Chính sách bảo mật & xử lý dữ liệu cá nhân

1. Bên xử lý dữ liệu

Chủ thể xử lý và kiểm soát dữ liệu cá nhân là [Tên pháp nhân đầy đủ — VD: Công ty TNHH ..., MST ..., địa chỉ trụ sở ...] (CẦN ĐIỀN TRƯỚC KHI CÔNG KHAI) — đơn vị chủ quản phần mềm Lopi.vn. Mọi liên hệ về dữ liệu cá nhân: hotro@lopi.vn.

2. Dữ liệu chúng tôi xử lý

• Người đăng ký / quản trị viên: họ tên, số điện thoại, email (nếu cung cấp), tên đăng nhập, mật khẩu đã băm.
• Nhân sự trung tâm: họ tên, vai trò, trình độ chuyên môn, số điện thoại — dữ liệu do trung tâm nhập vào.
• Học sinh & phụ huynh: họ tên học sinh, khối/lớp, trường, họ tên và số điện thoại phụ huynh, kết quả điểm danh, đánh giá học tập, báo cáo gửi phụ huynh — do trung tâm nhập và quản lý bằng tài khoản của chính trung tâm.
• Dữ liệu tài chính: phiếu thu, sổ dư học phí, bút toán — là dữ liệu kế toán của trung tâm.

3. Mục đích xử lý

Dữ liệu chỉ được xử lý để vận hành phần mềm cho trung tâm: quản lý lớp học, điểm danh, đánh giá, học phí, lương, và để gửi báo cáo học tập/phản hồi tới phụ huynh đúng theo thiết lập của trung tâm. Chúng tôi không bán dữ liệu; không dùng dữ liệu học sinh cho quảng cáo.

4. Thời gian lưu trữ

Dữ liệu được giữ trong suốt thời gian trung tâm sử dụng dịch vụ và một thời gian hợp lý sau đó, tối thiểu đủ để đáp ứng nghĩa vụ kế toán/thuế của trung tâm (phiếu thu và sổ dư là chứng từ kế toán, chỉ được huỷ chứ không được xoá — theo quy định nghiệp vụ của phần mềm). Khi trung tâm ngừng sử dụng, dữ liệu được xoá hoặc ẩn theo yêu cầu.

5. Quyền của chủ thể dữ liệu

Theo Điều 9 Nghị định 13/2023/NĐ-CP, người có dữ liệu (hoặc người đại diện hợp pháp của trẻ em) có các quyền sau đối với dữ liệu cá nhân của mình:

• Được biết về việc xử lý dữ liệu cá nhân của mình.
• Đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân.
• Truy cập, yêu cầu xác nhận và cung cấp bản sao dữ liệu.
• Rút lại sự đồng ý đã cho.
• Yêu cầu xoá dữ liệu, trong các trường hợp pháp luật quy định.
• Yêu cầu hạn chế xử lý dữ liệu.
• Yêu cầu cung cấp dữ liệu của mình cho bên thứ ba (tính di động dữ liệu).
• Phản đối việc xử lý dữ liệu cá nhân.
• Khiếu nại, tố cáo hoặc khởi kiện theo quy định pháp luật.
• Yêu cầu bồi thường thiệt hại theo quy định pháp luật khi có hành vi vi phạm.
• Tự bảo vệ theo quy định của pháp luật có liên quan.

Gửi yêu cầu về hotro@lopi.vn. Chúng tôi phản hồi trong thời hạn hợp lý theo quy định pháp luật hiện hành, tuỳ theo nội dung và mức độ phức tạp của yêu cầu.

Đối với dữ liệu của học sinh, trung tâm là bên trực tiếp quản lý và là đầu mối chính cho phụ huynh; Lopi.vn hỗ trợ trung tâm thực hiện các yêu cầu này trên hệ thống.

6. Bảo mật kỹ thuật

• Mật khẩu được băm; phiên đăng nhập dùng token hết hạn ngắn.
• Dữ liệu được cô lập theo từng trung tâm ở tầng ứng dụng và tầng cơ sở dữ liệu (RLS).
• Báo cáo gửi phụ huynh dùng đường dẫn có token ngẫu nhiên, hết hạn và thu hồi được.
• Hệ thống theo dõi lỗi không ghi nội dung yêu cầu, cookie, hoặc thông tin nhận dạng cá nhân.

7. Bên thứ ba tiếp nhận dữ liệu

Chúng tôi dùng một số nhà cung cấp hạ tầng để vận hành phần mềm; họ xử lý dữ liệu thay chúng tôi trong phạm vi cần thiết, không được dùng cho mục đích riêng:

• Supabase — lưu trữ cơ sở dữ liệu.
• Vercel — hạ tầng vận hành ứng dụng web.
• Sentry — theo dõi lỗi kỹ thuật (không ghi nội dung yêu cầu hay thông tin nhận dạng cá nhân, xem mục 6).
• Resend — gửi email xác thực tài khoản khi đăng ký.
• SePay — đối soát giao dịch chuyển khoản ngân hàng cho trung tâm, nếu trung tâm bật tính năng này.

Một số nhà cung cấp trên đặt máy chủ ngoài lãnh thổ Việt Nam, nên dữ liệu có thể được lưu trữ hoặc xử lý ở nước ngoài trong phạm vi vận hành dịch vụ.

8. Đồng ý

Việc đăng ký tài khoản cần có sự đồng ý của bạn với chính sách này. Thời điểm đồng ý và phiên bản chính sách được lưu lại trong hệ thống.

9. Liên hệ

Mọi thắc mắc hoặc yêu cầu liên quan đến dữ liệu cá nhân, email hotro@lopi.vn.