Chính sách quyền riêng tư

1. Ai chịu trách nhiệm

Bên kiểm soát dữ liệu của https://dryrel.com ("DryreL Hub", "chúng tôi") có thể liên hệ tại [email protected]. Thông tin pháp lý (Impressum) có đầy đủ chi tiết về nhà cung cấp.

2. Chúng tôi thu thập gì và vì sao

Chúng tôi thu thập dữ liệu theo ba cách: những gì bạn tự nhập (tài khoản, đơn hàng, đánh giá, liên hệ), những gì trình duyệt tự gửi khi tải trang, và những gì nhà cung cấp thanh toán cho chúng tôi biết về đơn hàng của bạn. Chúng tôi không bán dữ liệu cá nhân và không chia sẻ cho quảng cáo. Dữ liệu chỉ được chuyển cho các nhà cung cấp dịch vụ nêu ở mục 4, để làm công việc mô tả tại đây.

2.1 Truy cập trang

Trang được lưu trữ trên GitHub Pages và phân phối qua Cloudflare. Khi bạn mở một trang, các nhà cung cấp này xử lý địa chỉ IP và thông tin trình duyệt của bạn để gửi trang và bảo vệ nó khỏi tấn công. Chúng tôi không dùng trình theo dõi quảng cáo. Để biết có bao nhiêu khách và trang nào được đọc, chúng tôi dùng Cloudflare Web Analytics, một dịch vụ không cookie: không đặt cookie, không lưu gì trên thiết bị của bạn, không lập hồ sơ và không theo dõi bạn giữa các trang. Dịch vụ đếm lượt xem trang và báo các con số như trang, nguồn giới thiệu, quốc gia, trình duyệt và loại thiết bị; địa chỉ IP của bạn chỉ dùng để tạo ra các con số đó và chúng tôi không lưu. Cơ sở pháp lý: lợi ích chính đáng của chúng tôi trong việc hiểu và cải thiện trang (Điều 6(1)(f) GDPR).

Các trang dùng phông Archivo và Outfit do chúng tôi tự lưu trữ, nên trình duyệt của bạn không liên hệ Google hay nhà cung cấp phông nào khác cho việc này. Một thư viện script (cho đăng nhập) được tải từ CDN jsDelivr, nên nhà cung cấp đó nhận địa chỉ IP của bạn. Phông bạn chọn khi cá nhân hóa artwork được tải qua máy chủ của chính chúng tôi, nên trình duyệt của bạn không liên hệ Google cho việc này.

2.2 Tài khoản

Nếu bạn đăng ký, chúng tôi lưu địa chỉ email, tên hiển thị, mật khẩu (chỉ lưu dưới dạng hash bởi nhà cung cấp xác thực) và mã mời cho chương trình giới thiệu. Nếu bạn đăng ký bằng mã mời của bạn bè, hoặc mời bạn bè, chúng tôi ghi lại liên kết đó để cấp phiếu giảm giá. Cơ sở pháp lý: thực hiện hợp đồng với bạn (Điều 6(1)(b)).

Để cảnh báo bạn về đăng nhập lạ, với mỗi tài khoản chúng tôi lưu hash có salt của tối đa 20 địa chỉ mạng bạn từng đăng nhập (không phải bản thân địa chỉ) và gửi email khi có địa chỉ mới. Cơ sở pháp lý: lợi ích chính đáng của chúng tôi về bảo mật tài khoản (Điều 6(1)(f)).

Mặc định, ảnh hồ sơ của bạn là chữ cái đầu tên bạn. Chỉ khi bạn chọn "Dùng Gravatar của tôi" trong cài đặt, trình duyệt mới gửi hash email của bạn tới Gravatar để tải ảnh từ đó.

2.3 Đơn hàng

Với một đơn hàng, chúng tôi lưu: sản phẩm, giá, tiền tệ, trạng thái và ngày; các tùy chọn bạn chọn (như tên, khung, màu, phông); liên kết hồ sơ Steam và liên kết hình nền của bạn; tệp phông đã tải lên nếu có; và thời điểm bạn đồng ý giao hàng ngay. Với quà tặng, chúng tôi còn lưu email người nhận, tên và lời nhắn của bạn. Tệp hoàn thiện được lưu 7 ngày và được tạo lại nếu bạn tải về sau. Cơ sở pháp lý: hợp đồng (Điều 6(1)(b)) và nghĩa vụ lưu trữ theo luật (Điều 6(1)(c)).

2.4 Thanh toán

Giá theo khu vực. Khi bạn tham gia và khi bạn ghé cửa hàng, chúng tôi xem quốc gia kết nối của bạn: địa chỉ IP của bạn được gửi tới một dịch vụ geo-IP (geojs.io, hoặc api.country.is nếu dịch vụ đầu không trả lời), dịch vụ này chỉ trả về quốc gia. Với thành viên, chúng tôi lưu quốc gia đó vào tài khoản (kèm ngày) và dùng nó cho giá theo khu vực; khách chưa đăng nhập thấy giá của quốc gia họ đang kết nối. Quốc gia kết nối được lưu cùng đơn hàng làm hồ sơ chống lạm dụng (Điều 6(1)(f) GDPR). Bản thân địa chỉ IP không được lưu cho mục đích này.

Thanh toán do Buy Me a Coffee xử lý, dịch vụ này dùng Stripe để xử lý thanh toán bằng thẻ, Apple Pay và Google Pay. Bạn thanh toán trên trang của chính Buy Me a Coffee (mở trong thẻ mới); Buy Me a Coffee và Stripe thu thập thông tin thanh toán của bạn và là bên kiểm soát độc lập, xem chính sách quyền riêng tư của họ. Chúng tôi không bao giờ thấy thông tin thẻ hay ngân hàng của bạn. Buy Me a Coffee cho chúng tôi thấy tên người trả, địa chỉ email, mã giao dịch, số tiền và mã đơn hàng bạn nhập; chúng tôi chỉ dùng chúng để đối chiếu thanh toán với đơn hàng, xử lý hoàn tiền và thực hiện nghĩa vụ lưu hồ sơ theo luật (Điều 6(1)(b) và (c) GDPR). Nếu chúng tôi chuyển sang nhà cung cấp thanh toán khác, điều tương tự cũng áp dụng cho họ.

2.5 Đánh giá

Nếu bạn viết đánh giá, chúng tôi đăng điểm, nội dung và tên hiển thị của bạn bên cạnh artwork. Đánh giá của người mua hiển thị "Mua hàng đã xác minh". Bạn có thể sửa hoặc xóa đánh giá của mình.

2.6 Email

Chúng tôi gửi email về tài khoản và đơn hàng (xác nhận đơn, artwork đã sẵn sàng, đặt lại mật khẩu, cảnh báo đăng nhập) và email quà tặng qua Resend. Đây là thư dịch vụ, không phải tiếp thị. Chúng tôi không có bản tin chung.

Danh sách chờ. Trên trang sản phẩm có nhãn "Chưa phát hành", bạn có thể tham gia danh sách chờ của sản phẩm đó. Nếu đã đăng nhập, một cú nhấp sẽ dùng email tài khoản của bạn; nếu chưa, bạn nhập địa chỉ email và xác nhận qua liên kết chúng tôi gửi (double opt-in). Chúng tôi lưu sản phẩm, địa chỉ email, ID tài khoản của bạn (nếu đã đăng nhập), một token ngẫu nhiên cho các liên kết và thời điểm xác nhận. Chúng tôi chỉ dùng chúng để gửi email về sản phẩm đó (ra mắt và cập nhật lớn) qua Resend. Mỗi email có liên kết hủy đăng ký, và thành viên đã đăng nhập có thể rời danh sách trên trang sản phẩm bất cứ lúc nào. Cơ sở pháp lý: sự đồng ý của bạn (Điều 6(1)(a) GDPR), bạn có thể rút lại bất cứ lúc nào. Chúng tôi xóa mục khi bạn rời danh sách, khi bạn xóa tài khoản, hoặc khi sản phẩm đã ra mắt và email cuối cùng đã được gửi.

2.7 Biểu mẫu liên hệ

Biểu mẫu liên hệ trên trang liên hệ không gửi tin nhắn của bạn tới máy chủ của chúng tôi. Nó mở ứng dụng email của chính bạn với một thư đã điền sẵn gửi cho chúng tôi, và không có gì được gửi cho đến khi bạn nhấn Gửi ở đó. Chúng tôi chỉ dùng nội dung bạn viết để trả lời.

2.8 Render cá nhân hóa

Đơn hàng có tên hoặc giao diện riêng được render tự động trên GitHub Actions. Log build chỉ hiển thị số đơn hàng. Để đặt artwork lên hình nền Steam của bạn, chúng tôi tải hình nền bạn chỉ định.

2.9 Công cụ Steam (xem trước hồ sơ và hình nền)

Khi bạn dán liên kết hồ sơ Steam vào phần xem trước hồ sơ (hoặc dùng "Xem trên hồ sơ Steam của tôi" trên trang artwork), một hàm máy chủ của chúng tôi yêu cầu dữ liệu công khai của hồ sơ đó từ Steam (tên, ảnh đại diện, cấp độ, các con số hồ sơ, vật phẩm đang dùng) và chuyển tới trình duyệt của bạn; chúng tôi không lưu chúng. Trình duyệt của bạn lưu liên kết gần nhất trong localStorage để trang hiển thị hồ sơ của bạn lần sau; xóa nó trong trình duyệt để bỏ đi. Hình nền, ảnh đại diện và vật phẩm được tải trực tiếp từ máy chủ Steam (Valve), nơi nhận địa chỉ IP của bạn. Ảnh bạn chọn trong "Ảnh của tôi" và các mảnh do công cụ cắt tạo ra không bao giờ rời trình duyệt của bạn. Trình mã hóa GIF được tải từ jsDelivr khi bạn tải hình nền động. Cơ sở pháp lý: lợi ích chính đáng của chúng tôi trong việc cung cấp công cụ bạn dùng (Điều 6(1)(f) GDPR).

3. Cookie và lưu trữ cục bộ

Chúng tôi không đặt cookie và không dùng công nghệ theo dõi hay quảng cáo, nên không có banner cookie. Khi bạn đăng nhập, thư viện xác thực của chúng tôi lưu token phiên trong localStorage của trình duyệt; điều này cần thiết để giữ bạn đăng nhập và bị xóa khi bạn đăng xuất. Phần xem trước hồ sơ Steam lưu liên kết hồ sơ Steam gần nhất bạn nhập ở đó (xem 2.9). Các bên thứ ba nêu trên (jsDelivr, Gravatar, trang thanh toán của Buy Me a Coffee và Stripe vốn đặt cookie riêng trên trang của họ, Steam) có thể nhận dữ liệu kỹ thuật từ trình duyệt của bạn khi nội dung của họ được tải.

4. Dữ liệu được lưu ở đâu và ai nhận

• Supabase (cơ sở dữ liệu, đăng nhập, lưu trữ tệp), khu vực: EU North (Stockholm, Thụy Điển)
• GitHub (lưu trữ trang, tác vụ render) và Cloudflare (DNS, phân phối và Web Analytics không cookie)
• Buy Me a Coffee và Stripe (thanh toán), Resend (email), Google Fonts, jsDelivr, Gravatar, Steam (Valve: hình nền, ảnh đại diện và vật phẩm trong công cụ Steam và phần xem trước artwork)

Dữ liệu của chính chúng tôi được lưu trên máy chủ Supabase ở EU (Stockholm) và trên máy chủ của GitHub. Chúng tôi, với tư cách bên kiểm soát, ở Türkiye và có thể truy cập từ đó. Một số nhà cung cấp trên ở hoặc có thể xử lý dữ liệu tại Hoa Kỳ. Khi đó chúng tôi dựa vào EU–US Data Privacy Framework hoặc các điều khoản hợp đồng tiêu chuẩn. Trang của chúng tôi cũng liên kết tới Discord, X và YouTube; họ có chính sách quyền riêng tư riêng và chúng tôi không chịu trách nhiệm về chúng.

5. Chúng tôi lưu dữ liệu bao lâu

• Dữ liệu tài khoản: cho đến khi bạn xóa tài khoản.
• Hồ sơ đơn hàng: trong thời gian luật yêu cầu cho thuế và kế toán (ở Türkiye và, khi áp dụng, ở EU, tới 10 năm); phần còn lại bị xóa cùng tài khoản của bạn.
• Tệp đã render: bị xóa 7 ngày sau khi giao.
• Log máy chủ tại các nhà cung cấp lưu trữ của chúng tôi: theo điều khoản của họ.

6. Quyền của bạn

Theo GDPR (và, ở Türkiye, KVKK), bạn có thể yêu cầu truy cập, chỉnh sửa, xóa, hạn chế, bản sao dữ liệu của bạn (khả năng chuyển dữ liệu), và phản đối việc xử lý dựa trên lợi ích chính đáng. Bạn có thể rút lại sự đồng ý bất cứ lúc nào. Bạn cũng có thể khiếu nại tới cơ quan bảo vệ dữ liệu, chẳng hạn ở quốc gia của bạn, hoặc ở Türkiye tới Hội đồng KVKK. Bạn có thể tự xóa tài khoản trong Cài đặt → Xóa tài khoản (xác nhận qua liên kết email); khi đó hồ sơ đơn hàng vẫn còn nhưng không còn liên kết với bạn, như mô tả ở mục 5. Với mọi việc khác, hãy viết cho [email protected]. Chúng tôi trả lời trong vòng một tháng. Chúng tôi không chỉ định nhân viên bảo vệ dữ liệu.

7. Bảo mật

Mọi lưu lượng đều dùng HTTPS. Dữ liệu khách hàng được bảo vệ bằng quy tắc truy cập theo hàng trong cơ sở dữ liệu, nên thành viên đã đăng nhập chỉ đọc được đơn hàng và tệp của mình. Tải xuống dùng liên kết ngắn hạn. Khóa bí mật của chúng tôi chỉ được lưu phía máy chủ.

8. Trẻ em

Cửa hàng dành cho người lớn và cho trẻ em có sự đồng ý của cha mẹ khi luật yêu cầu. Chúng tôi không cố ý thu thập dữ liệu của trẻ dưới 16. Nếu bạn tin rằng một trẻ em đã cung cấp dữ liệu cho chúng tôi, hãy liên hệ và chúng tôi sẽ xóa.

9. Thay đổi

Chúng tôi cập nhật chính sách này khi trang thay đổi. Phiên bản hiện hành luôn ở trang này kèm ngày. Nếu thay đổi quan trọng, chúng tôi sẽ thông báo cho chủ tài khoản qua email.

Chính sách này tuân theo luật Türkiye. Các quyền bắt buộc của người tiêu dùng và về bảo vệ dữ liệu tại quốc gia bạn cư trú vẫn được áp dụng.