Chính sách Bảo mật
Cách HyperPulse International Company Limited, công ty vận hành Spilix, thu thập, sử dụng, chia sẻ và bảo vệ dữ liệu cá nhân của bạn.
1. Chúng tôi là ai và phạm vi áp dụng
Spilix (spilix.co) được vận hành bởi HyperPulse International Company Limited (Co., Ltd.), hoạt động dưới tên thương mại HyperPulse Group, một công ty thành lập tại Việt Nam ("Spilix", "chúng tôi"). Chúng tôi là bên kiểm soát dữ liệu chịu trách nhiệm đối với dữ liệu cá nhân được mô tả trong Chính sách này.
Chính sách này áp dụng cho website, dashboard và các dịch vụ liên quan của Spilix, và cần được đọc cùng với Điều khoản Dịch vụ và Chính sách Cookie. Nếu bạn đăng ký thay mặt một hãng đĩa hoặc công ty, Chính sách này cũng áp dụng cho dữ liệu cá nhân bạn cung cấp về nghệ sĩ và người đóng góp của mình — bạn chịu trách nhiệm bảo đảm có quyền chia sẻ dữ liệu đó với chúng tôi.
2. Thông tin chúng tôi thu thập
Thông tin bạn cung cấp:
• Tài khoản: email, họ tên, tên đăng nhập, mật khẩu (chỉ lưu dưới dạng băm bcrypt), quốc gia, ngôn ngữ ưa thích và xác nhận của bạn rằng bạn đã đủ 18 tuổi.
• Bảo mật đăng nhập: nếu bạn bật, khoá công khai passkey (WebAuthn) và mã bí mật dùng để tạo mã xác thực đa yếu tố. Dữ liệu sinh trắc học không bao giờ rời khỏi thiết bị của bạn và không được gửi tới Spilix.
• Hồ sơ nghệ sĩ và hãng đĩa: nghệ danh, tiểu sử, ảnh đại diện, liên kết mạng xã hội và các mã định danh như Spotify ID, Apple Music ID, IPI/CAE.
• Nội dung: bản thu master, ảnh bìa, metadata, lời bài hát, tỷ lệ chia tác quyền và thông tin người đóng góp.
• Thanh toán: loại phương thức thanh toán và lịch sử giao dịch. Thông tin thẻ được nhập trực tiếp trong cổng thanh toán Dodo Payments và được Dodo mã hoá token — Spilix không bao giờ nhận hay lưu số thẻ đầy đủ.
• Thông tin nhận tiền: tên người thụ hưởng, địa chỉ, số tài khoản ngân hàng hoặc IBAN, mã SWIFT/BIC và các thông tin ngân hàng khác cần thiết để chi trả royalty cho bạn.
• Thông tin hoá đơn: tên, địa chỉ và email thể hiện trên hoá đơn VAT phát hành cho mỗi khoản thanh toán.
• Hồ sơ thoả thuận: khi bạn chấp nhận Điều khoản, chúng tôi ghi lại tên, email, địa chỉ IP, thiết bị, thời điểm và phiên bản đã chấp nhận, đồng thời tạo Bản ghi Thoả thuận dạng PDF mà Spilix ký số (có thể sau thời điểm chấp nhận).
• Thông tin thuế: mã số thuế và giấy tờ xác nhận cư trú thuế, chỉ khi pháp luật hoặc DSP yêu cầu (Điều khoản, Mục 22).
• Hỗ trợ: các tin nhắn bạn gửi cho chúng tôi và thông tin liên hệ đi kèm.
Thông tin thu thập tự động:
• Dữ liệu sử dụng và thiết bị: địa chỉ IP và quốc gia ước tính từ IP, trình duyệt, hệ điều hành, các trang đã xem, thao tác trên dashboard và thời điểm truy cập.
• Dữ liệu phân tích qua Google Analytics, và dữ liệu click và chuyển đổi quảng cáo qua Google Ads và Meta, chỉ khi bạn chọn "Chấp nhận tất cả" trong thông báo cookie (xem Mục 9).
Thông tin từ bên thứ ba: trạng thái phân phối, lượt stream và thanh toán từ các DSP cũng như từ nhà cung cấp dịch vụ thanh toán và chi trả của chúng tôi; dữ liệu catalog công khai (ví dụ thống kê nghệ sĩ và bài hát) từ các nhà cung cấp dữ liệu âm nhạc.
3. Cách chúng tôi sử dụng thông tin và cơ sở pháp lý
Chúng tôi xử lý dữ liệu cá nhân của bạn cho các mục đích dưới đây. Khi GDPR hoặc luật tương tự áp dụng, cơ sở pháp lý được ghi trong ngoặc vuông.
• Cung cấp dịch vụ — tạo tài khoản, phân phối bản phát hành, hiển thị số liệu phân tích, thu và chi trả royalty cho bạn [thực hiện hợp đồng].
• Xử lý thanh toán và chi trả thông qua các nhà cung cấp, và phát hành hoá đơn theo quy định pháp luật [hợp đồng; nghĩa vụ pháp lý].
• Lưu hồ sơ các thoả thuận bạn đã chấp nhận và ký đối ứng bằng chữ ký số [hợp đồng; nghĩa vụ pháp lý].
• Gửi email giao dịch — trạng thái phát hành, sao kê chi trả, cảnh báo bảo mật và phản hồi hỗ trợ [hợp đồng].
• Gửi email tiếp thị về sản phẩm, tính năng và ưu đãi của Spilix cho người dùng đã đăng ký tài khoản và chấp nhận Điều khoản (Mục 2); mọi email như vậy đều có liên kết huỷ đăng ký và bạn có thể tắt trong cài đặt tài khoản [đồng ý; lợi ích hợp pháp đối với khách hàng hiện hữu].
• Bảo đảm an toàn dịch vụ — quản lý phiên đăng nhập, phòng chống gian lận, phát hiện lạm dụng và kiểm tra khả năng cung cấp theo khu vực dựa trên địa chỉ IP như mô tả tại Mục 16 của Điều khoản [lợi ích hợp pháp; nghĩa vụ pháp lý].
• Hiểu cách trang web được sử dụng và cải thiện sản phẩm, dùng Google Analytics chỉ khi bạn chấp nhận cookie phân tích [đồng ý].
• Đo lường quảng cáo Google Ads và Meta nào của chúng tôi dẫn đến đăng ký và mua hàng, và hiển thị quảng cáo Spilix cho người đã truy cập trang, dùng Google Ads và Meta chỉ khi bạn chấp nhận cookie quảng cáo [đồng ý].
• Kiểm tra bản quyền và phòng chống gian lận nội dung: tạo dấu vân tay âm thanh của bản thu bạn upload và đối chiếu với cơ sở dữ liệu nhận dạng âm nhạc ACRCloud để phát hiện trùng khớp với bản ghi của bên khác [thực hiện hợp đồng; lợi ích hợp pháp].
• Tuân thủ nghĩa vụ về thuế, kế toán, phòng chống rửa tiền và các nghĩa vụ pháp lý khác, và phản hồi yêu cầu hợp pháp của cơ quan có thẩm quyền [nghĩa vụ pháp lý].
Chúng tôi không đưa ra quyết định tự động có hiệu lực pháp lý hoặc ảnh hưởng đáng kể tương tự đối với bạn. Việc kiểm tra khả năng cung cấp theo khu vực là tự động, nhưng chỉ xác định Spilix có được cung cấp tại quốc gia của bạn hay không.
4. Chúng tôi chia sẻ thông tin với ai
Chúng tôi chỉ chia sẻ dữ liệu cá nhân với các bên dưới đây, và chỉ những dữ liệu mỗi bên cần:
• Nền tảng nhạc số (Spotify, Apple Music, YouTube, Zing MP3, JOOX, Boomplay và các cửa hàng khác bạn chọn): metadata bản phát hành, audio, ảnh bìa và thông tin nghệ sĩ cần thiết cho việc phân phối.
• Tổ chức quản lý quyền biểu diễn và quyền sao chép (BMI, ASCAP, GEMA, VCPMC và các tổ chức khác): thông tin tác phẩm và tỷ lệ chia tác quyền, nếu bạn đăng ký Publishing Admin.
• Dodo Payments (đơn vị xử lý thanh toán): dữ liệu thanh toán và gói đăng ký. Dữ liệu thẻ được gửi thẳng tới Dodo và Spilix không bao giờ nhìn thấy.
• Airwallex (đơn vị chi trả): tên người thụ hưởng, địa chỉ và thông tin ngân hàng để chuyển royalty cho bạn.
• MISA (Việt Nam): MISA MeInvoice nhận tên, địa chỉ và email thể hiện trên mỗi hoá đơn VAT chúng tôi phải phát hành; MISA eSign nhận file PDF thoả thuận (chứa tên, email, địa chỉ IP và thời điểm chấp nhận của bạn) để áp chữ ký số của chúng tôi.
• Amazon Web Services: cơ sở dữ liệu (Aurora PostgreSQL), lưu trữ file (S3), phân phối nội dung (CloudFront) và email giao dịch (SES).
• ACRCloud (nhận dạng âm thanh): file audio hoặc dấu vân tay âm thanh của bản thu bạn upload, kèm metadata cơ bản của bản phát hành (tên bài, tên nghệ sĩ), để đối chiếu bản quyền trước khi phân phối. ACRCloud không nhận thông tin tài khoản, liên hệ hay thanh toán của bạn.
• Google: Google Analytics và Google Ads, chỉ khi bạn chọn "Chấp nhận tất cả" trong thông báo cookie. Xem Chính sách Cookie.
• Meta: Meta Pixel và Meta Conversions API, chỉ khi bạn chọn "Chấp nhận tất cả" trong thông báo cookie, gồm địa chỉ email của bạn ở dạng đã băm (hashed), địa chỉ IP và thông tin trình duyệt. Xem Chính sách Cookie.
• Nhà cung cấp dữ liệu âm nhạc (Soundcharts): chúng tôi tra cứu mã định danh công khai của nghệ sĩ và bài hát để hiển thị xu hướng stream. Không gửi dữ liệu tài khoản.
• Công cụ nội bộ: cảnh báo vận hành gửi tới đội ngũ của chúng tôi qua Discord có thể chứa mã tài khoản và số tham chiếu hoá đơn.
• Cơ quan có thẩm quyền, đơn vị tư vấn và bên kế thừa: khi pháp luật yêu cầu, để bảo vệ quyền của chúng tôi, hoặc trong trường hợp sáp nhập, mua lại hay bán tài sản (khi đó bạn sẽ được thông báo).
Spilix không bán dữ liệu cá nhân của bạn và không chia sẻ dữ liệu đó cho bên thứ ba phục vụ mục đích tiếp thị riêng của họ.
5. Chuyển dữ liệu quốc tế
Spilix được vận hành từ Việt Nam và đội ngũ của chúng tôi truy cập dữ liệu từ đây. Hạ tầng của chúng tôi chạy trên Amazon Web Services tại Hoa Kỳ và Sydney, Úc. Các nhà cung cấp nêu tại Mục 4 có thể xử lý dữ liệu tại các quốc gia khác, bao gồm Việt Nam (MISA) và các quốc gia nơi Dodo Payments, Airwallex, ACRCloud và Google hoạt động.
Khi chuyển dữ liệu cá nhân ra khỏi EEA, Vương quốc Anh hoặc Thuỵ Sĩ, chúng tôi dựa vào quyết định công nhận mức bảo vệ tương đương nếu có, và nếu không thì dựa vào Điều khoản Hợp đồng Tiêu chuẩn (Standard Contractual Clauses) hoặc UK Addendum, kết hợp với mã hoá và kiểm soát truy cập. Việc chuyển dữ liệu cá nhân ra khỏi Việt Nam được thực hiện theo quy định pháp luật Việt Nam về bảo vệ dữ liệu cá nhân.
6. Lưu trữ và bảo mật
Dữ liệu được lưu trên AWS với mã hoá khi lưu trữ và mã hoá TLS khi truyền tải. Mật khẩu chỉ được lưu dưới dạng băm bcrypt. File audio và hình ảnh được lưu trên S3 với mã hoá phía máy chủ và phân phối qua CloudFront. Phiên đăng nhập dùng cookie HttpOnly, Secure, và bạn có thể thêm passkey và xác thực đa yếu tố cho tài khoản.
Quyền truy cập dữ liệu production chỉ giới hạn cho nhân sự cần dùng theo vai trò công việc. Không hệ thống nào an toàn tuyệt đối và chúng tôi không thể bảo đảm an toàn tuyệt đối, nhưng chúng tôi áp dụng các biện pháp trên để bảo vệ dữ liệu của bạn khỏi truy cập trái phép, mất mát hoặc bị thay đổi.
7. Thời hạn lưu trữ dữ liệu
Chúng tôi chỉ lưu dữ liệu cá nhân trong thời gian cần thiết cho các mục đích tại Mục 3. Cụ thể:
• Dữ liệu tài khoản, hồ sơ và nội dung: trong suốt thời gian tài khoản tồn tại. Phân phối là một quan hệ liên tục — bản phát hành của bạn vẫn ở trên các DSP, royalty vẫn tiếp tục về và chúng tôi phải đối chiếu được chúng với bạn — nên chúng tôi không xoá dữ liệu này theo lịch cố định khi catalog của bạn còn đang phát hành hoặc còn royalty chưa chi trả cho bạn.
• Hồ sơ tài chính (hoá đơn, thanh toán, sao kê chi trả và hồ sơ thoả thuận): trong thời hạn pháp luật kế toán và thuế Việt Nam yêu cầu, thường là mười năm, kể cả sau khi tài khoản đã đóng.
• Nhật ký bảo mật và truy cập: trong thời gian giới hạn cần thiết để phòng chống gian lận và điều tra sự cố.
Khi bạn đóng tài khoản và yêu cầu xoá dữ liệu, chúng tôi sẽ xoá hoặc ẩn danh hoá dữ liệu cá nhân không còn cần thiết sau khi các bản phát hành của bạn đã được gỡ và royalty còn lại đã được chi trả. Chúng tôi chỉ giữ lại các hồ sơ pháp luật bắt buộc như mô tả ở trên. Xem Mục 8 về cách gửi yêu cầu.
8. Quyền của bạn
Tuỳ nơi bạn cư trú, bạn có các quyền dưới đây đối với dữ liệu cá nhân của mình. Chúng tôi tôn trọng các quyền này cho mọi người dùng bất kể vị trí, trong giới hạn pháp lý nêu trong Chính sách này.
• Truy cập: nhận bản sao dữ liệu cá nhân chúng tôi đang lưu về bạn.
• Chỉnh sửa: sửa dữ liệu không chính xác hoặc chưa đầy đủ. Hầu hết dữ liệu tài khoản và hồ sơ có thể chỉnh sửa trực tiếp trong dashboard.
• Xoá: yêu cầu xoá tài khoản và dữ liệu cá nhân. Các bản phát hành đã giao có thể vẫn tồn tại trên DSP dưới nghệ danh của bạn theo thoả thuận phân phối, và chúng tôi giữ lại hồ sơ pháp luật bắt buộc (Mục 7).
• Hạn chế và phản đối: yêu cầu giới hạn một số hoạt động xử lý, hoặc phản đối việc xử lý dựa trên lợi ích hợp pháp của chúng tôi.
• Chuyển dữ liệu: nhận dữ liệu tài khoản ở định dạng có cấu trúc, máy đọc được (JSON hoặc CSV), chuẩn bị theo yêu cầu.
• Rút lại sự đồng ý: bất kỳ lúc nào, đối với việc xử lý dựa trên sự đồng ý — ví dụ xoá dữ liệu trang web này trong trình duyệt để thông báo cookie hiện lại, hoặc dùng liên kết huỷ đăng ký trong email tiếp thị.
• Khiếu nại: gửi khiếu nại tới cơ quan bảo vệ dữ liệu. Tại Việt Nam là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an; tại EEA hoặc Vương quốc Anh là cơ quan giám sát quốc gia của bạn.
• Cư dân California (CCPA/CPRA): quyền được biết, xoá và sửa dữ liệu cá nhân, quyền từ chối việc bán hoặc chia sẻ dữ liệu (chúng tôi không bán hay chia sẻ), và quyền không bị phân biệt đối xử khi thực hiện các quyền này.
• Việt Nam (Nghị định 13/2023/NĐ-CP và Luật Bảo vệ dữ liệu cá nhân): quyền được biết, quyền đồng ý và rút lại sự đồng ý, quyền truy cập, chỉnh sửa, xoá, hạn chế, phản đối xử lý, quyền yêu cầu cung cấp dữ liệu, quyền khiếu nại, quyền yêu cầu bồi thường thiệt hại và quyền tự bảo vệ, theo quy định của các văn bản đó.
Để thực hiện bất kỳ quyền nào, hãy email tới privacy@spilix.co từ địa chỉ email đăng ký tài khoản. Chúng tôi có thể yêu cầu bạn xác minh danh tính. Chúng tôi phản hồi trong vòng 30 ngày, hoặc sớm hơn khi pháp luật yêu cầu thời hạn ngắn hơn (ví dụ 72 giờ đối với một số yêu cầu theo pháp luật Việt Nam), và sẽ thông báo nếu yêu cầu phức tạp cần thêm thời gian.
9. Cookie, Phân tích và Quảng cáo
Spilix đặt một cookie cần thiết (spilix_session) để giữ bạn đăng nhập. Khi bạn đồng ý, chúng tôi dùng thêm Google Analytics 4, công cụ này đặt cookie phân tích và gửi dữ liệu sử dụng — trang đã xem, các sự kiện như đăng ký và mua hàng, thông tin thiết bị và trình duyệt, cùng địa chỉ IP đã rút gọn — tới Google, và Google Ads cùng Meta Pixel, các công cụ này đặt cookie quảng cáo ghi lại việc bạn đến Spilix từ một trong các quảng cáo của chúng tôi trên Google, Facebook hoặc Instagram, để chúng tôi đo lường quảng cáo nào dẫn đến đăng ký và mua hàng, và hiển thị quảng cáo Spilix cho người đã truy cập trang. Không công cụ nào trong số này được tải cho tới khi bạn chọn "Chấp nhận tất cả" trong thông báo cookie. Để thay đổi lựa chọn sau này, hãy xoá cookie và dữ liệu trang web này trong cài đặt trình duyệt: thông báo cookie sẽ hiện lại ở lần truy cập tiếp theo.
Chúng tôi không bán dữ liệu cá nhân của bạn. Chi tiết đầy đủ — tên cookie, mục đích, thời hạn và bộ nhớ trình duyệt chúng tôi sử dụng — có trong Chính sách Cookie.
10. Trẻ em
Bạn phải đủ 18 tuổi để sử dụng Spilix, theo quy định tại Điều khoản. Chúng tôi không cố ý thu thập dữ liệu cá nhân của người dưới 18 tuổi. Nếu bạn cho rằng một người chưa đủ tuổi đã đăng ký, hãy liên hệ privacy@spilix.co và chúng tôi sẽ xoá tài khoản đó.
11. Sự cố dữ liệu
Nếu xảy ra sự cố dữ liệu cá nhân có khả năng gây rủi ro cho quyền của bạn, chúng tôi sẽ thông báo cho bạn và cơ quan có thẩm quyền không chậm trễ, trong thời hạn pháp luật hiện hành yêu cầu, và cho bạn biết các biện pháp chúng tôi đang thực hiện.
12. Thay đổi Chính sách
Chúng tôi có thể cập nhật Chính sách này theo thời gian. Với các thay đổi quan trọng — mục đích mới, nhóm bên thứ ba mới hoặc thu hẹp quyền của bạn — chúng tôi sẽ thông báo qua email và thông báo trong ứng dụng ít nhất 30 ngày trước khi có hiệu lực. Các thay đổi nhỏ có hiệu lực khi được đăng, kèm cập nhật ngày "Cập nhật lần cuối".
13. Liên hệ
Với câu hỏi về Chính sách này hoặc để thực hiện quyền của bạn, liên hệ privacy@spilix.co.
Bên kiểm soát dữ liệu: HyperPulse International Company Limited (Co., Ltd.) — hoạt động dưới tên thương mại HyperPulse Group — công ty thành lập tại Việt Nam. Mã số thuế: 4401107251. Địa chỉ trụ sở: Hoà Nghĩa, Vân Hoà, Đắk Lắk, Việt Nam.