Chính sách bảo vệ và xử lý dữ liệu cá nhân

CHƯƠNG I — QUY ĐỊNH CHUNG

Điều 1. Đối tượng và Phạm vi áp dụng

Chính sách này áp dụng đối với toàn bộ Học viên cá nhân, người đại diện của khách hàng tổ chức/doanh nghiệp (sau đây gọi chung là "Chủ thể dữ liệu") đăng ký tài khoản, truy cập, sử dụng các khóa học, dịch vụ trên website Gitiho.com và ứng dụng di động thuộc quyền sở hữu của CÔNG TY CỔ PHẦN CÔNG NGHỆ GIÁO DỤC GITIHO VIỆT NAM (sau đây gọi là "Gitiho").

Gitiho tham gia vào quá trình xử lý dữ liệu với vai trò là Bên Kiểm soát dữ liệu cá nhân và Bên Xử lý dữ liệu cá nhân đối với các thông tin do Chủ thể dữ liệu cung cấp hoặc được hệ thống ghi nhận.

Điều 2. Định nghĩa và Thuật ngữ theo Pháp luật

Dữ liệu cá nhân: Là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể.

Xử lý dữ liệu cá nhân: Là một hoặc nhiều hành động tác động đến dữ liệu cá nhân, bao gồm: thu thập, ghi, phân tích, lưu trữ, sửa đổi, kết hợp, truy cập, truy xuất, thu hồi, mã hóa, giải mã, sao chép, chia sẻ, truyền đưa, cung cấp, chuyển giao, xóa, hủy dữ liệu cá nhân hoặc các hành động khác có liên quan.

CHƯƠNG II — PHÂN LOẠI, MỤC ĐÍCH VÀ CƠ CHẾ XỬ LÝ DỮ LIỆU

Điều 3. Các loại Dữ liệu Cá nhân được Xử lý

Gitiho tiến hành xử lý hai loại dữ liệu cá nhân sau đây của Chủ thể dữ liệu:

Dữ liệu cá nhân cơ bản:

• Họ, chữ đệm và tên khai sinh.
• Số điện thoại, địa chỉ thư điện tử (email).
• Thông tin tài khoản đăng nhập (tên đăng nhập, mật khẩu mã hóa).
• Lịch sử thanh toán khóa học (mã đơn hàng, số tiền, phương thức thanh toán).
• Dữ liệu hoạt động trên hệ thống (lịch sử học tập, kết quả bài thi/bài kiểm tra, thời gian xem video, tương tác bài viết).

Dữ liệu cá nhân nhạy cảm:

• Thông tin vị trí của cá nhân được xác định qua địa chỉ IP của thiết bị truy cập để bảo mật tài khoản và phân phối nội dung vùng miền.
• Thông tin tài khoản ngân hàng hoặc thông tin ví điện tử (chỉ lưu trữ một phần hoặc mã token thanh toán từ cổng thanh toán đối tác phục vụ cho mục đích đối soát, hoàn tiền theo chính sách).

Điều 4. Mục đích Xử lý Dữ liệu

Gitiho xử lý dữ liệu của Chủ thể dữ liệu nghiêm ngặt trong phạm vi các mục đích sau:

• Xác thực danh tính, khởi tạo, kích hoạt và quản lý tài khoản học tập trực tuyến của Học viên.
• Cung cấp đầy đủ tính năng của các khóa học, theo dõi tiến độ và cấp chứng nhận hoàn thành khóa học tự động.
• Cá nhân hóa trải nghiệm học tập và gợi ý lộ trình kỹ năng phù hợp thông qua công nghệ trí tuệ nhân tạo (Learning Analytics & AI).
• Thực hiện các nghĩa vụ tài chính liên quan như xuất hóa đơn điện tử, xử lý yêu cầu hoàn tiền, đổi khóa học.
• Chăm sóc khách hàng, tư vấn lộ trình và giải quyết khiếu nại phát sinh trong quá trình sử dụng dịch vụ.
• Gửi thông báo cập nhật về kỹ thuật, chính sách, hoặc các thông tin tiếp thị, khuyến mại khóa học (khi có sự đồng ý riêng biệt của Học viên).
• Tuân thủ các nghĩa vụ pháp lý theo yêu cầu của cơ quan Nhà nước có thẩm quyền bằng văn bản.

Điều 5. Điều kiện tiên quyết: Cơ chế xác lập Sự Đồng Ý

Nguyên tắc cốt lõi: Gitiho chỉ tiến hành xử lý dữ liệu cá nhân sau khi nhận được sự đồng ý tự nguyện, rõ ràng của Chủ thể dữ liệu. Sự đồng ý này phải được thiết lập riêng biệt với các điều khoản điều kiện thương mại khác.

Hình thức thu thập: Sự đồng ý được thực hiện thông qua hành động chủ động của Học viên, người dùng bằng cách tích chọn (check-box) vào ô "Tôi đồng ý với Chính sách Bảo vệ và Xử lý Dữ liệu cá nhân của Gitiho" trước khi bấm nút "Đăng ký" tài khoản hoặc "Đăng ký khoá học" hoặc các form nhập thông tin khác nhằm tạo tài khoản tại gitiho.com.

Lưu trữ bằng chứng: Gitiho thiết lập cơ chế kỹ thuật để lưu giữ bằng chứng điện tử (Log-data) về thời gian, địa chỉ IP và phiên bản chính sách mà Học viên đã đồng ý để sẵn sàng chứng minh tính hợp pháp theo quy định.

CHƯƠNG III — QUYỀN VÀ NGHĨA VỤ CỦA CHỦ THỂ DỮ LIỆU

Điều 6. Các Quyền của Học viên (Chủ thể dữ liệu)

Học viên được bảo đảm thực thi đầy đủ các quyền sau theo Nghị định 13/2023/NĐ-CP:

• Quyền được biết: Được thông báo về hoạt động xử lý dữ liệu cá nhân của mình thông qua Chính sách này.
• Quyền đồng ý: Được quyền đồng ý, không đồng ý hoặc đồng ý một phần đối với các mục đích xử lý dữ liệu.
• Quyền truy cập: Được tự truy cập vào trang quản trị hồ sơ cá nhân để kiểm tra, xem dữ liệu của mình.
• Quyền đính chính: Được tự chỉnh sửa thông tin cá nhân sai lệch trên hệ thống hoặc yêu cầu Ban quản trị hỗ trợ đính chính.
• Quyền xóa dữ liệu: Được yêu cầu Gitiho xóa vĩnh viễn dữ liệu cá nhân của mình khi chấm dứt sử dụng dịch vụ.
• Quyền rút lại sự đồng ý: Có quyền rút lại sự đồng ý đã cấp trước đó. Quy trình rút lại được thực hiện bằng cách gửi yêu cầu về email hotro@gitiho.com. Gitiho sẽ xử lý trong vòng 72 giờ làm việc, việc rút lại này không làm ảnh hưởng đến tính hợp pháp của việc xử lý dữ liệu trước đó.
• Quyền hạn chế xử lý dữ liệu: Yêu cầu Gitiho ngừng một phần hành vi xử lý dữ liệu (ví dụ: ngừng dùng AI phân tích hành vi học tập).
• Quyền cung cấp dữ liệu: Yêu cầu Gitiho cung cấp lại các dữ liệu cá nhân của chính mình dưới định dạng dữ liệu điện tử tiêu chuẩn.
• Quyền phản đối xử lý dữ liệu: Học viên có quyền phản đối Gitiho xử lý dữ liệu nhằm mục đích tiếp thị, quảng cáo khóa học.
• Quyền khiếu nại, tố cáo, khởi kiện: Theo quy định của pháp luật nếu phát hiện Gitiho vi phạm cam kết bảo mật.
• Quyền yêu cầu bồi thường thiệt hại: Theo quy định của pháp luật khi có thiệt hại thực tế phát sinh từ lỗi xử lý dữ liệu sai quy định của Gitiho.

CHƯƠNG IV — BẢO VỆ DỮ LIỆU TRẺ EM VÀ BÊN THỨ BA

Điều 7. Quy định đặc biệt về Dữ liệu Cá nhân của Trẻ em

Gitiho không chủ đích thu thập hoặc xử lý dữ liệu của người dùng dưới 16 tuổi (trẻ em theo quy định của Luật Trẻ em và PDPA) trừ khi có sự đồng ý của trẻ em (nếu từ đủ 7 tuổi trở lên) VÀ phải có sự đồng ý của cha, mẹ hoặc người giám hộ hợp pháp.

Đối với các khóa học/nội dung học tập dành cho đối tượng học sinh, hệ thống của Gitiho sẽ yêu cầu người đăng ký xác thực thông tin của cha mẹ hoặc người giám hộ trước khi cấp quyền xử lý dữ liệu và kích hoạt tài khoản.

Cha mẹ hoặc người giám hộ có quyền thực thi bất kỳ quyền nào quy định tại Điều 6 đối với dữ liệu của trẻ em dưới quyền giám hộ của mình bằng cách liên hệ với Gitiho.

Điều 8. Tiếp cận và Chia sẻ Dữ liệu với Bên thứ ba

Gitiho cam kết không bán, cho thuê hoặc trao đổi dữ liệu cá nhân của Học viên. Dữ liệu chỉ được tiếp cận hoặc chia sẻ với các bên sau:

• Nhân sự được phân quyền thuộc Ban Quản trị của Gitiho nhằm mục đích hỗ trợ học tập và vận hành hệ thống.
• Các đối tác cung cấp dịch vụ công nghệ thiết yếu được ràng buộc bằng hợp đồng bảo mật (NDA) nghiêm ngặt gồm: doanh nghiệp cung cấp cổng thanh toán, đơn vị hạ tầng lưu trữ đám mây (Cloud hosting), nhà cung cấp dịch vụ gửi SMS/Email OTP xác thực.
• Cơ quan Nhà nước có thẩm quyền tại Việt Nam khi có yêu cầu bằng văn bản chính thức theo quy định của pháp luật hiện hành.

CHƯƠNG V — THỜI GIAN LƯU TRỮ, BIỆN PHÁP BẢO MẬT VÀ HIỆU LỰC

Điều 9. Thời gian Lưu trữ và Tiêu hủy Dữ liệu

Dữ liệu cá nhân của Học viên sẽ được lưu trữ tự động trong suốt thời gian Học viên duy trì tài khoản hoạt động trên nền tảng Gitiho.com.

Trong trường hợp Học viên gửi yêu cầu xóa dữ liệu cá nhân hoặc tài khoản bị chấm dứt hợp pháp, Gitiho sẽ tiến hành xóa vĩnh viễn hoặc mã hóa không thể đảo ngược (ẩn danh hóa) toàn bộ dữ liệu trong vòng tối đa 30 ngày kể từ ngày nhận yêu cầu.

Ngoại trừ: Các thông tin liên quan đến hóa đơn tài chính, chứng từ thanh toán bắt buộc phải lưu trữ theo thời hạn quy định của Luật Kế toán và Luật Quản lý thuế hiện hành.

Điều 10. Biện pháp Bảo mật Kỹ thuật và Tổ chức

Gitiho áp dụng các tiêu chuẩn an toàn thông tin nghiêm ngặt bao gồm mã hóa dữ liệu truyền tải (SSL/TLS), mã hóa một chiều mật khẩu học viên và triển khai tường lửa hệ thống nhằm ngăn chặn các hành vi truy cập trái phép hoặc rò rỉ dữ liệu.

Chỉ những nhân sự được phân quyền cụ thể phục vụ cho công việc mới có quyền truy cập vào cơ sở dữ liệu của Học viên. Toàn bộ nhật ký truy cập của nhân sự đều được hệ thống ghi lại.

Điều 11. Cơ chế Thay đổi và Cập nhật Chính sách

Gitiho giữ quyền sửa đổi, cập nhật nội dung Chính sách này tại từng thời điểm để phù hợp với sự thay đổi của pháp luật hoặc mô hình dịch vụ EdTech của công ty.

Khi có sự thay đổi cốt lõi (thay đổi mục đích, loại dữ liệu thu thập, hoặc quyền lợi), Gitiho bắt buộc phải hiển thị lại thông báo dưới dạng pop-up màn hình cho Học viên khi đăng nhập. Học viên phải chủ động nhấn nút chấp thuận để hệ thống tiếp tục xử lý dữ liệu và duy trì quyền truy cập khóa học.

THÔNG TIN LIÊN HỆ