Chính sách bảo mật

1. Đơn vị kiểm soát dữ liệu

• Tên đơn vị: Đang trong quá trình đăng ký kinh doanh — hình thức pháp lý và tên đơn vị vận hành sẽ được công bố khi hoàn tất, dự kiến cuối tháng 9/2026
• Địa chỉ: Sẽ công bố cùng thông tin pháp nhân
• Email liên hệ: [email protected]
• Vai trò: Bên Kiểm soát dữ liệu cá nhân (Data Controller) đối với dữ liệu của người dùng trên nền tảng VinaHoc

2. Người phụ trách bảo vệ dữ liệu cá nhân (DPO)

Theo Luật 91/2025, VinaHoc chỉ định Người phụ trách bảo vệ dữ liệu cá nhân (Data Protection Officer — DPO) làm đầu mối tiếp nhận yêu cầu và khiếu nại liên quan đến dữ liệu cá nhân:

• Họ tên: Ông Đoàn Xuân Quyết
• Email liên hệ: [email protected]

3. Loại dữ liệu thu thập

Chúng tôi thu thập các loại dữ liệu cá nhân sau khi bạn đăng ký và sử dụng VinaHoc:

Dữ liệu cá nhân cơ bản:

• Họ và tên
• Địa chỉ email
• Số điện thoại
• Vai trò trên hệ thống (giáo viên, học sinh, hoặc phụ huynh)
• Ngày sinh (đặc biệt với học sinh)
• Giới tính

Dữ liệu sử dụng:

• Thông tin đăng nhập (thời gian, thiết bị)
• Lịch sử hoạt động trên nền tảng
• Dữ liệu lớp học, điểm danh, bảng điểm
• Thông tin giao dịch thanh toán

4. Mục đích xử lý & cơ sở pháp lý

Dữ liệu cá nhân của bạn được xử lý cho các mục đích sau, kèm cơ sở pháp lý tương ứng theo Luật 91/2025:

• Quản lý tài khoản & cung cấp dịch vụ: Tạo, duy trì và xác thực tài khoản — cơ sở pháp lý: thực hiện hợp đồng
• Liên lạc giáo viên — phụ huynh: Hỗ trợ trao đổi thông tin về tình hình học tập — cơ sở pháp lý: thực hiện hợp đồng
• Thông báo lớp học: Gửi thông báo về lịch học, điểm danh, bảng điểm, học phí — cơ sở pháp lý: thực hiện hợp đồng
• Tuân thủ pháp luật: Lưu chứng từ kế toán, đáp ứng yêu cầu cơ quan nhà nước — cơ sở pháp lý: nghĩa vụ pháp lý

5. Thời gian lưu trữ

• Tài khoản đang hoạt động: Dữ liệu cá nhân được lưu trữ trong suốt thời gian tài khoản còn hoạt động trên nền tảng
• Tài khoản không hoạt động: Sau thời hạn quy định (giáo viên chủ nhiệm: 180 ngày; học sinh / phụ huynh / trợ giảng: 365 ngày), tài khoản có thể bị vô hiệu và ẩn danh sau khi chúng tôi đã gửi thông báo trước qua email/in-app (T-30 / T-7 / T-1 ngày)
• Chứng từ tài chính: Hóa đơn và giao dịch thanh toán được lưu giữ tối thiểu 10 năm theo Luật Kế toán 2015 và Nghị định 123/2020/NĐ-CP (dưới dạng vô danh sau khi ẩn danh tài khoản)
• Yêu cầu xóa: Khi nhận được yêu cầu xóa dữ liệu hợp lệ, chúng tôi sẽ xử lý trong vòng 72 giờ

6. Quyền của chủ thể dữ liệu

Theo Luật Bảo vệ dữ liệu cá nhân 91/2025, bạn có các quyền sau đối với dữ liệu cá nhân của mình:

• Quyền truy cập: Yêu cầu xem toàn bộ dữ liệu cá nhân mà chúng tôi đang lưu trữ về bạn
• Quyền chỉnh sửa: Yêu cầu chỉnh sửa dữ liệu cá nhân không chính xác hoặc chưa đầy đủ
• Quyền xóa: Yêu cầu xóa dữ liệu cá nhân khi không còn cần thiết cho mục đích thu thập ban đầu
• Quyền rút lại đồng ý: Rút lại sự đồng ý xử lý dữ liệu bất kỳ lúc nào (gửi yêu cầu tới DPO qua email [email protected]), mà không ảnh hưởng tới tính hợp pháp của việc xử lý trước đó
• Quyền phản đối xử lý: Phản đối hoặc yêu cầu hạn chế việc xử lý dữ liệu cá nhân của bạn cho các mục đích nhất định
• Quyền khiếu nại: Khiếu nại đến cơ quan có thẩm quyền nếu cho rằng dữ liệu cá nhân của bạn bị xử lý không đúng quy định

Để thực hiện các quyền trên, vui lòng liên hệ DPO qua email [email protected].

7. Dữ liệu trẻ em

VinaHoc là nền tảng quản lý lớp học, do đó tài khoản học sinh có thể thuộc về người chưa thành niên. Chúng tôi cam kết bảo vệ dữ liệu trẻ em theo Luật 91/2025:

• Sự đồng ý của người đại diện: Đối với học sinh dưới 16 tuổi, việc thu thập và xử lý dữ liệu cá nhân yêu cầu sự đồng ý đã được xác minh của cha, mẹ hoặc người giám hộ hợp pháp
• Tối thiểu hóa dữ liệu: Chúng tôi chỉ thu thập những dữ liệu tối thiểu cần thiết cho việc quản lý lớp học và học tập
• Giám sát của phụ huynh: Phụ huynh có quyền truy cập, xem và yêu cầu xóa dữ liệu cá nhân của con em mình bất kỳ lúc nào
• Không quảng cáo nhắm mục tiêu: Dữ liệu của học sinh không bao giờ được sử dụng cho mục đích quảng cáo hoặc marketing nhắm mục tiêu

8. Chia sẻ với bên thứ ba

Chúng tôi không bán, cho thuê hoặc trao đổi dữ liệu cá nhân của bạn với bên thứ ba. Dữ liệu chỉ được chia sẻ trong các trường hợp sau:

• Yêu cầu pháp luật: Khi có yêu cầu từ cơ quan nhà nước có thẩm quyền theo quy định pháp luật Việt Nam
• Nhà cung cấp dịch vụ thiết yếu: Đối tác xử lý thanh toán (SePay) và hạ tầng lưu trữ trong nước, chỉ trong phạm vi cần thiết để vận hành dịch vụ
• Sự đồng ý của người dùng: Khi bạn đồng ý rõ ràng cho việc chia sẻ dữ liệu với bên thứ ba cụ thể

Quyền từ chối chia sẻ (Điều 28 Luật 91/2025): Bạn có quyền từ chối hoặc yêu cầu ngừng việc chia sẻ dữ liệu cá nhân của mình cho các mục đích không bắt buộc (như tiếp thị). Để thực hiện, vui lòng liên hệ DPO qua email [email protected].

9. Cookie và công nghệ theo dõi

VinaHoc sử dụng cookie theo nguyên tắc minh bạch và "im lặng không phải đồng ý" (Điều 28 Luật 91/2025):

• Cookie phiên và bảo mật: Cookie phiên đăng nhập và token CSRF — bắt buộc để nền tảng hoạt động và để bảo vệ tài khoản của bạn
• Không có cookie theo dõi: VinaHoc hiện không sử dụng cookie phân tích, quảng cáo hay bất kỳ công cụ theo dõi của bên thứ ba nào. Nếu điều này thay đổi, chúng tôi sẽ hỏi ý kiến bạn trước và cập nhật chính sách này
• Lựa chọn cookie đã lưu trước đây: Nếu bạn từng chọn tuỳ chọn cookie ở phiên bản trước của trang, bản ghi lựa chọn đó (thời điểm, phiên bản chính sách) vẫn được giữ làm bằng chứng tuân thủ. Bạn có thể yêu cầu xoá bằng cách liên hệ DPO qua email [email protected]

10. Lưu trữ dữ liệu trong nước

Dữ liệu cá nhân của người dùng VinaHoc được lưu trữ và xử lý trong lãnh thổ Việt Nam, trên hạ tầng điện toán đám mây của Viettel. Chúng tôi không chuyển dữ liệu cá nhân ra nước ngoài, phù hợp với yêu cầu lưu trữ dữ liệu trong nước theo pháp luật Việt Nam.

11. Đánh giá tác động xử lý dữ liệu cá nhân (DPIA)

Theo Luật 91/2025 và Nghị định 356/2025, VinaHoc lập và duy trì Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) nội bộ, mô tả các hoạt động xử lý, rủi ro đối với chủ thể dữ liệu và biện pháp giảm thiểu. Hồ sơ này được rà soát định kỳ và cung cấp cho cơ quan có thẩm quyền khi được yêu cầu hợp pháp.

12. Khiếu nại

Nếu bạn có bất kỳ khiếu nại nào liên quan đến việc xử lý dữ liệu cá nhân, vui lòng liên hệ:

• DPO (đầu mối tiếp nhận): [email protected]
• Thời gian phản hồi: Chúng tôi cam kết phản hồi trong vòng 15 ngày làm việc kể từ khi nhận được khiếu nại
• Cơ quan giải quyết: Nếu không hài lòng với cách giải quyết, bạn có quyền khiếu nại đến Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) — Bộ Công an