Chính sách bảo mật
Cờ Tướng Online (trang chủ) là trò chơi cờ tướng miễn phí trên web. Trang này giải thích dữ liệu nào được thu thập, dùng để làm gì và bạn có thể yêu cầu xoá ra sao.
1. Chơi với tư cách khách
Bạn có thể chơi mà không cần đăng nhập. Khi chơi với tư cách khách, chúng tôi không tạo tài khoản và không lưu thông tin nào của bạn vào cơ sở dữ liệu.
- Tên bạn nhập, nước đi và tin nhắn trò chuyện chỉ nằm trong bộ nhớ tạm của server khi phòng còn hoạt động, rồi bị xoá (khi phòng trống quá 12 giờ hoặc khi server khởi động lại).
- Trình duyệt của bạn tự lưu một vài cài đặt trên chính thiết bị (localStorage): tên đã nhập, mã ngẫu nhiên để giữ ghế khi tải lại trang, phòng gần nhất, bật/tắt âm thanh, ngôn ngữ (Tiếng Việt/English), ván đang chơi với máy. Bạn có thể xoá bằng cách xoá dữ liệu trang web trong trình duyệt.
2. Khi đăng nhập bằng Google
Đăng nhập là tuỳ chọn. Chúng tôi chỉ xin quyền thông tin hồ sơ công khai cơ bản (openid, profile) và lưu:
- Nhà cung cấp đăng nhập (Google) và mã định danh tài khoản Google cấp cho ứng dụng này (“sub”);
- Tên hiển thị;
- Đường dẫn ảnh đại diện (ảnh vẫn nằm trên máy chủ của Google, chúng tôi không tải về lưu);
- Ngày tạo tài khoản và thống kê số ván Thắng/Thua/Hoà của các ván online;
- Điểm Elo và số ván xếp hạng cho từng kiểu cờ (cờ tướng, cờ úp) khi bạn dùng “Tìm đối thủ tự động”;
- Một mã tài khoản nội bộ ngẫu nhiên;
- Tin nhắn riêng bạn gửi / nhận với người chơi đã đăng nhập khác (nội dung tối đa 500 ký tự, người gửi, người nhận, thời gian gửi, đã đọc hay chưa) và danh sách người bạn đã chặn.
Chúng tôi không yêu cầu và không lưu địa chỉ email, số điện thoại, danh sách bạn bè hay mật khẩu. Mật khẩu của bạn chỉ nhập trên trang của Google. Mã truy cập (access token) nhà cung cấp trả về chỉ được dùng một lần để đọc hồ sơ trên và không được lưu lại.
3. Mục đích sử dụng
- Hiển thị tên và ảnh đại diện của bạn ở sảnh và trong phòng chơi (người cùng phòng sẽ thấy tên của bạn);
- Ghi và hiển thị thống kê Thắng/Thua/Hoà và điểm Elo; ghép bạn với đối thủ có Elo gần nhau (tên và Elo của bạn được hiển thị cho đối thủ được ghép);
- Hiển thị thẻ “Thông tin người chơi” khi người khác chạm vào ảnh đại diện của bạn: tên, ảnh đại diện, loại đăng nhập (Google), Elo từng kiểu cờ, số ván Thắng/Thua/Hoà, số ván xếp hạng và ngày tham gia (không bao giờ hiện mã định danh của nhà cung cấp);
- Chuyển tin nhắn riêng tới người nhận (gửi ngay nếu họ đang online, nếu không thì lưu để họ đọc lần sau) và chặn tin từ người bạn đã chặn;
- Giữ trạng thái đăng nhập.
Tin nhắn riêng: chỉ người đã đăng nhập mới gửi / nhận được; khách không dùng được. Tin nhắn được lưu dạng văn bản trong cơ sở dữ liệu (không mã hoá đầu-cuối) để chuyển và hiển thị lại cho hai người trong cuộc; chúng tôi không đọc tin nhắn, trừ khi cần xử lý báo cáo lạm dụng hoặc theo yêu cầu của pháp luật. Tin nhắn và danh sách chặn bị xoá cùng tài khoản khi bạn yêu cầu xoá dữ liệu. Đừng gửi thông tin nhạy cảm (mật khẩu, số tài khoản…) qua tin nhắn.
Chúng tôi không dùng dữ liệu cho quảng cáo và không lập hồ sơ người dùng.
4. Cookie
ct_session: cookie đăng nhập có chữ ký, chỉ chứa mã tài khoản nội bộ và thời hạn (30 ngày). Bị xoá khi bạn bấm “Đăng xuất”.ct_oauth: cookie tạm (10 phút) để bảo vệ quá trình đăng nhập khỏi giả mạo.
Không có cookie quảng cáo hay theo dõi.
5. Lưu trữ và bảo mật
Dữ liệu tài khoản được lưu trong cơ sở dữ liệu PostgreSQL do nhà cung cấp dịch vụ lưu trữ (Supabase) vận hành; ứng dụng chạy trên Render.com. Kết nối dùng HTTPS. Phông chữ được tải từ Google Fonts, và ảnh đại diện được tải trực tiếp từ máy chủ Google, nên các dịch vụ này có thể nhận địa chỉ IP của trình duyệt theo chính sách của họ. Nhà cung cấp hosting có thể ghi nhật ký kỹ thuật thông thường (như địa chỉ IP, thời gian truy cập) để vận hành dịch vụ. Các nút chia sẻ (Zalo, Messenger, Facebook) chỉ mở trang / ứng dụng của các dịch vụ đó kèm đường link bạn muốn gửi; chúng tôi không gửi dữ liệu tài khoản nào cho họ.
Dữ liệu được giữ đến khi bạn yêu cầu xoá.
6. Không bán, không chia sẻ
Chúng tôi không bán, không cho thuê và không chia sẻ dữ liệu của bạn cho bên thứ ba, ngoài các nhà cung cấp hạ tầng nêu trên (chỉ để vận hành dịch vụ) hoặc khi pháp luật bắt buộc.
7. Quyền của bạn – xoá dữ liệu
Bạn có thể yêu cầu xem, sửa hoặc xoá dữ liệu bất cứ lúc nào bằng cách gửi email tới huydinhvn1@gmail.com. Xem hướng dẫn chi tiết tại trang Xoá dữ liệu. Bạn cũng có thể thu hồi quyền truy cập của ứng dụng trong cài đặt tài khoản Google.
8. Trẻ em
Dịch vụ không nhắm tới trẻ em dưới 13 tuổi. Đăng nhập Google tuân theo giới hạn độ tuổi của Google.
9. Thay đổi và liên hệ
Khi chính sách thay đổi, ngày cập nhật ở đầu trang sẽ được đổi. Mọi câu hỏi xin gửi về huydinhvn1@gmail.com.
Privacy Policy (English)
Guests: you can play without signing in. No account is created and nothing about you is stored in our database. Your typed name, moves and chat exist only in server memory while a room is active (cleared after 12 idle hours or on restart). Your browser keeps a few settings locally (name, a random seat token, last room, sound, language, saved game vs. computer).
Google sign-in (optional): we request only basic profile scopes (openid profile) and store: the provider (Google), Google's user ID for this app, your display name, your profile picture URL, the account creation date, your win/loss/draw counts, your Elo rating and number of rated games per variant (standard / jieqi), a random internal ID, and — if you use them — your private messages with other signed-in players (text up to 500 characters, sender, recipient, time sent, read status) and your block list. We do not request or store your email address, phone number, friends list or password. The access token is used once to read that profile and is not kept.
Purpose: to show your name and avatar in the lobby and game rooms, to keep your win/loss/draw statistics and Elo rating, to pair you with opponents of similar rating (your name and rating are shown to the matched opponent), to show your public “player info” card (name, avatar, sign-in type, Elo per variant, win/loss/draw, rated games, join date — never the provider's user ID), to deliver private messages (live if the recipient is online, otherwise stored until they read them; guests cannot send or receive messages; messages are stored as plain text, not end-to-end encrypted, and are only accessed to handle abuse reports or where required by law; they are deleted with your account), and to keep you signed in (signed ct_session cookie, 30 days; temporary ct_oauth cookie during sign-in). No advertising or tracking.
Storage: a PostgreSQL database run by our hosting provider (Supabase); the app runs on Render.com over HTTPS. Fonts load from Google Fonts and avatars load from Google servers. The share buttons (Zalo, Messenger, Facebook) only open those services with the link you chose to send. Data is kept until you ask us to delete it.
No selling or sharing: we do not sell, rent or share your data with third parties, except the infrastructure providers above or where required by law.
Deletion and contact: email huydinhvn1@gmail.com to access or delete your data — see Data deletion. You can also revoke the app's access in your Google account settings.