Điều khoản, quyền riêng tư và bảo mật

Trạng thái: DRAFT — Cloud beta. Tài liệu này mô tả cách RexBloom bảo vệ dữ liệu của bạn và cách báo cáo lỗ hổng. Không phải tư vấn pháp lý.

Lần cập nhật cuối: 2026-09-19

1. Cách RexBloom bảo vệ dữ liệu

• Mật khẩu: hash bằng Argon2id, không lưu plaintext, không ghi vào log.
• Tách dữ liệu giữa người dùng: Postgres Row-Level Security trên mọi bảng có user_id. User A không đọc được dữ liệu của user B.
• Mã hóa khi truyền: TLS trên mọi kết nối.
• Mã hóa khi lưu: mã hóa at-rest của nhà cung cấp database, cộng mã hóa cấp ứng dụng cho trường nhạy cảm (khoá BYOK).
• Không E2EE thật ở giai đoạn hiện tại: server cần đọc một số trường để tính toán và gọi AI. Đây là đánh đổi đã ghi trong ADR sản phẩm.
• Nhật ký kiểm tra: mọi thay đổi dữ liệu được ghi audit_log trong cùng giao dịch.

2. Dữ liệu nhạy cảm

• Khoá BYOK được mã hóa, không log plaintext.
• Ảnh đại diện Google (nếu bạn đăng nhập Google) được lưu URL HTTPS; avatar dự phòng dùng DiceBear với seed là mã người dùng, không dùng email.
• Ghi chú giao dịch và số tiền được bảo vệ bởi RLS; không dùng để train mô hình AI của bên thứ ba.

3. Báo cáo lỗ hổng

Không mở GitHub issue công khai cho vấn đề bảo mật.

1. Email: security@hoangbeard.com — tiêu đề [SECURITY] RexBloom — <mô tả ngắn>.
2. Hoặc dùng Report a vulnerability trên tab Security của repository (khi bạn có tài khoản GitHub).

Nội dung hữu ích: thành phần bị ảnh hưởng, các bước tái hiện, tác động, phiên bản/commit.

Chúng tôi xác nhận trong 5 ngày làm việc. Nếu không nhận được phản hồi, gửi tiếp tới hoangbeard@outlook.com.

4. Phạm vi

Trong phạm vi: ứng dụng RexBloom, bản Cloud tại rexbloom.hoangbeard.com, xác thực, RLS, tính toán tiền, mã hóa, audit, xử lý prompt AI.

Ngoài phạm vi: instance tự host do bên thứ ba vận hành; lỗ hổng phụ thuộc đã có bản vá upstream; tấn công từ chối dịch vụ dung lượng lớn.

5. Kỳ vọng sau khi báo cáo

Hiện chưa có bug bounty tiền mặt. Chúng tôi theo coordinated disclosure và ghi nhận người báo cáo trong release notes nếu họ đồng ý.

6. Liên hệ