Chính sách quyền riêng tư

Cập nhật lần cuối: 21 tháng 10 năm 2026

1. Chúng tôi là ai

Cộng hòa Thế giới (“Cộng hòa Thế giới”, “chúng tôi”) vận hành ứng dụng và trang web Cộng hòa Thế giới tại https://www.worldrepublic.org (“Dịch vụ”). Cùng ứng dụng đó còn được cung cấp dưới một tên thứ hai, Raised by Humanity, tại https://www.raisedbyhumanity.org. Trang đó chạy cùng phần mềm, dùng cùng tài khoản và cùng cơ sở dữ liệu, và do chúng tôi vận hành. Trong chính sách này, “Dịch vụ” có nghĩa là cả hai trang, và chính sách này áp dụng cho cả hai. Cộng hòa Thế giới là một hiệp hội Thụy Sĩ (Verein) theo Điều 60 và các điều tiếp theo của Bộ luật Dân sự Thụy Sĩ, có trụ sở tại Zug, Thụy Sĩ. Hiệp hội có tư cách pháp nhân theo Điều 60(1) của Bộ luật Dân sự và không được ghi vào sổ đăng ký thương mại. Dịch vụ do ban điều hành của chúng tôi quản lý từ Hungary, nên đối với Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu (GDPR), Cộng hòa Thế giới có cơ sở tại Liên minh châu Âu, và cơ quan giám sát chính của chúng tôi ở đó là Cơ quan Quốc gia Hungary về Bảo vệ Dữ liệu và Tự do Thông tin (NAIH).

Đối với phần lớn hoạt động xử lý được mô tả dưới đây, chúng tôi là bên kiểm soát dữ liệu. Đối với việc xác minh danh tính, chúng tôi là bên kiểm soát và Amazon Web Services đóng vai trò bên xử lý dữ liệu / nhà cung cấp dịch vụ của chúng tôi. Một nhà cung cấp thứ hai, Didit, được nêu tên dưới đây cho một lộ trình chuyển lên cấp cao hơn hiện không được cung cấp — xem Mục 4.2.

• Liên hệ về quyền riêng tư: privacy@worldrepublic.org
• Liên hệ tại Liên minh châu Âu: Balázs Kónya, thành viên ban điều hành, 3626 Hangony, Dózsa György út 5., Hungary (privacy@worldrepublic.org)

2. Phạm vi áp dụng

Chính sách này áp dụng cho tất cả những ai sử dụng Dịch vụ, trên toàn thế giới. Ở nơi luật địa phương cho bạn thêm các quyền khác — bao gồm GDPR của Liên minh châu Âu và của Vương quốc Anh, Luật Liên bang Thụy Sĩ về Bảo vệ Dữ liệu phiên bản sửa đổi (revFADP), Đạo luật Quyền riêng tư của Người tiêu dùng California đã được CPRA sửa đổi, và các luật về sinh trắc học của các bang Hoa Kỳ (BIPA của Illinois, CUBI của Texas, Washington) — các quyền đó được mô tả ở Mục 10.

Cộng hòa Thế giới hiện tổ chức các cuộc bầu cử thử nghiệm không có giá trị ràng buộc. Chúng tôi chưa kết nạp thành viên; việc tham gia mang tính thử nghiệm.

3. Thông tin chúng tôi thu thập

3.1 Thông tin bạn cung cấp

• Thông tin tài khoản: nếu bạn đăng nhập bằng Google, chúng tôi nhận được một token xác thực và mã định danh tài khoản Google của bạn. Chúng tôi giữ mã định danh — đây là thứ liên kết tài khoản của bạn với việc đăng nhập bằng Google. Chúng tôi không lưu tên, email hay ảnh Google của bạn, và chúng tôi không giữ token, vốn có chứa những thông tin đó.
• Thông tin xác thực khóa truy cập: nếu bạn dùng khóa truy cập (WebAuthn), chúng tôi lưu thông tin xác thực khóa công khai, một mã định danh và siêu dữ liệu thiết bị cần thiết để xác thực bạn.
• Thông tin hồ sơ: một tên người dùng, do chúng tôi tạo khi tài khoản của bạn được tạo và bạn có thể đổi bất cứ lúc nào trong phần cài đặt tài khoản. Tên người dùng của bạn được công bố ở mọi nơi bạn xuất hiện trong Dịch vụ — xem Mục 6 — nên nếu bạn đặt nó thành tên thật của mình thì tên thật của bạn chính là thứ được công bố. Chúng tôi cũng tạo một mã mời cho mỗi tài khoản; không có gì trong Dịch vụ sử dụng mã đó.
• Nội dung bạn tạo ra: tên đảng, phần mô tả và các liên kết.
• Báo cáo về một đảng: nếu bạn báo cáo mục của một đảng trong danh sách công khai, chúng tôi giữ lại đảng nào, bạn đã chọn căn cứ nào, bạn đã viết gì, và thời điểm. Với hầu hết các căn cứ, chúng tôi còn hỏi tên và một địa chỉ email của bạn, vì chính luật buộc chúng tôi phải tiếp nhận báo cáo của bạn cũng buộc chúng tôi xác nhận là đã nhận được báo cáo và cho bạn biết chúng tôi đã quyết định thế nào — và chúng tôi không có cách nào khác để liên hệ với bạn. Với một căn cứ, chúng tôi không hỏi cả hai và cũng không giữ cả hai: báo cáo rằng nội dung là nội dung xâm hại tình dục trẻ em. Nếu bạn đang đăng nhập, chúng tôi còn ghi lại tài khoản nào đã gửi báo cáo. Đây là nơi duy nhất chúng tôi giữ một địa chỉ email do bạn cung cấp; Mục 8 cho biết giữ trong bao lâu, và Mục 10.1 cho biết chúng tôi dùng và không dùng nó vào việc gì.
• Xác nhận độ tuổi: rằng bạn đã xác nhận mình từ 18 tuổi trở lên, và vào lúc nào. Chúng tôi hỏi điều này một lần, trước khi xác minh danh tính. Chúng tôi không hỏi ngày sinh của bạn và không lưu ngày sinh nào — chỉ lưu rằng bạn đã đưa ra xác nhận, mốc tuổi mà xác nhận đó đối chiếu, và thời điểm.
• Kết quả xét duyệt đảng của bạn: việc xét duyệt tự động ở Mục 5.1 đã liệt kê đảng của bạn theo mặc định hay đã gạt ra thành spam, căn cứ mà nó đưa ra, lần kiểm tra nào trong hai lần kiểm tra của nó (hoặc người nào) đã quyết định, mô hình nào đã quyết định trong trường hợp một mô hình quyết định, và vào lúc nào.
• Việc đảng của bạn có nêu lập trường về AI hay không: tên hoặc phần mô tả của đảng có nêu lập trường về trí tuệ nhân tạo hay không, theo cách việc xét duyệt ở Mục 5.2 đọc chúng; dòng mà nó đưa ra, có thể trích lại chính lời bạn viết; thứ đã đưa ra câu trả lời (bộ phân loại tự động hoặc một người); mô hình nào, trong trường hợp một mô hình trả lời; và vào lúc nào.
• Quyết định gỡ đảng của bạn xuống: tách biệt với việc xét duyệt ở trên, một đảng có nội dung mà chúng tôi đánh giá là trái pháp luật có thể bị đưa hẳn ra khỏi danh sách công khai — trang của đảng đó không còn mở ra với bất kỳ ai, không tìm thấy được, và không nhận được phiếu bầu. Đây là một biện pháp khác và nặng hơn nhiều so với kết quả xét duyệt ở trên, vốn chỉ ảnh hưởng đến việc một đảng có được liệt kê theo mặc định hay không. Khi chúng tôi làm việc đó, chúng tôi giữ lại ngày tháng, cơ sở pháp lý mà chúng tôi dựa vào, lý do bằng văn bản của chính chúng tôi về việc vì sao cơ sở đó áp dụng cho đảng của bạn, việc báo cáo của ai đó hay chính việc xét duyệt của chúng tôi đã dẫn đến quyết định, và một nhãn chỉ người đã quyết định. Bạn được cho xem tất cả những điều đó trừ điều cuối cùng, trong Dịch vụ, trên chính trang đảng của bạn — trang này vẫn mở ra với bạn dù không còn mở ra với ai khác. Chúng tôi không nêu tên cá nhân đã quyết định, và không cho bạn biết ai đã báo cáo bạn, nếu có ai đó đã làm vậy.
• Ghi nhận việc bỏ phiếu: rằng bạn đã bỏ phiếu trong một cuộc bầu cử thử nghiệm nhất định, và vào lúc nào. Không ghi bạn đã bỏ phiếu cho đảng nào. Trong chính sách này, lá phiếu của bạn là lựa chọn bạn đưa ra trong một cuộc bầu cử thử nghiệm. Lá phiếu của bạn là riêng tư: lựa chọn của bạn được cộng vào tổng số của đảng đó và không được lưu cùng tài khoản của bạn. Ngoài phần xác nhận mà chính thiết bị của bạn hiển thị khi bạn bỏ phiếu, không có màn hình nào trong Dịch vụ cho thấy bạn đã bỏ phiếu ra sao, và chúng tôi không công bố điều đó. Trong một số trường hợp, người có quyền truy cập trực tiếp vào cơ sở dữ liệu của chúng tôi (Mục 11), hoặc vào một bản sao của cơ sở dữ liệu đó, vẫn có thể liên kết một lá phiếu với người đã bỏ lá phiếu đó. Mục 5.3 cho biết khi nào, và trong bao lâu.
• Chi tiết giao dịch: khi bạn rút WDD — địa chỉ ví nhận, số tiền và mạng lưới đã chọn.

3.2 Xác minh danh tính và dữ liệu sinh trắc học

Để giữ cho các cuộc bầu cử thử nghiệm công bằng (một người đã xác minh, một lá phiếu) và để ngăn gian lận cùng tài khoản trùng lặp, chúng tôi xác minh rằng bạn là một người thật, duy nhất và đang có mặt trực tiếp. Xem Mục 4 để có phần giải thích đầy đủ, riêng biệt về dữ liệu sinh trắc học — hãy đọc kỹ mục đó.

3.3 Thông tin được thu thập tự động

• Thông tin thiết bị và nhật ký: loại thiết bị và trình duyệt, hệ điều hành, và các dữ liệu kỹ thuật tương tự.
• Địa chỉ IP: chúng tôi xử lý địa chỉ IP của bạn để áp dụng giới hạn tần suất và ngăn hành vi lạm dụng (lưu trong thời gian ngắn ở dữ liệu giới hạn tần suất của chúng tôi). Chúng tôi cũng lưu địa chỉ IP và chuỗi user-agent của trình duyệt như một phần của hồ sơ đồng ý khi bạn lần đầu đồng ý với Điều khoản của chúng tôi và xác nhận đã đọc chính sách này, hoặc khi bạn đưa ra sự đồng ý về sinh trắc học, làm bằng chứng cho việc bạn đã đồng ý với Điều khoản hoặc đã đưa ra sự đồng ý đó. Địa chỉ IP và chuỗi user-agent của trình duyệt của bạn cũng được ghi lại trong các bản ghi bảo mật mô tả ở Mục 8: khi thiết bị của bạn bắt đầu bước kiểm tra có mặt trực tiếp trong một lần kiểm tra khuôn mặt, và mỗi lần bạn tải xuống các ảnh kiểm tra khuôn mặt của mình.
• Thông tin sử dụng: các tính năng đã dùng và các thao tác đã thực hiện trong Dịch vụ.
• Bản sao dữ liệu của bạn: khi bạn tải xuống tệp máy đọc được mô tả ở Mục 10.1, hoặc các ảnh kiểm tra khuôn mặt của bạn, chúng tôi ghi lại rằng một bản sao đã được tạo, vào lúc nào, đó là thứ nào trong hai thứ ấy, và bản sao đó mang theo những phần nào của hồ sơ (đối với các ảnh, là phần xác minh mà chúng thuộc về). Đối với các ảnh, bản ghi được tạo khi việc tải xuống bắt đầu, nên một lần tải xuống sau đó thất bại trên thiết bị của bạn vẫn xuất hiện trong danh sách và vẫn được tính vào giới hạn. Chúng tôi giữ lại việc này để mọi thiết bị bạn đang đăng nhập đều đọc cùng một danh sách — đó là cách duy nhất chúng tôi có để cho bạn biết rằng một ai đó dùng phiên đăng nhập của bạn đã lấy một bản sao của mọi thứ, vì chúng tôi không giữ địa chỉ nào để báo cho bạn. Việc đọc bản sao trên màn hình thì không được ghi lại; thứ mà danh sách này ghi nhận là bản sao rời khỏi thiết bị.

3.4 Cookie và bộ nhớ cục bộ

Chúng tôi chỉ dùng cookie và bộ nhớ cục bộ thuộc loại thiết yếu hoặc loại chức năng:

• Xác thực và bảo mật (cookie phiên đăng nhập và cookie liên kết tài khoản).
• Tùy chọn (ví dụ ngôn ngữ bạn đã chọn).
• Trạng thái chức năng (ví dụ quay lại trang sau khi xác minh).
• Một bản sao màn hình tài khoản của bạn, được giữ lại để Dịch vụ dựng lại màn hình đó ngay khi bạn quay lại. Bản sao đó chứa đúng những gì màn hình ấy hiển thị: số dư WDD của bạn, các giao dịch gần đây của bạn — gồm cả địa chỉ ví nhận và mạng lưới của từng lệnh rút bạn đã thực hiện — và việc tài khoản của bạn đã được xác minh hay lần kiểm tra khuôn mặt của bạn đã bị từ chối. Khi bạn đăng xuất, bản sao đó được thay bằng một bản trống. Cho đến khi bạn đăng xuất, nó vẫn nằm trên thiết bị, nên hãy đăng xuất nếu người khác cũng dùng thiết bị đó.

Chúng tôi không dùng cookie quảng cáo, và chúng tôi không chạy SDK quảng cáo hay SDK theo dõi giữa các trang web nào.

4. Dữ liệu sinh trắc học (kiểm tra khuôn mặt xác nhận người thật) — hãy đọc kỹ

Để bỏ phiếu trong một cuộc bầu cử thử nghiệm và để đăng ký một đảng, bạn phải hoàn tất một lần kiểm tra khuôn mặt xác nhận người thật. Chính sách này gọi lần kiểm tra đó là kiểm tra khuôn mặt. Việc kiểm tra khuôn mặt xử lý dữ liệu sinh trắc học, vốn là dữ liệu cá nhân nhạy cảm / thuộc nhóm đặc biệt. Chúng tôi muốn hoàn toàn minh bạch về việc này.

4.1 Điều gì diễn ra

• Thiết bị của bạn ghi lại một đoạn video khuôn mặt trực tiếp ngắn, và đoạn video này do Amazon Web Services (AWS) Amazon Rekognition Face Liveness xử lý để xác nhận có một người thật đang có mặt trực tiếp (chống giả mạo).
• AWS lưu một ảnh khuôn mặt tham chiếu cho phiên kiểm tra đó. AWS lưu ảnh này dù lần kiểm tra đạt hay không đạt, nên một lần kiểm tra không đạt vẫn để lại một ảnh. Bạn có thể yêu cầu tiêu hủy ảnh đó bất cứ lúc nào (Mục 4.4).
• Nếu lần kiểm tra thành công, chúng tôi thêm một vector khuôn mặt (mẫu) được tạo từ ảnh đó vào một bộ sưu tập AWS Rekognition được bảo mật. Một lần kiểm tra bị từ chối vì trùng lặp thì không thêm vector nào vào bộ sưu tập.
• Chúng tôi dùng bộ sưu tập đó để chạy một phép so sánh một-với-nhiều với vector khuôn mặt của những người dùng khác, nhằm kiểm tra xem cùng một khuôn mặt đã được xác minh trên một tài khoản khác hay chưa.

Việc từ chối là tự động. Nếu phép so sánh tìm thấy một trùng khớp, việc xác minh cho tài khoản đó bị từ chối ngay tại thời điểm ấy, do chính phép so sánh, và không có người nào tham gia vào quyết định. Thứ duy nhất được cân nhắc là vector khuôn mặt tạo từ bản quét của bạn giống đến mức nào với một vector đã có trong bộ sưu tập, đo theo một ngưỡng tương đồng cố định duy nhất; không có điều gì khác về bạn được đưa vào. Một tài khoản bị từ chối thì không bỏ phiếu được trong các cuộc bầu cử thử nghiệm và không đăng ký được đảng, và việc từ chối vẫn giữ nguyên đối với tài khoản đó trừ khi có người thay đổi nó.

Bạn có thể đề nghị một người xem lại việc này. Hãy gửi thư đến privacy@worldrepublic.org, hoặc hỏi tại Cộng đồng trợ giúp của chúng tôi, và chúng tôi sẽ trả lời trong vòng một tháng. Một người so sánh ảnh tham chiếu từ lần kiểm tra của bạn với ảnh đang được giữ cho tài khoản mà nó trùng khớp, nếu cả hai ảnh vẫn còn — một trong hai ảnh có thể đã bị tiêu hủy theo Mục 4.5 — và người đó có thể đảo ngược việc từ chối và xác minh cho bạn.

Nếu các ảnh không còn nữa thì sự việc cũng chưa kết thúc ở đó. Khi khuôn mặt mà lần kiểm tra của bạn trùng khớp đã bị tiêu hủy sau đó — vì tài khoản ấy đã bị xóa, hoặc vì người đứng sau tài khoản ấy đã rút lại sự đồng ý của họ — thì thay vào đó một người có thể gỡ bỏ việc từ chối để bạn có thể làm lại lần kiểm tra. Đó không phải là một quyết định rằng bạn đã được xác minh: lần kiểm tra mới chạy đầy đủ, qua cùng phép so sánh đó, và có thể từ chối bạn lần nữa. Để cả hai lộ trình đều có thể diễn ra, chúng tôi giữ lại bản ghi về sự trùng khớp cùng với lần kiểm tra bị từ chối: tài khoản nào đã trùng khớp, và phép so sánh gần đến mức nào (Mục 8).

4.2 Chuyển lên Didit

Lộ trình này hiện không được cung cấp, và không bắt đầu được lần kiểm tra nào. Lộ trình được mô tả ở đây vì nó đã được thiết kế.

Ý tưởng là một bước chuyển lên cấp cao hơn tới Didit, một nhà cung cấp dịch vụ xác minh danh tính, dành cho người bị kiểm tra khuôn mặt từ chối nhầm — một kết quả trùng lặp sai giữa những người trông giống nhau. Lộ trình đó sẽ xin sự đồng ý rõ ràng của bạn và để Didit kiểm tra một giấy tờ tùy thân và một ảnh tự chụp thay mặt chúng tôi.

Hôm nay không có phần nào trong đó đang chạy: Dịch vụ không có màn hình nào cung cấp lộ trình này, và lộ trình lẽ ra dùng để bắt đầu một lần kiểm tra thì từ chối mọi yêu cầu. Didit không giữ dữ liệu xác minh nào của chúng tôi. Nếu bạn bị kiểm tra khuôn mặt từ chối, lộ trình mở ra cho bạn là lộ trình ở Mục 4.1: hãy hỏi tại Cộng đồng trợ giúp của chúng tôi, và một người có thể xem lại cả hai bản ghi và mở lại việc xác minh.

Nếu bước chuyển lên cấp cao hơn có bao giờ được cung cấp, Mục này sẽ nêu lộ trình đó thu thập những gì và chúng tôi nhận được những gì, trước khi điều đó xảy ra.

4.3 Thông báo về nhà cung cấp dịch vụ (AWS và Didit)

Cộng hòa Thế giới sử dụng các nhà cung cấp dịch vụ cho dịch vụ xác minh danh tính. Mã định danh sinh trắc học và thông tin sinh trắc học (“dữ liệu sinh trắc học”), cụ thể là các bản quét hình học khuôn mặt của bạn cùng các ảnh khuôn mặt và mẫu liên quan, có thể được các nhà cung cấp dịch vụ này (AWS; và Didit, nếu bước chuyển lên cấp cao hơn ở Mục 4.2 có bao giờ được cung cấp) thu thập, lưu trữ và sử dụng thay mặt Cộng hòa Thế giới, nhằm mục đích xác minh rằng bạn là một người thật, duy nhất và đang có mặt trực tiếp và ngăn chặn tài khoản trùng lặp hoặc gian lận. Cộng hòa Thế giới tiêu hủy dữ liệu sinh trắc học mà AWS lưu trữ thay mặt mình khi mục đích thu thập ban đầu đã được đáp ứng, khi bạn yêu cầu xóa, hoặc sớm hơn nếu pháp luật yêu cầu. Didit không giữ dữ liệu sinh trắc học hay dữ liệu danh tính nào của chúng tôi, vì bước chuyển lên cấp cao hơn không được cung cấp. Nếu có bao giờ được cung cấp, các điều kiện mà theo đó Didit có thể lưu giữ và phải xóa dữ liệu đó sẽ được ấn định và nêu ở đây trước. Dữ liệu sinh trắc học có thể được truyền giữa Cộng hòa Thế giới và các nhà cung cấp dịch vụ của tổ chức này khi cần thiết để cung cấp dịch vụ này.

4.4 Sự đồng ý và lựa chọn của bạn

Có hai điều làm nền cho lần kiểm tra này, và chúng tôi nêu rõ cả hai.

Bản thân lần kiểm tra là cần thiết cho dịch vụ mà bạn yêu cầu chúng tôi cung cấp. Một cuộc bầu cử thử nghiệm trong đó một người đã xác minh có một lá phiếu chỉ tổ chức được nếu mỗi cử tri được chứng minh là chỉ ghi danh một lần, và hiện chúng tôi không có cách nào ít xâm phạm hơn để chứng minh điều đó. Vì lần kiểm tra xử lý dữ liệu sinh trắc học nên còn cần một điều thứ hai: sự đồng ý rõ ràng, do chính bạn chủ động đưa ra, và đó là điều kiện chúng tôi dựa vào đối với chính dữ liệu sinh trắc học. Chúng tôi xin sự đồng ý đó ở đầu lần kiểm tra khuôn mặt, và chúng tôi không xử lý dữ liệu sinh trắc học nào khi không có sự đồng ý đó.

Từ chối thì bạn mất gì. Hiện nay kiểm tra khuôn mặt là lộ trình duy nhất dẫn tới việc bỏ phiếu. Nếu bạn từ chối, bạn không bỏ phiếu được trong một cuộc bầu cử thử nghiệm, và không đăng ký được đảng mới. Ngoài ra bạn không mất gì khác: bạn vẫn có thể giữ WDD, rút WDD, lãnh đạo một đảng bạn đã đăng ký trước đó, và dùng phần còn lại của Dịch vụ. Trước bất kỳ cuộc bầu cử nào mà kết quả có giá trị ràng buộc với ai đó, chúng tôi sẽ cung cấp một lộ trình bỏ phiếu không dùng kiểm tra khuôn mặt.

Bạn có thể rút lại sự đồng ý đó bất cứ lúc nào, và bạn không phải xóa tài khoản để làm việc này. Trong ứng dụng, hãy mở Tài khoản → Xác minh → Xóa dữ liệu khuôn mặt của tôi. Việc rút lại có hiệu lực ngay lập tức và tiêu hủy cả các ảnh tham chiếu lẫn mẫu khuôn mặt mà chúng tôi dùng để đối chiếu. Nếu bạn muốn có một bản sao của các ảnh, hãy tải chúng xuống trước, từ cùng màn hình đó (Mục 10.1). Tài khoản của bạn, số dư WDD của bạn, bất kỳ đảng nào do bạn lãnh đạo và bất kỳ lá phiếu nào bạn đã bỏ đều không bị ảnh hưởng. Bạn sẽ không bỏ phiếu được nữa cho đến khi hoàn tất một lần kiểm tra khuôn mặt mới, và bạn được tự do làm việc đó bất cứ lúc nào — trừ khi lần kiểm tra của bạn đã bị từ chối vì trùng với một tài khoản khác (việc từ chối tự động được mô tả ở Mục 4.1). Việc rút lại tiêu hủy dữ liệu nhưng không làm thay đổi quyết định đó; hãy liên hệ privacy@worldrepublic.org để phản đối quyết định này.

Có một ngoại lệ, và đó chính là ngoại lệ mà Mục 4.5 mô tả cho việc xóa tài khoản: nếu một cuộc bầu cử thử nghiệm mà bạn đã bỏ phiếu vẫn đang diễn ra vào lúc bạn rút lại, thì sự đồng ý của bạn chấm dứt ngay lập tức nhưng bản thân dữ liệu sinh trắc học thì bị tiêu hủy khi cuộc bầu cử đó kết thúc — trừ khi trước đó bạn hoàn tất một lần kiểm tra khuôn mặt mới, và khi đó sự đồng ý mới ấy có hiệu lực và không có gì bị tiêu hủy cả. Như Mục 4.5 nêu rõ, việc tiêu hủy không bao giờ chờ quá mười bốn ngày: một cuộc bầu cử kết thúc muộn hơn mười bốn ngày kể từ lúc bạn rút lại thì hoàn toàn không làm chậm việc tiêu hủy. Bạn cũng có thể xóa toàn bộ tài khoản của mình thay cho cách này (Mục 9), hoặc liên hệ với chúng tôi để thực hiện bất kỳ quyền nào nêu ở Mục 10.

4.5 Lưu trữ và tiêu hủy

Chúng tôi chỉ lưu trữ dữ liệu sinh trắc học trong thời gian cần thiết cho việc xác minh và chống trùng lặp. Chúng tôi tiêu hủy dữ liệu đó khi mục đích đã được đáp ứng, khi bạn yêu cầu xóa, khi tài khoản của bạn bị xóa, hoặc ba năm sau lần tương tác cuối cùng của bạn với Dịch vụ — tùy trường hợp nào đến trước. Một bản ghi được giữ lâu hơn: mục ghi trong nhật ký bảo mật ghi nhận vị trí của mắt, mũi và miệng bạn và góc nghiêng đầu của bạn, được mô tả ở Mục 1 của Chính sách lưu trữ và tiêu hủy dữ liệu sinh trắc học của chúng tôi. Chính sách lưu trữ và tiêu hủy dữ liệu sinh trắc học bằng văn bản của chúng tôi nêu đầy đủ từng sự kiện kích hoạt đó, và Mục 2 của chính sách ấy liệt kê những gì được tính là một lần tương tác. Việc tiêu hủy bao gồm xóa ảnh tham chiếu trên AWS (Amazon S3) và vector khuôn mặt (bộ sưu tập Rekognition).

Một ngoại lệ, có giới hạn và được nêu ở đây vì bạn nên biết trước khi hành động: nếu bạn xóa tài khoản — hoặc rút lại sự đồng ý về sinh trắc học theo Mục 4.4 — trong khi một cuộc bầu cử thử nghiệm mà bạn đã bỏ phiếu vẫn đang diễn ra, thì chúng tôi giữ dữ liệu sinh trắc học của bạn cho đến khi cuộc bầu cử đó kết thúc và tiêu hủy vào lúc ấy. Nếu bạn đã rút lại rồi xác minh lại trước khi cuộc bầu cử kết thúc, việc tiêu hủy đang chờ sẽ bị hủy bỏ, vì lần kiểm tra khuôn mặt mới là một sự đồng ý mới; việc xóa tài khoản thì không bao giờ bị hủy bỏ theo cách này. Một khi bạn đã bỏ phiếu, lá phiếu đó không lấy ra lại được khỏi tổng số của đảng, nên nó vẫn được tính, và kiểm tra khuôn mặt là thứ duy nhất ngăn cùng một người xác minh một tài khoản mới và bỏ phiếu lần thứ hai trong cùng cuộc bầu cử đó. Độ trễ không bao giờ vượt quá khoảng thời gian còn lại của cuộc bầu cử và không bao giờ vượt quá mười bốn ngày: một cuộc bầu cử kết thúc muộn hơn mười bốn ngày kể từ lúc bạn hành động thì hoàn toàn không làm chậm việc tiêu hủy. Không có phần nào khác của việc xóa phải chờ cả.

4.6 Nơi dữ liệu sinh trắc học được xử lý

Mẫu khuôn mặt và ảnh tham chiếu của bạn do AWS xử lý và lưu trữ tại Liên minh châu Âu (Ireland). Siêu dữ liệu xác minh đi kèm (ví dụ điểm tin cậy và tham chiếu lưu trữ) được giữ trong cơ sở dữ liệu chính của chúng tôi (xem Mục 7).

5. Chúng tôi sử dụng thông tin như thế nào và các cơ sở pháp lý của chúng tôi

5.1 Xét duyệt tự động việc đăng ký đảng

Khi bạn đăng ký một đảng hoặc chỉnh sửa đảng đó, một chương trình xét duyệt đảng trước khi nó được liệt kê theo mặc định. Không có người nào tham gia vào bước đó.

• Nó đọc gì: tên đảng, phần mô tả, liên kết trang web và tên người dùng của lãnh đạo — không gì khác về bạn.
• Nó quyết định gì: đảng có xuất hiện trong các danh sách mặc định, trong tìm kiếm và trong danh sách các đảng của cuộc bầu cử hay không, hay bị gạt ra thành spam. Một đảng bị gạt ra không bị gỡ bỏ: đảng đó vẫn ở địa chỉ riêng của mình, vẫn tìm thấy được bằng cách chọn hiện tất cả các đảng, và vẫn nhận được phiếu bầu.
• Các căn cứ: quảng cáo cho một thứ gì đó bên ngoài Dịch vụ (kể cả giả mạo Dịch vụ hoặc một đảng đã có tên tuổi), đề nghị trả tiền cho từng cá nhân để lấy phiếu bầu, kích động bạo lực, và nội dung tục tĩu. Quan điểm chính trị không bao giờ là một căn cứ, và việc xét duyệt phải trích dẫn nguyên văn phần nội dung mà nó đánh dấu.
• Nó quyết định thế nào: một mô hình ngôn ngữ lớn, GLM-5.3 Flash của Z.ai, áp dụng các quy tắc đó vào văn bản. Khi mô hình này không khả dụng, cùng các quy tắc đó được GLM-5.3 của chính nhà sản xuất ấy áp dụng. Cả hai chạy trên Baseten tại Hoa Kỳ (Mục 6 và Mục 7); Baseten không giữ lại gì từ cả hai yêu cầu sau khi đã trả lời và không dùng chúng để huấn luyện. Một quy tắc thứ hai, cố định, so sánh tên đảng với tên các đảng đã có tên tuổi. Kết quả, căn cứ của nó, lần kiểm tra nào đã quyết định và — khi một mô hình quyết định — mô hình nào trong hai mô hình, đều được giữ lại cùng với đảng (Mục 8).
• Vì sao một chương trình có thể quyết định việc này: một danh sách công khai trong đó mỗi mục là một đăng ký đảng thật sự chính là một phần của dịch vụ mà bạn đăng ký đảng để nhận, và đó là điều cho phép một chương trình đưa ra quyết định này. Việc đăng ký một đảng cũng thể hiện quan điểm chính trị. Quyết định không bao giờ dựa trên những quan điểm đó — các căn cứ nêu trên là những việc mà một đăng ký làm, chứ không phải những điều mà nó nói về, và một đăng ký không bao giờ bị đánh dấu vì điều nó ủng hộ. Những quan điểm đó chỉ được đọc vì chúng nằm trong văn bản đang được kiểm tra, và chính bạn làm cho chúng công khai bằng việc đăng ký đảng để công bố trong danh sách công khai. Bạn không cần đăng ký một đảng để bỏ phiếu, để giữ WDD, hay để dùng bất cứ thứ gì khác.
• Các lựa chọn của bạn: lãnh đạo đảng thấy kết quả và căn cứ trên trang của đảng. Chỉnh sửa đảng sẽ gửi lại để xét duyệt. Bạn có thể đề nghị một người xem xét kết quả qua Cộng đồng trợ giúp được liên kết từ thông báo đó, hoặc bằng cách gửi thư đến privacy@worldrepublic.org.

5.2 Một đảng có nêu lập trường về AI hay không

Raised by Humanity là một chiến dịch về việc trí tuệ nhân tạo nên được quản trị như thế nào. Để biết những đảng nào có lập trường về vấn đề đó, cùng một yêu cầu mang theo việc xét duyệt ở Mục 5.1 cũng đặt ra một câu hỏi thứ hai, riêng biệt.

• Nó hỏi gì: liệu một người theo dõi cuộc tranh luận công khai về AI có thể nhận ra, từ tên hoặc phần mô tả của đảng, lập trường của đảng đó về AI hay không — AI nên được xây dựng, sử dụng, chia sẻ, giới hạn hoặc quản trị như thế nào. Mọi lập trường đều được tính, dù ủng hộ hay phản đối, và không lập trường nào được tính nặng hơn lập trường nào. Một đảng không cần dùng từ “AI”. Việc nhắc đến AI, hay việc dùng hoặc bán AI, không phải là một lập trường.
• Nó đọc gì: cùng các trường như ở Mục 5.1, trong cùng một yêu cầu — tên đảng, phần mô tả, liên kết trang web và tên người dùng của lãnh đạo. Không có gì thêm được gửi đi, và nó không được gửi tới nơi nào khác.
• Nó ghi lại gì: câu trả lời — có nêu lập trường về AI, hoặc không nêu — cùng một dòng trích dẫn những từ ngữ mà nó dựa vào, mô hình đã trả lời và thời điểm. Những thông tin này được giữ lại cùng với đảng (Mục 8).
• Nó thay đổi gì: một chế độ xem, và chỉ dành cho người xem yêu cầu nó. Khi bật “Chỉ hiện các đảng về quản trị AI” trong danh sách các đảng hoặc trong danh sách các đảng của một cuộc bầu cử, chỉ những đảng có câu trả lời là có nêu lập trường về AI mới được hiện. Bộ lọc đó tắt trừ khi người xem bật nó. Câu trả lời không đóng vai trò gì trong việc xét duyệt ở Mục 5.1. Khi không dùng bộ lọc đó, câu trả lời không thay đổi gì mà bất kỳ ai nhìn thấy, kể cả các danh sách mặc định, tìm kiếm và danh sách các đảng của một cuộc bầu cử, và không bao giờ ảnh hưởng đến một phiếu bầu. Nếu điều đó thay đổi, mục này sẽ nêu rõ kể từ ngày nó thay đổi.
• Nó quyết định thế nào: cùng các mô hình như ở Mục 5.1 — GLM-5.3 Flash của Z.ai, hoặc GLM-5.3 khi mô hình đó không khả dụng — chạy trên Baseten tại Hoa Kỳ; Baseten không giữ lại gì từ yêu cầu sau khi đã trả lời và không dùng nó để huấn luyện.
• Các lựa chọn của bạn: mỗi lần đảng được chỉnh sửa, câu hỏi lại được đặt ra, và câu trả lời mới thay thế câu trả lời cũ. Câu trả lời có trong bản sao dữ liệu mà Dịch vụ cung cấp cho bạn (Mục 10). Bạn có thể đề nghị một người xem xét lại câu trả lời, hoặc phản đối nó, bằng cách gửi thư đến privacy@worldrepublic.org. Nếu câu trả lời là đảng của bạn không nêu lập trường về AI, thẻ đảng của bạn sẽ cho biết điều đó trong lúc bạn bật bộ lọc đó.
• Vì sao nó có thể đọc một lập trường chính trị: đây là nơi duy nhất Dịch vụ đọc điều một đảng ủng hộ, chứ không chỉ những việc đảng đó làm. Nó chỉ đọc những lời chính đảng đã công bố, về một chủ đề, và đối xử với mọi lập trường về chủ đề đó như nhau. Chính bạn làm cho những lời đó công khai bằng việc đăng ký đảng để công bố trong danh sách công khai. Bạn không cần đăng ký một đảng để bỏ phiếu, để giữ WDD, hay để dùng bất cứ thứ gì khác.

5.3 Lá phiếu của bạn

Khi bạn bỏ phiếu, máy chủ của chúng tôi nhận được cùng lúc cả việc bạn là ai lẫn lựa chọn của bạn, vì máy chủ phải kiểm tra rằng bạn được phép bỏ phiếu rồi tính lá phiếu đó. Máy chủ lưu hai thứ đó tách riêng, trong ba bản ghi được lưu cùng nhau: một bản ghi rằng bạn đã bỏ phiếu trong cuộc bầu cử đó, và vào lúc nào; một bản ghi về sự đồng ý của bạn để lá phiếu được tính, có nêu cuộc bầu cử và ngày; và thêm một phiếu bầu được cộng vào tổng số của đảng. Không có bản ghi nào lưu lựa chọn của bạn cùng tài khoản của bạn. Trong một số trường hợp, lá phiếu của bạn vẫn có thể bị liên kết với bạn, và Mục này cho biết khi nào.

• Trong khi một cuộc bầu cử đang diễn ra. Cơ sở dữ liệu của chúng tôi đánh dấu mỗi lần thay đổi mà nó lưu bằng một số tham chiếu. Cả ba bản ghi được lưu trong cùng một lần thay đổi, nên chúng mang cùng một số. Vì vậy, trong khi một cuộc bầu cử đang diễn ra, người có quyền truy cập trực tiếp vào cơ sở dữ liệu của chúng tôi (Mục 11) có thể tìm ra ai đã bỏ lá phiếu gần nhất cho mỗi đảng, và, bằng cách theo dõi các tổng số thay đổi, ai đã bỏ từng lá phiếu trong khoảng thời gian đó. Với các công cụ đọc trực tiếp kho lưu trữ của cơ sở dữ liệu, họ còn có thể tìm ra ai đã bỏ những lá phiếu gần đây khác, từ các phiên bản cũ hơn của các tổng số mà cơ sở dữ liệu chưa dọn đi. Các cuộc bầu cử thử nghiệm của chúng tôi nhận lá phiếu trong ba ngày, và Dịch vụ không bao giờ nhận lá phiếu trong một cuộc bầu cử lâu hơn mười bốn ngày.
• Sau khi cuộc bầu cử kết thúc. Ngay sau khi một cuộc bầu cử kết thúc, thường là trong vòng vài phút, chúng tôi viết lại các tổng số của cuộc bầu cử đó trong một lần thay đổi riêng. Sau đó, không có bản ghi nào trong cơ sở dữ liệu chính của chúng tôi, tức cơ sở dữ liệu mà Dịch vụ vận hành trên đó, liên kết một lá phiếu với người đã bỏ lá phiếu đó. Các phiên bản cũ hơn của các tổng số có thể còn lại trong kho lưu trữ của cơ sở dữ liệu cho đến khi bị ghi đè, và chính những công cụ đó vẫn đọc được chúng.
• Trong lịch sử khôi phục và các bản sao lưu của nhà cung cấp của chúng tôi. Nhà cung cấp cơ sở dữ liệu của chúng tôi giữ một lịch sử khôi phục của cơ sở dữ liệu, mà hiện chúng tôi đặt ở mức khoảng sáu giờ. Lịch sử đó có thể liên kết bất kỳ lá phiếu nào được bỏ trong khoảng thời gian đó, và có thể đưa các tổng số trở lại như trước khi chúng tôi viết lại chúng, cùng với các liên kết mà chúng mang. Nhà cung cấp cũng giữ các bản sao lưu của riêng mình, mà họ tuyên bố là giữ trong 30 ngày; chúng tôi chưa xác nhận với họ các bản sao lưu đó bao gồm những gì. Các bản sao lưu đó, và mọi bản sao cơ sở dữ liệu của chúng tôi (Mục 11) được tạo trước khi các tổng số được viết lại, giữ các liên kết này cho đến khi chúng hết hạn hoặc bị xóa, và một bản sao mà chúng tôi xóa có thể còn lại trong các bản sao lưu đó cho đến khi các bản sao lưu ấy hết hạn.
• Trong những gì chúng tôi công bố. Chúng tôi công bố tổng số của từng đảng sau khi cuộc bầu cử đã kết thúc (Mục 6); trong khi cuộc bầu cử đang diễn ra, chúng tôi chỉ hiển thị tổng cộng có bao nhiêu phiếu bầu. Nếu mọi người trong một cuộc bầu cử đều bỏ phiếu cho cùng một đảng, thì bất kỳ người nào biết rằng họ đã bỏ phiếu đều có thể thấy từ các tổng số từng người trong số họ đã bỏ phiếu ra sao. Và khi có rất ít người bỏ phiếu, người biết những người khác đã bỏ phiếu ra sao có thể suy ra phần còn lại.

Không có gì trong Dịch vụ dùng bất kỳ điều nào trong số này để liên kết một lá phiếu với người đã bỏ lá phiếu đó.

Vì lựa chọn của bạn cho thấy một quan điểm chính trị, chúng tôi xin sự đồng ý rõ ràng của bạn trước khi tính lựa chọn đó. Màn hình nơi bạn bỏ phiếu có một ô chưa được đánh dấu để xin sự đồng ý đó, trong mỗi cuộc bầu cử thử nghiệm, và ô đó phải được đánh dấu trước khi bạn bỏ phiếu; máy chủ của chúng tôi từ chối một lá phiếu không có sự đồng ý đó. Chúng tôi ghi lại sự đồng ý đó cùng với cuộc bầu cử, phiên bản và ngôn ngữ của những lời mà bạn đã đánh dấu, và ngày. Chúng tôi không ghi địa chỉ IP hay trình duyệt nào kèm theo nó, và chỉ ghi ngày, vì nó được lưu cùng thời điểm với bản ghi rằng bạn đã bỏ phiếu, và một thời điểm chính xác sẽ là bản ghi thứ hai về việc bạn đã bỏ phiếu lúc nào. Bạn có thể rút lại sự đồng ý đó (Mục 10).

6. Chúng tôi chia sẻ thông tin như thế nào

Chúng tôi không bán thông tin cá nhân của bạn. Mục này nêu rõ ai nhận được thông tin về bạn, và với tư cách gì. Một phần thông tin do các nhà cung cấp dịch vụ xử lý thay chúng tôi, theo chỉ dẫn của chúng tôi và không vì mục đích riêng nào của họ. Một phần đến tay một công ty tự quyết định sẽ làm gì với thông tin đó, và Mục này nêu tên những bên nhận ấy. Một phần chúng tôi buộc phải tiết lộ để tuân thủ pháp luật, và trong một vụ sáp nhập, mua lại hoặc chuyển nhượng tài sản thì những gì chúng tôi đang giữ sẽ chuyển sang bên mua, kèm theo các biện pháp bảo vệ hợp pháp — trừ dữ liệu sinh trắc học của bạn, vốn không bao giờ chuyển đi theo cách đó. Và một phần được Dịch vụ công bố cho người khác.

Các nhà cung cấp dịch vụ hành động thay chúng tôi. Những nhà cung cấp này xử lý thông tin theo chỉ dẫn của chúng tôi và không vì mục đích riêng nào của họ. Didit được nêu trong danh sách dưới đây chỉ để cho đầy đủ, và hôm nay không xử lý gì cho chúng tôi:

• Google Workspace — lưu trữ các hộp thư của chúng tôi, trong đó có privacy@worldrepublic.org và legal@worldrepublic.org. Bất cứ điều gì bạn viết cho chúng tôi tại một trong hai địa chỉ đó, và bất cứ thứ gì bạn gửi kèm — kể cả những gì bạn gửi để chứng minh một yêu cầu là của bạn (Mục 10.3) — đều do Google xử lý với tư cách nhà cung cấp của chúng tôi. Các cảnh báo vận hành được mô tả ở mục Amazon Web Services bên dưới cũng được gửi qua email, và một trong những địa chỉ mà chúng đến nằm trên tên miền của chính chúng tôi. Vì vậy một cảnh báo có chứa địa chỉ ví nhận cũng do Google xử lý. Việc đăng nhập bằng Google là một mối quan hệ khác, và Mục này nêu rõ mối quan hệ đó ở phần dưới.
• Amazon Web Services (AWS) — bốn việc. Amazon Rekognition Face Liveness, Amazon S3 (ảnh tham chiếu) và Amazon Cognito (thông tin đăng nhập tạm thời cho khách), với tư cách nhà cung cấp dịch vụ của chúng tôi cho việc xác minh sinh trắc học (khu vực EU). Amazon Simple Notification Service, dịch vụ chuyển các cảnh báo vận hành của chúng tôi. AWS CloudTrail, dịch vụ lưu giữ nhật ký kiểm toán bảo mật của các tài khoản đám mây của chúng tôi và bản ghi về việc truy cập ảnh kiểm tra khuôn mặt của chúng tôi (Mục 8). Và Amazon Simple Email Service, dịch vụ chuyển hai thông báo mà chúng tôi có nghĩa vụ gửi cho người báo cáo một đảng — rằng chúng tôi đã nhận được báo cáo, và chúng tôi đã quyết định thế nào. Những thông báo đó đi đến địa chỉ mà người ấy đã cung cấp cho chúng tôi và mang theo tên đảng, ngày tháng và một mã tham chiếu; chúng không bao giờ mang theo căn cứ đã được chọn hay những gì người ấy đã viết. Một cảnh báo cho chúng tôi biết có việc gì đó cần chú ý — ví dụ một lệnh rút đã gặp trục trặc, một tài khoản đã chạm một trong các giới hạn chúng tôi đặt ra về tần suất được phép hành động, một đăng ký đảng mà việc xét duyệt tự động không đọc được, hoặc một lần tiêu hủy dữ liệu sinh trắc học chưa hoàn tất. Đó là các ví dụ, không phải toàn bộ danh sách. Một cảnh báo có thể mang theo địa chỉ ví nhận, số tiền và mạng lưới của một lệnh rút cùng mã tham chiếu mà chúng tôi gán cho lệnh rút đó trong hồ sơ của mình, mã định danh nội bộ của một tài khoản, và mã định danh của một đảng. Khi một giao dịch chuyển tiền đã được gửi đi, một cảnh báo còn có thể mang theo mã băm của giao dịch đó trên blockchain và mã tham chiếu mà nhà cung cấp dịch vụ thanh toán đã gán cho nó. Một cảnh báo không bao giờ mang theo tên hay phần mô tả của một đảng, và không bao giờ mang theo những gì việc xét duyệt tự động đã nói về đảng đó.
• Didit — xác minh danh tính khi chuyển lên cấp cao hơn. Hiện không được cung cấp và không giữ dữ liệu nào của chúng tôi (Mục 4.2). Xem Verification Privacy Notice và End User Terms for Identity Verification của Didit.
• Coinbase — thực hiện các lệnh rút WDD trên blockchain; nhận địa chỉ nhận, số tiền, mạng lưới và mã tham chiếu mà chúng tôi gán cho lệnh rút đó trong hồ sơ của mình, và không gì khác.
• Neon — lưu trữ cơ sở dữ liệu cho dữ liệu của Dịch vụ. Cơ sở dữ liệu của chúng tôi chạy tại Singapore, và Neon cũng xử lý tại Hoa Kỳ (Mục 7).
• Vercel — lưu trữ ứng dụng và nhật ký hạ tầng. Ứng dụng của chúng tôi chạy tại Singapore, và Vercel cũng xử lý tại Hoa Kỳ (Mục 7). AI Gateway của Vercel cũng chuyển yêu cầu xét duyệt đảng nêu ở Mục 5.1 và Mục 5.2 — một yêu cầu duy nhất — tới Baseten và không tới nơi nào khác.
• Baseten — chạy các mô hình ngôn ngữ xét duyệt việc đăng ký đảng (Mục 5.1 và Mục 5.2); nhận tên đảng, phần mô tả, liên kết và tên người dùng của lãnh đạo, không giữ lại gì trong số đó sau khi yêu cầu đã được trả lời, và không dùng chúng để huấn luyện (Hoa Kỳ).

Danh sách hiện hành các bên xử lý dữ liệu phụ được cung cấp khi có yêu cầu.

Google, khi bạn đăng nhập. Việc đăng nhập bằng Google là một trao đổi giữa bạn và Google, và Google tự quyết định sẽ làm gì với trao đổi đó. Ở đây Google không chỉ hành động theo chỉ dẫn của chúng tôi, nên Google không phải là nhà cung cấp dịch vụ của chúng tôi cho việc này. Chúng tôi nhận được một token xác thực và một mã định danh cho tài khoản Google của bạn, và chúng tôi chỉ giữ mã định danh (Mục 3.1). Google làm gì với một lần đăng nhập là do chính sách quyền riêng tư của Google điều chỉnh (policies.google.com/privacy).

Cộng đồng trợ giúp của chúng tôi. Mục 4.1 và Mục 5.1 chỉ bạn tới Cộng đồng trợ giúp của chúng tôi nếu bạn muốn có một người xem lại một quyết định tự động. Cộng đồng đó là một kênh công khai trên Telegram. Những gì bạn viết ở đó đều được Telegram và tất cả những người khác trong kênh đọc. Chúng tôi không kiểm soát kênh đó. Nếu bạn không muốn viết công khai, hãy gửi thư đến privacy@worldrepublic.org thay vì vậy: lộ trình đó đến cùng một người, và Mục 10.1 nêu rõ điều này.

Những tiết lộ mà pháp luật yêu cầu, và nếu Dịch vụ chuyển sang một tổ chức khác. Chúng tôi có thể tiết lộ thông tin để tuân thủ pháp luật hoặc các yêu cầu hợp lệ của cơ quan công quyền. Chúng tôi cũng có thể tiết lộ thông tin trong một vụ sáp nhập, mua lại hoặc chuyển nhượng tài sản (kèm theo các biện pháp bảo vệ hợp pháp). Dữ liệu sinh trắc học của bạn không bao giờ là một phần của vụ chuyển giao như vậy. Chúng tôi không bán, cho thuê, trao đổi hay kiếm lợi bằng cách nào khác từ dữ liệu đó, và chúng tôi không chuyển nó cho bên mua cùng với phần còn lại của những gì chúng tôi đang giữ. Ngoài nhà cung cấp lưu trữ dữ liệu đó thay chúng tôi và theo chỉ dẫn của chúng tôi (Mục 4.3), chúng tôi chỉ tiết lộ dữ liệu sinh trắc học khi bạn đồng ý, khi một đạo luật yêu cầu, hoặc khi một lệnh khám xét hay trát đòi hợp lệ buộc phải làm vậy. Sáp nhập, mua lại và chuyển nhượng tài sản đều không thuộc các trường hợp đó.

Do Dịch vụ công bố. Một số việc bạn làm được hiển thị cho người khác. Đây không phải là chia sẻ với một nhà cung cấp. Đây là việc công bố, và không hoàn tác được bằng cách yêu cầu một nhà cung cấp dừng lại:

• Danh sách công khai các đảng. Nếu bạn đăng ký một đảng, thì tên đảng, phần mô tả, liên kết, tên người dùng của bạn và tổng số WDD đã được trao cho đảng dưới hình thức trợ cấp sẽ được công bố trong danh sách. Danh sách này để mở: bất kỳ ai cũng đọc được mà không cần tài khoản, và các công cụ tìm kiếm có thể lập chỉ mục.
• Các lệnh rút. Một lệnh rút WDD là một giao dịch blockchain công khai. Địa chỉ nhận, số tiền, mạng lưới, thời điểm và mã tham chiếu mà chúng tôi gán cho lệnh rút đó trong hồ sơ của mình đều được công bố trên blockchain, không phải do chúng tôi công bố, và không ai gỡ bỏ được. Chúng tôi ghi mã tham chiếu đó vào giao dịch để có thể chứng minh một lệnh rút đã được thực hiện đúng một lần. Mã tham chiếu không phải là mã định danh tài khoản của bạn. Mỗi lệnh rút có mã tham chiếu riêng, và một mã tham chiếu chỉ thuộc về một lệnh rút. Để kiểm tra một lệnh rút đã được thực hiện hay chưa, chúng tôi nhờ một dịch vụ blockchain công khai tra cứu giao dịch đó giúp chúng tôi. Các dịch vụ đó thấy những gì blockchain đã công bố sẵn — địa chỉ, số tiền và mã tham chiếu — và không thấy gì khác mà chúng tôi giữ về bạn.
• Kết quả bầu cử. Tổng số phiếu bầu của từng đảng được công bố sau khi cuộc bầu cử đã kết thúc. Trong khi một cuộc bầu cử đang diễn ra, không hiển thị tổng số của đảng nào, mà chỉ hiển thị tổng cộng có bao nhiêu phiếu bầu. Chúng tôi chỉ công bố các tổng số, không bao giờ công bố một lá phiếu riêng lẻ. Nếu mọi người đều bỏ phiếu cho cùng một đảng, các tổng số vẫn có thể cho người biết rằng bạn đã bỏ phiếu thấy bạn đã bỏ phiếu ra sao; và nếu có rất ít người bỏ phiếu, thì cho người còn biết cả những người khác đã bỏ phiếu ra sao (Mục 5.3). Mục 5.3 cho biết khi nào một lá phiếu có thể bị liên kết với bạn trong cơ sở dữ liệu của chúng tôi.

Tên người dùng của bạn là cái tên xuất hiện trong tất cả những chỗ này, và bạn là người chọn nó (Mục 3.1).

7. Chuyển dữ liệu quốc tế

Trụ sở của chúng tôi ở Thụy Sĩ, nước được hưởng một quyết định công nhận mức bảo vệ tương xứng của EU, và chúng tôi cũng có cơ sở tại Liên minh châu Âu (Mục 1). Dữ liệu của bạn được xử lý ở nhiều hơn một quốc gia:

• Dữ liệu sinh trắc học (mẫu khuôn mặt và ảnh tham chiếu) do AWS xử lý và lưu trữ tại Liên minh châu Âu (Ireland).
• Nhật ký kiểm toán bảo mật của các tài khoản đám mây của chúng tôi, và bản ghi về việc truy cập ảnh kiểm tra khuôn mặt của chúng tôi (Mục 8): các mục ghi về bạn được lưu giữ tại Liên minh châu Âu — ở Ireland, nơi diễn ra việc kiểm tra khuôn mặt, và ở Đức, nơi chúng tôi lưu các bản sao của mình.
• Dữ liệu tài khoản và dữ liệu ứng dụng được giữ trong cơ sở dữ liệu của chúng tôi tại Neon và được phục vụ qua Vercel. Cả hai chạy tại Singapore, và một phần dữ liệu này cũng đến Hoa Kỳ: thỏa thuận xử lý dữ liệu của Vercel nêu rằng các cơ sở xử lý chính của công ty này đặt tại Hoa Kỳ, và Neon ký hợp đồng thông qua một công ty mẹ ở Hoa Kỳ mà điều khoản của công ty đó nêu tên một nhà cung cấp Hoa Kỳ cho việc giám sát hạ tầng. Thứ đi theo đường đó là nhật ký yêu cầu và nhật ký máy chủ — địa chỉ IP của bạn, chuỗi user-agent của trình duyệt bạn dùng, trang bạn đã yêu cầu, và, trong một số bản ghi lỗi, mã định danh nội bộ của một tài khoản.
• Các đăng ký đảng đang được xét duyệt (tên, phần mô tả, liên kết, tên người dùng của lãnh đạo) được gửi tới Baseten tại Hoa Kỳ cho việc xét duyệt tự động nêu ở Mục 5.1 và Mục 5.2, và không được lưu ở đó.
• Chi tiết lệnh rút — địa chỉ nhận, số tiền, mạng lưới và mã tham chiếu mà chúng tôi gán cho lệnh rút đó trong hồ sơ của mình — đi tới Coinbase, một công ty đặt tại Hoa Kỳ. Chúng tôi chưa xác định được chính Coinbase xử lý dữ liệu đó ở những quốc gia nào.
• Các cảnh báo vận hành do Amazon Simple Notification Service chuyển đi (Mục 6), và một cảnh báo có thể mang theo địa chỉ ví nhận, số tiền và mạng lưới của một lệnh rút cùng mã tham chiếu mà chúng tôi gán cho lệnh rút đó trong hồ sơ của mình, mã định danh nội bộ của một tài khoản, và mã định danh của một đảng. Khi một giao dịch chuyển tiền đã được gửi đi, một cảnh báo còn có thể mang theo mã băm của giao dịch đó trên blockchain và mã tham chiếu mà nhà cung cấp dịch vụ thanh toán đã gán cho nó. Một cảnh báo không bao giờ mang theo tên hay phần mô tả của một đảng, và không bao giờ mang theo những gì việc xét duyệt tự động đã nói về đảng đó. Dịch vụ này chạy tại khu vực Amazon mà chúng tôi đã cấu hình cho nó, và khu vực đó có thể nằm ngoài Liên minh châu Âu. Cảnh báo sau đó được gửi qua email, và một trong những địa chỉ mà nó đến nằm trên tên miền của chính chúng tôi, do Google Workspace lưu trữ tại Hoa Kỳ (Mục 6).
• Các thông báo gửi cho người đã báo cáo một đảng do Amazon Simple Email Service chuyển đi tại Liên minh châu Âu (Ireland) — cùng khu vực với dữ liệu sinh trắc học, theo cùng một thỏa thuận.
• Dữ liệu đăng nhập đi tới Google, nơi xử lý dữ liệu đó tại Hoa Kỳ và ở các quốc gia khác.
• Bước chuyển lên cấp cao hơn bằng giấy tờ tùy thân nêu ở Mục 4.2 không gửi gì đi đâu cả, vì nó không được cung cấp và không bắt đầu được lần kiểm tra nào. Công ty Didit ký hợp đồng với khách hàng ở châu Âu là Didit Identity Spain, S.L., và Didit tuyên bố rằng các hệ thống xử lý chính của mình nằm trong Khu vực Kinh tế châu Âu. Tuyên bố đó là của chính Didit, và chúng tôi chưa tự mình xác nhận. Trước khi lộ trình này được cung cấp, chúng tôi sẽ xác nhận trong Mục này nơi một lần kiểm tra sẽ được xử lý, và nêu tên biện pháp bảo vệ áp dụng cho việc đó.
• Những gì bạn viết đến privacy@worldrepublic.org hoặc legal@worldrepublic.org do Google Workspace xử lý tại Hoa Kỳ (Mục 6).

Singapore không được một quyết định công nhận mức bảo vệ tương xứng của EU hay của Thụy Sĩ bao phủ, và Hoa Kỳ chỉ được bao phủ đối với những bên nhận đã được chứng nhận theo Khuôn khổ Quyền riêng tư Dữ liệu. Chúng tôi không dựa vào một biện pháp bảo vệ duy nhất cho tất cả các lần chuyển dữ liệu này. Chúng tôi muốn nói cho bạn biết biện pháp bảo vệ nào áp dụng cho bên nhận nào, hơn là nêu tên một văn kiện mà chúng tôi không có:

• Vercel, và Baseten thông qua gateway của Vercel: Điều khoản hợp đồng tiêu chuẩn của Ủy ban châu Âu và Phụ lục chuyển dữ liệu quốc tế của Vương quốc Anh, cả hai đều được đưa vào thỏa thuận xử lý dữ liệu của Vercel. Chúng tôi chưa xác định được thỏa thuận đó có kèm theo phần bổ sung mà luật Thụy Sĩ yêu cầu hay không. Chúng tôi không có thỏa thuận riêng nào với Baseten.
• Google, đối với các hộp thư của chúng tôi: điều khoản Workspace tiêu chuẩn của Google, trong đó có phụ lục xử lý dữ liệu của Google và Điều khoản hợp đồng tiêu chuẩn.
• Google, đối với việc đăng nhập: không có văn kiện nào của chúng tôi. Google tự quyết định cách xử lý một lần đăng nhập, nên ở đây Google không chỉ hành động theo chỉ dẫn của chúng tôi, và chúng tôi không có thỏa thuận xử lý dữ liệu nào với Google cho việc đăng nhập. Google tuyên bố rằng mình đã được chứng nhận theo Khuôn khổ Quyền riêng tư Dữ liệu EU–Hoa Kỳ. Chúng tôi chưa có được văn kiện riêng nào cho việc chuyển dữ liệu này.
• AWS: thỏa thuận xử lý dữ liệu của AWS. Dữ liệu sinh trắc học của bạn được giữ tại Liên minh châu Âu (Ireland) và hoàn toàn không được chuyển ra ngoài Liên minh châu Âu. Khi bạn tải xuống một bản sao các ảnh kiểm tra khuôn mặt của chính mình (Mục 10.1), trình duyệt của bạn lấy chúng trực tiếp từ AWS tại Liên minh châu Âu (Ireland), dù bạn ở đâu: chúng không đi qua máy chủ của chúng tôi, và chúng tôi không giữ bản sao nào của những gì bạn tải xuống. Các cảnh báo vận hành mô tả ở trên được chuyển đi theo cùng thỏa thuận đó, tại khu vực Amazon mà chúng tôi đã cấu hình cho các cảnh báo ấy. Các thông báo chúng tôi gửi cho người đã báo cáo một đảng cũng được chuyển đi theo chính thỏa thuận đó, tại Liên minh châu Âu (Ireland).
• Neon: điều khoản tiêu chuẩn của Neon, tự động áp dụng khi chúng tôi dùng Neon. Các điều khoản về chuyển dữ liệu cho hợp đồng đó nằm trong điều khoản của công ty mẹ của Neon, và chúng tôi chưa lấy được chúng.
• Coinbase: điều khoản tiêu chuẩn dành cho nhà phát triển của Coinbase. Chúng tôi hiểu rằng những điều khoản đó có kèm một phụ lục về chuyển dữ liệu, và chúng tôi chưa xác nhận được điều này.

Khi một quyết định công nhận mức bảo vệ tương xứng bao phủ một lần chuyển dữ liệu — Liên minh châu Âu và Thụy Sĩ công nhận lẫn nhau — thì chúng tôi dựa vào quyết định đó, và không cần thêm văn kiện nào.

Hai điều nữa bạn nên biết thay vì phải tự suy đoán. Chúng tôi chưa thực hiện đánh giá tác động của việc chuyển dữ liệu cho bất kỳ lần chuyển nào nêu trên. Chúng tôi không dựa vào biện pháp bổ sung nào ngoài các biện pháp bảo mật ở Mục 11. Chúng tôi đang nỗ lực hoàn thiện những văn kiện còn thiếu, và chúng tôi sẽ cập nhật Mục này khi từng văn kiện được hoàn tất.

Bạn có thể yêu cầu chúng tôi cung cấp bản sao các biện pháp bảo vệ nêu trên. Hãy gửi thư đến privacy@worldrepublic.org (Mục 10.1).

8. Lưu trữ dữ liệu

9. Xóa tài khoản

Bạn có thể xóa tài khoản của mình trong Dịch vụ. Việc xóa tài khoản tiêu hủy dữ liệu sinh trắc học mà AWS giữ thay chúng tôi và gỡ bỏ các bản ghi xác minh của bạn. Nó tiêu hủy thông tin đăng nhập của bạn — liên kết tới tài khoản Google của bạn, và mọi khóa truy cập — để không còn đăng nhập được vào tài khoản đó nữa. Nếu sau đó bạn đăng nhập lại, bạn sẽ có một tài khoản mới và trống. Nó thay tên người dùng của bạn bằng một tên sinh ngẫu nhiên, và gỡ bỏ địa chỉ IP cùng chi tiết thiết bị được giữ kèm hồ sơ đồng ý của bạn. Trong cơ sở dữ liệu của chúng tôi, những thay đổi này được thực hiện trên cơ sở dữ liệu chính của chúng tôi, tức cơ sở dữ liệu mà Dịch vụ vận hành trên đó. Nhà cung cấp cơ sở dữ liệu của chúng tôi giữ một lịch sử khôi phục của cơ sở dữ liệu, mà hiện chúng tôi đặt ở mức khoảng sáu giờ, và các bản sao lưu của riêng họ, mà họ tuyên bố là giữ trong 30 ngày; chúng tôi chưa xác nhận với họ các bản sao lưu đó bao gồm những gì. Những gì chúng tôi xóa vẫn còn trong lịch sử đó và các bản sao lưu đó cho đến khi chúng hết hạn. Chúng tôi chỉ tạo một bản sao cơ sở dữ liệu của mình để kiểm thử một thay đổi của Dịch vụ hoặc để khôi phục sau một sự cố, và chúng tôi xóa bản sao đó khi công việc ấy kết thúc. Một bản sao được tạo trước khi bạn xóa tài khoản vẫn giữ những gì nó đã chứa cho đến khi bản sao đó bị xóa, và sau đó nó có thể còn lại trong các bản sao lưu của nhà cung cấp cho đến khi các bản sao lưu ấy hết hạn. Điều tương tự cũng đúng với mọi bản ghi mà Mục 8 nói rằng chúng tôi xóa khỏi cơ sở dữ liệu của mình.

Việc xóa tài khoản cũng làm mất số dư WDD của bạn và chấm dứt các dòng tiền thưởng của bạn — những khoản tiền thưởng vẫn đang được chuyển dần cho bạn. Đó là một điều khoản của Điều khoản sử dụng chứ không phải chuyện về quyền riêng tư, và Mục 8.5 của Điều khoản sử dụng nêu rõ điều đó. Nếu bạn muốn giữ số dư của mình, hãy rút trước khi xóa tài khoản. Bạn không phải xóa tài khoản để dữ liệu sinh trắc học của mình bị tiêu hủy: Mục 4.4 mô tả lộ trình riêng đó, và dùng lộ trình ấy thì số dư WDD của bạn vẫn nguyên vẹn.

Việc xóa tài khoản không gỡ bỏ mọi thứ, và chúng tôi muốn nêu tên những gì còn lại hơn là gọi chúng là ẩn danh. Tài khoản của bạn có một mã định danh nội bộ mà chúng tôi không xóa, và hầu như tất cả các bản ghi dưới đây vẫn gắn với mã định danh đó:

• Rằng bạn đã bỏ phiếu trong từng cuộc bầu cử thử nghiệm, và vào lúc nào — không ghi bạn đã bỏ phiếu cho đảng nào, điều vốn không được lưu cùng tài khoản của bạn. Mục 5.3 cho biết khi nào một lá phiếu vẫn có thể bị liên kết với người đã bỏ lá phiếu đó. Bản ghi rằng bạn đã bỏ phiếu được giữ lại để tỷ lệ đi bầu của mỗi cuộc bầu cử vẫn đúng.
• Bản ghi WDD của bạn — mỗi khoản tiền thưởng đã cấp cho bạn, được giữ dưới dạng dòng đã chuyển khoản đó vào số dư của bạn, mọi thay đổi của dòng ấy, và mỗi lệnh rút bạn đã thực hiện: địa chỉ ví nhận, số tiền và mạng lưới, và, khi một lệnh rút không gửi đi được, bản ghi về lần thử đó. Số dư của bạn được đặt về không và các dòng tiền thưởng của bạn bị gỡ bỏ, nhưng bản ghi về những gì đã được cấp và những gì đã được chi trả thì ở lại. Đây là bản ghi của chúng tôi về số WDD chúng tôi đã cấp và số WDD chúng tôi đã chi trả (Mục 8).
• Mã mời được tạo cho tài khoản của bạn, thứ mà không có gì trong Dịch vụ sử dụng (Mục 3.1).
• Bằng chứng về từng sự đồng ý bạn đã đưa ra và từng sự đồng ý bạn đã rút lại — văn bản nào, phiên bản nào, vào lúc nào, ngôn ngữ và màn hình mà tuyên bố đồng ý được hiển thị trên đó, và, đối với sự đồng ý để một lá phiếu được tính, cuộc bầu cử nào (Mục 8).
• Rằng bạn đã xác nhận mình từ 18 tuổi trở lên, và vào lúc nào — được giữ làm bằng chứng rằng chúng tôi đã hỏi và bạn đã trả lời (Mục 3.1). Chúng tôi không giữ ngày sinh nào, nên không có ngày sinh nào để gỡ bỏ.
• Một đảng bạn đã đăng ký, vẫn ở lại trong danh sách công khai. Tên người dùng sinh ngẫu nhiên sẽ thay thế tên người dùng bạn đã chọn ở vị trí tên lãnh đạo của đảng đó.
• Các cảnh báo vận hành về một việc gì đó đã trục trặc, và các bản sao của chúng trong những hộp thư nhận được chúng — một cảnh báo có thể mang theo địa chỉ ví nhận, số tiền và mạng lưới của một lệnh rút cùng mã tham chiếu mà chúng tôi gán cho lệnh rút đó trong hồ sơ của mình, mã định danh nội bộ của một tài khoản, và mã định danh của một đảng. Khi một giao dịch chuyển tiền đã được gửi đi, một cảnh báo còn có thể mang theo mã băm của giao dịch đó trên blockchain và mã tham chiếu mà nhà cung cấp dịch vụ thanh toán đã gán cho nó. Một cảnh báo không bao giờ mang theo tên hay phần mô tả của một đảng, và không bao giờ mang theo những gì việc xét duyệt tự động đã nói về đảng đó. Một cảnh báo là một thông báo về một sự kiện chứ không phải một bản ghi được giữ dưới tài khoản của bạn, nên nó mang theo bất kỳ mã định danh nào trong số đó mà sự kiện ấy có. Việc xóa tài khoản của bạn không xóa những thứ này (Mục 8).
• Nhật ký máy chủ và nhật ký lỗi, mà các nhà cung cấp dịch vụ lưu trữ và cơ sở dữ liệu của chúng tôi giữ trong một thời hạn chúng tôi không kiểm soát. Một dòng nhật ký có thể mang theo mã định danh nội bộ của tài khoản bạn, địa chỉ mà một yêu cầu đến từ đó và trang mà yêu cầu đó hỏi tới. Việc xóa tài khoản của bạn không xóa những nhật ký này (Mục 8).
• Nhật ký kiểm toán bảo mật của các tài khoản đám mây của chúng tôi, và bản ghi về việc truy cập ảnh kiểm tra khuôn mặt của chúng tôi (Mục 8, nơi nêu rõ mỗi thứ được giữ trong bao lâu). Các mục ghi trong đó có thể mang theo mã định danh nội bộ của tài khoản bạn hoặc nêu tên một trong các phiên kiểm tra khuôn mặt của bạn. Các mục ghi về các lần kiểm tra khuôn mặt của bạn còn có thể mang theo một mã định danh mà AWS gán cho trình duyệt của bạn. Các mục ghi về các bước kiểm tra có mặt trực tiếp của bạn và về những lần chính bạn tải xuống các ảnh kiểm tra khuôn mặt của mình còn mang theo địa chỉ IP và chuỗi user-agent của trình duyệt, và mục ghi về việc thêm khuôn mặt của bạn vào bộ sưu tập ghi lại vị trí của mắt, mũi và miệng bạn trong ảnh tham chiếu và góc nghiêng đầu của bạn, không bao giờ ghi lại ảnh hay mẫu. Việc tiêu hủy dữ liệu khuôn mặt của bạn mà thao tác xóa khởi động sẽ tạo thêm các mục ghi của riêng nó, và việc xóa tài khoản của bạn không xóa bất kỳ mục ghi nào trong số này.
• Các mốc ngày tháng trên chính tài khoản — khi tài khoản được tạo, khi nó thay đổi lần cuối, và khi nó bị xóa.

Những bản ghi đó được giả danh hóa chứ không ẩn danh, và khác biệt này đáng được nói rõ. Không bản ghi nào trong số đó mang theo địa chỉ email của bạn. Không bản ghi nào mang theo tên bạn hay tên người dùng bạn đã chọn. Hầu như tất cả các bản ghi này vẫn gắn với cùng một mã định danh nội bộ, nên chúng vẫn đọc được như những bản ghi của một tài khoản. Có một số loại bản ghi là ngoại lệ cho điều đó, và loại nào cũng đã nêu trên: một cảnh báo vận hành là thông báo về một sự kiện chứ không phải bản ghi được giữ dưới một tài khoản, và một dòng nhật ký máy chủ hay nhật ký lỗi, hoặc một mục ghi trong nhật ký kiểm toán bảo mật hay trong bản ghi về việc truy cập ảnh kiểm tra khuôn mặt của chúng tôi, chỉ đôi khi mới mang mã định danh nội bộ. Một địa chỉ ví nhận thì hơn một mã định danh giả danh: nó là một mã định danh vĩnh viễn trên một blockchain công khai, và bất kỳ ai đã biết một địa chỉ của bạn đều thấy được các khoản thanh toán gửi tới địa chỉ đó. Gọi những bản ghi này là ẩn danh sẽ không đúng sự thật, nên chúng tôi không gọi chúng như vậy.

Bạn có thể lưu một bản sao dữ liệu của mình trước khi xóa tài khoản, và nên làm việc đó trước (Mục 10.1). Một khi tài khoản đã bị xóa thì lộ trình ấy không còn: bản sao được dựng cho một tài khoản đang đăng nhập, và không đăng nhập được vào một tài khoản đã xóa. Sau đó chúng tôi cũng không có cách nào để tự tin rằng một yêu cầu về một tài khoản đã xóa đến từ đúng người từng sở hữu tài khoản đó (Mục 10.3). Bản sao trong ứng dụng không chứa các ảnh kiểm tra khuôn mặt của bạn; các ảnh này được tải xuống riêng, trong Tài khoản → Xác minh, và cũng như bản sao, chúng không thể tải xuống được nữa một khi tài khoản đã bị xóa.

Các lá phiếu bạn đã bỏ vẫn được tính. Lựa chọn của bạn là một phần trong tổng số của đảng và không được lưu cùng tài khoản của bạn, nên không có phần nào của lựa chọn đó mà chúng tôi gỡ bỏ riêng được. Việc xóa tài khoản ghi nhận sự đồng ý của bạn cho việc tính các lá phiếu đó là đã được rút lại, vào đúng ngày hôm đó. Nếu một cuộc bầu cử thử nghiệm mà bạn đã bỏ phiếu vẫn đang diễn ra vào lúc bạn xóa tài khoản, thì dữ liệu sinh trắc học của bạn sẽ bị tiêu hủy khi cuộc bầu cử đó kết thúc chứ không phải ngay lập tức (xem Mục 4.5).

10. Các quyền của bạn

Tùy theo nơi bạn sống, bạn có thể có các quyền dưới đây. Việc thực hiện các quyền này thông thường không tốn gì của bạn (Mục 10.5), và bạn sẽ không bị đối xử khác đi vì đã thực hiện chúng.

• EU/EEA và Vương quốc Anh (GDPR / UK GDPR): truy cập, chỉnh sửa, xóa, hạn chế xử lý, di chuyển dữ liệu, phản đối, và rút lại sự đồng ý. Khi một quyết định về bạn được đưa ra chỉ bằng phương tiện tự động và có ảnh hưởng đáng kể đến bạn — việc từ chối mô tả ở Mục 4.1, và quyết định liệt kê ở Mục 5.1 — bạn còn có quyền yêu cầu có sự can thiệp của con người từ phía chúng tôi, quyền bày tỏ quan điểm của mình, và quyền phản đối quyết định đó; hãy gửi thư đến privacy@worldrepublic.org. Chúng tôi đưa ra cả hai quyết định đó bằng phương tiện tự động vì mỗi quyết định là cần thiết cho dịch vụ mà bạn đã yêu cầu chúng tôi cung cấp. Đối với việc từ chối, dịch vụ đó là một cuộc bầu cử thử nghiệm trong đó một người đã xác minh có một lá phiếu. Đối với quyết định liệt kê, dịch vụ đó là một danh sách công khai trong đó mỗi mục là một đăng ký đảng thật sự. Việc từ chối quyết định dựa trên dữ liệu thuộc nhóm đặc biệt — dữ liệu sinh trắc học của bạn — và điều kiện chúng tôi dựa vào cho việc đó là sự đồng ý rõ ràng bạn đưa ra ở bước kiểm tra khuôn mặt (Mục 4.4). Quyết định liệt kê không bao giờ dựa trên các quan điểm chính trị mà một đăng ký thể hiện; các quan điểm đó chỉ được đọc như một phần của văn bản đang được kiểm tra, và chính bạn làm cho chúng công khai bằng việc đăng ký đảng để công bố (Mục 5.1). Câu trả lời ở Mục 5.2 khác ở cả hai điểm: nó quả thật có đọc lập trường mà một đảng công bố về AI, và nó không thay đổi gì về cách đảng của bạn được hiển thị trừ khi một người xem yêu cầu chỉ xem những đảng nêu lập trường về AI (Mục 5.2). Bạn có thể đề nghị một người xem xét lại câu trả lời đó, và bạn có thể phản đối nó, vì chúng tôi dựa vào lợi ích chính đáng của chúng tôi cho việc đó (Mục 10.6). Bạn có thể khiếu nại với cơ quan giám sát tại địa phương của bạn; đối với mục đích của GDPR EU, cơ quan giám sát chính của chúng tôi là NAIH của Hungary (Mục 14).
• Thụy Sĩ (revFADP): truy cập, chỉnh sửa, xóa, di chuyển dữ liệu (Điều 28 revFADP), phản đối, và quyền khiếu nại với Ủy viên Liên bang về Bảo vệ Dữ liệu và Thông tin (FDPIC). Đối với việc từ chối tự động mô tả ở Mục 4.1, bạn cũng có thể nêu quan điểm của mình và yêu cầu một người xem xét lại quyết định đó.
• Brazil (LGPD): xác nhận rằng chúng tôi có xử lý dữ liệu của bạn, truy cập, sửa chữa, ẩn danh hóa hoặc xóa, di chuyển dữ liệu, thông tin về việc chúng tôi đã chia sẻ dữ liệu của bạn với những ai, và rút lại sự đồng ý.
• California (CCPA/CPRA): được biết, xóa, sửa chữa, từ chối việc bán/chia sẻ (chúng tôi không bán và không chia sẻ), và hạn chế việc sử dụng thông tin cá nhân nhạy cảm (bao gồm cả dữ liệu sinh trắc học).
• Các luật về sinh trắc học (BIPA của Illinois, CUBI của Texas, Washington): chúng tôi có được sự đồng ý của bạn trước khi thu thập dữ liệu sinh trắc học, không bao giờ bán, cho thuê, trao đổi hay kiếm lợi bằng cách nào khác từ dữ liệu đó, và tuân theo một lịch trình lưu trữ và tiêu hủy bằng văn bản. Dữ liệu đó không bao giờ là một phần của một vụ sáp nhập, mua lại hay chuyển nhượng tài sản (Mục 6).

Bạn có thể rút lại sự đồng ý của mình cho việc tính lá phiếu của bạn (Mục 5.3) bất cứ lúc nào: trong ứng dụng, hãy mở Tài khoản → Xác minh → Rút lại sự đồng ý xử lý phiếu bầu. Việc rút lại áp dụng cho mọi cuộc bầu cử mà bạn đã bỏ phiếu, và chúng tôi ghi lại ngày bạn rút lại (Mục 8). Việc rút lại không ảnh hưởng đến tính hợp pháp của việc tính các lá phiếu của bạn trước khi bạn rút lại. Một lá phiếu đã được tính vẫn nằm trong tổng số của đảng: lựa chọn của bạn là một phần trong tổng số đó và không được lưu cùng tài khoản của bạn, nên không có phần nào của lựa chọn đó mà chúng tôi gỡ bỏ riêng được (Mục 9). Việc rút lại không rút ngắn các khoảng thời gian nêu ở Mục 5.3 trong đó một lá phiếu vẫn có thể bị liên kết với bạn. Lần bỏ phiếu tiếp theo sẽ lại xin sự đồng ý của bạn.

10.1 Thực hiện các quyền này như thế nào

Có hai lộ trình. Lộ trình thứ nhất đáp ứng quyền truy cập và quyền di chuyển dữ liệu ngay tại chỗ, không cần hỏi ai cả.

• Trong ứng dụng. Hãy mở phần cài đặt tài khoản; trong mục Tài khoản có một dòng tên là Dữ liệu của bạn. Dòng này dựng một bản sao mọi thứ chúng tôi đang giữ về bạn mà chúng tôi truy cập được từ tài khoản của bạn — một trang bạn đọc được, và một tệp máy đọc được mà bạn có thể đưa cho một dịch vụ khác. Bản sao được dựng ngay lúc bạn yêu cầu, cho chính tài khoản đang yêu cầu, và nó không được lưu ở đâu cả: chúng tôi không giữ bản sao nào của nó và không có liên kết nào để gửi cho người khác. Đó là câu trả lời của chúng tôi cho quyền truy cập và quyền di chuyển dữ liệu, và bạn không phải hỏi xin chúng tôi. Nó không chứa các ảnh mà những lần kiểm tra khuôn mặt của bạn đã để lại ở chỗ chúng tôi: các ảnh này nằm ngoài một tệp được dựng ra để trao tiếp cho nơi khác. Thay vào đó, hãy tải chúng xuống từ Tài khoản → Xác minh, nơi chúng đến dưới dạng một tệp riêng — mọi ảnh được giữ dưới những lần kiểm tra khuôn mặt của chính bạn, và không bao giờ có một ảnh nào được giữ dưới lần kiểm tra của người khác. Việc xóa tài khoản cũng nằm trên cùng màn hình đó.
• Bằng văn bản. Mọi việc khác — chỉnh sửa, hạn chế xử lý, phản đối, một câu hỏi về dữ liệu mà các nhà cung cấp của chúng tôi đang giữ (Mục 4.3 và Mục 6), hoặc một khiếu nại về một quyết định — đều gửi đến privacy@worldrepublic.org.

Việc đăng nhập không để lại cho chúng tôi địa chỉ email nào của bạn (Mục 3.1), nên thông thường chúng tôi chỉ trả lời được vào địa chỉ mà bạn đã viết thư từ đó. Có một ngoại lệ, và nó rất hẹp. Nếu bạn báo cáo một đảng, chúng tôi giữ địa chỉ bạn đã cung cấp trong báo cáo đó, và chúng tôi dùng nó cho chính báo cáo đó chứ không cho việc gì khác: để xác nhận chúng tôi đã nhận được, và để cho bạn biết chúng tôi đã quyết định thế nào. Chúng tôi không dùng nó để trả lời một câu hỏi khác, để báo cho bạn về một thay đổi của chính sách này, hay để gửi cho bạn bất cứ thứ gì bạn không yêu cầu. Nó cũng là một phần của bản ghi về quyết định, và đó là lý do Mục 8 giữ lại nó thay vì bỏ đi khi cả hai thông báo đã được gửi.

10.2 Chúng tôi mất bao lâu

Balázs Kónya, thành viên ban điều hành, chịu trách nhiệm trả lời các yêu cầu gửi đến privacy@worldrepublic.org, trong các thời hạn nêu dưới đây. Chúng tôi không hứa một thời hạn nội bộ ngắn hơn mức pháp luật yêu cầu: một mục tiêu không ai vận hành thì tệ hơn là đáp ứng đúng thời hạn luật định, và các thời hạn dưới đây là những gì chúng tôi làm theo.

Thời gian được tính từ ngày yêu cầu của bạn đến chỗ chúng tôi — không phải từ ngày chúng tôi xác định xong bạn là ai, và không phải từ ngày chúng tôi tìm ra thứ bạn đã hỏi. Theo GDPR và GDPR của Vương quốc Anh, chúng tôi trả lời không chậm trễ quá mức và trong mọi trường hợp là trong vòng một tháng kể từ khi nhận được. Khi một yêu cầu phức tạp, hoặc khi bạn đã gửi nhiều yêu cầu, chúng tôi có thể mất thêm tối đa hai tháng nữa; chúng tôi sẽ báo cho bạn trong tháng đầu tiên rằng chúng tôi làm như vậy, và vì sao.

Khi pháp luật nơi bạn sống quy định khác, thì chúng tôi làm theo quy định đó:

• Vương quốc Anh. Nếu chúng tôi cần một cách hợp lý thêm thông tin để xác định bạn là ai hoặc để tìm thứ bạn đã hỏi, thì đồng hồ tạm dừng từ ngày chúng tôi hỏi cho đến ngày bạn trả lời. Chúng tôi chỉ hỏi khi thực sự không tiến hành được nếu thiếu thông tin đó.
• Brazil. Chúng tôi xác nhận có xử lý dữ liệu của bạn hay không và cho bạn truy cập dữ liệu đó ở dạng rút gọn ngay lập tức, và đầy đủ trong vòng 15 ngày kể từ yêu cầu của bạn.
• Thụy Sĩ. Theo thông lệ, chúng tôi trả lời trong vòng 30 ngày. Câu trả lời mang theo những gì Điều 25(2) revFADP yêu cầu phải có, gồm cả các bên nhận hoặc nhóm bên nhận mà dữ liệu của bạn đi tới và, khi dữ liệu đi ra nước ngoài, là quốc gia nào cùng các biện pháp bảo vệ mà chúng tôi dựa vào — Mục 6 và Mục 7 nêu rõ cả hai từ trước.
• California. Chúng tôi xác nhận đã nhận được trong vòng 10 ngày làm việc và trả lời trong vòng 45 ngày, thời hạn này chúng tôi có thể gia hạn một lần thêm 45 ngày nữa nếu chúng tôi nói cho bạn biết vì sao.

10.3 Làm sao chúng tôi biết đó là bạn

Chúng tôi không giữ giấy tờ tùy thân nào của bạn và không có địa chỉ nào trong hồ sơ, nên những bậc dưới đây là tất cả những gì chúng tôi có. Chúng tôi đi lần lượt xuống và dừng ở bậc đầu tiên xác định được bạn là ai.

1. Tài khoản đang đăng nhập của bạn. Bản sao trong ứng dụng, và việc tải xuống các ảnh kiểm tra khuôn mặt của bạn, được dựng cho tài khoản yêu cầu chúng, ngay tại thời điểm tài khoản đó yêu cầu. Không gì xác định bạn tốt hơn, và đó là lý do nó là lộ trình đầu tiên ở Mục 10.1 chứ không phải chỉ là một tiện lợi.
2. Một khóa truy cập đã đăng ký cho tài khoản đó. Nếu bạn không vào được ứng dụng, chúng tôi có thể đề nghị bạn hoàn tất một lần đăng nhập bằng khóa truy cập đối với một thông tin xác thực mà tài khoản đã có sẵn.
3. Tài khoản Google được liên kết với tài khoản đó. Nếu bạn đã đăng nhập bằng Google, chúng tôi có thể đề nghị bạn chứng minh quyền kiểm soát tài khoản đó bằng cách đăng nhập bằng nó.
4. Thêm thông tin. Nếu không cách nào trong số đó khả thi, chúng tôi có thể hỏi bạn thêm thông tin mà chúng tôi cần một cách hợp lý để yên tâm rằng yêu cầu là của bạn, và không hỏi gì hơn thế.
5. Một văn bản từ chối. Nếu chúng tôi vẫn chưa yên tâm được, chúng tôi sẽ nói với bạn điều đó bằng văn bản, trong thời hạn ở Mục 10.2, kèm lý do của chúng tôi và kèm lộ trình khiếu nại ở Mục 10.4. Chúng tôi thà từ chối một yêu cầu mà mình không xác định được còn hơn trả lời nó cho nhầm người.

Chúng tôi sẽ không bao giờ chấp nhận một địa chỉ ví làm bằng chứng bạn là ai. Các lệnh rút được thực hiện trên blockchain công khai, nên một địa chỉ bạn từng dùng là thứ bất kỳ ai đọc blockchain đều nêu ra được; biết nó không chứng minh được gì, và việc ký một thông điệp từ địa chỉ đó chỉ chứng minh quyền kiểm soát một khóa chứ không phải quyền kiểm soát tài khoản này.

Chúng tôi cũng sẽ không hỏi bạn giấy tờ tùy thân để trả lời một yêu cầu. Chúng tôi không giữ giấy tờ tùy thân nào để đối chiếu, nên nó sẽ không cho chúng tôi biết điều gì và sẽ khiến bạn tốn kém hơn giá trị của chính yêu cầu đó.

10.4 Nếu chúng tôi từ chối

Nếu chúng tôi không thực hiện yêu cầu của bạn, chúng tôi sẽ nói cho bạn biết vì sao, trong thời hạn ở Mục 10.2, và chúng tôi sẽ cho bạn biết cần làm gì tiếp theo. Bạn có thể khiếu nại với cơ quan bảo vệ dữ liệu nơi bạn sống — với mục đích của EU là NAIH của Hungary, ở Thụy Sĩ là FDPIC, ở Vương quốc Anh là ICO (Mục 14) — và bạn có thể khởi kiện ra tòa. Cả hai đều không phụ thuộc vào sự đồng ý của chúng tôi.

Tại Vương quốc Anh, bạn còn có quyền khiếu nại trực tiếp với chúng tôi. Chúng tôi sẽ xác nhận đã nhận được khiếu nại trong vòng 30 ngày và cho bạn biết kết quả không chậm trễ quá mức. Khiếu nại với chúng tôi không phải là điều kiện để khiếu nại với ICO.

10.5 Việc này tốn gì

Không tốn gì. Khi một yêu cầu rõ ràng là vô căn cứ hoặc quá mức — đặc biệt khi nó lặp lại một yêu cầu chúng tôi đã trả lời — pháp luật cho phép chúng tôi thu một khoản phí hợp lý hoặc từ chối, và nếu chúng tôi có bao giờ làm một trong hai điều đó, chúng tôi sẽ nói rõ là điều nào và vì sao. Chúng tôi thà từ chối một yêu cầu kèm lý do còn hơn đặt giá cho tất cả những yêu cầu còn lại.

Tệp máy đọc được và việc tải xuống các ảnh kiểm tra khuôn mặt của bạn có chung một giới hạn nhỏ về số bản sao có thể tạo trong bất kỳ khoảng 24 giờ nào. Đó không phải là một khoản phí và cũng không phải chuyện dung lượng: nó ở đó để một người chiếm được phiên đăng nhập của bạn không lặng lẽ lấy đi được toàn bộ hồ sơ của bạn hết lần này đến lần khác. Nó không bao giờ ngăn bạn đọc bản sao trên màn hình, và không bao giờ ngăn bạn viết thư cho chúng tôi.

10.6 Hai quyền chúng tôi thực hiện thủ công

Quyền truy cập, quyền di chuyển dữ liệu và quyền xóa đã có sẵn trong ứng dụng và không cần yêu cầu. Quyền hạn chế xử lý và quyền phản đối thì không. Chúng tôi không có công tắc nào để tạm dừng việc xử lý một phần hồ sơ của bạn trong khi phần còn lại vẫn chạy, nên một yêu cầu hạn chế xử lý hoặc phản đối sẽ do chúng tôi thực hiện thủ công, theo từng trường hợp, trong các thời hạn ở Mục 10.2. Hãy viết thư cho chúng tôi, nói rõ bạn muốn dừng việc gì và điều gì trong hoàn cảnh của bạn khiến việc đó quan trọng, và chúng tôi sẽ cân nhắc rồi cho bạn biết chúng tôi đã làm gì. Chúng tôi thà nói với bạn rằng việc này là thủ công còn hơn để bạn tự suy ra từ việc nó mất bao lâu.

11. Bảo mật

Chúng tôi dùng TLS khi truyền dữ liệu và lưu trữ có kiểm soát truy cập. Quyền truy cập trực tiếp vào cơ sở dữ liệu của chúng tôi chỉ giới hạn cho những người được chúng tôi cho phép vận hành Dịch vụ, các nhà cung cấp cơ sở dữ liệu và dịch vụ lưu trữ của chúng tôi, và phần mềm chúng tôi dùng để vận hành Dịch vụ. Chúng tôi chỉ tạo một bản sao cơ sở dữ liệu của mình để kiểm thử một thay đổi của Dịch vụ hoặc để khôi phục sau một sự cố, và chúng tôi xóa bản sao đó khi công việc ấy kết thúc. Một bản sao chứa cùng dữ liệu đó, và Mục 9 cho biết bản sao giữ những gì chúng tôi xóa trong bao lâu. Không hệ thống nào an toàn tuyệt đối, nhưng chúng tôi nỗ lực bảo vệ dữ liệu của bạn.

12. Trẻ em

Dịch vụ dành cho người trưởng thành từ 18 tuổi trở lên. Trước khi xác minh danh tính của bạn, chúng tôi đề nghị bạn xác nhận mình từ 18 tuổi trở lên, và chúng tôi không xác minh cho ai không xác nhận điều đó. Chúng tôi chỉ ghi lại rằng xác nhận đã được đưa ra và vào lúc nào; chúng tôi không hỏi ngày sinh của bạn.

Chúng tôi không cố ý thu thập dữ liệu từ bất kỳ ai dưới 18 tuổi. Nếu chúng tôi biết được rằng mình đang giữ dữ liệu về một người dưới 18 tuổi, chúng tôi đóng tài khoản của họ và tiêu hủy dữ liệu sinh trắc học của họ như Mục 2 trong Chính sách lưu trữ và tiêu hủy dữ liệu sinh trắc học của chúng tôi nêu rõ. Nếu bạn cho rằng có ai đó dưới 18 tuổi đang có tài khoản, hãy liên hệ privacy@worldrepublic.org.

13. Các thay đổi

Chúng tôi có thể cập nhật chính sách này. Khi làm vậy, chúng tôi công bố văn bản mới trên trang này và sửa lại ngày “Cập nhật lần cuối” ở trên. Một thay đổi đối với chính sách này có hiệu lực khi chúng tôi công bố nó. Chính sách này mô tả những gì chúng tôi thực sự làm với dữ liệu của bạn, nên nó phải trở thành đúng vào đúng thời điểm điều mà nó mô tả trở thành đúng; giữ lại một thay đổi trong một tháng chỉ có nghĩa là chính sách này sai suốt một tháng. Điều đó khác với Điều khoản sử dụng. Điều khoản sử dụng là thỏa thuận giữa bạn và chúng tôi, và Mục 14 của Điều khoản sử dụng cho bạn 30 ngày trước khi một thay đổi quan trọng đối với thỏa thuận đó áp dụng với bạn.

Một thay đổi thì chậm hơn, và cố ý như vậy. Nếu chúng tôi có bao giờ kéo dài thời hạn giữ dữ liệu sinh trắc học, thì thời hạn dài hơn đó không áp dụng cho dữ liệu chúng tôi đang giữ sẵn cho đến khi thay đổi ấy được công bố đủ 30 ngày. Mục 6 của Chính sách lưu trữ và tiêu hủy dữ liệu sinh trắc học nêu rõ điều đó, và nó điều chỉnh thời hạn được nêu ở Mục 4.5 và trong bảng lưu trữ ở Mục 8.

Chúng tôi không gửi được thông báo cho bạn khi chính sách này thay đổi. Việc đăng nhập không để lại cho chúng tôi địa chỉ email, số điện thoại hay địa chỉ bưu chính nào, vì chúng tôi cố ý không giữ những thứ đó (Mục 3.1), và Dịch vụ cũng không có biểu ngữ hay thông báo nào để báo cho bạn. Nếu bạn đã báo cáo một đảng thì chúng tôi có giữ địa chỉ bạn đã cung cấp trong báo cáo đó — và chúng tôi sẽ không dùng nó cho việc này, hay cho bất cứ việc gì ngoài chính báo cáo ấy (Mục 10.1). Đó là hệ quả của việc giữ quá ít: ngoài một địa chỉ được cung cấp trong một báo cáo, chúng tôi không giữ thông tin liên hệ nào của bạn. Mục 10.1 nói điều tương tự về mọi thứ khác — chúng tôi chỉ trả lời được vào địa chỉ mà bạn viết thư từ đó. Vậy nên chính trang này là thông báo: văn bản hiện hành luôn ở đây, và ngày ở trên là ngày chúng tôi thay đổi chính sách này lần gần nhất.

Chính sách này được viết bằng tiếng Anh, và chúng tôi công bố nó bằng các ngôn ngữ khác. Bản áp dụng cho bạn là bản bằng ngôn ngữ mà Dịch vụ đã hiển thị cho bạn. Khi bản đó và văn bản tiếng Anh khác nhau, thì cách hiểu có lợi hơn cho bạn sẽ được áp dụng.

14. Liên hệ

• Quyền riêng tư: privacy@worldrepublic.org
• Liên hệ tại Liên minh châu Âu: Balázs Kónya, thành viên ban điều hành, 3626 Hangony, Dózsa György út 5., Hungary (privacy@worldrepublic.org)
• Cơ quan giám sát chính tại EU: Cơ quan Quốc gia Hungary về Bảo vệ Dữ liệu và Tự do Thông tin (NAIH), Budapest — naih.hu
• Cơ quan giám sát của Thụy Sĩ: Ủy viên Liên bang về Bảo vệ Dữ liệu và Thông tin (FDPIC), Bern
• Cơ quan giám sát của Vương quốc Anh: Văn phòng Ủy viên Thông tin (ICO), Wilmslow — ico.org.uk