Chính sách quyền riêng tư của Bilipito

Bilipito là dịch vụ an toàn cho gia đình. Dịch vụ giúp cha mẹ thấy con đang ở đâu, một ngày của con diễn ra thế nào và khi nào con cần giúp đỡ. Tài liệu này cho biết chúng tôi thu thập dữ liệu nào và để làm gì, lưu giữ bao lâu, chuyển cho ai và bạn có những quyền gì.

Bên kiểm soát dữ liệu cá nhân:

• AIRSTREAM SRL, Cộng hoà Moldova
• IDNO (mã số thuế): 1018600007654 · mã số VAT (cod TVA): 0508154
• Địa chỉ pháp lý: MD-2008, mun. Chișinău, str. Vasile Lupu 34/1, ap. 59
• Địa chỉ liên lạc (văn phòng): MD-2004, mun. Chișinău, str. Sfatul Țării 59, et. 2
• Yêu cầu liên quan đến dữ liệu cá nhân và câu hỏi về bảo vệ dữ liệu: [email protected]
• Các câu hỏi khác: [email protected]

Trong chính sách này, «chúng tôi» là AIRSTREAM SRL. «Bạn» là người dùng Bilipito đã thành niên: cha mẹ, người đại diện theo pháp luật hoặc người lớn được họ mời. Cách sử dụng dịch vụ được nêu trong Điều khoản sử dụng, cách thanh toán được nêu trong Điều khoản thanh toán và gói thuê bao.

Bilipito hoạt động trên Android, iPhone, iPad và trong trình duyệt. Nếu có phiên bản cho nền tảng khác, chúng tôi sẽ cập nhật chính sách trước và nêu tên các nhà cung cấp bổ sung tham gia vận hành phiên bản đó.

Mã định danh ứng dụng: Bilipito — pasitos.airstream.md (Google Play), md.airstream.pasitos (App Store); Bilipito Kids — pasitoskids.airstream.md (Google Play), md.airstream.pasitoskids (App Store).

• Chúng tôi thu thập dữ liệu để gia đình biết trẻ đang ở đâu và trẻ có ổn không.
• Chúng tôi không bán dữ liệu cá nhân và không dùng dữ liệu cho quảng cáo.
• Trẻ không ký hợp đồng với chúng tôi và không tạo tài khoản. Chúng tôi xử lý dữ liệu của trẻ với sự đồng ý của cha mẹ hoặc người đại diện theo pháp luật khác. Từ một độ tuổi nhất định, cần cả sự đồng ý của chính trẻ (mục 7).
• Bilipito Kids hoạt động công khai: trẻ được cho biết gia đình sẽ thấy gì, và trên điện thoại của trẻ luôn hiển thị thông báo rằng ứng dụng đang chạy.
• Âm thanh và camera chỉ hoạt động trực tiếp, không có gì được ghi lại (mục 11).
• Lịch sử di chuyển chi tiết được lưu 30 ngày, sau đó tự động bị xoá.
• Bạn có thể xoá tài khoản và dữ liệu bất cứ lúc nào (mục 16).

Chúng tôi không nhận dữ liệu thẻ ngân hàng: toàn bộ việc thanh toán do Google Play hoặc App Store thực hiện.

Chủ gia đình có thể mời những người lớn khác: cha hoặc mẹ còn lại, bà, ông, người giữ trẻ.

Người lớn được mời không trả phí gói thuê bao: người đó chiếm một trong các chỗ trong gói thuê bao của chủ gia đình.

Trẻ không ký hợp đồng với chúng tôi. Bản thân hợp đồng với cha mẹ cũng không phải là cơ sở để xử lý dữ liệu của trẻ. Chúng tôi dựa vào các cơ sở sau:

• với phần lớn dữ liệu — sự đồng ý của người đại diện theo pháp luật của trẻ; nếu trẻ đã đạt độ tuổi đồng ý kỹ thuật số ở quốc gia của mình thì cần cả sự đồng ý của chính trẻ (mục 7);
• với tín hiệu SOS — thực hiện hợp đồng với cha mẹ và lợi ích sống còn của trẻ;
• với nhật ký các phiên âm thanh và camera trực tiếp, nhật ký kỹ thuật và báo cáo sự cố — lợi ích hợp pháp của chúng tôi: an toàn của trẻ, chống lạm dụng, vận hành dịch vụ;
• với bản ghi về sự đồng ý — nghĩa vụ pháp lý phải chứng minh sự đồng ý.

Những gì chúng tôi không thu thập: danh bạ, SMS, nhật ký cuộc gọi, lịch sử trình duyệt, tin nhắn trong các ứng dụng khác, ảnh trong thư viện (trừ ảnh mà chính người dùng đã chọn làm ảnh đại diện hoặc gửi trong trò chuyện gia đình), văn bản đã nhập và nội dung màn hình. Dịch vụ trợ năng của Android trong Bilipito Kids chỉ dùng cho hai việc: biết ứng dụng nào đang mở để áp dụng quy tắc của cha mẹ, và đóng cửa sổ «hình trong hình» của ứng dụng mà cha mẹ đã chặn. Để làm việc này, dịch vụ xem ứng dụng nào đang ở trên màn hình và tiêu đề của cửa sổ đó, để biết cửa sổ thuộc về ứng dụng nào. Tiêu đề chỉ được kiểm tra trên điện thoại và không được gửi đi đâu. Dịch vụ không đọc văn bản đã nhập và nội dung màn hình; báo cáo cho cha mẹ chỉ có tên của ứng dụng bị chặn.

Nếu Bilipito Kids chạy trên iPhone. Mục đích và thời hạn lưu giữ giống như trong bảng trên, nhưng iOS thu thập một số dữ liệu theo cách khác:

• Quyền: vị trí «Luôn luôn», «Chuyển động & thể chất» (số bước), thông báo, micrô và camera (chỉ cho phiên trực tiếp) và Thời gian sử dụng. Mục đích giống như trên Android.
• Thời gian sử dụng màn hình và giới hạn hoạt động thông qua Screen Time API của Apple (Family Controls, ManagedSettings, DeviceActivity). Cha mẹ chọn ứng dụng và trang web trong bộ chọn hệ thống của Apple. Chúng tôi chỉ nhận và lưu các mã ẩn danh (opaque token) của Apple cho các ứng dụng đã chọn và quy tắc của cha mẹ; các mã này không cho chúng tôi biết tên ứng dụng. Báo cáo chi tiết về việc sử dụng ứng dụng trên iPhone do chính Apple tạo ngay trên thiết bị (DeviceActivityReport) và không đến máy chủ của chúng tôi. Máy chủ của chúng tôi chỉ nhận thông tin rằng một quy tắc đã được kích hoạt hoặc đã đạt giới hạn, và đó là quy tắc nào. Danh sách ứng dụng đã cài và «Đang mở gì» không có trên iPhone.
• Dịch vụ trợ năng không được dùng trên iPhone.
• Báo cáo sự cố được thu thập bởi cùng Firebase Crashlytics, với cùng dữ liệu và thời hạn lưu giữ.

Lối đi bộ đã ẩn danh. Nếu cùng một đường đi được đi qua vào nhiều ngày khác nhau và nhân viên của chúng tôi xác nhận đó là lối đi thật, chúng tôi thêm lối đi đó vào bản đồ của mình. Trên bản đồ chỉ còn lại đường kẻ: không có trẻ, gia đình, thiết bị, ngày và giờ. Không thể xác định một người qua đường kẻ như vậy, nên đây không phải là dữ liệu cá nhân. Những đường kẻ này được lưu vô thời hạn như một phần của bản đồ.

6.1. Bilipito Kids và các quy tắc dành cho ứng dụng trẻ em

Bilipito Kids dành cho trẻ em và thiếu niên và do người lớn cài đặt. Ứng dụng không có quảng cáo, không có mã nhận dạng quảng cáo (AAID/IDFA), không có phân tích hành vi và không có giao dịch mua. Chúng tôi không thu thập số sê-ri, IMEI, IMSI, địa chỉ MAC hay tên và địa chỉ của mạng Wi-Fi từ điện thoại của trẻ. Để bảo vệ thời gian dùng thử miễn phí, khi điện thoại được liên kết, một hàm băm không thể đảo ngược của mã định danh thiết bị (không phải mã định danh quảng cáo) được gửi đi; không thể dùng hàm băm này để nhận biết trẻ hay điện thoại (mục 6).

Trên Android, Bilipito Kids có các thành phần sau của bên thứ ba, tất cả đều do Google phát triển:

• Firebase Cloud Messaging: gửi thông báo; nhận mã push, mã cài đặt Firebase và nội dung thông báo;
• Firebase Crashlytics: báo cáo sự cố, từ lần khởi chạy đầu tiên của ứng dụng; nhận dấu vết kỹ thuật của lỗi, mẫu điện thoại, phiên bản hệ điều hành và ứng dụng, bộ nhớ trống, mã cài đặt và thông tin về các phiên sử dụng ứng dụng; được lưu 90 ngày;
• Trình quét mã vạch ML Kit: nhận dạng mã QR liên kết ngay trên điện thoại. Thành phần này của Google gửi cho Google các chỉ số ẩn danh về cách sử dụng và hiệu năng của chức năng, kèm theo một mã định danh cài đặt; hình ảnh từ camera và nội dung của mã không được gửi đi;
• Dịch vụ Google Play: xác định vị trí trên điện thoại và, thông qua ứng dụng Google Play, kiểm tra xem có phiên bản Bilipito Kids mới hơn không. Chúng tôi không nhận được dữ liệu nào từ việc kiểm tra cập nhật.

Trên iPhone, thông báo do Apple Push Notification service gửi, mã QR do chính hệ thống camera của iPhone nhận dạng, còn vị trí do Dịch vụ định vị của iOS xác định.

Dữ liệu của trẻ không được bán cho bên thứ ba và không được chia sẻ cho mục đích riêng của họ, trừ các chỉ số kỹ thuật của ML Kit mà Google dùng để vận hành và cải thiện chức năng đó.

Người đại diện theo pháp luật có thể bất cứ lúc nào xem dữ liệu của trẻ trong ứng dụng Bilipito, nhận bản sao, sửa hoặc xoá dữ liệu, và từ chối việc thu thập tiếp (huỷ liên kết điện thoại của trẻ hoặc xoá hồ sơ): xem mục 16 hoặc viết thư tới [email protected]. Việc đồng ý cho thu thập dữ liệu của trẻ để vận hành Bilipito không phải là sự đồng ý chia sẻ dữ liệu đó với bên thứ ba cho mục đích riêng của họ; chúng tôi không chia sẻ theo cách đó.

Chúng tôi chỉ lưu dữ liệu của trẻ trong thời gian các chức năng của Bilipito cần đến, theo các thời hạn ở mục 15, và không bao giờ lưu dữ liệu cá nhân của trẻ vô thời hạn.

7.1. Sự đồng ý có thể kiểm chứng của người đại diện theo pháp luật

Trẻ không tự đăng ký Bilipito. Điện thoại của trẻ được liên kết bởi một người lớn có tài khoản Bilipito.

1. Khi đăng nhập lần đầu, người lớn đánh dấu hai ô riêng biệt. Thiếu một trong hai thì không thể dùng dịch vụ:
   • chấp nhận Điều khoản sử dụng và xác nhận đã đọc chính sách này;
   • xác nhận mình là cha mẹ hoặc người đại diện theo pháp luật khác của trẻ và đồng ý cho xử lý dữ liệu của trẻ. Người lớn được mời thì thay vào đó xác nhận rằng mình được cha mẹ của trẻ mời.
2. Khi thêm trẻ, người lớn cho biết nhóm tuổi của trẻ so với ngưỡng đồng ý kỹ thuật số ở quốc gia của mình (mục 7.2). Chúng tôi không hỏi ngày sinh.
3. Kiểm tra. Chúng tôi kiểm tra người lớn bằng các cách hợp lý, tương xứng với rủi ro: đăng nhập vào tài khoản có email đã xác minh, gói thuê bao Google Play hoặc App Store đứng tên chủ gia đình, tiếp cận trực tiếp điện thoại của trẻ khi liên kết (mã hoặc mã QR), thông báo công khai trên điện thoại của trẻ.
4. Ghi nhận. Mỗi sự đồng ý được lưu thành một bản ghi riêng không thể sửa đổi. Bản ghi gồm loại đồng ý, phiên bản và dấu vân tay (hàm băm) của văn bản đã hiển thị, thời gian máy chủ, nền tảng, phiên bản ứng dụng, ngôn ngữ và phương thức đăng nhập. Địa chỉ IP không được đưa vào bản ghi.
5. Rút lại. Có thể rút lại sự đồng ý bất cứ lúc nào: huỷ liên kết điện thoại của trẻ, xoá hồ sơ của trẻ hoặc tài khoản, hoặc viết thư tới [email protected]. Việc xử lý trước khi rút lại vẫn hợp pháp. Sau khi rút lại, chúng tôi ngừng thu thập dữ liệu từ điện thoại của trẻ.
6. Nếu xác nhận là sai sự thật. Có khi điện thoại được liên kết bởi người không có quyền đó: ví dụ, một người không phải cha mẹ đang theo dõi con của người khác hoặc theo dõi một người lớn. Nếu chúng tôi biết điều này hoặc có nghi ngờ có cơ sở, chúng tôi có thể ngừng thu thập dữ liệu từ điện thoại đó và yêu cầu xác nhận thẩm quyền. Nếu không có xác nhận, chúng tôi sẽ xoá dữ liệu đã thu thập mà không có sự cho phép hợp lệ và khoá tài khoản (xem Điều khoản sử dụng). Bạn có thể báo cáo trường hợp như vậy tới [email protected].

7.2. Tuổi của trẻ và sự đồng ý của chính trẻ

Mỗi quốc gia có ngưỡng đồng ý kỹ thuật số riêng. Tại Cộng hoà Moldova, ngưỡng này là 14 tuổi (Luật số 195/2024). Các quốc gia EU và EEA áp dụng ngưỡng quốc gia từ 13 đến 16 tuổi, Vương quốc Anh và Hoa Kỳ — 13 tuổi. Nếu không rõ quốc gia, chúng tôi áp dụng 16 tuổi.

• Trẻ dưới ngưỡng. Người đại diện theo pháp luật quyết định. Khi liên kết, điện thoại cho trẻ biết bằng lời đơn giản gia đình sẽ thấy gì, và trẻ nhấn «Tiếp tục». Đây là thông báo, không phải sự đồng ý. Chúng tôi lưu lại việc đã hiển thị thông báo.
• Trẻ từ ngưỡng đến 17 tuổi (hoặc không cho biết tuổi). Ngoài sự đồng ý của người đại diện theo pháp luật, cần có sự đồng ý của chính trẻ. Điện thoại của trẻ hiển thị cùng văn bản đó, và trẻ nhấn «Tôi hiểu và đồng ý tiếp tục». Nếu không, điện thoại sẽ không được liên kết.

7.3. Khi trẻ lớn lên

• Trẻ đạt ngưỡng đồng ý kỹ thuật số. Nếu trẻ được thêm vào với nhóm «dưới ngưỡng», thì khi trẻ đạt ngưỡng, người đại diện theo pháp luật cần viết thư cho chúng tôi tới [email protected] (chúng tôi sẽ đổi nhóm tuổi) và liên kết lại điện thoại của trẻ. Khi liên kết, trẻ sẽ lại thấy gia đình thấy gì và có thể tự đưa ra sự đồng ý. Nếu trẻ không đồng ý, điện thoại sẽ không được liên kết và việc thu thập dữ liệu từ điện thoại đó chấm dứt.
• Thành niên (18 tuổi). Bilipito không dành cho việc giám sát người lớn. Khi trẻ tròn 18 tuổi, cần ngừng giám sát: người đại diện theo pháp luật huỷ liên kết điện thoại và xoá hồ sơ của trẻ. Nếu người con đã trưởng thành yêu cầu, trước khi xoá có thể chuyển cho người đó bản sao dữ liệu của mình. Để làm việc này, hãy viết thư tới [email protected].

7.4. Trẻ thấy gì

Trước khi xin quyền và trước khi quét mã, Bilipito Kids cho trẻ xem màn hình «Gia đình sẽ thấy gì» kèm liên kết đến chính sách này. Trong khi ứng dụng chạy, điện thoại của trẻ luôn hiển thị một thông báo. Trong phiên âm thanh hoặc camera trực tiếp, xuất hiện thêm một thông báo riêng và chỉ báo hệ thống về micrô hoặc camera.

• Chủ gia đình là người lớn đã tạo gia đình và trả phí gói thuê bao. Chủ gia đình mời và xoá những người lớn khác, thiết lập quyền của họ, thêm và xoá trẻ. Chủ gia đình chịu trách nhiệm bảo đảm những người được mời có cơ sở hợp pháp để xem dữ liệu của trẻ.
• Người lớn được mời (cha hoặc mẹ còn lại, bà, người giữ trẻ…) tham gia gia đình theo lời mời. Với từng trẻ, chủ gia đình quyết định người được mời có được xem lịch sử, quản lý vùng, bật âm thanh và camera hay không.
• Một gia đình có tối đa 4 người lớn (kể cả chủ gia đình) và tối đa 8 trẻ.
• Thu hồi quyền truy cập. Chủ gia đình có thể thu hồi lời mời hoặc xoá một người lớn khỏi gia đình bất cứ lúc nào. Quyền truy cập mất ngay lập tức. Người được mời cũng có thể tự rời khỏi gia đình. Dữ liệu của gia đình vẫn thuộc về chủ gia đình.
• Trẻ thấy trong gia đình có những người lớn nào và họ là ai («mẹ», «bố», «bà»).

Người lớn trong gia đình có thể tạo một liên kết tạm thời để cho người thân biết trẻ hiện đang ở đâu.

• Ai có thể mở: bất kỳ ai có liên kết, không cần tài khoản. Liên kết chứa một khoá ngẫu nhiên gần như không thể đoán được.
• Những gì hiển thị: tên hiển thị của trẻ, vị trí hiện tại của trẻ trên bản đồ, độ chính xác và thời gian đo, thời hạn hiệu lực của liên kết. Lịch sử, mức pin, địa chỉ và các dữ liệu khác không hiển thị qua liên kết.
• Thời hạn: từ 15 phút đến 72 giờ, do người lớn chọn. Liên kết có thể được thu hồi ngay lập tức.
• Nhật ký: chúng tôi ghi lại việc tạo và thu hồi liên kết (nhật ký bảo mật, 90 ngày). Chúng tôi không ghi lại ai đã mở liên kết và khi nào. Chúng tôi chỉ cần địa chỉ IP của người mở trong vài phút, để chống lạm dụng. Bản ghi về chính liên kết được lưu 30 ngày sau khi hết hạn hoặc bị thu hồi.
• Trang liên kết bị chặn đối với công cụ tìm kiếm.
• Khi tài khoản bị xoá, mọi liên kết do tài khoản đó tạo đều bị thu hồi.
• Người tạo liên kết chịu trách nhiệm về việc gửi liên kết cho ai.

Dữ liệu của người nhận liên kết: địa chỉ IP (trong vài phút) và các yêu cầu tải hình ảnh bản đồ tới OpenFreeMap (mục 14).

Cloudflare Web Analytics không dùng cookie và không theo dõi bạn trên các trang web khác. Trang web không có biểu mẫu, cookie quảng cáo hay cookie theo dõi hành vi. Phông chữ (Google Fonts), thư viện của trang web (jsDelivr) và hình ảnh bản đồ (OpenFreeMap) được tải từ máy chủ của các nhà cung cấp này, nên họ thấy địa chỉ IP của bạn.

Bộ đếm lượt truy cập của chúng tôi chạy trên máy chủ riêng của chúng tôi, không dùng cookie, không dùng bộ nhớ trình duyệt và không dùng dịch vụ bên thứ ba. Bộ đếm chỉ nhận địa chỉ của các trang đã biết, không bao giờ nhận mã định danh hay mã phiên; loại thiết bị được xác định từ thông tin trình duyệt (user agent). Để mỗi khách chỉ được đếm một lần mỗi ngày, máy chủ tính một mã băm có «muối» bí mật từ phần mạng của địa chỉ IP (/24 hoặc /64), thông tin trình duyệt và ngày. Mã băm này chỉ được giữ trong bộ nhớ của máy chủ (Redis) tối đa 48 giờ rồi bị xoá; bản thân địa chỉ IP không được lưu. Chỉ lưu số liệu tổng theo ngày (lượt xem và khách truy cập) theo trang, ngôn ngữ, nguồn, quốc gia và loại thiết bị. Các số liệu này không gắn với tài khoản, trẻ em hay dữ liệu vị trí.

Dữ liệu nói chung đến từ: chính bạn; điện thoại của trẻ (Bilipito Kids); Google Play hoặc App Store (mua hàng); Google (đăng nhập bằng Google — tên và email đã xác minh); Apple (đăng nhập bằng Apple — tên và email hoặc địa chỉ chuyển tiếp riêng tư của Apple).

Người lớn có quyền phù hợp có thể nghe những gì đang diễn ra quanh trẻ hoặc xem qua camera điện thoại của trẻ. Ví dụ, khi trẻ không trả lời.

• Chỉ người lớn mới bắt đầu được phiên. Một phiên kéo dài không quá 10 phút; khi cần, người lớn có thể bắt đầu phiên mới.
• Trong suốt phiên, điện thoại của trẻ hiển thị thông báo và chỉ báo hệ thống về micrô hoặc camera.
• Âm thanh và hình ảnh được truyền trực tiếp giữa các điện thoại, ở dạng mã hoá (WebRTC). Nếu không kết nối trực tiếp được, máy chủ chuyển tiếp của chúng tôi sẽ chuyển luồng đi. Máy chủ này không thể giải mã luồng.
• Không có gì được ghi lại: không trên máy chủ của chúng tôi, không trên điện thoại của trẻ, không trên điện thoại của cha mẹ. Bilipito không có chức năng ghi.
• Chúng tôi chỉ lưu việc phiên đã diễn ra (ai, cho trẻ nào, khi nào) — 90 ngày.

Chỉ được dùng các chức năng này theo Điều khoản sử dụng. Ví dụ, không được nghe hoặc quay những người lớn khác và người lạ, không được ghi lại phiên bằng phương tiện bên ngoài, không được bật các chức năng ở nơi mọi người chờ đợi sự riêng tư đặc biệt.

Trò chuyện gia đình dành cho các gia đình có gói thuê bao đang hiệu lực.

• Máy chủ hoạt động như một «người đưa thư». Tin nhắn bị xoá khỏi máy chủ ngay khi tất cả người nhận đã nhận được, và không muộn hơn 48 giờ sau khi gửi. Ảnh cũng vậy; ảnh chưa gửi đi bị xoá sau 1 giờ.
• Lịch sử trò chuyện chỉ được lưu trên điện thoại của các thành viên gia đình, ở dạng mã hoá. Ngoài ra còn trong trình duyệt, nếu bạn đã mở trò chuyện trong bảng điều khiển web; lịch sử này bị xoá khi bạn đăng xuất khỏi bảng điều khiển.
• Tin nhắn được mã hoá khi truyền (HTTPS), nhưng không có mã hoá đầu cuối cho tin nhắn. Trong khi tin nhắn chờ gửi trên máy chủ (không quá 48 giờ), về mặt kỹ thuật máy chủ có thể đọc được tin nhắn. Chúng tôi không làm vậy, trừ khi pháp luật yêu cầu.
• Phần đầu của tin nhắn (tối đa 140 ký tự) hiển thị trong thông báo push. Thông báo do Google Firebase Cloud Messaging gửi, còn trên iPhone và iPad — do Apple Push Notification service gửi.
• Siêu dữ liệu của ảnh bị xoá, kể cả toạ độ GPS nơi chụp.
• Chuyển lịch sử trò chuyện sang trình duyệt: 7 ngày gần nhất, có mã hoá đầu cuối; yêu cầu chuyển có hiệu lực trong 30 phút.
• Tin nhắn «Tôi ở đây» chứa một điểm vị trí của người gửi.

Bilipito tự xác định kiểu di chuyển (đi bộ, phương tiện, đứng yên), dựng lộ trình và điểm dừng, ghi nhận việc đến và rời khỏi vùng, gợi ý biến nơi thường lui tới thành vùng, trao thành tích và áp dụng các giới hạn ứng dụng do cha mẹ đặt.

Những quyết định này giúp gia đình tiện lợi hơn và không gây ra hệ quả pháp lý hoặc hệ quả quan trọng tương tự cho trẻ hay người lớn. Chúng tôi không lập hồ sơ cho quảng cáo và không bán các suy luận về hành vi.

Chúng tôi chỉ chuyển dữ liệu cho những bên giúp chúng tôi vận hành dịch vụ, và chỉ những gì họ cần.

Địa chỉ và lộ trình được tính trên máy chủ riêng của chúng tôi (Nominatim, OSRM dựa trên dữ liệu OpenStreetMap), nên toạ độ không được chuyển cho bên thứ ba cho việc này. Vị trí trên điện thoại Android của trẻ do dịch vụ Google Play xác định. Nếu cài đặt hệ thống «Độ chính xác vị trí của Google» trên điện thoại đang bật, Google nhận thông tin về các mạng Wi-Fi và trạm phát sóng di động theo quy định riêng của Google; cài đặt này không phụ thuộc vào Bilipito và có thể tắt trong phần cài đặt của điện thoại. Trên iPhone, vị trí do Dịch vụ định vị của iOS xác định. Chúng tôi không gửi SMS.

Những người lớn khác chỉ thấy dữ liệu của trẻ nếu chủ gia đình đã mời họ.

Chúng tôi có thể tiết lộ dữ liệu nếu pháp luật yêu cầu (ví dụ, theo yêu cầu của toà án hoặc cơ quan có thẩm quyền), hoặc để bảo vệ tính mạng và sức khoẻ của một người.

Chuyển giao quốc tế. Một số bên nhận xử lý dữ liệu ngoài lãnh thổ Cộng hoà Moldova. Với những chuyển giao này, chúng tôi dựa vào các quyết định về mức độ bảo vệ đầy đủ, cũng như điều khoản hợp đồng tiêu chuẩn và điều khoản xử lý dữ liệu tiêu chuẩn của các nhà cung cấp đó. Bạn có thể yêu cầu bản sao các biện pháp bảo đảm đang áp dụng qua [email protected].

Dữ liệu có thời hạn lưu giữ được tự động xoá mỗi ngày một lần.

Bạn có thể xoá tài khoản trong ứng dụng Bilipito trên Android, iPhone hoặc iPad (Cài đặt → Tài khoản → «Xoá tài khoản») hoặc trong bảng điều khiển web: đăng nhập vào my.bilipito.com, mở «Cài đặt tài khoản» → «Xoá tài khoản» và xác nhận. Để bảo vệ tài khoản, chúng tôi sẽ yêu cầu bạn đăng nhập lại. Hướng dẫn từng bước: bilipito.com/delete-account. Bạn cũng có thể chỉ cần viết thư tới [email protected].

Tài khoản bị xoá ngay lập tức. Cùng với tài khoản, những dữ liệu sau bị xoá: các gia đình mà bạn là chủ, hồ sơ và ảnh của trẻ, lịch sử di chuyển, vùng, thời gian sử dụng màn hình, thành tích, phần thưởng, thông báo, SOS, tin nhắn trò chuyện trên máy chủ, bản ghi về sự đồng ý. Điện thoại của trẻ nhận lệnh dừng và xoá những gì chưa kịp gửi. Tài khoản đăng nhập Google Firebase của bạn bị xoá. Các liên kết do bạn tạo bị thu hồi. Trang quản lý gói thuê bao nhận được thông báo rằng gói thuê bao đã kết thúc. Tên và ngôn ngữ của bạn tại đó bị xoá, còn email chỉ được giữ lại cùng với bản ghi thanh toán và bị xoá cùng với chúng.

Nếu bạn là thành viên của gia đình người khác, bạn chỉ đơn giản rời khỏi gia đình đó. Dữ liệu của gia đình đó vẫn thuộc về chủ gia đình.

Một số dữ liệu còn được lưu thêm một thời gian: nhật ký bảo mật (90 ngày), bản ghi thanh toán không gắn với gia đình (mục 15) và thông tin mà pháp luật buộc chúng tôi phải lưu giữ.

Nếu gia đình đã từng đăng ký gói thuê bao (kể cả dùng thử miễn phí), một dấu nhận dạng không thể đảo ngược của địa chỉ email và phương thức đăng nhập sẽ được giữ lại (3 năm): không thể khôi phục địa chỉ email từ dấu nhận dạng này, nhưng nó cho biết thời gian dùng thử miễn phí đã được sử dụng.

Xoá tài khoản không huỷ gói thuê bao Google Play. Chúng tôi yêu cầu Google ngừng gia hạn, nhưng chắc chắn hơn là bạn tự huỷ gói thuê bao: Google Play → biểu tượng hồ sơ → «Thanh toán và gói thuê bao» → «Gói thuê bao» → Bilipito → «Huỷ gói thuê bao» (play.google.com/store/account/subscriptions). Chúng tôi không thể dừng gói thuê bao App Store; bạn tự huỷ: trên iPhone hoặc iPad, mở Cài đặt → tên của bạn → «Đăng ký» → Bilipito → «Huỷ đăng ký» (apps.apple.com/account/subscriptions).

Bạn cũng có thể xoá riêng một trẻ — dữ liệu của trẻ bị xoá theo cách tương tự. Hoặc chỉ huỷ liên kết điện thoại của trẻ: việc thu thập dừng lại, còn lịch sử được giữ cho đến khi bị xoá hoặc hết thời hạn.

Bạn có quyền:

• được biết chúng tôi xử lý những dữ liệu nào của bạn và nhận bản sao dữ liệu đó;
• chỉnh sửa dữ liệu không chính xác (phần lớn có thể sửa ngay trong ứng dụng);
• xoá dữ liệu (mục 16);
• hạn chế việc xử lý;
• phản đối việc xử lý dựa trên lợi ích hợp pháp của chúng tôi;
• nhận dữ liệu ở định dạng máy có thể đọc được (quyền di chuyển dữ liệu);
• rút lại sự đồng ý bất cứ lúc nào (mục 7.1);
• không phải chịu các quyết định chỉ dựa trên xử lý tự động nếu chúng gây ra hệ quả đáng kể (mục 13);
• khiếu nại lên cơ quan giám sát hoặc khởi kiện ra toà án.

Người đại diện theo pháp luật thực hiện các quyền của trẻ chưa đạt ngưỡng đồng ý kỹ thuật số. Trẻ đã đạt ngưỡng có thể tự liên hệ với chúng tôi.

Cách liên hệ. Bạn có thể gửi yêu cầu từ phần cài đặt tài khoản hoặc tới [email protected]. Để bảo vệ dữ liệu của bạn, chúng tôi xác minh danh tính chủ yếu qua việc đăng nhập vào tài khoản hoặc qua mã gửi tới email đã xác minh. Chúng tôi chỉ hỏi thêm thông tin khi có nghi ngờ có cơ sở về danh tính người gửi yêu cầu, và chỉ ở mức cần thiết để xác minh. Thông thường không cần bản sao giấy tờ tuỳ thân.

Chúng tôi trả lời không chậm trễ vô lý, thường trong vòng một tháng. Nếu yêu cầu phức tạp hoặc có nhiều yêu cầu, thời hạn có thể kéo dài thêm hai tháng. Khi đó chúng tôi sẽ báo cho bạn và giải thích lý do. Nếu từ chối, chúng tôi sẽ giải thích lý do và nhắc bạn rằng bạn có thể liên hệ với cơ quan giám sát hoặc toà án.

Cơ quan giám sát: Trung tâm Quốc gia về Bảo vệ Dữ liệu Cá nhân của Cộng hoà Moldova (Centrul Național pentru Protecția Datelor cu Caracter Personal), MD-2004, mun. Chișinău, str. Serghei Lazo 48, datepersonale.md. Cư dân EU và EEA cũng có thể liên hệ với cơ quan giám sát của quốc gia mình.

Cài đặt trong ứng dụng: bạn có thể tắt các nhóm thông báo (kể cả «Tin tức Bilipito») và thu hồi quyền trong phần cài đặt của điện thoại. Khi đó một số chức năng sẽ ngừng hoạt động.

• Trang web bilipito.com: không có cookie. Bộ nhớ trình duyệt chỉ lưu ngôn ngữ đã chọn. Bộ đếm lượt truy cập của chúng tôi (mục 10) không lưu gì trong trình duyệt.
• Bảng điều khiển web my.bilipito.com: dùng bộ nhớ trình duyệt thực sự cần thiết — để đăng nhập (mã phiên, email của bạn, mã push) và để lưu lịch sử trò chuyện gia đình (IndexedDB). Khi bạn đăng xuất khỏi bảng điều khiển, những dữ liệu này bị xoá. Bảng điều khiển không hoạt động nếu thiếu bộ nhớ này, nên chúng tôi không xin sự đồng ý riêng cho nó. Cloudflare Web Analytics và bộ đếm lượt truy cập của chúng tôi không dùng cookie và không dùng bộ nhớ trình duyệt.
• Ứng dụng Android và iOS: mã đăng nhập được lưu trong bộ nhớ được bảo vệ của điện thoại (trên iPhone và iPad — trong Chuỗi khóa); lịch sử trò chuyện và email được lưu trên điện thoại ở dạng mã hoá. Thông tin kỹ thuật về các yêu cầu (kể cả toạ độ) không được ghi vào nhật ký hệ thống của điện thoại. Dữ liệu ứng dụng không được sao chép lên bộ nhớ đám mây.
• Không có cookie quảng cáo hay cookie theo dõi hành vi, không có mã nhận dạng quảng cáo và không có phân tích hành vi. Chúng tôi không dùng Firebase Analytics. Trên iPhone và iPad, chúng tôi không theo dõi bạn theo nghĩa của App Tracking Transparency, không xin phép theo dõi và không dùng mã nhận dạng quảng cáo của Apple (IDFA).

Nếu chúng tôi thêm hệ thống phân tích hoặc cookie mới, chúng tôi sẽ cập nhật chính sách trước và, khi cần, sẽ xin sự đồng ý của bạn.

Toàn bộ lưu lượng được mã hoá (HTTPS/TLS), các phiên âm thanh và camera trực tiếp được mã hoá giữa các điện thoại. Với mỗi yêu cầu, máy chủ kiểm tra rằng người yêu cầu dữ liệu của trẻ là thành viên trong gia đình của trẻ và có quyền phù hợp. Ảnh hồ sơ không công khai. Quyền truy cập của nhân viên vào dữ liệu bị hạn chế. Không có hệ thống nào được bảo vệ tuyệt đối, nhưng chúng tôi áp dụng các biện pháp kỹ thuật và tổ chức hợp lý. Nếu một sự cố rò rỉ dữ liệu gây rủi ro cao cho bạn, chúng tôi sẽ thông báo cho bạn và cơ quan giám sát trong thời hạn do pháp luật quy định.

Chúng tôi có thể cập nhật chính sách, ví dụ khi có chức năng mới. Phiên bản hiện hành kèm số phiên bản và ngày luôn có tại bilipito.com/privacy. Chúng tôi sẽ thông báo trước về những thay đổi quan trọng trong ứng dụng hoặc qua email. Nếu thay đổi cần sự đồng ý mới, chúng tôi sẽ xin riêng.

• Yêu cầu liên quan đến dữ liệu cá nhân và câu hỏi về bảo vệ dữ liệu: [email protected]
• Các câu hỏi khác: [email protected]
• Bên kiểm soát: AIRSTREAM SRL, IDNO 1018600007654, địa chỉ pháp lý: MD-2008, mun. Chișinău, str. Vasile Lupu 34/1, ap. 59, Cộng hoà Moldova; địa chỉ liên lạc: MD-2004, mun. Chișinău, str. Sfatul Țării 59, et. 2
• Cơ quan giám sát: Trung tâm Quốc gia về Bảo vệ Dữ liệu Cá nhân của Cộng hoà Moldova, datepersonale.md