Chính sách bảo mật

1. Đơn vị xử lý dữ liệu

Đơn vị chịu trách nhiệm thu thập và xử lý dữ liệu cá nhân của bạn là:

Trong phạm vi Chính sách này, Gamistu vừa là Bên Kiểm soát dữ liệu cá nhân (KSDL) vừa là Bên Xử lý dữ liệu cá nhân (XLDL) theo định nghĩa của Nghị định 13/2023/NĐ-CP.

• Với tư cách Bên Kiểm soát: chúng tôi quyết định mục đích và phương tiện xử lý đối với dữ liệu tài khoản, dữ liệu học tập, dữ liệu thanh toán và các dữ liệu phục vụ vận hành nền tảng.
• Với tư cách Bên Xử lý: chúng tôi xử lý Tài liệu gốc và nội dung do bạn tải lên hoặc tạo ra theo yêu cầu và sự kiểm soát của bạn, nhằm tạo lộ trình và khóa học cho bạn.

2. Phạm vi áp dụng

Chính sách này áp dụng cho mọi hoạt động xử lý dữ liệu cá nhân diễn ra trên website gamistu.com, ứng dụng web app.gamistu.com và các tên miền phụ (subdomain) thuộc Gamistu.

Cụ thể, Chính sách áp dụng khi bạn thực hiện các hoạt động sau:

• Tạo và quản lý tài khoản (Người học hoặc Creator).
• Tải tài liệu gốc lên nền tảng để AI phân tích.
• Tạo, xem duyệt và đăng khóa học (đối với Creator).
• Học theo bài, làm trắc nghiệm, dùng thẻ ghi nhớ, đo năng lực.
• Hỏi đáp với AI trong bài học.
• Thanh toán gói trả phí.
• Liên hệ, gửi phản hồi hoặc yêu cầu hỗ trợ.

3. Dữ liệu chúng tôi thu thập

3.1. Dữ liệu bạn cung cấp trực tiếp

3.2. Dữ liệu thu thập tự động

• Dữ liệu kỹ thuật phiên: thông tin cần thiết để duy trì đăng nhập và bảo đảm hoạt động an toàn của phiên làm việc.
• Dữ liệu hành vi sản phẩm: cách bạn tương tác với các tính năng, thu thập qua công cụ phân tích sản phẩm PostHog nhằm cải thiện trải nghiệm.
• Địa chỉ IP: được ghi nhận tạm thời để phòng chống lạm dụng và bảo vệ hệ thống.
• Dữ liệu lỗi kỹ thuật: thông tin về lỗi phát sinh trong quá trình sử dụng, thu thập qua Sentry; dữ liệu nhạy cảm được ẩn (che giấu) trước khi gửi đi.

3.3. Dữ liệu cá nhân nhạy cảm

Gamistu KHÔNG chủ động thu thập dữ liệu cá nhân nhạy cảm theo định nghĩa của Nghị định 13/2023/NĐ-CP.

4. Mục đích xử lý dữ liệu

Chúng tôi xử lý dữ liệu cá nhân của bạn cho các mục đích sau:

• Vận hành tài khoản: tạo, xác thực, duy trì và quản lý tài khoản của bạn.
• Xử lý AI tạo nội dung: phân tích Tài liệu gốc để tạo lộ trình, khóa học, bài đọc, trắc nghiệm và thẻ ghi nhớ, thực hiện qua mô hình AI của Anthropic (Claude).
• Tạo embeddings phục vụ tìm kiếm ngữ nghĩa và đo năng lực, thực hiện qua OpenAI (text-embedding-3).
• Phân tích sản phẩm để hiểu và cải thiện trải nghiệm, thực hiện qua PostHog.
• Theo dõi và khắc phục lỗi kỹ thuật, thực hiện qua Sentry.
• Xử lý thanh toán gói trả phí, thực hiện qua cổng VNPay.
• Gửi email giao dịch (xác nhận, thông báo, hỗ trợ), thực hiện qua Resend.
• Kiểm duyệt nội dung, đặc biệt với các khóa cộng đồng được chọn làm khóa nổi bật (featured).
• Phòng chống gian lận, lạm dụng và bảo vệ an toàn hệ thống.
• Tuân thủ nghĩa vụ pháp lý áp dụng cho Gamistu.

5. Cơ sở pháp lý xử lý dữ liệu

Việc xử lý dữ liệu cá nhân của bạn dựa trên một hoặc nhiều cơ sở pháp lý sau:

• Sự đồng ý của bạn: khi bạn đăng ký tài khoản, tải tài liệu, hoặc đồng ý nhận thông tin từ chúng tôi.
• Thực hiện hợp đồng: để cung cấp dịch vụ học trực tuyến và các quyền lợi theo gói bạn đã chọn.
• Lợi ích hợp pháp: để bảo đảm an toàn hệ thống, phòng chống lạm dụng và cải thiện chất lượng dịch vụ, trong giới hạn không xâm phạm quyền và lợi ích chính đáng của bạn.
• Nghĩa vụ pháp lý: để tuân thủ quy định của pháp luật Việt Nam, bao gồm pháp luật kế toán, thuế và thương mại điện tử.

6. Chia sẻ dữ liệu với bên thứ ba

Để vận hành nền tảng, chúng tôi chia sẻ một phần dữ liệu cần thiết với các bên thứ ba là đối tác xử lý dữ liệu. Danh sách đầy đủ như sau:

Chúng tôi KHÔNG bán, KHÔNG cho thuê và KHÔNG trao đổi dữ liệu cá nhân của bạn cho bất kỳ bên thứ ba nào nhằm mục đích quảng cáo, tiếp thị (marketing).

7. Chuyển dữ liệu ra nước ngoài

Một số đối tác xử lý dữ liệu của chúng tôi đặt hạ tầng ngoài lãnh thổ Việt Nam (tại Singapore, Hoa Kỳ hoặc khu vực EU), như nêu trong bảng tại mục 6. Do đó, một phần dữ liệu cá nhân của bạn có thể được chuyển và xử lý ngoài lãnh thổ Việt Nam.

Khi chuyển dữ liệu ra nước ngoài, chúng tôi áp dụng các biện pháp bảo vệ phù hợp:

• Ưu tiên lựa chọn đối tác đạt các tiêu chuẩn bảo mật quốc tế như ISO 27001 và SOC 2.
• Ràng buộc đối tác bằng hợp đồng xử lý dữ liệu với cam kết bảo mật và sử dụng đúng mục đích.
• Cam kết tuân thủ quy định về chuyển dữ liệu cá nhân ra nước ngoài theo Điều 25 Nghị định 13/2023/NĐ-CP. Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài hiện đang trong quá trình lập theo quy định.

8. Thời gian lưu trữ dữ liệu

Chúng tôi chỉ lưu trữ dữ liệu cá nhân trong thời gian cần thiết cho mục đích xử lý hoặc theo yêu cầu của pháp luật:

9. Bảo mật dữ liệu

Chúng tôi áp dụng các biện pháp kỹ thuật và tổ chức để bảo vệ dữ liệu cá nhân của bạn:

• Mã hóa đường truyền bằng giao thức TLS phiên bản 1.2 trở lên.
• Mã hóa dữ liệu khi lưu trữ trên hạ tầng Cloudflare R2 và Supabase.
• Lưu mật khẩu dưới dạng băm (hash) bằng thuật toán bcrypt; chúng tôi không lưu và không thể đọc được mật khẩu gốc của bạn.
• Áp dụng cơ chế bảo mật cấp hàng (Row Level Security — RLS) và tách biệt dữ liệu giữa các người dùng.
• Rà soát, đánh giá an ninh định kỳ.

Khi xảy ra sự cố làm lộ, mất hoặc xâm phạm dữ liệu cá nhân, chúng tôi sẽ thông báo cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) – Bộ Công an và cho chủ thể dữ liệu bị ảnh hưởng chậm nhất trong vòng 72 giờ, theo Điều 23 Nghị định 13/2023/NĐ-CP.

10. AI, Tài liệu gốc và quyền sở hữu trí tuệ

• Tài liệu gốc bạn tải lên chỉ được dùng để phân tích và tạo lộ trình, khóa học cho chính bạn.
• Tài liệu gốc của bạn KHÔNG được dùng để huấn luyện (train) mô hình AI.
• Anthropic và OpenAI tham gia với vai trò bên xử lý (processor) dữ liệu thay mặt Gamistu, không phải bên kiểm soát.
• Creator giữ quyền sở hữu đối với Tài liệu gốc và nội dung do mình tạo ra (xem Điều khoản sử dụng).
• Khi bạn xóa khóa học hoặc tài khoản, Tài liệu gốc và nội dung liên quan sẽ được xóa khỏi hệ thống trong vòng 30 ngày.

11. Quyền của bạn đối với dữ liệu cá nhân

Theo Điều 9 Nghị định 13/2023/NĐ-CP, bạn có đầy đủ các quyền sau đối với dữ liệu cá nhân của mình:

1. Quyền được biết về hoạt động xử lý dữ liệu cá nhân của mình.
2. Quyền đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân của mình.
3. Quyền truy cập để xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân của mình.
4. Quyền rút lại sự đồng ý đã cung cấp.
5. Quyền xóa dữ liệu cá nhân của mình.
6. Quyền hạn chế xử lý dữ liệu cá nhân của mình.
7. Quyền yêu cầu cung cấp dữ liệu cá nhân của mình.
8. Quyền phản đối việc xử lý dữ liệu cá nhân nhằm ngăn chặn hoặc hạn chế tiết lộ, sử dụng cho mục đích quảng cáo, tiếp thị.
9. Quyền khiếu nại, tố cáo, khởi kiện theo quy định của pháp luật.
10. Quyền yêu cầu bồi thường thiệt hại khi xảy ra vi phạm quy định về bảo vệ dữ liệu cá nhân của mình.
11. Quyền tự bảo vệ theo quy định của Bộ luật Dân sự và pháp luật liên quan, hoặc yêu cầu cơ quan, tổ chức có thẩm quyền bảo vệ.

Để thực hiện các quyền trên, bạn gửi yêu cầu tới email info@gamistu.com với tiêu đề bắt đầu bằng [Privacy], kèm mô tả rõ quyền bạn muốn thực hiện. Để bảo đảm an toàn, yêu cầu cần được gửi từ chính email đã đăng ký tài khoản.

12. Dữ liệu trẻ em

Gamistu là nền tảng dành cho người dùng đủ 18 tuổi trở lên và không hướng tới trẻ em. Chúng tôi không cố ý thu thập dữ liệu cá nhân của người dưới 18 tuổi.

Tài khoản Creator yêu cầu người dùng đủ 18 tuổi trở lên.

13. Cookie

Chúng tôi sử dụng cookie và các công nghệ tương tự để duy trì phiên đăng nhập, ghi nhớ tùy chọn và phân tích cách bạn sử dụng nền tảng nhằm cải thiện dịch vụ.

Chi tiết về loại cookie, mục đích và cách bạn kiểm soát cookie được trình bày trong tài liệu riêng (xem Chính sách Cookie).

14. Liên kết tới website bên thứ ba

Nền tảng có thể chứa liên kết tới các website hoặc dịch vụ của bên thứ ba. Khi bạn truy cập các website đó, việc xử lý dữ liệu cá nhân của bạn sẽ tuân theo chính sách bảo mật của chính bên thứ ba.

Chúng tôi không kiểm soát và không chịu trách nhiệm về nội dung, chính sách hay hoạt động của các website bên thứ ba. Bạn nên đọc kỹ chính sách bảo mật của các website này trước khi cung cấp dữ liệu.

15. Thay đổi chính sách

Chúng tôi có thể cập nhật Chính sách bảo mật này theo thời gian để phản ánh thay đổi về dịch vụ, công nghệ hoặc quy định pháp luật.

Khi có thay đổi, chúng tôi sẽ cập nhật ngày hiệu lực ở đầu tài liệu và đăng phiên bản mới trên nền tảng. Với thay đổi quan trọng ảnh hưởng đến quyền của bạn, chúng tôi sẽ thông báo qua email hoặc thông báo trên nền tảng ít nhất 15 ngày trước khi thay đổi có hiệu lực. Việc bạn tiếp tục sử dụng dịch vụ sau khi chính sách cập nhật có hiệu lực đồng nghĩa bạn chấp nhận nội dung đã sửa đổi.

16. Cơ quan giải quyết khiếu nại về dữ liệu cá nhân

Nếu bạn cho rằng quyền đối với dữ liệu cá nhân của mình bị xâm phạm, bạn có thể gửi khiếu nại trực tiếp tới Gamistu qua info@gamistu.com (xem thêm Giải quyết khiếu nại và tranh chấp).

Bạn cũng có quyền khiếu nại, tố cáo tới cơ quan nhà nước có thẩm quyền là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) – Bộ Công an, theo quy định của pháp luật về bảo vệ dữ liệu cá nhân.

17. Thông tin liên hệ

Người phụ trách bảo vệ dữ liệu cá nhân của Gamistu là người đại diện theo pháp luật của công ty; liên hệ qua email info@gamistu.com.

• Email: info@gamistu.com
• Hotline: 0838877789
• Website: gamistu.com

Thông tin pháp nhân đầy đủ của đơn vị chủ quản: