Chính sách bảo mật

1. Bên chịu trách nhiệm

Bên Kiểm soát dữ liệu cá nhân của Quý khách là đơn vị vận hành BaZi.cards:

Đối với mọi yêu cầu liên quan đến quyền riêng tư, Quý khách có thể viết thư tới support@bazi.cards. Chúng tôi không chỉ định một cán bộ bảo vệ dữ liệu riêng biệt; đơn vị vận hành trực tiếp xử lý mọi yêu cầu.

2. Dữ liệu nào chúng tôi thu thập

Chúng tôi chỉ thu thập những gì Dịch vụ thực sự cần.

• Dữ liệu tài khoản — địa chỉ email, mật khẩu ở dạng đã mã hóa băm (chúng tôi không bao giờ nhìn thấy mật khẩu gốc), ngôn ngữ giao diện Quý khách chọn và ngày đăng ký.
• Dữ liệu ngày sinh — ngày, giờ và nơi sinh, và tùy chọn giới tính. Quý khách cũng có thể nhập dữ liệu ngày sinh của người khác (ví dụ để luận giải mức độ hợp nhau); trong trường hợp đó, Quý khách xác nhận mình có quyền chia sẻ dữ liệu này.
• Câu hỏi gửi tới Oracle — nội dung câu hỏi Quý khách nhập và câu trả lời do hệ thống tự động tạo ra, được lưu trong tài khoản để Quý khách có thể xem lại.
• Dữ liệu mua hàng — Quý khách đã đặt những bản luận giải nào, số tiền, đơn vị tiền tệ, ngày giao dịch và mã đơn hàng. Số thẻ và các thông tin thanh toán khác chỉ do đơn vị cung cấp dịch vụ thanh toán xử lý và không bao giờ được chuyển tới máy chủ của chúng tôi.
• Dữ liệu danh sách chờ — nếu Quý khách đăng ký để được thông báo khi việc thanh toán được mở tại khu vực của mình, chúng tôi ghi nhận địa chỉ email Quý khách nhập, phiên bản ngôn ngữ của trang web, và sản phẩm cùng mức giá được hiển thị cho Quý khách tại thời điểm đó.
• Dữ liệu chương trình giới thiệu — nếu chương trình giới thiệu được cung cấp tại khu vực của Quý khách và Quý khách tham gia (bằng cách mời người khác hoặc chấp nhận lời mời từ người khác), chúng tôi lưu giữ giá trị băm có khóa (HMAC) của địa chỉ IP, của mạng chứa địa chỉ đó và của định danh trình duyệt, nhằm phát hiện hành vi tự mời chính mình và lạm dụng. Không thể chuyển ngược giá trị băm để suy ra địa chỉ ban đầu; các giá trị băm được lưu giữ trong khoảng sáu tháng kể từ lần truy cập gần nhất. Cơ sở pháp lý: lợi ích hợp pháp của chúng tôi trong việc phòng chống gian lận.
• Dữ liệu kỹ thuật — địa chỉ IP, loại trình duyệt, loại thiết bị, trang giới thiệu, thời điểm truy cập và nhật ký lỗi. Những dữ liệu này cần thiết để vận hành trang web an toàn và chống lạm dụng.
• Cookie và bộ nhớ cục bộ — xem mục 9 và Chính sách Cookie riêng.

3. Dữ liệu ngày sinh được coi là dữ liệu nhạy cảm

Ngày, giờ chính xác và nơi sinh, kết hợp với các câu hỏi Quý khách đặt ra, có thể tiết lộ rất nhiều thông tin về một con người. Mặc dù loại dữ liệu này không phải lúc nào cũng được liệt kê trong danh mục “dữ liệu cá nhân nhạy cảm” theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, chúng tôi chủ động áp dụng mức độ bảo vệ tương đương dữ liệu nhạy cảm:

• chúng tôi chỉ xử lý dữ liệu này để lập và luận giải lá số của Quý khách, không bao giờ dùng cho mục đích quảng cáo hoặc lập hồ sơ cho bên thứ ba;
• chúng tôi yêu cầu sự đồng ý rõ ràng của Quý khách trước lần tính toán đầu tiên;
• Quý khách có thể xóa dữ liệu này khỏi tài khoản bất kỳ lúc nào, và chúng tôi sẽ xóa khỏi hệ thống theo mục 5;
• chúng tôi không bao giờ bán, cho thuê hoặc chia sẻ dữ liệu này với các bên môi giới dữ liệu.

4. Mục đích và cơ sở pháp lý

Khi việc xử lý dựa trên sự đồng ý, Quý khách có thể rút lại sự đồng ý đó bất kỳ lúc nào; việc rút lại không ảnh hưởng đến tính hợp pháp của việc xử lý đã thực hiện trước đó.

5. Thời hạn lưu giữ dữ liệu

• Tài khoản, dữ liệu ngày sinh, các bản luận giải và lịch sử Oracle — trong suốt thời gian tài khoản còn tồn tại. Nếu Quý khách xóa tài khoản, dữ liệu sẽ bị xóa trong vòng 30 ngày; các bản sao lưu sẽ bị ghi đè trong vòng 90 ngày tiếp theo.
• Hồ sơ mua hàng — trong thời hạn theo quy định pháp luật về thuế và kế toán áp dụng đối với đơn vị vận hành (thường là 5–10 năm), dưới dạng không còn chứa dữ liệu ngày sinh.
• Nhật ký kỹ thuật — tối đa 90 ngày, trừ khi một sự cố cụ thể yêu cầu lưu giữ lâu hơn.
• Thư từ hỗ trợ — tối đa 3 năm kể từ tin nhắn cuối cùng.
• Dữ liệu danh sách chờ — cho đến khi Quý khách yêu cầu chúng tôi xóa địa chỉ của mình, và trong mọi trường hợp không quá 24 tháng kể từ ngày Quý khách đăng ký vào danh sách chờ.
• Sự đồng ý nhận bản tin — cho đến khi Quý khách hủy đăng ký.

6. Ai khác có thể tiếp cận dữ liệu

Chúng tôi không bán dữ liệu cá nhân và không chia sẻ dữ liệu với các nhà quảng cáo. Để vận hành Dịch vụ, chúng tôi sử dụng một số ít Bên Xử lý dữ liệu cá nhân hoạt động theo chỉ thị của chúng tôi trên cơ sở hợp đồng bằng văn bản:

• Lưu trữ (hosting) — máy chủ đặt tại Liên minh châu Âu (Phần Lan); cơ sở dữ liệu, việc tính toán lá số và việc lưu trữ tài khoản, các bản luận giải cùng lịch sử Oracle của Quý khách đều đặt tại đó.
• Tên miền và bảo vệ biểu mẫu — Cloudflare, Inc. (Hoa Kỳ). Cloudflare vận hành DNS cho tên miền của chúng tôi và, trên các biểu mẫu đăng nhập và lập lá số, cung cấp bước kiểm tra Cloudflare Turnstile để xác nhận người dùng là người thật; cho bước kiểm tra này, Cloudflare xử lý địa chỉ IP và dữ liệu kỹ thuật của trình duyệt của Quý khách. Bản thân trang web được phục vụ trực tiếp từ máy chủ của chúng tôi tại Phần Lan, không đi qua mạng của Cloudflare. Cloudflare hành động theo chỉ dẫn của chúng tôi theo phụ lục xử lý dữ liệu của họ.
• Tạo văn bản — nội dung câu trả lời của Oracle (và, khi các bản luận giải trả phí đã có tại khu vực của Quý khách, nội dung các bản luận giải bằng văn bản) được soạn với sự hỗ trợ của một đơn vị cung cấp dịch vụ tạo văn bản bên ngoài, có trụ sở tại Hoa Kỳ. Với mỗi yêu cầu, đơn vị này chỉ nhận được nội dung câu hỏi của Quý khách hoặc nội dung phần văn bản đang được soạn, cùng dữ liệu lá số đã tính toán cần thiết cho việc đó (các trụ, ngũ hành, các chỉ số liên quan của lá số và các quy tắc truyền thống được lựa chọn cho phần đó). Đơn vị này không nhận địa chỉ email, mật khẩu hay dữ liệu thanh toán của Quý khách. Đơn vị này hoạt động theo chỉ thị của chúng tôi trên cơ sở hợp đồng xử lý dữ liệu; theo điều khoản kinh doanh của đơn vị này, dữ liệu không được dùng để huấn luyện mô hình của họ và có thể được lưu giữ trong một khoảng thời gian giới hạn (tối đa 30 ngày) để phát hiện hành vi lạm dụng trước khi bị xóa.
• Gửi email — Brevo (Sendinblue SAS, Pháp) gửi email xác nhận, đặt lại mật khẩu và, khi được Quý khách đồng ý, bản tin. Brevo nhận địa chỉ email của Quý khách và nội dung email.
• Đơn vị cung cấp dịch vụ thanh toán — đơn vị thanh toán do đơn vị vận hành lựa chọn nhận dữ liệu cần thiết để xử lý giao dịch (số tiền, đơn vị tiền tệ, mã đơn hàng và thông tin Quý khách nhập trên trang thanh toán của đơn vị đó). Đơn vị này là Bên Kiểm soát dữ liệu độc lập đối với riêng giao dịch thanh toán; tên của đơn vị được hiển thị trên trang thanh toán trước khi Quý khách trả tiền. Trên trang thanh toán của chúng tôi, biểu mẫu thanh toán do Stripe (Stripe Payments Europe, Ltd., Ireland và Stripe, Inc., Hoa Kỳ) cung cấp: khi trang thanh toán mở ra, Stripe đặt cookie của mình và thu thập các tín hiệu kỹ thuật của thiết bị và trình duyệt để phòng chống gian lận thanh toán (xem Chính sách Cookie).
• Telegram — nếu Quý khách sử dụng bot @Bazinterbot của chúng tôi, Telegram Messenger Inc. xử lý tin nhắn của Quý khách theo chính sách bảo mật riêng của họ; chúng tôi nhận mã định danh Telegram và các tin nhắn Quý khách gửi tới bot.
• Danh sách chờ — các địa chỉ email được để lại trong biểu mẫu danh sách chờ được lưu trữ trong cơ sở dữ liệu riêng của chúng tôi, trên cùng các máy chủ tại Liên minh châu Âu, và không được chuyển cho bất kỳ bên nào khác.

Chúng tôi cũng có thể tiết lộ dữ liệu khi pháp luật yêu cầu, ví dụ để đáp ứng yêu cầu hợp pháp của tòa án hoặc cơ quan nhà nước có thẩm quyền, bao gồm Bộ Công an, hoặc để xác lập, thực hiện hay bảo vệ các khiếu nại pháp lý.

7. Chuyển dữ liệu cá nhân ra nước ngoài

Máy chủ của chúng tôi đặt tại Liên minh châu Âu (Phần Lan); tài khoản, dữ liệu ngày sinh, các bản luận giải và lịch sử Oracle của Quý khách được lưu trữ tại đó. Một số Bên Xử lý dữ liệu nêu tại mục 6 xử lý dữ liệu bên ngoài Việt Nam:

• Hoa Kỳ — dịch vụ tạo văn bản. Khi Quý khách đặt câu hỏi cho Oracle (hoặc khi một bản luận giải bằng văn bản được soạn cho Quý khách), nội dung câu hỏi và dữ liệu lá số đã tính toán được nêu tại mục 6 được gửi qua kết nối mã hóa tới đơn vị cung cấp dịch vụ này tại Hoa Kỳ, đơn vị này trả về nội dung câu trả lời. Địa chỉ email, mật khẩu và dữ liệu thanh toán của Quý khách không được gửi đi. Việc chuyển dữ liệu này được thực hiện phù hợp với quy định về chuyển dữ liệu cá nhân ra nước ngoài của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP, trên cơ sở sự đồng ý của Quý khách và hợp đồng xử lý dữ liệu đã ký với Bên Xử lý. Việc chuyển dữ liệu là cần thiết để trả lời câu hỏi của Quý khách; nếu Quý khách không muốn dữ liệu được chuyển theo cách này, xin đừng sử dụng Oracle.
• Hoa Kỳ — bảo vệ biểu mẫu (Cloudflare Turnstile). Cloudflare có thể xử lý địa chỉ IP và dữ liệu kỹ thuật của yêu cầu của Quý khách tại Hoa Kỳ và tại các quốc gia khác nơi mạng lưới của Cloudflare hoạt động. Việc chuyển dữ liệu này được thực hiện phù hợp với quy định về chuyển dữ liệu cá nhân ra nước ngoài của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, trên cơ sở phụ lục xử lý dữ liệu đã ký với Cloudflare.
• Telegram và gửi email. Nếu Quý khách sử dụng bot Telegram của chúng tôi, Telegram Messenger Inc. xử lý tin nhắn của Quý khách theo chính sách riêng của họ; Brevo gửi email của chúng tôi từ Liên minh châu Âu.

Chúng tôi giới hạn dữ liệu được chuyển ở mức thực sự cần thiết cho từng Bên Xử lý cụ thể, và không bao giờ bán dữ liệu cá nhân.

8. Quyền của Quý khách với tư cách chủ thể dữ liệu

Với tư cách chủ thể dữ liệu, Quý khách có các quyền sau đây theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và pháp luật hiện hành, được chúng tôi tôn trọng đối với mọi người dùng bất kể quốc tịch hay nơi cư trú:

• Quyền truy cập — nhận bản sao dữ liệu chúng tôi đang lưu giữ về Quý khách;
• Quyền yêu cầu chỉnh sửa — sửa dữ liệu không chính xác (dữ liệu ngày sinh có thể được chỉnh sửa trực tiếp trong tài khoản);
• Quyền xóa dữ liệu — yêu cầu xóa tài khoản và dữ liệu của Quý khách;
• Quyền hạn chế và quyền phản đối xử lý — giới hạn hoặc phản đối việc xử lý dựa trên lợi ích hợp pháp;
• Quyền yêu cầu cung cấp dữ liệu — nhận dữ liệu của Quý khách theo định dạng có thể đọc được bằng máy;
• Quyền rút lại sự đồng ý — bất kỳ lúc nào, đối với bản tin và việc xử lý dữ liệu ngày sinh;
• Quyền khiếu nại, tố cáo, khởi kiện — gửi khiếu nại tới cơ quan nhà nước có thẩm quyền. Tại Việt Nam, đây là Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao — A05); tại Khu vực Kinh tế châu Âu, đây là cơ quan giám sát bảo vệ dữ liệu của quốc gia nơi Quý khách cư trú; tại Vương quốc Anh là Văn phòng Ủy viên Thông tin (ICO).

Để thực hiện một quyền, hãy viết thư tới support@bazi.cards từ địa chỉ email gắn với tài khoản của Quý khách. Chúng tôi phản hồi trong vòng 30 ngày; nếu yêu cầu phức tạp, chúng tôi có thể gia hạn thêm 60 ngày và sẽ giải thích lý do. Chúng tôi sẽ không thu phí, trừ khi yêu cầu rõ ràng là vô căn cứ hoặc quá mức.

9. Cookie và phân tích

Trang web sử dụng một số ít cookie thực sự cần thiết và các công nghệ tương tự: bazi_uid — mã định danh ẩn danh giúp gắn kết các lượt tính lá số, bản luận giải miễn phí và các giao dịch mua của Quý khách trước khi đăng nhập (400 ngày); bazi_session_vi — giữ Quý khách ở trạng thái đăng nhập trong tài khoản (30 ngày); bazi_lang — ghi nhớ ngôn ngữ Quý khách đã chọn (đến 1 năm); cùng một số mục trong bộ nhớ cục bộ của trình duyệt — lựa chọn cookie của Quý khách, lá số được tính gần nhất và các lá số đã lưu, một mã định danh ẩn danh, và, nếu Quý khách đã nhập, địa chỉ email dùng cho biên nhận và thông báo. Bộ nhớ cục bộ lưu trên thiết bị của Quý khách cho đến khi Quý khách xóa. Danh sách đầy đủ có tại Chính sách Cookie.

Để hiểu cách trang web được sử dụng, chúng tôi vận hành công cụ thống kê của riêng mình (bên thứ nhất, first-party), được lưu trữ trên trang web này. Công cụ này ghi nhận dữ liệu sử dụng ẩn danh — các trang đã xem, nguồn truy cập, lượt nhấp, độ sâu cuộn trang, thời gian trên trang, loại thiết bị và chiều rộng màn hình — thông qua một tập lệnh do chính chúng tôi cung cấp, không dùng cookie và không dùng bộ nhớ trình duyệt, và không nhận dạng Quý khách về mặt cá nhân. Chúng tôi không sử dụng bất kỳ dịch vụ phân tích web nào của bên thứ ba (như Google Analytics hay Yandex Metrica), không đặt cookie phân tích hoặc quảng cáo và không sử dụng pixel mạng xã hội. Phép đo lượt xem trang cơ bản chạy trong mỗi lượt truy cập; phép đo chi tiết hơn (bản đồ nhấp chuột và theo dõi cuộn trang) chỉ được tải sau khi Quý khách nhấn “Chấp nhận tất cả” trong bảng thông báo cookie. Chi tiết có tại Chính sách Cookie.

Ghi lại phiên truy cập. Chỉ sau khi bạn nhấn “Chấp nhận tất cả”, phép đo chi tiết mới ghi thêm vị trí bạn nhấp trên màn hình và lưu một bản ghi ẩn danh lượt xem trang của bạn — thay đổi trên trang, chuyển động con trỏ, lượt nhấp và cuộn trang — để chúng tôi tìm và sửa lỗi trên trang web. Mọi nội dung bạn gõ vào ô nhập đều được che và không bao giờ bị ghi lại; các khối chứa dữ liệu ngày sinh, kết quả tính toán và biểu mẫu thanh toán không nằm trong bản ghi. Bản ghi chỉ gắn với một mã phiên ngẫu nhiên, không gắn với tài khoản, địa chỉ email hay dữ liệu thanh toán của bạn. Bạn có thể rút lại sự đồng ý bất cứ lúc nào trong phần cài đặt cookie; sau đó việc ghi sẽ dừng lại.

10. Giới hạn độ tuổi

Dịch vụ dành cho người trưởng thành. Chúng tôi không cố ý tạo tài khoản cho, hoặc nhận thanh toán từ, người dưới 18 tuổi. Nếu Quý khách tin rằng một người chưa thành niên đã cung cấp dữ liệu cá nhân cho chúng tôi, hãy viết thư cho chúng tôi và chúng tôi sẽ xóa dữ liệu đó.

11. Bảo mật

Mọi lưu lượng truy cập đều được mã hóa (TLS). Mật khẩu được lưu trữ dưới dạng băm có thêm salt. Quyền truy cập cơ sở dữ liệu chỉ giới hạn cho đơn vị vận hành và được ghi nhật ký. Tính toàn vẹn của ứng dụng được kiểm tra trước mỗi lần phát hành. Không hệ thống nào an toàn tuyệt đối, vì vậy nếu chúng tôi phát hiện sự cố có khả năng ảnh hưởng đến quyền của Quý khách, chúng tôi sẽ thông báo cho Quý khách và cơ quan nhà nước có thẩm quyền trong thời hạn pháp luật quy định.

12. Thông báo theo khu vực

Việt Nam

Chúng tôi xử lý dữ liệu cá nhân phù hợp với Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Nghị định số 356/2025/NĐ-CP của Chính phủ, pháp luật về an ninh mạng và các văn bản hướng dẫn thi hành. Chúng tôi thu thập sự đồng ý rõ ràng của Quý khách trước khi xử lý dữ liệu ngày sinh và trước khi chuyển dữ liệu cá nhân ra nước ngoài (xem mục 7). Cơ quan nhà nước có thẩm quyền tiếp nhận khiếu nại và hồ sơ liên quan là Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao — A05).

Khu vực Kinh tế châu Âu và Vương quốc Anh

Đối với người dùng tại các quốc gia này, chúng tôi xử lý dữ liệu cá nhân phù hợp với Quy định (EU) 2016/679 (GDPR) và, đối với người dùng tại Vương quốc Anh, UK GDPR cùng Đạo luật Bảo vệ dữ liệu năm 2018. Các cơ sở pháp lý nêu tại mục 4 tương ứng với Điều 6 (và, đối với dữ liệu ngày sinh, Điều 9 khi áp dụng) của các quy định này.

Quốc gia khác

Dù Quý khách ở đâu, chúng tôi áp dụng cùng một tiêu chuẩn bảo vệ được mô tả trong Chính sách này; nếu pháp luật địa phương trao cho Quý khách thêm quyền, chúng tôi tôn trọng các quyền đó.

13. Thay đổi Chính sách

Chúng tôi có thể cập nhật Chính sách này khi Dịch vụ hoặc pháp luật thay đổi. Phiên bản hiện hành và ngày ban hành luôn được hiển thị ở đầu trang này. Nếu một thay đổi ảnh hưởng đáng kể đến quyền của Quý khách, chúng tôi sẽ thông báo cho người dùng đã đăng ký qua email trước khi thay đổi đó có hiệu lực.