Thông báo về quyền riêng tư

migrate.fi được vận hành từ thành phố Espoo, Phần Lan, với mã số doanh nghiệp (Y-tunnus) 3636874-7. Chúng tôi là bên kiểm soát dữ liệu cá nhân được mô tả ở đây: chúng tôi quyết định thu thập những gì và để làm gì, và chúng tôi chịu trách nhiệm về điều đó.

Hãy viết cho chúng tôi tại support@migrate.fi về bất kỳ điều gì trong thông báo này. Các yêu cầu về bảo vệ dữ liệu — truy cập, sửa đổi, xóa — cũng gửi đến địa chỉ đó. Hãy ghi 'data request' ở tiêu đề thư và chúng tôi sẽ xử lý đúng như một yêu cầu như vậy.

Danh sách chờ: nếu bạn ghi tên vào danh sách chờ ở trang chủ, chúng tôi lưu địa chỉ email bạn đưa và ngôn ngữ mà trang đang hiển thị. Chỉ có vậy — phía sau đó không có tài khoản, cũng không có hồ sơ nào. Chúng tôi giữ nó để báo cho bạn khi dịch vụ mở, chứ không nhằm việc gì khác, và bạn có thể yêu cầu xóa bất cứ lúc nào bằng cách viết thư tới support@migrate.fi.

Tài khoản của bạn: địa chỉ email bạn dùng để đăng ký, mật khẩu chỉ được lưu dưới dạng mã băm bcrypt, và ngôn ngữ giao diện bạn đã chọn. Nếu bạn đăng nhập bằng Google thay vì mật khẩu, Google sẽ chuyển cho chúng tôi địa chỉ email, tên và ảnh đại diện của bạn.

Những gì bạn cho chúng tôi biết khi thiết lập ban đầu: quốc gia bạn đang rời đi, nơi bạn đang ở, loại giấy phép bạn đang có hoặc đang xin, tình trạng gia đình, tuổi của các con bạn (chỉ tuổi, không bao giờ là tên), thành phố ở Phần Lan bạn sẽ chuyển đến, ngày bạn đến, ngày giấy phép hiện tại hết hạn, bạn đang ở giai đoạn nào và những điều bạn lo lắng. Lộ trình của bạn được dựng lên từ chính những thông tin này.

Giấy tờ bạn tải lên: bản thân tập tin, và những gì phần phân tích đọc được từ nó — tên gọi, loại giấy tờ, ai gửi, tóm tắt nội dung, có cần trả lời hay không, hạn phải trả lời, và ngày hết hạn được in trên giấy tờ.

Thư bạn chuyển tiếp: mỗi tài khoản có thể được cấp một địa chỉ riêng tại inbox.migrate.fi. Mọi thứ gửi đến đó đều được lưu cùng tệp đính kèm và được đọc giống như một giấy tờ tải lên.

Các cuộc trò chuyện của bạn: những câu hỏi bạn đặt cho trợ lý và các câu trả lời, được lưu lại để mạch trò chuyện vẫn còn đó khi bạn quay lại.

Thanh toán: nếu bạn mua Relocation Pass, chúng tôi lưu bản ghi thanh toán và mã khách hàng nhận diện bạn tại Stripe. Số thẻ của bạn được nhập trên trang của chính Stripe và không bao giờ đến chỗ chúng tôi.

Nhắc hạn: bản ghi về việc lời nhắc hạn nào đã được gửi cho bạn vào ngày nào, để cùng một lời nhắc không được gửi hai lần.

Nhật ký kỹ thuật: việc vận hành dịch vụ tạo ra nhật ký máy chủ về các yêu cầu và lỗi. Chúng được xóa tự động sau 30 ngày.

Một số giấy tờ được tải lên đây nói về con người nhiều hơn hẳn so với số hộ chiếu. Một quyết định về giấy phép cư trú có thể tiết lộ tình trạng sức khỏe, đơn xin tị nạn, tôn giáo, quan điểm chính trị, căn cứ bị ngược đãi, hoặc việc một người là nạn nhân của buôn người hay bóc lột lao động. Điều 9 của GDPR gọi đây là các loại dữ liệu cá nhân đặc biệt và bảo vệ chúng nghiêm ngặt hơn phần còn lại.

Sản phẩm này hỗ trợ những con đường đó một cách có chủ ý — lộ trình xin tị nạn nằm trong kế hoạch — nên chúng tôi sẽ không mô tả trường hợp này như một điều giả định.

Không có gì buộc bạn phải tải lên một giấy tờ như vậy. Bạn tự chọn thêm tập tin nào, và lộ trình cùng phần trò chuyện vẫn hoạt động mà không cần bất kỳ tập tin nào. Khi bạn tải lên một giấy tờ như vậy, bạn cho phép rõ ràng việc lưu trữ và đọc nó theo đúng mô tả trong thông báo này, và chính sự đồng ý đó là cơ sở pháp lý mà chúng tôi dựa vào.

Bạn có thể rút lại sự đồng ý đó bằng cách xóa giấy tờ: bản ghi, mọi thứ mà phần phân tích đã rút ra từ nó, và chính bản sao đang lưu của tập tin đều biến mất cùng nhau trong một cú nhấn đó, và không còn gì ở đây đọc nó nữa. Khi bạn xóa tài khoản, mọi tập tin đang lưu cũng bị xóa hệt như vậy. Ngoại lệ duy nhất là những tập tin cũ đến mức chúng tôi đã lưu theo cách khác với hiện nay; support@migrate.fi sẽ xóa những tập tin đó.

Mọi giấy tờ đến đây đều được phân tích tự động: khi tải lên, và khi thư chuyển tiếp đến nơi. Không có lựa chọn 'lưu lại nhưng đừng đọc'. Nếu bạn muốn một tờ giấy cụ thể không bao giờ được một mô hình AI đọc, xin đừng tải nó lên. Chúng tôi thà nói thẳng điều đó còn hơn ngụ ý một lựa chọn không hề tồn tại.

Việc vận hành dịch vụ — tài khoản, lộ trình, phần trò chuyện, những giấy tờ bạn nhờ chúng tôi đọc, những lời nhắc bạn đã yêu cầu — dựa trên việc thực hiện hợp đồng với bạn (Điều 6(1)(b) GDPR).

Các giấy tờ thuộc loại dữ liệu đặc biệt nói trên dựa trên sự đồng ý rõ ràng của bạn, được đưa ra khi bạn tải chúng lên (Điều 9(2)(a)).

Phân tích lưu lượng dựa trên sự đồng ý của bạn và không dựa trên bất cứ điều gì khác (Điều 6(1)(a)). Từ chối không khiến bạn mất gì cả: mọi phần của sản phẩm đều hoạt động trong cả hai trường hợp.

Việc giữ cho dịch vụ đứng vững — giới hạn số lượt yêu cầu, chặn hành vi lạm dụng, ngăn một tài khoản bị dùng để tấn công dịch vụ, và các báo cáo lỗi cho chúng tôi biết có thứ gì đó đã hỏng — dựa trên lợi ích hợp pháp của chúng tôi trong việc duy trì một dịch vụ luôn sẵn sàng và được sửa chữa (Điều 6(1)(f)).

Chúng tôi không bán dữ liệu cá nhân và không chia sẻ nó cho quảng cáo của bất kỳ ai. Có năm công ty nhận dữ liệu: bốn công ty để sản phẩm có thể hoạt động, và một công ty để chúng tôi biết được khi sản phẩm hỏng.

Chúng tôi yêu cầu mỗi bên chỉ dùng dữ liệu của bạn cho đúng công việc chúng tôi đã đặt ra, và không dùng nó để huấn luyện hay cải thiện sản phẩm của chính họ. Đó là chỉ dẫn chúng tôi đưa ra và điều kiện chúng tôi giữ khi chọn một bên xử lý; đó không phải lời hứa thay cho những gì một công ty làm ngoài chỉ dẫn của chúng tôi. Stripe khác về hình thức chứ không khác về nguyên tắc: họ nhận khoản thanh toán nhân danh chính họ và theo chính sách quyền riêng tư của riêng họ — thanh toán bằng thẻ buộc phải như vậy.

Google. Các tính năng AI chạy trên các mô hình Gemini của Google, và đây là bên nhận nhạy cảm nhất trong số các bên nhận này. Khi một giấy tờ được phân tích, chính tập tin đó được gửi tới Google — bản quét hộ chiếu, quyết định về giấy phép cư trú, thư từ Migri — bởi mô hình đọc trực tiếp tập tin, không qua bước trung gian nào. Câu hỏi của bạn trong phần trò chuyện, các câu trả lời khi thiết lập ban đầu, hồ sơ của bạn và nội dung thư chuyển tiếp cũng được gửi tới đó, để tạo ra câu trả lời, thẻ nhiệm vụ và các gợi ý. Nếu bạn đăng nhập bằng Google, Google cũng xử lý lần đăng nhập đó.

Amazon Web Services. AWS lưu trữ và vận hành ứng dụng, giữ các tập tin bạn tải lên, chạy cơ sở dữ liệu, và chuyển thư theo cả hai chiều — những lời nhắc chúng tôi gửi cho bạn và những lá thư bạn chuyển tiếp đến.

Stripe. Stripe nhận khoản thanh toán cho Relocation Pass và giữ địa chỉ email, địa chỉ thanh toán bạn nhập khi thanh toán, cùng bản ghi thanh toán của bạn cho mục đích đó. Thông tin thẻ của bạn do Stripe xử lý và chúng tôi không bao giờ nhìn thấy.

Cloudflare. Biểu mẫu đăng ký danh sách chờ ở trang chủ có một bước kiểm tra chống bot, Cloudflare Turnstile. Nó được tải từ Cloudflare mỗi lần trang đó mở ra, và khi bạn gửi biểu mẫu thì địa chỉ IP của bạn được gửi tới Cloudflare cùng với các tín hiệu mà bước kiểm tra đọc từ trình duyệt của bạn, để xác định bạn có phải là người hay không. Không có dữ liệu tài khoản, không có giấy tờ và không có nội dung nào bạn viết đi tới Cloudflare.

Sentry. Khi có thứ gì đó trong sản phẩm hỏng, một báo cáo về sự cố đó được gửi tới Sentry, để chúng tôi biết về một trang bị hỏng từ bảng theo dõi chứ không phải chờ bạn báo. Báo cáo đó là phần mô tả kỹ thuật của lỗi: cái gì đã hỏng và ở chỗ nào trong mã nguồn, cùng địa chỉ của trang hoặc của đường dẫn đang được dùng. Thứ duy nhất trong đó có thể chỉ tới bạn là mã định danh tài khoản của bạn; tên của bạn và địa chỉ email của bạn thì không có ở đó. Trước khi báo cáo được gửi đi, chúng tôi bỏ đi những gì mà thiếu chúng vẫn tìm ra được lỗi: nội dung của yêu cầu, cookie, địa chỉ email của bạn, mã định danh của giấy tờ mà yêu cầu đó nhắm tới, và giá trị của mọi tham số trong địa chỉ — chỉ giữ lại tên của chúng. Giấy tờ của bạn, những lá thư bạn chuyển tiếp và các cuộc trò chuyện của bạn không được gửi đi. Có một giới hạn nên nói ngay ở đây thay vì trong một chú thích: nội dung của thông báo lỗi do chính phần mềm bị lỗi viết ra, nên chúng tôi không thể loại trừ khả năng một mẩu dữ liệu của bạn bị trích vào trong đó.

Chúng tôi cũng giao nộp dữ liệu khi pháp luật yêu cầu — theo một lệnh có hiệu lực bắt buộc của cơ quan nhà nước hoặc tòa án. Nếu nhận được một lệnh như vậy, chúng tôi sẽ báo cho người liên quan, trừ khi pháp luật cấm chúng tôi làm điều đó.

Ứng dụng, các tập tin bạn tải lên và cơ sở dữ liệu chạy tại vùng Stockholm của Amazon Web Services, trong Liên minh châu Âu. Thư được gửi đi và nhận về qua vùng Ireland, cũng thuộc Liên minh châu Âu.

Việc xử lý bằng AI phía Google có thể diễn ra bên ngoài Khu vực Kinh tế châu Âu (EEA), và các báo cáo lỗi nói trên cũng có thể được lưu bên ngoài khu vực đó. Khi một bên xử lý đưa dữ liệu cá nhân ra ngoài EEA, việc chuyển giao đó phải được bảo đảm bằng quyết định công nhận mức bảo vệ tương xứng của Ủy ban châu Âu hoặc bằng các điều khoản hợp đồng tiêu chuẩn của Ủy ban; chúng tôi không dùng bên xử lý nào không có ít nhất một trong hai.

Chúng tôi nói cho bạn biết dữ liệu nằm ở đâu thay vì hứa rằng không một byte nào rời khỏi EEA, bởi lời hứa thứ hai sẽ là hứa thay cho hạ tầng của người khác.

Chúng tôi không xóa dữ liệu cá nhân theo một lịch cố định, và thông báo này sẽ không bịa ra một lịch như vậy. Tài khoản của bạn và mọi thứ trong đó tồn tại chừng nào tài khoản còn tồn tại.

Một dòng trong danh sách chờ không phải là tài khoản và không theo quy tắc đó. Đó là một dòng duy nhất chứa địa chỉ email và ngôn ngữ, được giữ để chúng tôi báo cho bạn khi dịch vụ mở; một lá thư tới support@migrate.fi là đủ để xóa nó.

Khi bạn xóa tài khoản, việc xóa diễn ra ngay lập tức: tài khoản, các giấy tờ và kết quả phân tích của chúng, các cuộc trò chuyện, lộ trình và các bản ghi thanh toán đều mất theo. Đó không phải một yêu cầu nằm chờ trong hàng đợi.

Có năm thứ sống lâu hơn điều đó. Các bản sao lưu do nhà cung cấp hạ tầng của chúng tôi giữ sẽ hết hạn theo chu kỳ riêng của họ, nên một tài khoản đã xóa vẫn có thể còn trong bản sao lưu cho đến khi bản đó hết hạn. Stripe giữ bản ghi thanh toán của riêng họ theo quy tắc lưu trữ và nghĩa vụ pháp lý của họ — điều đó nằm ngoài tầm kiểm soát của chúng tôi và chúng tôi không thể xóa thay bạn. Khi một quản trị viên thực hiện thao tác với một tài khoản — khóa nó, cấp quyền truy cập, xóa nó — bản ghi về thao tác đó được giữ lại, gồm cả địa chỉ email liên quan, để những gì đã làm với một tài khoản vẫn có thể được giải trình sau khi tài khoản không còn. Và còn hai bản ghi kỹ thuật cũng sống lâu hơn: nhật ký máy chủ, và các báo cáo lỗi được gửi tới Sentry. Việc xóa tài khoản không chạm tới cả hai — mỗi loại chỉ đơn giản là hết hạn theo chu kỳ riêng của nó, theo các mốc thời gian nêu ở đoạn tiếp theo.

Nhật ký máy chủ được xóa tự động sau 30 ngày, còn các báo cáo lỗi nói trên hết hạn theo chu kỳ riêng của Sentry.

Các tập tin tải lên nằm trong kho lưu trữ riêng tư, đóng với internet công cộng và được mã hóa khi lưu. Chúng chỉ được cung cấp qua một đường dẫn kiểm tra trước rằng tập tin thuộc về chính tài khoản đang yêu cầu.

Mật khẩu được lưu dưới dạng mã băm bcrypt. Không ai đọc ngược lại được mật khẩu của bạn, kể cả chúng tôi.

Chúng tôi không tuyên bố có chứng nhận an ninh, kiểm toán độc lập hay tiêu chuẩn ISO nào, bởi chúng tôi không có. Một thông báo về quyền riêng tư là chỗ không nên ngụ ý điều ngược lại.

Bạn có quyền xem dữ liệu cá nhân mà chúng tôi giữ về bạn (Điều 15), yêu cầu sửa lại (Điều 16), yêu cầu xóa đi (Điều 17), hạn chế việc sử dụng (Điều 18), nhận dữ liệu ở dạng có thể chuyển sang nơi khác (Điều 20), và phản đối việc xử lý dựa trên lợi ích hợp pháp (Điều 21).

Ở những chỗ việc xử lý dựa trên sự đồng ý — các giấy tờ thuộc loại dữ liệu đặc biệt, phân tích lưu lượng — bạn có thể rút lại sự đồng ý đó bất cứ lúc nào (Điều 7(3)). Việc rút lại không làm cho những gì đã xảy ra trước đó trở thành trái luật, và không ảnh hưởng đến những gì dựa trên hợp đồng với bạn.

Phần lớn những việc này bạn có thể tự làm ngay trong sản phẩm: hồ sơ có thể sửa trong phần Cài đặt, một giấy tờ có thể xóa ở trang Giấy tờ, và chính tài khoản cũng có thể xóa trong phần Cài đặt. Bản sao dữ liệu tài khoản của bạn tải xuống được ngay tại đó, và chính tập tin đó nêu rõ những gì nó không bao gồm. Với những gì sản phẩm chưa làm được, hãy viết thư tới support@migrate.fi. Chúng tôi trả lời trong vòng một tháng như GDPR yêu cầu, và sớm hơn khi có thể. Nếu bạn đang ở trong danh sách chờ và không có tài khoản ở đây, những quyền trên vẫn áp dụng cho dòng dữ liệu đó, và support@migrate.fi là cách để bạn sử dụng chúng.

Chúng tôi không đưa ra quyết định tự động nào về bạn gây hậu quả pháp lý hoặc ảnh hưởng nghiêm trọng tương tự (Điều 22). Lộ trình, thẻ nhiệm vụ và các gợi ý do một mô hình tạo ra, nhưng chúng là hướng dẫn để bạn tự hành động. Không có gì ở đây quyết định điều gì về giấy phép của bạn và không có gì từ đây được nộp cho bất kỳ cơ quan nào.

Nếu bạn cho rằng chúng tôi đã xử lý dữ liệu của bạn sai, bạn có thể khiếu nại tới cơ quan giám sát của Phần Lan — Văn phòng Thanh tra Bảo vệ Dữ liệu (Tietosuojavaltuutetun toimisto), tietosuoja.fi. Bạn có thể tới thẳng họ mà không cần hỏi chúng tôi trước.

Cookie đăng nhập là cần thiết: chính nó giữ bạn ở trạng thái đã đăng nhập khi chuyển giữa các trang, và sản phẩm không thể hoạt động nếu thiếu nó. Nó được đặt khi bạn đăng nhập và được xóa khi bạn đăng xuất.

Phân tích lưu lượng — Google Analytics — chỉ được bật nếu bạn đồng ý. Việc từ chối không khiến bạn mất gì, mọi tính năng đều hoạt động trong cả hai trường hợp, và bạn có thể đổi ý sau.

Chúng tôi không dùng cookie quảng cáo. Ngoài phần phân tích lưu lượng, đoạn mã của bên thứ ba trên trang chỉ gồm bước kiểm tra chống bot của Cloudflare trong biểu mẫu danh sách chờ và phần gửi báo cáo lỗi nói trên: cái thứ nhất để giữ cho danh sách không có bot, cái thứ hai để chúng tôi biết khi một trang bị hỏng, và không cái nào để theo dõi bạn.

Khi chúng tôi thay đổi điều gì quan trọng ở đây, chúng tôi sẽ đổi ngày ghi ở đầu trang. Nếu một thay đổi ảnh hưởng đến số phận của dữ liệu chúng tôi đang giữ, chúng tôi sẽ báo cho chủ tài khoản qua email. Chúng tôi sẽ không thay đổi việc mình làm trước rồi mới mô tả sau.