Bảo mật và xử lý dữ liệu

1. Chúng Tôi Là Ai

Maguyva là một dịch vụ trí tuệ mã nguồn do UT INTERNATIONAL PTE. LTD., một công ty đăng ký tại Singapore, vận hành. Maguyva là một dịch vụ đám mây: khách hàng kết nối qua endpoint MCP và cấp quyền truy cập các repository; các công cụ không sửa đổi repository của khách hàng.

2. Chúng Tôi Xử Lý Những Dữ Liệu Nào

Khi bạn sử dụng Maguyva, chúng tôi xử lý ba loại dữ liệu:

• Dữ liệu tài khoản: tên, địa chỉ email và token OAuth GitHub được dùng để truy cập các repository mà bạn cho phép chúng tôi truy cập
• Dữ liệu mã nguồn: mã nguồn được lưu trữ để cung cấp nội dung tệp và hỗ trợ tìm kiếm; cây cú pháp trừu tượng (AST); đồ thị ký hiệu; và embedding ngữ nghĩa được tạo từ mã nguồn của bạn
• Dữ liệu sử dụng: những công cụ bạn gọi, dấu thời gian và các mẫu truy vấn tổng hợp

Dữ liệu repository của khách hàng tách biệt với chính sách thu thập dữ liệu từ trang web công khai. Quyền cho phép AI thu thập dữ liệu từ trang web không áp dụng cho mã nguồn riêng tư của khách hàng.

3. Nơi Vận Hành

Mã nguồn của khách hàng và dữ liệu chỉ mục phái sinh được lưu trữ trong hạ tầng dịch vụ Maguyva trên Supabase (PostgreSQL) tại các khu vực AWS ở Hoa Kỳ. Trang web công khai và hoạt động phân phối nội dung tại biên chạy trên Cloudflare (CDN, điện toán biên, DNS). Để tạo embedding, các đoạn mã theo ngữ nghĩa, được chia có xét đến cấu trúc AST — không phải toàn bộ tệp hay repository — được gửi đến Voyage AI (một công ty con của MongoDB). Các yêu cầu tạo embedding đó loại trừ siêu dữ liệu định danh khách hàng như tên repository, tên người dùng, mã định danh tổ chức và đường dẫn tệp.

4. Mô Hình Truy Cập Và Cô Lập

Quyền truy cập sản phẩm được kiểm soát thông qua các cơ chế giới hạn quyền truy cập theo tổ chức và namespace. Dữ liệu repository đã lập chỉ mục của một khách hàng không được cung cấp cho khách hàng khác. Khóa API được xác thực dựa trên siêu dữ liệu đã lưu và các hạn chế truy cập repository. Đội ngũ vận hành Maguyva chỉ được truy cập dữ liệu repository khi cần thiết để vận hành, bảo mật hoặc hỗ trợ dịch vụ. Dữ liệu đang truyền sử dụng HTTPS/TLS. Dữ liệu repository đã lập chỉ mục được lưu trữ trên hạ tầng được quản lý và được mã hóa ở cấp lưu trữ khi được lưu trữ. Mã nguồn và dữ liệu chỉ mục phái sinh vẫn có thể được dịch vụ đọc khi cần cho tìm kiếm, truy xuất tệp, hỗ trợ và các hoạt động bảo mật.

5. Các Bên Xử Lý Phụ

Chúng tôi sử dụng các dịch vụ sau để vận hành Maguyva:

• Supabase (lưu trữ cơ sở dữ liệu, các khu vực AWS ở Hoa Kỳ)
• Cloudflare (CDN, điện toán biên, DNS)
• Voyage AI, hiện thuộc MongoDB (tạo embedding — nhận các đoạn mã được chia có xét đến cấu trúc AST và không chứa thông tin định danh khách hàng, không phải toàn bộ tệp hay repository)
• Stripe (xử lý thanh toán)
• GitHub (xác thực OAuth và truy cập repository)
• Umami (phân tích sử dụng trang web không dùng cookie — chỉ số liệu tổng hợp, không có thông tin định danh cá nhân)

6. Lưu Giữ Và Xóa Dữ Liệu

Tài khoản đang hoạt động: dữ liệu được lưu giữ trong khi tài khoản của bạn còn hoạt động. Khi bạn ngắt kết nối một repository hoặc đóng tài khoản, mã nguồn trong chỉ mục đang hoạt động và dữ liệu phái sinh sẽ được xóa khỏi hệ thống dịch vụ trong vòng 30 ngày; các bản sao lưu còn lại hết hạn trong vòng 90 ngày. Hồ sơ thanh toán được lưu giữ trong 7 năm theo yêu cầu pháp luật. Chúng tôi không dùng mã nguồn khách hàng để huấn luyện mô hình. Chúng tôi không đòi hỏi bất kỳ quyền sở hữu trí tuệ nào đối với mã nguồn khách hàng.

7. Báo Cáo Lỗ Hổng

Nếu bạn tin rằng mình đã tìm thấy một lỗ hổng bảo mật trong Maguyva, hãy liên hệ security@maguyva.ai. Ngôn ngữ ưu tiên cho báo cáo là tiếng Anh. Thông tin liên hệ và chính sách công bố lỗ hổng của chúng tôi được cung cấp ở định dạng máy đọc được tại /.well-known/security.txt (RFC 9116).

8. Tài Liệu Liên Quan

Để biết chi tiết đầy đủ về pháp lý và chính sách, xem:

• Chính sách quyền riêng tư — cách chúng tôi thu thập và sử dụng dữ liệu cá nhân và dữ liệu repository
• Điều khoản dịch vụ — thỏa thuận dịch vụ
• security.txt — đầu mối liên hệ lỗ hổng chính thức (RFC 9116)