Chính sách bảo mật

1. Giới thiệu

TiouTCG ("chúng tôi", "tổ chức", "nền tảng") vận hành website tioutcg.vn — nền tảng mua bán thẻ bài TCG (Trading Card Game) trực tiếp giữa người dùng (P2P) và sản phẩm chính hãng từ shop. Chúng tôi cam kết bảo vệ quyền riêng tư và dữ liệu cá nhân của bạn theo quy định pháp luật Việt Nam.

Chính sách này mô tả cách chúng tôi thu thập, sử dụng, lưu trữ và bảo vệ thông tin của bạn khi sử dụng TiouTCG.

2. Thông tin chúng tôi thu thập

2.1. Thông tin bạn cung cấp trực tiếp

• Tài khoản: Email, mật khẩu (được mã hóa), tên hiển thị, ảnh đại diện
• Đăng nhập mạng xã hội: Khi đăng nhập bằng Google hoặc Facebook, chúng tôi nhận tên, email và ảnh đại diện từ nhà cung cấp tương ứng
• Hồ sơ cá nhân: Số điện thoại, bio, vị trí khu vực, series yêu thích
• Địa chỉ giao hàng: Tên người nhận, SĐT, tỉnh/thành, quận/huyện, phường/xã, số nhà/đường
• Xác minh tài khoản: Số Zalo, link Facebook cá nhân, tên ngân hàng, số tài khoản ngân hàng, tên chủ tài khoản
• Tin đăng marketplace: Tiêu đề, mô tả, hình ảnh, giá, tình trạng thẻ, thông tin grading
• Đánh giá & bình luận: Nội dung review, hình ảnh đính kèm, đánh giá sao
• Báo cáo lừa đảo: Mô tả sự việc, bằng chứng (link, hình ảnh), số tiền, nền tảng

2.2. Thông tin thu thập tự động

• Dữ liệu hoạt động: Lịch sử giao dịch, lượt xem tin đăng, danh sách yêu thích, hoạt động đấu giá
• Dữ liệu gamification: XP, level, TCoins, thành tựu, chuỗi đăng nhập, bảng xếp hạng
• Bộ sưu tập: Thẻ trong bộ sưu tập, want list, deck đã tạo
• Hash IP: Bản hash (mã hóa một chiều) của địa chỉ IP khi bạn gửi báo cáo lừa đảo — dùng để chống spam, không lưu IP gốc

2.3. Dữ liệu lưu trên trình duyệt (Local Storage)

• Giỏ hàng và sản phẩm đã thêm
• Bản nháp tin đăng marketplace
• Session đăng nhập (token Supabase)
• Cache nhiệm vụ hàng ngày và item đã mua bằng TCoins

Bạn có thể xoá dữ liệu local storage bất cứ lúc nào qua cài đặt trình duyệt.

3. Mục đích sử dụng thông tin

• Cung cấp, duy trì và cải thiện dịch vụ TiouTCG
• Xử lý đơn hàng, thanh toán và giao hàng
• Xác minh danh tính cho chức năng đấu giá và chống lừa đảo
• Hiển thị thông tin người bán, người mua trên marketplace
• Gửi thông báo về đơn hàng, đấu giá, tin đăng
• Tạo và quản lý mã giảm giá (freeship) cho người dùng
• Hệ thống gamification: thành tựu, nhiệm vụ, phần thưởng, bảng xếp hạng
• Kiểm duyệt nội dung và xử lý báo cáo vi phạm, lừa đảo
• Phân tích tổng hợp (không cá nhân hóa) để cải thiện nền tảng

4. Chia sẻ thông tin

Chúng tôi không bán dữ liệu cá nhân của bạn cho bên thứ ba. Thông tin chỉ được chia sẻ trong các trường hợp sau:

4.1. Hiển thị công khai

• Tin đăng marketplace: Tên hiển thị, avatar, khu vực, rating người bán
• Lịch sử đấu giá: Tên người đặt giá, avatar, trạng thái xác minh (mức giá cụ thể chỉ hiển thị cho người bán)
• Đánh giá sản phẩm: Tên, avatar, nội dung review
• Bảng xếp hạng: Tên, avatar, level, rank
• Báo cáo lừa đảo đã xác nhận: Thông tin kẻ lừa đảo (STK, SĐT, Facebook) nhằm bảo vệ cộng đồng

4.2. Nhà cung cấp dịch vụ

• Supabase (AWS): Lưu trữ database, authentication, file storage, realtime — dữ liệu được mã hóa và bảo mật theo chuẩn AWS
• VietQR: Tạo mã QR thanh toán — chỉ gửi thông tin tài khoản shop, không gửi dữ liệu cá nhân của bạn
• API Địa chỉ Việt Nam: Tra cứu tỉnh/huyện/xã — không gửi dữ liệu cá nhân
• Google / Facebook OAuth: Xác thực đăng nhập theo chính sách riêng của từng nền tảng

4.3. Yêu cầu pháp lý

Khi yêu cầu bởi cơ quan pháp luật có thẩm quyền, chúng tôi có thể cung cấp thông tin cần thiết theo quy định pháp luật Việt Nam.

5. Bảo mật dữ liệu

• Dữ liệu được lưu trữ trên Supabase (AWS) với mã hóa at-rest và in-transit (HTTPS/TLS)
• Mật khẩu được hash tự động bởi Supabase Auth (bcrypt) — chúng tôi không thể xem mật khẩu gốc
• Row Level Security (RLS) đảm bảo mỗi user chỉ truy cập được dữ liệu thuộc quyền mình
• Admin truy cập dữ liệu người dùng chỉ trong phạm vi cần thiết (duyệt xác minh, xử lý đơn hàng, kiểm duyệt báo cáo)
• Quyền admin được giới hạn và kiểm soát chặt chẽ

Tuy nhiên, không có hệ thống nào bảo mật 100%. Chúng tôi khuyến nghị bạn không chia sẻ mật khẩu và luôn sử dụng mật khẩu mạnh.

6. Thông tin tài chính & thanh toán

• Thông tin ngân hàng (số TK, tên TK, ngân hàng) chỉ được thu thập khi bạn tự nguyện xác minh tài khoản để tham gia đấu giá
• Thông tin này được lưu trữ an toàn và chỉ admin mới có thể xem khi duyệt xác minh
• Chúng tôi không xử lý thanh toán trực tiếp — giao dịch P2P được người mua và người bán tự thỏa thuận chuyển khoản
• Mã QR thanh toán (VietQR) chỉ chứa thông tin tài khoản shop TiouTCG và số tiền đơn hàng
• Chúng tôi không lưu thông tin thẻ tín dụng, thẻ ATM hay bất kỳ phương thức thanh toán điện tử nào của bạn

7. Quyền của bạn

• Xem: Xem và chỉnh sửa thông tin cá nhân tại trang Cài đặt
• Cập nhật: Thay đổi tên hiển thị, avatar, bio, số điện thoại, địa chỉ bất cứ lúc nào
• Xoá tài khoản: Yêu cầu xoá toàn bộ dữ liệu cá nhân (xem mục 8)
• Từ chối: Không bắt buộc cung cấp thông tin xác minh — nhưng sẽ không thể sử dụng tính năng đấu giá
• Rút lại đồng ý: Có thể thu hồi quyền sử dụng dữ liệu OAuth (Google/Facebook) qua cài đặt ứng dụng của nhà cung cấp

8. Xoá dữ liệu cá nhân

Bạn có thể yêu cầu xoá toàn bộ dữ liệu cá nhân trên TiouTCG bằng cách:

• Gửi email tới lenhathuy15072000@gmail.com với tiêu đề "Yêu cầu xoá dữ liệu TiouTCG"
• Hoặc liên hệ qua Zalo qua số điện thoại liên hệ trên website

Khi nhận được yêu cầu hợp lệ, chúng tôi sẽ xử lý trong vòng 7 ngày làm việc:

• Xoá hồ sơ cá nhân, thông tin xác minh, thông tin ngân hàng
• Xoá địa chỉ giao hàng đã lưu
• Gỡ ảnh đại diện và ảnh tin đăng khỏi hệ thống storage
• Xoá dữ liệu gamification (XP, TCoins, thành tựu, nhiệm vụ)
• Vô hiệu hóa tài khoản đăng nhập

Lưu ý: Một số dữ liệu có thể được giữ lại theo yêu cầu pháp luật (lịch sử giao dịch, báo cáo lừa đảo đã xử lý) trong thời gian quy định.

9. Giữ dữ liệu

• Tài khoản hoạt động: Dữ liệu được giữ chừng nào tài khoản còn tồn tại
• Giao dịch & đơn hàng: Giữ tối thiểu 3 năm theo quy định về hóa đơn chứng từ
• Báo cáo lừa đảo: Giữ vô thời hạn nhằm bảo vệ cộng đồng
• Tài khoản đã xoá: Dữ liệu ẩn danh hoặc xoá vĩnh viễn trong vòng 30 ngày sau khi nhận yêu cầu

10. Trẻ em

TiouTCG không dành cho người dưới 13 tuổi. Chúng tôi không cố ý thu thập dữ liệu từ trẻ em dưới 13 tuổi. Nếu phát hiện tài khoản thuộc về trẻ em dưới 13 tuổi, chúng tôi sẽ xoá ngay lập tức.

11. Cookie & Theo dõi

TiouTCG không sử dụng:

• Google Analytics hoặc bất kỳ công cụ analytics bên thứ ba nào
• Facebook Pixel hoặc công cụ quảng cáo theo dõi
• Cookie quảng cáo hoặc retargeting

Chúng tôi chỉ sử dụng Local Storage cho giỏ hàng, bản nháp, và session đăng nhập — tất cả đều thiết yếu cho hoạt động của website và không theo dõi bạn trên các trang web khác.

12. Thay đổi chính sách

Chúng tôi có thể cập nhật chính sách bảo mật này theo thời gian. Mọi thay đổi quan trọng sẽ được thông báo qua email hoặc banner trên website. Phiên bản mới nhất luôn có tại trang này với ngày cập nhật ở trên.

13. Thông tin liên hệ

Nếu bạn có câu hỏi hoặc yêu cầu về dữ liệu cá nhân, vui lòng liên hệ: