Chính sách lưu trữ và tiêu hủy dữ liệu sinh trắc học

Cập nhật lần cuối: 12 tháng 10 năm 2026

Đây là lịch trình lưu trữ và tiêu hủy dữ liệu sinh trắc học bằng văn bản mà Chính sách quyền riêng tư của chúng tôi dẫn chiếu đến. Chính sách này áp dụng cho tất cả những ai bắt đầu bước kiểm tra khuôn mặt xác nhận người thật trong Dịch vụ, dù họ ở đâu. Dịch vụ là ứng dụng và trang web Cộng hòa Thế giới, bao gồm cả chính ứng dụng đó khi được cung cấp dưới tên Raised by Humanity. Mục 1 của Chính sách quyền riêng tư nêu rõ Dịch vụ bao gồm những trang web nào, và chính sách này dùng đúng nghĩa đó. Chính sách này được công bố để bạn có thể yêu cầu chúng tôi tuân thủ, và để đáp ứng các luật đòi hỏi phải có một lịch trình công khai thuộc loại này.

1. Phạm vi của chính sách này

Bước kiểm tra khuôn mặt — bước kiểm tra khuôn mặt xác nhận người thật được mô tả tại Mục 4 của Chính sách quyền riêng tư — tạo ra hai loại dữ liệu sinh trắc học, cả hai đều do Amazon Web Services (AWS) lưu trữ tại khu vực EU (Ireland) của mình, thay mặt chúng tôi:

• Một hình ảnh khuôn mặt tham chiếu từ phiên kiểm tra khuôn mặt của bạn, được lưu trong Amazon S3.
• Một vectơ khuôn mặt (mẫu sinh trắc học) được tạo ra từ hình ảnh đó, lưu trong một bộ sưu tập Amazon Rekognition và liên kết với tài khoản của bạn. Bộ sưu tập này là thứ cho phép chúng tôi kiểm tra rằng cùng một khuôn mặt không được dùng để xác minh cho một tài khoản thứ hai.

“Dữ liệu sinh trắc học” trong chính sách này là cả hai loại dữ liệu nói trên, cùng với các bản ghi nội bộ trong cơ sở dữ liệu của chúng tôi trỏ đến chúng (các bản ghi phiên của những lần kiểm tra khuôn mặt của bạn).

Chính sách này không áp dụng cho kết quả của một lần kiểm tra. Việc tài khoản của bạn có được xác minh hay không, và bản ghi về việc khuôn mặt của bạn khớp với một tài khoản khác và việc xác minh bị từ chối (tài khoản nào, và điểm tương đồng), là các bản ghi tài khoản thông thường và được xử lý như mô tả trong Chính sách quyền riêng tư.

Các thời hạn của chính sách này không áp dụng cho một bản ghi. Nhật ký kiểm toán bảo mật của các tài khoản đám mây của chúng tôi ghi lại yêu cầu thêm khuôn mặt của bạn vào bộ sưu tập, và mục ghi đó ghi nhận vị trí của mắt, mũi và miệng bạn trong hình ảnh tham chiếu và góc nghiêng đầu của bạn — không bao giờ ghi lại hình ảnh hay mẫu. Chúng tôi coi các vị trí đó là dữ liệu sinh trắc học. Mục ghi đó được giữ trong thời hạn mà Mục 8 của Chính sách quyền riêng tư quy định cho nhật ký kiểm toán bảo mật, thời hạn này có thể dài hơn các thời hạn trong chính sách này, và việc tiêu hủy dữ liệu sinh trắc học khác của bạn không gỡ bỏ mục ghi đó. Chúng tôi không bao giờ sử dụng các vị trí đó.

2. Khi nào dữ liệu sinh trắc học được tiêu hủy

Chúng tôi chỉ lưu trữ dữ liệu sinh trắc học trong thời gian cần thiết để xác minh rằng bạn là một người thật, duy nhất và đang có mặt trực tiếp, và để ngăn các tài khoản bỏ phiếu trùng lặp. Dữ liệu này được tiêu hủy vĩnh viễn vào thời điểm sớm nhất trong các mốc sau:

1. Khi tài khoản bị xóa. Điều này áp dụng cho cả việc bạn tự xóa tài khoản trong Dịch vụ và việc chúng tôi tự tay đóng tài khoản — theo Điều khoản sử dụng, hoặc vì chúng tôi biết được chủ tài khoản chưa đủ 18 tuổi. Khác biệt giữa hai trường hợp là cách việc tiêu hủy bắt đầu. Việc bạn tự xóa tài khoản trong Dịch vụ sẽ khởi động việc tiêu hủy một cách tự động: nó tiêu hủy các hình ảnh tham chiếu và vectơ khuôn mặt của bạn như một phần của chính việc xóa tài khoản — ngay lập tức, hoặc, nếu một cuộc bầu cử thử nghiệm mà bạn đã bỏ phiếu kết thúc trong vòng mười bốn ngày tới, thì vào lúc cuộc bầu cử đó kết thúc. Một cuộc bầu cử kết thúc muộn hơn mười bốn ngày kể từ lúc bạn thao tác thì hoàn toàn không trì hoãn việc tiêu hủy; lý do được nêu tại Mục 4.5 của Chính sách quyền riêng tư. Với việc chúng tôi tự tay đóng tài khoản, trong Dịch vụ không có màn hình nào khởi động việc tiêu hủy, nên chúng tôi tự ghi nhận nghĩa vụ tiêu hủy, và điều đó có thể khiến việc tiêu hủy bắt đầu chậm hơn. Khi một nghĩa vụ tiêu hủy đã được ghi nhận, việc tiêu hủy sẽ được thực hiện tự động, và được thử lại tự động mỗi ngày cho đến khi thành công. Điều này đúng với cả việc bạn xóa tài khoản và việc chúng tôi đóng tài khoản. Đây cũng là điều xảy ra nếu việc tiêu hủy không hoàn tất được ngay tại thời điểm bạn xóa tài khoản: tài khoản của bạn vẫn bị xóa, và nghĩa vụ tiêu hủy được ghi nhận.
2. Khi bạn rút lại sự đồng ý hoặc yêu cầu chúng tôi xóa dữ liệu đó. Việc bạn rút lại sự đồng ý trong Dịch vụ (Mục 4.4 của Chính sách quyền riêng tư cho biết ở đâu), và một yêu cầu gửi đến địa chỉ liên hệ nêu trong Chính sách quyền riêng tư, được xử lý theo cùng cách như việc xóa tài khoản ở mục 1, với một khác biệt: nếu một lần tiêu hủy đang chờ mà chưa chạy và bạn hoàn tất một lần kiểm tra khuôn mặt mới, thì lần kiểm tra mới đó là một sự đồng ý mới và lần tiêu hủy đang chờ sẽ bị hủy bỏ. Việc xóa tài khoản thì không bao giờ bị hủy bỏ theo cách này.
3. Ba năm sau lần tương tác gần nhất của bạn với Dịch vụ. Ba năm sau lần tương tác gần nhất mà các bản ghi của chúng tôi cho thấy — một lần bỏ phiếu, một lệnh rút WDD, một lần thử xác minh, một lần chỉnh sửa đảng mà bạn đã đăng ký, hoặc một phiên đăng nhập chưa kết thúc — một tác vụ tự động sẽ tiêu hủy dữ liệu sinh trắc học của bạn và gỡ bỏ trạng thái đã xác minh của bạn. Ngoài những trường hợp đó, bản thân việc đăng nhập và đăng xuất không được ghi lại. Các khoản tiền thưởng được trao cho bạn không được tính là một lần tương tác. Tài khoản, số dư và các lá phiếu bạn đã bỏ trước đây không bị ảnh hưởng. Nếu bạn quay lại, bạn có thể xác minh lại bằng một lần kiểm tra khuôn mặt mới.
4. Khi mục đích thu thập dữ liệu đã được đáp ứng. Mục đích đó là xác minh rằng bạn là một người thật, duy nhất và đang có mặt trực tiếp, và ngăn không cho cùng một khuôn mặt xác minh cho một tài khoản thứ hai. Mục đích này kéo dài chừng nào tài khoản còn tồn tại, vì vectơ khuôn mặt là thứ duy nhất có thể nhìn thấy việc một tài khoản thứ hai được mở bằng cùng một khuôn mặt. Khi mục đích đó chấm dứt, dữ liệu được tiêu hủy.
5. Sớm hơn, nếu pháp luật yêu cầu.

Chúng tôi không lưu trữ dữ liệu sinh trắc học quá ba năm kể từ lần tương tác gần nhất của bạn, trừ mục ghi trong nhật ký bảo mật được mô tả ở Mục 1.

Ba năm là thời hạn chung cho mọi người, và một số luật quy định mức tối đa ngắn hơn. Bang Colorado yêu cầu dữ liệu sinh trắc học phải được tiêu hủy không muộn hơn 24 tháng sau lần tương tác gần nhất của bạn. Chúng tôi không hỏi bạn sống ở đâu, nên tự bản thân tác vụ tự động nói trên không áp dụng được thời hạn ngắn hơn cho bạn. Bạn không phải chờ tác vụ đó. Bạn có thể tự tiêu hủy dữ liệu sinh trắc học của mình bất cứ lúc nào mà không cần xóa tài khoản — Mục 4.4 của Chính sách quyền riêng tư cho biết nơi làm việc đó trong Dịch vụ — và bạn có thể yêu cầu chúng tôi tiêu hủy dữ liệu đó tại địa chỉ nêu ở Mục 7.

3. Việc tiêu hủy được thực hiện như thế nào

Tiêu hủy nghĩa là xóa dữ liệu, chứ không phải đánh dấu là không còn dùng đến:

• Các hình ảnh tham chiếu được xóa khỏi Amazon S3, ở mọi phiên kiểm tra khuôn mặt của bạn.
• Vectơ khuôn mặt được xóa khỏi bộ sưu tập Amazon Rekognition, và mục của tài khoản trong bộ sưu tập đó cũng bị gỡ theo.
• Các bản ghi nội bộ từng trỏ đến chúng được xóa khỏi cơ sở dữ liệu của chúng tôi. Ngoại lệ duy nhất là bản ghi về việc khuôn mặt của bạn khớp với một tài khoản khác và việc xác minh bị từ chối (tài khoản nào, và điểm tương đồng); nếu tài khoản của bạn vẫn còn mở, bản ghi đó được giữ lại như một bản ghi tài khoản với phần tham chiếu hình ảnh đã bị gỡ bỏ; khi tài khoản bị xóa, bản ghi đó được xóa cùng với phần còn lại.

Nếu bất kỳ bước nào thất bại, tài khoản sẽ được đánh dấu và tác vụ sẽ thử lại bước đó hằng ngày. Một lần kiểm tra khuôn mặt mà dữ liệu bị tiêu hủy theo lịch trình không hoạt động nêu trên cũng mất trạng thái đã xác minh của nó ngay tại thời điểm đó, để không tài khoản nào có thể bỏ phiếu dựa trên một khuôn mặt mà bước kiểm tra trùng lặp không còn nhìn thấy được nữa.

Độc lập với lịch trình nêu trên, cũng chính tác vụ chạy hằng ngày đó sẽ gỡ bỏ mọi vectơ khuôn mặt không còn liên kết với tài khoản nào, để không có gì sót lại trong bộ sưu tập một cách tình cờ.

4. Hình ảnh được xem khi có yêu cầu

Nếu khuôn mặt của bạn khớp với một tài khoản khác, việc xác minh bị từ chối tự động và không có người nào xem các hình ảnh đó. Bạn có thể yêu cầu chúng tôi để một người xem xét quyết định đó; Chính sách quyền riêng tư nêu rõ cách thực hiện. Nếu bạn yêu cầu, người đó sẽ mở hình ảnh tham chiếu từ lần kiểm tra của bạn và hình ảnh được lưu cho tài khoản đã khớp — chỉ khi cả hai vẫn còn, vì một trong hai có thể đã được tiêu hủy theo lịch trình nêu trên. Đó chính là những hình ảnh tham chiếu được mô tả ở trên, chúng được tiêu hủy theo cùng lịch trình đó, và không bản sao nào được giữ lại sau khi người đó đã xem.

5. Nhà cung cấp dịch vụ

AWS lưu trữ và xử lý dữ liệu sinh trắc học thay mặt chúng tôi và theo chỉ dẫn của chúng tôi, như mô tả trong Chính sách quyền riêng tư. Các phiên kiểm tra khuôn mặt của chúng tôi được cấu hình sao cho AWS không giữ lại hình ảnh kiểm toán nào từ các phiên đó.

Chúng tôi đã thiết kế một bước chuyển lên cấp cao hơn tới nhà cung cấp thứ hai là Didit, để kiểm tra giấy tờ tùy thân trong trường hợp bước kiểm tra khuôn mặt từ chối nhầm một người. Bước chuyển lên cấp cao hơn đó không được cung cấp. Dịch vụ không có màn hình nào khởi động một lần kiểm tra như vậy, và yêu cầu vốn sẽ khởi động một lần kiểm tra như vậy thì luôn bị từ chối. Didit không nắm giữ dữ liệu sinh trắc học hay dữ liệu định danh nào của chúng tôi. Vì không bắt đầu được lần kiểm tra nào, nên tại Didit không có gì để một lần xóa tài khoản chạm tới và không có gì để hỏi.

Nếu bước chuyển lên cấp cao hơn này có bao giờ được cung cấp, Chính sách quyền riêng tư sẽ nêu rõ các điều kiện theo đó Didit có thể lưu trữ dữ liệu của bạn và phải xóa dữ liệu đó, còn chính sách này sẽ nêu rõ lịch trình tiêu hủy tại Mục 2 áp dụng cho dữ liệu đó như thế nào. Chúng tôi sẽ công bố cả hai thay đổi đó trước khi thực hiện bất kỳ lần kiểm tra nào như vậy.

6. Thay đổi đối với chính sách này

Nếu chúng tôi thay đổi thời hạn lưu trữ hoặc phương thức tiêu hủy, chúng tôi sẽ công bố thay đổi đó trên trang này và sửa lại ngày “Cập nhật lần cuối” ở trên trước khi thay đổi có hiệu lực. Trang này là thông báo duy nhất mà chúng tôi có thể đưa ra: chúng tôi không lưu địa chỉ email, số điện thoại hay địa chỉ bưu chính nào của bạn từ việc đăng nhập, một địa chỉ bạn đã cung cấp trong một báo cáo về một đảng chỉ được dùng cho báo cáo đó chứ không cho việc gì khác, và trong Dịch vụ không có biểu ngữ hay tin nhắn nào — Mục 13 của Chính sách quyền riêng tư giải thích lý do. Thời hạn lưu trữ ngắn hơn có thể được áp dụng ngay lập tức. Thời hạn lưu trữ dài hơn không được áp dụng cho dữ liệu mà chúng tôi đang nắm giữ cho đến khi thay đổi đó đã được công bố trên trang này đủ 30 ngày.

Chính sách này được viết bằng tiếng Anh, và chúng tôi công bố chính sách này bằng các ngôn ngữ khác. Bản áp dụng cho bạn là bản bằng ngôn ngữ mà Dịch vụ đã hiển thị cho bạn. Khi bản đó và văn bản tiếng Anh khác nhau, cách hiểu có lợi hơn cho bạn sẽ được áp dụng.

7. Liên hệ

Các câu hỏi về chính sách này và các yêu cầu liên quan đến dữ liệu sinh trắc học của bạn được gửi đến địa chỉ liên hệ nêu trong Chính sách quyền riêng tư.