1. Mở đầu và phạm vi áp dụng
Chính sách Bảo mật này ("Chính sách") mô tả cách EduBank ("EduBank", "chúng tôi") thu thập, sử dụng, lưu trữ, chia sẻ và bảo vệ thông tin cá nhân khi bạn ("bạn", "người dùng") truy cập và sử dụng các dịch vụ tại edubanks.org và các ứng dụng liên quan (gọi chung là "Dịch vụ").
Chính sách này được xây dựng tuân thủ pháp luật Việt Nam, bao gồm nhưng không giới hạn: Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân (PDPD), Luật An toàn thông tin mạng 2015, Luật An ninh mạng 2018, Luật Trẻ em 2016, Luật Giao dịch điện tử 2023, và Bộ luật Dân sự 2015.
Bằng việc đăng ký, đăng nhập hoặc sử dụng Dịch vụ, bạn xác nhận đã đọc, hiểu và đồng ý với Chính sách này. Nếu không đồng ý, vui lòng ngừng sử dụng Dịch vụ.
2. Định nghĩa
- Dữ liệu cá nhân: thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể, theo Điều 2 Nghị định 13/2023/NĐ-CP.
- Dữ liệu cá nhân nhạy cảm: dữ liệu liên quan đến quyền riêng tư, đời tư, sức khỏe, sinh trắc, tài chính, vị trí... theo khoản 3 Điều 2 Nghị định 13/2023.
- Chủ thể dữ liệu: cá nhân được phản ánh thông tin bởi dữ liệu cá nhân (bạn).
- Xử lý dữ liệu cá nhân: một hoặc nhiều hoạt động thu thập, ghi, phân tích, lưu trữ, thay đổi, công khai, sao chép, chuyển giao, xóa, hủy dữ liệu.
- Trẻ em: người dưới 16 tuổi (theo Điều 1 Luật Trẻ em 2016).
- Người giám hộ: cha, mẹ hoặc người được pháp luật giao trách nhiệm chăm sóc trẻ em.
- Bên thứ ba: tổ chức/cá nhân khác EduBank và bạn (vd: nhà cung cấp hạ tầng, đối tác xử lý thanh toán).
3. Thông tin chúng tôi thu thập
3.1 Thông tin tài khoản (do bạn cung cấp)
- Họ và tên đầy đủ
- Địa chỉ email
- Mật khẩu (lưu dưới dạng băm — hash, KHÔNG lưu plaintext)
- Vai trò: giáo viên, học sinh, quản trị trường, quản trị hệ thống
- Thông tin trường học, khối lớp, môn dạy/học
- Ảnh đại diện (tùy chọn)
- Số điện thoại (tùy chọn, nếu bạn cung cấp)
3.2 Nội dung do người dùng tải lên hoặc tạo ra
- Tệp tài liệu giáo viên tải lên để trích xuất câu hỏi: PDF, Word, ảnh
- Câu hỏi, đáp án, lời giải trong ngân hàng câu hỏi cá nhân
- Đề thi, bài tập, đề kiểm tra do giáo viên tạo
- Bài làm, câu trả lời, điểm số của học sinh
- Phản hồi, ghi chú, nhận xét
- Tin nhắn / thông báo trong hệ thống
3.3 Thông tin kỹ thuật thu thập tự động
- Địa chỉ IP và vị trí địa lý ước lượng (cấp quốc gia/tỉnh)
- Loại thiết bị, hệ điều hành, trình duyệt và phiên bản
- Thời gian truy cập, thời lượng phiên, các trang đã xem
- Hành vi sử dụng để cải thiện sản phẩm (clickstream nội bộ, KHÔNG bán cho bên thứ ba)
- Cookie và bộ nhớ cục bộ của trình duyệt (xem chi tiết tại mục 11)
3.4 Thông tin từ dịch vụ bên thứ ba
Nếu bạn đăng nhập qua Google OAuth, chúng tôi nhận: tên hiển thị, email, ảnh đại diện công khai của Google. Chúng tôi KHÔNG truy cập danh bạ, lịch, hay nội dung khác trong tài khoản Google của bạn.
4. Mục đích sử dụng thông tin
Chúng tôi sử dụng dữ liệu của bạn cho các mục đích sau:
- Cung cấp Dịch vụ: xác thực tài khoản, hiển thị nội dung phù hợp với vai trò, lưu trữ bài làm, gửi đề thi/bài tập
- Xử lý AI: đọc OCR và trích xuất câu hỏi từ tài liệu giáo viên tải lên (nội dung file được gửi tới Google Gemini API hoặc DeepSeek API — xem mục 6)
- Cá nhân hóa: gợi ý câu hỏi phù hợp môn-lớp, báo cáo điểm yếu theo chủ đề
- Liên lạc: gửi email xác thực, đặt lại mật khẩu, thông báo bài mới, hỗ trợ kỹ thuật
- Cải thiện sản phẩm: phân tích hành vi tổng hợp, ẩn danh để hiểu cách giáo viên sử dụng — KHÔNG dùng để quảng cáo nhắm mục tiêu
- Bảo mật: phát hiện lạm dụng, gian lận, vi phạm điều khoản
- Tuân thủ pháp luật: đáp ứng yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền
5. Cơ sở pháp lý xử lý dữ liệu
Theo Điều 17 Nghị định 13/2023/NĐ-CP, chúng tôi xử lý dữ liệu cá nhân trên một hoặc nhiều cơ sở pháp lý sau:
- Sự đồng ý của bạn khi đăng ký và tích chọn ô "Tôi đồng ý với Chính sách bảo mật"
- Thực hiện hợp đồng dịch vụ giữa EduBank và bạn (Điều khoản sử dụng)
- Lợi ích hợp pháp của EduBank trong việc vận hành, bảo mật và cải thiện Dịch vụ — không gây ảnh hưởng bất lợi đến quyền và lợi ích của chủ thể dữ liệu
- Tuân thủ nghĩa vụ pháp lý của EduBank theo pháp luật Việt Nam
6. Chia sẻ thông tin với bên thứ ba
6.1 Nhà cung cấp hạ tầng và dịch vụ kỹ thuật
- Supabase (cơ sở dữ liệu, lưu trữ tệp, xác thực) — máy chủ tại Singapore (Asia-Pacific)
- Cloudflare (CDN, bảo vệ DDoS) — phân phối tài nguyên tĩnh toàn cầu
- Google Cloud (Gemini API) — xử lý AI cho việc trích xuất câu hỏi từ tài liệu và OCR. Chỉ tệp/ảnh giáo viên chủ động tải lên được gửi tới Gemini; KHÔNG gửi email, mật khẩu, hay thông tin cá nhân khác.
- DeepSeek API — AI dự phòng khi Gemini không khả dụng
- Resend — gửi email giao dịch (xác thực, thông báo)
- Paddle — xử lý thanh toán quốc tế (cho gói Pro)
Mỗi nhà cung cấp đã ký thỏa thuận xử lý dữ liệu (DPA) với EduBank, cam kết bảo mật ngang bằng hoặc cao hơn tiêu chuẩn của EduBank.
6.2 Yêu cầu pháp lý
Chúng tôi có thể tiết lộ dữ liệu khi có yêu cầu hợp pháp từ cơ quan nhà nước có thẩm quyền (toà án, công an, cơ quan thuế) theo đúng trình tự pháp luật quy định. Trong phạm vi pháp luật cho phép, chúng tôi sẽ thông báo cho bạn trước khi tiết lộ.
6.3 Chuyển nhượng doanh nghiệp
Trong trường hợp EduBank được sáp nhập, mua lại hoặc chuyển giao tài sản, dữ liệu của bạn có thể được chuyển cho bên kế thừa. Bên kế thừa phải cam kết tuân thủ Chính sách này hoặc cung cấp chính sách tương đương; bạn sẽ được thông báo trước ít nhất 30 ngày để có quyền yêu cầu xóa dữ liệu nếu không đồng ý.
7. Bảo vệ dữ liệu trẻ em và học sinh chưa thành niên
7.1 Sự đồng ý của người giám hộ
- Đối với học sinh dưới 16 tuổi tự đăng ký, EduBank yêu cầu có sự đồng ý của người giám hộ trước khi xử lý dữ liệu.
- Trường hợp giáo viên/nhà trường thêm học sinh vào lớp học (qua email hoặc mã mời), EduBank coi đây là hoạt động sử dụng dữ liệu trong khuôn khổ giáo dục mà nhà trường đã được phụ huynh ủy quyền. Nhà trường có trách nhiệm thông báo cho phụ huynh và lấy đồng ý theo quy định nội bộ.
- EduBank khuyến nghị các trường có chính sách công khai gửi phụ huynh khi triển khai EduBank cho học sinh.
7.2 Quyền của người giám hộ
- Yêu cầu xem dữ liệu cá nhân của trẻ
- Yêu cầu chỉnh sửa, cập nhật dữ liệu
- Yêu cầu xóa dữ liệu cá nhân của trẻ
- Yêu cầu hạn chế hoặc rút lại sự đồng ý xử lý dữ liệu
- Khiếu nại về vi phạm bảo vệ dữ liệu của trẻ
Để thực hiện các quyền trên, người giám hộ liên hệ qua email privacy{'@'}edubanks.org kèm bằng chứng quan hệ giám hộ (giấy khai sinh, sổ hộ khẩu hoặc văn bản xác nhận của trường). EduBank phản hồi trong vòng 30 ngày làm việc.
7.3 Hạn chế đối với dữ liệu trẻ em
- KHÔNG quảng cáo nhắm mục tiêu cho người dùng dưới 16 tuổi
- KHÔNG sử dụng dữ liệu của trẻ để huấn luyện mô hình AI (chỉ xử lý ngay tức thì để cung cấp dịch vụ)
- KHÔNG cho phép trẻ tự nâng cấp gói trả phí — chỉ giáo viên/trường mới có thể mua gói
- Hạn chế thông tin profile công khai của trẻ
8. Quyền của chủ thể dữ liệu
Theo Điều 9-15 Nghị định 13/2023/NĐ-CP, bạn có các quyền sau với dữ liệu cá nhân của mình:
- Quyền được biết về hoạt động xử lý dữ liệu cá nhân của mình
- Quyền đồng ý / rút lại đồng ý: bạn có thể rút lại sự đồng ý xử lý dữ liệu bất kỳ lúc nào
- Quyền truy cập: xem và yêu cầu cung cấp bản sao dữ liệu
- Quyền chỉnh sửa: cập nhật dữ liệu không chính xác
- Quyền xóa (quyền được lãng quên): yêu cầu xóa dữ liệu khi không còn cần thiết hoặc khi rút lại đồng ý
- Quyền hạn chế xử lý: yêu cầu tạm dừng xử lý trong một số trường hợp
- Quyền cung cấp dữ liệu (data portability): yêu cầu nhận lại dữ liệu của mình dưới định dạng có cấu trúc, thông dụng (CSV/JSON)
- Quyền phản đối: phản đối xử lý dữ liệu vì lợi ích hợp pháp
- Quyền khiếu nại, tố cáo, khởi kiện: với Cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao – A05 – Bộ Công an) hoặc Toà án có thẩm quyền
- Quyền yêu cầu bồi thường thiệt hại theo quy định pháp luật khi có vi phạm
Để thực hiện các quyền trên, gửi yêu cầu đến privacy{'@'}edubanks.org. Chúng tôi sẽ xác minh danh tính và phản hồi trong vòng 30 ngày làm việc kể từ ngày nhận yêu cầu (có thể gia hạn thêm 30 ngày trong trường hợp phức tạp, kèm thông báo cho bạn).
9. Bảo mật dữ liệu
Chúng tôi áp dụng các biện pháp kỹ thuật và tổ chức hợp lý để bảo vệ dữ liệu của bạn:
- Mã hóa khi truyền: toàn bộ kết nối HTTPS với TLS 1.2 trở lên
- Mã hóa khi lưu trữ: mật khẩu băm bằng thuật toán an toàn (bcrypt/argon2)
- Phân quyền truy cập: Row Level Security (RLS) ở tầng database — mỗi người chỉ truy cập được dữ liệu thuộc về mình hoặc tổ chức của mình
- Kiểm soát truy cập nội bộ: chỉ những nhân sự cần thiết mới được tiếp cận dữ liệu sản xuất, có ghi nhật ký audit
- Sao lưu định kỳ: hằng ngày, lưu trữ riêng biệt, mã hóa
- Cập nhật bảo mật: vá lỗ hổng kịp thời cho hạ tầng và thư viện
- Xác thực hai yếu tố (2FA) cho tài khoản quản trị nội bộ
Tuy nhiên, không có hệ thống nào tuyệt đối an toàn. Trong trường hợp xảy ra sự cố làm lộ dữ liệu cá nhân, EduBank cam kết thông báo cho bạn và Cơ quan chuyên trách (A05) trong vòng 72 giờ kể từ khi phát hiện, theo Điều 23 Nghị định 13/2023.
10. Thời gian lưu trữ
- Tài khoản đang hoạt động: lưu cho đến khi bạn yêu cầu xóa hoặc không hoạt động liên tục >24 tháng
- Tài khoản không hoạt động: sau 24 tháng không đăng nhập, tự động chuyển sang trạng thái ẩn; sau 36 tháng, dữ liệu cá nhân sẽ được xóa (trừ thông tin pháp luật yêu cầu lưu)
- Bài làm, điểm số học sinh: lưu theo yêu cầu nhà trường; mặc định 24 tháng kể từ ngày làm bài
- Tài liệu giáo viên đã upload: lưu cho đến khi giáo viên chủ động xóa hoặc xóa tài khoản
- Dữ liệu thanh toán và hóa đơn: lưu tối thiểu 10 năm theo Luật Kế toán và quy định thuế
- Nhật ký hệ thống và bảo mật: 90 ngày, sau đó tổng hợp ẩn danh hoặc xóa
- Dữ liệu xử lý AI tạm thời: file gửi tới Gemini/DeepSeek được xử lý tức thì, không lưu trữ tại nhà cung cấp AI sau khi trả kết quả (theo điều khoản dịch vụ của họ)
12. Chuyển dữ liệu ra nước ngoài
Một số nhà cung cấp hạ tầng của EduBank có máy chủ ngoài lãnh thổ Việt Nam:
- Supabase: máy chủ chính tại Singapore (cụm Asia-Pacific, gần Việt Nam nhất để giảm độ trễ)
- Google Gemini API: trung tâm dữ liệu khu vực châu Á-Thái Bình Dương
- Resend, Cloudflare, Paddle: hạ tầng toàn cầu
Việc chuyển dữ liệu ra nước ngoài được thực hiện tuân thủ Điều 25 Nghị định 13/2023/NĐ-CP. EduBank đã/sẽ hoàn thiện hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới (TIA) và đăng ký với Cục An ninh mạng — A05 trong thời hạn pháp luật quy định.
Các nhà cung cấp đối tác cam kết áp dụng tiêu chuẩn bảo vệ dữ liệu tương đương hoặc cao hơn quy định tại Việt Nam (vd: tuân thủ GDPR, SOC 2, ISO 27001).
13. Liên hệ về vấn đề bảo mật
Mọi câu hỏi, yêu cầu hoặc khiếu nại liên quan đến bảo mật dữ liệu, vui lòng liên hệ:
- Email: privacy{'@'}edubanks.org
- Cán bộ phụ trách bảo vệ dữ liệu (DPO): sẽ được công bố trên website khi chính sách chính thức có hiệu lực
- Thời gian phản hồi cam kết: trong vòng 30 ngày làm việc (theo Điều 16 Nghị định 13/2023)
Nếu không hài lòng với phản hồi của EduBank, bạn có quyền khiếu nại đến Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao – A05 – Bộ Công an hoặc khởi kiện tại Tòa án có thẩm quyền.
14. Sửa đổi Chính sách
EduBank có thể cập nhật Chính sách này theo thời gian để phản ánh thay đổi trong hoạt động, công nghệ, pháp luật hoặc yêu cầu của cơ quan quản lý. Mọi thay đổi sẽ được:
- Đăng tải bản mới tại trang này, kèm ngày "Cập nhật lần cuối"
- Thông báo qua email cho tài khoản đã đăng ký ít nhất 14 ngày trước khi có hiệu lực, đối với các thay đổi quan trọng (ảnh hưởng đến quyền của bạn)
- Hiển thị thông báo trong app khi bạn đăng nhập sau khi có thay đổi
Việc bạn tiếp tục sử dụng Dịch vụ sau ngày sửa đổi có hiệu lực được xem là chấp thuận phiên bản mới. Nếu không đồng ý, bạn có quyền chấm dứt tài khoản và yêu cầu xóa dữ liệu trước thời điểm có hiệu lực.