Bảo mật tại Ruya

Nhật ký giấc mơ là một trong những thứ riêng tư nhất mà một người có thể lưu giữ. Với Ruya, bảo vệ nhật ký ấy không phải là một tính năng đi kèm: đó là điều kiện cho mọi thứ khác mà chúng tôi xây dựng. Trang này giải thích bằng ngôn ngữ dễ hiểu cách dữ liệu của bạn được bảo vệ, những điều chúng tôi chủ động không bao giờ làm với dữ liệu đó, và cách liên hệ với chúng tôi nếu bạn phát hiện một vấn đề bảo mật.

Dữ liệu của bạn được bảo vệ như thế nào

• Được mã hóa khi truyền tải. Mọi kết nối giữa thiết bị của bạn và máy chủ của chúng tôi đều dùng TLS (HTTPS). Không có đường truyền nào đến Ruya mà không được mã hóa.
• Được mã hóa khi lưu trữ. Cơ sở dữ liệu và kho lưu trữ tệp của chúng tôi được mã hóa khi lưu trữ. Riêng dữ liệu nhạy cảm nhất của bạn, tức bối cảnh cá nhân dùng để giúp việc giải mã giấc mơ chính xác hơn, còn được mã hóa thêm ở cấp ứng dụng bằng AES-256, nên vẫn không thể đọc được ngay cả khi ai đó xuất trực tiếp cơ sở dữ liệu thô.
• Mật khẩu không bao giờ được lưu. Chúng tôi chỉ giữ một mã hash bcrypt một chiều của mật khẩu bạn. Không ai tại Ruya có thể nhìn thấy mật khẩu, và không thể khôi phục nó từ cơ sở dữ liệu của chúng tôi.
• Đặt tại Liên minh châu Âu. Ruya chạy trên Microsoft Azure và MongoDB Atlas, tại các trung tâm dữ liệu ở EU đặt tại Ireland.
• Chống lạm dụng. Các luồng đăng nhập và tài khoản được bảo vệ khỏi bot bằng Cloudflare Turnstile, và API của chúng tôi áp dụng giới hạn tần suất truy cập (rate limiting).

Giấc mơ của bạn luôn riêng tư

Nhật ký chỉ dành cho riêng bạn. Chúng tôi coi nội dung giấc mơ, ghi chép ngày và các sự kiện cuộc sống của bạn là hoàn toàn riêng tư:

• Không chia sẻ với bên phân tích hay nhà quảng cáo. Nội dung các bản ghi của bạn không bao giờ được gửi đến bất kỳ dịch vụ phân tích hay quảng cáo nào. Số liệu sử dụng chỉ cho biết một giấc mơ đã được lưu, chứ không bao giờ cho biết giấc mơ đó viết gì.
• Nhân viên Ruya không thể xem nhật ký của bạn. Công cụ hỗ trợ nội bộ của chúng tôi chỉ hiển thị thông tin tài khoản, thông tin gói đăng ký và số lượng bản ghi. Không có tính năng nào cho phép quản trị viên xem nhật ký của một thành viên.
• Không bao giờ dùng để huấn luyện AI. Việc giải mã giấc mơ chạy trên Azure OpenAI theo điều khoản dành cho doanh nghiệp: nội dung của bạn không bao giờ được dùng để huấn luyện các mô hình AI.
• Khóa ứng dụng tùy chọn. Bạn có thể bảo vệ ứng dụng di động bằng Face ID, Touch ID hoặc mật mã thiết bị, để nhật ký vẫn riêng tư ngay cả khi có người mượn điện thoại của bạn.

Thanh toán

Mọi gói đăng ký đều được xử lý bởi App Store của Apple, Google Play, hoặc các đối tác thanh toán của chúng tôi là RevenueCat và Stripe trên nền web. Thông tin thẻ của bạn được gửi thẳng đến các nhà cung cấp đó: thông tin này không đi qua máy chủ của Ruya và chúng tôi cũng không lưu trữ.

Quyền kiểm soát của bạn

• Xóa tài khoản bất cứ lúc nào. Khi bạn xóa tài khoản, nhật ký và dữ liệu cá nhân của bạn sẽ bị xóa vĩnh viễn khỏi hệ thống vận hành của chúng tôi.
• Bối cảnh cá nhân là tùy chọn. Bạn quyết định có lưu các câu trả lời của mình trong quá trình giải mã để cải thiện những lần giải mã sau hay không, và bạn có thể tắt tùy chọn này.
• Mang giấc mơ của bạn theo. Bạn có thể xuất nhật ký thành một cuốn sách giấc mơ được trình bày đẹp mắt bất cứ khi nào muốn có bản sao của riêng mình.

Báo cáo sự cố bảo mật

Không hệ thống nào là hoàn hảo, và chúng tôi trân trọng công sức của các nhà nghiên cứu bảo mật. Nếu bạn cho rằng mình đã phát hiện một lỗ hổng trong bất kỳ dịch vụ nào của Ruya: ruya.co, web.ruya.co, API của chúng tôi, hoặc ứng dụng iOS và Android, vui lòng gửi email đến [email protected] kèm mô tả vấn đề, các bước tái hiện và tác động tiềm ẩn của nó.

Nếu bạn báo cáo với thiện chí, chúng tôi cam kết:

• Xác nhận đã nhận báo cáo của bạn trong vòng 3 ngày làm việc.
• Thông báo cho bạn về tiến độ trong suốt quá trình chúng tôi điều tra và khắc phục vấn đề.
• Ghi nhận công khai đóng góp của bạn đối với báo cáo đã được xác minh, nếu bạn muốn.
• Không khởi kiện hay thực hiện hành động pháp lý đối với hoạt động nghiên cứu được tiến hành với thiện chí theo chính sách này.

Đổi lại, chúng tôi đề nghị bạn:

• Chỉ thử nghiệm trên các tài khoản do chính bạn sở hữu: tuyệt đối không truy cập, chỉnh sửa hay xóa dữ liệu của thành viên khác.
• Không thực hiện kiểm thử tấn công từ chối dịch vụ, gửi thư rác hoặc tấn công phi kỹ thuật (social engineering) nhằm vào Ruya hay các thành viên của Ruya.
• Giữ cho mọi hoạt động quét tự động ở mức lưu lượng thấp để không ảnh hưởng đến các thành viên khác.
• Dành cho chúng tôi một khoảng thời gian hợp lý để khắc phục vấn đề trước khi công bố công khai.
• Báo cáo trực tiếp cho các nhà cung cấp về những lỗ hổng thuộc nền tảng bên thứ ba mà chúng tôi sử dụng (Apple, Google, Stripe, RevenueCat, Microsoft Azure, Cloudflare).

Hiện tại chúng tôi chưa có chương trình thưởng lỗ hổng (bug bounty) có trả phí, nhưng mọi báo cáo hợp lệ đều được điều tra, khắc phục và ghi nhận. Thông tin liên hệ bảo mật dạng máy đọc được của chúng tôi được công bố tại ruya.co/.well-known/security.txt.

Bảo mật là công việc không bao giờ kết thúc. Chúng tôi thường xuyên rà soát các biện pháp của mình và sẽ tiếp tục cập nhật trang này khi chương trình bảo mật phát triển. Cập nhật lần cuối: tháng 8 năm 2026.