Chính sách bảo mật

1. Giới thiệu và phạm vi toàn cầu

Chính sách bảo mật này áp dụng cho tecrube.com, tên miền phụ, bảng điều khiển, API, ứng dụng, plugin và dịch vụ tự động hóa marketing / quản lý quảng cáo (gọi chung «Dịch vụ») do Hero Invest Ltd («Tecrube», «chúng tôi») vận hành.

Áp dụng cho người dùng toàn cầu, gồm Türkiye, EEA, Anh, Mỹ, Trung Đông và châu Á-Thái Bình Dương. Luật bắt buộc địa phương nghiêm hơn (KVKK, GDPR, UK GDPR, CCPA/CPRA…) được ưu tiên; nếu không thì áp dụng Chính sách này.

Khi dùng Dịch vụ hoặc cung cấp dữ liệu cá nhân, bạn xác nhận đã đọc và hiểu Chính sách. Nếu không đồng ý, đừng dùng Dịch vụ.

2. Bên kiểm soát và liên hệ

Bên kiểm soát: Hero Invest Ltd, 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom. Liên hệ chính thức: info@tecrube.com.

Yêu cầu bảo mật, thông báo sự cố và câu hỏi chỉ nhận tại info@tecrube.com. Không xác minh danh tính thì không hoàn tất.

Với dữ liệu bên thứ ba bạn tải lên (khách, lead, danh sách), bạn có thể là bên kiểm soát và Tecrube là bên xử lý, tùy hợp đồng và kiểm soát thực tế.

Đại diện tại EU (GDPR Điều 27): Hero Invest Ltd không được thành lập tại Liên minh châu Âu. Nếu một đại diện tại EU được chỉ định theo Điều 27 GDPR, tên và thông tin liên hệ của đại diện sẽ được nêu trong thông tin công ty và tại mục này; trước thời điểm đó, chủ thể dữ liệu tại EU có thể gửi mọi yêu cầu đến info@tecrube.com. Việc chuyển dữ liệu từ Khu vực Kinh tế châu Âu sang Vương quốc Anh dựa trên quyết định về mức độ bảo vệ đầy đủ của Ủy ban châu Âu dành cho Vương quốc Anh.

3. Định nghĩa

«Dữ liệu cá nhân»: mọi thông tin liên quan đến một thể nhân đã hoặc có thể xác định.

«Xử lý»: mọi thao tác trên dữ liệu cá nhân, gồm thu thập, lưu trữ, thay đổi, chuyển và xóa.

«Dữ liệu khách»: nội dung và dữ liệu cá nhân bạn tải lên hoặc kéo vào Dịch vụ từ tài khoản đã kết nối.

«Dữ liệu tài khoản»: hồ sơ thuê bao, thanh toán, danh tính, hỗ trợ và sử dụng của bạn.

4. Các loại dữ liệu chúng tôi thu thập

Danh tính và liên hệ: tên, e-mail, điện thoại, công ty, chức danh, quốc gia/khu vực, ngôn ngữ.

Tài khoản và giao dịch: vai trò, phiên, gói, dữ liệu thanh toán/thuế, trạng thái thanh toán; số thẻ đầy đủ do nhà thanh toán xử lý, Tecrube không lưu.

Dịch vụ và tích hợp: trên các hub Setup, Phân tích, Quản lý, Ads, Tăng trưởng, Outreach và Hành động — dữ liệu chiến dịch, chi tiêu, hiệu suất, đối tượng, nội dung, chuyển đổi, tồn kho, biểu mẫu, tác vụ, CRM, tự động hóa và không gian làm việc từ tài khoản ads, mạng xã hội, phân tích và nhắn tin đã kết nối.

Thương hiệu và tài sản: bộ nhận diện (logo, màu, font, giọng, quy tắc), creative, brief và media bạn tải lên.

Kênh nhắn tin: nhật ký e-mail/SMS/WhatsApp/thoại, bản ghi và bản chép lời cuộc gọi (nếu bật), nội dung chat/DM, danh sách lead và người nhận.

Đo lường: pixel, CAPI, UET, theo dõi phía máy chủ, UTM, tín hiệu đồng ý và sự kiện liên quan.

Hỗ trợ: biểu mẫu, e-mail, chat và nội dung phiếu.

Kỹ thuật và bảo mật: IP, thiết bị/trình duyệt, HĐH, referrer, ID phiên, nhật ký, cookie, lỗi, tín hiệu gian lận/bảo mật.

Tùy chọn marketing: đồng ý, từ chối và hồ sơ tin thương mại khi áp dụng.

5. Nguồn dữ liệu

Chúng tôi nhận dữ liệu trực tiếp từ bạn (đăng ký, biểu mẫu, hỗ trợ, bộ nhận diện), tự động từ thiết bị, từ nền tảng bên thứ ba đã kết nối, nhà thanh toán, nguồn công khai hợp pháp và danh sách bạn tải lên.

Phân tích đối thủ và công cụ tương tự chỉ dựa trên nguồn công khai hợp pháp hoặc nguồn bạn ủy quyền; truy cập trái phép hoặc vi phạm ToS là trách nhiệm của bạn.

Dữ liệu từ nền tảng bên thứ ba chịu điều khoản của họ và ủy quyền của bạn. Tecrube không chịu trách nhiệm về chuyển không đầy đủ, sai hoặc trái phép từ các nền tảng đó.

6. Mục đích xử lý

Cung cấp, cấu hình, bảo mật và cải thiện Dịch vụ; chạy chiến dịch/tự động hóa/báo cáo/CRM/outreach/hành động; hỗ trợ; thanh toán; ngăn lạm dụng, spam và gian lận; thực hiện nghĩa vụ pháp lý; và cải thiện sản phẩm bằng phân tích ẩn danh/tổng hợp khi có thể.

Liên lạc marketing chỉ khi có đồng ý hoặc luật cho phép; bạn có thể từ chối bất cứ lúc nào.

Chúng tôi không xử lý dữ liệu cá nhân để bảo đảm kết quả (ROAS, doanh số, lead…); chỉ số chỉ mang tính thông tin.

7. Cơ sở pháp lý (KVKK / GDPR / tương tự)

Thực hiện hợp đồng; nghĩa vụ pháp lý; lợi ích hợp pháp (bảo mật, cải thiện sản phẩm, bảo vệ mạng — không lấn át quyền của bạn); và đồng ý khi cần.

Với người dùng EEA/Anh áp dụng Điều 6 GDPR / UK GDPR. Dữ liệu đặc biệt mặc định không được xử lý; nếu cần phải có đồng ý rõ hoặc ngoại lệ pháp luật.

Với ghi cuộc gọi, vị trí hoặc tính năng nhạy cảm tương tự, nghĩa vụ thông báo/đồng ý thêm theo luật địa phương thuộc về bạn.

Khi xử lý dựa trên đồng ý, bạn có thể rút bất cứ lúc nào mà không ảnh hưởng tính hợp pháp trước đó.

8. Xử lý tự động, hành động và AI

Dịch vụ có thể dùng tự động hóa và AI cho creative, nhắm mục tiêu, tối ưu, tác nhân chat/thoại và hành động tự động đã duyệt. Đầu ra là hỗ trợ quyết định hoặc tự động hóa bạn ủy quyền; trách nhiệm cuối cùng thuộc về bạn.

Bạn có thể mở dữ liệu tài khoản cho đầu nối chat/AI bên ngoài (ví dụ công cụ kiểu ChatGPT/Claude) theo chỉ thị của bạn; rủi ro chuyển đó là của bạn.

Theo nguyên tắc chúng tôi không đưa ra quyết định chỉ tự động có hiệu lực pháp lý hoặc tương đương. Nếu có, quyền phản đối và xem xét bởi người vẫn còn.

Chỉ nội dung cần thiết cho công việc được yêu cầu mới được gửi tới nhà cung cấp AI (OpenAI, L.L.C. và, khi sử dụng, Anthropic PBC; Hoa Kỳ): hồ sơ thương hiệu, bối cảnh chiến dịch và—khi yêu cầu bản nháp trả lời—nội dung tin nhắn liên quan. Tên, số điện thoại và email của khách hàng được che trước khi gửi (ví dụ “Khách hàng #ab12cd”, “+90 5 * **12”); thông tin liên hệ và danh tính trong nội dung tin nhắn cũng được che tương tự. Đây là chuyển dữ liệu ra nước ngoài, thực hiện theo các bảo đảm của Điều 9 KVKK và Chương V GDPR.

9. Chia sẻ, bên xử lý và tiết lộ

Chúng tôi không bán dữ liệu cá nhân và không «bán» hay «chia sẻ» cho quảng cáo hành vi liên ngữ cảnh theo CCPA/CPRA, trừ phạm vi cho phép với nhà cung cấp / tiết lộ cần thiết.

Chia sẻ chỉ với: (a) hosting, CDN, bảo mật, giám sát, thanh toán, e-mail/SMS/WhatsApp/thoại, phân tích và xác thực; (b) nền tảng ads/mạng xã hội/đo lường bạn kết nối; (c) công ty liên kết nếu có; (d) cơ quan khi luật yêu cầu; (e) giao dịch doanh nghiệp; (f) bảo vệ quyền — và chỉ mức cần thiết.

Chúng tôi áp điều khoản xử lý dữ liệu với nhà cung cấp. Chính sách nền tảng bên thứ ba cũng áp dụng; Tecrube không kiểm soát chúng.

Các bên xử lý phụ dưới đây chỉ truy cập dữ liệu cho mục đích đã nêu, không vì mục đích nào khác. Những bên được đánh dấu “chỉ khi bạn kết nối” không nhận bất kỳ dữ liệu nào trừ khi bạn kết nối tài khoản tương ứng. Danh sách này được cập nhật mỗi khi có nhà cung cấp mới được thêm vào, và các thay đổi được công bố bằng thông báo trong sản phẩm.

OpenAI, L.L.C. — Tạo văn bản và nội dung, phân loại. Khu vực xử lý: Hoa Kỳ. Dữ liệu được chuyển: Nội dung lời nhắc (prompt): hồ sơ thương hiệu, bối cảnh chiến dịch và, khi có yêu cầu bản nháp trả lời, nội dung của tin nhắn liên quan. Tên, số điện thoại và địa chỉ email của khách hàng (kể cả thông tin nằm trong tin nhắn) được che trước khi gửi.

Anthropic PBC — Tạo văn bản và nội dung, giải thích quyết định. Khu vực xử lý: Hoa Kỳ. Dữ liệu được chuyển: Nội dung lời nhắc (prompt): hồ sơ thương hiệu, bối cảnh chiến dịch và, khi có yêu cầu bản nháp trả lời, nội dung của tin nhắn liên quan. Tên, số điện thoại và địa chỉ email của khách hàng (kể cả thông tin nằm trong tin nhắn) được che trước khi gửi.

Google LLC (Gemini API) — Tạo và tóm tắt văn bản. Khu vực xử lý: Hoa Kỳ / EU. Dữ liệu được chuyển: Nội dung lời nhắc (prompt): hồ sơ thương hiệu, bối cảnh chiến dịch và, khi có yêu cầu bản nháp trả lời, nội dung của tin nhắn liên quan. Tên, số điện thoại và địa chỉ email của khách hàng (kể cả thông tin nằm trong tin nhắn) được che trước khi gửi.

Groq, Inc. — Tạo văn bản với độ trễ thấp. Khu vực xử lý: Hoa Kỳ. Dữ liệu được chuyển: Nội dung lời nhắc (prompt): hồ sơ thương hiệu, bối cảnh chiến dịch và, khi có yêu cầu bản nháp trả lời, nội dung của tin nhắn liên quan. Tên, số điện thoại và địa chỉ email của khách hàng (kể cả thông tin nằm trong tin nhắn) được che trước khi gửi.

OpenRouter, Inc. — Định tuyến mô hình (chỉ khi quản trị viên chọn). Khu vực xử lý: Hoa Kỳ. Dữ liệu được chuyển: Nội dung lời nhắc (đã che tên, số điện thoại và địa chỉ email của khách hàng), được chuyển tiếp đến mô hình đã chọn.

Armitage Labs OÜ (Creem) — Xử lý đơn hàng, thu tiền thanh toán, thuế, hóa đơn và hoàn tiền với tư cách Merchant of Record (bên bán chính thức). Khu vực xử lý: EU. Dữ liệu được chuyển: Tên, email, quốc gia và mã bưu chính, mã số thuế nếu có cung cấp, thông tin thanh toán (thông tin thẻ không bao giờ đến Tecrübe). Với tư cách Merchant of Record, Creem cũng xử lý dữ liệu này theo chính sách bảo mật của mình. Việc chuyển dữ liệu này là cần thiết để dịch vụ hoạt động.

Google Ireland Ltd. (Google Ads, Analytics) — Phân phối và đo lường quảng cáo — chỉ khi bạn kết nối tài khoản. Khu vực xử lý: EU / Hoa Kỳ. Dữ liệu được chuyển: ID tài khoản quảng cáo, dữ liệu chiến dịch và chuyển đổi, thông qua tài khoản bạn kết nối.

Meta Platforms Ireland Ltd. — Phân phối quảng cáo, nhắn tin Instagram/Messenger — chỉ khi bạn kết nối. Khu vực xử lý: EU / Hoa Kỳ. Dữ liệu được chuyển: ID tài khoản quảng cáo, dữ liệu chiến dịch, nội dung tin nhắn.

WhatsApp Business Platform (Meta) — Nhắn tin với khách hàng — chỉ khi bạn kết nối. Khu vực xử lý: EU / Hoa Kỳ. Dữ liệu được chuyển: Số điện thoại và nội dung tin nhắn.

TikTok Technology Ltd. — Phân phối quảng cáo — chỉ khi bạn kết nối. Khu vực xử lý: EU / Singapore. Dữ liệu được chuyển: ID tài khoản quảng cáo và dữ liệu chiến dịch.

Microsoft Ireland Operations Ltd. (Microsoft Advertising) — Phân phối và đo lường quảng cáo — chỉ khi bạn kết nối. Khu vực xử lý: EU / Hoa Kỳ. Dữ liệu được chuyển: ID tài khoản quảng cáo, dữ liệu chiến dịch và chuyển đổi.

Nhà cung cấp đăng nhập (Google, Apple, Meta, LinkedIn, X) — Đăng nhập một lần — chỉ khi bạn sử dụng. Khu vực xử lý: Hoa Kỳ / EU. Dữ liệu được chuyển: Tên, email và ID người dùng của nhà cung cấp.

DGN Teknoloji A.Ş. (trung tâm dữ liệu và lưu trữ máy chủ) — Lưu trữ máy chủ chạy ứng dụng, cơ sở dữ liệu và bản sao lưu. Khu vực xử lý: Thổ Nhĩ Kỳ. Dữ liệu được chuyển: Toàn bộ dữ liệu do dịch vụ xử lý; mật khẩu và khóa bí mật của nhà cung cấp được mã hóa. Việc chuyển dữ liệu này là cần thiết để dịch vụ hoạt động.

Dịch vụ thư của chính máy chủ (SMTP, trên cùng hệ thống lưu trữ) — Email giao dịch: xác minh, nhắc nhở thanh toán và gia hạn, cảnh báo. Nếu sử dụng nhà cung cấp email bên ngoài, nhà cung cấp đó sẽ được thêm vào danh sách này kèm tên. Khu vực xử lý: Thổ Nhĩ Kỳ. Dữ liệu được chuyển: Địa chỉ email và nội dung thư. Việc chuyển dữ liệu này là cần thiết để dịch vụ hoạt động.

10. Chuyển quốc tế

Dữ liệu có thể được xử lý tại Türkiye, EEA, Mỹ hoặc quốc gia khác có hạ tầng. Không có quyết định tương đương thì dùng SCC GDPR, UK IDTA/Phụ lục, KVKK Điều 9 và biện pháp bổ sung khi cần.

Việc chuyển có thể vốn có với SaaS toàn cầu và nền tảng tích hợp. Khi dùng Dịch vụ bạn thừa nhận, trừ quy tắc đồng ý địa phương bắt buộc.

11. Lưu giữ

Chúng tôi lưu khi tài khoản và hợp đồng còn hiệu lực; theo kỳ hóa đơn/thuế luật định; và mức cần cho tranh chấp cùng nhật ký bảo mật.

Khi mục đích kết thúc, dữ liệu được xóa, hủy, ẩn danh hoặc lưu trữ hợp pháp. Xóa khỏi bản sao lưu hoàn tất trong chu kỳ kỹ thuật hợp lý.

Thời hạn tự động xóa: bản ghi phiên đã thu hồi hoặc hết hạn 30 ngày; bản ghi đặt lại mật khẩu, xác minh email và cấp quyền 7 ngày; thông báo đã gửi 90 ngày (loại chứa liên kết đặt lại 7 ngày); nhật ký gọi trợ lý (MCP) 1 năm; tin nhắn liên hệ trên website, cuộc trò chuyện với trợ lý và hộp thư khách hàng 2 năm (xóa ngay khi xóa tài khoản); đăng ký danh sách chờ 1 năm. Sau đó dữ liệu tự động bị xóa. Nhật ký kiểm toán được ẩn danh sau 2 năm và xóa sau 5 năm.

Yêu cầu xóa được hoàn tất chậm nhất trong 30 ngày. Hóa đơn do Merchant of Record của chúng tôi là Creem phát hành và lưu giữ theo nghĩa vụ pháp lý của chính Creem; Hero Invest Ltd lưu giữ hồ sơ thanh toán và kế toán trong 6 năm kể từ khi kết thúc kỳ kế toán liên quan, theo yêu cầu của luật công ty và luật thuế Vương quốc Anh (Companies Act 2006 ss.386–388 và quy tắc lưu giữ hồ sơ của HMRC), chỉ giới hạn ở dữ liệu mà pháp luật yêu cầu. Khi xóa tài khoản, bản ghi các chấp thuận bạn đã đưa ra được lưu để làm bằng chứng cùng giá trị băm không đảo ngược của địa chỉ email, không phải chính địa chỉ đó.

12. Bảo mật

Chúng tôi áp TLS, kiểm soát truy cập, ủy quyền, nhật ký, mã hóa khi phù hợp, tách môi trường và giám sát. Không hệ thống nào an toàn 100%.

Chúng tôi thông báo sự cố theo luật. Bạn vẫn chịu trách nhiệm bảo mật tài khoản (mật khẩu, 2FA, khóa API).

13. Quyền của bạn (toàn cầu)

Tùy luật áp dụng: truy cập, sửa, xóa, hạn chế, phản đối, chuyển dữ liệu, rút đồng ý và khiếu nại cơ quan giám sát (ví dụ hội đồng Thổ Nhĩ Kỳ, DPA EEA, ICO).

Theo luật tiểu bang Mỹ như CCPA/CPRA (nếu áp dụng): biết, xóa, sửa, từ chối bán/chia sẻ và không phân biệt đối xử. Yêu cầu: info@tecrube.com.

Chúng tôi có thể xác minh danh tính. Yêu cầu vô căn cứ, lặp lại hoặc quá mức có thể bị từ chối hoặc tính phí. Thời hạn theo luật (thường 30 ngày / kỳ CCPA).

Bạn có thể tải bản sao dữ liệu ở dạng máy đọc được dưới dạng tệp ZIP trong bảng điều khiển tại Cài đặt › Bảo mật › “Tải xuống dữ liệu của tôi” (tối đa 3 lần trong 24 giờ). Bạn có thể rút lại hoặc cấp lại sự đồng ý nhận email marketing bất cứ lúc nào bằng công tắc Cài đặt › Thông báo › “Email marketing”; email về tài khoản, bảo mật và thanh toán không bị ảnh hưởng.

Cách xóa dữ liệu nhận từ tài khoản Meta (Facebook, Instagram, WhatsApp) của bạn được giải thích tại trang Hướng dẫn xóa dữ liệu.

14. Trẻ em

Dịch vụ không dành cho người dưới 18. Chúng tôi không cố ý thu dữ liệu trẻ. Nếu thu nhầm sẽ xóa. Phụ huynh/giám hộ: info@tecrube.com.

15. Trang bên thứ ba và Do Not Track

Liên kết ngoài chịu thực hành bảo mật riêng; Tecrube không chịu trách nhiệm.

Không có phản hồi ngành thống nhất với tín hiệu Do Not Track; chúng tôi không bảo đảm phản hồi thống nhất trừ khi luật yêu cầu.

16. Thay đổi

Chúng tôi có thể cập nhật Chính sách. Bản hiện hành đăng kèm ngày «Cập nhật». Thay đổi trọng yếu có thể thông báo qua e-mail hoặc trong sản phẩm.

Tiếp tục dùng sau thay đổi là chấp nhận. Nếu không đồng ý, đóng tài khoản và ngừng Dịch vụ.

17. Liên hệ

Yêu cầu bảo mật và dữ liệu: info@tecrube.com. Đây cũng là kênh chính cho thông báo bảo mật chính thức.