Chính sách Bảo mật

Cập nhật lần cuối: 2026-08-02

Chính sách này mô tả dữ liệu mà SteamVaults ("chúng tôi", "dịch vụ") thu thập, vì sao, và quyền của bạn. Sản phẩm được thiết kế thu thập tối thiểu.

1. Dữ liệu thu thập

Khi bạn đăng nhập qua Steam:

• SteamID64 — số tài khoản Steam công khai.
• Tên persona — tên hiển thị hồ sơ Steam công khai.
• URL avatar — ảnh hồ sơ công khai.
• Địa chỉ IP — được hạ tầng lưu trữ và ngăn chặn lạm dụng xử lý tạm thời để ngăn chặn lạm dụng và giới hạn tần suất yêu cầu; không được lưu trong hồ sơ SteamVaults, dữ liệu phân tích hoặc nhật ký ứng dụng.
• Địa chỉ ví — chỉ khi rút tiền; gắn với bản ghi rút.
• Kết quả sàng lọc lệnh trừng phạt — khi rút, địa chỉ được kiểm tra qua oracle lệnh trừng phạt on-chain công khai đã cấu hình. Chúng tôi chỉ lưu trạng thái kết quả; hiện không tạo hoặc lưu ID giao dịch của nhà cung cấp trả phí.
• Cookie — xem phần Cookie.

Nếu bạn dùng biểu mẫu hỗ trợ công khai mà không đăng nhập Steam, chúng tôi thu thập loại yêu cầu bạn chọn và nội dung chi tiết bạn nhập, cùng với SteamID64 và ID giao dịch Steam chỉ khi bạn tự nguyện cung cấp. Biểu mẫu không có trường riêng cho email, số điện thoại hoặc địa chỉ bưu chính và không yêu cầu các thông tin đó. Tuy nhiên, toàn bộ nội dung bạn nhập vào trường chi tiết tự do được lưu cùng yêu cầu; không nhập thông tin liên hệ, mật khẩu, khóa riêng, cụm từ khôi phục hoặc mã Steam Guard. Địa chỉ IP được xử lý tạm thời để ngăn chặn lạm dụng và giới hạn tần suất yêu cầu, đồng thời không được giữ trong nhật ký ứng dụng SteamVaults.

Với mỗi yêu cầu hỗ trợ công khai, chúng tôi tạo một mã truy cập. Mã gốc chỉ được hiển thị một lần và không được lưu; chúng tôi chỉ lưu hàm băm SHA-256 của mã. Bạn dùng cùng mã đó mỗi khi kiểm tra trạng thái của yêu cầu này.

2. Thông tin chúng tôi không yêu cầu

Chúng tôi không cung cấp trường riêng và không yêu cầu các thông tin dưới đây. Cũng không nhập chúng vào trường chi tiết tự do của hỗ trợ công khai, vì toàn bộ nội dung trường này được lưu cùng yêu cầu:

• Email
• Số điện thoại
• Địa chỉ bưu chính
• Giấy tờ tùy thân do chính phủ cấp
• Tên đầy đủ hợp pháp
• Mật khẩu Steam — Steam OpenID chỉ trả về SteamID64
• Khóa riêng ví hoặc seed phrase
• Mã Steam Guard

Cố ý như vậy: càng ít trường dữ liệu, thiệt hại tiềm tàng khi rò rỉ càng nhỏ.

3. Mục đích

• SteamID64, persona, avatar: xác thực qua Steam OpenID, hiển thị tài khoản.
• Kho Steam (truy vấn trực tiếp, không lưu): báo giá và thực thi giao dịch.
• Địa chỉ IP: xử lý tạm thời để ngăn chặn lạm dụng và giới hạn tần suất yêu cầu; không được giữ trong nhật ký ứng dụng SteamVaults.
• Địa chỉ ví + sàng lọc lệnh trừng phạt: giảm rủi ro trừng phạt và rút tiền. Kiểm tra tự động giới hạn này không được mô tả là một chương trình AML hoặc KYC đầy đủ.
• Bản ghi giao dịch (Steam trade ID, giá trị USD, USDT, mạng, dấu thời gian): vận hành, hỗ trợ tranh chấp, nghĩa vụ lưu trữ.
• Dữ liệu hỗ trợ công khai: xử lý yêu cầu về giao dịch, bảo mật và hỗ trợ chung, đồng thời ngăn chặn lạm dụng.
• Hàm băm SHA-256 của mã truy cập: xác minh quyền xem trạng thái yêu cầu mà không lưu mã gốc.
• Cookie phiên: duy trì phiên.
• Phân tích tùy chọn: cần sự đồng ý rõ ràng. Phân tích nội bộ ghi sự kiện phễu; Google Analytics ghi đường dẫn, tiêu đề trang và số đo trình duyệt/thiết bị. Thẻ Google không tải trước khi bạn đồng ý.

4. Chia sẻ với bên thứ ba

Chỉ với các bên thiết yếu cho vận hành:

• Valve / Steam: SteamID64 được gửi tới endpoint Steam OpenID; API kho/trade của Steam được truy vấn để lấy vật phẩm. Áp dụng chính sách bảo mật của Steam.
• Nhà cung cấp Polygon RPC: địa chỉ được mã hóa trong eth_call chỉ đọc tới oracle trừng phạt on-chain công khai của Chainalysis và, khi xác nhận rút, trong giao dịch Polygon. Hiện không cấu hình API Chainalysis trả phí hay lưu ký sàn.
• Railway lưu trữ ứng dụng, cơ sở dữ liệu, cache và log hạ tầng; Doppler lưu bí mật chạy hệ thống.
• Google Analytics (Google LLC): chỉ sau khi có sự đồng ý rõ ràng mới nhận đường dẫn, tiêu đề trang và số đo trình duyệt/thiết bị. Chúng tôi không gửi tham số URL, SteamID64, địa chỉ ví, URL giao dịch Steam hay dữ liệu phễu nội bộ cho Google. Lưu trữ, tín hiệu và cá nhân hóa quảng cáo đều tắt. Áp dụng Chính sách quyền riêng tư của Google.
• Nhà cung cấp Polygon RPC: khi broadcast rút, địa chỉ đích và giao dịch trở thành dữ liệu công khai on-chain — không thể đảo ngược.

Chúng tôi không bán dữ liệu, không chia sẻ cho quảng cáo, không dùng cho marketing.

5. Thời gian lưu trữ

• Dữ liệu tài khoản (SteamID64, persona, avatar): đến khi hoàn tất yêu cầu xóa đã xác thực, ngoại trừ hồ sơ buộc phải lưu.
• Sự kiện phân tích nội bộ tùy chọn: tự động xóa sau 90 ngày.
• Dữ liệu Google Analytics: được giữ theo cài đặt lưu giữ đã chọn của thuộc tính và chính sách lưu giữ hệ thống áp dụng của Google.
• Bản ghi giao dịch và kiểm tra trừng phạt: chỉ lưu trong thời gian pháp luật áp dụng yêu cầu và cần thiết hợp lý cho kế toán, phòng chống gian lận, tuân thủ lệnh trừng phạt và xử lý tranh chấp. Thời hạn thay đổi theo loại hồ sơ và khu vực pháp lý.
• Dữ liệu hỗ trợ công khai: chỉ lưu trong thời gian cần thiết hợp lý để giải quyết yêu cầu, bảo đảm trách nhiệm giải trình và an toàn của hoạt động hỗ trợ, đồng thời tuân thủ pháp luật áp dụng. Thời hạn thay đổi theo từng yêu cầu.
• Giao dịch on-chain: công khai vĩnh viễn trên blockchain, ngoài tầm kiểm soát của chúng tôi.

Sau khi xóa tài khoản, các bản ghi giao dịch vẫn phải lưu sẽ chịu giới hạn về mục đích và quyền truy cập. SteamVaults hiện không tuyên bố rằng các bản ghi đó được chuyển sang một kho tuân thủ tách biệt về mặt vật lý.

6. Quyền của bạn

Tùy quốc gia, bạn có quyền theo GDPR (EU/UK), PIPA (Hàn Quốc), CCPA (California), LGPD (Brazil) v.v. Chúng tôi tôn trọng các quyền này toàn cầu:

• Truy cập: yêu cầu bản sao dữ liệu cá nhân.
• Sửa đổi: yêu cầu sửa dữ liệu không chính xác (phần lớn từ Steam — sửa ở Steam trước).
• Xóa ("quyền được lãng quên"): yêu cầu xóa tài khoản. Bản ghi giao dịch có thể giữ theo AML.
• Tính khả chuyển: yêu cầu xuất dữ liệu định dạng máy đọc.
• Phản đối/giới hạn: phản đối xử lý nhất định theo căn cứ luật địa phương.

Yêu cầu truy cập hoặc xuất, chỉnh sửa, xóa hay hạn chế xử lý dữ liệu tài khoản phải được thực hiện qua quy trình chính thức trong dịch vụ, với đăng nhập Steam và xác thực lại gần thời điểm gửi yêu cầu. Biểu mẫu hỗ trợ ẩn danh không được dùng để tiết lộ hoặc thay đổi dữ liệu tài khoản. Chúng tôi sẽ xử lý yêu cầu trong thời hạn do pháp luật áp dụng quy định.

Nếu không hài lòng, bạn có thể khiếu nại tới cơ quan bảo vệ dữ liệu nước bạn.

7. Cookie

Dùng cookie phiên thiết yếu, phân tích nội bộ và Google Analytics dựa trên sự đồng ý:

• Cookie phiên — để duy trì đăng nhập. httpOnly, Secure, SameSite=Strict.
• Lưu mã giới thiệu theo chức năng — khi có mã ref hợp lệ, chúng tôi lưu mã đó trong bộ nhớ cục bộ của trình duyệt để gắn vào đăng nhập Steam và ghi nhận một đăng ký thực sự mới. Mã không dùng cho quảng cáo và không cần đồng ý phân tích.
• Phân tích nội bộ tùy chọn — sau khi đồng ý rõ ràng, chúng tôi ghi ID phiên ngẫu nhiên, đường dẫn trang, máy chủ giới thiệu bên ngoài, giá trị UTM, loại thiết bị, thời điểm và ID người dùng nội bộ nếu đã đăng nhập.
• Google Analytics — sau cùng sự đồng ý đó, đo lượt xem bằng đường dẫn và tiêu đề, không gồm tham số URL. Google có thể xử lý dữ liệu mạng, trình duyệt và thiết bị theo chính sách của họ. Lưu trữ, tín hiệu và cá nhân hóa quảng cáo vẫn tắt.
• Kho phân tích nội bộ không lưu IP thô, địa chỉ ví hoặc URL giao dịch Steam. Không tích hợp phân tích nào nhận địa chỉ ví hay URL giao dịch Steam.

Bạn có thể từ chối mà vẫn dùng dịch vụ. Hãy mở Cài đặt cookie ở chân trang bất cứ lúc nào. Chọn Chỉ thiết yếu sẽ dừng phân tích về sau, yêu cầu máy chủ xóa phiên phân tích bên thứ nhất hiện tại cùng các sự kiện của phiên đó, và gửi trạng thái từ chối phân tích đến Google. Dữ liệu tài khoản và giao dịch phải dùng quy trình yêu cầu dữ liệu có xác thực riêng.

8. Trẻ em

Dịch vụ không dành cho người dưới 18 tuổi. Nếu nghi ngờ có trẻ vị thành niên sử dụng, liên hệ hỗ trợ.

9. Chuyển dữ liệu quốc tế

Hạ tầng có thể đặt ngoài quốc gia bạn:

• Steam: máy chủ toàn cầu
• Railway, Doppler, Google Analytics, Polygon RPC và hạ tầng cloud khác có thể xử lý dữ liệu ngoài quốc gia; blockchain Polygon công khai được sao chép toàn cầu.
• RPC blockchain: toàn cầu

Khi pháp luật yêu cầu (ví dụ Chương V GDPR), chúng tôi dùng Điều khoản Hợp đồng Tiêu chuẩn hoặc cơ chế tương đương.

10. An ninh

Chúng tôi sử dụng TLS cho dữ liệu đang truyền, hạn chế quyền truy cập nội bộ, che thông tin nhạy cảm trong nhật ký ứng dụng và giám sát dịch vụ để phát hiện dấu hiệu bảo mật hoặc lạm dụng. Khi có sự cố ảnh hưởng dữ liệu, chúng tôi sẽ thông báo trong thời hạn pháp luật yêu cầu.

11. Thay đổi

Thay đổi quan trọng được thông báo trước ít nhất 14 ngày.