cần thiết để thực hiện dịch vụ.
2. Mọi Dữ Liệu được xử lý bởi bên thứ ba được xử lý theo các điều khoản của chính sách bảo mật này và các luật bảo vệ dữ liệu áp dụng. Chúng tôi ký thỏa thuận xử lý dữ liệu (DPA) với tất cả các nhà cung cấp.
3. Trady360 sử dụng dịch vụ của các bên thứ ba sau:

4. Trady360 không sử dụng Google Analytics, Facebook Pixel, Hotjar, MixPanel, Segment, Customer.io, hay các công cụ quảng cáo hành vi và session-replay khác.
5. Nếu bạn không đồng ý với bất kỳ bên thứ ba nào ở trên, có thể bạn không sử dụng được một số phần của dịch vụ phụ thuộc vào họ. Danh sách bên thứ ba được rà soát định kỳ và mọi thay đổi sẽ được thông báo theo điều khoản 12 (Thay đổi chính sách).

Bảo mật Dữ Liệu

1. Bảo mật Dữ Liệu là vấn đề tối quan trọng với Trady360. Để bảo vệ Dữ Liệu của bạn, chúng tôi đã triển khai các biện pháp vật lý, điện tử và quản trị nhằm bảo vệ Dữ Liệu thu thập qua Trang Web và Ứng Dụng.
2. Cụ thể:
   1. Tất cả Dữ Liệu truyền giữa trình duyệt của bạn và server Trady360 được mã hóa bằng TLS 1.3.
   2. Các trường nhạy cảm (API key, refresh token) được mã hóa khi lưu bằng AES-256-GCM, với khóa mã hóa lưu trong Hardware Security Module riêng biệt.
   3. Mật khẩu tài khoản được hash bằng bcrypt với 12 vòng (work factor). Mật khẩu gốc không bao giờ được lưu và không thể khôi phục, chỉ có thể reset.
   4. Database backup là snapshot đã mã hóa, giữ 30 ngày, sau đó tự động xóa.
   5. Application log giữ 30 ngày; error log giữ 90 ngày.
   6. Truy cập database production giới hạn cho một số ít kỹ sư được ủy quyền, mọi truy cập đều được log, và quyền truy cập được rà soát định kỳ.
3. Nếu mật khẩu được yêu cầu để truy cập một số phần của Trang Web hoặc Ứng Dụng, bạn chịu trách nhiệm giữ bí mật mật khẩu đó và mọi credential truy cập khác. Trady360 sẽ không bao giờ hỏi mật khẩu của bạn qua email, điện thoại, hay bất kỳ kênh nào.
4. Chúng tôi cố gắng hết sức để bảo vệ Dữ Liệu cá nhân của bạn. Tuy nhiên, truyền tin qua internet không phải lúc nào cũng hoàn toàn an toàn và được thực hiện với rủi ro của bạn. Chúng tôi không thể đảm bảo bảo mật Dữ Liệu truyền tới Trang Web hoặc Ứng Dụng ngoài các biện pháp hợp lý đã mô tả ở trên.
5. Trong trường hợp xảy ra vi phạm dữ liệu cá nhân ảnh hưởng đến thông tin của bạn, Trady360 sẽ thông báo cho bạn và cơ quan giám sát có liên quan trong vòng 72 giờ kể từ khi nhận biết, theo Điều 33 GDPR và Nghị định 13/2023/ND-CP của Việt Nam.

Cookies

1. Trang Web này có thể đặt và truy cập một số Cookies trên máy tính hoặc thiết bị của bạn. Trady360 chỉ sử dụng Cookies cho mục đích chức năng nghiêm ngặt cần thiết, không cho quảng cáo, profiling, hay tracking xuyên site.
2. Trang Web có thể đặt các Cookies sau:
   1. Session cookie — Loại: Nghiêm ngặt cần thiết. Mục đích: Giữ bạn đăng nhập trong Ứng Dụng. HttpOnly, Secure, SameSite=Lax. Hết hạn sau 30 ngày không hoạt động.
   2. CSRF token cookie — Loại: Nghiêm ngặt cần thiết. Mục đích: Bảo vệ chống tấn công cross-site request forgery. Phạm vi session, xóa khi đăng xuất.
   3. Theme preference — Loại: Chức năng. Mục đích: Nhớ lựa chọn theme sáng/tối. Lưu trong localStorage, không bao giờ truyền lên server.
3. Trang Web không đặt cookie quảng cáo, cookie tracking bên thứ ba, hay cookie session-replay.
4. Bạn có thể bật hoặc tắt Cookies trong trình duyệt. Mặc định hầu hết trình duyệt chấp nhận Cookies nhưng có thể thay đổi. Nếu tắt cookie nghiêm ngặt cần thiết, một số tính năng của Ứng Dụng có thể không hoạt động đúng, bao gồm việc giữ đăng nhập.

Kiểm soát việc sử dụng Dữ Liệu của bạn

1. Bất cứ khi nào bạn được yêu cầu cung cấp Dữ Liệu, bạn sẽ có các tùy chọn để giới hạn việc sử dụng Dữ Liệu đó. Cụ thể:
   1. Quyền truy cập: Bạn có quyền yêu cầu một bản sao bất kỳ Dữ Liệu nào của bạn mà Trady360 đang giữ. Ứng Dụng có chức năng export tại Cài đặt → Dữ liệu → Export tạo file JSON hoặc CSV chứa đầy đủ dữ liệu tài khoản, lịch sử giao dịch, quy tắc, và reflection.
   2. Quyền rút lại sự đồng ý: Bạn có quyền rút lại sự đồng ý xử lý Dữ Liệu bất cứ lúc nào. Quyền này không áp dụng cho các trường hợp Trady360 dựa trên căn cứ pháp lý khác, không phải sự đồng ý.
   3. Quyền xóa: Bạn có quyền yêu cầu Trady360 xóa Dữ Liệu của bạn khỏi server và database, theo các luật bảo vệ dữ liệu áp dụng. Xóa tài khoản có sẵn tại Cài đặt → Tài khoản → Xóa. Quá trình xóa không thể đảo ngược và hoàn tất trong 30 ngày. Backup cũng được purge trong 30 ngày.
   4. Quyền chỉnh sửa: Bạn có quyền yêu cầu chỉnh sửa Dữ Liệu không chính xác. Hầu hết các trường tài khoản có thể edit trực tiếp trong Settings; với dữ liệu phái sinh, hãy liên hệ chúng tôi theo điều khoản 17.
   5. Quyền portability: File JSON hoặc CSV được export có thể import vào các tool journaling khác bằng định dạng chuẩn; không sử dụng encoding độc quyền.
   6. Quyền phản đối hoặc giới hạn: Bạn có thể tắt từng mục sử dụng dữ liệu cụ thể (thống kê tổng hợp ẩn danh, email transactional ngoài thông báo bảo mật cốt lõi) tại Cài đặt → Riêng tư mà không cần xóa tài khoản.
2. Tuy nhiên, lưu ý rằng chúng tôi có thể buộc phải chấm dứt tài khoản Trady360 của bạn khi việc giữ thông tin nhất định là cần thiết để cung cấp dịch vụ. Cụ thể, chúng tôi không thể cung cấp dịch vụ audit nếu không truy cập được dữ liệu giao dịch của bạn.

Bảo mật trẻ em

1. Trady360 không hướng đến trẻ em. Ứng Dụng dành cho trader trưởng thành và chúng tôi không cố ý thu thập, xử lý, lưu trữ, hay yêu cầu bất kỳ dữ liệu, thông tin cá nhân hay thông tin nào khác từ người dưới 18 tuổi.
2. Bất kỳ cá nhân nào dưới 18 tuổi không được sử dụng Dịch vụ. Nếu chúng tôi biết được đã thu thập thông tin cá nhân từ người dưới 18 tuổi, chúng tôi sẽ xóa toàn bộ thông tin đó ngay khi phát hiện.
3. Nếu bạn cho rằng chúng tôi có thông tin của người dưới 18 tuổi, vui lòng liên hệ theo điều khoản 17.

Thay đổi quyền sở hữu doanh nghiệp

1. Trady360 đôi khi mở rộng hoặc thu hẹp hoạt động kinh doanh, và điều này có thể bao gồm bán và/hoặc chuyển giao kiểm soát toàn bộ hoặc một phần Trady360. Dữ Liệu do Người Dùng cung cấp, khi liên quan và cần thiết với phần kinh doanh được chuyển giao, sẽ được chuyển giao cùng phần đó, và chủ sở hữu mới hoặc bên kiểm soát mới sẽ, theo các điều khoản của chính sách bảo mật này, được phép sử dụng Dữ Liệu cho các mục đích ban đầu được cung cấp.
2. Chúng tôi cũng có thể tiết lộ Dữ Liệu cho người mua tiềm năng của doanh nghiệp hoặc một phần doanh nghiệp với điều kiện bảo mật nghiêm ngặt và tuân thủ các luật bảo vệ dữ liệu áp dụng.
3. Trong bất kỳ sự kiện thay đổi kiểm soát nào, chúng tôi sẽ thông báo cho mọi Người Dùng đang hoạt động qua email ít nhất 30 ngày trước khi chuyển giao có hiệu lực, và Người Dùng có quyền xóa tài khoản trước khi việc chuyển giao diễn ra.

Thay đổi chính sách này

1. Trady360 giữ quyền thay đổi chính sách bảo mật này khi cần thiết hoặc khi pháp luật yêu cầu.
2. Thay đổi cốt lõi — bao gồm thay đổi mở rộng việc thu thập dữ liệu, giảm quyền của Người Dùng, hoặc thay đổi thực tiễn quan trọng như đưa vào quảng cáo hoặc bán dữ liệu — sẽ được thông báo cho mọi Người Dùng đang hoạt động qua email ít nhất 30 ngày trước khi thay đổi có hiệu lực. Người Dùng có thể đóng tài khoản trong thời gian đó mà không bị phạt, và Dữ Liệu sẽ được xóa theo điều khoản 9.
3. Chỉnh sửa nhỏ như sửa lỗi đánh máy, làm rõ, hoặc thêm dịch vụ bên thứ ba mới (mà Người Dùng được thông báo riêng) sẽ được liệt kê trong lịch sử phiên bản ở cuối trang này.

Tổng quát

1. Bạn không được chuyển giao bất kỳ quyền nào của mình theo chính sách bảo mật này cho người khác, trừ khi pháp luật bảo vệ dữ liệu áp dụng cho phép. Chúng tôi có thể chuyển giao quyền của mình theo chính sách này khi tin rằng quyền của bạn không bị ảnh hưởng.
2. Nếu bất kỳ tòa án hay cơ quan có thẩm quyền nào xác định rằng bất kỳ điều khoản nào của chính sách này (hoặc một phần của điều khoản) là vô hiệu, bất hợp pháp hoặc không thi hành được, điều khoản hoặc phần đó sẽ, trong phạm vi cần thiết, được coi là bị xóa, và hiệu lực và khả năng thi hành của các điều khoản còn lại không bị ảnh hưởng.
3. Trừ khi có thỏa thuận khác, không có sự chậm trễ, hành động hoặc bỏ sót nào của một bên trong việc thực hiện quyền hoặc biện pháp khắc phục được coi là từ bỏ quyền hoặc biện pháp khắc phục đó hay bất kỳ quyền/biện pháp nào khác.
4. Chính sách bảo mật này được điều chỉnh và giải thích theo pháp luật của nước Cộng hòa Xã hội Chủ nghĩa Việt Nam. Mọi tranh chấp, bất đồng hoặc khiếu nại phát sinh từ hoặc liên quan đến chính sách này sẽ được giải quyết và phán quyết cuối cùng bởi tòa án có thẩm quyền tại Thành phố Hồ Chí Minh, Việt Nam, trừ khi luật bảo vệ người tiêu dùng bắt buộc tại nước cư trú của bạn quy định khác.

Liên hệ

Đối với mọi câu hỏi hoặc quan ngại liên quan đến việc sử dụng Dữ Liệu của bạn, chính sách bảo mật này, hoặc để thực hiện bất kỳ quyền nào của bạn, vui lòng liên hệ:

Nếu bạn không hài lòng với phản hồi của chúng tôi, bạn có quyền khiếu nại với cơ quan bảo vệ dữ liệu tại nước cư trú của mình, hoặc với Bộ Công an Việt Nam đối với cư dân Việt Nam.