Cập nhật cuối cùng: 12 tháng 10 2026.
1. Chúng tôi là ai
AstroWay API - dịch vụ tính toán chiêm tinh, hoạt động tại api.astroway.info. Quyền tài phán của nhà điều hành - Ukraine. Đối với các yêu cầu GDPR/DPA và các vấn đề privacy khác, viết email tới api@astroway.info với tiêu đề “GDPR” hoặc “DPA”.
2. Dữ liệu chúng tôi thu thập
2.1 Dữ liệu tài khoản
- Địa chỉ email (để đăng ký và giao tiếp).
- Mật khẩu đã băm.
- Gói tarif đã chọn.
2.2 Dữ liệu yêu cầu API
- Tham số yêu cầu (ngày, giờ, tọa độ) được xử lý trong bộ nhớ và không được ghi vào nhật ký yêu cầu. Để tính kredit, chúng tôi chỉ lưu các bộ đếm hàng ngày: khóa, endpoint, ngày, số lượng yêu cầu và kredit.
- Chúng tôi KHÔNG lưu tên, thành phố hoặc bất kỳ dữ liệu nhận dạng nào của người dùng cuối của ứng dụng của bạn. Các trường này là tùy chọn và chỉ được xử lý trong bộ nhớ.
2.3 AI-endpoint (audit log)
- Đối với
/interpret/*và/horoscope/*: các tham số đầu vào (ngày, tọa độ) và văn bản được tạo ra được lưu trong 90 ngày cho audit trail và chất lượng dịch vụ. - Địa chỉ IP được lưu dưới dạng băm SHA-256 (không thể đảo ngược): cho rate limiting và anti-abuse.
2.4 Dữ liệu kỹ thuật
- Địa chỉ IP (SHA-256 có muối và 16 bit đầu), User-Agent, origin, vị trí sơ bộ theo IP (quốc gia, thành phố, mạng), thời gian yêu cầu: nhật ký yêu cầu, xoay vòng 30 ngày.
3. Cách chúng tôi sử dụng dữ liệu
- Cung cấp dịch vụ: thực hiện tính toán, tính kredit, rate limiting.
- Chất lượng nội dung AI: phân tích audit log để cải thiện system prompts và safety filters.
- Giao tiếp: thông báo về thay đổi dịch vụ, sự cố SLA, cập nhật điều khoản.
- Anti-abuse: phát hiện lạm dụng free-tier và các cuộc tấn công.
Chúng tôi KHÔNG:
- Bán dữ liệu của bạn cho bên thứ ba.
- Sử dụng dữ liệu cho quảng cáo nhắm mục tiêu.
- Chuyển dữ liệu tính toán cho người dùng khác.
4. Lưu trữ và bảo vệ
- Dữ liệu được lưu trên máy chủ riêng tại Châu Âu (Đức, Hetzner).
- Kết nối tới API: chỉ qua HTTPS, HTTP sẽ được chuyển hướng.
- Mật khẩu được băm bằng bcrypt.
- Địa chỉ IP được lưu dưới dạng băm SHA-256 có muối.
- Truy cập cơ sở dữ liệu: chỉ qua localhost (không mở ra bên ngoài).
5. Lưu trữ dữ liệu (retention)
| Loại dữ liệu | Thời gian lưu trữ |
|---|---|
| Tài khoản | Đến khi xóa tài khoản |
| Bộ đếm hàng ngày (khóa, endpoint, số lượng, kredit) | 365 ngày |
| AI audit log | 90 ngày |
| Nhật ký yêu cầu (không có tham số) | 30 ngày |
6. Quyền của bạn (GDPR)
Là chủ thể dữ liệu, bạn có quyền:
- Truy cập: yêu cầu bản sao của tất cả dữ liệu của bạn qua Dashboard hoặc email.
- Xóa: xóa tài khoản và mọi dữ liệu liên quan qua Dashboard hoặc email.
- Sửa chữa: cập nhật email hoặc hồ sơ qua Dashboard.
- Di chuyển: xuất dữ liệu ở định dạng JSON.
- Đối kháng: từ chối xử lý dữ liệu cho mục đích marketing (chúng tôi không làm marketing).
Để thực hiện các quyền, liên hệ: api@astroway.info. Trả lời trong vòng 30 ngày.
7. Cookies
AstroWay API không sử dụng cookies. Dashboard sử dụng:
- Session token (localStorage): để xác thực. Được xóa khi đăng xuất.
8. Bên thứ ba
- Nhà cung cấp AI: các LLM hàng đầu (Google Gemini, Groq, OpenRouter, Mistral và các khác) được định tuyến qua AI-gateway riêng của chúng tôi với multi-provider failover. Chỉ nhận bản đồ tính toán (các dấu, nhà, khía cạnh). Ngày, giờ, tọa độ, tên hoặc nơi sinh từ yêu cầu của bạn không được gửi tới họ. Mỗi nhà cung cấp có chính sách bảo mật riêng.
- Cloudflare: CDN và bảo vệ DDoS. Xử lý các yêu cầu HTTP trước khi định tuyến tới máy chủ của chúng tôi. EU/global edge.
- Hetzner: hosting VPS trong EU.
- Nhà cung cấp SMTP (Brevo cho email giao dịch): gửi thư dịch vụ - xác nhận, đặt lại mật khẩu, thông báo về việc sử dụng.
- Nhà cung cấp thanh toán: Monobank (AT “Universal Bank”, Ukraine), từ tháng 10 2026 còn có LiqPay (AT KB “PrivatBank”, Ukraine). Nhận dữ liệu thanh toán của chủ tài khoản. Họ không bao giờ thấy dữ liệu sinh nhật: họ không liên quan tới API.
Danh sách các subprocess trong DPA ngắn hơn danh sách này cố ý: chỉ bao gồm Hetzner và Cloudflare, tức là những người qua đó dữ liệu từ các yêu cầu API của bạn đi qua. Các nhà cung cấp thanh toán và email xử lý dữ liệu tài khoản của bạn, trong đó chúng tôi là controller, không phải bạn, vì vậy họ có vị trí ở đây, không phải trong hợp đồng xử lý.
8.1. Truy cập từ Ukraine
Dữ liệu được lưu và tính toán ở Đức, nhưng chúng tôi quản trị các hệ thống này từ Ukraine. Điều V GDPR coi đây là chuyển giao sang quốc gia thứ ba và truy cập từ xa, ngay cả khi không có dữ liệu nào được sao chép ra ngoài EU, và Ủy ban Châu Âu chưa đưa ra quyết định về mức độ phù hợp cho Ukraine. Vì vậy chúng tôi không viết “không có chuyển giao xuyên biên giới”: truy cập tồn tại, được giới hạn bởi nhà vận hành, diễn ra qua SSH có khóa, và theo yêu cầu của khách hàng chúng tôi ký các Standard Contractual Clauses của Ủy ban Châu Âu.
9. Thay đổi
Các thay đổi đáng kể đối với chính sách này sẽ được thông báo qua email trong vòng 30 ngày.
10. Liên hệ
Câu hỏi về bảo mật: api@astroway.info