Chào mừng bạn đến với nexstack.store -- nền tảng học tập trực tuyến thuộc sở hữu và vận hành bởi NexStack.
Chúng tôi tôn trọng quyền riêng tư của bạn và cam kết bảo vệ thông tin cá nhân mà bạn cung cấp khi sử dụng dịch vụ. Chính sách bảo mật này được xây dựng phù hợp với Luật An ninh mạng 2018 (Luật số 24/2018/QH14) và Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, nhằm giải thích cách chúng tôi thu thập, sử dụng, lưu trữ và bảo vệ dữ liệu cá nhân của bạn.
Bằng việc truy cập và sử dụng nền tảng, bạn xác nhận đã đọc, hiểu và đồng ý với các điều khoản trong chính sách bảo mật này.
1. Thu thập thông tin
Khi bạn sử dụng nền tảng nexstack.store, chúng tôi thu thập các loại thông tin cá nhân sau đây, phù hợp với quy định tại Điều 2 Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân:
a) Thông tin bạn cung cấp trực tiếp:
- Họ và tên đầy đủ
- Địa chỉ email
- Số điện thoại
- Thông tin thanh toán (được xử lý qua cổng thanh toán bên thứ ba -- chúng tôi không lưu trữ thông tin thẻ ngân hàng hoặc số tài khoản)
b) Thông tin được thu thập tự động:
- Lịch sử học tập: khoá học đã đăng ký, tiến độ hoàn thành bài học, kết quả bài kiểm tra
- Dữ liệu hoạt động: tần suất truy cập, thời gian sử dụng, tương tác trong cộng đồng
- Thông tin kỹ thuật: địa chỉ IP, loại trình duyệt (User-Agent), hệ điều hành, thiết bị truy cập
- Dữ liệu cookie và mã theo dõi (xem mục 5)
2. Mục đích sử dụng thông tin
Theo Điều 3 Nghị định 13/2023/NĐ-CP, chúng tôi chỉ xử lý dữ liệu cá nhân khi có mục đích rõ ràng. Cụ thể, thông tin của bạn được sử dụng cho các mục đích sau:
a) Cung cấp dịch vụ:
- Tạo và quản lý tài khoản người dùng
- Cấp quyền truy cập khoá học đã mua hoặc đăng ký
- Theo dõi tiến độ học tập và cấp chứng chỉ hoàn thành
- Xử lý đơn hàng và thanh toán
b) Cải thiện trải nghiệm:
- Phân tích hành vi sử dụng để tối ưu nội dung và giao diện nền tảng
- Đề xuất khoá học và nội dung phù hợp với nhu cầu của bạn
c) Truyền thông và hỗ trợ:
- Gửi email xác nhận đăng ký, thông báo khoá học, cập nhật bài học mới
- Gửi thông tin khuyến mãi và chương trình ưu đãi (bạn có thể huỷ đăng ký bất cứ lúc nào)
- Phản hồi câu hỏi và yêu cầu hỗ trợ kỹ thuật
d) An ninh và pháp lý:
- Phát hiện và ngăn chặn hoạt động gian lận, truy cập trái phép
- Tuân thủ các yêu cầu của Luật An ninh mạng 2018 và các quy định pháp luật hiện hành
- Theo dõi và tính hoa hồng cho chương trình đối tác giới thiệu (affiliate)
3. Cơ sở pháp lý & cách thu thập sự đồng ý
Theo Nghị định 13/2023/NĐ-CP, việc xử lý dữ liệu cá nhân của bạn chỉ được thực hiện khi có một trong các cơ sở pháp lý hợp pháp. Chúng tôi xác định rõ cơ sở cho từng hoạt động xử lý:
a) Cơ sở xử lý dữ liệu:
- Sự đồng ý của bạn (Điều 11): đối với tiếp thị, gửi email khuyến mãi, cookie phân tích và mã theo dõi
- Thực hiện hợp đồng: để tạo tài khoản, cấp quyền truy cập khoá học và xử lý đơn hàng theo yêu cầu của bạn
- Nghĩa vụ pháp lý: lưu trữ hoá đơn, chứng từ theo Luật Kế toán và cung cấp thông tin cho cơ quan có thẩm quyền
- Lợi ích hợp pháp: bảo mật hệ thống, phòng chống gian lận và cải thiện chất lượng dịch vụ ở mức cần thiết
b) Cách chúng tôi thu thập sự đồng ý:
- Sự đồng ý được thể hiện bằng hành động chủ động, rõ ràng (ví dụ: tích chọn ô đồng ý khi đăng ký, bấm nút chấp nhận trên banner cookie) — không mặc định coi việc tiếp tục sử dụng là đồng ý đối với các hoạt động cần sự đồng ý theo NĐ 13/2023
- Sự đồng ý được thu thập riêng biệt cho từng mục đích; bạn có thể đồng ý mục này mà không buộc phải đồng ý mục khác
- Trước khi thu thập, chúng tôi thông báo rõ loại dữ liệu, mục đích xử lý và việc dữ liệu có thể được chuyển ra nước ngoài (xem mục 5)
- Sự đồng ý được ghi nhận, lưu vết và có giá trị cho đến khi bạn rút lại
c) Rút lại sự đồng ý:
- Bạn có quyền rút lại sự đồng ý bất cứ lúc nào mà không ảnh hưởng đến tính hợp pháp của việc xử lý trước thời điểm rút lại
- Bạn có thể rút lại qua trang Cài đặt tài khoản, banner cookie, đường link huỷ đăng ký trong email, hoặc gửi yêu cầu đến support@nexstack.store
- Sau khi bạn rút lại sự đồng ý, chúng tôi sẽ ngừng hoạt động xử lý tương ứng, trừ trường hợp pháp luật yêu cầu tiếp tục lưu trữ
4. Chia sẻ thông tin với bên thứ ba
Chúng tôi cam kết không bán, trao đổi hoặc cho thuê thông tin cá nhân của bạn cho bất kỳ bên thứ ba nào vì mục đích thương mại.
Theo Điều 17 Nghị định 13/2023/NĐ-CP, chúng tôi chỉ chia sẻ dữ liệu với các nhà cung cấp dịch vụ đáng tin cậy sau đây để vận hành nền tảng:
a) Nhà cung cấp hạ tầng và dịch vụ:
- Supabase: lưu trữ cơ sở dữ liệu, xác thực người dùng và quản lý phiên đăng nhập (trung tâm dữ liệu tại Singapore)
- Vercel: hosting và phân phối nền tảng web, xử lý yêu cầu HTTP (trung tâm dữ liệu toàn cầu)
- Amazon Web Services (AWS SES): gửi email giao dịch và email tiếp thị
- Cloudflare: bảo mật, CDN và tối ưu hiệu suất website
b) Dịch vụ phân tích và tiếp thị:
- Facebook Pixel (Meta): theo dõi hiệu quả quảng cáo và phân tích hành vi người dùng trên nền tảng
- YouTube (Google): nhúng video bài học, có thể thu thập dữ liệu theo chính sách riêng của Google
Tất cả các nhà cung cấp dịch vụ trên đều tuân thủ các tiêu chuẩn bảo mật quốc tế (SOC 2, ISO 27001) và cam kết bảo vệ dữ liệu cá nhân.
Chúng tôi có thể tiết lộ thông tin cá nhân khi được yêu cầu bởi cơ quan nhà nước có thẩm quyền theo quy định tại Luật An ninh mạng 2018.
5. Chuyển dữ liệu cá nhân ra nước ngoài
Để vận hành nền tảng, một phần dữ liệu cá nhân của bạn được lưu trữ hoặc xử lý trên hạ tầng của các nhà cung cấp dịch vụ đặt tại nước ngoài. Theo Điều 25 Nghị định 13/2023/NĐ-CP, chúng tôi thông báo rõ về hoạt động chuyển dữ liệu cá nhân ra nước ngoài như sau:
a) Các bên nhận dữ liệu ở nước ngoài và mục đích:
- Supabase (máy chủ tại Singapore): lưu trữ cơ sở dữ liệu, xác thực người dùng, quản lý phiên đăng nhập — lưu trữ tên, email, số điện thoại, lịch sử học tập của bạn
- Vercel (hạ tầng toàn cầu, gồm Hoa Kỳ): hosting và phân phối nền tảng web, xử lý yêu cầu HTTP — xử lý địa chỉ IP, User-Agent, dữ liệu phiên
- Cloudflare (mạng CDN toàn cầu): bảo mật, chống tấn công, tăng tốc website — xử lý địa chỉ IP và metadata kết nối
- Amazon Web Services — AWS SES (Hoa Kỳ/khu vực): gửi email giao dịch và email tiếp thị — xử lý email và nội dung thông báo gửi đến bạn
- Meta Pixel — Facebook (Hoa Kỳ): đo lường hiệu quả quảng cáo, phân tích hành vi (chỉ khi bạn đồng ý cookie tiếp thị) — xử lý dữ liệu sự kiện, mã nhận dạng trình duyệt/thiết bị
- Google — YouTube (toàn cầu): nhúng video bài học (chỉ khi bạn xem video) — có thể thu thập dữ liệu theo chính sách riêng của Google
b) Biện pháp bảo đảm khi chuyển dữ liệu ra nước ngoài:
- Chỉ chuyển dữ liệu ở mức tối thiểu cần thiết cho mục đích vận hành nêu trên
- Lựa chọn nhà cung cấp đạt tiêu chuẩn bảo mật quốc tế (SOC 2, ISO 27001) và có điều khoản bảo vệ dữ liệu (DPA) ràng buộc
- Dữ liệu được mã hoá khi truyền tải (TLS) và khi lưu trữ ở nơi áp dụng được
- Lập và lưu Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo yêu cầu của Nghị định 13/2023/NĐ-CP
Bằng việc đồng ý với chính sách này và sử dụng các tính năng liên quan (đăng ký tài khoản, nhận email, bật cookie tiếp thị), bạn được thông báo và đồng ý cho việc chuyển dữ liệu cá nhân ra nước ngoài cho các mục đích nêu trên. Bạn có thể rút lại sự đồng ý đối với các hoạt động dựa trên sự đồng ý (xem mục 3) bất cứ lúc nào.
6. Bảo mật dữ liệu
Theo Điều 26 Nghị định 13/2023/NĐ-CP, chúng tôi áp dụng các biện pháp kỹ thuật và tổ chức phù hợp để bảo vệ thông tin cá nhân của bạn:
a) Biện pháp kỹ thuật:
- Mã hoá dữ liệu truyền tải qua giao thức HTTPS (TLS 1.3)
- Supabase Row Level Security (RLS): đảm bảo mỗi người dùng chỉ truy cập được dữ liệu của chính mình
- Mật khẩu được băm (bcrypt hash) và không bao giờ lưu dưới dạng văn bản thuần
- Xác thực hai yếu tố (2FA) cho tài khoản quản trị
b) Biện pháp tổ chức:
- Giới hạn quyền truy cập: chỉ nhân viên được uỷ quyền mới có quyền truy cập dữ liệu cá nhân
- Giám sát hệ thống liên tục để phát hiện và xử lý sớm các mối đe doạ bảo mật
- Sao lưu dữ liệu định kỳ để đảm bảo khả năng khôi phục khi có sự cố
- Kiểm tra và cập nhật các biện pháp bảo mật thường xuyên
8. Quyền của người dùng
Theo Điều 9 Nghị định 13/2023/NĐ-CP và quy định của Luật An ninh mạng 2018, bạn có các quyền sau đối với dữ liệu cá nhân của mình:
a) Quyền xem và truy cập dữ liệu:
- Xem toàn bộ dữ liệu cá nhân mà chúng tôi lưu trữ về bạn
- Yêu cầu bản sao dữ liệu cá nhân ở định dạng có thể đọc được (quyền di chuyển dữ liệu)
b) Quyền chỉnh sửa dữ liệu:
- Cập nhật hoặc sửa đổi thông tin cá nhân không chính xác hoặc không đầy đủ
- Thay đổi thông tin liên hệ (email, số điện thoại) qua trang Cài đặt tài khoản
c) Quyền xoá dữ liệu:
- Yêu cầu xoá toàn bộ dữ liệu cá nhân khỏi hệ thống
- Sau khi nhận yêu cầu, chúng tôi sẽ xoá hoặc ẩn danh hoá dữ liệu trong vòng 30 ngày
- Một số dữ liệu có thể được giữ lại nếu pháp luật yêu cầu (ví dụ: hoá đơn thanh toán theo Luật Kế toán)
d) Quyền khác:
- Quyền hạn chế xử lý: yêu cầu ngừng xử lý dữ liệu trong một số trường hợp nhất định
- Quyền phản đối: phản đối việc sử dụng dữ liệu cho mục đích tiếp thị trực tiếp
- Quyền rút lại sự đồng ý: rút lại sự đồng ý đã cung cấp trước đó bất cứ lúc nào
- Quyền khiếu nại: khiếu nại đến cơ quan bảo vệ dữ liệu cá nhân nếu cho rằng quyền của bạn bị vi phạm
Để thực hiện bất kỳ quyền nào nêu trên, vui lòng liên hệ chúng tôi qua email support@nexstack.store. Chúng tôi sẽ xác minh danh tính và phản hồi trong vòng 72 giờ, xử lý hoàn tất trong vòng 30 ngày kể từ ngày nhận được yêu cầu hợp lệ.
9. Thời gian lưu trữ dữ liệu
Theo Điều 16 Nghị định 13/2023/NĐ-CP, chúng tôi chỉ lưu trữ dữ liệu cá nhân trong thời gian cần thiết cho mục đích đã nêu:
Thời gian lưu trữ cụ thể:
- Dữ liệu tài khoản (tên, email, số điện thoại): trong suốt thời gian tài khoản còn hoạt động và 30 ngày sau khi yêu cầu xoá
- Lịch sử học tập và chứng chỉ: trong suốt thời gian tài khoản hoạt động để đảm bảo quyền truy cập khoá học
- Dữ liệu thanh toán và hoá đơn: lưu trữ tối thiểu 10 năm theo quy định của Luật Kế toán Việt Nam
- Nhật ký truy cập (IP, User-Agent): lưu trữ tối đa 12 tháng cho mục đích bảo mật
- Dữ liệu cookie phân tích: tối đa 26 tháng
Sau khi hết thời gian lưu trữ, dữ liệu sẽ được xoá vĩnh viễn hoặc ẩn danh hoá để không thể nhận dạng cá nhân.
10. Thay đổi chính sách bảo mật
Chúng tôi có thể cập nhật chính sách bảo mật này theo thời gian để phản ánh các thay đổi trong hoạt động hoặc yêu cầu pháp lý mới.
Khi có thay đổi quan trọng, chúng tôi sẽ:
- Thông báo cho bạn qua email đã đăng ký ít nhất 7 ngày trước khi thay đổi có hiệu lực
- Đăng thông báo rõ ràng trên nền tảng
- Cập nhật ngày "Cập nhật lần cuối" ở đầu trang chính sách
Việc tiếp tục sử dụng nền tảng sau khi chính sách được cập nhật đồng nghĩa với việc bạn chấp nhận các thay đổi. Chúng tôi khuyến khích bạn xem lại chính sách này định kỳ.
11. Liên hệ
Nếu bạn có bất kỳ câu hỏi, yêu cầu hoặc khiếu nại nào liên quan đến chính sách bảo mật hoặc cách chúng tôi xử lý dữ liệu cá nhân, vui lòng liên hệ:
Nền tảng: NexStack
Người chịu trách nhiệm bảo vệ dữ liệu: NexStack
Website: nexstack.store
Email: support@nexstack.store
Cơ sở pháp lý: Chính sách bảo mật này được xây dựng tuân thủ Luật An ninh mạng 2018 (Luật số 24/2018/QH14), Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, và các quy định pháp luật liên quan của nước Cộng hoà Xã hội Chủ nghĩa Việt Nam. Mọi tranh chấp phát sinh sẽ được giải quyết theo pháp luật Việt Nam.