Chính sách quyền riêng tư

Phiên bản 2.0 — có hiệu lực từ ngày 29 tháng 11 năm 2026. Chính sách này mô tả dữ liệu F3D thu thập, mục đích, bên xử lý, thời hạn lưu và quyền của bạn. Đơn vị vận hành F3D là bên kiểm soát dữ liệu; thông tin liên hệ tại trang Liên hệ.

1. Dữ liệu F3D thu thập

• Tài khoản: email, tên người dùng, tên hiển thị, mật khẩu đã băm, trạng thái xác thực email, ngôn ngữ, và những gì bạn tự điền vô hồ sơ (ảnh đại diện, tiểu sử, website, liên kết mạng xã hội, quốc gia); địa chỉ IP lúc đăng ký và lúc hoạt động gần nhất; mã giới thiệu và người đã giới thiệu bạn; mã bí mật xác thực hai bước (lưu mã hoá) và mã khôi phục nếu bạn bật tính năng này.
• Đăng nhập bằng Google, Facebook, Apple: định danh do nhà cung cấp cấp, email và thông tin hồ sơ cơ bản nhà cung cấp trả về. F3D không nhận mật khẩu của bạn ở các dịch vụ đó.
• Chống lạm dụng: mỗi lần thử đăng ký ghi một tín hiệu gồm tên miền email, giá trị băm của địa chỉ IP, của chuỗi trình duyệt và của mã thiết bị; tín hiệu này không gắn với tài khoản. Mã thiết bị là một giá trị ngẫu nhiên trong cookie (coi mục Cookies). Dữ liệu này chỉ dùng để phát hiện việc tạo nhiều tài khoản và gian lận thưởng.
• Nội dung: mô hình, ảnh, mô tả, bình luận, đánh giá, báo cáo vi phạm; lời nhắc và ảnh bạn gửi cho Studio AI cùng các bản tạo; tin nhắn trao đổi với trợ lý Luci; nội dung gửi qua biểu mẫu Liên hệ và Góp ý (kèm địa chỉ IP và chuỗi trình duyệt).
• Giao dịch: đơn hàng, số tiền, bản chụp bảng giá lúc tạo đơn, thông báo thanh toán do cổng thanh toán gửi về (gồm mã tham chiếu), lịch sử credit. F3D không nhận số thẻ của bạn.
• Sử dụng: lượt tải, lượt tạo, lượt thích, lưu và theo dõi, thông báo đã nhận và đã đọc, phiên đăng nhập (thiết bị, chuỗi trình duyệt, địa chỉ IP, thời điểm), và nhật ký kỹ thuật cần cho vận hành.

2. Mục đích và cơ sở xử lý

• Cung cấp dịch vụ đã thoả thuận trong Điều khoản sử dụng: tài khoản, tải lên, tải về, Studio AI, trợ lý Luci, thanh toán, thưởng.
• Bảo vệ nền tảng: chống lạm dụng, kiểm duyệt nội dung, xử lý báo cáo bản quyền.
• Thông báo: sự kiện liên quan tới tài khoản và nội dung của bạn qua ba kênh (trong trang, email, thông báo đẩy của trình duyệt); bạn bật hoặc tắt từng loại theo kênh trong Cài đặt thông báo. Thư về bảo mật và tài khoản (xác thực email, đặt lại mật khẩu, xác nhận xoá tài khoản) luôn được gửi.
• Đo lường và tiếp thị trên trình duyệt: thẻ quảng cáo, thẻ phân tích và số liệu hiệu năng trang chỉ được nạp khi bạn đồng ý qua banner cookie (mục Cookies).
• Phân tích sản phẩm và chăm sóc người dùng: khi bạn đã đăng nhập, các sự kiện hoạt động trên F3D gắn với tài khoản (ví dụ đăng ký, tải mẫu, đăng mẫu) được gửi tới công cụ phân tích sản phẩm và hệ thống email marketing, tự động hoá của F3D, không phụ thuộc lựa chọn ở banner cookie. Khi bạn chưa đăng nhập và chưa đồng ý tiếp thị, các sự kiện phía máy chủ vẫn có thể được gửi tới công cụ phân tích sản phẩm dưới một mã chung «guest», không kèm địa chỉ IP hay chuỗi trình duyệt và không tạo hồ sơ người dùng. Sự kiện chỉ được gửi tới Meta khi bạn đã đồng ý tiếp thị. Nếu bạn đăng ký nhận bản tin, email và lựa chọn đồng ý của bạn được lưu để gửi bản tin.
• Nghĩa vụ pháp lý: kế toán, thuế, yêu cầu hợp pháp của cơ quan có thẩm quyền.

3. Bên xử lý thay mặt F3D

• Lưu trữ file và bản sao lưu: Google Cloud Storage. Phân phối file: BunnyCDN. Bảo vệ biên mạng và bộ nhớ đệm trang: Cloudflare.
• AI: ảnh bạn gửi cho Studio AI, hoặc ảnh được tạo từ lời nhắc của bạn, được gửi tới Tripo để dựng mô hình 3D; lời nhắc và ảnh bạn gửi được gửi tới Google Gemini (qua Gemini API của Google) để viết lại lời nhắc, tạo ảnh và kiểm duyệt. Tin nhắn với trợ lý Luci được gửi tới Google Gemini để trả lời; bình luận, tiêu đề và mô tả mẫu có thể được gửi tới Google Gemini để kiểm duyệt tự động.
• Thanh toán: cổng thanh toán SePay nhận thông tin cần thiết để xử lý và xác nhận giao dịch.
• Gửi thư và thông báo đẩy: dịch vụ gửi email của F3D và dịch vụ đẩy của trình duyệt bạn dùng.
• Phân tích và tiếp thị: PostHog (phân tích sản phẩm), Mautic và Activepieces (email marketing và tự động hoá), Meta (đo lường chuyển đổi, chỉ khi bạn đồng ý), Google Tag Manager, Google AdSense và Đăng nhập một chạm của Google (chỉ khi bạn đồng ý).
• Giám sát kỹ thuật: nhật ký lỗi, số liệu và vết xử lý của hệ thống được gửi tới Datadog.

F3D không bán dữ liệu cá nhân. Dữ liệu có thể được xử lý trên máy chủ ngoài Việt Nam của các bên trên với biện pháp bảo vệ theo hợp đồng.

4. Thông tin hiển thị công khai

Tên người dùng, tên hiển thị, ảnh đại diện, tiểu sử, website và liên kết mạng xã hội trên hồ sơ, mẫu đã công khai, bình luận, huy hiệu và vị trí trên bảng xếp hạng là công khai. Email, số dư credit, lịch sử giao dịch và phiên đăng nhập không công khai: chỉ bạn và nhân sự được phân quyền của F3D truy cập được.

Cookies

Banner cookie có hai lựa chọn: Chỉ cần thiết và Đồng ý tất cả. Lựa chọn được nhớ trong 6 tháng (183 ngày) và được ghi lại làm bằng chứng đồng ý (một mã khách đã băm, tài khoản của bạn nếu đã đăng nhập, các nhóm cookie bạn chọn, thời điểm). Khi lựa chọn còn hiệu lực, banner không hiện lại; để chọn lại, bạn xoá cookie f3d_consent của f3d.vn trong trình duyệt rồi tải lại trang. Không có thẻ tiếp thị nào được nạp trước khi bạn đồng ý.

• Cần thiết (luôn bật): f3d_session giữ phiên đăng nhập, 30 ngày; f3d_reg_device mã thiết bị ngẫu nhiên để chống tạo nhiều tài khoản, đặt khi bạn đăng ký, hoặc khi bắt đầu đăng nhập hay liên kết tài khoản bằng Google, Facebook, Apple, 1 năm; f3d_consent nhớ lựa chọn cookie, 6 tháng; f3d_locale nhớ ngôn ngữ, 6 tháng; f3d_ref mã giới thiệu bạn bè, 30 ngày, chỉ đặt khi bạn mở một liên kết giới thiệu; luci_guest_token giữ cuộc trò chuyện với trợ lý Luci khi bạn chưa đăng nhập, 1 năm, chỉ đặt khi bạn trò chuyện.
• Tuỳ chọn giao diện: f3d_theme nhớ chế độ sáng hoặc tối và f3d_density nhớ mật độ lưới mẫu, mỗi cookie 1 năm, chỉ đặt khi bạn đổi tuỳ chọn đó.
• Tiếp thị và đo lường (chỉ khi đồng ý): f3d_anon mã ẩn danh ngẫu nhiên để đo lường, 180 ngày, bị xoá khi bạn rút lại đồng ý; g_csrf_token bảo vệ lượt Đăng nhập một chạm của Google, 10 phút; và các cookie do Google Tag Manager, Google AdSense, PostHog và Meta đặt (ví dụ _fbp, _fbc). Khi bạn chọn «Chỉ cần thiết», các thẻ này không được nạp và không gửi dữ liệu nào.
• Chỉ dành cho nhân sự quản trị: f3d_admin_session giữ phiên đăng nhập khu vực quản trị; người dùng thông thường không nhận cookie này.

6. Thời hạn lưu

• Phiên đăng nhập: hiệu lực 30 ngày kể từ lúc đăng nhập, hoặc tới khi bạn đăng xuất hay thu hồi; bản ghi phiên được xoá 30 ngày sau khi phiên hết hạn hoặc bị thu hồi.
• Thông báo đã đọc: xoá sau 90 ngày; thông báo chưa đọc giữ tới khi bạn xoá hoặc khi thông báo hết hạn.
• Tín hiệu chống lạm dụng: 90 ngày. Nội dung gửi qua biểu mẫu Liên hệ và Góp ý: 30 ngày. Nhật ký kỹ thuật: 30 ngày. Bản sao lưu cơ sở dữ liệu: 30 ngày.
• Nhật ký kiểm toán các thao tác quan trọng trên tài khoản và trong khu vực quản trị, kèm địa chỉ IP: 24 tháng trong cơ sở dữ liệu, sau đó được lưu trữ thêm 5 năm.
• Studio AI: lời nhắc, ảnh bạn gửi và bản tạo được giữ lại; bản tạo chưa đăng tải về được trong 30 ngày.
• Tài khoản đã xoá: hồ sơ được ẩn danh hoá 7 ngày sau khi bạn gửi yêu cầu xoá (nếu bạn đã xác nhận qua email và không huỷ); email, tên người dùng, hồ sơ, ảnh đại diện, địa chỉ IP, liên kết đăng nhập, phiên và đăng ký thông báo đẩy bị xoá hoặc thay bằng giá trị ẩn danh. Lịch sử credit, đơn hàng và thanh toán được giữ lại làm chứng từ tài chính và kiểm toán, gắn với tài khoản đã ẩn danh.
• Mẫu và bình luận: khi xoá tài khoản, bạn chọn giữ lại hay gỡ các mẫu đã đăng; mẫu được giữ lại và bình luận còn lại trên trang, không còn mang tên hay ảnh đại diện của bạn.

7. Quyền của bạn

Bạn có quyền truy cập, sửa, nhận bản sao và xoá dữ liệu của mình. Phần lớn thao tác làm được ngay trong khu vực Tài khoản (hồ sơ, email, mật khẩu, phiên đăng nhập, liên kết đăng nhập, cài đặt thông báo, xoá tài khoản). Yêu cầu khác, kể cả yêu cầu nhận bản sao dữ liệu, gửi qua trang Liên hệ; F3D trả lời trong 30 ngày. Bạn có quyền khiếu nại tới cơ quan bảo vệ dữ liệu có thẩm quyền.

8. Bảo mật

Mật khẩu được băm bằng thuật toán Argon2id; kết nối được mã hoá; khoá bí mật của hệ thống không nằm trong mã nguồn và mã bí mật xác thực hai bước được lưu mã hoá; truy cập khu vực quản trị bắt buộc xác thực hai bước và các thao tác quản trị được ghi nhật ký. Khi xảy ra sự cố ảnh hưởng tới dữ liệu của bạn, F3D thông báo trong 72 giờ kể từ khi xác nhận.

9. Trẻ em

Dịch vụ không dành cho người dưới 16 tuổi. Tài khoản bị phát hiện thuộc trẻ em sẽ bị xoá cùng dữ liệu liên quan.

10. Thay đổi chính sách

Thay đổi quan trọng được thông báo trước ít nhất 7 ngày qua email hoặc thông báo trong tài khoản, kèm ngày hiệu lực mới ở đầu trang này.