# Chính sách bảo mật và bảo vệ dữ liệu cá nhân

Phiên bản: 1.28. Có hiệu lực từ: 17/10/2026.

Chính sách này giải thích 200Lab thu thập những dữ liệu cá nhân nào của bạn, dùng chúng vào việc gì, chia sẻ với ai, giữ trong bao lâu và bạn có những quyền gì. Chúng tôi viết bằng ngôn ngữ đơn giản để bạn đọc một lần là hiểu. Chính sách được xây dựng theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP hướng dẫn luật này.

## 1. Phạm vi và bên kiểm soát dữ liệu

1.1. Chính sách áp dụng cho các trang và dịch vụ của 200Lab: trang công khai `200lab.io`, trang học `learn.200lab.io`, API `api.200lab.io`, máy chủ MCP `mcp.200lab.io` và email chúng tôi gửi cho bạn.

1.2. Bên kiểm soát và xử lý dữ liệu cá nhân của bạn là:

- Tên doanh nghiệp: Công ty TNHH công nghệ 200LAB
- Mã số thuế: 0317035178
- Văn phòng: 9A Phạm Văn Hai, Phường Tân Sơn Hòa, TP.HCM
- Kênh liên hệ: Fanpage 200Lab tại https://www.facebook.com/edu.200lab
- Email liên hệ về dữ liệu cá nhân: edu@200lab.io
- Bộ phận phụ trách bảo vệ dữ liệu cá nhân: Ban điều hành 200Lab, liên hệ qua email edu@200lab.io

1.3. Chính sách không áp dụng cho trang hoặc dịch vụ của bên khác mà bạn mở từ 200Lab, ví dụ YouTube, Google Meet, Zoom, Telegram, GitHub, PayPal hay ngân hàng của bạn. Các bên đó có chính sách riêng.

## 2. Dữ liệu chúng tôi thu thập

Chúng tôi chỉ thu thập dữ liệu cần cho việc cung cấp dịch vụ. Dữ liệu được chia theo nhóm dưới đây.

2.1. Dữ liệu tài khoản

- Địa chỉ email và trạng thái đã xác minh email hay chưa.
- Mật khẩu. Chúng tôi chỉ lưu bản băm bằng bcrypt, không lưu và không đọc được mật khẩu gốc.
- Nếu bạn đăng nhập hoặc liên kết bằng GitHub: mã định danh tài khoản GitHub, tên đăng nhập GitHub và email GitHub mà GitHub trả về. Chúng tôi không lưu mã truy cập GitHub của bạn.
- Vai trò của tài khoản (học viên, tác giả, mentor, quản trị).

2.2. Dữ liệu hồ sơ

- Tên đăng nhập công khai (handle), tên hiển thị, ảnh đại diện, ảnh bìa, dòng giới thiệu ngắn, tiểu sử, website, các liên kết mạng xã hội và tên GitHub đã liên kết. Những trường này hiển thị trên trang hồ sơ công khai của bạn (xem mục 11).
- Thông tin liên hệ riêng tư: số điện thoại và tên người dùng Telegram. Hai trường này là tuỳ chọn, chỉ 200Lab nhìn thấy, không bao giờ hiển thị công khai. Chúng tôi dùng chúng để liên hệ khi bạn học lớp live.

2.3. Dữ liệu mua hàng và thanh toán

- Giỏ hàng, đơn hàng, sản phẩm và Offer bạn mua, giá, mã giảm giá hoặc mã giới thiệu đã áp dụng, trạng thái đơn và lịch sử hoàn tiền nếu có.
- Thông tin giao dịch chuyển khoản mà SePay chuyển cho chúng tôi để đối soát: số tiền, nội dung chuyển khoản, mã tham chiếu ngân hàng, ngân hàng và thời điểm giao dịch. Tuỳ ngân hàng, nội dung này có thể chứa tên người chuyển.
- Khi bạn thanh toán qua PayPal: mã đơn PayPal, mã giao dịch thu tiền, số USD đã thu, phí PayPal, tỷ giá đã dùng và trạng thái giao dịch, kể cả hoàn tiền và khiếu nại đòi lại tiền (chargeback) mà PayPal báo cho chúng tôi.
- Chúng tôi không thu thập, không lưu và không xử lý số thẻ, mã CVV/CVC, ngày hết hạn thẻ hay bất kỳ dữ liệu thẻ thanh toán nào. 200Lab nhận chuyển khoản ngân hàng qua mã VietQR và thanh toán qua PayPal; khi bạn trả bằng thẻ qua PayPal, PayPal xử lý thẻ theo chính sách của PayPal.

2.4. Dữ liệu học tập

- Quyền truy cập của bạn vào khóa học, lộ trình, bài viết và tài liệu, kèm thời hạn truy cập.
- Tiến độ học (bài đã mở, đã hoàn thành), kết quả làm quiz, bài nộp (nội dung văn bản và một đường dẫn GitHub nếu bài yêu cầu) và nhận xét của mentor.
- Certificate đã cấp, số serial và lựa chọn công khai hay riêng tư của bạn.
- Điểm kinh nghiệm, huy hiệu bạn đạt được (kèm thời điểm nhận) và lựa chọn chia sẻ công khai từng huy hiệu.
- Đánh giá khóa học bạn viết (số sao và nhận xét).
- Lịch sử tải tài liệu (artifact).

2.5. Dữ liệu kỹ thuật, cookie và thiết bị

- Địa chỉ IP, chuỗi user agent, loại thiết bị, hệ điều hành, trình duyệt và quốc gia suy ra từ IP, gắn với mỗi phiên đăng nhập.
- Một mã nhận diện thiết bị do thư viện FingerprintJS (bản mã nguồn mở, chạy ngay trên trình duyệt của bạn) tạo ra. Mã này chỉ dùng để gắn phiên đăng nhập với thiết bị và phát hiện phiên bị đánh cắp, không dùng cho quảng cáo.
- Nhật ký sự kiện bảo mật: đăng nhập, đăng xuất, làm mới phiên, phiên bị thay thế.
- Khi API key hoặc kết nối agent của bạn được dùng: dải mạng của địa chỉ IP (địa chỉ IP rút gọn về khối mạng chứa nó), tên ứng dụng mà công cụ tự báo và API key hoặc kết nối đã được dùng. Chúng tôi chỉ dùng dữ liệu này để bảo vệ tài khoản khỏi việc dùng chung và để báo cho đội vận hành của 200Lab, và giữ tối đa 2 ngày.
- Khi bạn đã đăng nhập: tương tác của bạn với thông báo khuyến mãi trên trang (thông báo được hiện, bạn bấm vào, đóng hoặc chọn "Không quan tâm") và bài viết nơi thông báo xuất hiện. Chúng tôi dùng dữ liệu này để chọn ưu đãi phù hợp để hiển thị và đo hiệu quả chương trình khuyến mãi. Dữ liệu được giữ 180 ngày và không còn gắn với bạn khi bạn xoá tài khoản. Khi bạn chưa đăng nhập, chúng tôi không ghi nhận các tương tác này theo từng người.
- Cookie và bộ nhớ trình duyệt, mô tả ở mục 10.
- Dữ liệu đo lường từ Google Analytics, Meta Pixel và pixel đo lường của OpenAI, mô tả ở mục 10.

2.6. Dữ liệu liên hệ cho lớp live

- Số điện thoại và tên Telegram nêu ở mục 2.2, nếu bạn cung cấp.
- Khi bạn bấm "Mở Telegram" trong trang khóa học, chúng tôi tạo một link mời dùng một lần vào nhóm Telegram của lớp. Khi bạn tham gia nhóm, Telegram và các thành viên khác trong nhóm sẽ thấy tài khoản Telegram của bạn theo cài đặt riêng tư của Telegram.
- Nếu lớp học qua Google Meet hoặc Zoom, nền tảng đó xử lý tên, hình ảnh và giọng nói của bạn khi bạn tham gia buổi học. Buổi học có thể được ghi hình để làm bản recording cho học viên của lớp (xem Điều khoản sử dụng).

2.7. Dữ liệu chương trình giới thiệu (affiliate)

- Mã và link giới thiệu của bạn (tạo tự động khi bạn mở trang Giới thiệu), phần hoa hồng bạn chọn chia cho người mua, đơn hàng được ghi nhận cho mã hoặc link của bạn, số người mua đã được tính để xét cấp độ, cấp độ và mức hoa hồng tối đa hiện tại, trạng thái thành viên (đang hoạt động hay bị tạm dừng), hoa hồng và các lần chi trả.
- Chương trình không còn bước đăng ký tham gia, nên chúng tôi không thu thập lời nhắn đăng ký nữa. Lời nhắn bạn đã gửi khi đăng ký trước đây, nếu có, được giữ cùng thông tin thành viên của bạn.
- Thông tin nhận tiền: tên ngân hàng, tên chủ tài khoản và số tài khoản. Số tài khoản được mã hoá khi lưu (AES-GCM); chỉ bộ phận chi trả của 200Lab mở được khi chuyển khoản. Tên ngân hàng, tên chủ tài khoản và bốn số cuối được lưu ở dạng thường để bạn và chúng tôi nhận ra tài khoản.
- Mã số thuế cá nhân của bạn (theo quy định thuế hiện hành là số định danh cá nhân 12 số, hoặc mã số thuế 10 số đã được cấp trước đó), để 200Lab khấu trừ và kê khai thuế thu nhập cá nhân cho khoản hoa hồng.

2.8. Dữ liệu bạn gửi khi liên hệ hỗ trợ

Khi bạn nhắn cho Fanpage 200Lab qua Messenger, chúng tôi nhận nội dung tin nhắn và thông tin tài khoản Facebook mà Meta cho phép trang nhìn thấy.

## 3. Mục đích và cơ sở xử lý

| Mục đích | Dữ liệu dùng | Cơ sở |
|---|---|---|
| Tạo và bảo vệ tài khoản, xác minh email, đặt lại mật khẩu | Nhóm 2.1, 2.5 | Sự đồng ý của bạn khi đăng ký và việc thực hiện hợp đồng dịch vụ |
| Giới hạn mỗi tài khoản tối đa hai phiên đăng nhập, phát hiện chia sẻ hoặc chiếm đoạt tài khoản | Nhóm 2.5 | Thực hiện hợp đồng và bảo vệ an ninh hệ thống |
| Phát hiện API key hoặc kết nối agent bị dùng chung và báo cho đội vận hành | Dải mạng, tên ứng dụng và API key hoặc kết nối đã dùng (nhóm 2.5) | Thực hiện hợp đồng và bảo vệ an ninh hệ thống |
| Xử lý đơn hàng, đối soát chuyển khoản, cấp quyền truy cập, hoàn tiền | Nhóm 2.3, 2.4 | Thực hiện hợp đồng mua bán |
| Cung cấp nội dung học, ghi tiến độ, chấm bài, cấp certificate | Nhóm 2.4 | Thực hiện hợp đồng |
| Gửi email giao dịch: xác minh, biên nhận, cấp quyền, hoàn thành khóa | Email, đơn hàng | Thực hiện hợp đồng |
| Hiển thị huy hiệu và certificate bạn chọn chia sẻ trên trang chia sẻ công khai và ảnh chia sẻ | Tên hiển thị đã đồng ý, ảnh đại diện công khai, huy hiệu hoặc certificate được chia sẻ (nhóm 2.2, 2.4) | Sự đồng ý của bạn khi bật chia sẻ từng mục; bạn rút lại bằng cách tắt liên kết |
| Vận hành lớp live, mời vào nhóm Telegram, liên hệ khi cần | Nhóm 2.6 | Sự đồng ý của bạn khi điền thông tin liên hệ và thực hiện hợp đồng |
| Ghi nhận đơn giới thiệu, xét cấp độ, tính và chi trả hoa hồng affiliate | Nhóm 2.7 | Thực hiện thỏa thuận affiliate theo mục 9 Điều khoản sử dụng; với thông tin nhận tiền và mã số thuế, sự đồng ý của bạn khi tự nhập để nhận hoa hồng |
| Chọn ưu đãi phù hợp để hiển thị và đo hiệu quả chương trình khuyến mãi | Tương tác với thông báo khuyến mãi khi đã đăng nhập (nhóm 2.5) | Thực hiện hợp đồng dịch vụ: vận hành các tính năng bạn dùng trên hệ thống |
| Đo lường lượt truy cập và hiệu quả quảng cáo | Cookie đo lường, sự kiện trang | Sự đồng ý của bạn qua hộp chọn cookie khi bạn mở trang lần đầu |
| Hỗ trợ khách hàng và giải quyết khiếu nại | Nhóm 2.8 và dữ liệu liên quan | Thực hiện hợp đồng |
| Tuân thủ nghĩa vụ kế toán, thuế và yêu cầu hợp pháp của cơ quan nhà nước | Đơn hàng, thanh toán, hoa hồng | Nghĩa vụ theo luật |

Chúng tôi không bán dữ liệu cá nhân của bạn. Chúng tôi không dùng dữ liệu cá nhân của bạn để huấn luyện mô hình AI. Chúng tôi chỉ gửi email giao dịch và thông báo dịch vụ (xác minh email, biên lai, quyền truy cập, lịch lớp, thay đổi điều khoản). Nếu sau này 200Lab có bản tin, chúng tôi hỏi ý bạn trước và bạn hủy đăng ký được bất cứ lúc nào.

Dữ liệu tài chính (như số tài khoản ngân hàng trong nhóm 2.7) là dữ liệu cá nhân nhạy cảm theo luật. Chúng tôi chỉ xử lý dữ liệu này khi bạn tự nhập để nhận hoa hồng, và chỉ cho việc chi trả.

## 4. Chia sẻ dữ liệu với bên thứ ba

Chúng tôi chỉ chia sẻ phần dữ liệu cần thiết cho từng việc. Một số bên xử lý dữ liệu ở ngoài Việt Nam, nghĩa là có chuyển dữ liệu ra nước ngoài.

| Bên nhận | Dữ liệu | Mục đích | Nơi xử lý |
|---|---|---|---|
| Máy chủ của 200Lab (VPS) | Toàn bộ dữ liệu của hệ thống | Vận hành dịch vụ | Việt Nam |
| Mailgun (Sinch) | Email, tên hiển thị, nội dung email giao dịch | Gửi email | Hoa Kỳ |
| Cloudflare | Địa chỉ IP, yêu cầu truy cập, số liệu xem trang ẩn danh (đường dẫn, nguồn truy cập, loại thiết bị, tốc độ tải), tệp bạn tải lên (ảnh đại diện), bản sao lưu cơ sở dữ liệu | CDN, bảo vệ trang, thống kê lượt truy cập ẩn danh, lưu trữ tệp R2, biến đổi ảnh, lưu bản sao lưu | Mạng toàn cầu; bản sao lưu ở vùng châu Á Thái Bình Dương |
| SePay và ngân hàng nhận tiền | Thông tin giao dịch chuyển khoản | Tạo mã VietQR và đối soát tự động | Việt Nam |
| PayPal | Mã đơn và số tiền thanh toán (USD) khi bạn chọn PayPal. Bạn đăng nhập và thanh toán bằng tài khoản PayPal ngay trên trang của PayPal, 200Lab không gửi và không nhận thông tin tài khoản PayPal của bạn; PayPal gửi lại kết quả giao dịch, hoàn tiền và khiếu nại | Xử lý thanh toán qua PayPal, hoàn tiền | Hoa Kỳ và toàn cầu |
| GitHub | Mã định danh và tên GitHub khi bạn đăng nhập hoặc liên kết | Đăng nhập bằng GitHub | Hoa Kỳ |
| Telegram | Tên Telegram của bạn khi vào nhóm lớp; tên hiển thị và email trong thông báo nội bộ gửi tới nhóm vận hành của 200Lab, kèm dải mạng và tên ứng dụng khi cảnh báo API key hoặc kết nối agent bị dùng chung | Nhóm lớp live; thông báo đơn hàng và sự kiện cho đội vận hành | Ngoài Việt Nam |
| Google (YouTube, Google Meet) | IP, thông tin trình duyệt khi xem video nhúng; tên, hình, giọng khi vào buổi Meet | Phát recording, tổ chức buổi live | Hoa Kỳ và toàn cầu |
| Zoom | Tên, hình, giọng khi vào buổi Zoom | Tổ chức buổi live | Hoa Kỳ và toàn cầu |
| Bunny (bunny.net), khi 200Lab dùng để phát video | IP, thông tin trình duyệt khi xem video | Lưu trữ và phát video bài học | Liên minh châu Âu và mạng toàn cầu |
| Google Analytics | Sự kiện xem trang, xem khóa học, thêm vào giỏ, mua hàng, mã cookie đo lường | Thống kê truy cập | Hoa Kỳ |
| Meta (Facebook Pixel, Messenger) | Sự kiện trang, mua hàng và đăng ký, mã cookie; nội dung tin nhắn hỗ trợ | Đo lường quảng cáo; kênh hỗ trợ | Hoa Kỳ |
| OpenAI (pixel đo lường quảng cáo ChatGPT) | Sự kiện xem trang, mua hàng và đăng ký, mã cookie | Đo lường quảng cáo | Hoa Kỳ |
| Ứng dụng bạn tự cấp quyền | Dữ liệu tài khoản học viên trong phạm vi bạn đồng ý | Cho phép ứng dụng hoặc AI agent truy cập tài khoản thay bạn | Theo ứng dụng đó |
| Cơ quan nhà nước có thẩm quyền | Dữ liệu được yêu cầu hợp pháp | Tuân thủ pháp luật | Việt Nam |

Về việc chuyển dữ liệu ra nước ngoài, chúng tôi lập và lưu hồ sơ đánh giá tác động theo quy định của pháp luật Việt Nam.

Mục "Ứng dụng bạn tự cấp quyền": 200Lab cho phép bạn cấp quyền cho một ứng dụng bên ngoài (ví dụ một AI agent dùng giao thức MCP) truy cập tài khoản học viên của bạn. Mỗi lần cấp quyền, bạn thấy màn hình "Cấp quyền truy cập" và có thể từ chối. Khi bạn cho phép, ứng dụng đó nhận dữ liệu theo phạm vi đã hiển thị và tự chịu trách nhiệm về cách nó xử lý dữ liệu ấy.

## 5. Lưu trữ và thời hạn

| Dữ liệu | Thời hạn giữ |
|---|---|
| Tài khoản, hồ sơ, quyền truy cập | Trong thời gian tài khoản còn hoạt động |
| Mã xác minh email, mã đặt lại mật khẩu đã dùng hoặc hết hạn | 30 ngày |
| Phiên đăng nhập, IP, thiết bị | 90 ngày sau khi phiên kết thúc |
| Dải mạng và tên ứng dụng khi dùng API key hoặc kết nối agent | Tối đa 2 ngày; cảnh báo đã gửi cho đội vận hành được lưu cùng các thông báo nội bộ khác |
| Nhật ký quản trị và phân quyền | 365 ngày |
| Hoạt động học tập chi tiết | 365 ngày, sau đó được xoá hoặc ẩn danh |
| Tương tác với thông báo khuyến mãi khi đã đăng nhập | 180 ngày |
| Tiến độ tổng hợp và certificate đã cấp | Trong thời gian tài khoản còn hoạt động |
| Đơn hàng, thanh toán, hoàn tiền, hoa hồng | 10 năm theo thời hạn lưu chứng từ kế toán |
| Bản sao lưu cơ sở dữ liệu | 30 ngày, tự xoá theo vòng đời của kho lưu trữ |

Khi thời hạn hết, dữ liệu được xoá hoặc ẩn danh theo các tác vụ dọn dẹp tự động.

## 6. Bảo mật

- Mật khẩu được băm bằng bcrypt; mã làm mới phiên chỉ lưu dưới dạng băm SHA-256.
- Số tài khoản ngân hàng của affiliate được mã hoá AES-GCM khi lưu. Khóa mã hoá được giữ tách khỏi cơ sở dữ liệu.
- Mỗi tài khoản có tối đa hai phiên đăng nhập hoạt động. Khi bạn đăng nhập ở nơi thứ ba, phiên cũ nhất bị đăng xuất ngay. Bạn có thể xem và thu hồi phiên, hoặc đăng xuất khỏi mọi nơi.
- Phiên được gắn với thiết bị; cookie phiên là `httpOnly`, chỉ gửi qua HTTPS và có bảo vệ CSRF.
- Mọi kết nối dùng HTTPS. Việc cấp quyền học chỉ diễn ra sau khi giao dịch chuyển khoản được xác thực, không dựa vào thông tin trình duyệt gửi lên.
- Cơ sở dữ liệu được sao lưu mỗi ngày lên kho lưu trữ riêng, giữ 30 ngày.
- Chỉ nhân sự cần cho công việc mới được truy cập dữ liệu, và các thao tác quản trị làm thay đổi dữ liệu đều được ghi nhật ký.

Không hệ thống nào an toàn tuyệt đối. Khi xảy ra sự cố lộ lọt dữ liệu, chúng tôi thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong vòng 72 giờ kể từ khi phát hiện và thông báo cho bạn khi sự cố ảnh hưởng tới bạn, theo quy định.

## 7. Quyền của bạn

Theo Luật Bảo vệ dữ liệu cá nhân, bạn có các quyền sau:

1. Được biết: biết dữ liệu nào của bạn được xử lý, vì sao và bởi ai. Chính sách này là cách chúng tôi thực hiện quyền đó.
2. Đồng ý hoặc không đồng ý với việc xử lý dữ liệu.
3. Truy cập: xem và nhận bản sao dữ liệu của bạn.
4. Chỉnh sửa: sửa dữ liệu sai hoặc cũ.
5. Xoá: yêu cầu xoá dữ liệu của bạn.
6. Rút lại sự đồng ý.
7. Hạn chế xử lý và phản đối xử lý dữ liệu.
8. Khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định của pháp luật.

Việc rút lại đồng ý không làm mất hiệu lực của việc xử lý đã diễn ra trước đó. Một số quyền có giới hạn theo luật, ví dụ chúng tôi vẫn phải giữ chứng từ thanh toán cho mục đích kế toán và thuế.

## 8. Cách thực hiện quyền của bạn

- Xem và sửa hồ sơ, số điện thoại, tên Telegram: trang hồ sơ trong `learn.200lab.io`.
- Xem và thu hồi phiên đăng nhập, liên kết hoặc gỡ GitHub: trang tài khoản trong `learn.200lab.io`.
- Ẩn certificate khỏi trang xác thực công khai: trang certificate trong `learn.200lab.io`.
- Tắt liên kết chia sẻ huy hiệu hoặc certificate: mục Liên kết đã chia sẻ trong `learn.200lab.io`.
- Xem đơn hàng và hoa hồng: trang đơn hàng và trang Giới thiệu trong `learn.200lab.io`.
- Xoá tài khoản, xin bản sao dữ liệu, rút đồng ý, phản đối xử lý: gửi email tới edu@200lab.io hoặc nhắn cho Fanpage 200Lab qua Messenger. Hiện chưa có nút tự xoá tài khoản; bạn gửi yêu cầu qua email edu@200lab.io hoặc Messenger và chúng tôi thực hiện theo thời hạn ở đoạn dưới.

Để bảo vệ bạn, chúng tôi có thể xác minh bạn là chủ tài khoản trước khi thực hiện, ví dụ bằng cách gửi email tới địa chỉ đăng ký. Chúng tôi phản hồi yêu cầu trong 02 ngày làm việc. Yêu cầu truy cập hoặc chỉnh sửa được hoàn thành trong 10 ngày; yêu cầu xoá được hoàn thành trong 20 ngày; nếu cần bên xử lý khác cùng xoá thì trong 30 ngày.

Khi xoá tài khoản, chúng tôi đóng mọi phiên, xoá mật khẩu và liên kết GitHub, xoá hồ sơ (tên, ảnh, tiểu sử, liên kết, số điện thoại, tên Telegram), giải phóng handle và thay email bằng một địa chỉ vô danh. Đánh giá bạn đã viết sẽ hiển thị không kèm tên. Chứng từ đơn hàng và thanh toán được giữ ở dạng không còn gắn với danh tính của bạn trong thời hạn luật yêu cầu. Sau khi xoá, bạn mất quyền truy cập các khóa học đã mua và không thể khôi phục.

## 9. Trẻ em và độ tuổi

Dịch vụ của 200Lab dành cho người từ 16 tuổi trở lên. Nếu bạn dưới độ tuổi này, cha mẹ hoặc người giám hộ cần đồng ý và đứng tên thực hiện các quyền về dữ liệu thay bạn. Nếu phát hiện chúng tôi đã thu thập dữ liệu của trẻ em mà không có sự đồng ý phù hợp, hãy nhắn cho chúng tôi để xoá.

## 10. Cookie và bộ nhớ trình duyệt

Cookie thiết yếu (luôn bật, không cần bạn chọn; thiếu nhóm này bạn không đăng nhập được):

- `refresh_token`: giữ phiên đăng nhập, `httpOnly`, 14 ngày gia hạn khi bạn còn dùng.
- `csrf_token`: chống giả mạo yêu cầu.
- `__Host-browser_ctx`: gắn phiên với trình duyệt đang dùng.
- `elearning_ref`: ghi nhớ mã giới thiệu khi bạn mở link giới thiệu, để áp dụng ưu đãi của mã khi bạn mua, trong thời hạn ghi nhận của chương trình (hiện là 30 ngày).

Cookie chức năng:

- `elearning-consent`: ghi nhớ lựa chọn của bạn trong hộp chọn cookie, dùng chung cho `200lab.io` và `learn.200lab.io`, trong 12 tháng, hoặc 6 tháng nếu "Đo lường" đang tắt. Hết hạn, chúng tôi hỏi lại.

Bộ nhớ trình duyệt (localStorage và sessionStorage), chỉ nằm trên máy bạn:

- Giao diện sáng hoặc tối, giỏ hàng khi chưa đăng nhập, mã giảm giá đang nhập, trạng thái đơn đang thanh toán, lựa chọn tự phát bài tiếp theo, số lần đã hiện thông báo khuyến mãi và lựa chọn đóng hoặc "Không quan tâm" của bạn.

Thống kê lượt truy cập không dùng cookie: Cloudflare Web Analytics ghi nhận lượt xem trang, đường dẫn, trang dẫn tới, loại thiết bị và trình duyệt, tốc độ tải trang. Công cụ này không đặt cookie, không lưu gì trên máy bạn và không nhận diện từng người, nên chạy mà không cần bạn chọn. Bên nhận: Cloudflare. Mục đích: đếm lượt truy cập và theo dõi tốc độ trang.

Cookie đo lường và quảng cáo của bên thứ ba, bạn chọn riêng từng mục đích:

- Đo lường: Google Analytics 4 (cookie `_ga`, `_ga_*`) ghi nhận lượt xem trang, sự kiện học và mua, loại thiết bị và trình duyệt, vị trí ước lượng từ IP rút gọn. Bên nhận: Google. Mục đích: hiểu cách trang được dùng để cải thiện nội dung. Lưu tới 2 năm.
- Quảng cáo: Meta Pixel (cookie `_fbp`, `_fbc`) và pixel đo lường của OpenAI (cookie `__oppref`, `__obref`) ghi nhận lượt xem trang, sự kiện mua hàng và đăng ký để đo hiệu quả quảng cáo của 200Lab trên Facebook, Instagram và ChatGPT. Bên nhận: Meta, lưu tới 3 tháng; OpenAI, lưu tới 12 tháng (`__oppref` 30 ngày, `__obref` 12 tháng).
- Hai mục đích này tắt cho tới khi bạn chọn; chưa chọn thì không cookie nào trong số này được đặt. Trong hộp chọn cookie, bạn chọn "Từ chối tất cả", "Chỉ đo lường" (bật "Đo lường", tắt "Quảng cáo") hoặc "Chấp nhận tất cả". Bạn cũng có thể mở "Chi tiết" và bật, tắt riêng từng mục đích; mỗi lần gạt công tắc có hiệu lực ngay.
- Mỗi ngày, chúng tôi đếm tổng số lượt chọn từng câu trả lời trong hộp chọn cookie để biết tỉ lệ đồng ý từng mục đích. Con số này không gắn với cookie, tài khoản, địa chỉ IP hay bất kỳ mã nhận diện nào.
- Bạn đổi lựa chọn bất cứ lúc nào qua "Cài đặt cookie" ở chân trang `200lab.io` hoặc trên trang tài khoản trong `learn.200lab.io`. Khi bạn tắt một mục đích, cookie của mục đích đó bị xoá khỏi trình duyệt và công cụ tương ứng ngừng gửi dữ liệu.

Bạn có thể xoá hoặc chặn cookie trong cài đặt trình duyệt. Chặn cookie thiết yếu sẽ khiến bạn không đăng nhập được.

## 11. Hồ sơ công khai, đánh giá và certificate

- Trang hồ sơ `200lab.io/@handle` hiển thị các trường hồ sơ công khai ở mục 2.2. Số điện thoại, tên Telegram và email không bao giờ hiển thị ở đây.
- Đánh giá khóa học hiển thị công khai cùng handle và tên hiển thị của bạn.
- Certificate chỉ hiện trên trang xác thực công khai khi bạn bật. Trang này chỉ cho thấy tên đã đồng ý hiển thị và thông tin tối thiểu về khóa học, có thể tắt bất cứ lúc nào mà không xoá certificate. Trang xác thực không được đưa vào kết quả tìm kiếm.
- Huy hiệu chỉ hiện trên trang chia sẻ công khai `200lab.io/thanh-tich/...` khi bạn bật chia sẻ huy hiệu đó. Trang và ảnh chia sẻ cho thấy tên đã đồng ý hiển thị, tên huy hiệu và ngày nhận; ảnh đại diện công khai của bạn có thể hiển thị kèm. Với huy hiệu bí mật, điều kiện đạt không được nêu. Trang chia sẻ không được đưa vào kết quả tìm kiếm.
- Khi bạn tắt chia sẻ hoặc rút tên hiển thị, liên kết ngừng hoạt động ngay. Ảnh chia sẻ là ảnh tạo khi có người mở, 200Lab không lưu lại; nhưng bản sao mà mạng xã hội hoặc người khác đã lưu thì nằm ngoài khả năng thu hồi của chúng tôi.

## 12. Thay đổi chính sách

Chúng tôi có thể cập nhật chính sách khi dịch vụ hoặc quy định pháp luật thay đổi. Phiên bản mới được đăng tại trang này kèm ngày hiệu lực. Với thay đổi quan trọng, chúng tôi thông báo qua email hoặc trên trang học ít nhất 7 ngày trước khi áp dụng. Nếu thay đổi cần sự đồng ý mới, chúng tôi sẽ hỏi lại bạn.

## 13. Liên hệ

Mọi câu hỏi hoặc yêu cầu về dữ liệu cá nhân, hãy gửi email tới edu@200lab.io hoặc nhắn cho Fanpage 200Lab: https://www.facebook.com/edu.200lab. Bạn cũng có thể gửi thư tới văn phòng Công ty TNHH công nghệ 200LAB tại 9A Phạm Văn Hai, Phường Tân Sơn Hòa, TP.HCM.